--- title: DSGVO Art. 30 (VO 2016/679) – Verzeichnis von Verarbeitungstätigkeiten (VVT): Pflichtinhalte, 250-Mitarbeiter-Ausnahme, Bußgelder seo_title: DSGVO Art. 30 – Verzeichnis von Verarbeitungstätigkeiten… slug: dsgvo-verzeichnis-verarbeitungstaetigkeiten-art-30 topic: datenschutz legal_status: in_force authority_level: A valid_from: 2018-05-25 valid_to: null last_reviewed: 2026-08-24 status: in Kraft license: CC-BY-4.0 url: https://nexvyra.de/fakten/dsgvo-verzeichnis-verarbeitungstaetigkeiten-art-30.md wikidata_subjects: [Q1172506, Q1172074] factcheck_status: ok --- # DSGVO Art. 30 (VO 2016/679) – Verzeichnis von Verarbeitungstätigkeiten (VVT): Pflichtinhalte, 250-Mitarbeiter-Ausnahme, Bußgelder ## Kurzantwort Das **Verzeichnis von Verarbeitungstätigkeiten** (VVT, englisch *Record of Processing Activities* – **ROPA**) nach **Art. 30 der Verordnung (EU) 2016/679 (DSGVO)** ist die zentrale **Dokumentationspflicht** des Datenschutzrechts. Jeder **Verantwortliche** führt ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen (Art. 30 Abs. 1); jeder **Auftragsverarbeiter** führt ein eigenes, inhaltlich schlankeres Verzeichnis über alle **Kategorien** von im Auftrag durchgeführten Verarbeitungen (Art. 30 Abs. 2). Art. 30 Abs. 1 nennt **sieben Pflichtangaben** (lit. a–g), Art. 30 Abs. 2 **vier** (lit. a–d). Das Verzeichnis ist **schriftlich** zu führen – das **elektronische Format genügt ausdrücklich** (Art. 30 Abs. 3) – und der **Aufsichtsbehörde auf Anfrage** zur Verfügung zu stellen (Art. 30 Abs. 4). Eine Pflicht zur Veröffentlichung oder zur Herausgabe an betroffene Personen besteht **nicht**. Die viel zitierte Ausnahme für **Unternehmen mit weniger als 250 Mitarbeitern** (Art. 30 Abs. 5) ist in der Praxis **sehr eng**: Sie entfällt bereits dann, wenn **eine** der drei Rückausnahmen greift – Risiko für Rechte und Freiheiten, **nicht nur gelegentliche** Verarbeitung oder Verarbeitung besonderer Kategorien (Art. 9 Abs. 1) bzw. von Straftatdaten (Art. 10). Da schon die laufende Personalverwaltung oder Kundenbuchhaltung „nicht nur gelegentlich" erfolgt, müssen faktisch **auch die allermeisten Kleinbetriebe ein Verzeichnis führen**. Verstöße gegen Art. 30 sind mit **bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes** bußgeldbewehrt (Art. 83 Abs. 4 lit. a). ## Kernfakten | Punkt | Wert | |---|---| | Rechtsakt | Verordnung (EU) 2016/679 (DSGVO), **Artikel 30** [eur-lex.europa.eu, CELEX:32016R0679] | | Rechtsnatur | **EU-Verordnung** → **unmittelbar anwendbar** in Deutschland (kein Umsetzungsgesetz nötig) | | Geltung seit | **25. Mai 2018** [Art. 99 Abs. 2 DSGVO] | | Pflichtiger 1 | **Verantwortlicher** und ggf. sein **Vertreter** (Art. 27) [Art. 30 Abs. 1] | | Pflichtiger 2 | **Auftragsverarbeiter** und ggf. sein Vertreter – eigenes Verzeichnis [Art. 30 Abs. 2] | | Pflichtangaben Verantwortlicher | **7** Angaben: a) Kontaktdaten (inkl. gemeinsam Verantwortlicher, Vertreter, DSB), b) **Zwecke**, c) Kategorien betroffener Personen + Datenkategorien, d) Kategorien von **Empfängern** (inkl. Drittland), e) **Drittlandübermittlungen** + Garantien, f) **Löschfristen** („wenn möglich"), g) allgemeine Beschreibung der **TOM** nach Art. 32 Abs. 1 („wenn möglich") [Art. 30 Abs. 1 lit. a–g] | | Pflichtangaben Auftragsverarbeiter | **4** Angaben: a) Kontaktdaten AV + jedes Verantwortlichen + ggf. DSB, b) **Kategorien von Verarbeitungen** je Auftraggeber, c) Drittlandübermittlungen + Garantien, d) allgemeine Beschreibung der **TOM** [Art. 30 Abs. 2 lit. a–d] | | Form | **schriftlich**, „was auch in einem elektronischen Format erfolgen kann" [Art. 30 Abs. 3] | | Vorlagepflicht | der **Aufsichtsbehörde auf Anfrage** zur Verfügung stellen [Art. 30 Abs. 4] | | Veröffentlichungspflicht | **keine** – kein Anspruch betroffener Personen auf Herausgabe des VVT | | Ausnahme (Grundregel) | Unternehmen/Einrichtungen mit **weniger als 250 Mitarbeitern** [Art. 30 Abs. 5] | | Rückausnahme 1 | Verarbeitung birgt **ein Risiko** für Rechte und Freiheiten der Betroffenen [Art. 30 Abs. 5] | | Rückausnahme 2 | Verarbeitung erfolgt **nicht nur gelegentlich** [Art. 30 Abs. 5] | | Rückausnahme 3 | Verarbeitung **besonderer Kategorien** (Art. 9 Abs. 1) oder von **Straftatdaten** (Art. 10) [Art. 30 Abs. 5] | | Verhältnis der Rückausnahmen | **alternativ** – **eine** genügt, um die Pflicht auszulösen (EDPB Statement 1/2019) | | Sanktionen | bis zu **10 Mio. €** oder **2 %** des weltweiten Jahresumsatzes (der höhere Wert) [Art. 83 Abs. 4 lit. a] | | Nachweisfunktion | Baustein der **Rechenschaftspflicht** [Art. 5 Abs. 2, Art. 24 Abs. 1] | | KMU-Rücksicht | „besondere Bedürfnisse von Kleinstunternehmen sowie kleinen und mittleren Unternehmen" [ErwG 13 DSGVO] | | Erfasster Nutzerkreis | **alle** Verantwortlichen und Auftragsverarbeiter im Anwendungsbereich (Marktortprinzip, Art. 3) – Unternehmen, Vereine, Behörden, Freiberufler | | Reformstand 2026 | **Digital-Omnibus-Vorschlag** der EU-Kommission vom **19.11.2025** (COM(2025) 837) sieht eine Entlastung bei Art. 30 vor; **noch nicht in Kraft** – Gesetzgebungsverfahren läuft (Stand 23.08.2026) → **review_needed** | ## Geltungsbereich Art. 30 gilt **unmittelbar** in allen Mitgliedstaaten – ein deutsches Umsetzungsgesetz ist nicht erforderlich und existiert für diese Norm auch nicht. Adressaten sind der **Verantwortliche** (Art. 4 Nr. 7) und der **Auftragsverarbeiter** (Art. 4 Nr. 8), jeweils einschließlich ihrer **Vertreter** nach Art. 27, wenn sie nicht in der Union niedergelassen sind. Über das **Marktortprinzip** (Art. 3 Abs. 2) trifft die Pflicht auch Stellen außerhalb der EU, die betroffenen Personen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Erfasst sind neben Unternehmen ausdrücklich auch **Einrichtungen** – also Vereine, Stiftungen, Kirchen im Anwendungsbereich der DSGVO, Behörden und öffentliche Stellen. Für **Behörden und öffentliche Stellen** greift die 250-Mitarbeiter-Ausnahme nach Auffassung der deutschen Aufsichtsbehörden praktisch nie, weil deren Verarbeitungen regelmäßig nicht nur gelegentlich erfolgen. Bei **gemeinsam Verantwortlichen** (Art. 26) führt **jeder** Beteiligte ein eigenes Verzeichnis für die ihm zuzuordnenden Verarbeitungstätigkeiten; der jeweils andere gemeinsam Verantwortliche ist nach Art. 30 Abs. 1 lit. a namentlich aufzunehmen. Ein Konzern führt **kein** Sammelverzeichnis: Pflichtig ist jede **rechtlich selbstständige** Einheit. ## Detail: Die sieben Pflichtangaben des Verantwortlichen (Art. 30 Abs. 1) Das Verzeichnis des Verantwortlichen enthält nach dem Wortlaut **sämtliche** folgenden Angaben: **a) Kontaktdaten** – Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des gemeinsam Verantwortlichen, des Vertreters sowie eines etwaigen **Datenschutzbeauftragten**. **b) Zwecke der Verarbeitung** – der konkrete Zweck je Verarbeitungstätigkeit, nicht eine pauschale Sammelangabe. **c) Kategorien** betroffener Personen (z. B. Beschäftigte, Kunden, Bewerber) und **Kategorien personenbezogener Daten** (z. B. Stammdaten, Vertragsdaten, Gesundheitsdaten). **d) Kategorien von Empfängern**, gegenüber denen die Daten offengelegt worden sind oder noch offengelegt werden – **einschließlich Empfängern in Drittländern oder internationalen Organisationen**. **e) Drittlandübermittlungen** unter Angabe des betreffenden Drittlands bzw. der internationalen Organisation; bei Übermittlungen nach **Art. 49 Abs. 1 Unterabs. 2** ist zusätzlich die **Dokumentierung geeigneter Garantien** aufzunehmen. **f) Löschfristen** – „wenn möglich" die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien. **g) TOM** – „wenn möglich" eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach **Art. 32 Abs. 1**. Die Einschränkung „**wenn möglich**" in lit. f und g ist eng zu verstehen: Sie befreit nicht generell, sondern trägt dem Umstand Rechnung, dass Löschfristen und TOM nicht in jedem Einzelfall trennscharf einer Verarbeitungstätigkeit zugeordnet werden können. Die Aufsichtsbehörden erwarten in aller Regel Angaben; ein vollständiges Weglassen ist begründungsbedürftig. ## Detail: Das Verzeichnis des Auftragsverarbeiters (Art. 30 Abs. 2) Der Auftragsverarbeiter dokumentiert **keine** einzelnen Zwecke – die bestimmt der Verantwortliche –, sondern die **Kategorien von Verarbeitungen**, die er **je Auftraggeber** durchführt. Aufzunehmen sind: Kontaktdaten des Auftragsverarbeiters **und jedes Verantwortlichen**, in dessen Auftrag er tätig ist, sowie gegebenenfalls der Vertreter und ein etwaiger DSB (lit. a); die Verarbeitungskategorien je Verantwortlichem (lit. b); Drittlandübermittlungen samt Garantien (lit. c); und „wenn möglich" eine allgemeine Beschreibung der **TOM** nach Art. 32 Abs. 1 (lit. d). Das Verzeichnis nach Abs. 2 tritt **neben** – nicht an die Stelle – des Verzeichnisses nach Abs. 1: Wer als Dienstleister zugleich **eigene** Verarbeitungen durchführt (etwa die eigene Personalverwaltung), ist insoweit Verantwortlicher und benötigt **beide** Verzeichnisse. ## Detail: Die 250-Mitarbeiter-Ausnahme (Art. 30 Abs. 5) – warum sie fast nie greift Art. 30 Abs. 5 nimmt Unternehmen und Einrichtungen mit **weniger als 250 Mitarbeitern** von den Pflichten der Absätze 1 und 2 aus – „**es sei denn**", (1) die Verarbeitung **birgt ein Risiko** für die Rechte und Freiheiten der betroffenen Personen, (2) die Verarbeitung erfolgt **nicht nur gelegentlich** oder (3) es werden **besondere Datenkategorien** nach Art. 9 Abs. 1 bzw. **Straftatdaten** nach Art. 10 verarbeitet. Der **Europäische Datenschutzausschuss (EDPB)** hat in seinem **Statement 1/2019** klargestellt, dass diese drei Rückausnahmen **alternativ** zu lesen sind: Es genügt, dass **eine** von ihnen einschlägig ist, um die Verzeichnispflicht auszulösen. Damit kippt die Ausnahme in der Praxis fast immer: - **„Nicht nur gelegentlich"** erfasst jede **regelmäßige, dauerhafte oder wiederkehrende** Verarbeitung. Lohnabrechnung, Personalakte, Kundenstammdaten, Buchhaltung, Newsletter-Versand oder Website-Logfiles sind laufende Vorgänge – nicht „gelegentlich". - **Besondere Kategorien** liegen bereits vor bei **Gesundheitsdaten** (z. B. Arbeitsunfähigkeitsbescheinigungen, Schwerbehinderteneigenschaft) oder **Gewerkschaftszugehörigkeit** – also praktisch in jedem Betrieb mit Beschäftigten. - **Risiko** genügt in der einfachen Stufe; ein **hohes** Risiko im Sinne von Art. 35 ist gerade **nicht** erforderlich. Praktische Folge: Auch eine Zwei-Personen-Agentur, ein Handwerksbetrieb oder ein Verein muss ein Verzeichnis führen – wenn auch nur für die tatsächlich betroffenen Verarbeitungstätigkeiten. Denn die Ausnahme wirkt nach dem Wortlaut **verarbeitungsbezogen**: Sie entfällt nicht pauschal für den gesamten Betrieb, sondern für die jeweils erfassten Vorgänge. Die Aufsichtsbehörden und der EDPB empfehlen daher, das Verzeichnis von vornherein vollständig zu führen. **Erwägungsgrund 13** verpflichtet Behörden lediglich, „die besonderen Bedürfnisse von Kleinstunternehmen sowie von kleinen und mittleren Unternehmen zu berücksichtigen" – das ist eine Auslegungsmaxime, keine Befreiung. ## Detail: Nachweislast, Kontrolle und Bußgeldrisiko Das Verzeichnis ist der **wichtigste Nachweis** im Rahmen der Rechenschaftspflicht (Art. 5 Abs. 2, Art. 24 Abs. 1). Aufsichtsbehörden fordern es in Prüfverfahren typischerweise **zuerst** an – es ist der Einstiegspunkt jeder Datenschutzkontrolle, weil sich aus ihm Rechtsgrundlagen, Empfänger, Drittlandtransfers und Löschkonzepte erschließen lassen. Fehlt das Verzeichnis, ist es unvollständig oder wird es der Aufsichtsbehörde nicht auf Anfrage vorgelegt, greift der Bußgeldrahmen des **Art. 83 Abs. 4 lit. a DSGVO**: bis zu **10 Mio. €** oder **2 % des gesamten weltweit erzielten Jahresumsatzes** des vorangegangenen Geschäftsjahrs – je nachdem, welcher Betrag **höher** ist. Praktisch bedeutsamer als das Bußgeld selbst ist die **Indizwirkung**: Ein fehlendes Verzeichnis wird regelmäßig als Beleg für ein unzureichendes Datenschutzmanagement gewertet und erhöht die Bußgeldbemessung bei anderen Verstößen (Art. 83 Abs. 2 lit. d – Grad der Verantwortlichkeit unter Berücksichtigung der Art. 25 und 32). Der EuGH hat im Verfahren **C-60/22** (Urteil vom 4. Mai 2023, *Bundesrepublik Deutschland*) entschieden, dass ein Verstoß gegen Dokumentationspflichten – dort gegen Art. 26 und Art. 30 – die Verarbeitung **nicht automatisch rechtswidrig** macht; die Rechtmäßigkeit richtet sich weiterhin nach Art. 6. Die Verzeichnispflicht bleibt davon unberührt und bleibt eigenständig sanktionierbar. ## Detail: Geplante Änderung durch den Digital Omnibus (Stand 23.08.2026) Die EU-Kommission hat am **19. November 2025** das **Digital-Omnibus-Paket** vorgelegt (Verordnungsvorschlag COM(2025) 837), das unter anderem die DSGVO ändern soll. Zu den erörterten Entlastungen zählt eine **Anhebung der Mitarbeiterschwelle des Art. 30 Abs. 5** deutlich über 250 hinaus – berichtet wird über einen Wert von **750 Beschäftigten** –, verbunden mit einer Rückausnahme für Verarbeitungen mit **hohem Risiko** im Sinne von Art. 35. **Dieser Wert ist derzeit nicht bestätigt und nicht geltendes Recht.** Der Rat hat sein Verhandlungsmandat am **13. März 2026** festgelegt; für den **Digital Omnibus on AI** wurde am **7. Mai 2026** eine vorläufige politische Einigung erzielt, für den **allgemeinen Digital Omnibus** steht eine Einigung zum Stand dieser Fassung noch aus. Bis zur förmlichen Annahme und Veröffentlichung im Amtsblatt gilt **Art. 30 in der Fassung von 2016 unverändert fort** – die Schwelle liegt weiterhin bei **250 Mitarbeitern**. Wegen der offenen Rechtslage ist dieses Topic mit `factcheck_status: review_needed` gekennzeichnet. ## Häufige Fehler - **„Wir haben unter 250 Mitarbeiter – wir brauchen kein Verzeichnis."** Der häufigste Irrtum. Die Rückausnahmen des Art. 30 Abs. 5 sind **alternativ**; schon die laufende Personal- oder Kundendatenverarbeitung ist „nicht nur gelegentlich". - **„Die Schwelle steigt ja bald auf 750."** Der Digital-Omnibus-Vorschlag ist zum **23.08.2026 nicht in Kraft**. Wer sich vorab darauf einstellt, verstößt bis zur Veröffentlichung im Amtsblatt gegen geltendes Recht. - **„Das Verzeichnis muss auf der Website veröffentlicht werden."** Nein – Art. 30 Abs. 4 verlangt nur die Vorlage **gegenüber der Aufsichtsbehörde auf Anfrage**. Ein Herausgabeanspruch betroffener Personen besteht nicht; deren Informationsrechte folgen aus Art. 13/14 und Art. 15. - **„Datenschutzerklärung und Verzeichnis sind dasselbe."** Nein – die **Datenschutzerklärung** (Art. 13/14) richtet sich **nach außen** an betroffene Personen, das **Verzeichnis** ist ein **internes** Dokument für die Aufsichtsbehörde mit anderem Pflichtinhalt. - **„Als Dienstleister brauche ich nur das AV-Verzeichnis."** Falsch – wer daneben **eigene** Verarbeitungen durchführt (Personal, Buchhaltung, eigene Kunden), ist insoweit Verantwortlicher und braucht **zusätzlich** ein Verzeichnis nach Art. 30 Abs. 1. - **„Papier ist Pflicht."** Nein – Art. 30 Abs. 3 lässt das **elektronische Format** ausdrücklich zu; eine Tabellenkalkulation oder ein Datenschutz-Tool genügt der Form. - **„Ein Verzeichnis reicht für den ganzen Konzern."** Nein – pflichtig ist **jede rechtlich selbstständige** Einheit; ein gemeinsames Template ist zulässig, ein einziges Sammelverzeichnis nicht. - **„Einmal erstellt, ist es erledigt."** Das Verzeichnis muss den **aktuellen** Stand abbilden; neue Tools, Dienstleister oder Zwecke sind nachzutragen, sonst ist es unvollständig im Sinne von Art. 83 Abs. 4 lit. a. ## Quellen - Verordnung (EU) 2016/679 (DSGVO), Volltext (deutsch), EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 - Art. 30 DSGVO – Verzeichnis von Verarbeitungstätigkeiten (dejure.org): https://dejure.org/gesetze/DSGVO/30.html - Art. 83 DSGVO – Allgemeine Bedingungen für die Verhängung von Geldbußen (dejure.org): https://dejure.org/gesetze/DSGVO/83.html - Art. 9 DSGVO – Besondere Kategorien personenbezogener Daten (dejure.org): https://dejure.org/gesetze/DSGVO/9.html - EDPB – Position Paper zur Ausnahme von der Verzeichnispflicht nach Art. 30 Abs. 5 DSGVO: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/position-paper-derogations-obligation-maintain-records_en - Datenschutzkonferenz (DSK) – Hinweise zum Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DS-GVO (ULD Schleswig-Holstein): https://www.datenschutzzentrum.de/uploads/dsgvo/Hinweise-zum-Verzeichnis-von-Verarbeitungstaetigkeiten.pdf - EuGH, Urteil vom 04.05.2023 – C-60/22 (*Bundesrepublik Deutschland*), zu Art. 26 und Art. 30 DSGVO: https://curia.europa.eu/juris/liste.jsf?num=C-60/22 - Europäische Kommission – Digital Omnibus (Vorschlag vom 19.11.2025, COM(2025) 837): https://digital-strategy.ec.europa.eu/en/policies/digital-omnibus - Europäisches Parlament – Legislative Train Schedule, „The Digital Omnibus Regulation Proposal": https://www.europarl.europa.eu/legislative-train/theme-a-new-plan-for-europe-s-sustainable-prosperity-and-competitiveness/file-digital-package ## Änderungsverlauf - 2026-08-24: Tote Quellen-URL automatisch ersetzt (EDPB hat das Dokument von /our-documents/other/ nach /our-documents/guidelines/ verschoben). Quellenbezeichnung an den amtlichen Dokumenttitel angeglichen: Es handelt sich um ein Position Paper, nicht um ein Statement 1/2019. | change_type=source_update field="sources" old="https://www.edpb.europa.eu/our-work-tools/our-documents/other/statement-52019-use-term-more-250-employees-article-305-gdpr_en" new="https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/position-paper-derogations-obligation-maintain-records_en" reviewed_by="Nexvyra Faktencheck-Bot" - 2026-08-23: Erstveröffentlichung. Kernwerte (7 Pflichtangaben Art. 30 Abs. 1 lit. a–g, 4 Pflichtangaben Art. 30 Abs. 2 lit. a–d, Schriftform/elektronisches Format Abs. 3, Vorlagepflicht gegenüber Aufsichtsbehörde Abs. 4, 250-Mitarbeiter-Schwelle mit drei alternativen Rückausnahmen Abs. 5, Bußgeldrahmen 10 Mio. € / 2 % nach Art. 83 Abs. 4 lit. a) gegen EUR-Lex CELEX:32016R0679 und dejure.org geprüft; EDPB Statement 1/2019 und DSK-Hinweise zur Auslegung von Abs. 5 herangezogen. **factcheck_status=review_needed**, weil der Reformstand des Digital-Omnibus-Vorschlags (COM(2025) 837, mögliche Anhebung der Schwelle auf 750 Beschäftigte) zum Stichtag nicht abschließend verifiziert werden konnte und das Verfahren noch läuft. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Andreas Warkentin" ## Stand - Stand: 2026-08-23 - Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO) - Gültig bis: offen (unbefristet in Kraft) - Status: in Kraft (EU-Verordnung – unmittelbar anwendbar, kein Umsetzungsgesetz nötig) - Reformhinweis: Digital-Omnibus-Vorschlag COM(2025) 837 vom 19.11.2025 im Gesetzgebungsverfahren – **noch nicht in Kraft** - Quellenautorität: A (EUR-Lex CELEX:32016R0679) - Lizenz: CC BY 4.0