Die 7 häufigsten Fehler in Verzeichnissen von Verarbeitungstätigkeiten (aus Sicht eines DPO)

Das Verzeichnis von Verarbeitungstätigkeiten ist ein Röntgenbild der Art und Weise, wie ein Unternehmen personenbezogene Daten verwendet: Ist es gut geführt, fällt die übrige DSGVO-Compliance leichter. Als DPO lese ich solche Verzeichnisse ständig, und die Fehler sind so häufig, dass ich sie schon am Inhaltsverzeichnis erkenne. Hier sind sieben davon, zusammen mit praktischen Tipps, um sie zu vermeiden.

1. Vom ERP-Anbieter kopiert

Viele Verzeichnisse entstehen aus einer vorausgefüllten Datei, die mit der Verwaltungssoftware geliefert wurde. Das Ergebnis ist ein Dokument, das die Verarbeitungen der Software beschreibt, nicht die des Unternehmens: Videoüberwachung, Bewerbungen, die Website, außerhalb der Software verwaltete Mitarbeiterdaten fehlen. Ich habe dies mit praktisch identischen Verzeichnissen in Unternehmen verschiedener Branchen gesehen, die Kunden desselben Anbieters waren. Das Verzeichnis muss von den Prozessen ausgehen: Was Sie mit den Daten machen, nicht was Ihre Software tut.

2. Speicherfristen “für immer”

Bis zum Widerruf der Einwilligung, unbegrenzt oder das Feld leer gelassen: die häufigsten Nicht-Antworten auf die wichtigste Frage des Verzeichnisses. Die unbegrenzte Speicherung ist keine Wahl, sondern das Fehlen einer Wahl, und die Speicherbegrenzung gehört zu den Prinzipien, die in den Verfügungen des Garante am häufigsten beanstandet werden. Es braucht keine tagesgenauen Fristen: Es braucht ein verteidigungsfähiges Kriterium für jede Verarbeitung und jemanden, der auch wirklich ab und zu etwas löscht.

3. Rechtsgrundlagen ausschließlich “Einwilligung”

Die Einwilligung ist die fragilste und meistmissbrauchte Rechtsgrundlage. Ich finde Verzeichnisse, in denen Mitarbeiter der Verarbeitung für die Gehaltsabrechnung zustimmen: Schade, dass diese Einwilligung nicht frei wäre und die korrekte Grundlage zwischen Vertrag und gesetzlichen Pflichten liegt. Die überall platzierte Einwilligung ist ein Zeichen dafür, dass die Rechtsgrundlagen nicht einzeln durchdacht wurden. Und wenn die Grundlage falsch ist, wackelt alles, was darauf aufbaut: Informationen, Speicherung, Rechte der betroffenen Personen.

4. Anbieter außerhalb der EU vergessen

Unter dem Punkt Übermittlungen außerhalb der EU steht im Verzeichnis: keine. Dann sehe ich mir die verwendeten Tools an: amerikanische Newsletter-Plattform, Cloud-Kundenservice, Analysetools, CRM. Die Übermittlung findet statt, nur hat niemand danach gesucht. Dieser Punkt muss durch Überprüfung der tatsächlichen Liste der Anbieter und ihrer Unterauftragsverarbeiter mit deren jeweiligen Sitzen ausgefüllt werden, nicht aus dem Gedächtnis. Dies ist auch eine der ersten Dinge, die eine Behörde oder ein Kunde in der Qualifizierungsphase von Ihnen anfragen wird.

5. Eine einzige Version, seit 2018 nie aktualisiert

Verzeichnisse, die im Eifer der Anpassung an die DSGVO 2018 erstellt und nie wieder geöffnet wurden: In der Zwischenzeit hat das Unternehmen Website, ERP-System und Anbieter gewechselt, Smart Working eingeführt und vielleicht einige KI-Tools. Das Verzeichnis ist per Definition ein lebendiges Dokument, und eine Datei mit einem Änderungsdatum von vor mehreren Jahren fällt bei einer Kontrolle als Erstes auf. Es ist nicht nötig, es von Grund auf neu zu erstellen: Es bedarf einer geplanten, regelmäßigen Überprüfung sowie einer Aktualisierung bei jeder relevanten Änderung.

6. Personalverarbeitungen unterschätzt

Das Verzeichnis widmet den Kundendaten Seiten und den Mitarbeitern drei Zeilen. Tatsächlich sind Personaldaten oft die sensibelsten Daten, die das Unternehmen verarbeitet: Gesundheit, Gewerkschaftszugehörigkeit, Disziplinarmaßnahmen, Geolokalisierung von Fahrzeugen, Kontrollen von Arbeitsmitteln. Dies ist auch der Bereich, aus dem Rechtsstreitigkeiten am leichtesten entstehen, da die unzufriedene betroffene Person täglich im Unternehmen arbeitet. Ein seriöses Verzeichnis behandelt die Mitarbeiter mit der gleichen Sorgfalt wie die Kunden, wenn nicht sogar mit noch größerer.

7. Keine Verbindung zu den Sicherheitsmaßnahmen

Die Spalte der Sicherheitsmaßnahmen wiederholt für jede Verarbeitung denselben generischen Satz zu Antivirenprogrammen und Zugangsdaten. Das Verzeichnis sollte stattdessen angeben, welche Maßnahmen diese Verarbeitung schützen: wo die Daten gespeichert sind, wer darauf zugreift, wie sie geschützt sind. Es ist die Brücke zwischen Datenschutz und Sicherheit: Fehlt sie, bleibt das Verzeichnis eine rein administrative Übung und die Maßnahmen bleiben leere Worte. Wenn beide Dinge miteinander kommunizieren, wird das Verzeichnis zu dem Managementinstrument, das die DSGVO im Sinn hatte, und nicht zu einer bloßen Anlage zum Vorzeigen.

Wo anfangen

Ein gut geführtes Verzeichnis ist nicht länger: Es ist wahrhaftiger. Wenn Ihres einem der oben genannten Fälle ähnelt, ist der schnellste Weg, dies herauszufinden, es von jemandem überprüfen zu lassen, der viele gelesen hat: Werfen Sie einen Blick auf unseren Service für DSGVO-Beratung und beginnen Sie mit einer Gap-Analyse des Verzeichnisses. Es ist das Dokument, mit dem eine Behörde fast immer beginnt: Es lohnt sich, darauf vorbereitet zu sein.

Hinweis: Die hier dargestellten Beobachtungen basieren auf DPO- und Beratungserfahrung, haben allgemeinen Wert und stellen keine Rechtsberatung dar; jede Situation muss in ihrem eigenen Kontext bewertet werden. Artikel aktualisiert im Juli 2026.