Verarbeitungsverzeichnis: Pflicht auch für Ihre Webseite

Stellen Sie sich einen Brief der Aufsichtsbehörde vor. Zwei Zeilen: Bitte übersenden Sie Ihr Verzeichnis von Verarbeitungstätigkeiten. Die Geschäftsführung schaut zur Agentur, die Agentur zur IT, die IT zur Geschäftsführung. Ein Verzeichnis gibt es nicht.

Rechtlich ist das keine Kleinigkeit. Art. 30 Absatz 4 DSGVO verpflichtet Verantwortliche, das Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. Wer keines hat, kann nichts vorlegen. Verstöße gegen Art. 30 können nach Art. 83 Absatz 4 Buchstabe a DSGVO mit einer Geldbuße von bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweit erzielten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Das ist der Rahmen, nicht der Normalfall.

Was Art. 30 DSGVO verlangt

Nach Art. 30 Absatz 1 Satz 1 DSGVO führt jeder Verantwortliche ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen. Absatz 3 verlangt die schriftliche Form, ein elektronisches Format genügt. Pro Verarbeitungstätigkeit nennt Absatz 1 Satz 2 diese Angaben:

• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Vertreters und des Datenschutzbeauftragten (Buchstabe a)
• die Zwecke der Verarbeitung (Buchstabe b)
• die Kategorien betroffener Personen und der personenbezogenen Daten (Buchstabe c)
• die Kategorien von Empfängern, auch in Drittländern (Buchstabe d)
• gegebenenfalls Übermittlungen in Drittländer und die dafür vorgesehenen Garantien (Buchstabe e)
• wenn möglich, die vorgesehenen Fristen für die Löschung der Datenkategorien (Buchstabe f)
• wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Absatz 1 (Buchstabe g)

Das ist der Mindestkatalog des Gesetzes. Was Ihre Aufsichtsbehörde im Einzelfall darüber hinaus erwartet, steht nicht im Gesetzestext. Wer als Dienstleister im Auftrag Daten verarbeitet, hat nach Absatz 2 ein eigenes, kürzeres Verzeichnis zu führen.

Für eine übliche Firmenwebseite kommen oft mehrere Einträge zusammen (Erfahrungswert, keine gesetzliche Zahl): Kontaktformular, Newsletter, Webanalyse, Einwilligungsverwaltung für Cookies, Hosting, gegebenenfalls Bewerbungen oder ein Kundenkonto.

Die Ausnahme in Absatz 5: seltener, als man denkt

„Wir haben nur sieben Mitarbeiter, das betrifft uns nicht.“ Der Satz hält sich hartnäckig. Art. 30 Absatz 5 DSGVO sagt es genauer. Die Pflichten aus den Absätzen 1 und 2 gelten danach nicht für Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen. Die Ausnahme fällt aber weg, sobald eine von drei Bedingungen erfüllt ist:

1. Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen.

1. Die Verarbeitung erfolgt nicht nur gelegentlich.
2. Es werden besondere Kategorien personenbezogener Daten nach Art. 9 Absatz 1 DSGVO (zum Beispiel Gesundheitsdaten) oder Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO verarbeitet.

Befreit ist also nur, wer unter 250 Beschäftigten bleibt und alle drei Fälle ausschließen kann. Der zweite Fall ist der entscheidende. Ein Kontaktformular, über das jede Woche Anfragen eingehen, ist dauerhaft eingerichtet und läuft laufend. Nach unserer Einschätzung ist das nicht „nur gelegentlich“. Die Datenschutzkonferenz nennt in ihrem Kurzpapier Nr. 1 als Beispiel für nicht nur gelegentliche Verarbeitung die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten; ein Kontaktformular führt das Papier nicht ausdrücklich auf. Bei einem Newsletter oder einem Webanalyse-Werkzeug gilt das erst recht. Wer eine Webseite mit einem dieser Bausteine betreibt, kann sich auf die Ausnahme deshalb in aller Regel nicht berufen.

Offen bleibt, wo genau „gelegentlich“ endet. Art. 4 DSGVO definiert den Begriff nicht.

Wozu das Verzeichnis nützt, wenn kein Brief kommt

Die Arbeit am Verzeichnis zeigt Lücken. Sie sehen, welche Dienstleister Zugriff auf welche Daten haben und ob für jeden ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vorliegt. Sie sehen, ob die technischen und organisatorischen Maßnahmen zum Risiko der jeweiligen Verarbeitung passen. Und wenn eine Datenschutzverletzung passiert, wissen Sie schneller, welche Systeme welche Daten enthalten. Nach Art. 33 DSGVO meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

Datenschutzbeauftragter: Ein Hinweis, der oft vermischt wird

Das Verzeichnis und der Datenschutzbeauftragte sind zwei getrennte Pflichten. Ob Sie einen Datenschutzbeauftragten benennen müssen, regeln Art. 37 DSGVO und § 38 BDSG. Nach § 38 Absatz 1 BDSG ist er zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Zahl besteht die Pflicht, wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist oder wenn Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden. Die Mitarbeiterzahl allein entscheidet also nicht. Ist ein Datenschutzbeauftragter benannt, gehören sein Name und seine Kontaktdaten ins Verzeichnis (Art. 30 Absatz 1 Satz 2 Buchstabe a).

Checkliste für den Einstieg

1. Alle Stellen auflisten, an denen die Webseite Daten erhebt: Formulare, Tracking, Cookies, Login-Bereiche, eingebundene Dienste.

1. Je Verarbeitungstätigkeit die Angaben aus Art. 30 Absatz 1 Satz 2 festhalten (Zwecke, Kategorien, Empfänger, Löschfristen, Maßnahmen).
2. Prüfen, ob für jeden externen Dienstleister ein Auftragsverarbeitungsvertrag vorliegt.
3. Bei Empfängern außerhalb der EU die Übermittlung und ihre Garantien eintragen.
4. Prüfen, ob § 38 BDSG oder Art. 37 DSGVO eine Benennung verlangt, und das Ergebnis dokumentieren.
5. Jemanden mit Namen für die Pflege zuständig machen und bei jeder neuen Verarbeitung aktualisieren, sonst mindestens einmal im Jahr.

Diese Liste ist ein Einstieg. Sie ersetzt weder die Prüfung der Rechtsgrundlagen je Verarbeitung noch die Beratung zu Ihrem Einzelfall.

Quellen

• Verordnung (EU) 2016/679 (DSGVO), Art. 4, 9, 10, 28, 30, 33, 35, 37 und 83, ABl. L 119 vom 4.5.2016:
  
• Datenschutzkonferenz, Kurzpapier Nr. 1 „Verzeichnis von Verarbeitungstätigkeiten“ (Stand 17.12.2018):
  
• Bundesdatenschutzgesetz (BDSG), § 38 Datenschutzbeauftragte nichtöffentlicher Stellen:
  

Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 16.10.2026.