Verzeichnis der Verarbeitungstätigkeiten erstellen: Vorlage + Beispiele

Das Verzeichnis der Verarbeitungstätigkeiten (englisch: Record of Processing Activities, ROPA) ist das Dokument, an dem Ihre übrige DSGVO-Compliance hängt. Es listet jeden Prozess mit Personenbezug auf - mit Zweck, Datenkategorien, Empfängern, Speicherfristen und Schutzmaßnahmen. Ist es sauber, folgen Datenschutzerklärung, AVVs und DPIAs daraus. Dieser Leitfaden zeigt, wer ein Verzeichnis braucht, die Pflichtfelder nach Art. 30, ein ausgefülltes Beispiel und eine kostenlose Vorlage.

Was ist das Verzeichnis der Verarbeitungstätigkeiten?

Brauche ich es als KMU wirklich?

Mit hoher Wahrscheinlichkeit ja. Art. 30 nennt zwar 250 Mitarbeitende, doch die anschließende Ausnahme - für regelmäßige oder risikobehaftete Verarbeitung - erfasst praktisch jedes Unternehmen mit CRM, Newsletter oder HR-Daten. Die eigentliche Frage lautet „verarbeiten wir regelmäßig personenbezogene Daten?“, und für ein KMU ist die Antwort meist ja. Das Verzeichnis ist außerdem das Erste, was eine Aufsichtsbehörde verlangt - ein fehlendes oder unvollständiges ROPA ist nach Art. 30 selbst ein Verstoß.

Die Pflichtfelder nach Artikel 30

Was gehört in jeden Eintrag?

Jede Verarbeitung im Verzeichnis erfasst dieselben Felder:

• Zweck der Verarbeitung - warum die Daten verarbeitet werden (z. B. „Newsletter-Versand“).
• Kategorien betroffener Personen - wessen Daten (Kunden, Interessenten, Bewerber).
• Kategorien personenbezogener Daten - welche Daten (Name, E-Mail, Kaufhistorie).
• Empfänger - wer sie erhält, inkl. Auftragsverarbeiter.
• Drittlandtransfers - ob Daten die EU/den EWR verlassen, mit Garantien.
• Speicherfristen - wie lange die Daten aufbewahrt werden.
• Technisch-organisatorische Maßnahmen (TOM) - wie die Daten geschützt sind.

Kein Feld leer lassen: eine Lücke gilt bei einer Prüfung wie ein fehlender Eintrag.

Ein ausgefülltes ROPA-Beispiel

Wie sieht ein fertiger Eintrag aus?

Wiederholen Sie eine solche Zeile für jedes Tool und jeden Prozess - CRM, Bewerbermanagement, Support-Tickets, Website-Analyse, KI-Tools. Mehrere klare Einträge sind besser als ein vager.

Verarbeitungsverzeichnis erstellen: Schritt für Schritt

Womit fange ich an?

1. Erst die Verarbeitungstätigkeiten erfassen, nicht die Vorlage. Fragen Sie jede Abteilung nach Zwecken und genutzten Tools - auch den inoffiziellen (Shadow IT gibt es in fast jedem KMU). Ein Zweck kann ohne Tool auskommen, und ein Tool kann mehreren Zwecken dienen. Dokumentieren lässt sich nur, was Sie kennen.

2. Die sieben Art.-30-Felder je Verarbeitung ausfüllen. Nutzen Sie das Beispiel oben als Muster.

3. Verantwortung und Review-Auslöser festlegen. Wer pflegt das Verzeichnis, und was löst eine Aktualisierung aus - meist ein neues Tool oder ein geänderter Zweck.

Wie halte ich es aktuell?

Ein einmal erstelltes und nie angefasstes Verzeichnis ist nach Monaten veraltet. Koppeln Sie Aktualisierungen an Ereignisse: neuer Dienstleister, neues Tool, neuer Zweck. Ein kurzer jährlicher Gesamt-Review hält es belastbar. Das Verzeichnis speist Ihre Datenschutzerklärung und Ihre AVVs - aktuell gehalten, bleiben auch die aktuell.

Quellen & weiterführende Links