Verarbeitungsverzeichnis nach DSGVO: Pflicht auch für Kleinbetriebe?

„Wir sind doch nur ein kleiner Betrieb – das Verarbeitungsverzeichnis brauchen wir nicht.“ Diesen Satz hören wir oft. Und fast genauso oft stimmt er nicht. Das Verzeichnis von Verarbeitungstätigkeiten ist eine der wenigen DSGVO-Pflichten, die sich kaum jemand wegargumentieren kann – auch nicht Einzelunternehmen und Kleinbetriebe. Die gute Nachricht: Richtig angelegt, ist es kein Bürokratiemonster, sondern eine übersichtliche Liste, die Ihnen selbst hilft.

Was ist ein Verarbeitungsverzeichnis überhaupt?

Das Verzeichnis von Verarbeitungstätigkeiten – kurz Verarbeitungsverzeichnis – ist eine strukturierte Übersicht darüber, wie Ihr Unternehmen mit personenbezogenen Daten umgeht. Geregelt ist es in Artikel 30 der Datenschutz-Grundverordnung (DSGVO). Vereinfacht gesagt beantwortet es die Frage: Welche Daten von welchen Menschen verarbeiten wir – wofür, wie lange und wer bekommt sie zu sehen?

Personenbezogene Daten sind dabei mehr, als viele denken. Nicht nur Kundennamen und E-Mail-Adressen zählen dazu, sondern auch Lieferantenkontakte, Bewerbungsunterlagen, Gehaltsdaten von Mitarbeitenden, IP-Adressen von Website-Besuchern oder Fotos auf Ihrer Firmenseite. Sobald sich Informationen einer identifizierbaren Person zuordnen lassen, greift der Datenschutz.

Das Verzeichnis ist kein Dokument, das Sie irgendwo einreichen. Es bleibt im Haus. Wichtig ist nur: Wenn die Datenschutzbehörde nachfragt, müssen Sie es innerhalb kurzer Zeit vorlegen können. Genau deshalb ist ein aktuelles, sauber geführtes Verzeichnis auch ein Stück Gelassenheit – Sie sind vorbereitet, statt im Ernstfall hektisch zusammenzusuchen, was Sie eigentlich mit welchen Daten tun.

Gilt die Pflicht wirklich auch für kleine Unternehmen?

Hier liegt das größte Missverständnis. In der DSGVO steht eine scheinbare Erleichterung: Unternehmen mit weniger als 250 Beschäftigten seien von der Verzeichnispflicht ausgenommen. Viele Kleinbetriebe atmen an dieser Stelle auf – zu früh. Denn die Ausnahme hat drei Bedingungen, und es reicht schon, wenn eine davon zutrifft, damit die Pflicht doch wieder greift.

Die Ausnahme entfällt nämlich, sobald die Verarbeitung ein Risiko für die Rechte der Betroffenen birgt, sobald sie nicht nur gelegentlich erfolgt, oder sobald besondere Datenkategorien verarbeitet werden (etwa Gesundheits- oder Herkunftsdaten). Und genau hier wird es eng: Kundendaten dauerhaft in einer Datenbank zu führen, Mitarbeiterlöhne monatlich abzurechnen oder einen Newsletter zu versenden – all das ist eine regelmäßige, nicht nur gelegentliche Verarbeitung.

Für die überwiegende Mehrheit der österreichischen Klein- und Einzelunternehmen bedeutet das: Ja, Sie brauchen ein Verarbeitungsverzeichnis. Das ist keine Schikane, sondern spiegelt die Grundidee der DSGVO wider – dass jeder, der mit fremden Daten arbeitet, wissen sollte, was er da eigentlich tut. Der Aufwand steht dabei im Verhältnis zur Größe: Ein Ein-Personen-Betrieb kommt mit wenigen Zeilen aus, während ein Handelsunternehmen mit Onlineshop deutlich mehr zu dokumentieren hat.

Was muss ins Verzeichnis hinein?

Die DSGVO gibt eine klare Liste an Pflichtangaben vor. Sie müssen für jede einzelne Verarbeitungstätigkeit festhalten, was genau passiert. Eine Verarbeitungstätigkeit ist dabei ein zusammenhängender Vorgang mit einem eigenen Zweck – etwa „Kundenverwaltung“, „Lohnverrechnung“ oder „Newsletter-Versand“. Jede davon bekommt eine eigene Zeile beziehungsweise ein eigenes Datenblatt.

• Name und Kontaktdaten des Verantwortlichen (Ihres Unternehmens), gegebenenfalls des Datenschutzbeauftragten
• Zweck der Verarbeitung – warum verarbeiten Sie diese Daten? (z. B. Vertragserfüllung, Rechnungslegung, Werbung)
• Kategorien betroffener Personen (Kunden, Interessenten, Mitarbeitende, Lieferanten …)
• Kategorien der Daten (Name, Adresse, Bankverbindung, Bestellhistorie …)
• Empfänger der Daten – wer bekommt sie? (Steuerberatung, IT-Dienstleister, Versandpartner …)
• Übermittlungen in Drittländer außerhalb der EU, falls vorhanden (z. B. bei US-Cloud-Diensten)
• Vorgesehene Löschfristen – wann werden die Daten wieder gelöscht?
• Allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen

Das klingt nach viel, ist aber schnell ausgefüllt, wenn Sie es Verarbeitung für Verarbeitung durchgehen. Der letzte Punkt – die Sicherheitsmaßnahmen – darf allgemein gehalten sein: Passwortschutz, Zugriffsbeschränkungen, verschlüsselte Verbindungen, regelmäßige Backups. Sie müssen kein Sicherheitsgutachten schreiben, sondern nur nachvollziehbar beschreiben, wie Sie Daten schützen.

Typische Verarbeitungstätigkeiten in einem Kleinbetrieb

Um das Ganze greifbarer zu machen: So sieht ein Verzeichnis für einen typischen kleinen Dienstleistungsbetrieb im Kern aus. Die folgende Tabelle ist bewusst vereinfacht – in der echten Version kämen pro Zeile noch Löschfristen und Sicherheitsmaßnahmen dazu.

Sie sehen: Selbst ein schlanker Betrieb kommt schnell auf ein halbes Dutzend Verarbeitungen. Interessant ist die Spalte „Empfänger“ – überall dort, wo ein externer Dienstleister Daten in Ihrem Auftrag verarbeitet, kommt ein weiteres Thema ins Spiel, auf das wir gleich noch eingehen: der Auftragsverarbeitungsvertrag.

Schritt für Schritt: So legen Sie Ihr Verzeichnis an

Sie müssen das nicht in einem Rutsch perfekt machen. Ein Verzeichnis lebt und wächst mit Ihrem Betrieb. Wichtig ist, überhaupt anzufangen und dann dranzubleiben. Diese Reihenfolge hat sich in der Praxis bewährt:

1. 1
   Datenflüsse sammeln

   Gehen Sie Ihren Arbeitsalltag durch und notieren Sie jede Stelle, an der personenbezogene Daten anfallen: Angebote, Rechnungen, Terminbuchungen, E-Mails, Website, Personal. Nichts weglassen – lieber zu viel als zu wenig.
2. 2
   Tätigkeiten bündeln

   Fassen Sie zusammengehörige Vorgänge zu Verarbeitungstätigkeiten zusammen. Alles rund um Kundenaufträge wird zur „Kundenverwaltung“, alles rund um Mitarbeitende zur „Personalverwaltung“.
3. 3
   Pflichtangaben ausfüllen

   Ergänzen Sie für jede Tätigkeit Zweck, betroffene Personen, Datenkategorien, Empfänger, Löschfristen und Sicherheitsmaßnahmen. Nutzen Sie dafür eine einfache Tabellenvorlage.
4. 4
   Dienstleister prüfen

   Markieren Sie alle externen Empfänger. Für jeden, der Daten in Ihrem Auftrag verarbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag – meist stellt der Anbieter eine Vorlage bereit.
5. 5
   Aktuell halten

   Legen Sie einen festen Termin fest – etwa einmal im Jahr –, an dem Sie das Verzeichnis durchsehen. Neue Software, neue Dienstleister oder neue Angebote gehören sofort ergänzt.

Der oft vergessene Zwilling: der Auftragsverarbeitungsvertrag

Sobald ein externer Dienstleister Daten in Ihrem Auftrag verarbeitet, brauchen Sie mit ihm einen Auftragsverarbeitungsvertrag (AVV, oft auch AV-Vertrag genannt). Das betrifft mehr Fälle, als man denkt: Ihr Hosting-Anbieter, das Newsletter-Tool, ein Cloud-Speicher, ein externes CRM, die Terminbuchungssoftware, manchmal sogar der IT-Dienstleister, der Ihre Rechner betreut.

Der AVV regelt, dass der Dienstleister die Daten nur nach Ihren Weisungen verarbeitet, sie angemessen schützt und nach Vertragsende wieder löscht. Sie müssen ihn nicht selbst formulieren – seriöse Anbieter halten eine Auftragsverarbeitungsvertrag-Vorlage bereit, die Sie nur noch abschließen. Ein Muster von der WKO kann als Orientierung dienen, wenn ein Anbieter keines anbietet.

Genau hier zeigt sich der praktische Nutzen: Wer sein Verzeichnis ordentlich pflegt, hat automatisch eine Liste aller Dienstleister vor sich. Das Verzeichnis wird so zur Landkarte Ihrer Datenverarbeitung – und macht sichtbar, wo Verträge fehlen. Wenn Sie ohnehin über eine Digitalisierung Ihrer Abläufe nachdenken, ist das der ideale Moment, beides zusammen anzugehen.

Website, Kontaktformular und Datenschutzerklärung

Ein Bereich, den Kleinbetriebe besonders gern übersehen: die eigene Website. Schon ein simples Kontaktformular verarbeitet personenbezogene Daten, ein Analyse-Werkzeug erfasst IP-Adressen, und ein Newsletter-Anmeldefeld sammelt E-Mail-Adressen. All das gehört ins Verzeichnis – und braucht parallel eine passende Datenschutzerklärung auf der Website.

Die Datenschutzerklärung ist Pflicht, sobald Ihre Website Daten verarbeitet – und das tut praktisch jede moderne Website. Sie informiert Besucher darüber, was mit ihren Daten geschieht. Verzeichnis und Datenschutzerklärung hängen inhaltlich eng zusammen: Was Sie intern im Verzeichnis dokumentieren, spiegelt sich extern in der Erklärung wider. Wer beides aus einem Guss aufsetzt, spart sich Widersprüche und Nacharbeit.

Warum ein totes Verzeichnis nichts bringt

Der häufigste Fehler ist nicht das fehlende Verzeichnis, sondern das vergessene. Viele Betriebe legen es einmal an – oft weil ein Berater dazu geraten hat – und schauen es nie wieder an. Ein Jahr später ist ein neues Tool im Einsatz, ein Dienstleister gewechselt, ein zusätzliches Angebot dazugekommen. Das Verzeichnis bildet die Realität dann nicht mehr ab und verliert seinen Wert.

Deshalb der wichtigste Rat dieses Artikels: Bauen Sie die Pflege in Ihre Abläufe ein. Immer wenn Sie eine neue Software einführen oder einen neuen Dienstleister beauftragen, gehört ein Blick ins Verzeichnis dazu. Am elegantesten funktioniert das, wenn die Datenverarbeitung ohnehin in einem sauber strukturierten System läuft – dann ergibt sich vieles fast von selbst. Genau daran arbeiten wir, wenn wir für Betriebe passende Software einrichten oder Abläufe automatisieren.

Häufige Fragen zum Verarbeitungsverzeichnis

Fazit: Kleiner Aufwand, große Wirkung

Das Verarbeitungsverzeichnis ist keine Bürokratie-Falle für Großkonzerne, sondern eine realistische Pflicht auch für Kleinbetriebe – und zugleich ein nützliches Werkzeug. Wer es einmal sauber anlegt und regelmäßig pflegt, hat nicht nur die DSGVO im Griff, sondern auch einen klaren Überblick über die eigenen Datenflüsse. Das schafft Sicherheit gegenüber der Behörde und Vertrauen bei den Kunden.

Der schönste Nebeneffekt: Datenschutz wird deutlich leichter, wenn er von Anfang an in gut strukturierte, digitale Abläufe eingebaut ist. Statt verstreuter Listen und offener Fragen entsteht ein System, das Ordnung von selbst mitbringt. Genau an dieser Schnittstelle von Digitalisierung und Datenschutz sind wir zuhause.