Inhaltsverzeichnis
Einleitung
Viele kleine Unternehmen gehen davon aus, dass bestimmte Datenschutzpflichten nur für große Organisationen gelten. Gerade beim Verzeichnis der Verarbeitungstätigkeiten hört man häufig: „Das brauchen doch nur große Firmen mit vielen Mitarbeitern.“ Doch dieser Mythos hält sich hartnäckig – und ist in den meisten Fällen falsch. Denn auch kleine Unternehmen müssen in der Regel ein Verzeichnis der Verarbeitungstätigkeiten führen.
Was ist ein Verzeichnis der Verarbeitungstätigkeiten?
Das Verzeichnis der Verarbeitungstätigkeiten ist ein zentrales Dokument der DSGVO. Es beschreibt, welche personenbezogenen Daten im Unternehmen verarbeitet werden, zum Beispiel:
- Kundendaten
- Bewerberdaten
- Mitarbeiterdaten
- Newsletter-Abonnenten
- Website-Tracking-Daten
Im Verzeichnis wird dokumentiert:
- welche Daten verarbeitet werden
- zu welchem Zweck sie verarbeitet werden
- wer Zugriff auf die Daten hat
- wie lange die Daten gespeichert werden
- welche Schutzmaßnahmen bestehen
Damit dient das Verzeichnis als zentrale Übersicht über die Datenverarbeitung im Unternehmen.
Gibt es Ausnahmen für kleine Unternehmen?
Die DSGVO sieht tatsächlich eine Ausnahme vor. Unternehmen mit weniger als 250 Mitarbeitenden müssen kein Verzeichnis führen – aber nur unter bestimmten Voraussetzungen. Diese Ausnahme gilt nur, wenn:
- die Datenverarbeitung nicht regelmäßig erfolgt
- kein Risiko für betroffene Personen besteht
- keine sensiblen Daten verarbeitet werden
In der Praxis treffen diese Voraussetzungen jedoch selten zu. Denn schon typische Unternehmensprozesse wie:
- Kundenverwaltung
- Bewerbungsprozesse
- Newsletterversand
- Website-Tracking
- Online-Terminbuchungen
stellen eine regelmäßige Verarbeitung personenbezogener Daten dar. Damit benötigen auch viele kleine Unternehmen ein Verzeichnis der Verarbeitungstätigkeiten.n nachweisen können, dass ihre Datenschutzmaßnahmen den gesetzlichen Anforderungen entsprechen.
Statistik: Viele kleine Unternehmen haben noch Nachholbedarf
Untersuchungen zeigen, dass insbesondere kleinere Unternehmen Schwierigkeiten haben, alle Datenschutzanforderungen vollständig umzusetzen. Laut verschiedenen Umfragen sind nur etwa 25 % der kleinen Unternehmen vollständig DSGVO-konform.
Diese Zahl deutet darauf hin, dass in vielen Unternehmen wichtige Datenschutzdokumente fehlen – darunter häufig auch das Verzeichnis der Verarbeitungstätigkeiten. Gerade deshalb ist es wichtig, dass auch kleine Unternehmen ihre Datenverarbeitung strukturiert dokumentieren.
Quelle: Keevee – GDPR Statistics (2025)
https://www.keevee.com/gdpr-statistics
Warum das Verzeichnis so wichtig ist
Das Verzeichnis der Verarbeitungstätigkeiten erfüllt mehrere wichtige Funktionen. Es hilft Unternehmen dabei:
- einen Überblick über ihre Datenverarbeitung zu behalten
- Datenschutzrisiken zu erkennen
- gesetzliche Anforderungen nachweisen zu können
- auf Anfragen von Aufsichtsbehörden vorbereitet zu sein
Ohne ein solches Dokument wird es schwierig, im Ernstfall nachvollziehbar darzustellen, wie personenbezogene Daten im Unternehmen verarbeitet werden.d sie unvollständig, kann das schnell zu Problemen führen.
Fazit: Klein heißt nicht automatisch befreit
Der Mythos „Wir sind nur ein kleines Unternehmen – wir brauchen kein Verzeichnis der Verarbeitungstätigkeiten“ ist weit verbreitet. Doch in der Praxis verarbeiten fast alle Unternehmen regelmäßig personenbezogene Daten. Damit gehört das Verzeichnis der Verarbeitungstätigkeiten zu den zentralen Datenschutzdokumenten – unabhängig von der Unternehmensgröße.
Handlungsempfehlung
Überprüfen Sie, welche personenbezogenen Daten in Ihrem Unternehmen verarbeitet werden und ob diese Verarbeitung dokumentiert ist. Ein aktuelles Verzeichnis der Verarbeitungstätigkeiten hilft dabei, Transparenz zu schaffen und Datenschutzanforderungen zuverlässig zu erfüllen.
Ausblick
Im nächsten Beitrag unserer Serie „Mythen & Irrtümer im Datenschutz“ klären wir eine weitere verbreitete Annahme: „Ein Cookie-Banner ist nicht nötig, solange ich keine Werbung schalte.“
Warum auch Analyse- und Tracking-Tools eine Einwilligung erfordern können und worauf Unternehmen bei Cookie-Bannern achten müssen, erklären wir im nächsten Artikel.
Noch mehr Praxiswissen?
Erfahren Sie in unserem Blogbeitrag, wie Unsere Vorgehensmethodik zur Datenschutz-Grundverordnung (DSGVO) ist – In diesem Blogbeitrag erläutern wir unsere simple Vorgehensmethodik zur Datenschutz-Grundverordnung in drei Phasen: Analysephase, Umsetzungsphase und Integrationsphase.
