Verarbeitungsverzeichnis: ausgefülltes Excel-Muster

Ein Verarbeitungsverzeichnis beschreibt, wofür Ihr Unternehmen personenbezogene Daten verwendet. Es ist keine Liste aller Kunden mit Namen und Kontonummern. Dieses Muster zeigt zwei getrennte Verarbeitungstätigkeiten: Kundenaufträge und Lohnabrechnung. Sie sehen, welche Informationen Sie selbst zusammentragen und wie die Excel-Vorlage sie ordnen kann.

1. Nach Tätigkeiten statt nach Programmen gliedern

Das fiktive Unternehmen Studio Linden betreut Kundenprojekte und beschäftigt ein kleines Team. Es nutzt mehrere Anwendungen, aber „Microsoft 365“ ist noch keine aussagekräftige Verarbeitungstätigkeit. Auftragsabwicklung und Entgeltabrechnung haben unterschiedliche Zwecke, Empfänger und Aufbewahrungsfragen.

Das Muster der LDI NRW für Verantwortliche und die Hinweise der Datenschutzkonferenz unterstützen diese prozessbezogene Beschreibung. Wählen Sie die Angaben so, dass eine fachkundige Person den tatsächlichen Ablauf nachvollziehen kann. Kundennamen und konkrete Gehälter gehören dafür normalerweise nicht in die Beispieltabelle.

2. Den gemeinsamen Kopf vollständig erfassen

Hinterlegen Sie den tatsächlichen Verantwortlichen mit Kontaktdaten und, soweit einschlägig, Vertretung, gemeinsame Verantwortlichkeit und Datenschutzbeauftragten. Ein interner Prozessverantwortlicher kann zusätzlich helfen, ersetzt aber nicht die gesetzlich vorgesehene Rollenangabe. Erfinden Sie keinen Datenschutzbeauftragten, wenn keiner benannt ist.

3. Kundenaufträge konkret beschreiben

Die Rechtsgrundlage ist anhand des konkreten Vorgangs festzulegen. Ein Vertrag mit einer natürlichen Person ist nicht dieselbe Konstellation wie die Verarbeitung von Ansprechpartnerdaten bei einer GmbH. Ergänzen Sie die begründete Grundlage zu Ihrem tatsächlichen Ablauf, statt einen Vertragsgrund pauschal für jede Zeile zu übernehmen.

4. Lohnabrechnung getrennt dokumentieren

„Keine besonderen Daten“ darf nicht voreingestellt bleiben, wenn der reale Prozess solche Angaben einschließt. Halten Sie nicht nur die Software, sondern die Informationswege fest: Wer liefert Daten, wer prüft sie und wer erhält das Ergebnis? Die Tabelle ist ein Arbeitsmuster mit bewusst auszufüllenden Prüffeldern, kein fertig übernehmbares Rechtsdokument.

5. Die Pflichtangaben und ergänzenden Felder unterscheiden

Artikel 30 DSGVO verlangt insbesondere Zwecke, Kategorien Betroffener und Daten, Empfänger, gegebenenfalls Drittlandübermittlungen sowie nach Möglichkeit Löschfristen und eine allgemeine Beschreibung der Sicherheitsmaßnahmen. Eine Rechtsgrundlagenspalte ist eine hilfreiche Ergänzung für die Nachvollziehbarkeit, auch wenn sie nicht als eigener Punkt in dieser Mindestliste steht.

Regelmäßige Kunden- und Personalverwaltung sollte nicht allein wegen einer kleinen Beschäftigtenzahl ungeprüft ausgenommen werden. Prüfen Sie die Voraussetzungen der Ausnahme nach Artikel 30 Absatz 5 anhand des geltenden Textes und Ihrer Verarbeitung.

6. Dienstleisterverzeichnis ist nicht automatisch Artikel 30 Absatz 2

Das Blatt AUFTRAGSVERARBEITER kann Ihre eingesetzten Dienstleister und deren Verträge übersichtlich auflisten. Das ist nicht automatisch das gesetzliche Verzeichnis eines Unternehmens, das selbst als Auftragsverarbeiter für andere tätig wird. Prüfen Sie zuerst die tatsächliche Rolle jedes Beteiligten; nicht jeder externe Dienstleister ist Auftragsverarbeiter.

Dokumentieren Sie Verträge und Übermittlungen anhand realer Unterlagen. „EU-Server“ beantwortet nicht allein, ob ein Drittlandzugriff stattfindet. Eine Produktliste mit „Ja“ beim Vertrag ersetzt auch nicht den Inhalt und die Prüfung der Vereinbarung.

7. Löschkonzept und Schutzmaßnahmen mit Nachweisen verbinden

1. Ordnen Sie jeder Datenart den Zweck und einen überprüften Aufbewahrungsgrund zu.
2. Benennen Sie Fristbeginn, Löschereignis und zuständige Person.
3. Übernehmen Sie keine pauschale Zehnjahresfrist aus Beispieldaten für sämtliche Kunden- oder Personaldaten.
4. Beschreiben Sie tatsächlich umgesetzte Schutzmaßnahmen. Trennen Sie geplant, teilweise umgesetzt und geprüft.
5. Dokumentieren Sie Änderungen am Prozess mit Datum und aktualisieren Sie die verknüpften Bereiche.

Ein grünes Dashboard bestätigt keine vollständige DSGVO-Konformität. Die Datei ordnet Ihre Informationen; die rechtliche und technische Prüfung muss zum Unternehmen passen. Für einen Verein zeigt der Ratgeber zur Mitgliederverwaltung einen anderen konkreten Datenprozess, der separat zu beschreiben ist.