{
    "slug": "dsgvo-verzeichnis-verarbeitungstaetigkeiten-art-30",
    "titre": "DSGVO Art. 30 (VO 2016/679) – Verzeichnis von Verarbeitungstätigkeiten (VVT): Pflichtinhalte, 250-Mitarbeiter-Ausnahme, Bußgelder",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Das Verzeichnis von Verarbeitungstätigkeiten (VVT, englisch Record of Processing Activities – ROPA) nach Art. 30 der Verordnung (EU) 2016/679 (DSGVO) ist die…",
    "resume_court": "Das **Verzeichnis von Verarbeitungstätigkeiten** (VVT, englisch *Record of Processing Activities* – **ROPA**) nach **Art. 30 der Verordnung (EU) 2016/679 (DSGVO)** ist die zentrale **Dokumentationspflicht** des Datenschutzrechts. Jeder **Verantwortliche** führt ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen (Art. 30 Abs. 1); jeder **Auftragsverarbeiter** führt ein eigenes, inhaltlich schlankeres Verzeichnis über alle **Kategorien** von im Auftrag durchgeführten Verarbeitungen (Art. 30 Abs. 2).\n\nArt. 30 Abs. 1 nennt **sieben Pflichtangaben** (lit. a–g), Art. 30 Abs. 2 **vier** (lit. a–d). Das Verzeichnis ist **schriftlich** zu führen – das **elektronische Format genügt ausdrücklich** (Art. 30 Abs. 3) – und der **Aufsichtsbehörde auf Anfrage** zur Verfügung zu stellen (Art. 30 Abs. 4). Eine Pflicht zur Veröffentlichung oder zur Herausgabe an betroffene Personen besteht **nicht**.\n\nDie viel zitierte Ausnahme für **Unternehmen mit weniger als 250 Mitarbeitern** (Art. 30 Abs. 5) ist in der Praxis **sehr eng**: Sie entfällt bereits dann, wenn **eine** der drei Rückausnahmen greift – Risiko für Rechte und Freiheiten, **nicht nur gelegentliche** Verarbeitung oder Verarbeitung besonderer Kategorien (Art. 9 Abs. 1) bzw. von Straftatdaten (Art. 10). Da schon die laufende Personalverwaltung oder Kundenbuchhaltung „nicht nur gelegentlich\u0022 erfolgt, müssen faktisch **auch die allermeisten Kleinbetriebe ein Verzeichnis führen**. Verstöße gegen Art. 30 sind mit **bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes** bußgeldbewehrt (Art. 83 Abs. 4 lit. a).",
    "faits": [
        {
            "point": "Rechtsakt",
            "valeur": "Verordnung (EU) 2016/679 (DSGVO), Artikel 30 [eur-lex.europa.eu, CELEX:32016R0679]",
            "autorite": "A"
        },
        {
            "point": "Rechtsnatur",
            "valeur": "EU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig)",
            "autorite": "A"
        },
        {
            "point": "Geltung seit",
            "valeur": "25. Mai 2018 [Art. 99 Abs. 2 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Pflichtiger 1",
            "valeur": "Verantwortlicher und ggf. sein Vertreter (Art. 27) [Art. 30 Abs. 1]",
            "autorite": "A"
        },
        {
            "point": "Pflichtiger 2",
            "valeur": "Auftragsverarbeiter und ggf. sein Vertreter – eigenes Verzeichnis [Art. 30 Abs. 2]",
            "autorite": "A"
        },
        {
            "point": "Pflichtangaben Verantwortlicher",
            "valeur": "7 Angaben: a) Kontaktdaten (inkl. gemeinsam Verantwortlicher, Vertreter, DSB), b) Zwecke, c) Kategorien betroffener Personen + Datenkategorien, d) Kategorien von Empfängern (inkl. Drittland), e) Drittlandübermittlungen + Garantien, f) Löschfristen („wenn möglich\u0022), g) allgemeine Beschreibung der TOM nach Art. 32 Abs. 1 („wenn möglich\u0022) [Art. 30 Abs. 1 lit. a–g]",
            "autorite": "A"
        },
        {
            "point": "Pflichtangaben Auftragsverarbeiter",
            "valeur": "4 Angaben: a) Kontaktdaten AV + jedes Verantwortlichen + ggf. DSB, b) Kategorien von Verarbeitungen je Auftraggeber, c) Drittlandübermittlungen + Garantien, d) allgemeine Beschreibung der TOM [Art. 30 Abs. 2 lit. a–d]",
            "autorite": "A"
        },
        {
            "point": "Form",
            "valeur": "schriftlich, „was auch in einem elektronischen Format erfolgen kann\u0022 [Art. 30 Abs. 3]",
            "autorite": "A"
        },
        {
            "point": "Vorlagepflicht",
            "valeur": "der Aufsichtsbehörde auf Anfrage zur Verfügung stellen [Art. 30 Abs. 4]",
            "autorite": "A"
        },
        {
            "point": "Veröffentlichungspflicht",
            "valeur": "keine – kein Anspruch betroffener Personen auf Herausgabe des VVT",
            "autorite": "A"
        },
        {
            "point": "Ausnahme (Grundregel)",
            "valeur": "Unternehmen/Einrichtungen mit weniger als 250 Mitarbeitern [Art. 30 Abs. 5]",
            "autorite": "A"
        },
        {
            "point": "Rückausnahme 1",
            "valeur": "Verarbeitung birgt ein Risiko für Rechte und Freiheiten der Betroffenen [Art. 30 Abs. 5]",
            "autorite": "A"
        },
        {
            "point": "Rückausnahme 2",
            "valeur": "Verarbeitung erfolgt nicht nur gelegentlich [Art. 30 Abs. 5]",
            "autorite": "A"
        },
        {
            "point": "Rückausnahme 3",
            "valeur": "Verarbeitung besonderer Kategorien (Art. 9 Abs. 1) oder von Straftatdaten (Art. 10) [Art. 30 Abs. 5]",
            "autorite": "A"
        },
        {
            "point": "Verhältnis der Rückausnahmen",
            "valeur": "alternativ – eine genügt, um die Pflicht auszulösen (EDPB Statement 1/2019)",
            "autorite": "A"
        },
        {
            "point": "Sanktionen",
            "valeur": "bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (der höhere Wert) [Art. 83 Abs. 4 lit. a]",
            "autorite": "A"
        },
        {
            "point": "Nachweisfunktion",
            "valeur": "Baustein der Rechenschaftspflicht [Art. 5 Abs. 2, Art. 24 Abs. 1]",
            "autorite": "A"
        },
        {
            "point": "KMU-Rücksicht",
            "valeur": "„besondere Bedürfnisse von Kleinstunternehmen sowie kleinen und mittleren Unternehmen\u0022 [ErwG 13 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Erfasster Nutzerkreis",
            "valeur": "alle Verantwortlichen und Auftragsverarbeiter im Anwendungsbereich (Marktortprinzip, Art. 3) – Unternehmen, Vereine, Behörden, Freiberufler",
            "autorite": "A"
        },
        {
            "point": "Reformstand 2026",
            "valeur": "Digital-Omnibus-Vorschlag der EU-Kommission vom 19.11.2025 (COM(2025) 837) sieht eine Entlastung bei Art. 30 vor; noch nicht in Kraft – Gesetzgebungsverfahren läuft (Stand 23.08.2026) → review_needed",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Verordnung (EU) 2016/679 (DSGVO), Volltext (deutsch), EUR-Lex",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
            "autorite": "A"
        },
        {
            "titre": "Art. 30 DSGVO – Verzeichnis von Verarbeitungstätigkeiten (dejure.org)",
            "url": "https://dejure.org/gesetze/DSGVO/30.html",
            "autorite": "A"
        },
        {
            "titre": "Art. 83 DSGVO – Allgemeine Bedingungen für die Verhängung von Geldbußen (dejure.org)",
            "url": "https://dejure.org/gesetze/DSGVO/83.html",
            "autorite": "A"
        },
        {
            "titre": "Art. 9 DSGVO – Besondere Kategorien personenbezogener Daten (dejure.org)",
            "url": "https://dejure.org/gesetze/DSGVO/9.html",
            "autorite": "A"
        },
        {
            "titre": "EDPB – Position Paper zur Ausnahme von der Verzeichnispflicht nach Art. 30 Abs. 5 DSGVO",
            "url": "https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/position-paper-derogations-obligation-maintain-records_en",
            "autorite": "A"
        },
        {
            "titre": "Datenschutzkonferenz (DSK) – Hinweise zum Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DS-GVO (ULD Schleswig-Holstein)",
            "url": "https://www.datenschutzzentrum.de/uploads/dsgvo/Hinweise-zum-Verzeichnis-von-Verarbeitungstaetigkeiten.pdf",
            "autorite": "A"
        },
        {
            "titre": "EuGH, Urteil vom 04.05.2023 – C-60/22 (Bundesrepublik Deutschland), zu Art. 26 und Art. 30 DSGVO",
            "url": "https://curia.europa.eu/juris/liste.jsf?num=C-60/22",
            "autorite": "A"
        },
        {
            "titre": "Europäische Kommission – Digital Omnibus (Vorschlag vom 19.11.2025, COM(2025) 837)",
            "url": "https://digital-strategy.ec.europa.eu/en/policies/digital-omnibus",
            "autorite": "A"
        },
        {
            "titre": "Europäisches Parlament – Legislative Train Schedule, „The Digital Omnibus Regulation Proposal\u0022",
            "url": "https://www.europarl.europa.eu/legislative-train/theme-a-new-plan-for-europe-s-sustainable-prosperity-and-competitiveness/file-digital-package",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt DSGVO Art. 30 (VO 2016/679) – Verzeichnis von Verarbeitungstätigkeiten (VVT): Pflichtinhalte, 250-Mitarbeiter-Ausnahme, Bußgelder?",
            "reponse": "Das Verzeichnis von Verarbeitungstätigkeiten (VVT, englisch *Record of Processing Activities* – ROPA) nach Art. 30 der Verordnung (EU) 2016/679 (DSGVO) ist die zentrale Dokumentationspflicht des Datenschutzrechts. Jeder Verantwortliche führt ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen (Art. 30 Abs."
        },
        {
            "question": "Für wen gilt DSGVO Art. 30 (VO 2016/679)?",
            "reponse": "Art. 30 gilt unmittelbar in allen Mitgliedstaaten – ein deutsches Umsetzungsgesetz ist nicht erforderlich und existiert für diese Norm auch nicht. Adressaten sind der Verantwortliche (Art. 4 Nr. 7) und der Auftragsverarbeiter (Art. 4 Nr. 8), jeweils einschließlich ihrer Vertreter nach Art. 27, wenn sie nicht in der Union niedergelassen sind. Über das Marktortprinzip (Art. 3 Abs."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei DSGVO Art. 30 (VO 2016/679)?",
            "reponse": "„Wir haben unter 250 Mitarbeiter – wir brauchen kein Verzeichnis.\u0022 Der häufigste Irrtum. Die Rückausnahmen des Art. 30 Abs. 5 sind alternativ; schon die laufende Personal- oder Kundendatenverarbeitung ist „nicht nur gelegentlich\u0022. „Die Schwelle steigt ja bald auf 750.\u0022 Der Digital-Omnibus-Vorschlag ist zum 23.08.2026 nicht in Kraft."
        }
    ],
    "wikidata": [
        "Q1172506",
        "Q1172074"
    ],
    "valid_from": "2018-05-25",
    "valid_to": null,
    "derniere_revision": "2026-08-24",
    "derniere_verification": "2026-08-24",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/dsgvo-verzeichnis-verarbeitungstaetigkeiten-art-30"
}