Verzeichnis der Verarbeitungstätigkeiten für das ERP anlegen (EU)

Was Art. 30 DSGVO verlangt

Das Verzeichnis bleibt im Betrieb; die Verordnung sieht seine Vorlage nur auf Anfrage der Aufsichtsbehörde vor. Art. 30 Abs. 1 DSGVO verlangt von jedem Verantwortlichen eine Beschreibung aller Verarbeitungstätigkeiten, die in seine Zuständigkeit fallen. Diese Aufzeichnung soll den Nachweis ermöglichen, dass die Verordnung eingehalten wird (Erwägungsgrund 82); sie gehört damit zur Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Form und Herausgabe regelt die Vorschrift mit: Sie führen das Verzeichnis schriftlich, ein elektronisches Format ist ausdrücklich zulässig (Art. 30 Abs. 3 DSGVO). Verlangt die Aufsichtsbehörde es, stellen Sie es ihr zur Verfügung (Art. 30 Abs. 4 DSGVO).

Eine Verarbeitungstätigkeit ist ein Geschäftsprozess auf einem geeigneten Abstraktionsniveau. Nach Auffassung der deutschen Datenschutzaufsichtsbehörden ist jeder neue Zweck eine eigene Verarbeitungstätigkeit; bei einer geringen Zweckänderung ist zu prüfen, ob der bestehende Eintrag angepasst wird oder ein neuer nötig ist (Datenschutzkonferenz, Hinweise zum Verzeichnis von Verarbeitungstätigkeiten, Ziff. 1). Für das ERP heißt das: Nicht das Modul bildet den Eintrag, sondern der Zweck.

Wer das Verzeichnis führen muss

Sie führen es, wenn Sie über Zwecke und Mittel der Verarbeitung entscheiden. Diese Rolle ist der Verantwortliche nach Art. 4 Nr. 7 DSGVO; sie hängt nicht daran, wer die Server betreibt. Auch ein gemeinsamer Verantwortlicher nach Art. 26 DSGVO und ein etwaiger Vertreter nach Art. 27 DSGVO werden im Verzeichnis genannt.

Daneben steht die Pflicht des Auftragsverarbeiters: Wer personenbezogene Daten im Auftrag verarbeitet (Art. 4 Nr. 8 DSGVO), führt ein eigenes Verzeichnis über die Kategorien dieser Auftragsverarbeitungen (Art. 30 Abs. 2 DSGVO). Das trifft Ihren Cloud- oder Hosting-Anbieter, soweit er Ihre Daten im Auftrag verarbeitet. Ob eine Steuerberatung oder ein Lohnbüro Auftragsverarbeiter ist, hängt von der tatsächlichen Tätigkeit und dem Berufsrecht ab: In Deutschland verarbeiten Steuerberater und Steuerbevollmächtigte die Daten ihrer Mandanten nach § 11 Abs. 2 StBerG weisungsfrei und sind dabei selbst Verantwortliche nach Art. 4 Nr. 7 DSGVO; sie stehen dann im Verzeichnis als Empfänger, nicht als Auftragsverarbeiter. Betreiben Sie das ERP für andere, sind Sie selbst in dieser Rolle.

Örtlich gilt die Verordnung in allen Mitgliedstaaten unmittelbar (Art. 99 Abs. 2 DSGVO); Betriebe in Deutschland und Österreich erfasst sie damit. Ein Anbieter ohne Niederlassung in der Union unterliegt ihr nach Art. 3 Abs. 2 DSGVO, wenn er Personen in der Union Waren oder Dienstleistungen anbietet oder ihr Verhalten beobachtet. Die Schweiz ist kein Mitgliedstaat der EU; für sie gilt eine eigene Regelung, die dieser Artikel nicht behandelt.

Wer von der Pflicht ausgenommen ist

Art. 30 Abs. 5 DSGVO nimmt Unternehmen und Einrichtungen mit weniger als 250 Mitarbeitern aus — aber nur, solange keine der drei folgenden Bedingungen erfüllt ist. Die Pflicht besteht, sobald eine genügt: Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, sie erfolgt nicht nur gelegentlich, oder sie betrifft besondere Datenkategorien nach Art. 9 Abs. 1 DSGVO oder Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO. Die Amtsblattfassung von 2016 war an dieser Stelle verdreht; die Berichtigung im Amtsblatt L 314 vom 22. November 2016 hat sie ersetzt.

Für ein ERP ist der zweite Punkt entscheidend: Kundenstammdaten, Auftragsabwicklung und Lohnabrechnung laufen fortlaufend. Die DSK zählt Lohnabrechnungen und Kundendatenverwaltung zu den Verarbeitungen, die nicht nur gelegentlich erfolgen, und weist darauf hin, dass eine Lohnabrechnung mit Angabe der Konfessionszugehörigkeit besondere Datenkategorien nach Art. 9 Abs. 1 DSGVO einschließt (Hinweise, Ziff. 5). Nach ihrer Einschätzung werden die Ausnahmen deshalb nur selten greifen (Ziff. 5).

Was im Verzeichnis stehen muss

Die folgende Übersicht nennt die sieben Pflichtangaben und was sie für ein ERP bedeuten.

Buchstabe	Angabe nach Art. 30 Abs. 1 DSGVO	Was das im ERP heißt
a	Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Mitverantwortlichen, des Vertreters und eines etwaigen Datenschutzbeauftragten	Kopfblatt des Verzeichnisses; der Datenschutzbeauftragte gehört hinein, wenn Sie einen benannt haben (Art. 37 DSGVO)
b	Zwecke der Verarbeitung	je Eintrag der Geschäftszweck, zum Beispiel Auftragsabwicklung oder Lohnabrechnung
c	Kategorien betroffener Personen und Kategorien personenbezogener Daten	Kunden, Lieferanten, Beschäftigte, Bewerber; je Kategorie die Datenfelder, besondere Kategorien gesondert
d	Kategorien von Empfängern, einschließlich Empfängern in Drittländern	Steuerberatung, Bank und Versanddienstleister als Empfänger, ERP-Anbieter als Auftragsverarbeiter; vergangene und geplante Offenlegungen
e	gegebenenfalls Übermittlungen an ein Drittland oder eine internationale Organisation, mit Angabe des Landes und, bei Übermittlungen nach Art. 49 Abs. 1 Unterabsatz 2 DSGVO, Dokumentierung geeigneter Garantien	auch dann ausfüllen, wenn keine Übermittlung stattfindet; Serverstandort, Mailversand und Support aus einem Drittland können eine Übermittlung begründen und sind zu prüfen
f	wenn möglich die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien	Frist und Auslöser je Datenkategorie, nicht der Satz “es gelten die gesetzlichen Fristen”
g	wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO	Verweis auf das Sicherheitskonzept ist möglich; das Konzept legen Sie auf Verlangen mit vor

Diese Angaben nennt Art. 30 Abs. 1 DSGVO abschließend (Hinweise, Ziff. 6). Die Drittlandangabe steht unter dem Vorbehalt “gegebenenfalls”, Löschfristen und Maßnahmenbeschreibung unter “wenn möglich” (Buchstaben e bis g); die DSK hält die Beschreibung der Maßnahmen trotz dieser Formulierung für den Regelfall (Ziff. 6.7). Zusätzliche Felder sind zulässig und sinnvoll, wenn Sie das Verzeichnis für weitere Pflichten nutzen wollen, etwa Rechtsgrundlage, Datenherkunft oder Zugriffsberechtigte (Hinweise, Ziff. 1).

Drei Punkte aus den Hinweisen betreffen das ERP unmittelbar. Erstens: Empfänger können auch Teile des eigenen Unternehmens sein, wenn dort ein Zugriff möglich ist; die Zugriffsberechtigten geben Sie ohne Namensnennung, aber über Rollen eindeutig bestimmbar an (Ziff. 6.4). Zweitens: Eine Aussage zum Drittland gehört in jeden Eintrag, auch wenn keine Übermittlung stattfindet. Nach Auffassung der DSK liegt eine Übermittlung auch vor, wenn sich der Server dort befindet oder der Mailversand darüber abgewickelt wird, und sie kann vorliegen, wenn Supportdienstleistungen von dort erbracht werden; maßgeblich ist, wer tatsächlich auf die Daten zugreifen kann (Ziff. 6.4 und 6.5). Bei Übermittlungen nach Art. 49 Abs. 1 Unterabsatz 2 DSGVO gehören die Beurteilung und die Garantien in die Dokumentation nach Art. 30 DSGVO (Art. 49 Abs. 6 DSGVO). Drittens: Für die Löschfristen genügt ein allgemeiner Verweis auf die Aufbewahrungspflichten nicht (Ziff. 6.6).

Den Rahmen für die Löschfristen setzt Art. 5 Abs. 1 lit. e DSGVO: Personenbezogene Daten dürfen nur so lange in einer Form gespeichert bleiben, die die Identifizierung der betroffenen Person ermöglicht, wie es für die Zwecke der Verarbeitung erforderlich ist. Wo eine Aufbewahrungspflicht länger reicht, nennen Sie die Rechtsgrundlage und die Frist daneben.

Beispiel: drei ERP-Module im Verzeichnis

Die Tabelle ist ein ausgefülltes Beispiel. Angenommen wird ein Handelsbetrieb mit 40 Beschäftigten in Deutschland, dessen ERP-Anbieter die Daten in der EU hostet und keinen Fernzugriff aus einem Drittland einräumt; Betriebsangaben und die frei gesetzten Fristen sind erfunden. Die Aufbewahrung ist national geregelt; die Löschfristen folgen dem deutschen Steuerrecht und erfassen nur die in § 147 Abs. 1 AO genannten Unterlagen, nicht jede Personal- oder Kundendatei: Zehn Jahre für Bücher und Aufzeichnungen (§ 147 Abs. 1 Nr. 1 und 4a AO), acht Jahre für Buchungsbelege (§ 147 Abs. 1 Nr. 4 AO), sechs Jahre für die übrigen dort genannten Unterlagen. Die Frist beginnt mit dem Schluss des Kalenderjahrs der letzten Eintragung oder der Entstehung (§ 147 Abs. 4 AO) und läuft nicht ab, soweit und solange die Unterlagen für Steuern von Bedeutung sind, für welche die Festsetzungsfrist noch nicht abgelaufen ist (§ 147 Abs. 3 Satz 5 AO). Für empfangene Lieferscheine, die keine Buchungsbelege sind, endet sie mit dem Erhalt der Rechnung, für abgesandte mit dem Versand der Rechnung (§ 147 Abs. 3 Sätze 3 und 4 AO). Die verkürzte Frist von acht Jahren gilt für Buchungsbelege (§ 147 Abs. 3 Satz 1 AO in der seit dem 1. Januar 2025 geltenden Fassung) und für Rechnungen (§ 14b Abs. 1 UStG) seit diesem Datum; davor lag sie bei zehn Jahren. Daten, die nicht zu diesen Unterlagen gehören, löschen Sie nach Wegfall des Zwecks. In Österreich und der Schweiz gelten andere Fristen.

Verarbeitungstätigkeit und Zweck	Betroffene	Datenkategorien im ERP	Empfängerkategorien	Drittland	Löschfrist (Deutschland, Steuerrecht)
Verkauf: Kundenstammdaten, Angebot, Auftrag, Rechnung, Versand	Kunden und ihre Ansprechpartner	Firma, Anschrift, Kontakt, Kundennummer, Auftrags- und Rechnungsdaten, Zahlungsstatus	Steuerberatung, Zahlungsdienstleister, Versanddienstleister, ERP-Anbieter und Rechenzentrum (Auftragsverarbeiter); intern Vertrieb und Buchhaltung	nein	Rechnungen als Buchungsbelege acht Jahre; abgesandte Lieferscheine, die keine Buchungsbelege sind, bis zum Versand der Rechnung; Stammdaten nach Wegfall des Zwecks
Einkauf: Lieferantenstammdaten, Anfrage, Bestellung, Wareneingang, Eingangsrechnung	Lieferanten und ihre Ansprechpartner	Firma, Anschrift, Kontakt, Zahlungsbedingungen, Bankverbindung, Bestell- und Rechnungsdaten, Liefertreue	Steuerberatung, Bank (Zahlungsverkehr), ERP-Anbieter; intern Einkauf, Lager, Buchhaltung	nein	Eingangsrechnungen als Buchungsbelege acht Jahre, Handelsbriefe sechs Jahre; empfangene Lieferscheine, die keine Buchungsbelege sind, bis zum Erhalt der Rechnung; Stammdaten nach Wegfall des Zwecks
Personal: Beschäftigtenstamm, Lohn- und Gehaltsabrechnung, Meldungen, Zeiterfassung	Beschäftigte	Stammdaten, Bankverbindung, Steuer- und Sozialversicherungsnummer, Abrechnungsdaten, Arbeitszeiten, Fehlzeiten	Steuerberatung oder Lohnbüro, Bank (Lohnzahlung), Finanzamt, Sozialversicherungsträger, ERP-Anbieter; intern Personal und Geschäftsführung	nein	für die Unterlagen nach § 147 Abs. 1 AO: Aufzeichnungen zehn Jahre, Buchungsbelege acht Jahre; übrige Beschäftigtendaten nach Wegfall des Zwecks
Personal: Bewerberverfahren aus Stellenausschreibungen	Bewerber	Kontakt-, Qualifikations- und Gehaltsvorstellungen, gegebenenfalls Angaben zur Schwerbehinderung als besondere Kategorie nach Art. 9 Abs. 1 DSGVO	intern Personalabteilung und Fachbereich; keine externen Empfänger	nein	Frist selbst festzulegen; im Beispiel Löschung drei Monate nach Abschluss des Verfahrens als eigene Frist des Betriebs

Was in diesem Auszug fehlt, steht im Kopf und im Anhang des Verzeichnisses: die Angaben zum Verantwortlichen und zum Datenschutzbeauftragten nach Buchstabe a sowie die Beschreibung der Maßnahmen nach Buchstabe g, die im Beispiel auf das Sicherheitskonzept verweist. Rechtsgrundlage, Datenherkunft und Zugriffsberechtigte verlangt Art. 30 DSGVO nicht; die DSK bezeichnet sie als sinnvolle und zulässige Zusatzangaben (Hinweise, Ziff. 1). Als eigene Spalte helfen sie, den Stand der Einträge mitzuprüfen: Ein Eintrag, der seit der Einführung nicht nachgeführt wurde, gibt diesen Stand nicht wieder.

Das Verzeichnis im ERP führen

Legen Sie für jeden Zweck einen Eintrag an und nicht für jedes Modul. Ein Test dafür: Der Auftragsabwicklung folgen Rechnung, Versand und Mahnung, das bleibt ein Zweck. Die Zeiterfassung trifft Beschäftigte und ist ein eigener Eintrag, auch wenn sie im selben Modul wie die Lohndaten liegt.

Halten Sie die Änderungen nachvollziehbar fest. Nach den Hinweisen der DSK sollten Sie eine Änderungshistorie führen und die Einträge dazu ein Jahr aufbewahren (Ziff. 4). Redundanzen vermeiden Sie, indem Sie auf bestehende Dokumente verweisen, etwa auf ein unternehmensweites Sicherheitskonzept; die Verweise legen Sie der Aufsichtsbehörde auf Verlangen mit vor (Ziff. 1). Formulare für den Aufbau halten die deutschen Aufsichtsbehörden mit dem Muster für Verantwortliche und dem Muster für Auftragsverarbeiter bereit (Stand Februar 2018).

Das Verzeichnis ist ein Baustein, nicht die ganze Dokumentation. Einwilligungen (Art. 7 Abs. 1 DSGVO), die Ordnungsmäßigkeit der Verarbeitung (Art. 24 Abs. 1 DSGVO) und das Ergebnis einer Datenschutz-Folgenabschätzung (Art. 35 Abs. 7 DSGVO) brauchen eigene Unterlagen (DSK, Kurzpapier Nr. 1). Nutzen Sie das Verzeichnis als Anschlusspunkt: Es zeigt, wo Kunden-, Lieferanten- und Beschäftigtendaten liegen, und hilft bei einem Auskunftsersuchen, beim Löschkonzept und bei der Frage, ob eine Datenpanne zu melden ist.

Beim Anbieterwechsel zählt die Reihenfolge: Nehmen Sie den neuen Empfänger in das Verzeichnis auf, bevor die ersten Daten fließen. Für einen Dienstleister mit Sitz oder Support in einem Drittland prüfen Sie zuerst die Übermittlungsgrundlage; wie das geht, beschreibt Cloud-ERP mit US-Bezug.

Seit wann die Pflicht gilt

Die Verordnung gilt ab dem 25. Mai 2018 (Art. 99 Abs. 2 DSGVO). Seitdem führen Sie das Verzeichnis, sobald Sie eine Verarbeitung aufnehmen. Nach dem Kurzpapier Nr. 1 der DSK hat es das frühere deutsche Verfahrensverzeichnis ersetzt; die früheren Meldepflichten an die Aufsichtsbehörde sind mit der DSGVO entfallen.

Was bei einem Verstoß droht

Fehlt das Verzeichnis, ist es unvollständig oder legen Sie es auf Aufforderung nicht vor, kommt eine Geldbuße nach Art. 83 Abs. 4 DSGVO in Betracht. Art. 30 DSGVO gehört zu den Pflichten der Artikel 25 bis 39, auf die sich Buchstabe a bezieht: bis 10.000.000 Euro oder, im Fall eines Unternehmens, bis 2 Prozent des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Bei der Bemessung berücksichtigt die Behörde nach Art. 83 Abs. 2 DSGVO unter anderem die von Ihnen getroffenen Maßnahmen zur Minderung und Ihre Zusammenarbeit. Daneben kann sie nach Art. 58 Abs. 2 DSGVO Abhilfemaßnahmen anordnen, etwa eine Beschränkung der Verarbeitung.

Checkliste für Ihren Betrieb

• Prüfen Sie zuerst, ob die 250-Mitarbeiter-Ausnahme in Ihrem Fall wirklich greift; laufende Kunden- und Lohndaten, besondere Datenkategorien und Daten zu Straftaten sprechen dagegen.
• Legen Sie je Zweck einen Eintrag an und nicht je ERP-Modul, und trennen Sie Personalstamm, Lohnabrechnung, Zeiterfassung und Bewerbungen.
• Tragen Sie zu jedem Eintrag Zweck, betroffene Personen und Datenkategorien, Empfänger, Drittlandbezug und Löschfrist ein.
• Nennen Sie die Löschfrist je Datenkategorie mit Rechtsgrundlage, statt auf die gesetzlichen Fristen zu verweisen.
• Erfassen Sie Serverstandort, Mailversand und Support-Zugriffe Ihres Anbieters in den Buchstaben d und e, und prüfen Sie, wer tatsächlich auf die Daten zugreifen kann.
• Verweisen Sie für Buchstabe g auf das Sicherheitskonzept und halten Sie es vor.
• Führen Sie eine Änderungshistorie und prüfen Sie die Einträge bei jedem Update, Modulwechsel und Anbieterwechsel.
• Halten Sie das Verzeichnis als Export bereit, damit Sie es der Aufsichtsbehörde auf Anfrage vorlegen können.

Ob Ihr Betrieb unter die Ausnahme fällt, hängt an Umständen, die dieser Artikel nicht kennt; klären Sie das mit Ihrer Datenschutzberatung. Die Meldung einer Datenpanne behandelt Datenpanne im ERP melden, und wer für die Daten eines Cloud-Systems verantwortlich ist, steht in Auftragsverarbeitung.