Verarbeitungsverzeichnis und Auftragsverarbeitung
Wie das Verzeichnis der Verarbeitungstätigkeiten gepflegt wird, welche Verträge nötig sind und wie du die Annahme durch Organisationen kontrollierst.
DatenschutzBasis (kostenlos)Geprüft am 30.10.2026
Voraussetzungen
- Du bist für Datenschutz verantwortlich (Rolle „Datenschutz und Compliance“ oder Betreiberleitung).
Wer darf das?
Betreiberprozess. Das Verzeichnis wird zentral im Quelltext gepflegt und in die Datenbank eingespielt; die Rolle „Datenschutz“ trägt dafür das Recht „Verarbeitungsverzeichnis“ (Durchsetzung an den bestehenden Endpunkten noch nicht umgestellt). Alle Dokumente sind Entwürfe und vor dem Livegang zu prüfen.
Schritt für Schritt
Pflichtangaben kennen
Je Eintrag: Name und Zweck, Kategorien betroffener Personen und Daten, Empfänger, Drittlandübermittlung (Soll: keine), Löschfristen, Schutzmaßnahmen, Rechtsgrundlage und Folgenabschätzung.
Verzeichnis pflegen
Wer eine Funktion mit neuem Personenbezug baut, ergänzt im selben Arbeitsgang den Eintrag. Danach wird das Verzeichnis wiederholbar eingespielt und kann exportiert werden.
Rollen klären
Entscheide, ob der Betreiber für Vereinsdaten Auftragsverarbeiter oder gemeinsam Verantwortlicher ist. Empfehlung (zu prüfen): Auftragsverarbeiter des Vereins für Vereinsdaten, Verantwortlicher für Konto und Plattform.
Verträge abschließen
Mit Hosting, Objektspeicher, E-Mail-Versand und Sicherung braucht es je einen Vertrag nach Art. 28 DSGVO, dazu die Liste der Unterauftragsverarbeiter in der Datenschutzerklärung. Bei jedem neuen Dienstleister, der Personendaten erhält, wird zuerst die Übersicht und der Vertragsnachweis gepflegt.
Annahme durch Organisationen kontrollieren
Organisationen nehmen den Vertrag zur Auftragsverarbeitung in der Anwendung an (beim Gründen, Übernehmen, Kommunenantrag). In der Plattformmoderation zeigt eine Karte „Annahme der aktuellen Fassung … durch die Organisationen“ mit „{n} von {m} angenommen“ und „{n} ohne Annahme“.
Typische Fehler und Lösungen
- Neue Fassung des Vertrags: Organisationen haben nicht angenommen.
- Es erscheint für die Leitung die Aufgabe „AV-Vertrag annehmen“; ohne Annahme in der aktuellen Fassung bleibt der Eintrag in der Übersicht „ohne Annahme“.
- Ein Eintrag im Verzeichnis ist mit „offen“ markiert.
- Auftragsverarbeiter, Rollenverteilung, Aufbewahrung von Buchungen und Rechtsgrundlage der Beitragsverwaltung sind noch zu klären.
Gut zu wissen
- Datenschutzbeauftragte(r) und Kontakt gehören ins Impressum. Das Dokument ersetzt keine Rechtsberatung.
- Ablage der unterschriebenen Verträge erfolgt außerhalb dieses öffentlichen Bereichs; es gibt eine Übersicht der Datenverarbeiter, die vor Einsatz eines neuen Dienstes zu pflegen ist.