Verarbeitungsverzeichnis erstellen 2026: Vorlage Art. 30 DSGVO

1. Was ist ein Verarbeitungsverzeichnis?

Ein Verarbeitungsverzeichnis (VVT) nach Art. 30 DSGVO listet systematisch alle personenbezogenen Datenverarbeitungen eines Unternehmens auf. Zweck: Nachweis der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) und Grundlage jeder Aufsichtsanfrage.

"Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen." — Art. 30 Abs. 1 DSGVO

Das VVT ist keine technische Datenbank. Es ist eine prozessuale Übersicht: welche Daten werden zu welchem Zweck mit welcher Rechtsgrundlage von wem für wie lange verarbeitet?

Das Verzeichnis ist der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen (Art. 30 Abs. 4 DSGVO) — es muss also jederzeit den aktuellen Stand abbilden. Damit ist es das erste Dokument, das eine Prüfung trägt, und zugleich der Einstieg in die drei Dokumente, die daran hängen:

2. Wer braucht ein VVT — und wer wirklich nicht?

Ein Verzeichnis führt jeder Verantwortliche (Art. 30 Abs. 1 DSGVO) und jeder Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO). Die 250-MA-Ausnahme (Art. 30 Abs. 5) greift nur kumulativ:

1. weniger als 250 Beschäftigte UND
2. kein Risiko für die Rechte und Freiheiten der betroffenen Personen UND
3. keine regelmäßige Verarbeitung UND
4. keine besonderen Kategorien (Art. 9) ODER strafrechtliche Daten

Wichtig: Der amtliche Wortlaut von Art. 30 Abs. 5 DSGVO stellt auf 'ein Risiko für die Rechte und Freiheiten der betroffenen Personen' ab — nicht auf ein hohes Risiko. Die Schwelle 'hohes Risiko' gilt nur für die Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO.

In der Praxis: Personaldaten (Lohnabrechnung) sind regelmäßige Verarbeitung. CRM ist regelmäßige Verarbeitung. Newsletter ist regelmäßige Verarbeitung. Damit kickt die Ausnahme bei jedem Unternehmen ab 1 Mitarbeiter mit Kunden.

Die vier Voraussetzungen sind zusammen zu lesen: Fällt eine einzige weg, entfällt die Entlastung — die Ausnahme ist also keine Größenbefreiung, sondern ein enger Sonderfall. Wer sich darauf stützt, sollte die Prüfung der vier Punkte schriftlich festhalten; das ist eine Praxisempfehlung, keine gesetzlich vorgeschriebene Dokumentationsform (für Österreich gilt dieselbe Ausnahme, Abschnitt 9).

3. Welche Inhalte muss das VVT enthalten?

Art. 30 Abs. 1 DSGVO zählt sieben Pflichtangaben auf (lit. a–g); zwei davon verlangt die Norm nur 'wenn möglich': die Löschfristen (lit. f) und die allgemeine Beschreibung der TOM (lit. g). Weil lit. c zwei Punkte bündelt (Kategorien betroffener Personen und Kategorien personenbezogener Daten), führt die Praxis daraus acht Pflichtfelder pro Verarbeitungstätigkeit — ergänzt um die Rechtsgrundlage als neuntes Feld:

Legen Sie diese neun Felder als Spalten Ihrer VVT-Tabelle an — dann ist jede Verarbeitungstätigkeit eine Zeile, und die Felder 1 und 8 füllen Sie unternehmensweit einheitlich. Die Angaben in der rechten Spalte sind Muster: Welche Empfänger, Garantien und Fristen bei Ihnen einzutragen sind, ergibt sich aus Ihrem tatsächlichen Dienstleister- und Systembestand.

Für Auftragsverarbeiter gilt ein eigener, kürzerer Katalog: Art. 30 Abs. 2 DSGVO nennt vier Pflichtangaben (lit. a–d) — a) Name und Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, in dessen Auftrag er tätig ist (ggf. Vertreter, ggf. Datenschutzbeauftragter), b) die Kategorien der im Auftrag jedes Verantwortlichen durchgeführten Verarbeitungen, c) ggf. Drittlandübermittlungen einschließlich Dokumentation geeigneter Garantien, d) wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1.

Wer beides ist — Verantwortlicher für die eigenen Verarbeitungen, Auftragsverarbeiter für fremde —, führt beide Kataloge getrennt: Die Angaben nach Abs. 2 sind für jeden Verantwortlichen zu führen, in dessen Auftrag Sie tätig sind.

Österreich: dieselben Pflichtangaben; die abweichenden nationalen Anknüpfungen stehen in Abschnitt 9.

4. VVT in Excel oder als Tool?

Für die meisten KMU reicht eine Tabellenkalkulation: Ein Tool lohnt sich erfahrungsgemäß erst ab etwa 50 Verarbeitungstätigkeiten, bei Multi-Standort- oder Konzernstrukturen und dort, wo die Versionsverwaltung nicht mehr manuell zu führen ist.

Form: Ein bestimmtes Werkzeug schreibt die DSGVO nicht vor — es zählen Inhalt, Aktualität und Lesbarkeit. Art. 30 Abs. 3 DSGVO verlangt, das Verzeichnis schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann; eine Excel-Tabelle erfüllt das. Welche Aufsichtsbehörde für Sie zuständig ist, steht in Abschnitt 9. Entscheidend bleibt in jeder Variante ein bearbeitbares Format und ein erkennbarer Versionsstand — beides wiederkehrende Prüfpunkte (Abschnitt 7).

5. 8 Schritte zum vorlagefähigen VVT

Acht Schritte führen von der leeren Tabelle zum vorlagefähigen Verzeichnis: erst erheben, dann Rolle und Rechtsgrundlage klären, dann Daten, Empfänger und Fristen füllen, zuletzt TOM verknüpfen und den Review festlegen. Jeder Schritt nennt, was zu tun ist, warum er trägt und woran er hängt.

1. Verarbeitungstätigkeiten identifizieren: Workshop mit allen Abteilungen (HR, Vertrieb, Marketing, IT, Buchhaltung, Geschäftsleitung). 14-Stationen-Methode: pro Mitarbeitenden-Lifecycle 1 VT, pro Kunden-Lifecycle 1 VT. Das Ergebnis ist die Grundmenge, die Art. 30 Abs. 1 DSGVO verlangt — ein Verzeichnis aller Verarbeitungstätigkeiten. Der Abteilungs-Workshop ist dabei die Praxismethode; vorgeschrieben ist das Ergebnis, nicht der Weg dorthin.
2. Verantwortlichkeit klären: sind wir Verantwortlicher (Art. 4 Nr. 7) oder Auftragsverarbeiter (Art. 4 Nr. 8) oder gemeinsam Verantwortliche (Art. 26)? Von dieser Einordnung hängt ab, ob der Katalog aus Abs. 1 oder aus Abs. 2 zu füllen ist und welcher Vertrag daneben nötig wird.
3. Rechtsgrundlage festlegen: Art. 6 Abs. 1 lit. a-f. Die Verarbeitung ist nur rechtmäßig, wenn mindestens einer dieser sechs Erlaubnistatbestände erfüllt ist. Stützt sich der Eintrag auf eine Einwilligung, kommen zwei Lasten hinzu: der Nachweis der Einwilligung (Art. 7 Abs. 1) und der jederzeitige Widerruf, der so einfach sein muss wie die Erteilung (Art. 7 Abs. 3). Bei Mitarbeiterdaten in Deutschland meist § 26 BDSG (zur AT-Lage Abschnitt 9). Bei besonderen Kategorien (Art. 9): zusätzliche Rechtsgrundlage — Art. 9 Abs. 1 stellt diese Daten unter ein grundsätzliches Verarbeitungsverbot, das nur die engen Ausnahmen des Abs. 2 öffnen.
4. Datenkategorien systematisch dokumentieren: Stammdaten, Vertragsdaten, Kommunikationsdaten, Nutzungsdaten, Standortdaten — pro Kategorie eine Zeile. Halten Sie Feld 3 (betroffene Personen) und Feld 4 (Datenarten) getrennt: Beide Angaben stammen aus lit. c, beantworten aber verschiedene Fragen — wessen Daten gegenüber welchen Daten.
5. Empfänger inkl. Drittländer: EU-Empfänger reichen meist namentliche Auflistung. Drittländer brauchen Garantie (SCC, DPF, BCR) — separate Spalte. Notieren Sie Anbieter, Land und Garantie, nicht ein bloßes „Drittland ja". Für jeden Empfänger, der im Auftrag verarbeitet, gilt zusätzlich Art. 28 DSGVO: Auswahl nur unter Auftragsverarbeitern mit hinreichenden Garantien (Abs. 1) und ein Vertrag mit dem Mindestinhalt des Abs. 3.
6. Löschfristen pro Kategorie: Aufbewahrungspflichten HGB/AO (10 Jahre), SGB (5 Jahre), arbeitsrechtl. Aufbewahrung. Konflikt mit Art. 17 (Löschung) dokumentieren. Eine Frist gehört je Datenkategorie in den Eintrag, nicht pauschal für die ganze Zeile; HGB, AO und SGB sind deutsches Recht; zur AT-Lage Abschnitt 9.
7. TOM-Verweis: jeder Eintrag verweist auf das TOM-Konzept (Praxisempfehlung). Kein eigenes TOM pro VT — sondern Verweis auf zentrales TOM-Konzept (Art. 32). Art. 30 Abs. 1 lit. g verlangt nur eine allgemeine Beschreibung der Maßnahmen nach Art. 32 Abs. 1, und das nur 'wenn möglich'; der Verweis auf das zentrale Konzept erfüllt das und vermeidet Doppelpflege.
8. Review-Zyklus festlegen: jährlich + bei Änderungen. Quartalsweise empfohlen für ständig wachsende Unternehmen. Beide Intervalle sind Praxisempfehlungen, keine gesetzlichen Fristen — die gesetzliche Anknüpfung ist die Vorlagepflicht nach Art. 30 Abs. 4 DSGVO (Abschnitt 1). Auslöser für eine sofortige Aktualisierung sind neue Verarbeitungen, neue IT-Systeme und neue Auftragsverarbeiter.

6. 14 typische KMU-VVT-Einträge

Diese 14 Einträge decken den Regelbetrieb eines KMU ab — vom Lohnbüro bis zum Arbeitsmittel-Inventar. Hinter jedem Eintrag steht ein kurzer Hinweis, worauf es bei ihm ankommt — mit Fundstelle, wo eine Norm daran hängt; welche Einträge Sie tatsächlich brauchen, ergibt sich aus Ihren Systemen.

Drei dieser Einträge sind hier als Musterzeilen ausgefüllt — so sieht eine Zeile in den verarbeitungsspezifischen Feldern aus Abschnitt 3 aus; Feld 1 und Feld 8 gelten unternehmensweit einheitlich:

1. Lohnabrechnung (mit Steuerberater) — als Musterzeile oben ausgefüllt; der Steuerberater ist eigenständig Verantwortlicher, kein Auftragsverarbeiter: Er steht als Empfänger in Feld 5, einen AVV nach Art. 28 DSGVO braucht es für ihn nicht.
2. Bewerbermanagement (eigener Server oder E-Recruiting-SaaS) — die 6-Monats-Frist aus Feld 7 ist ein Praxiswert der Erstfassung. Die gesetzliche Anknüpfung dahinter ist die Geltendmachungsfrist: In Deutschland sind Ansprüche nach § 15 Abs. 1 oder 2 AGG binnen zwei Monaten schriftlich geltend zu machen, soweit die Tarifvertragsparteien nichts anderes vereinbart haben (§ 15 Abs. 4 AGG), in Österreich sind Ansprüche wegen Nichtbegründung des Arbeitsverhältnisses binnen sechs Monaten ab Ablehnung gerichtlich geltend zu machen (§ 15 GlBG für Teil I, § 29 GlBG für die übrigen Diskriminierungsgründe).
3. Newsletter-Versand (Mailchimp/CleverReach/Brevo) — als Musterzeile oben ausgefüllt; in Österreich tritt § 174 TKG 2021 (unerbetene Nachrichten) hinzu (Abschnitt 9).
4. CRM-Kunden-Stammdaten (Salesforce/HubSpot/eigene DB) — laufende Kundendatenhaltung ist regelmäßige Verarbeitung und verbraucht damit die Ausnahme des Art. 30 Abs. 5 DSGVO (Abschnitt 2).
5. Webanalyse (Pirsch cookieless / Matomo / GA4) — werden Informationen auf der Endeinrichtung gespeichert oder ausgelesen, verlangt in Deutschland § 25 Abs. 1 TDDDG eine Einwilligung auf Grundlage klarer und umfassender Informationen; entbehrlich ist sie nur in den zwei Fällen des Abs. 2 (reine Nachrichtenübertragung, unbedingte Erforderlichkeit für den ausdrücklich gewünschten Dienst). In Österreich gilt stattdessen § 165 TKG 2021.
6. Videoüberwachung Werkshalle / Außenbereich — bei systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche ist eine DSFA zu prüfen (Art. 35 Abs. 3 DSGVO); in Österreich kommen die Bildaufnahme-Sonderregeln der §§ 12, 13 DSG hinzu (Abschnitt 9).
7. Kundenkommunikation (E-Mail, Telefon, Chat) — je Zweck trennen statt als Sammelposten führen; unspezifische Sammeleinträge stehen auf der Fehlerliste (Abschnitt 7).
8. Auftragsverarbeitung (Daten in unserem Auftrag durch IT-Dienstleister) — hier sind Sie Verantwortlicher (Schritt 5). Verarbeiten Sie umgekehrt für andere, kommt das eigene Verzeichnis nach Art. 30 Abs. 2 DSGVO hinzu (Abschnitt 3).
9. Lieferantenmanagement (Stammdaten, Verträge) — betroffene Personen sind hier Ansprechpartner auf Lieferantenseite; Feld 3 und Feld 4 entsprechend getrennt füllen.
10. Beschwerdemanagement (Kunden + interne Meldestelle) — die interne Meldestelle ist in Deutschland ab in der Regel 50 Beschäftigten Pflicht (§ 12 Abs. 1 Satz 1 und Abs. 2 HinSchG), in Österreich ab 50 Arbeitnehmern (§ 3 Abs. 1, § 11 Abs. 1 HSchG). In Deutschland ist die Identität hinweisgebender, betroffener und sonstiger in der Meldung genannter Personen vertraulich zu behandeln (§ 8 Abs. 1 HinSchG); in Österreich ist die Identität hinweisgebender Personen sowie jede Information, aus der sie ableitbar ist, zu schützen, und die Bekanntgabe von Inhalt oder Identität an Unbefugte ist untersagt (§ 7 Abs. 1 und Abs. 2 HSchG). Praxisempfehlung: eigener Eintrag mit eng begrenztem Empfängerkreis.
11. Krankheitsfälle / BEM (besondere Kategorien Art. 9, § 167 SGB IX) — Gesundheitsdaten brauchen die zusätzliche Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO (Schritt 3); bei umfangreicher Verarbeitung ist zusätzlich die DSFA-Schwelle des Art. 35 Abs. 3 DSGVO zu prüfen.
12. Zeiterfassung (Mitarbeiter, BAG-Pflicht-Urteil 2022) — in Österreich zusätzlich als Kontrollmaßnahme nach § 96 Abs. 1 Z 3 ArbVG zu prüfen (Abschnitt 9).
13. Fuhrpark + GPS-Tracking (sofern eingesetzt) — für Mitarbeiter-Tracking gibt es in Österreich keine eigene DSG-Norm; maßgeblich sind Art. 6 und Art. 88 DSGVO sowie die AT-Anknüpfungen in Abschnitt 9.
14. Arbeitsmittel-Inventar (Laptop, Mobile, sofern personenbezogen) — der Eintrag entsteht erst, wenn sich Geräte einzelnen Personen zuordnen lassen; halten Sie diese Zuordnung im Zweckfeld fest.

Für den Online-Handel sind acht typische Shop-Verarbeitungen gesondert ausgearbeitet — je Eintrag mit Zweck, Rechtsgrundlage und Speicherdauer, dazu Datenarten und Empfänger, soweit einschlägig: VVT für E-Commerce.

7. 9 häufige Fehler vermeiden

Diese neun Fehler tauchen in Prüfungen immer wieder auf — vom veralteten Empfänger-Feld bis zum Dokument ohne Versionsstand. Jeder Punkt nennt den Fehler und die Korrektur:

1. Veraltete Empfänger-Listen (alte Newsletter-Tools nicht entfernt) — Feld 5 muss den tatsächlichen Dienstleister-Bestand abbilden; wird ein Tool abgelöst, gehört die Änderung im selben Zug ins Verzeichnis und in die AVV-Übersicht.
2. Fehlende Löschfristen ('keine konkrete Angabe') — je Datenkategorie eine konkrete Frist, siehe Schritt 6.
3. Kein Drittland-Hinweis bei US-Tools (Mailchimp, Google, Zoom) — Feld 6 braucht Anbieter, Land und Garantie (Schritt 5).
4. Auftragsverarbeitung mit eigentlich gemeinsam Verantwortlichen verwechselt — die Rolle entscheidet über den Vertrag (Schritt 2).
5. Kein VVT für die Tochter-GmbH — jede Gesellschaft, die eigenständig Verantwortlicher ist, führt ein eigenes Verzeichnis.
6. 'Sammelverarbeitung Kommunikation' — zu unspezifisch; getrennte Zwecke lassen sich bei einer Aufsichtsanfrage einzeln begründen, ein Sammelposten nicht.
7. Kein TOM-Verweis, sondern TOM-Inhalt im VVT (Doppelung) — der Verweis auf das zentrale TOM-Konzept genügt (Schritt 7).
8. Format-Probleme: PDF statt bearbeitbares Format (Excel/CSV) — vorzulegen ist das Verzeichnis auf Anfrage (Art. 30 Abs. 4 DSGVO); das bearbeitbare Format ist Praxis-Erwartung der Aufsicht, keine Formvorgabe der DSGVO (Abschnitt 4).
9. Keine Versionierung (welche Fassung ist gültig?) — jede Aktualisierung mit Datum und Versionsstand festhalten; sonst ist bei einer Anfrage nicht zu zeigen, welche Fassung gilt.

8. VVT bei Aufsichtsanfragen

Nach Praxiserfahrung steigt die Aufsicht beim Verzeichnis ein und arbeitet sich von dort zu den Folgedokumenten vor. Praxis-Reihenfolge der Prüfung:

1. VVT — Vollständigkeit, Aktualität, Plausibilität (Art. 30 Abs. 4 DSGVO)
2. AVV — werden alle externen Auftragsverarbeiter im VVT genannt? Ist für jeden ein AVV vorhanden? Maßstab ist Art. 28 DSGVO
3. TOM-Konzept — passend zur Risikolage der Verarbeitungen? Maßstab ist Art. 32 Abs. 1 DSGVO; die TOM-Prüfliste führt die Maßnahmen im Einzelnen
4. DSFA — bei den Verarbeitungen mit hohem Risiko durchgeführt? Auslöser sind die Fälle des Art. 35 Abs. 1 und Abs. 3 DSGVO

Die Prüfreihenfolge ist zugleich die Reihenfolge der Vorbereitung: Aus einem vollständigen Verzeichnis lassen sich AVV-Liste, TOM-Bezug und DSFA-Kandidaten ableiten — umgekehrt nicht.

Zuständig ist in Deutschland für nichtöffentliche Stellen die Landesdatenschutzbehörde, für Bundesstellen der BfDI, in Österreich die Datenschutzbehörde (Fundstellen in Abschnitt 9). Erfahrungsgemäß erwarten Aufsichtsbehörden eine Übermittlung binnen 1 bis 2 Wochen — ein Erfahrungswert, keine gesetzliche Frist. Kommt die Anfrage nach einer Datenpanne, laufen die Meldefristen des Art. 33 Abs. 1 DSGVO parallel weiter; das Verfahren dazu steht in der Datenpannenmeldung 72h.

9. Rechtslage in Österreich

Der Inhalt des Verzeichnisses ist in Österreich identisch — Art. 30 DSGVO gilt dort wortgleich: dieselben Pflichtangaben, keine abweichenden Schwellen oder Fristen. Abweichend sind die nationalen Anknüpfungen, die in einzelnen Einträgen die deutschen Normen ersetzen:

• Aufsicht: Die Datenschutzbehörde ist nach § 18 Abs. 1 DSG die nationale Aufsichtsbehörde gemäß Art. 51 DSGVO — eine zentrale Behörde statt der deutschen Aufteilung zwischen den Landesbehörden für nichtöffentliche Stellen (§ 40 Abs. 1 BDSG) und dem BfDI für öffentliche Stellen des Bundes sowie bestimmte Anbieter von Telekommunikationsdiensten (§ 9 Abs. 1 BDSG).
• Beschäftigtendaten: Einen eigenen Beschäftigtendatenschutz-Paragrafen wie § 26 BDSG kennt das österreichische DSG nicht. Maßgeblich sind Art. 6 und Art. 88 DSGVO, ergänzt um § 12 Abs. 4 Z 2 DSG und § 96 Abs. 1 Z 3 ArbVG (Kontrollmaßnahmen, die die Menschenwürde berühren, nur mit Zustimmung des Betriebsrats bzw. Betriebsvereinbarung).
• Bildaufnahmen: § 12 DSG regelt die Zulässigkeit der Videoüberwachung — für die Kontrolle von Arbeitnehmern unzulässig (§ 12 Abs. 4 Z 2 DSG, siehe oben). § 13 DSG ergänzt die Kennzeichnungspflicht (Abs. 5); eine länger als 72 Stunden andauernde Aufbewahrung muss verhältnismäßig sein und ist gesondert zu protokollieren und zu begründen (§ 13 Abs. 3).
• Datengeheimnis: § 6 DSG verpflichtet Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter zur Geheimhaltung — ein zusätzlicher organisatorischer Baustein; für die Auftragsverarbeitung selbst gilt Art. 28 Abs. 1 und Abs. 3 DSGVO ohne österreichische Sonderregel.
• Cookies und Newsletter: Statt § 25 TDDDG (deutsches Recht) gilt für das Setzen von Tracking-Cookies § 165 TKG 2021; für Werbe-E-Mails kommt § 174 TKG 2021 hinzu (Einwilligung, in der Praxis über Double-Opt-In dokumentiert).
• Aufbewahrungsfristen: Die in Feld 7 und Schritt 6 genannten Fristen aus HGB, AO und SGB folgen deutschem Recht. Für österreichische Einträge sind die entsprechenden Aufbewahrungspflichten nach österreichischem Recht gesondert zu ermitteln und je Datenkategorie einzutragen.
• AT-typische Einträge: Ein österreichisches Verzeichnis enthält Verarbeitungen wie die Sozialversicherungs-Meldung an die ÖGK, die in einem deutschen Muster nicht vorkommen.
• Datenschutzbeauftragter: Ohne Art.-37-Tatbestand besteht in Österreich keine Benennungspflicht; die deutsche 20-Personen-Schwelle des § 38 Abs. 1 BDSG ist ausdrücklich „ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c" DSGVO formuliert und damit eine deutsche Verschärfung.

Das DSGVO-Komplettpaket Österreich führt die AT-Anpassungen über das Verzeichnis hinaus.

10. Bußgeldrahmen bei Verzeichnis-Mängeln

Ein Mangel am Verzeichnis fällt in den unteren der beiden Bußgeldrahmen der DSGVO: Art. 83 Abs. 4 DSGVO erfasst unter anderem Verstöße gegen die Art. 25 bis 39 — darunter Art. 30 — mit bis zu 10 Mio. EUR oder — bei einem Unternehmen — bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Die nationalen Zeilen der Tabelle treten neben Art. 83 DSGVO und gelten jeweils nur im genannten Rechtsraum: Die Bußgeld- bzw. Verwaltungsstraftatbestände (§ 43 Abs. 2 und Abs. 3 BDSG, § 62 Abs. 1 DSG) erfassen andere Verstoßgegenstände als das Verzeichnis selbst; § 11 DSG betrifft dagegen die Rechtsfolgenseite des Art. 83 DSGVO (Verwarnung statt Geldbuße):