DSGVO-Verzeichnis Excel - Kostenlose Vorlage

1. Schritt 1 — Öffne das Tabellenblatt Verarbeitungsverzeichnis und lege für jede eigenständige Verarbeitungstätigkeit eine eigene Zeile an, zum Beispiel für Lohnabrechnung, Recruiting und Krankheitsmanagement.
2. Schritt 2 — Vergib eine fortlaufende Nummer und beschreibe die Verarbeitung konkret. Lohnabrechnung ist präziser als die Sammelbezeichnung Personalverwaltung.
3. Schritt 3 — Trage Zweck und Rechtsgrundlage ein. Prüfe bei Beschäftigtendaten Art. 6 DSGVO; bei Gesundheitsdaten ist zusätzlich Art. 9 DSGVO zu berücksichtigen.
4. Schritt 4 — Ergänze betroffene Personengruppen, Datenkategorien und Empfänger. Nenne etwa Beschäftigte, Steuerberatung, Krankenkassen oder DATEV nicht nur pauschal als Dritte.
5. Schritt 5 — Dokumentiere die Löschfrist in Jahren sowie die technischen und organisatorischen Maßnahmen, etwa Rollenberechtigung, Verschlüsselung und Back-up-Konzept.
6. Schritt 6 — Weise eine verantwortliche Abteilung zu, bewerte Risikostufe und Risikoscore und trage Datum der letzten Prüfung, nächsten Prüftermin und Status ein.
7. Schritt 7 — Kontrolliere das Tabellenblatt Dashboard und nutze die Anleitung zur Nachprüfung. Speichere die Datei nur in einem geschützten HR- oder Datenschutzordner mit beschränktem Zugriff.

In einem mittelständischen Betrieb mit 80 Beschäftigten stößt die Personalabteilung die Pflege des Verzeichnisses an. Zum Jahresanfang und bei jeder neuen Software, einem neuen Dienstleister oder einem geänderten Prozess prüft die HR-Leitung, ob eine neue Verarbeitungstätigkeit einzutragen ist; die Geschäftsführung bestätigt anschließend Verantwortlichkeiten und Ressourcen.

Eine Personalverarbeitung wird zu einer eigenen Zeile

Im Tabellenblatt Verarbeitungsverzeichnis (Abbildung 1) steht jede Tätigkeit in einer eigenen Zeile. Für die Lohn- und Gehaltsabrechnung erfasst du beispielsweise den Zweck Erfüllung arbeitsvertraglicher Pflichten, Mitarbeiter als betroffene Personengruppe, Bankdaten, Steuer-ID und Gehaltsdaten als Datenkategorien sowie Steuerberatung, Krankenkassen und Lohnsoftware als Empfänger.

Recruiting gehört nicht automatisch in dieselbe Zeile: Bewerberdaten haben andere Löschfristen, Empfänger und Zugriffsrechte. Für die eAU- oder BEM-Verarbeitung musst du Gesundheitsdaten besonders kennzeichnen, weil hier neben Art. 6 DSGVO regelmäßig die Sonderregeln des Art. 9 DSGVO geprüft werden.

Von der Eingabe zur internen Kontrolle

Die Personalabteilung pflegt die Felder Verantwortliche Abteilung, Datum letzte Prüfung, Nächste Prüfung fällig und Status. Der Datenschutzkoordinator kontrolliert, ob die Einträge noch zum tatsächlichen Prozess passen; die IT liefert die Beschreibung der technischen und organisatorischen Maßnahmen (TOM). Bei 12 Verarbeitungstätigkeiten dauert eine quartalsweise Stichprobe mit der Datei etwa 60 Minuten, wenn die Prozessverantwortlichen ihre Änderungen vorher melden.

Das Dashboard (Abbildung 2) dient der Leitung als Übersicht, während die Anleitung (Abbildung 3) die Nutzung der Arbeitsmappe erklärt. Die Datei gehört in einen geschützten Bereich, nicht in einen frei zugänglichen Personalordner: Das Verzeichnis enthält zwar nicht zwingend einzelne Beschäftigtenakten, kann aber sensible Informationen über HR-Prozesse, Empfänger und Sicherheitsmaßnahmen offenlegen.

Art. 30 Abs. 1 DSGVO verpflichtet den Verantwortlichen grundsätzlich zu einem Verzeichnis der Verarbeitungstätigkeiten. Das Verzeichnis muss unter anderem Zwecke, Kategorien betroffener Personen und personenbezogener Daten, Empfänger, Übermittlungen in Drittländer, vorgesehene Löschfristen sowie eine allgemeine Beschreibung der Sicherheitsmaßnahmen enthalten. Die Excel-Datei bildet davon die für die Personalabteilung zentralen Felder ab.

Rechtsgrundlage und besondere Daten

Für die Lohnabrechnung kommt regelmäßig Art. 6 Abs. 1 lit. b DSGVO in Betracht, ergänzt durch gesetzliche Pflichten nach Art. 6 Abs. 1 lit. c DSGVO. Beschäftigtendaten werden nach Art. 88 DSGVO und in Deutschland nach § 26 BDSG verarbeitet. Gesundheitsdaten, etwa bei Krankheitszeiten oder einem BEM, fallen unter Art. 9 DSGVO und brauchen eine zusätzliche Ausnahme.

Die Vorlage ersetzt keine Aufbewahrungsentscheidung: Steuer- und Handelsunterlagen sind häufig 6 oder 10 Jahre aufzubewahren, während Bewerbungsdaten nach Abschluss des Verfahrens grundsätzlich nicht unbegrenzt gespeichert werden dürfen. Trage deshalb im Feld Löschfrist nicht pauschal 10 Jahre ein, sondern dokumentiere je Verarbeitung den Zweck, die gesetzliche Frist und die tatsächliche Löschroutine.

Kontrolle, Sicherheit und Folgen

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Rollenberechtigungen, Verschlüsselung und Wiederherstellungstests gehören deshalb in das Feld TOM; ein allgemeiner Vermerk wie Datenschutz gewährleistet reicht bei einer Prüfung nicht aus. Bei 80 Beschäftigten und 15 Verarbeitungstätigkeiten sollte jede Zeile mindestens einmal jährlich geprüft werden, bei Lohnsoftware- oder Dienstleisterwechseln sofort.

Ein Verstoß kann nach Art. 83 Abs. 4 DSGVO mit bis zu 10.000.000 € oder 2 % des weltweiten Jahresumsatzes und nach Art. 83 Abs. 5 DSGVO mit bis zu 20.000.000 € oder 4 % geahndet werden. Die höhere Grenze gilt bei schwerwiegenden Grundsätzen und Betroffenenrechten; die Excel-Datei verhindert kein Bußgeld automatisch, liefert aber einen prüfbaren Nachweis über Zuständigkeit und Pflege.

Der teuerste Fehler ist ein Sammelbegriff wie Personalverwaltung. In einem Betrieb mit 80 Beschäftigten verbergen sich darunter mindestens Lohnabrechnung, Recruiting, Zeiterfassung, Abwesenheiten und BEM. Wenn Empfänger, Löschfristen und Rechtsgrundlagen nicht je Prozess dokumentiert sind, kann die Datenschutzaufsicht die Rechenschaft nach Art. 5 Abs. 2 DSGVO als nicht ausreichend ansehen.

Gesundheitsdaten werden zu großzügig beschrieben

Ein Eintrag Krankmeldungen, Aufbewahrung 10 Jahre und Zugriff HR ist fachlich zu grob. Die Personalabteilung muss zwischen der Information Arbeitsunfähigkeit, der eAU-Abfrage und medizinischen BEM-Unterlagen unterscheiden; Art. 9 DSGVO verlangt für Gesundheitsdaten eine besondere Prüfung. Werden 20 BEM-Akten im selben Netzlaufwerk wie allgemeine Abwesenheitslisten gespeichert, ist das ein konkretes Berechtigungsrisiko, das die Spalte TOM sichtbar machen soll.

Fristen und Dienstleister bleiben leer

Fehlt der Empfänger DATEV oder der externe Lohnabrechner, bleibt die Verarbeitungskette unvollständig. Bei 80 Beschäftigten und monatlich 80 Abrechnungsdatensätzen sind das 960 Datenübermittlungen im Jahr; ein einziger vergessener Dienstleister betrifft nicht nur eine theoretische Einzeldatei. Auftragsverarbeiter müssen nach Art. 28 DSGVO vertraglich eingebunden werden.

Ebenso riskant ist ein nicht gepflegtes Prüfdatum. Wenn ein Unternehmen seine HR-Software am 01.04.2026 wechselt, die Zeile aber zuletzt am 15.01.2025 geprüft wurde, dokumentiert das Verzeichnis den tatsächlichen Prozess nicht mehr. Die Vorlage zwingt dich mit Risikostufe, Risikoscore, letzter Prüfung und nächstem Fälligkeitstermin zu einer nachvollziehbaren Aktualisierung.

Meine klare Präferenz ist eine getrennte Zeile je Zweck statt einer möglichst kurzen Liste. Zehn präzise Zeilen benötigen bei der Prüfung mehr Pflege, sind aber deutlich belastbarer als drei Sammelzeilen, die Empfänger, Löschung und Zugriff nicht auseinanderhalten.

Bis etwa 50 Beschäftigte lässt sich das Verarbeitungsverzeichnis mit einer sauber gepflegten Excel-Datei meist beherrschen. Bei 100 Beschäftigten und beispielsweise 25 Verarbeitungstätigkeiten wird nicht die Zahl der Personen zum Hauptproblem, sondern die Änderungsmenge: neue Bewerberportale, Lohnanbieter, Zutrittssysteme und Berechtigungskonzepte erzeugen laufend Prüfbedarf.

Excel strukturiert, aber ersetzt kein führendes System

Lege eine verantwortliche Person für die Arbeitsmappe fest und führe Änderungen über eine einfache Änderungslogik: neue Tätigkeit, geänderter Empfänger, neue TOM oder geänderte Löschfrist. Das Dashboard zeigt der Geschäftsführung den Bearbeitungsstand; für verbindliche Freigaben, Versionierung und automatische Erinnerungen ist ab etwa 25 bis 40 Tätigkeiten eine Datenschutz- oder HR-Software meist überlegen.

Eine manuelle Monatskontrolle von 25 Zeilen mit je 4 Minuten kostet rund 100 Minuten. Bei 100 Beschäftigten und fünf beteiligten Abteilungen kommen für Rückfragen und Nachpflege realistisch weitere 3 Stunden hinzu. Mit zentralen Stammdaten und Formeln wie WENN für den Prüfstatus, ZÄHLENWENN für offene Einträge und SUMMEWENN für Risikogruppen kann die Kontrolle auf etwa 2 Stunden monatlich sinken; die Formeln gehören in eine separate Auswertung, nicht in die Textfelder des Verzeichnisses.

Übergabe an HR und Datenschutzorganisation

• HR meldet neue Prozesse und Dienstleister monatlich an den Datenschutzkoordinator.
• Die IT bestätigt TOM und Berechtigungen vor jeder produktiven Einführung.
• Die Lohnbuchhaltung gleicht Empfänger und Aufbewahrung mit dem Abrechnungsprozess ab.
• Die Geschäftsführung genehmigt Risiken und stellt Lösch- sowie Zugriffskonzepte bereit.

Ein Export nach DATEV ist für das Verzeichnis selbst nicht erforderlich; DATEV-Datenflüsse müssen aber als eigene Empfänger- und Verarbeitungskonstellation dokumentiert werden. Bewahre eine geprüfte Version mit Datum auf und beschränke Bearbeitungsrechte auf zwei verantwortliche Personen.

Die geprüfte Version und die beschränkten Bearbeitungsrechte lassen sich anschließend in einer Personalakte-Vorlage sauber zuordnen.