Kann ich ein Verzeichnis von Verarbeitungstätigkeiten mit KI erstellen?

Veröffentlicht: 11.11.2026 · Fachlich geprüft: 11.11.2026 · Autor: Ben Kübrich

Grundlage dieser Antwort: Die rechtlichen Aussagen stützen sich auf den Wortlaut von Art. 30 der Datenschutz-Grundverordnung (DSGVO), auf die „Hinweise zum Verzeichnis von Verarbeitungstätigkeiten“ der Datenschutzkonferenz (DSK) und auf das Musterverzeichnis für Handwerksbetriebe des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA). Der Hinweis zum Umgang einer KI mit fehlenden Angaben folgt der Anleitung des KI-Anbieters Anthropic (alle am 11.11.2026 abgerufen). Der „LIBUCO®-Wochenrundgang“ ist eine eigene LIBUCO®-Methode, keine Norm. Das Beispiel ist konstruiert. Dieser Beitrag ist keine Rechtsberatung.

Direkte Antwort

Ein Verzeichnis von Verarbeitungstätigkeiten können Sie mit KI in eine saubere Form bringen lassen, die Angaben dazu müssen aber aus Ihrem Betrieb kommen. Eine KI weiß nicht, welche Programme Sie nutzen, wer Ihre Löhne abrechnet und wie lange Sie Kundendaten aufbewahren. Entscheidend sind drei Punkte: Jede Tätigkeit mit personenbezogenen Daten ist erfasst, jede Tätigkeit ist mit den Angaben aus Art. 30 Abs. 1 DSGVO beschrieben, und das Verzeichnis wird bei Änderungen nachgeführt. Die Ausnahme für Betriebe unter 250 Beschäftigten greift nach Einschätzung der Datenschutzkonferenz nur selten.

Belege für diese Antwort

• Jeder Verantwortliche führt ein Verzeichnis aller Verarbeitungstätigkeiten. Es enthält unter anderem Name und Kontaktdaten, Zwecke, Kategorien betroffener Personen und Daten, Empfänger, gegebenenfalls Übermittlungen in Drittländer, wenn möglich Löschfristen und wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. → Art. 30 Abs. 1 DSGVO, dsgvo-gesetz.de → geprüft am 11.11.2026
• Das Verzeichnis ist schriftlich zu führen, auch elektronisch, und der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. → Art. 30 Abs. 3 und 4 DSGVO, dsgvo-gesetz.de → geprüft am 11.11.2026
• Die Ausnahme für weniger als 250 Beschäftigte gilt nicht, wenn eine Verarbeitung nicht nur gelegentlich erfolgt. Die DSK nennt dafür Lohnabrechnungen und Kundendatenverwaltung als Beispiele und geht davon aus, dass die Ausnahmen nur selten greifen. → DSK, „Hinweise zum Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DS-GVO“ (PDF) → geprüft am 11.11.2026
• Für Handwerksbetriebe stellt das BayLDA ein kurzes Musterverzeichnis bereit, unter anderem mit den Tätigkeiten Lohnabrechnung, Personalverwaltung, Betrieb der Firmenwebseite und Kundenverwaltung. → BayLDA, „Muster 3: Handwerksbetrieb – Verzeichnis von Verarbeitungstätigkeiten“ (PDF) → geprüft am 11.11.2026

Für wen gilt das? Und für wen nicht?

Die Antwort richtet sich an Inhaberinnen und Inhaber kleiner Betriebe, etwa in Gilching, im Landkreis Starnberg, in Fürstenfeldbruck oder im Münchner Umland, die Mitarbeitende beschäftigen, Kundendaten verwalten oder eine Website betreiben und ihr Verzeichnis mit einem KI-Chat wie ChatGPT oder Gemini vorbereiten wollen. Nicht gemeint sind Betriebe mit besonders heiklen Verarbeitungen wie Videoüberwachung, Ortung von Mitarbeitenden oder Gesundheitsdaten in größerem Umfang. Ebenso wenig hilft der Beitrag, wenn die Aufsichtsbehörde das Verzeichnis bereits angefordert hat. Dann gehört der Fall zu Ihrem Datenschutzbeauftragten oder zu anwaltlicher Beratung.

Was steht in einem Verzeichnis von Verarbeitungstätigkeiten?

Das Verzeichnis ist eine Liste aller Tätigkeiten, bei denen Ihr Betrieb personenbezogene Daten verarbeitet, mit einigen Pflichtangaben je Tätigkeit. Die DSK empfiehlt, jede Tätigkeit nach ihrem Zweck zu benennen, etwa „Lohn-, Gehalts- und Bezügeabrechnung“ oder „Personalaktenführung“ (DSK-Hinweise). Das Musterverzeichnis des BayLDA für Handwerksbetriebe zeigt, wie das als Tabelle aussieht: je Zeile die Tätigkeit, ein Ansprechpartner, das Datum der Einführung, Zwecke, betroffene Personen, Datenkategorien, Empfänger, Drittlandtransfer, Löschfristen und ein Verweis auf die technischen und organisatorischen Maßnahmen.

Laut den DSK-Hinweisen dient das Verzeichnis auch als Grundlage, um nach Art. 5 Abs. 2 DSGVO nachzuweisen, dass die Vorgaben eingehalten werden. Es muss der Aufsichtsbehörde auf Anfrage in deutscher Sprache vorgelegt werden können. Änderungen sollten nachvollziehbar dokumentiert werden.

Warum reicht ein Auftrag an die KI allein nicht?

Bitten Sie einen KI-Chat nur um „ein Verarbeitungsverzeichnis für meinen Elektrobetrieb“, erhalten Sie meist eine ordentlich aussehende Tabelle. Sie kann aber einen Betrieb beschreiben, den es so nicht gibt: Die KI kennt weder Ihre Software noch Ihren Steuerberater noch Ihre tatsächlichen Löschfristen. KI-Modelle können Lücken mit plausibel klingenden Angaben füllen. Anthropic rät deshalb, der KI ausdrücklich zu erlauben, fehlende Informationen zuzugeben (Anthropic, „Reduce hallucinations“). Für das Verzeichnis heißt das: Die Fakten sammeln Sie, die KI ordnet sie in die Spalten und zeigt, wo etwas fehlt.

Eine KI kann ein Verzeichnis von Verarbeitungstätigkeiten ordnen und auf Lücken prüfen, aber nicht wissen, was in Ihrem Betrieb mit Daten passiert. Jede Zeile muss einer tatsächlichen Tätigkeit entsprechen, die Sie vorher selbst erfasst haben.

Der LIBUCO®-Wochenrundgang: erst sammeln, dann ordnen

Gehen Sie eine gewöhnliche Arbeitswoche gedanklich von Montag bis Freitag durch und notieren Sie jede Stelle, an der jemand im Betrieb Namen, Adressen, Telefonnummern, Bankdaten oder Ähnliches anfasst. Das ist eine eigene Methode aus der LIBUCO®-Beratung, keine gesetzliche Vorgabe. Typische Fragen für den Rundgang:

• Wer ruft an, schreibt E-Mails oder füllt das Kontaktformular aus, und wo landen diese Angaben?
• Mit welchem Programm schreiben Sie Angebote und Rechnungen, und wer hat Zugriff darauf?
• Wer rechnet Löhne ab, im Haus oder über einen Steuerberater?
• Wo liegen Personalunterlagen, Urlaubslisten und Arbeitszeitnachweise?
• Welche Dienstleister sehen Daten, etwa Hosting-Anbieter, IT-Betreuer oder Cloud-Dienste?
• Wann löschen Sie Daten tatsächlich, und wer entscheidet das?

Aus jeder Antwort wird eine Notiz in Stichworten. Erst diese Notizen gehen an die KI.

Wie gehen Sie mit der KI Schritt für Schritt vor?

1. Machen Sie den Wochenrundgang, am besten zusammen mit der Person, die Büro und Abrechnung kennt.
2. Laden Sie das Musterverzeichnis des BayLDA herunter und übernehmen Sie dessen Spalten als Vorlage. Muster für weitere Branchen, etwa Einzelhändler oder Kfz-Werkstätten, bietet das BayLDA auf seiner Seite Informationen für kleine Unternehmen.
3. Geben Sie der KI Ihre Stichworte ohne echte Personendaten, etwa mit diesem Auftrag: „Ordnen Sie diese Notizen den Spalten der Tabelle zu, eine Zeile je Tätigkeit. Ergänzen Sie keine Programme, Empfänger oder Fristen. Wenn eine Angabe fehlt, schreiben Sie ‚Angabe fehlt‘ und stellen Sie mir dazu eine Frage.“
4. Klären Sie jede Lücke selbst, etwa Löschfristen mit Ihrem Steuerberater oder eingebundene Dienste mit Ihrem IT-Betreuer.
5. Gleichen Sie jede Zeile mit den Pflichtangaben aus Art. 30 Abs. 1 DSGVO ab und streichen Sie alles, was die KI hinzugefügt hat und nicht stimmt.
6. Prüfen Sie, ob für Dienstleister, die Daten in Ihrem Auftrag verarbeiten, ein Vertrag zur Auftragsverarbeitung besteht. Wann ein solcher Vertrag nötig ist, erklärt der Beitrag Wann brauche ich bei einer KI-Umsetzung einen AVV?.
7. Legen Sie das Verzeichnis mit Datum ab und notieren Sie künftig jede Änderung, etwa ein neues Programm oder einen neuen Dienstleister.

Achten Sie beim Arbeiten mit einem KI-Chat auf das, was Sie eingeben: Mitarbeiterlisten, Lohndaten oder Kundendateien gehören nicht hinein. Was Sie eingeben dürfen, beschreibt der Beitrag Welche Daten darf ich in ChatGPT eingeben?. Wenn auch die Datenschutzerklärung Ihrer Website ansteht, hilft der Beitrag Kann ich eine Datenschutzerklärung mit KI erstellen?, denn beide Dokumente sollten zueinander passen.

Beispiel: ein Elektrobetrieb mit sechs Leuten

Dieses Beispiel ist konstruiert und dient nur der Veranschaulichung; es beschreibt keinen echten Betrieb. Eine Elektromeisterin aus dem Landkreis Starnberg bittet einen KI-Chat um ein Verarbeitungsverzeichnis und erhält eine Tabelle mit Videoüberwachung und Newsletter. Beides gibt es in ihrem Betrieb nicht, die Lohnabrechnung über den Steuerberater fehlt dagegen. Sie macht daraufhin mit ihrer Bürokraft den Wochenrundgang und kommt auf fünf Tätigkeiten: Kundenverwaltung, Angebote und Rechnungen, Lohnabrechnung, Personalverwaltung und Website. Die KI ordnet die Stichworte in die Spalten des BayLDA-Musters und schreibt bei den Löschfristen der Kundenverwaltung „Angabe fehlt“. Diese Frage klärt die Inhaberin mit ihrem Steuerberater, bevor sie das Verzeichnis ablegt.

Grenzen und typische Fehler

• Die KI soll ein Verzeichnis „für einen Handwerksbetrieb“ schreiben, ohne dass die Tätigkeiten im eigenen Betrieb erfasst sind.
• Der Betrieb geht davon aus, unter 250 Beschäftigten kein Verzeichnis zu brauchen, obwohl Lohnabrechnung und Kundenverwaltung laufend stattfinden.
• Empfänger wie Steuerberater, Hosting-Anbieter oder Cloud-Dienste fehlen.
• Löschfristen stammen von der KI statt aus Ihren Vorgaben oder denen Ihres Steuerberaters.
• Die Tabelle nennt Tätigkeiten, die es im Betrieb nicht gibt.
• Echte Mitarbeiter- oder Kundendaten werden in einen KI-Chat kopiert.
• Das Verzeichnis wird einmal erstellt und nach einem neuen Programm oder Dienstleister nicht angepasst.
• Verzeichnis und Datenschutzerklärung beschreiben unterschiedliche Dienste.

Wann diese Empfehlung nicht passt

• Wenn Ihr Betrieb Videoüberwachung einsetzt, Mitarbeitende ortet oder Gesundheitsdaten in größerem Umfang verarbeitet, etwa als Praxis oder Pflegedienst, dann ziehen Sie einen Datenschutzbeauftragten oder eine Fachberatung hinzu. Videoüberwachung und die Ortung von Mitarbeitenden nennt die DSK als Beispiele für Verarbeitungen mit Risiko. Gesundheitsdaten zählen zu den besonderen Datenkategorien nach Art. 9 DSGVO.
• Wenn Sie bereits einen Datenschutzbeauftragten haben, der das Verzeichnis führt, dann liefern Sie ihm die Ergebnisse des Wochenrundgangs, statt eine zweite Fassung mit KI zu erstellen.
• Wenn die Aufsichtsbehörde das Verzeichnis angefordert hat, dann holen Sie fachkundige Unterstützung, statt unter Zeitdruck eine KI-Fassung einzureichen.

Checkliste

• ☐ Wochenrundgang mit der Person gemacht, die Büro und Abrechnung kennt
• ☐ Jede Tätigkeit mit personenbezogenen Daten als eigene Zeile erfasst
• ☐ Spalten nach Art. 30 Abs. 1 DSGVO oder dem BayLDA-Muster angelegt
• ☐ KI nur mit Stichworten beauftragt, ohne echte Personendaten
• ☐ Alle Stellen mit „Angabe fehlt“ geklärt
• ☐ Zusätze der KI wie fremde Tätigkeiten oder Fristen gestrichen
• ☐ Empfänger wie Steuerberater und Dienstleister eingetragen
• ☐ Verträge zur Auftragsverarbeitung geprüft
• ☐ Verzeichnis mit Datum abgelegt und auf Deutsch vorlegbar
• ☐ Änderungen ab jetzt nachvollziehbar notiert

Quellen

• Art. 30 DSGVO – Verzeichnis von Verarbeitungstätigkeiten, dsgvo-gesetz.de, abgerufen am 11.11.2026
• Datenschutzkonferenz (DSK), „Hinweise zum Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DS-GVO“ (PDF), abgerufen am 11.11.2026
• Bayerisches Landesamt für Datenschutzaufsicht, „Muster 3: Handwerksbetrieb – Verzeichnis von Verarbeitungstätigkeiten“ (PDF), abgerufen am 11.11.2026
• Bayerisches Landesamt für Datenschutzaufsicht, „Informationen für kleine Unternehmen“, abgerufen am 11.11.2026
• Anthropic, „Reduce hallucinations“, Claude Platform Docs, abgerufen am 11.11.2026

Über den Autor

Ben Kübrich ist IT- und KI-Berater und führt LIBUCO® mit Sitz in Gilching. Er begleitet inhabergeführte Betriebe im Landkreis Starnberg, in Fürstenfeldbruck und im Münchner Umland dabei, KI im Arbeitsalltag so einzusetzen, dass Verantwortung und Prüfung beim Menschen bleiben. Er ist kein Rechtsanwalt und kein Datenschutzbeauftragter; rechtliche Fragen zum Verzeichnis gehören zu Fachleuten.

Nächster Schritt

Sie möchten klären, welche Dokumentationsarbeit in Ihrem Betrieb Sie mit KI vorbereiten können und wo Fachleute gefragt sind? Das besprechen wir gern in einem kostenlosen Kennenlerngespräch: 30 Minuten, per Video oder Telefon, unverbindlich. Bringen Sie die Notizen aus Ihrem Wochenrundgang mit, dann wird es konkret.