Es gibt diesen einen Moment, den fast jeder Datenschutzbeauftragte im Mittelstand kennt. Die Aufsichtsbehörde meldet sich, bittet um das Verzeichnis von Verarbeitungstätigkeiten, und man öffnet die Excel-Datei, die vor zwei Jahren jemand aus einer kostenlosen Vorlage befüllt hat. Drei Tabs, vierzig Zeilen, die Hälfte davon veraltet. Der Vertrieb hat seit damals ein neues CRM eingeführt, die Personalabteilung ein Bewerbermanagement-Tool, und in einem Ordner auf dem Fileserver liegen sortenreine Kundendaten, von denen im Verzeichnis kein Wort steht.
Das ist der Punkt, an dem die kostenlose Vorlage ihren wahren Preis offenbart.
Die Suche nach der perfekten VVT-Excel-Vorlage ist verständlich. Sie ist gratis, sofort verfügbar und fühlt sich nach einem produktiven ersten Schritt an. Aber die Frage ist nicht, ob eine Vorlage besser ist als gar nichts. Die Frage ist, was ein Verzeichnis leisten muss, das der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO tatsächlich standhält – und ob eine statische Tabelle das über Jahre kann.
Was das Gesetz wirklich verlangt
Bevor man Vorlage gegen Automatik abwägt, lohnt der Blick auf den tatsächlichen Pflichtenkatalog. Art. 30 Abs. 1 DSGVO schreibt für jede Verarbeitungstätigkeit einen festen Satz von Angaben vor:** Zweck der Verarbeitung, Kategorien betroffener Personen, Kategorien personenbezogener Daten, Kategorien von Empfängern, Übermittlungen in Drittländer, Löschfristen “wenn möglich” und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.
Eine Vorlage bildet diese Spalten ab. Kein Problem. Das Problem beginnt einen Schritt früher: Woher wissen Sie, welche Verarbeitungstätigkeiten es in Ihrem Unternehmen überhaupt gibt?
📷 BILD-PLATZHALTER: Aufgeklappte Excel-Tabelle mit den Pflichtspalten aus Art. 30 DSGVO, mehrere Zeilen sind gelb markiert und tragen die Notiz “veraltet – bitte prüfen”.
Und der oft zitierte Rettungsanker – die angebliche Befreiung für kleine Unternehmen – trägt seltener, als viele denken. Art. 30 Abs. 5 DSGVO nimmt Unternehmen mit weniger als 250 Beschäftigten nur dann von der Pflicht aus, wenn die Verarbeitung nicht risikobehaftet ist, nur gelegentlich erfolgt und keine besonderen Kategorien nach Art. 9 oder Daten zu Strafsachen umfasst. Personaldaten und laufende Kundenverarbeitung sind aber nie “gelegentlich”. In der Praxis fällt die Ausnahme damit für fast jedes Unternehmen mit Angestellten weg. Wer sich auf den Freibrief verlässt, verlässt sich auf eine Bedingung, die er meistens gar nicht erfüllt.
Die drei Schwachstellen der kostenlosen Vorlage
1. Die Tabelle weiß nicht, was in Ihren Daten steht. Eine Vorlage ist ein leeres Formular. Sie zwingt niemanden, die Realität abzubilden – sie nimmt schlicht hin, was jemand einträgt. Ob in der Spalte “Kundendaten” tatsächlich auch Gesundheitsdaten oder Bankverbindungen schlummern, prüft die Excel-Datei nicht. Genau diese blinden Flecken sind es, die eine Prüfung teuer machen. Die Aufsichtsbehörde interessiert sich nicht für Ihr sauberes Formular, sondern für die Daten, die darin fehlen.
2. Das Verzeichnis veraltet ab der ersten Minute. Der Tag, an dem die Vorlage befüllt ist, ist der letzte Tag, an dem sie stimmt. Jedes neue Tool, jede neue Schnittstelle, jeder Datenexport verändert die Realität – die Tabelle nicht. Ein Verzeichnis ist kein Projekt mit Enddatum, sondern ein Dauerzustand. Und ein manuell gepflegtes Dokument ist genau so aktuell wie die Disziplin der Person, die daran denkt. Wer erinnert sich schon daran, ein Excel-Tab zu aktualisieren, wenn der Vertrieb heimlich ein neues Newsletter-Tool bucht?
3. Niemand trägt die Verantwortung sichtbar. In einer geteilten Excel-Datei ist am Ende jeder zuständig und damit keiner. Es gibt keine Historie, keine Freigabe, keine nachvollziehbare Änderungsspur. Kommt die Behörde, lässt sich nicht belegen, wer wann was auf welcher Grundlage eingetragen hat. Die Rechenschaftspflicht verlangt aber genau das: nicht nur ein Ergebnis, sondern den Nachweis, dass es entstanden ist.
Dazu kommt ein praktischer Folgeeffekt, den viele unterschätzen. Ein Verzeichnis ist nicht nur Selbstzweck, sondern Grundlage für andere Pflichten. Trifft ein Auskunftsersuchen nach Art. 15 DSGVO ein, das binnen eines Monats zu beantworten ist, brauchen Sie eine verlässliche Karte, in welchen Systemen die Daten einer Person überhaupt liegen. Eine veraltete Excel-Liste schickt Sie hier auf die falsche Fährte – und jede vergessene Datenquelle wird zur unbeantworteten Betroffenenanfrage.
📷 BILD-PLATZHALTER: Gegenüberstellung zweier Bildschirme – links eine statische Excel-Liste, rechts ein automatisch erzeugtes Verzeichnis mit farbigen Markierungen für erkannte personenbezogene Datenfelder.
Was “automatisch generieren” konkret bedeutet
Der Begriff klingt nach Magie, meint aber etwas Bodenständiges: Statt das Formular von Hand zu füllen, wird das Verzeichnis aus dem abgeleitet, was tatsächlich in den Datenquellen liegt. Ein Tool analysiert die angeschlossenen Datenbanken, Datei-Uploads und Tabellen, erkennt in den Spalten personenbezogene Daten – E-Mail-Adressen, Namen, Steuer-IDs, Gesundheitsangaben – und schlägt daraus die Verarbeitungstätigkeiten mit ihren Datenkategorien vor.
Der Unterschied ist grundlegend. Die Vorlage fragt Sie, was Sie verarbeiten. Die automatische Analyse zeigt Ihnen, was Sie verarbeiten. Das eine beruht auf Erinnerung, das andere auf dem Ist-Zustand.
Das verschiebt auch die Reihenfolge der Arbeit. Bei der Vorlage steht am Anfang die mühsame Bestandsaufnahme: Man muss erst wissen, was es gibt, bevor man es einträgt. Bei der Analyse steht die Bestandsaufnahme am Ende – als Ergebnis, nicht als Voraussetzung. Wer die Datenquellen anschließt, bekommt die Inventur geschenkt und beginnt dort, wo die Vorlagen-Nutzer nach zwei Wochen Abteilungsbefragung erst ankommen. Das größte Risiko ist nie die Zeile, die falsch ausgefüllt ist, sondern die Zeile, die niemand geschrieben hat.
Genau an dieser Stelle setzt datamastr an: Die Plattform durchsucht die tatsächlichen Datenbestände, klassifiziert die Felder nach Datenkategorie und Art-9-Relevanz und erzeugt daraus einen Entwurf des Verzeichnisses – inklusive der Kennzeichnung, wo besondere Kategorien nach Art. 9 DSGVO auftauchen. Was der Mensch noch tut, ist prüfen, ergänzen und die Rechtsgrundlage nach Art. 6 DSGVO bestätigen. Die stumpfe Fleißarbeit – das Zusammensuchen, das Abtippen, das Vergessen – entfällt.
Wo die Automatik ihre Grenzen hat – und wo nicht
Ehrlich bleiben heißt auch: Ein Tool kann nicht wissen, warum Sie Daten verarbeiten. Der Zweck, die Rechtsgrundlage, die vertragliche Beziehung zum Auftragsverarbeiter – das sind rechtliche Bewertungen, die eine Maschine nicht abnimmt. Ein automatisch generiertes Verzeichnis ist deshalb kein fertiges Dokument auf Knopfdruck, sondern ein belastbarer Entwurf, der die 80 Prozent Grundarbeit übernimmt, damit der Mensch sich um die 20 Prozent kümmern kann, die wirklich Urteilsvermögen brauchen.
Was die Automatik dagegen zuverlässig löst, ist genau das, woran Vorlagen scheitern: die Vollständigkeit. Vergessene Datenquellen, undokumentierte Spalten mit versteckten personenbezogenen Daten, die berüchtigte Schatten-IT – das findet eine Analyse der echten Daten, kein Formular. Und weil die Grundlage die realen Bestände sind, lässt sich das Verzeichnis wiederholt erzeugen, wenn sich etwas ändert, statt es Jahr für Jahr von Hand nachzupflegen.
Die Rechnung, die niemand aufmacht
Kostenlose Vorlage klingt nach null Euro. Aber die Vorlage kostet Arbeitszeit – Tage, in denen jemand Abteilungen befragt, Tools inventarisiert, Spalten sortiert. Sie kostet Aktualität, weil das Ergebnis ab Tag eins zerfällt. Und im schlimmsten Fall kostet sie sehr real: Verstöße gegen die Verzeichnispflicht sind nach Art. 83 Abs. 4 DSGVO mit Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bewehrt. Nicht wegen der leeren Zellen, sondern wegen der Daten, die in keinem Verzeichnis standen.
📷 BILD-PLATZHALTER: Einfache Waage-Grafik, auf der einen Seite eine Excel-Datei mit dem Label “gratis, aber lückenhaft”, auf der anderen ein Verzeichnis-Symbol mit dem Label “vollständig aus echten Daten”.
Ein automatisch erzeugtes Verzeichnis muss dafür kein Enterprise-Budget verschlingen. Der FREE-Einstieg bei datamastr ist kostenlos (1 Nutzer, 3 Datenbestände), der TEAM-Tarif liegt bei 399 Euro/Monat bei jährlicher Abrechnung – deutlich unter dem, was ein einziger vergessener Datenbestand in einer Prüfung kosten kann.
Die eigentliche Entscheidung ist also nicht “gratis gegen bezahlt”. Sie ist “ein Formular, das hofft, dass Sie an alles gedacht haben” gegen “eine Analyse, die nachschaut”. Für ein Dokument, das im Ernstfall vor der Aufsichtsbehörde bestehen muss, ist das ein ziemlich klarer Fall.
Wenn Sie wissen wollen, wie belastbar Ihr aktueller Stand ist, machen Sie den kostenlosen DSGVO-Schnellcheck unter https://app.datamastr.com/dsgvo-check/ – 12 Fragen, 3 Minuten, Sofort-Ergebnis. Danach wissen Sie, ob Ihre Excel-Vorlage reicht oder ob in Ihren Daten mehr steckt, als die Tabelle verrät.