Über die Dokumentvorlage
DSGVO-Verzeichnis von Verarbeitungstätigkeiten / RoPA 2026 – komplettes Vorlagenpaket in Word, PDF und Excel
Ein vollständiges Arbeitsinstrument für das Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30 DSGVO. Das Paket wurde für schwedische Unternehmen und Organisationen entwickelt, die ihre Verarbeitung personenbezogener Daten dokumentieren, strukturieren und laufend nachverfolgen müssen.
Sie erhalten sowohl eine professionelle Word-/PDF-Unterlage als auch ein praktisches Excel-Verzeichnis mit separaten Bereichen für Verantwortliche und Auftragsverarbeiter, Löschkonzept, Rechtsgrundlagen, Lieferanten/Auftragsverarbeiter sowie eine Kontrolle der obligatorischen Angaben.
Das ist enthalten
- Verzeichnis von Verarbeitungstätigkeiten für Verantwortliche
- Verzeichnis von Verarbeitungstätigkeiten für Auftragsverarbeiter
- Löschkonzept / Speicherbegrenzung
- Matrix der Rechtsgrundlagen gemäß Artikel 6 DSGVO
- Kontrolle sensibler personenbezogener Daten gemäß Artikel 9
- Kontrolle von Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10
- Dokumentation von Empfängern und Auftragsverarbeitern
- Dokumentation von Drittlandübermittlungen und Übermittlungsmechanismen
- Umfassende technische und organisatorische Sicherheitsmaßnahmen
- DSB-Status (Datenschutz-Folgenabschätzung) und Datenschutzinformationen als praktische Kontrollfelder
- Lieferanten- und Auftragsverarbeiterregister
- Jährliche/laufende Checkliste
- Überprüfungsprotokoll
- Beispieldatensatz für Kunden- und Auftragsverwaltung
Excel-Tool mit automatischer Qualitätskontrolle
Die Excel-Datei ist für die tatsächliche laufende Nutzung konzipiert. Sie enthält unter anderem:
- Übersicht mit Kennzahlen
- 200 vorbereitete Zeilen für Verarbeitungstätigkeiten des Verantwortlichen
- 200 vorbereitete Zeilen für Verarbeitungen des Auftragsverarbeiters
- automatisches Feld mit Anzeige Fertig oder Ergänzen
- Warnhinweis für sensible Daten und Drittlandübermittlungen
- Dropdown-Menüs für Rechtsgrundlage, DPIA-Status und Status
- Erinnerungsmarkierung bei Fälligkeit der nächsten Überprüfung
- separates Löschkonzept
- separate Lieferanten-/Auftragsverarbeiterliste
- Rechtsquellen und Links zur schwedischen Datenschutzbehörde (IMY) und EUR-Lex
Was muss gemäß Artikel 30 enthalten sein?
Für einen Verantwortlichen muss das Verzeichnis unter anderem Kontaktdaten, Verarbeitungszwecke, Kategorien betroffener Personen und personenbezogener Daten, Empfänger, etwaige Drittlandübermittlungen und – sofern möglich – geplante Löschfristen sowie eine allgemeine Beschreibung der Sicherheitsmaßnahmen umfassen.
Auftragsverarbeiter haben eine separate Anforderung an das Verzeichnis, die unter anderem die Verantwortlichen, für die sie Daten verarbeiten, die Kategorien der Verarbeitung, Drittlandübermittlungen und – sofern möglich – Sicherheitsmaßnahmen umfasst.
Auch kleinere Unternehmen können betroffen sein
Es gibt eine begrenzte Ausnahme für Organisationen mit weniger als 250 Mitarbeitern; diese Ausnahme gilt jedoch nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, voraussichtlich ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt oder sensible personenbezogene Daten bzw. Daten über Straftaten umfasst. Wiederkehrende Prozesse wie die Gehaltsabrechnung sind daher ein klares Beispiel für Verarbeitungen, die registrierungspflichtig sein können.
Löschkonzept als Ergänzung
Die DSGVO basiert auf dem Grundsatz der Speicherbegrenzung. Personenbezogene Daten dürfen nicht länger gespeichert werden, als dies für den Zweck erforderlich ist, sofern kein anderes Gesetz eine längere Aufbewahrung erfordert. Das Vorlagenpaket enthält daher ein separates Löschkonzept, in dem das Unternehmen Startzeitpunkte, Löschfristen oder Kriterien, gesetzliche Anforderungen, Systeme und Zuständigkeiten dokumentieren kann.
Matrix der Rechtsgrundlagen
Das Paket bietet Unterstützung für die sechs Rechtsgrundlagen gemäß Artikel 6:
- Einwilligung
- Vertragserfüllung
- rechtliche Verpflichtung
- Schutz lebenswichtiger Interessen
- öffentliches Interesse / Ausübung öffentlicher Gewalt
- Interessenabwägung
Die Vorlage erinnert zudem daran, dass die Verarbeitung sensibler personenbezogener Daten eine zusätzliche Rechtsgrundlage gemäß Artikel 9 erfordert und dass Daten über Straftaten in Artikel 10 gesondert geregelt sind.
Drittlandübermittlungen
Das Verzeichnis enthält spezielle Felder für das Land oder die internationale Organisation sowie für Übermittlungsmechanismen, wie z. B. Angemessenheitsbeschlüsse oder Standarddatenschutzklauseln (SCC). Dies erleichtert die konsistente Pflege des Verzeichnisses, der Auftragsverarbeitungsverträge (AVV), der Unterauftragsverarbeiterliste und der Datenschutzinformationen.
Unter anderem geeignet für
- Aktiengesellschaften und kleinere Unternehmen
- E-Commerce-Unternehmen
- SaaS- und IT-Unternehmen
- Arbeitgeber und Personalabteilungen
- Beratungs- und Dienstleistungsunternehmen
- Organisationen, die personenbezogene Daten im Auftrag von Kunden verarbeiten
- Unternehmen, die ihre DSGVO-Arbeit strukturieren oder aktualisieren müssen
Rechtsgrundlage
Die Vorlage wurde rechtlich am 2. Oktober 2026 unter besonderer Berücksichtigung folgender Aspekte geprüft:
- Verordnung (EU) 2016/679 (DSGVO), insbesondere Artikel 5, 6, 9, 10, 13–14, 28, 30 und 32
- Relevante ergänzende nationale Bestimmungen zur EU-Datenschutz-Grundverordnung
- Aktuelle Leitlinien der schwedischen Datenschutzbehörde (IMY)
Häufig gestellte Fragen
Ist das Verzeichnis der Verarbeitungstätigkeiten dasselbe wie eine Datenschutzerklärung?
Nein. Das Verzeichnis ist eine interne Dokumentation gemäß Artikel 30. Datenschutzinformationen gemäß den Artikeln 13–14 sind Informationen, die den betroffenen Personen bereitgestellt werden.
Benötigt ein kleines Unternehmen wirklich ein Verzeichnis von Verarbeitungstätigkeiten?
Das hängt von den Verarbeitungen ab. Die Ausnahme für weniger als 250 Mitarbeiter ist begrenzt. Regelmäßige Verarbeitungen, risikoreiche Verarbeitungen sowie die Verarbeitung besonderer Kategorien oder Daten über Straftaten können unter die Verzeichnispflicht fallen.
Kann ich die Excel-Datei als mein tatsächliches RoPA-Verzeichnis verwenden?
Ja. Sie ist für eine laufende elektronische Verzeichnisführung strukturiert, aber der Inhalt muss an die tatsächlichen Verarbeitungen der Organisation angepasst werden.
Gibt die Vorlage feste Speicherfristen vor?
Nein. Die Speicherdauer muss basierend auf dem Zweck und eventuellen gesetzlichen Aufbewahrungspflichten bewertet werden. Die Vorlage unterstützt Sie dabei, die Entscheidung zu dokumentieren, ohne eine pauschale Frist für alle Unternehmen vorzugeben.
Format: Word (DOCX) + PDF + Excel (XLSX)
Sprache: Schwedisch
Rechtsraum: Schweden / EU-DSGVO
Version: 1.0 – 02.10.2026
Die Vorlagen sind allgemeine Arbeitsunterlagen und ersetzen keine individuelle Rechtsberatung. Bitte passen Sie diese stets an die tatsächliche Verarbeitung, den Sektor, die Systeme, Verträge und anwendbare Spezialgesetzgebung an.
