Verzeichnis von Verarbeitungstätigkeiten (VVT) – Pflichten nach Art. 30 DSGVO

Was ist ein Verzeichnis von Verarbeitungstätigkeiten?

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist eine Dokumentation aller Prozesse, in denen ein Unternehmen personenbezogene Daten verarbeitet. Für jede Verarbeitung hält es fest, welche Daten zu welchem Zweck genutzt werden, wer sie erhält und wann sie gelöscht werden. Vorgeschrieben ist es in Art. 30 der DSGVO.

Das VVT ist die Grundlage für fast alle weiteren Datenschutzaufgaben: für Auskünfte an Betroffene, das Löschkonzept, die Prüfung von AV-Verträgen und die Entscheidung, ob eine Datenschutz-Folgenabschätzung nötig ist. Früher hieß es nach altem BDSG Verfahrensverzeichnis.

Wer muss ein Verzeichnis von Verarbeitungstätigkeiten führen?

Grundsätzlich jedes Unternehmen, das personenbezogene Daten verarbeitet. Auch Auftragsverarbeiter müssen ein eigenes, kürzeres Verzeichnis führen über die Tätigkeiten, die sie für ihre Kunden erledigen (Art. 30 Abs. 2 DSGVO).

Gilt die Ausnahme für Unternehmen unter 250 Mitarbeitenden?

Art. 30 Abs. 5 DSGVO befreit Unternehmen mit weniger als 250 Beschäftigten. Die Ausnahme gilt aber nicht, wenn die Verarbeitung:

• ein Risiko für die Rechte der Betroffenen birgt,
• nicht nur gelegentlich erfolgt, oder
• besondere Kategorien wie Gesundheitsdaten oder Daten über Straftaten umfasst.

In der Praxis greift die Ausnahme deshalb fast nie. Schon die monatliche Lohnabrechnung ist eine regelmäßige Verarbeitung, und sie enthält oft Angaben zur Religionszugehörigkeit für die Kirchensteuer. Gehen Sie davon aus, dass Sie ein VVT brauchen.

Was muss im Verzeichnis von Verarbeitungstätigkeiten stehen?

Art. 30 Abs. 1 DSGVO legt die Pflichtangaben fest. Für jede Verarbeitungstätigkeit gehören hinein:

1. Name und Kontaktdaten des Unternehmens und gegebenenfalls des Datenschutzbeauftragten
2. die Zwecke der Verarbeitung
3. die Kategorien betroffener Personen, etwa Beschäftigte, Kunden, Bewerber
4. die Kategorien personenbezogener Daten, etwa Kontaktdaten, Bankdaten, Gesundheitsdaten
5. die Empfänger, auch Dienstleister und Behörden
6. Übermittlungen in Drittländer und die Garantien dafür
7. die vorgesehenen Löschfristen, wenn möglich
8. eine allgemeine Beschreibung der TOM, wenn möglich

Die Rechtsgrundlage ist nicht ausdrücklich vorgeschrieben. Sie sollte trotzdem drinstehen, weil Sie die Rechtmäßigkeit jeder Verarbeitung nachweisen müssen (Rechenschaftspflicht). Das VVT muss schriftlich geführt werden, elektronisch reicht. Auf Anfrage müssen Sie es der Aufsichtsbehörde vorlegen (Art. 30 Abs. 3 und 4).

Welche Verarbeitungen hat ein typisches mittelständisches Unternehmen?

Die meisten Unternehmen kommen auf 15 bis 30 Einträge. Diese Verarbeitungen finden sich fast überall:

• Personal: Personalakte, Lohnabrechnung, Zeiterfassung, Bewerbungen
• Kunden und Vertrieb: Kundenverwaltung im CRM, Angebote, Auftragsabwicklung
• Finanzen: Buchhaltung, Rechnungsstellung, Mahnwesen
• Website und Marketing: Kontaktformular, Newsletter, Analyse-Tools, Social Media
• IT: E-Mail, Benutzerkonten, Protokolldaten, Datensicherung
• Gebäude: Zutrittskontrolle, Videoüberwachung, Besucherverwaltung

So erstellen Sie ein Verzeichnis von Verarbeitungstätigkeiten in 6 Schritten

1. Abteilungen befragen: Gehen Sie Bereich für Bereich durch: Personal, Vertrieb, Buchhaltung, IT, Marketing. Fragen Sie: Welche Daten über Personen nutzt ihr, wofür und in welchem System?
2. Verarbeitungen abgrenzen: Fassen Sie zusammen, was einem gemeinsamen Zweck dient. „Lohnabrechnung“ ist ein Eintrag, nicht jede einzelne Gehaltsliste.
3. Pflichtangaben erfassen: Für jeden Eintrag Zweck, Rechtsgrundlage, Betroffene, Datenarten, Empfänger und Löschfrist festhalten.
4. Dienstleister zuordnen: Bei jedem externen Empfänger prüfen, ob ein AV-Vertrag nötig ist und ob Daten in Drittländer gehen.
5. Risiken bewerten: Markieren Sie Verarbeitungen mit hohem Risiko, etwa Gesundheitsdaten, Videoüberwachung oder KI-Einsatz. Für sie kann eine Datenschutz-Folgenabschätzung nötig sein.
6. Aktuell halten: Neue Software, neue Dienstleister oder geänderte Prozesse gehören sofort ins Verzeichnis. Prüfen Sie es mindestens einmal im Jahr komplett.

Ob Sie das VVT in einer Tabelle, einem Word-Dokument oder einer Datenschutzsoftware führen, schreibt das Gesetz nicht vor. Wichtig ist, dass es vollständig und aktuell ist. Vorlagen bieten die Aufsichtsbehörden und die Datenschutzkonferenz (DSK) an.

Aus der Praxis

Ein Verzeichnis, das einmal erstellt und dann vergessen wird, verliert schnell seinen Wert. Typisch ist, dass neue Cloud-Dienste oder KI-Werkzeuge im Alltag eingeführt werden, ohne dass sie im VVT auftauchen. Bei unseren Mandanten verknüpfen wir das Verzeichnis deshalb mit der IT-Dokumentation: Was in der Netzwerkdokumentation neu auftaucht, wird auch im VVT geprüft.

Häufige Fragen zum Verzeichnis von Verarbeitungstätigkeiten

Was ist der Unterschied zwischen VVT und Verfahrensverzeichnis?

Inhaltlich kaum einer. „Verfahrensverzeichnis“ ist der Begriff aus dem alten Bundesdatenschutzgesetz vor 2018. Seit der DSGVO spricht man vom Verzeichnis von Verarbeitungstätigkeiten.

Muss ich das VVT veröffentlichen?

Nein. Das VVT ist ein internes Dokument. Sie müssen es nur der Aufsichtsbehörde auf Anfrage vorlegen.

Wer ist für das VVT verantwortlich?

Die Geschäftsleitung. Der Datenschutzbeauftragte berät und unterstützt bei Erstellung und Pflege, die Verantwortung bleibt aber beim Unternehmen.

Was passiert, wenn kein VVT vorhanden ist?

Ein fehlendes oder unvollständiges VVT ist ein Verstoß gegen Art. 30 DSGVO. Dafür sind Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes möglich (Art. 83 Abs. 4 DSGVO). Bei Prüfungen fragen Aufsichtsbehörden oft als Erstes nach dem Verzeichnis.

Wie oft muss das VVT aktualisiert werden?

Bei jeder Änderung einer Verarbeitung, etwa bei neuer Software oder einem neuen Dienstleister. Zusätzlich empfiehlt sich eine vollständige Prüfung einmal im Jahr.

Fazit

Das Verzeichnis von Verarbeitungstätigkeiten ist für fast jedes Unternehmen Pflicht, auch unter 250 Mitarbeitenden. Es zeigt auf einen Blick, wo personenbezogene Daten verarbeitet werden, und ist die Grundlage für Löschkonzept, Auskunft und Risikobewertung. Wer es mit der IT-Dokumentation verknüpft und regelmäßig pflegt, ist bei Kontrollen gut vorbereitet.

Verwandte Begriffe im Glossar

• Auftragsverarbeitungsvertrag (AV-Vertrag)
• Datenschutz-Folgenabschätzung (DSFA)
• Datenschutzbeauftragter (DSB)
• Auskunftsrecht nach Art. 15 DSGVO
• Löschkonzept
• Pseudonymisierung und Anonymisierung
• Drittlandübermittlung und EU-US Data Privacy Framework

Quellen und Rechtsgrundlagen

• Datenschutz-Grundverordnung (EU) 2016/679, insbesondere Art. 30, EUR-Lex
• Datenschutzkonferenz (DSK): Kurzpapiere und Hinweise
• Landesbeauftragte für Datenschutz und Informationsfreiheit NRW