Wer muss ein Verarbeitungsverzeichnis führen?

Grundsätzlich jeder Verantwortliche und jeder Auftragsverarbeiter. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift nur, wenn die Verarbeitung nicht riskant ist, nur gelegentlich erfolgt und keine besonderen Datenkategorien betrifft – in der Praxis fast nie vollständig erfüllt.

Welche Pflichtangaben gehören in das VVT?

Nach Art. 30 Abs. 1 DSGVO: Verantwortlicher/DSB, Zwecke, Kategorien betroffener Personen und Daten, Empfängerkategorien, Drittlandübermittlungen mit Garantien, Löschfristen und – soweit möglich – eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM).

Ist das VVT Pflicht bei kleinen Unternehmen?

In den allermeisten Fällen ja. Sobald personenbezogene Daten regelmäßig (z. B. Personal- oder Kundendaten) oder besondere Kategorien verarbeitet werden, entfällt die Ausnahme. Praktisch sollten auch kleine Unternehmen ein VVT führen.

In welcher Form muss das VVT geführt werden?

Schriftlich, ausdrücklich auch in elektronischer Form. Auf Anfrage ist es der Aufsichtsbehörde zur Verfügung zu stellen. Es sollte laufend aktuell gehalten werden.

Wissen · Datenschutz

Verarbeitungsverzeichnis (VVT) nach Art. 30 DSGVO erstellen

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist die zentrale Bestandsaufnahme aller Prozesse, in denen ein Unternehmen personenbezogene Daten verarbeitet. Nach Art. 30 DSGVO muss es Pflichtangaben je Verarbeitung enthalten – etwa Zwecke, Datenkategorien, Empfänger, Löschfristen und die technisch-organisatorischen Maßnahmen. Verantwortliche und Auftragsverarbeiter sind grundsätzlich zur Führung verpflichtet; eine Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift nur eingeschränkt.

Rechtsgrundlage: Art. 30 DSGVO
Wer: Verantwortliche und Auftragsverarbeiter
Ausnahme: < 250 Beschäftigte – nur eingeschränkt
Form: schriftlich, auch elektronisch
Zweck: Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO)

Wer muss ein VVT führen?

Grundsätzlich jeder Verantwortliche und jeder Auftragsverarbeiter. Art. 30 Abs. 5 DSGVO nimmt Unternehmen mit weniger als 250 Beschäftigten aus – aber nur, wenn die Verarbeitung nicht risikobehaftet ist, nur gelegentlich erfolgt UND keine besonderen Datenkategorien (Art. 9) oder Daten über Straftaten betrifft. In der Praxis trifft mindestens eine dieser Bedingungen fast immer zu (z. B. Personaldaten laufend verarbeitet), sodass die Ausnahme selten greift. Faustregel: Führen Sie ein VVT.

Pflichtinhalte je Verarbeitungstätigkeit

Für den Verantwortlichen verlangt Art. 30 Abs. 1 DSGVO je Verarbeitung mindestens: Name und Kontaktdaten des Verantwortlichen (und ggf. des Datenschutzbeauftragten), die Zwecke der Verarbeitung, die Kategorien betroffener Personen und personenbezogener Daten, die Kategorien von Empfängern, etwaige Drittlandübermittlungen samt Garantien, die vorgesehenen Löschfristen und – wenn möglich – eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM) nach Art. 32.

Für den Auftragsverarbeiter gilt Art. 30 Abs. 2 mit reduziertem Umfang: Kontaktdaten, Kategorien der im Auftrag durchgeführten Verarbeitungen, Drittlandübermittlungen und eine allgemeine TOM-Beschreibung.

So gehen Sie praktisch vor

1. Prozesse identifizieren: Gehen Sie Abteilung für Abteilung durch (HR, Vertrieb, Marketing, IT, Buchhaltung) und erfassen Sie jede Tätigkeit, bei der personenbezogene Daten verarbeitet werden. 2. Je Prozess die Pflichtangaben ergänzen (Zweck, Rechtsgrundlage, Datenkategorien, Empfänger, Fristen). 3. Auftragsverarbeiter und Drittlandtransfers dokumentieren. 4. TOM verknüpfen. 5. Freigeben und aktuell halten – das VVT ist ein lebendes Dokument, kein Einmalprojekt.

Das VVT ist zugleich Grundlage für weitere Pflichten: Löschkonzept (Fristen), Datenschutz-Folgenabschätzung (bei hohem Risiko) und die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO – die Aufsichtsbehörde kann Einsicht verlangen.

VVT mit MGMSYS führen

Das DSMS-Modul in MGMSYS führt das Verarbeitungsverzeichnis strukturiert nach Art. 30 DSGVO – mit verknüpften TOM (Art. 32), Löschkonzept, Risikoanalyse, DSFA und Dienstleister-Register. Änderungen werden revisionssicher protokolliert, und aus dem VVT lassen sich Nachweise für die Aufsichtsbehörde als PDF erzeugen.

Häufige Fragen

Wer muss ein Verarbeitungsverzeichnis führen?: Grundsätzlich jeder Verantwortliche und jeder Auftragsverarbeiter. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift nur, wenn die Verarbeitung nicht riskant ist, nur gelegentlich erfolgt und keine besonderen Datenkategorien betrifft – in der Praxis fast nie vollständig erfüllt.
Welche Pflichtangaben gehören in das VVT?: Nach Art. 30 Abs. 1 DSGVO: Verantwortlicher/DSB, Zwecke, Kategorien betroffener Personen und Daten, Empfängerkategorien, Drittlandübermittlungen mit Garantien, Löschfristen und – soweit möglich – eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM).
Ist das VVT Pflicht bei kleinen Unternehmen?: In den allermeisten Fällen ja. Sobald personenbezogene Daten regelmäßig (z. B. Personal- oder Kundendaten) oder besondere Kategorien verarbeitet werden, entfällt die Ausnahme. Praktisch sollten auch kleine Unternehmen ein VVT führen.
In welcher Form muss das VVT geführt werden?: Schriftlich, ausdrücklich auch in elektronischer Form. Auf Anfrage ist es der Aufsichtsbehörde zur Verfügung zu stellen. Es sollte laufend aktuell gehalten werden.