Verzeichnis von Verarbeitungstätigkeiten: VVT nach Art. 30 DSGVO richtig führen

Ein Verzeichnis von Verarbeitungstätigkeiten zeigt, welche personenbezogenen Daten eine Organisation zu welchen Zwecken verarbeitet. Außerdem bildet das VVT die Grundlage für Datenschutzhinweise, Löschfristen, Dienstleisterprüfungen und viele weitere Aufgaben der Datenschutzorganisation.

Art. 30 DSGVO Für Kommunen Für Unternehmen VVT-Pflichtangaben Pflege und Aktualisierung

Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO für Kommunen und Unternehmen

Kurzantwort

Verantwortliche müssen grundsätzlich ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO führen. Darin werden zusammengehörige Verarbeitungsvorgänge nach ihrem Zweck beschrieben.

Auch kleine Unternehmen benötigen meist ein VVT, weil Kundenverwaltung, Beschäftigtendaten, Buchhaltung oder Websitebetrieb nicht nur gelegentlich erfolgen. Bayerische öffentliche Stellen können sich auf die Ausnahme für Organisationen mit weniger als 250 Beschäftigten ohnehin nicht berufen.

Das Verzeichnis muss schriftlich oder elektronisch geführt, aktuell gehalten und der Aufsichtsbehörde auf Anfrage vorgelegt werden. Allerdings besteht kein allgemeines öffentliches Einsichtsrecht nach Art. 30 DSGVO.

Rechenschaftspflicht

Warum ist das Verzeichnis von Verarbeitungstätigkeiten so wichtig?

Das Verzeichnis von Verarbeitungstätigkeiten schafft einen strukturierten Überblick über die personenbezogenen Datenverarbeitungen einer Organisation. Dadurch kann der Verantwortliche erkennen, welche Zwecke, Personengruppen, Datenarten, Empfänger und Systeme betroffen sind.

Außerdem unterstützt das VVT die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Die Aufsichtsbehörde soll anhand des Verzeichnisses eine erste Rechtmäßigkeitskontrolle durchführen können.

Darüber hinaus ist das Dokument ein praktisches Arbeitsmittel. Ein aktueller Eintrag erleichtert insbesondere die Erstellung von Datenschutzhinweisen, die Bearbeitung von Auskunftsanfragen, die Festlegung von Löschfristen sowie die Prüfung von Dienstleistern und Drittlandübermittlungen.

Ein VVT ist keine bloße Inventarliste von Software. Entscheidend sind die Verarbeitungstätigkeiten und ihre Zwecke, nicht die Zahl der eingesetzten Programme.

Art. 30 DSGVO

Wer muss ein Verzeichnis von Verarbeitungstätigkeiten führen?

Grundsätzlich führt jeder Verantwortliche ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen. Das gilt für Unternehmen, Vereine, Praxen, Kommunen, Behörden und andere Organisationen.

Zudem müssen Auftragsverarbeiter ein eigenes Verzeichnis nach Art. 30 Abs. 2 DSGVO führen. Dieses enthält jedoch andere Angaben als das VVT des Verantwortlichen.

Außerdem bleiben gemeinsam Verantwortliche dokumentationspflichtig. Daher sollten sie ihre jeweiligen Zuständigkeiten und die gemeinsam festgelegten Zwecke im eigenen Datenschutzmanagement nachvollziehbar abbilden.

Dabei ist das Verzeichnis schriftlich zu führen. Allerdings erlaubt Art. 30 Abs. 3 DSGVO ausdrücklich auch ein elektronisches Format, etwa eine geeignete Tabelle, Datenbank oder Datenschutzmanagementsoftware.

Ausnahme unter 250 Beschäftigten

Wann brauchen kleine Unternehmen ein Verzeichnis von Verarbeitungstätigkeiten?

Art. 30 Abs. 5 DSGVO enthält zwar eine Ausnahme für Unternehmen oder Einrichtungen mit weniger als 250 Beschäftigten. Dennoch ist diese Ausnahme eng gefasst.

Sie greift nicht, wenn die Verarbeitung voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien beziehungsweise strafrechtliche Daten einschließt.

Zum Beispiel laufen Kundenverwaltung, Personalverwaltung, Buchhaltung, E-Mail-Kommunikation und Websitebetrieb regelmäßig. Deshalb benötigen auch kleine Unternehmen meistens ein Verzeichnis von Verarbeitungstätigkeiten.

Dabei ist der Begriff „nicht nur gelegentlich“ entscheidend. Schon eine dauerhaft geführte Kunden- oder Mitgliederverwaltung verhindert regelmäßig, dass sich die Organisation vollständig auf die Ausnahme berufen kann.

In der Praxis ist ein schlankes VVT meist einfacher und sicherer als eine komplizierte Prüfung, ob jede einzelne Verarbeitung unter die Ausnahme fällt.

Bayerische öffentliche Stellen

Was sagt der BayLfD zum Verzeichnis von Verarbeitungstätigkeiten?

Der BayLfD stellt klar, dass jede bayerische öffentliche Stelle ein Verzeichnis führen muss, sobald sie personenbezogene Daten im Anwendungsbereich der DSGVO verarbeitet. Die Ausnahme aus Art. 30 Abs. 5 DSGVO findet nach Art. 31 Satz 2 BayDSG keine Anwendung.

Zusätzlich verlangt Art. 31 Satz 1 BayDSG bei bayerischen öffentlichen Stellen die Aufnahme der Rechtsgrundlage und gegebenenfalls der Verwendung von Profiling.

Außerdem betont der BayLfD die laufende Aktualisierung. Neue Aufgaben, geänderte Rechtsnormen, neue Software, andere Empfänger oder zusätzliche Drittlandtransfers müssen deshalb in den betroffenen Einträgen nachvollzogen werden.

Dabei liegt die Verantwortung bei der öffentlichen Stelle. Der behördliche Datenschutzbeauftragte kann beraten, überwachen oder die zentrale Verwaltung unterstützen, darf aber nicht zum alleinigen Ersteller sämtlicher Inhalte gemacht werden.

Gerade bei Kommunen sollten Fachbereiche Änderungen frühzeitig an die Stelle melden, die das VVT verwaltet. Sonst bleibt das Verzeichnis trotz guter Vorlage dauerhaft unvollständig.

Bayerische Unternehmen

Was sagt der BayLDA zum VVT?

Zum Beispiel stellt das BayLDA für verschiedene kleine Unternehmen und Branchen einfache Musterverzeichnisse bereit. Dazu gehören beispielsweise Handwerksbetriebe, Einzelhändler, Arztpraxen, Vereine, Beherbergungsbetriebe und Online-Shops.

Allerdings müssen solche Muster an den tatsächlichen Betrieb angepasst werden. Ein Muster kann typische Verarbeitungstätigkeiten zeigen, bildet aber weder individuelle Software noch besondere Dienstleister, Datenflüsse oder Löschfristen automatisch richtig ab.

In seinem aktuellen Praxis-Check für Soloselbstständige und Kleinstunternehmen empfiehlt das BayLDA zudem eine Compliance-Erweiterung des VVT. Dadurch können Rechtsgrundlagen, Löschfristen und Drittlandtransfers direkt mit den jeweiligen Verarbeitungstätigkeiten verbunden werden.

Folglich kann das Verzeichnis auch in kleinen Unternehmen als zentrale Datenschutzübersicht dienen, sofern es verständlich, aktuell und auf die tatsächlichen Abläufe zugeschnitten ist.

Art. 30 Abs. 1 DSGVO

Welche Pflichtangaben gehören in das Verzeichnis von Verarbeitungstätigkeiten?

Dabei muss das VVT des Verantwortlichen die gesetzlich vorgegebenen Angaben enthalten. Dabei wird jede Verarbeitungstätigkeit einzeln oder in einer sachgerechten Gruppe beschrieben.

Verantwortlicher und DSB

Name und Kontaktdaten des Verantwortlichen, gegebenenfalls gemeinsam Verantwortlicher, Vertreter und Datenschutzbeauftragter.

Verarbeitungszwecke

Die Zwecke müssen konkret erklären, warum die personenbezogenen Daten verarbeitet werden.

Betroffene Personen

Zum Beispiel Kunden, Beschäftigte, Bewerber, Bürger, Mitglieder, Lieferanten oder Websitebesucher.

Datenkategorien

Etwa Stammdaten, Kontaktdaten, Vertragsdaten, Zahlungsdaten, Gesundheitsdaten oder Nutzungsdaten.

Empfängerkategorien

Interne und externe Empfänger, gegenüber denen personenbezogene Daten offengelegt werden.

Drittlandübermittlungen

Übermittlungen an Drittländer oder internationale Organisationen einschließlich erforderlicher Garantien.

Löschfristen

Wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien.

Technische und organisatorische Maßnahmen

Wenn möglich, eine allgemeine Beschreibung der Schutzmaßnahmen nach Art. 32 DSGVO.

Rechtsgrundlagen gehören bei privaten Verantwortlichen nicht zu den ausdrücklich aufgezählten Pflichtangaben des Art. 30 Abs. 1 DSGVO. Dennoch ist ihre Ergänzung sinnvoll, weil jede Verarbeitung eine Rechtsgrundlage benötigt und das VVT dadurch als Compliance-Instrument nutzbarer wird.

Art. 30 Abs. 2 DSGVO

Wie unterscheidet sich das VVT eines Auftragsverarbeiters?

Dagegen dokumentiert ein Auftragsverarbeiter nicht sämtliche Zwecke des Auftraggebers wie ein Verantwortlicher. Stattdessen führt er ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die er im Auftrag verschiedener Verantwortlicher ausführt.

Dazu gehören insbesondere:

Name und Kontaktdaten des Auftragsverarbeiters sowie jedes Verantwortlichen, für den er tätig ist,
gegebenenfalls Vertreter und Datenschutzbeauftragte,
Kategorien der für jeden Verantwortlichen durchgeführten Verarbeitungen,
Drittlandübermittlungen und erforderliche Garantien,
wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.

Zum Beispiel kann ein Hostinganbieter, externer IT-Dienstleister oder Newsletteranbieter deshalb ein eigenes Auftragsverarbeiter-Verzeichnis benötigen. Dagegen ersetzt der AV-Vertrag nach Art. 28 DSGVO dieses Verzeichnis nicht.

Pflicht und sinnvolle Erweiterung

Müssen Rechtsgrundlagen im Verzeichnis von Verarbeitungstätigkeiten stehen?

Allerdings nennt Art. 30 Abs. 1 DSGVO die Rechtsgrundlage bei privaten Unternehmen nicht ausdrücklich als Pflichtangabe. Trotzdem sollte sie direkt beim jeweiligen Zweck dokumentiert werden.

Dadurch lassen sich Einwilligung, Vertrag, rechtliche Pflicht und berechtigtes Interesse sauber voneinander abgrenzen. Außerdem wird schneller sichtbar, wenn ein Zweck keine tragfähige Grundlage besitzt.

Für bayerische öffentliche Stellen ist die Lage anders. Art. 31 Satz 1 BayDSG verlangt ausdrücklich, dass die Rechtsgrundlage und gegebenenfalls die Verwendung von Profiling zusätzlich aufgenommen werden.

Daher sollten kommunale Einträge nicht lediglich „Art. 6 DSGVO“ nennen. Vielmehr ist die konkrete fachrechtliche oder kommunalrechtliche Befugnis möglichst genau zu bezeichnen.

Richtige Granularität

Wie werden Verarbeitungstätigkeiten sinnvoll abgegrenzt?

Eine Verarbeitungstätigkeit umfasst zusammengehörige Verarbeitungsvorgänge, die einem gemeinsamen festgelegten Zweck dienen. Daher sollte das VVT weder jede einzelne Handlung noch einen einzigen Sammelpunkt für die gesamte Organisation enthalten.

Zum Beispiel eignen sich folgende Bezeichnungen:

Kunden- und Vertragsverwaltung,
Bewerbungsverfahren,
Personalaktenführung,
Lohn- und Gehaltsabrechnung,
Newsletter-Versand,
Websitebetrieb,
Videoüberwachung,
Führung des Melderegisters.

Zu grob wäre etwa „Verwaltung“ oder „IT“. Zu kleinteilig wäre dagegen eine eigene Verarbeitungstätigkeit für jede E-Mail, jeden Formularschritt oder jedes einzelne Datenfeld.

Maßgeblich bleibt, ob eine fachkundige Person anhand des Eintrags Zweck, Beteiligte und wesentliche Datenflüsse nachvollziehen kann.

Organisation

Wer ist für das Verzeichnis von Verarbeitungstätigkeiten verantwortlich?

Rechtlich verantwortlich ist der Verantwortliche, also beispielsweise das Unternehmen, die Kommune oder die jeweilige öffentliche Stelle. Die operative Erstellung kann intern verteilt werden.

Dabei kennen die Fachbereiche die tatsächlichen Prozesse, eingesetzten Systeme, Empfänger und Aufbewahrungsfristen. Deshalb sollten sie die Inhalte liefern und Änderungen melden.

Die Datenschutzkoordination kann anschließend Vorlagen bereitstellen, Einträge sammeln und auf Einheitlichkeit achten. Außerdem kann der Datenschutzbeauftragte beraten und die ordnungsgemäße Führung überwachen.

Allerdings darf die Verantwortung nicht vollständig auf den Datenschutzbeauftragten verschoben werden. Besonders bei öffentlichen Stellen warnt der BayLfD vor einer alleinigen inhaltlichen Erstellung durch den behördlichen Datenschutzbeauftragten, weil dadurch Interessenkonflikte entstehen können.

Fortschreibung

Wie bleibt das Verzeichnis von Verarbeitungstätigkeiten aktuell?

Zwar enthält Art. 30 DSGVO keine starre jährliche Frist. Dennoch muss das VVT die tatsächlichen Verarbeitungen aktuell abbilden.

Deshalb sollten Änderungen spätestens dann geprüft werden, wenn neue Software eingeführt, ein Dienstleister gewechselt, ein Prozess verändert oder eine Aufgabe beendet wird.

Zudem können neue Empfänger, geänderte Löschfristen und zusätzliche Drittlandübermittlungen eine Anpassung erforderlich machen. Insbesondere neue Unterauftragnehmer werden in der Praxis leicht übersehen.

Zusätzlich ist eine regelmäßige Gesamtprüfung sinnvoll. Dabei können veraltete Kontaktdaten, unklare Zwecke, fehlende Rechtsgrundlagen und nicht mehr zutreffende TOM-Verweise bereinigt werden.

Bewährt hat sich eine Änderungspflicht im Beschaffungs- und Projektprozess: Neue Fachverfahren oder Cloud-Dienste dürfen erst produktiv eingesetzt werden, nachdem ihr VVT-Eintrag geprüft wurde.

Datenschutzmanagement

Welche weiteren Pflichten hängen mit dem VVT zusammen?

Dennoch erfüllt das Verzeichnis von Verarbeitungstätigkeiten nicht automatisch alle Dokumentationspflichten der DSGVO. Trotzdem liefert es wichtige Grundlagen für weitere Prozesse.

Datenschutzhinweise

Zwecke, Empfänger, Rechtsgrundlagen und Speicherfristen können für Art. 13 und Art. 14 DSGVO übernommen werden.

Betroffenenrechte

Das VVT zeigt, in welchen Systemen und Verfahren nach personenbezogenen Daten gesucht werden muss.

Auftragsverarbeitung

Auftragsverarbeiter und sonstige Empfänger lassen sich mit Verträgen und Dienstleisterlisten abgleichen.

Löschkonzept

Datenkategorien und vorgesehene Fristen bilden die Grundlage für konkrete Löschregeln.

Datenschutz-Folgenabschätzung

Eine Risikoprüfung kann zeigen, ob für eine Verarbeitung zusätzlich eine DSFA erforderlich ist.

Technische Sicherheit

Die allgemeine TOM-Beschreibung verweist auf die für die Verarbeitung geltenden Schutzmaßnahmen.

Praxisfehler

Typische Fehler im Verzeichnis von Verarbeitungstätigkeiten

Nur Software aufgelistet

Programme werden dokumentiert, während Zwecke, Personengruppen und Datenflüsse fehlen.

Zu grobe Sammelbegriffe

Bezeichnungen wie „Verwaltung“ oder „Personal“ erlauben keine ausreichende Prüfung.

Rechtsgrundlagen pauschal

Bei Kommunen wird nur die DSGVO genannt, obwohl eine konkrete fachrechtliche Grundlage nötig ist.

Empfänger unvollständig

Cloud-Anbieter, IT-Support, Behörden, Versicherungen oder sonstige Stellen werden übersehen.

Keine Drittlandprüfung

Unterauftragnehmer oder Supportzugriffe außerhalb des Europäischen Wirtschaftsraums fehlen.

Keine Löschfristen

Formulierungen wie „nach Zweckfortfall“ bleiben ohne konkrete Regel oder Prüffrist.

DSB schreibt alles allein

Fachbereiche liefern keine Inhalte und übernehmen keine Verantwortung für ihre Prozesse.

VVT wird nie aktualisiert

Neue Systeme und geänderte Aufgaben werden nicht in die Dokumentation übernommen.

Umsetzung

So wird ein Verzeichnis von Verarbeitungstätigkeiten erstellt

Organisation festlegen

Zunächst werden Zuständigkeiten, Vorlage, Speicherort und Änderungsprozess bestimmt.

Verarbeitungen sammeln

Anschließend werden Fachbereiche, Aufgaben, Systeme, Formulare, Dienstleister und Datenflüsse erfasst.

Tätigkeiten bilden

Danach werden zusammengehörige Vorgänge nach gemeinsamen Zwecken sinnvoll gruppiert.

Pflichtangaben ergänzen

Nun folgen Personengruppen, Datenarten, Empfänger, Löschfristen, Drittlandtransfers und TOM.

Rechtmäßigkeit prüfen

Außerdem werden Rechtsgrundlagen, Informationspflichten, Dienstleister und mögliche DSFA-Risiken abgeglichen.

Pflege sichern

Schließlich wird geregelt, wie neue, geänderte und beendete Verfahren künftig gemeldet werden.

Prüfpunkte

Checkliste für das Verzeichnis von Verarbeitungstätigkeiten

Erfasst das VVT alle regelmäßigen und risikorelevanten Verarbeitungstätigkeiten?

Beschreibt die gewählte Struktur die Tätigkeiten weder zu grob noch unnötig kleinteilig?

Bleiben Verantwortlicher, Datenschutzbeauftragter und gemeinsam Verantwortliche aktuell?

Erklären die Zwecke verständlich und ausreichend konkret, warum Daten verarbeitet werden?

Decken die Einträge alle betroffenen Personengruppen und Datenkategorien ab?

Berücksichtigt das Verzeichnis interne und externe Empfängerkategorien vollständig?

Wurden Auftragsverarbeiter und sonstige Dienstleister richtig eingeordnet?

Enthält die Dokumentation sämtliche Drittlandübermittlungen einschließlich Unterauftragnehmern?

Gibt es möglichst konkrete Löschfristen für die verschiedenen Datenkategorien?

Beschreibt das VVT die technischen und organisatorischen Maßnahmen zumindest allgemein?

Enthält es Rechtsgrundlagen als Compliance-Erweiterung beziehungsweise bei bayerischen öffentlichen Stellen als Pflichtangabe?

Wurde geprüft, ob eine Datenschutz-Folgenabschätzung erforderlich sein könnte?

Stimmen VVT, Datenschutzhinweise, AV-Verträge und Löschkonzept überein?

Existiert ein verbindlicher Prozess für neue, geänderte und beendete Verarbeitungstätigkeiten?

Häufige Fragen

FAQ zum Verzeichnis von Verarbeitungstätigkeiten

Braucht jedes kleine Unternehmen ein Verzeichnis von Verarbeitungstätigkeiten?

Meist ja. Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten greift unter anderem nicht bei nicht nur gelegentlichen Verarbeitungen. Kundenverwaltung, Buchhaltung, Personalverwaltung und Websitebetrieb erfolgen regelmäßig.

Reicht eine Excel-Tabelle als VVT aus?

Ja, wenn sie sämtliche notwendigen Angaben enthält, verständlich strukturiert ist, aktuell gehalten wird und der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden kann.

Müssen Rechtsgrundlagen im VVT stehen?

Bei privaten Verantwortlichen sind Rechtsgrundlagen keine ausdrückliche Pflichtangabe des Art. 30 Abs. 1 DSGVO, aber eine sinnvolle Ergänzung. Bayerische öffentliche Stellen müssen sie nach Art. 31 BayDSG zusätzlich aufnehmen.

Muss ein Auftragsverarbeiter ein eigenes VVT führen?

Ja. Art. 30 Abs. 2 DSGVO verlangt ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten, die der Auftragsverarbeiter für seine jeweiligen Verantwortlichen durchführt.

Ist der Datenschutzbeauftragte für das VVT verantwortlich?

Nein. Verantwortlich bleibt der Verantwortliche selbst. Der Datenschutzbeauftragte kann beraten, überwachen und organisatorisch unterstützen, sollte aber nicht allein sämtliche fachlichen Inhalte erstellen.

Wie oft muss das VVT aktualisiert werden?

Immer dann, wenn sich relevante Verarbeitungen ändern. Zusätzlich ist eine regelmäßige Gesamtprüfung sinnvoll, auch wenn die DSGVO keine starre jährliche Frist vorgibt.

Ist das Verzeichnis von Verarbeitungstätigkeiten öffentlich?

Art. 30 DSGVO sieht kein allgemeines öffentliches Einsichtsrecht vor. Das Verzeichnis muss jedoch der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden.

Ergebnis

Fazit

Ein Verzeichnis von Verarbeitungstätigkeiten ist weit mehr als eine gesetzliche Pflichtübung. Richtig aufgebaut zeigt es, wie personenbezogene Daten tatsächlich verarbeitet werden und wo rechtliche oder organisatorische Lücken bestehen.

Dabei können Unternehmen das VVT schlank halten, müssen aber alle relevanten Tätigkeiten erfassen. Bayerische öffentliche Stellen benötigen zusätzlich konkrete Rechtsgrundlagen und können die Ausnahme für kleine Organisationen nicht nutzen.

Damit das Verzeichnis dauerhaft hilft, braucht es klare Zuständigkeiten und einen verlässlichen Änderungsprozess. Nur ein aktuelles VVT unterstützt Datenschutzhinweise, Betroffenenrechte, Löschung, Dienstleisterkontrolle und Risikoprüfungen wirklich.

Passende Themen auf der Website

Datenschutz für kleine Unternehmen Löschkonzept nach DSGVO Auftragsverarbeitung und Dienstleister Datenschutzhinweise nach Art. 13 DSGVO Betroffenenrechte nach DSGVO Kundendaten nach DSGVO Datenschutzvorfall: Was ist zu tun? VVT prüfen lassen

Nachweise

Quellen

DSGVO und BDSG – BfDI Art. 31 BayDSG: zusätzliche Angaben und Ausschluss der Ausnahme nach Art. 30 Abs. 5 DSGVO BayLfD: Das Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO BayLfD: Frühjahrsputz im Verarbeitungsverzeichnis BayLDA: Musterverzeichnisse für verschiedene Unternehmen und Organisationen BayLDA: Praxis-Check für Soloselbstständige und Kleinstunternehmen Datenschutzkonferenz: Kurzpapier Nr. 1 zum Verzeichnis von Verarbeitungstätigkeiten

Verzeichnis von Verarbeitungstätigkeiten prüfen?

Ein strukturierter Abgleich zeigt, welche Verfahren fehlen, welche Einträge veraltet sind und ob Rechtsgrundlagen, Empfänger, Löschfristen, Dienstleister und technische Maßnahmen zusammenpassen.

VVT prüfen lassen