Das Verzeichnis der Verarbeitungstätigkeiten (VVT) ist nach Art. 30 DSGVO für fast alle Unternehmen Pflicht. Was rein muss, wie es aussehen muss und eine kostenlose Vorlage. CERTISCAN dokumentiert Verarbeitungen automatisch.
Das Verzeichnis der Verarbeitungstätigkeiten (VVT) ist eine der zentralen Dokumentationspflichten der DSGVO. Artikel 30 verlangt von jedem Verantwortlichen, alle Verarbeitungstätigkeiten mit personenbezogenen Daten schriftlich zu dokumentieren. CERTISCAN unterstützt Sie dabei, indem alle Datenverarbeitungen automatisch im revisionssicheren Audit-Trail protokolliert werden.
01Was ist ein Verarbeitungsverzeichnis?
Das Verarbeitungsverzeichnis (auch „Verzeichnis von Verarbeitungstätigkeiten", kurz VVT) ist ein internes Dokument, das alle Verarbeitungstätigkeiten Ihres Unternehmens mit personenbezogenen Daten systematisch auflistet. Es dient mehreren wichtigen Zwecken:
Der eigenen Übersicht über alle Datenverarbeitungen im Unternehmen
Als Nachweis gegenüber der Aufsichtsbehörde bei Prüfungen (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO)
Als Grundlage für die Datenschutz-Folgenabschätzung bei risikoreichen Verarbeitungen
Als
Häufige Fragen (FAQ)
Ist das Verarbeitungsverzeichnis für alle Unternehmen Pflicht?
Praktisch ja. Die Ausnahme für Unternehmen unter 250 Mitarbeitern greift nur, wenn die Verarbeitung nur gelegentlich erfolgt, kein Risiko birgt und keine besonderen Datenkategorien umfasst. Da fast jedes Unternehmen regelmäßig Mitarbeiter- und Kundendaten verarbeitet, ist die Ausnahme nahezu nie anwendbar.
Welche Angaben muss das Verarbeitungsverzeichnis enthalten?
Nach Art. 30 Abs. 1 DSGVO: Name und Kontaktdaten des Verantwortlichen, Zwecke der Verarbeitung, Kategorien betroffener Personen und Daten, Empfänger, Drittland-Übermittlungen, Löschfristen und eine Beschreibung der technischen und organisatorischen Maßnahmen.
Das VVT ist kein öffentliches Dokument – Sie müssen es nicht auf der Website veröffentlichen. Aber Sie müssen es der Aufsichtsbehörde auf Anfrage vorlegen können, und zwar sofort und vollständig.
02Pflicht für (fast) alle Unternehmen
Art. 30 Abs. 5 DSGVO enthält eine Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern. Diese Ausnahme greift aber nur, wenn alle folgenden Bedingungen gleichzeitig erfüllt sind:
Die Verarbeitung birgt kein Risiko für die Rechte und Freiheiten der Betroffenen
Die Verarbeitung erfolgt nur gelegentlich (nicht regelmäßig)
Es werden keine besonderen Datenkategorien verarbeitet (Art. 9 DSGVO: Gesundheit, Religion, Biometrie, politische Meinungen etc.)
In der Praxis ist diese Ausnahme nahezu nie anwendbar, da jedes Unternehmen mit Mitarbeitern regelmäßig personenbezogene Daten verarbeitet (Gehaltsabrechnung, Zeiterfassung, Urlaubsverwaltung).
Unternehmenssituation
VVT Pflicht?
Begründung
GmbH mit 5 Mitarbeitern und Kundendatenbank
Ja
Regelmäßige Verarbeitung von Mitarbeiter- und Kundendaten
Das VVT muss für jede einzelne Verarbeitungstätigkeit folgende Informationen enthalten:
1. Name und Kontaktdaten des Verantwortlichen
Name der Organisation (vollständige Firma)
Anschrift des Firmensitzes
Name und Kontaktdaten des Geschäftsführers
Ggf. Name und Kontaktdaten des gemeinsam Verantwortlichen (Art. 26 DSGVO)
Ggf. Name und Kontaktdaten des Vertreters (bei Nicht-EU-Verantwortlichen)
Kontaktdaten des Datenschutzbeauftragten (falls bestellt)
2. Zwecke der Verarbeitung
Jede Verarbeitungstätigkeit muss einen klar definierten, konkreten Zweck haben. Allgemeine Angaben wie „Geschäftszwecke" reichen nicht. Beispiele für korrekte Zweckangaben:
Durchführung des Arbeitsverhältnisses (Personalverwaltung, Gehaltsabrechnung)
Elektronische Erfassung der Arbeitszeiten nach §16 ArbZG (Zeiterfassung)
Abwicklung von Kundenaufträgen (Vertragserfüllung)
Versand von Newsletter-E-Mails (mit Einwilligung)
Schutz des Eigentums und der Sicherheit (Videoüberwachung)
Falls Daten außerhalb der EU/EWR verarbeitet werden, muss dokumentiert werden:
Welches Drittland (z.B. USA, Indien)
Welche Rechtsgrundlage (Angemessenheitsbeschluss, SCCs, BCRs)
Welche Garantien bestehen
CERTISCAN-Vorteil: Alle Daten werden ausschließlich in Deutschland (Hetzner Cloud, Standort Nürnberg) gespeichert. Keine Drittland-Übermittlung notwendig.
7. Löschfristen
Datenkategorie
Löschfrist
Rechtsgrundlage
Buchhaltungsunterlagen
10 Jahre
§257 HGB, §147 AO
Personalakten (steuerrelevant)
10 Jahre nach Ausscheiden
§257 HGB
Zeiterfassungsdaten
2 Jahre
§16 Abs. 2 ArbZG
8. Technische und organisatorische Maßnahmen (TOMs)
Eine allgemeine Beschreibung der Schutzmaßnahmen, die für die jeweilige Verarbeitungstätigkeit gelten:
Löschfristen: Konfigurierbare Aufbewahrungsfristen pro Datenart mit automatischer Erinnerung
Zugriffsprotokoll: Wer hat wann auf welche Daten zugegriffen?
Prüfen Sie Ihre DSGVO-Auskunftsfrist mit dem Fristrechner und Ihren ESG-Compliance-Status mit dem kostenlosen Check.
07Vergleich: VVT-Erstellung manuell vs. digital
Kriterium
Excel/Word
Datenschutz-Software
CERTISCAN Audit-Trail
Erstellungsaufwand
Hoch (manuell, keine Vorlagen)
Mittel (geführte Vorlagen)
Gering (automatisch)
Aktualität
Oft veraltet (vergessene Updates)
Bei regelmäßiger Pflege aktuell
Immer aktuell (Echtzeit)
08Tipps für die Praxis
Klein anfangen: Beginnen Sie mit den 5 wichtigsten Verarbeitungstätigkeiten und ergänzen Sie nach und nach
Verantwortlichkeit: Bestimmen Sie eine Person, die für die Pflege des VVT zuständig ist
Jährliche Prüfung: Überprüfen Sie das VVT mindestens einmal jährlich auf Vollständigkeit und Aktualität
Neue Prozesse: Prüfen Sie bei jeder neuen Software, jedem neuen Dienstleister und jeder Prozessänderung, ob das VVT angepasst werden muss
DSB einbinden: Wenn Sie einen Datenschutzbeauftragten haben, binden Sie ihn in die Erstellung und Pflege ein
09Fazit: Jetzt Verarbeitungsverzeichnis anlegen
Das VVT ist kein „Nice-to-have", sondern gesetzliche Pflicht für praktisch jedes Unternehmen. Ohne VVT riskieren Sie Bußgelder von bis zu 10 Millionen EUR. Beginnen Sie mit den wichtigsten Verarbeitungstätigkeiten und ergänzen Sie nach und nach. Mit CERTISCAN als Auftragsverarbeiter ist die Verarbeitungstätigkeit „Zeiterfassung / Personalverwaltung" bereits automatisch dokumentiert. Weitere Informationen zum Thema Datenschutz finden Sie in unserem DSGVO-Leitfaden und im Artikel zum Datenschutz bei Mitarbeiterdaten.
In welcher Form muss das Verarbeitungsverzeichnis geführt werden?
Das VVT muss schriftlich geführt werden, wobei die elektronische Form zulässig ist (Art. 30 Abs. 3 DSGVO). Eine Excel-Tabelle, ein PDF oder eine Datenbank sind ausreichend.
Was droht ohne Verarbeitungsverzeichnis?
Das Fehlen eines VVT kann mit Bußgeldern von bis zu 10 Millionen EUR oder 2 % des Jahresumsatzes geahndet werden. Bei KMU verhängen die Aufsichtsbehörden typischerweise 5.000 bis 25.000 EUR.
Wie oft muss das Verarbeitungsverzeichnis aktualisiert werden?
Es gibt keine feste Frist, aber das VVT muss stets aktuell sein. Eine jährliche Überprüfung ist Minimum. Bei Änderungen an Verarbeitungsprozessen muss es unverzüglich angepasst werden.
