Auf einen Blick: Das Verzeichnis der Verarbeitungstätigkeiten (VVT) ist eine der zentralen Pflichten der DSGVO. Es dokumentiert, welche personenbezogenen Daten Ihr Unternehmen verarbeitet, zu welchem Zweck und wie lange. Fehlt das VVT, drohen Bußgelder bis zu 10 Millionen Euro. Dieser Leitfaden erklärt alles, was Sie wissen müssen \u2013 von der Rechtsgrundlage bis zur fertigen Vorlage.
Was ist das Verzeichnis der Verarbeitungstätigkeiten?
Das Verzeichnis der Verarbeitungstätigkeiten \u2013 kurz VVT, auch Verarbeitungsverzeichnis oder Verfahrensverzeichnis genannt \u2013 ist ein internes Dokument, das sämtliche Prozesse eines Unternehmens erfasst, bei denen personenbezogene Daten verarbeitet werden. Es bildet gewissermaßen das \u201eGedächtnis\u201c des Datenschutzes in Ihrer Organisation.
Stellen Sie sich das VVT als einen strukturierten Katalog vor: Für jede Verarbeitungstätigkeit \u2013 ob Bewerbermanagement, Kundendatenverwaltung, Lohnbuchhaltung oder Newsletter-Versand \u2013 gibt es einen eigenen Eintrag. Dieser Eintrag beschreibt genau, wer die Daten verarbeitet, zu welchem Zweck, welche Daten es sind, wie lange sie gespeichert werden und welche Sicherheitsmaßnahmen ergriffen werden.
Das VVT dient gleich mehreren Zwecken: Es schafft intern Transparenz über den Datenumgang, hilft bei der Identifizierung datenschutzrechtlicher Risiken, erleichtert die Beantwortung von Betroffenenanfragen und ist gegenüber Datenschutz-Aufsichtsbehörden nachweispflichtig. Kurz: Ohne VVT ist ein funktionierendes Datenschutzmanagement nicht möglich.
Rechtsgrundlage: Art. 30 DSGVO
Die Pflicht zur Führung eines Verarbeitungsverzeichnisses ergibt sich aus Art. 30 der Datenschutz-Grundverordnung (DSGVO). Der Artikel unterscheidet dabei zwischen zwei Konstellationen:
- Art. 30 Abs. 1 DSGVO richtet sich an den Verantwortlichen, also das Unternehmen, das selbst über die Zwecke und Mittel der Datenverarbeitung entscheidet.
- Art. 30 Abs. 2 DSGVO richtet sich an den Auftragsverarbeiter, also Unternehmen, die Daten im Auftrag eines Dritten verarbeiten \u2013 etwa Cloud-Anbieter, IT-Dienstleister oder externe Buchhalter.
Das Verzeichnis muss gemäß Art. 30 Abs. 3 DSGVO schriftlich geführt werden \u2013 in elektronischer oder Papierform. Art. 30 Abs. 4 DSGVO verpflichtet dazu, das Verzeichnis auf Anfrage der Aufsichtsbehörde vorzulegen. Wer dieser Pflicht nicht nachkommt, riskiert Bußgelder nach Art. 83 Abs. 4 DSGVO von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.
Wichtig: Die DSGVO ist seit dem 25. Mai 2018 vollständig anwendbar. Wer bis heute noch kein VVT führt, ist bereits seit Jahren im Verzug \u2013 und das ist kein theoretisches Risiko: Datenschutz-Aufsichtsbehörden in Deutschland fordern das VVT bei Prüfungen und Beschwerden regelmäßig als erstes Dokument an.
Wer muss ein VVT führen?
Grundsätzlich gilt: Jedes Unternehmen und jede Organisation, die personenbezogene Daten verarbeitet, muss ein VVT führen. Das betrifft Kapitalgesellschaften genauso wie Einzelunternehmer, Vereine, Behörden und gemeinnützige Organisationen.
Art. 30 Abs. 5 DSGVO sieht zwar eine Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern vor \u2013 diese Ausnahme greift jedoch nur dann, wenn alle drei folgenden Bedingungen erfüllt sind:
- Die Verarbeitung birgt kein Risiko für die Rechte und Freiheiten der betroffenen Personen,
- die Verarbeitung erfolgt nicht regelmäßig, und
- es werden keine besonderen Kategorien personenbezogener Daten (z. B. Gesundheitsdaten, religiöse Überzeugungen) verarbeitet.
In der Praxis erfüllen die meisten Unternehmen diese Bedingungen nicht: Schon das Führen einer Mitarbeiterliste, die Nutzung von Google Analytics oder das Versenden eines Newsletters macht die Ausnahme hinfällig. Die Datenschutz-Aufsichtsbehörden empfehlen deshalb ausdrücklich, dass alle Unternehmen ein VVT führen sollten, unabhängig von der Mitarbeiterzahl.
Was muss das Verzeichnis der Verarbeitungstätigkeiten enthalten?
Art. 30 Abs. 1 DSGVO legt die Mindestinhalte des VVT für Verantwortliche fest. Jeder Eintrag muss die folgenden Angaben enthalten:
1. Name und Kontaktdaten
Namen und Kontaktdaten des Verantwortlichen (Ihres Unternehmens) sowie ggf. des gemeinsamen Verantwortlichen, des Vertreters und des Datenschutzbeauftragten. Das klingt trivial, wird aber oft vergessen \u2013 besonders die Angabe des DSB mit aktueller E-Mail-Adresse.
2. Zwecke der Verarbeitung
Für welchen konkreten Zweck werden die Daten verarbeitet? Der Zweck muss spezifisch, eindeutig und legitim sein. \u201eGeschäftsbetrieb\u201c ist kein ausreichender Zweck. Richtig wäre: \u201eBearbeitung von Bewerbungen und Auswahl geeigneter Kandidaten für offene Stellen\u201c oder \u201eVersand des monatlichen Newsletters an eingewilligte Abonnenten\u201c.
3. Kategorien betroffener Personen und personenbezogener Daten
Welche Personengruppen sind betroffen (Mitarbeiter, Kunden, Lieferanten, Bewerber, Webseitenbesucher)? Welche Datenkategorien werden verarbeitet (Name, Adresse, E-Mail, Bankdaten, Gesundheitsdaten, IP-Adressen)? Besondere Kategorien nach Art. 9 DSGVO müssen explizit gekennzeichnet werden.
4. Kategorien von Empfängern
An wen werden die Daten weitergegeben? Das umfasst interne Empfänger (andere Abteilungen) und externe Empfänger (Auftragsverarbeiter wie Steuerberater, Cloud-Anbieter, E-Mail-Marketing-Dienste). Drittländer außerhalb der EU/EWR müssen besonders gekennzeichnet werden.
5. Übermittlungen in Drittländer
Werden Daten in Länder außerhalb der EU übermittelt (z. B. USA-Server von Google, Amazon, Microsoft)? Wenn ja: Auf welcher Grundlage (Angemessenheitsbeschluss, Standardvertragsklauseln, Binding Corporate Rules)? Drittlandübermittlungen sind ein häufig übersehener Punkt \u2013 viele US-SaaS-Dienste fallen darunter.
6. Löschfristen
Wann werden die Daten gelöscht? Hier sind konkrete Fristen anzugeben, keine vagen Formulierungen wie \u201eso lange wie nötig\u201c. Orientierung bieten gesetzliche Aufbewahrungspflichten (z. B. 6 Jahre für Geschäftsbriefe nach HGB, 10 Jahre für Buchungsbelege) sowie interne Löschrichtlinien. Mehr zum Thema Löschkonzept.
7. Technische und organisatorische Maßnahmen (TOMs)
Welche Sicherheitsmaßnahmen schützen die Daten? Hier kann auf ein gesondertes TOM-Dokument verwiesen werden. Typische TOMs sind: Verschlüsselung, Zugangskontrollen, Backups, Pseudonymisierung, Schulungen. Das VVT muss nicht jede einzelne Maßnahme auflisten \u2013 ein Verweis auf das TOM-Konzept genügt.
VVT für Auftragsverarbeiter: Was gilt zusätzlich?
Wenn Ihr Unternehmen als Auftragsverarbeiter tätig ist \u2013 also personenbezogene Daten im Auftrag eines anderen Unternehmens verarbeitet \u2013, gelten nach Art. 30 Abs. 2 DSGVO etwas andere Anforderungen. Das VVT des Auftragsverarbeiters muss enthalten: Name und Kontaktdaten aller Auftraggeber, Kategorien der Verarbeitungen je Auftraggeber, Übermittlungen in Drittländer inkl. Rechtsgrundlage sowie Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen.
Schritt-für-Schritt: VVT erstellen
Schritt 1: Bestandsaufnahme aller Verarbeitungstätigkeiten
Gehen Sie systematisch durch alle Abteilungen und Unternehmensprozesse: HR, Buchhaltung, Vertrieb, Marketing, IT, Kundenservice. Typische Verarbeitungstätigkeiten in KMU sind: Personalverwaltung, Bewerbermanagement, Kundenverwaltung/CRM, Lieferantenmanagement, E-Mail-Marketing, Webseiten-Betrieb (Cookies, Analytics), Videoüberwachung, Buchhaltung, IT-Systeme und Vertragsmanagement.
Schritt 2: Jeden Eintrag ausfüllen
Nutzen Sie eine strukturierte Vorlage (Excel, Word oder Datenschutz-Software). Füllen Sie für jede identifizierte Verarbeitungstätigkeit alle Pflichtfelder nach Art. 30 DSGVO aus. Seien Sie dabei präzise aber pragmatisch: Das VVT muss korrekt und vollständig sein, nicht literarisch wertvoll.
Schritt 3: Rechtsgrundlagen prüfen
Das VVT selbst schreibt die Angabe von Rechtsgrundlagen nicht zwingend vor (obwohl es für Prüfzwecke empfohlen wird). Prüfen Sie für jede Verarbeitungstätigkeit, ob eine valide Rechtsgrundlage nach Art. 6 DSGVO vorliegt: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigtes Interesse.
Schritt 4: Auftragsverarbeiter identifizieren
Für jede Verarbeitungstätigkeit: Sind externe Dienstleister beteiligt? Wenn ja, müssen Auftragsverarbeitungsverträge (AVVs) abgeschlossen sein. Häufig vergessene Auftragsverarbeiter: E-Mail-Dienste (Google Workspace, Microsoft 365, Mailchimp), Cloud-Speicher, Buchhaltungssoftware, Webhosting und Analytics-Tools.
Schritt 5: Löschfristen festlegen
Definieren Sie für jede Datenkategorie eine Löschfrist. Orientieren Sie sich an gesetzlichen Aufbewahrungspflichten und ergänzen Sie diese um unternehmensspezifische Fristen. Wenn Sie noch kein Löschkonzept haben, ist die VVT-Erstellung ein guter Anlass, eines zu erstellen.
Schritt 6: VVT regelmäßig aktualisieren
Das VVT ist kein einmaliges Projekt, sondern ein lebendes Dokument. Es muss bei jeder Änderung \u2013 neues System, neuer Zweck, neuer Auftragsverarbeiter \u2013 umgehend aktualisiert werden. Empfehlenswert: eine jährliche Vollüberprüfung aller Einträge.
VVT-Muster: So sieht ein vollständiger Eintrag aus
Hier ein Beispiel für den VVT-Eintrag \u201eE-Mail-Marketing / Newsletter\u201c:
Ein vollständig ausgefülltes Verzeichnis mit sieben Verarbeitungstätigkeiten und eine Vorlage zum Herunterladen finden Sie im Verarbeitungsverzeichnis-Muster mit ausgefülltem Beispiel.
| Feld | Inhalt |
|---|---|
| Name der Verarbeitungstätigkeit | Versand des monatlichen Newsletters |
| Verantwortlicher | Musterfirma GmbH, Musterstraße 1, 12345 Musterstadt |
| Datenschutzbeauftragter | Max Mustermann, [email protected] |
| Zweck der Verarbeitung | Versand von Marketinginformationen und Angeboten per E-Mail an eingewilligte Abonnenten |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) |
| Betroffene Personen | Newsletter-Abonnenten (Kunden, Interessenten) |
| Datenkategorien | Name, E-Mail-Adresse, Anmeldezeitpunkt, Klick- und Öffnungsverhalten |
| Empfänger | Intern: Marketing-Abteilung; Extern: Mailchimp (Auftragsverarbeiter) |
| Drittlandübermittlung | USA (Mailchimp/Intuit) \u2013 Standardvertragsklauseln (SCC) |
| Löschfrist | Sofort nach Widerruf der Einwilligung; spätestens 3 Jahre nach letzter Aktivität |
| TOMs | Verweis auf TOM-Konzept v2.1; Double-Opt-In, verschlüsselte Übertragung (TLS) |
Häufige Fehler beim Verarbeitungsverzeichnis \u2013 und wie Sie sie vermeiden
Fehler 1: Verarbeitungstätigkeiten fehlen
Viele VVTs sind unvollständig, weil Verarbeitungen vergessen werden. Klassiker: Videoüberwachung, Zeiterfassung, Betriebsratsarbeit, Fuhrparkverwaltung, WLAN-Gästezugang, Bewerbungsabsagen. Tipp: Gehen Sie einmal im Jahr alle IT-Systeme und Prozesse durch und fragen Sie: \u201eWerden hier personenbezogene Daten verarbeitet?\u201c
Fehler 2: Zu vage Beschreibungen
\u201eGeschäftliche Datenverarbeitung\u201c oder \u201eMarketing\u201c sind keine ausreichenden Zweckbeschreibungen. Aufsichtsbehörden erwarten konkrete, nachvollziehbare Angaben. Schreiben Sie stattdessen: \u201eVersand personalisierter Angebote per E-Mail auf Basis des bisherigen Kaufverhaltens\u201c.
Fehler 3: Drittlandübermittlungen nicht dokumentiert
US-amerikanische Cloud-Dienste (Google Workspace, Microsoft 365, Salesforce, HubSpot, Zoom, AWS) sind Drittlandübermittlungen. Diese müssen im VVT mit der jeweiligen Übermittlungsgrundlage dokumentiert werden.
Fehler 4: Keine Löschfristen oder nur pauschale Angaben
\u201eSo lange wie nötig\u201c ist keine Löschfrist. Das VVT muss konkrete Zeiträume nennen. Erstellen Sie dazu ein Löschkonzept, das die Grundlage für die Löschfristen im VVT bildet.
Fehler 5: VVT ist veraltet
Ein VVT, das seit 2018 nicht aktualisiert wurde, bildet die Realität nicht ab. Führen Sie einen Prozess ein, der sicherstellt, dass das VVT bei jeder relevanten Änderung aktualisiert wird.
VVT-Software vs. Excel: Was ist besser?
Für kleine Unternehmen mit wenigen Verarbeitungstätigkeiten ist Excel völlig ausreichend \u2013 kostenlos, sofort verfügbar, einfach anpassbar. Ab ca. 50 Mitarbeitern oder komplexen Verarbeitungslandschaften lohnt sich der Umstieg auf eine spezialisierte Lösung: Diese bieten vorgefertigte Vorlagen, automatische Warnungen bei Ablauf von Löschfristen, integriertes Aufgabenmanagement und revisionssichere Dokumentation.
Für den Umstieg aus einer gewachsenen Excel-Datei ist die Datenschutz-Software mit revisionssicherem Verzeichnis der Verarbeitungstätigkeiten gedacht: vorkonfigurierte Tätigkeiten, Wiedervorlage je Eintrag, Versionsstand und PDF-Export für die Aufsichtsbehörde.
Bußgelder und Konsequenzen bei fehlendem oder mangelhaftem VVT
Ein fehlendes, unvollständiges oder veraltetes VVT ist eine Verletzung von Art. 30 DSGVO und kann gemäß Art. 83 Abs. 4 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. In der Praxis verhängen Aufsichtsbehörden bei Verstößen gegen organisatorische Pflichten wie das VVT häufig zunächst Verwarnungen und setzen Fristen zur Nachbesserung. Kommen Unternehmen der Aufforderung nicht nach oder zeigen sie keine Bereitschaft zur Compliance, folgen empfindliche Bußgelder.
Häufig gestellte Fragen zum Verzeichnis der Verarbeitungstätigkeiten
Wer muss ein Verzeichnis der Verarbeitungstätigkeiten führen?
Grundsätzlich jedes Unternehmen und jede Organisation, die personenbezogene Daten verarbeitet. Unternehmen mit weniger als 250 Mitarbeitern sind nur dann ausgenommen, wenn alle drei Kriterien (kein Risiko, nicht regelmäßig, keine besonderen Datenkategorien) gleichzeitig erfüllt sind \u2013 was in der Praxis selten der Fall ist.
Was kostet es, kein VVT zu führen?
Das Fehlen eines VVT kann gemäß Art. 83 Abs. 4 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.
Muss das VVT der Aufsichtsbehörde eingereicht werden?
Nein, das VVT muss nicht aktiv eingereicht werden. Es muss jedoch auf Anfrage der zuständigen Datenschutz-Aufsichtsbehörde vorgelegt werden können. Bei Beschwerden, Prüfungen oder Datenschutzverletzungen ist das VVT oft das erste Dokument, das Behörden anfordern.
In welchem Format muss das VVT geführt werden?
Art. 30 Abs. 3 DSGVO schreibt schriftliche Form vor \u2013 elektronisch oder auf Papier. Eine bestimmte Software ist nicht vorgeschrieben. Excel-Tabellen, Word-Dokumente oder spezialisierte Datenschutz-Management-Software sind alle zulässig.
Wie oft muss das VVT aktualisiert werden?
Das VVT muss immer aktuell sein. Bei jeder Änderung einer Verarbeitungstätigkeit muss es umgehend angepasst werden. Eine jährliche Überprüfung aller Einträge ist zusätzlich empfehlenswert.
Fazit: VVT ist Pflicht \u2013 und mehr als nur Bürokratie
Das Verzeichnis der Verarbeitungstätigkeiten ist keine lästige Bürokratiepflicht, sondern der Grundstein eines funktionierenden Datenschutzmanagementsystems. Wer sein VVT sorgfältig pflegt, versteht seinen eigenen Datenumgang besser, erkennt Risiken frühzeitig und kann im Ernstfall gegenüber Behörden und Betroffenen souverän reagieren.
Wenn Sie Ihr VVT erstellen oder überarbeiten möchten und professionelle Unterstützung suchen, helfen wir Ihnen gerne. Oder informieren Sie sich über verwandte Datenschutzthemen: Datenschutz-Folgenabschätzung (DSFA) und Löschkonzept nach DSGVO.