Top-Themen im Datenschutz:
Das Verzeichnis von Verarbeitungstätigkeiten dokumentiert alle Datenverarbeitungen im Unternehmen und bildet das Fundament eines rechtssicheren DSGVO-Compliance-Managements nach Art. 30.
Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist eine strukturierte Übersicht aller Prozesse, bei denen ein Unternehmen personenbezogene Daten verarbeitet. Es ist das zentrale Instrument der DSGVO-Rechenschaftspflicht nach Artikel 5 Absatz 2 DSGVO.
Darin dokumentiert das Unternehmen: welche Daten verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage, wer Zugang hat und wie lange die Daten gespeichert bleiben. Das VVT schafft Transparenz für Aufsichtsbehörden und bildet die Grundlage für alle weiteren Datenschutzdokumente – von der Datenschutzerklärung bis zur Datenschutz-Folgenabschätzung.
Nach Artikel 30 DSGVO ist das VVT schriftlich zu führen – elektronische Formate wie Excel oder eine Datenschutz-Software sind ausdrücklich zulässig.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenGrundsätzlich müssen alle Verantwortlichen und Auftragsverarbeiter ein VVT führen – unabhängig von der Unternehmensgröße. Die Ausnahme nach Artikel 30 Absatz 5 DSGVO greift nur, wenn alle drei Bedingungen gleichzeitig erfüllt sind:
In der Praxis ist diese Ausnahme kaum relevant. Lohnabrechnung, Kundendatenbanken, Webshops, Newsletter oder Social-Media-Auftritte gelten bereits als regelmäßige Verarbeitung. Selbstständige, Handwerksbetriebe, Arztpraxen und Vereine sind daher in der Regel verpflichtet.
Hinweis zum aktuellen Rechtsstand: Der Gesetzgeber diskutiert eine Anhebung der Mitarbeiter-Schwelle auf 750 Beschäftigte. Bis eine Novellierung in Kraft tritt, gilt weiterhin die 250-Mitarbeiter-Grenze aus Artikel 30 Absatz 5 DSGVO.
Fehlt das VVT oder ist es unvollständig, drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes nach Artikel 83 Absatz 4 DSGVO. Zuständige Aufsichtsbehörden verhängten bereits 8.500 Euro für ein unvollständiges VVT in einem 120-Mitarbeiter-Betrieb und 250.000 Euro, weil ein Unternehmen das Verzeichnis bei einer Behördenanfrage nicht vorlegen konnte.
Die DSGVO unterscheidet zwischen dem VVT für Verantwortliche (Art. 30 Abs. 1) und dem VVT für Auftragsverarbeiter (Art. 30 Abs. 2). Beide müssen jeweils ein eigenes Verzeichnis führen.
Pflichtangaben für Verantwortliche:
Auftragsverarbeiter benötigen ein vereinfachtes VVT: Kontaktdaten, Kategorien der Verarbeitungen je Auftraggeber, Drittlandtransfers mit Garantien sowie TOM.
Für alle eingesetzten Dienstleister sollte zudem ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen sein.
Die offiziellen Muster des Bundesbeauftragten für den Datenschutz (BfDI) bieten eine hilfreiche Vorlage für beide Verzeichnistypen.
Pflichtangabe | Verantwortlicher (Art. 30 Abs. 1 DSGVO) | Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO) |
|---|---|---|
Name & Kontaktdaten | Name, Anschrift, Vertreter, Datenschutzbeauftragter | Name, Anschrift, Vertreter, Datenschutzbeauftragter |
Zweck der Verarbeitung | Beschreibung der Verarbeitungszwecke | Nicht erforderlich (wird vom Verantwortlichen vorgegeben) |
Kategorien betroffener Personen | z.B. Kunden, Mitarbeiter, Bewerber, Lieferanten | Nicht erforderlich |
Kategorien personenbezogener Daten | z.B. Adressdaten, Finanzdaten, Gesundheitsdaten | Nicht erforderlich |
Kategorien von Empfängern | z.B. Banken, Steuerberater, Sozialversicherungsträger | z.B. Sub-Auftragsverarbeiter, Cloud-Anbieter |
Rechtsgrundlage | z.B. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) | Nicht erforderlich |
Drittlandtransfers | Empfänger außerhalb der EU + Garantien (z. B. Standardvertragsklauseln) | Empfänger außerhalb der EU + Garantien |
Löschfristen | Vorgesehene Fristen für Löschung oder regelmäßige Überprüfung | Nicht erforderlich |
TOM (Technische & organisatorische Maßnahmen) | Allgemeine Beschreibung nach Art. 32 Abs. 1 DSGVO | Allgemeine Beschreibung nach Art. 32 Abs. 1 DSGVO |
Profiling | Falls eingesetzt (z. B. automatisierte Entscheidungsfindung) | Nicht erforderlich |
Schritt 1: Bereiche und Systeme erfassen. Gliedern Sie das Unternehmen in Abteilungen (HR, Marketing, IT, Buchhaltung) und listen Sie alle Software-Tools auf, die personenbezogene Daten verarbeiten: Lohnsoftware, CRM, E-Mail-Server, Cloud-Dienste, Website-Plugins.
Schritt 2: Verarbeitungstätigkeiten identifizieren. Befragen Sie die Abteilungsverantwortlichen strukturiert: Welche Daten werden erfasst? Von wem? Zu welchem Zweck? Wer hat Zugriff? Welche Dienstleister sind eingebunden?
Schritt 3: Pflichtangaben ausfüllen. Tragen Sie für jeden Prozess alle Pflichtangaben nach Artikel 30 DSGVO ein. Wichtig: Rechtsgrundlage konkret benennen – Art. 6 Abs. 1 lit. b für Vertragserfüllung, Art. 6 Abs. 1 lit. a für Einwilligung. Keine pauschalen Angaben.
Schritt 4: Löschfristen und TOM ergänzen. Definieren Sie realistische Löschfristen: Bewerberdaten 6 Monate, Rechnungen 10 Jahre (§ 147 AO). Beschreiben Sie TOM konkret: Verschlüsselung, Zugriffskontrolle, Zwei-Faktor-Authentifizierung, regelmäßige Backups.
Besonders für mittlere und größere Unternehmen empfiehlt sich ergänzend ein Informationssicherheitsmanagementsystem (ISMS) nach ISO 27001, das TOM-Maßnahmen systematisch dokumentiert und Audit-Nachweise liefert.
Schritt 5: VVT pflegen und aktualisieren. Aktualisieren Sie das Verzeichnis bei jeder wesentlichen Änderung – neue Software, neue Dienstleister, neue Verarbeitungszwecke, neue Drittlandtransfers. Eine jährliche Überprüfung – idealerweise im Rahmen eines Datenschutzaudits – ist Mindeststandard. Archivieren Sie alle Versionen mindestens ein Jahr lang.
Für die laufende Pflege empfiehlt sich ein integriertes Compliance-Management-System, das VVT, Löschkonzept und AVV automatisch miteinander verknüpft und Aktualisierungen nachverfolgt.
Fehler 1: Drittlandtransfers vergessen. Google Analytics, Mailchimp, Microsoft 365 – viele Standard-Tools übertragen Daten in die USA. Diese Transfers müssen mit den jeweiligen Garantien (Standardvertragsklauseln, Angemessenheitsbeschlüsse) im VVT dokumentiert sein. Fehlen sie, ist das Verzeichnis unvollständig.
Fehler 2: Zu pauschale Angaben. „Kundendaten“ ist keine ausreichende Datenkategorie. Korrekt ist: „Name, E-Mail-Adresse, Bestellhistorie, Lieferadresse“. Dasselbe gilt für Rechtsgrundlagen: „berechtigtes Interesse“ ohne konkrete Interessenabwägung ist nicht rechtssicher.
Fehler 3: VVT einmal erstellt, nie gepflegt. Das häufigste Problem in der Praxis. Ein VVT, das den Stand von 2021 abbildet, schützt nicht vor Bußgeldern im Jahr 2026. Neue Tools, neue Dienstleister und neue Verarbeitungsprozesse müssen zeitnah nachgepflegt werden.
Prüfen Sie mit einer kompakten Checkliste, ob Ihr Verzeichnis von Verarbeitungstätigkeiten DSGVO-konform ist – inkl. aller Pflichtangaben nach Art. 30 DSGVO, kostenlos als Download.
In Deutschland muss das VVT auf Deutsch geführt oder zumindest in eine Form gebracht werden, die der Aufsichtsbehörde auf Verlangen sofort vorgelegt werden kann.
Die DSGVO schreibt keine feste Aufbewahrungsfrist vor. Zur Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO empfiehlt die Datenschutzkonferenz (DSK), ältere Versionen mindestens ein Jahr lang zu archivieren.
Ein externer Datenschutzbeauftragter kann bei der Erstaufnahme und der strukturierten Erfassung aller Verarbeitungstätigkeiten unterstützen. Die inhaltliche Verantwortung für die Richtigkeit liegt beim Verantwortlichen. Aus dem VVT lassen sich die Betroffenenrechte nach Art. 15–22 DSGVO direkt ableiten – das vereinfacht die Auskunftspflicht erheblich.
Nein. Das VVT muss auf Anfrage der Aufsichtsbehörde unverzüglich – in der Praxis innerhalb von 72 Stunden – vollständig vorgelegt werden. Eine proaktive Einreichung ist nicht vorgesehen.
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen