Inhaltsverzeichnis
- Einleitung
- Wer braucht ein Verzeichnis der Verarbeitungstätigkeiten (VVT)?
- Welche Angaben müssen in ein VVT?
- Wie erstellen Sie ein VVT, ohne den Überblick zu verlieren?
- Häufige Fehler – und wie Sie sie vermeiden
- Fazit: Ein vollständiges VVT schützt – und schafft Klarheit
- Ihr Verzeichnis der Verarbeitungstätigkeiten professionell aufsetzen
- Ausblick: Welche Frage sollen wir nächste Woche beantworten?
Einleitung
Das Verzeichnis der Verarbeitungstätigkeiten (VVT) ist eine der wichtigsten Grundlagen im Datenschutz – und dennoch wissen viele Unternehmen nicht, was wirklich hineingehört.
Das VVT zeigt übersichtlich, welche personenbezogenen Daten im Unternehmen verarbeitet werden, zu welchem Zweck, wer darauf zugreifen darf und wie sie geschützt sind.
Die Datenschutzaufsicht fragt bei Prüfungen fast immer als Erstes nach diesem Dokument.
Umso wichtiger ist es, dass es vollständig, aktuell und verständlich aufgebaut ist.
Wer braucht ein Verzeichnis der Verarbeitungstätigkeiten (VVT)?
Kurz gesagt: Fast alle Unternehmen, Praxen und Organisationen, die personenbezogene Daten verarbeiten. Ausnahmen gelten nur bei sehr kleinen Betrieben ohne Risiko-Bezug – in der Praxis trifft das jedoch selten zu. Sobald Bewerberdaten, Kundendaten, Lieferantendaten oder Mitarbeiterdaten verarbeitet werden, ist ein VVT Pflicht.
Welche Angaben müssen in ein VVT?
Die DSGVO schreibt klar vor, welche Inhalte enthalten sein müssen. Dazu gehören:
1. Zweck der Verarbeitung: Warum werden die Daten verarbeitet?
Beispiele: Bewerbungsprozesse, Kundenverwaltung, Marketing, Rechnungsstellung.
2. Kategorien der betroffenen Personen: Wessen Daten werden erfasst?
z. B. Mitarbeitende, Kunden, Bewerbende, Lieferanten.
3. Kategorien personenbezogener Daten: Welche Daten genau unterliegen der Verarbeitung?
z. B. Kontaktdaten, Bankdaten, Gesundheitsdaten, Nutzungsdaten.
4. Empfänger und Datenweitergaben: Wer erhält die Daten intern oder extern?
z. B. Steuerbüro, IT-Dienstleister, Newsletter-Tool, Zahlungsdienstleister.
5. Geplante Löschfristen: Wie lange werden die Daten gespeichert – und wann werden sie gelöscht?
6. Technische & organisatorische Maßnahmen (TOMs): Wie erfolgt der Schutz der Daten?
z. B. Passwortregeln, Zugriffsbeschränkungen, Verschlüsselung, Backup.
7. Übermittlungen in Drittländer: Erfolgt eine Übermittlung der Daten in Länder außerhalb der EU (z. B. USA-Tools)?
8. Verantwortliche Stelle & Ansprechpersonen: Wer ist intern zuständig? z. B. Geschäftsführung, Datenschutzbeauftragte*r, HR, IT.
Wie erstellen Sie ein VVT, ohne den Überblick zu verlieren?
Viele Unternehmen scheitern nicht daran, ob sie ein VVT brauchen, sondern daran, wie sie es strukturiert aufbauen.
Unsere Tipps:
- Starten Sie mit den größten Prozessen (z. B. HR, Rechnungswesen, Marketing)
- Nutzen Sie Vorlagen, um Zeit zu sparen und keine Pflichtangaben zu vergessen
- Prüfen Sie das VVT mindestens 1x pro Jahr
- Ergänzen Sie neue Tools sofort (z. B. wenn ein Newsletter-Tool hinzukommt)
- Arbeiten Sie eng mit HR, IT & GF zusammen – die wissen, wo Daten fließen
Ein VVT ist keine Verwaltungslast, sondern eine Karte, die zeigt, wie Daten im Unternehmen laufen.
Häufige Fehler – und wie Sie sie vermeiden
„Wir haben doch alles in einer Excel stehen, das reicht.“
Nein. Ein VVT braucht klare Struktur, Pflichtfelder und Aktualität.
„Das macht unsere IT.“
Datenschutz ist immer eine organisatorische Aufgabe – nicht nur technisch.
„Das fülle ich einmal aus und dann ist gut.“
Falsch. Das VVT ist ein lebendes Dokument, welches einer regelmäßigen Pflege unterliegen sollte.
„Wir verarbeiten gar keine personenbezogenen Daten.“
Doch. Jeder Betrieb mit Rechnungen, Bewerbungen oder E-Mail-Kontakten verarbeitet Daten.
Fazit: Ein vollständiges VVT schützt – und schafft Klarheit
Ein gut gepflegtes VVT zeigt nicht nur der Aufsichtsbehörde, dass Sie Datenschutz ernst nehmen –
es hilft Ihnen auch intern, Prozesse nachvollziehbar zu steuern, Risiken zu reduzieren und Verantwortlichkeiten klar zu definieren.
Mit einer sauberen Struktur und einer passenden Vorlage wird das VVT vom Pflichtdokument zum echten Steuerungsinstrument im Unternehmen.
Ihr Verzeichnis der Verarbeitungstätigkeiten professionell aufsetzen
Ist Ihr VVT bereits vollständig dokumentiert – oder gibt es noch offene Punkte?
Teilen Sie Ihre Erfahrungen gern in den Kommentaren oder schreiben Sie uns direkt.
Wenn Sie Unterstützung bei der Erstellung oder Überarbeitung Ihres VVT benötigen, stehen wir Ihnen als externe Datenschutzexpertinnen und -experten gern zur Seite.
Ausblick: Welche Frage sollen wir nächste Woche beantworten?
In unserer Serie „Euer Datenschutz-Thema der Woche” entscheiden Sie selbst, welches Thema als Nächstes behandelt wird. Am Montag stellen wir Ihnen in unserer Instagram-Story wieder drei Datenschutzfragen zur Auswahl.
Stimmen Sie dort einfach ab, welches Thema wir in der kommenden Woche ausführlich erklären sollen.
Folgen Sie uns auf Instagram, damit Sie Ihre Stimme abgeben können – und keinen Beitrag der Serie verpassen.
Noch mehr Praxiswissen?
Erfahren Sie in unserem Blogbeitrag, wie Unsere Vorgehensmethodik zur Datenschutz-Grundverordnung (DSGVO) ist – In diesem Blogbeitrag erläutern wir unsere simple Vorgehensmethodik zur Datenschutz-Grundverordnung in drei Phasen: Analysephase, Umsetzungsphase und Integrationsphase.
