Verzeichnis von Verarbeitungstätigkeiten (VVT): Das Verzeichnis von Verarbeitungstätigkeiten ist ein nach Art. 30 DSGVO vorgeschriebenes Dokument, in dem Unternehmen alle Verarbeitungen personenbezogener Daten mit Zweck, Kategorien Betroffener, Empfängern und Löschfristen systematisch erfassen.
Für Verantwortliche verlangt Art. 30 Abs. 1 DSGVO unter anderem Name und Kontaktdaten des Verantwortlichen, Zwecke der Verarbeitung, Kategorien betroffener Personen und personenbezogener Daten, Empfänger, geplante Löschfristen sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM). Auftragsverarbeiter führen nach Abs. 2 ein eigenes, etwas schlankeres Verzeichnis.
| Pflichtangabe | Beispiel |
|---|---|
| Zweck | Kundenverwaltung, Lohnabrechnung |
| Kategorien Betroffener | Kunden, Beschäftigte, Bewerber |
| Empfänger | Steuerberater, IT-Dienstleister |
| Löschfrist | Nach Ende der Aufbewahrungspflicht |
Eine Ausnahme nach Art. 30 Abs. 5 DSGVO gilt für Unternehmen mit weniger als 250 Mitarbeitenden – sie greift jedoch nicht, sobald die Verarbeitung ein Risiko für die Rechte Betroffener birgt, nicht nur gelegentlich erfolgt oder besondere Kategorien personenbezogener Daten (etwa Gesundheitsdaten) umfasst. In der Praxis trifft diese Ausnahme daher kaum ein Unternehmen vollständig, da bereits die Lohnbuchhaltung meist als regelmäßige Verarbeitung gilt.
Für Unternehmen mit ISO-27001-Ambitionen überschneidet sich das VVT inhaltlich stark mit der geforderten Übersicht über Informationswerte und Datenflüsse im Geltungsbereich des Informationssicherheits-Managementsystems.
Art. 30 Abs. 3 DSGVO verlangt eine schriftliche Form, wozu ausdrücklich auch ein elektronisches Format zählt – viele Landesdatenschutzbehörden stellen kostenlose Muster-Vorlagen als Excel- oder Word-Datei bereit, die als Ausgangspunkt dienen können. Die Pflicht zur Führung des Verzeichnisses trifft die Geschäftsführung als Verantwortliche; die praktische Pflege wird häufig an den betrieblichen oder externen Datenschutzbeauftragten delegiert, ohne dass sich die rechtliche Verantwortung dadurch verschiebt.
Relevanz für die Zertifizierung
Ein sauberes VVT ist für Unternehmen, die eine ISO-27001-Zertifizierung anstreben, meist keine zusätzliche Pflicht, sondern eine Fleißarbeit, die ohnehin gebraucht wird: Die im ISMS geforderte Übersicht über Informationswerte und Verarbeitungsprozesse lässt sich direkt aus dem VVT ableiten oder mit ihm abgleichen. KCERT prüft im Audit die Informationssicherheit nach ISO 27001, nicht die datenschutzrechtliche Vollständigkeit des VVT selbst – für die rechtssichere Ausgestaltung des Verzeichnisses empfiehlt sich weiterhin eine datenschutzrechtliche Beratung oder der betriebliche Datenschutzbeauftragte.
Häufige Fragen zu Verzeichnis von Verarbeitungstätigkeiten (VVT)
Grundsätzlich ja, nach Art. 30 DSGVO. Eine Ausnahme für Unternehmen unter 250 Mitarbeitenden greift nur, wenn die Verarbeitung kein Risiko für Betroffene birgt, nicht nur gelegentlich erfolgt und keine besonderen Datenkategorien wie Gesundheitsdaten umfasst – Bedingungen, die in der Praxis kaum vollständig zutreffen.
Aufsichtsbehörden können ein fehlendes oder unvollständiges Verzeichnis nach Art. 83 Abs. 4 DSGVO mit Bußgeldern bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes ahnden. In der Praxis wird das VVT meist im Rahmen einer Datenschutzprüfung oder nach einem Vorfall angefordert.
Nein. ISO 27001 bewertet die Informationssicherheit des Managementsystems, das VVT ist eine eigenständige datenschutzrechtliche Pflicht nach Art. 30 DSGVO. Beide Dokumente überschneiden sich inhaltlich stark und lassen sich gut aufeinander abstimmen, ersetzen einander aber rechtlich nicht.