Das Verzeichnis von Verarbeitungstätigkeiten (VVT), kurz Verarbeitungsverzeichnis, ist eine Liste aller Vorgänge, in denen Ihr Unternehmen personenbezogene Daten verarbeitet. Für jede Tätigkeit halten Sie Zweck, betroffene Personen, Datenkategorien, Empfänger, Drittlandübermittlungen, Löschfristen und die Schutzmaßnahmen fest (Art. 30 Abs. 1 DSGVO). Praktisch muss fast jedes Unternehmen ein VVT führen. Auf Anfrage legen Sie es der Aufsichtsbehörde vor.
Wozu dient das Verarbeitungsverzeichnis?
Das VVT ist das Inhaltsverzeichnis Ihres Datenschutzes. Es zeigt, welche Daten wo und wozu verarbeitet werden. Darauf bauen viele andere Pflichten auf:
- Die Datenschutzerklärung und die übrigen Informationen nach Art. 13 und 14 DSGVO lassen sich nur richtig schreiben, wenn Sie die Verarbeitungen kennen.
- Ein Auskunftsersuchen nach Art. 15 DSGVO beantworten Sie schneller, wenn Sie wissen, in welchen Systemen Daten liegen.
- Löschfristen, Auftragsverarbeitungsverträge und die Prüfung, ob eine Datenschutz-Folgenabschätzung nötig ist, setzen am VVT an.
- Es ist ein zentraler Nachweis für die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).
Fragt eine Aufsichtsbehörde nach einer Beschwerde oder einer Datenpanne nach, ist das VVT meist das erste Dokument, das sie sehen will.
Wer muss ein VVT führen?
Jeder Verantwortliche führt ein Verzeichnis der Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen (Art. 30 Abs. 1 DSGVO). Auftragsverarbeiter führen ein eigenes Verzeichnis über die Tätigkeiten, die sie im Auftrag ihrer Kunden ausführen (Art. 30 Abs. 2 DSGVO). Das gilt für Unternehmen jeder Rechtsform, für Vereine, Arztpraxen und Behörden.
Wer ist nicht verpflichtet, ein Verarbeitungsverzeichnis zu führen?
Art. 30 Abs. 5 DSGVO befreit Unternehmen und Einrichtungen mit weniger als 250 Beschäftigten. Die Ausnahme gilt aber nicht, wenn eine der folgenden Bedingungen zutrifft:
- Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen.
- Die Verarbeitung erfolgt nicht nur gelegentlich.
- Es werden besondere Kategorien nach Art. 9 Abs. 1 DSGVO oder Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO verarbeitet.
Schon die Lohnabrechnung ist keine gelegentliche Verarbeitung, und sie enthält mit der Religionszugehörigkeit für die Kirchensteuer oft besondere Kategorien. Die Datenschutzkonferenz sieht deshalb für fast alle Unternehmen eine Pflicht zum VVT (DSK-Kurzpapier Nr. 1). Nach einem Positionspapier der Artikel-29-Datenschutzgruppe von 2018 beschränkt sich die Pflicht dann auf die Tätigkeiten, die eine der Bedingungen erfüllen. In der Praxis lohnt es sich kaum, das zu trennen.
Geplante Änderung: Mit dem sogenannten Omnibus IV will die EU die Ausnahme erweitern. Rat und Parlament haben sich im Juni 2026 vorläufig geeinigt. Nach Angaben des Europäischen Parlaments soll die Schwelle auf 1.000 Beschäftigte steigen, und die Pflicht soll unterhalb davon nur noch bei voraussichtlich hohem Risiko oder bei einer Kerntätigkeit gelten. Die Änderung ist noch nicht verabschiedet und nicht in Kraft. Bis dahin gilt Art. 30 Abs. 5 DSGVO in der heutigen Fassung. Ein gepflegtes VVT bleibt auch danach die Grundlage für Datenschutzerklärung, Löschkonzept und Auskünfte.
Was muss in das VVT? Pflichtangaben nach Art. 30 Abs. 1 DSGVO
| Angabe | Fundstelle | Beispiel Kundenverwaltung |
|---|---|---|
| Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Vertreters und des Datenschutzbeauftragten | lit. a | Muster GmbH, Anschrift, DSB-Kontakt |
| Zwecke der Verarbeitung | lit. b | Angebote, Auftragsabwicklung, Rechnungen |
| Kategorien betroffener Personen und personenbezogener Daten | lit. c | Kunden, Ansprechpartner; Name, Kontakt, Bestellungen |
| Kategorien von Empfängern, auch in Drittländern | lit. d | Steuerberater, Hoster, Versanddienstleister |
| Übermittlungen in Drittländer, gegebenenfalls mit Dokumentation der Garantien | lit. e | keine oder US-Anbieter mit Standardvertragsklauseln |
| Vorgesehene Fristen für die Löschung | lit. f | Rechnungen 8 Jahre, Angebote ohne Auftrag 1 Jahr |
| Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen | lit. g | Verweis auf das TOM-Dokument |
Die Angaben unter lit. f und lit. g sind nach dem Wortlaut nur "wenn möglich" aufzunehmen. Die Aufsichtsbehörden erwarten sie trotzdem, denn ohne Löschfristen und TOM ist das Verzeichnis als Nachweis wenig wert. Viele Unternehmen ergänzen freiwillig die Rechtsgrundlage je Zweck und die eingesetzten Systeme. Das erleichtert später die Datenschutzerklärung und Auskünfte.
Das VVT des Auftragsverarbeiters (Art. 30 Abs. 2 DSGVO)
Arbeiten Sie als Dienstleister für andere, etwa als IT-Betreuer, Lohnbüro oder Callcenter, führen Sie ein zweites Verzeichnis. Es enthält Namen und Kontaktdaten des Auftragsverarbeiters, jedes Auftraggebers und der Datenschutzbeauftragten, die Kategorien der Verarbeitungen je Auftraggeber, Drittlandübermittlungen und eine allgemeine Beschreibung der TOM. Viele Dienstleister brauchen damit beide Verzeichnisse: eines für die eigenen Beschäftigten und Kunden, eines für die Arbeit im Auftrag.
Form, Pflege und Vorlage
Das Verzeichnis ist schriftlich zu führen, das kann auch in elektronischer Form geschehen (Art. 30 Abs. 3 DSGVO). Eine Tabelle, ein Textdokument oder eine Datenschutzsoftware genügen. Das VVT ist nicht öffentlich. Sie müssen es der Aufsichtsbehörde aber auf Anfrage zur Verfügung stellen (Art. 30 Abs. 4 DSGVO).
Ein VVT ist nie fertig. Neue Software, ein neuer Dienstleister, ein neuer Zweck oder eine geänderte Löschfrist müssen eingetragen werden. Legen Sie fest, wer das Verzeichnis pflegt, und prüfen Sie es mindestens einmal im Jahr. Vermerken Sie das Datum der letzten Änderung.
So erstellen Sie das Verarbeitungsverzeichnis in 6 Schritten
- Abteilungen durchgehen: Geschäftsleitung, Personal, Buchhaltung, Vertrieb, Marketing, IT, Produktion. Fragen Sie jeweils: Welche Daten über Menschen nutzen Sie, wofür und mit welchem Programm?
- Tätigkeiten bilden: Fassen Sie zusammen, was einem Zweck dient. "Lohnabrechnung" ist eine Tätigkeit, "Excel" ist keine.
- Pflichtangaben eintragen: Füllen Sie für jede Tätigkeit die Spalten aus der Tabelle oben.
- Dienstleister abgleichen: Prüfen Sie für jeden Empfänger, ob ein Auftragsverarbeitungsvertrag nötig ist und vorliegt.
- Löschfristen festlegen: Nennen Sie konkrete Fristen oder klare Kriterien, keine Floskeln wie "solange erforderlich".
- Risiken markieren: Kennzeichnen Sie Tätigkeiten mit sensiblen Daten, Überwachung oder Profiling. Dort prüfen Sie, ob eine Datenschutz-Folgenabschätzung Pflicht ist.
Die Datenschutzkonferenz stellt ein Muster mit Ausfüllhinweisen bereit. Es ist ein guter Startpunkt, ersetzt aber nicht die Bestandsaufnahme im eigenen Betrieb.
Beispiele aus Unternehmen
Handwerksbetrieb mit 12 Beschäftigten: Typische Tätigkeiten sind Kundenverwaltung und Angebote, Auftragsabwicklung und Rechnungen, Lohnabrechnung über den Steuerberater, Bewerbungen, Zeiterfassung, Website mit Kontaktformular und die Kommunikation per E-Mail und Messenger. Meist ergeben sich 10 bis 20 Einträge.
Online-Händler: Hinzu kommen Shop-Konten, Zahlungsabwicklung, Versand, Newsletter, Webanalyse, Bonitätsprüfung und Kundenservice. Wichtig sind hier die Drittlandübermittlungen an US-Dienste und die Einwilligungen für Tracking.
Arztpraxis: Patientenverwaltung, Behandlungsdokumentation, Abrechnung mit der Kassenärztlichen Vereinigung, Terminbuchung und Labor. Gesundheitsdaten sind besondere Kategorien, die Ausnahme nach Art. 30 Abs. 5 DSGVO scheidet damit sicher aus.
Typische Fehler
- Systemliste statt Tätigkeiten: Das VVT listet Programme auf, aber keine Zwecke.
- Fehlende Löschfristen: Ohne Fristen fehlt die Grundlage für das Löschkonzept.
- Veraltete Einträge: Der Newsletter-Anbieter wurde gewechselt, das VVT nennt noch den alten.
- Nur Marketing erfasst: Personaldaten, Videoüberwachung und Bewerbungen fehlen.
- Kein Abgleich: VVT, Datenschutzerklärung und Auftragsverarbeitungsverträge widersprechen sich.
Was droht ohne VVT?
Ein fehlendes oder unvollständiges Verzeichnis ist ein Verstoß gegen Art. 30 DSGVO. Dafür sieht Art. 83 Abs. 4 lit. a DSGVO Bußgelder bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor. Schwerer wiegt oft die Folgewirkung: Ohne VVT können Sie bei einer Prüfung kaum nachweisen, dass Ihre Verarbeitungen rechtmäßig sind.
Checkliste
- Alle Abteilungen und Prozesse erfasst, auch Personal und Bewerbungen
- Pflichtangaben nach Art. 30 Abs. 1 DSGVO je Tätigkeit ausgefüllt
- Rechtsgrundlage je Zweck ergänzt
- Löschfristen konkret benannt
- Empfänger mit Auftragsverarbeitungsverträgen abgeglichen
- Drittlandübermittlungen und Garantien dokumentiert
- Verweis auf die technischen und organisatorischen Maßnahmen
- Verantwortliche Person und jährlicher Prüftermin festgelegt
Ob Ihr Verzeichnis vollständig ist, zeigt ein Datenschutz-Audit. Datenkodex unterstützt als externer Datenschutzbeauftragter auch bei Aufbau und Pflege des VVT.