Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO
DefinitionPflichtliste aller Datenverarbeitungen inkl. Zwecke, Empfänger, Fristen, TOMs.
Ein Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO ist eine verpflichtende, schriftliche (auch elektronische) Übersicht aller personenbezogenen Datenverarbeitungen in Ihrem Unternehmen. Es dokumentiert u. a. Zwecke, Kategorien von Daten und Betroffenen, Empfänger, Löschfristen sowie technische und organisatorische Maßnahmen (TOMs) – und dient als zentraler Nachweis Ihrer DSGVO-Compliance.
Was bedeutet „VVT“ nach Art. 30 DSGVO?
„VVT“ ist die Abkürzung für Verzeichnis von Verarbeitungstätigkeiten. Gemeint ist keine einmalige Checkliste, sondern eine lebende Dokumentation: Immer wenn sich Prozesse, IT-Systeme, Dienstleister oder Zwecke ändern, muss das VVT aktualisiert werden. Für KMU ist das VVT oft das wichtigste „Grunddokument“, weil es viele weitere Pflichten stützt (z. B. Informationspflichten, Auftragsverarbeitung, Löschkonzept).
Wie funktioniert ein VVT in der Praxis? (KMU-Workflow)
- 1) Verarbeitungstätigkeiten sammeln: z. B. Lohnabrechnung, Bewerbermanagement, Newsletter, CRM, Videoüberwachung, Support-Tickets.
- 2) Pro Tätigkeit die Pflichtangaben erfassen: Verantwortlicher, Zwecke, Rechtsgrundlagen, Datenkategorien, Betroffenengruppen, Empfänger/Drittländer, Löschfristen, TOMs.
- 3) Dienstleister zuordnen: z. B. Cloud-Hosting, Steuerbüro, E-Mail-Marketing – inkl. AV-Vertrag/Data Processing Agreement (DPA/AVV).
- 4) Risiken & Schutz prüfen: Passen TOMs (Zugriffskontrollen, Backups, Verschlüsselung, Rollen)? Gibt es ggf. eine DSFA/DPIA?
- 5) Verantwortlichkeiten festlegen: Wer pflegt das VVT, wie oft wird es geprüft (z. B. quartalsweise) und wie werden Änderungen gemeldet?
Welche Inhalte muss ein VVT typischerweise enthalten?
Art. 30 DSGVO nennt Mindestangaben. Für Verantwortliche sind das insbesondere: Name/Kontaktdaten des Verantwortlichen (und ggf. Datenschutzbeauftragten), Zwecke, Kategorien betroffener Personen und personenbezogener Daten, Kategorien von Empfängern, ggf. Drittlandtransfers inkl. Garantien, geplante Löschfristen sowie eine allgemeine Beschreibung der TOMs. Auftragsverarbeiter führen ein eigenes Verzeichnis für die im Auftrag verarbeiteten Tätigkeiten.
Beispiele für Verarbeitungstätigkeiten (kleines Unternehmen)
- Personalverwaltung: Arbeitsverträge, Zeiterfassung, Krankmeldungen; Empfänger: Steuerberater, Krankenkassen; Löschfristen nach HGB/AO und arbeitsrechtlichen Vorgaben.
- Kunden- & Auftragsabwicklung: Angebote, Rechnungen, Support; Empfänger: Zahlungsdienstleister, Versanddienstleister; TOMs: Rollenrechte im ERP/CRM, Protokollierung.
- Website & Marketing: Kontaktformular, Newsletter, Tracking; Empfänger: Hosting, ggf. Marketing-Tool; Rechtsgrundlage: Vertrag/Einwilligung; Löschfristen: z. B. 6–24 Monate je nach Zweck.
Warum ist das VVT wichtig (und wann wird es kritisch)?
Das VVT ist oft das erste Dokument, das Aufsichtsbehörden bei Anfragen oder Prüfungen sehen wollen. Es hilft Ihnen außerdem, Datenflüsse zu verstehen, unnötige Verarbeitung zu reduzieren (Stichwort Data Minimization (Datenminimierung)) und Löschfristen sauber umzusetzen. Kritisch wird es, wenn neue Tools „nebenbei“ eingeführt werden (z. B. KI-Chatbots oder ChatGPT im Support), ohne Zweck, Rechtsgrundlage, Empfänger und TOMs zu dokumentieren.
Was kostet ein VVT?
Die Kosten hängen stark von Unternehmensgröße, Prozessreife und Tool-Landschaft ab. KMU erstellen ein erstes VVT häufig intern mit Vorlagen (Zeitaufwand z. B. einige Stunden bis wenige Tage). Externe Unterstützung kann sinnvoll sein, wenn viele Systeme/Dienstleister, internationale Transfers oder komplexe Prozesse vorliegen.
- 30%
weniger Audit-Aufwand
Ein gepflegtes VVT verkürzt in KMU typischerweise die Vorbereitung auf Datenschutz- und Kundenprüfungen, weil Zwecke, Empfänger und Löschfristen zentral dokumentiert sind.
- 2,1x
schnellere Auskunft
Unternehmen mit strukturiertem VVT können Betroffenenanfragen und interne Rückfragen zu Datenflüssen deutlich schneller beantworten als Betriebe mit verstreuter Dokumentation.
- 64%
häufige Dokumentationslücken
Ein erheblicher Teil kleiner und mittlerer Unternehmen weist bei Datenschutzprüfungen unvollständige Verzeichnisse oder veraltete Einträge zu Verarbeitungstätigkeiten auf.
HR-Prozesse im VVT sauber dokumentieren und Auskunftsanfragen schneller beantworten
Ein KMU erfasst im Verzeichnis von Verarbeitungstätigkeiten alle personenbezogenen Datenflüsse rund um Bewerbungen, Personalverwaltung, Zeiterfassung und Lohnabrechnung. So kann die Personalabteilung bei Auskunfts- oder Löschanfragen sofort nachvollziehen, welche Systeme betroffen sind, welche Dienstleister eingebunden sind und wie lange Daten gespeichert werden.
Kundendaten im Vertrieb strukturieren und CRM-Risiken transparent machen
Ein mittelständisches B2B-Unternehmen nutzt das VVT, um die Verarbeitung von Kontaktdaten in CRM, E-Mail-Tools und Angebotsprozessen zentral zu dokumentieren. Dadurch wird klar, zu welchen Zwecken Daten genutzt werden, wer Zugriff hat und ob Auftragsverarbeiter oder internationale Datentransfers korrekt abgebildet sind.
Externe IT-Dienstleister und Supportsysteme im Kundenservice DSGVO-konform steuern
Ein KMU im technischen Service dokumentiert im VVT die Verarbeitung von Kundendaten in Ticketsystemen, Fernwartungstools und Hotline-Prozessen. Das hilft dabei, technische und organisatorische Maßnahmen, Löschfristen und beteiligte Support-Dienstleister nachvollziehbar festzuhalten und bei Audits oder Datenschutzprüfungen schnell bereitzustellen.
Häufig gestellte Fragen
Was ist ein Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO?
Das VVT ist eine verpflichtende Übersicht aller Prozesse, in denen Ihr Unternehmen personenbezogene Daten verarbeitet. Es beschreibt u. a. Zwecke, Datenkategorien, Empfänger, Löschfristen und TOMs als Nachweis der DSGVO-Compliance.
Wer muss ein VVT führen – gilt die Pflicht auch für kleine Unternehmen?
Grundsätzlich müssen Verantwortliche und Auftragsverarbeiter ein VVT führen. Die oft genannte Ausnahme für Unternehmen unter 250 Mitarbeitenden greift in der Praxis selten, z. B. wenn die Verarbeitung nicht nur „gelegentlich“ erfolgt oder besondere Datenkategorien betroffen sind.
Welche Angaben müssen im VVT mindestens enthalten sein?
Mindestens erforderlich sind u. a. Verantwortlicher, Zwecke, Kategorien von Betroffenen und Daten, Empfänger (inkl. Drittländer), Löschfristen sowie eine Beschreibung der TOMs. Zusätzlich sollten Rechtsgrundlagen und eingesetzte Dienstleister sauber zugeordnet werden.
Wie oft muss das VVT aktualisiert werden?
Immer dann, wenn sich Verarbeitung, Systeme, Dienstleister, Zwecke oder Löschfristen ändern. Praktisch bewährt sind feste Review-Termine (z. B. quartalsweise) plus ein Prozess, der Änderungen bei neuen Tools oder Projekten auslöst.
Was passiert, wenn kein oder ein unvollständiges VVT vorhanden ist?
Bei Prüfungen kann das als Verstoß gegen Art. 30 DSGVO gewertet werden und zu Anordnungen oder Bußgeldern führen. Außerdem fehlen Ihnen wichtige Grundlagen für AV-Verträge, Löschkonzepte und die transparente Information von Betroffenen.
Ist ein VVT nach Art. 30 DSGVO auch elektronisch zulässig?
Ja, das Verzeichnis von Verarbeitungstätigkeiten darf schriftlich oder elektronisch geführt werden. Wichtig ist, dass es vollständig, aktuell und auf Anfrage der Aufsichtsbehörde schnell vorgelegt werden kann.
Welche Verarbeitungstätigkeiten gehören typischerweise in ein VVT?
In ein VVT gehören alle Prozesse, bei denen personenbezogene Daten verarbeitet werden, zum Beispiel Bewerbermanagement, Lohnbuchhaltung, CRM, Newsletter, Support oder Videoüberwachung. Entscheidend ist nicht das Tool, sondern der konkrete Verarbeitungsvorgang und dessen Zweck.
Ich habe viele Tools im Einsatz – wie finde ich heraus, welche davon ins VVT gehören?
Genau hier entsteht in vielen Unternehmen Unsicherheit: Nicht jedes Tool ist automatisch ein eigener VVT-Eintrag, aber fast jedes Tool unterstützt eine Verarbeitungstätigkeit. Mit dem Tech-Gutachten analysiere ich deine Tool-Landschaft, ordne Prozesse sauber zu und schaffe die Grundlage, damit du dein VVT strukturiert und nachvollziehbar aufbauen kannst.
Ist die Erstellung oder Pflege eines VVT nicht sehr zeitaufwendig?
Ohne klare Systematik ja – mit sauberem Prozess-Mapping deutlich weniger. Ich helfe dir dabei, deine bestehenden Abläufe, Systeme und Verantwortlichkeiten so zu strukturieren, dass das VVT nicht zur Dauerbaustelle wird, sondern als praktikabler Compliance-Nachweis funktioniert.
Wir haben kein eigenes IT- oder Datenschutz-Team – lohnt sich externe Unterstützung trotzdem?
Gerade dann ist externe Unterstützung oft besonders sinnvoll, weil intern meist die Zeit und der Überblick über Tools, Datenflüsse und Verantwortlichkeiten fehlen. Als externer CTO begleite ich Geschäftsführer von Unternehmen mit 5 bis 30 Mitarbeitern dabei, technische Strukturen verständlich zu ordnen und fundierte Entscheidungen zu treffen.
Kann ein chaotisches Tool-Setup dazu führen, dass das VVT unvollständig ist?
Ja, denn wenn niemand genau weiß, welche Tools im Einsatz sind, wo Daten liegen und wer worauf zugreift, fehlen oft wichtige Verarbeitungstätigkeiten im Verzeichnis. Mit dem Tech-Gutachten oder einer laufenden Tech-Partnerschaft räume ich dieses Tool-Chaos auf und sorge für die Transparenz, die du für ein belastbares VVT brauchst.
Wie hilft mir eine bessere Systemlandschaft konkret bei DSGVO- und VVT-Themen?
Je klarer deine Prozesse, Zuständigkeiten und Systeme aufgesetzt sind, desto leichter lassen sich Datenflüsse, Löschroutinen, Zugriffe und technische Maßnahmen dokumentieren. Mit OrbitOS setze ich auf Wunsch eine konsolidierte Business-Lösung um, damit dein Unternehmen nicht nur effizienter arbeitet, sondern auch deutlich bessere Voraussetzungen für saubere Datenschutz-Dokumentation hat.