Das Verzeichnis von Verarbeitungstätigkeiten DSGVO

Lesezeit: 6 Minuten

Zusammenfassung

• Eine Verarbeitungstätigkeit nach der Datenschutz-Grundverordnung (DSGVO) ist jeder Vorgang, bei dem personenbezogene Daten automatisiert oder auch nicht automatisiert erhoben, gespeichert, genutzt, übermittelt, verändert, gelöscht oder anderweitig verwendet werden.
• Unternehmen müssen ein Verzeichnis von Verarbeitungstätigkeiten führen.
• Auftragsverarbeiter müssen zusätzlich ein spezifisches Verzeichnis für Verarbeitungen im Auftrag anfertigen.

In unserem Blogbeitrag erfahren Sie, welche Angaben in ein Verzeichnis von Verarbeitungstätigkeiten gem. Art. 30 DSGVO gehören und in welchen Fällen verantwortliche Stellen und Unternehmen von der Pflicht für die Erstellung und Führung eines VVT befreit sind. Ebenfalls finden Sie in diesem Beitrag typische Verarbeitungstätigkeiten sowie eine konkrete Schritt-für-Schritt-Anleitung.

Verzeichnis von Verarbeitungstätigkeiten nach der DSGVO

Das Verzeichnis von Verarbeitungstätigkeiten ist in der DSGVO in Art. 30 DSGVO geregelt. Das Verzeichnis von Verarbeitungstätigkeiten dient dabei im Datenschutz als zentraler Aspekt der Nachweisdokumentation. Hiernach müssen alle Verantwortlichen ein Verzeichnis von Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen, führen. Welche inhaltlichen Angaben dieses Verzeichnis in Bezug auf alle Verarbeitungen enthalten muss, gibt der Katalog in Art. 30 Abs. 1 S. 2 lit. a) bis lit. g) DSGVO vor. Hierzu gehören beispielsweise Angaben wie die Zwecke der Verarbeitung, die Kategorien betroffener Personen und die Kategorien von Empfängern. Zu beachten ist, dass das VVT schriftlich zu dokumentieren ist, was auch in einem elektronischen Format erfolgen kann, vgl. Art. 30 Abs. 3 DSGVO. Zu beachten ist ferner, dass der Verantwortliche oder der Auftragsverarbeiter der Aufsichtsbehörde das Verzeichnis auf Anfrage zur Verfügung stellen muss, vgl. Art. 30 Abs. 4 DSGVO. Dies liegt in der Beweislastumkehr für die Erfüllung der Nachweispflichten begründet.

Wann muss ein VVT erstellt werden?

Ein Verzeichnis von Verarbeitungstätigkeiten (VVT) muss erstellt werden, sobald ein Unternehmen personenbezogene Daten verarbeitet.
Die Pflicht ergibt sich aus Art. 30 DSGVO und gilt grundsätzlich ab Beginn der Datenverarbeitung, nicht erst auf Anfrage einer Aufsichtsbehörde.

Was ist eine Verarbeitungstätigkeit?

Eine Verarbeitungstätigkeit beschreibt einen klar abgegrenzten, wiederkehrenden Vorgang, bei dem personenbezogene Daten für einen bestimmten Zweck verarbeitet werden. Sie ist die zentrale Einheit im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Dabei geht es nicht um einzelne Daten oder Systeme, sondern um zusammengehörige Prozesse mit einem gemeinsamen Zweck.

In der Praxis bedeutet das: Immer dann, wenn personenbezogene Daten erhoben, gespeichert, genutzt, übermittelt oder gelöscht werden, liegt eine Verarbeitung vor. Eine Verarbeitungstätigkeit fasst diese einzelnen Verarbeitungsschritte logisch zusammen, zum Beispiel „Bewerbermanagement“, „Kundenverwaltung“ oder „Betrieb einer Unternehmenswebsite“.

Eine Verarbeitungstätigkeit wird zweckorientiert beschrieben, nicht technisch. Es geht also nicht darum, welches Tool verwendet wird, sondern warum personenbezogene Daten verarbeitet werden und wie dies grundsätzlich erfolgt. Mehrere IT-Systeme können daher Teil einer Verarbeitungstätigkeit sein, solange sie denselben Zweck verfolgen.

Praxisbeispiele für eine Verarbeitungstätigkeit

Um ein Verzeichnis von Verarbeitungstätigkeiten korrekt zu erstellen, hilft es, typische Verarbeitungstätigkeiten aus dem Unternehmensalltag zu betrachten. Die folgenden Praxisbeispiele zeigen, wie Verarbeitungstätigkeiten sinnvoll abgegrenzt und dokumentiert werden können.

1. Betrieb einer Unternehmenswebsite: Diese Verarbeitungstätigkeit umfasst alle personenbezogenen Daten, die im Zusammenhang mit dem Besuch und der Nutzung der Website verarbeitet werden.
2. Bewerbermanagement: Eine der häufigsten Verarbeitungstätigkeiten im HR-Bereich ist die Verarbeitung von Bewerberdaten.

3. Kundenverwaltung und Vertragsabwicklung: Diese Verarbeitungstätigkeit betrifft alle personenbezogenen Daten von Kunden im Rahmen von Vertragsbeziehungen.

Welche Informationen im Detail erfasst sein müssen, erfahren Sie im nachfolgenden Absatz.

Pflichtangaben für das Verarbeitungsverzeichnis

In Art. 30 DSGVO wird genau definiert, welche Angaben Verantwortliche je Verarbeitung im Verzeichnis von Verarbeitungstätigkeiten angeben müssen. Verantwortliche und ggfs. deren Vertreter müssen ein Verzeichnis aller Verarbeitungstätigkeiten führen, die ihrer Zuständigkeit unterliegen. Dieses Verzeichnis muss folgende Angaben enthalten:

1. Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des gemeinsam mit ihm Verantwortlichen, des Vertreters des Verantwortlichen sowie eines etwaigen Datenschutzbeauftragten (Art. 30 Abs. 1 lit. a) DSGVO);
2. Die Zwecke der Verarbeitung (Art. 30 Abs. 1 lit. b) DSGVO);
3. Eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten (Art. 30 Abs. 1 lit. c) DSGVO);
4. Die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfänger in Drittländern oder internationalen Organisationen (Art. 30 Abs. 1 lit. d) DSGVO);
5. Gegebenenfalls Übermittlungen von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands oder der betreffenden internationalen Organisation, sowie bei den in Art. 49 Abs. 1 und Abs. 2 DSGVO genannten Datenübermittlungen die Dokumentierung geeigneter Garantien (Art. 30 Abs. 1 lit. e) DSGVO);
6. Wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien (Art. 30 Abs. 1 lit. f) DSGVO);
7. Wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß Artikel 32 Absatz 1 (Art. 30 Abs. 1 lit. g) DSGVO).

Gewisse Angaben, wie z.B. der Name und die Kontaktdaten des Datenschutzbeauftragten, sind im Verzeichnis von Verarbeitungstätigkeiten nur einmal zu nennen. Die Vielzahl der geforderten Angaben – von Zweck und Rechtsgrundlage bis zu TOMs und Auftragsverarbeitern – macht deutlich, dass das VVT mehr ist als eine einfache Liste. Unternehmen benötigen Werkzeuge, die Informationen strukturieren, Abhängigkeiten abbilden und Änderungen nachvollziehbar dokumentieren. Genau hier kommen spezialisierte Softwarelösungen für Verarbeitungstätigkeiten ins Spiel.

Durch ein Datenschutzmanagement-System können am besten Schritt für Schritt alle Verarbeitungstätigkeiten erfasst werden.

Welche Softwarelösungen unterstützen Verarbeitungstätigkeiten effizient?

Die Pflege eines Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist für viele Unternehmen eine der größten praktischen Datenschutz-Herausforderungen. Manuelle Excel-Listen stoßen schnell an ihre Grenzen, sobald mehrere Fachabteilungen, technische Maßnahmen oder Auftragsverarbeiter beteiligt sind.
Effiziente Softwarelösungen setzen deshalb auf Automatisierung, Workflows und zentrale Datenhaltung.

Datenschutz-Management-Systeme (DSMS)

Datenschutz-Management-Systeme sind speziell für die Anforderungen der DSGVO konzipiert und bilden das VVT als zentralen Bestandteil ab.

Typische Funktionen:

• Automatisierte Erstellung und Pflege von Verarbeitungstätigkeiten

• Verknüpfung von VVT mit TOMs, Risiken und Rechtsgrundlagen

• Audit- und Nachweisfunktionen für Aufsichtsbehörden

• Standardisierte Berichte gemäß Art. 30 DSGVO

Beispiele für Softwarelösungen

• Keyed

• INPRIVE

• Otris

Diese Lösungen eignen sich besonders für Organisationen, die Datenschutz strukturiert und revisionssicher umsetzen möchten.

Welche Merkmale machen Software für Verarbeitungstätigkeiten effizient?

Unabhängig von der Kategorie sollten leistungsfähige Lösungen folgende Kriterien erfüllen:

• Automatisierung: Reduziert manuellen Pflegeaufwand

• Workflow-Unterstützung: Geführte Prozesse für Fachabteilungen

• Zentrale Datenbasis: Einheitliche Pflege von VVT, TOMs und DSFAs.

• Kollaboration: Rollen- und Rechtemanagement für Teams

• Reporting: Schnelle Nachweise für Audits und Behörden

VVT erstellen: Schritt-für-Schritt (mit Beispiel)

Ein Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO lässt sich mit einer klaren Vorgehensweise einfach und strukturiert erstellen. Die folgenden Schritte zeigen, wie Sie dabei praxisnah vorgehen – inklusive eines konkreten Beispiels.

Schritt 1: Verarbeitungstätigkeit festlegen

Definieren Sie zunächst eine konkrete Verarbeitungstätigkeit. Maßgeblich ist der Zweck der Verarbeitung, nicht das eingesetzte System. Als Beispiel: „Bewerbermanagement“ (und nicht: „Bewerberdaten in Outlook“).

Schritt 2: Zweck der Verarbeitung beschreiben

Formulieren Sie klar und verständlich, warum personenbezogene Daten verarbeitet werden. Beispiel: „Durchführung und Abwicklung von Bewerbungsverfahren zur Besetzung offener Stellen.“ Ein guter Zweck ist präzise, aber nicht technisch.

Schritt 3: Betroffene Personen festlegen

Listen Sie alle Personengruppen auf, deren Daten im Rahmen der Verarbeitungstätigkeit verarbeitet werden.

Schritt 4: Kategorien personenbezogener Daten erfassen

Beschreiben Sie die Datenarten, nicht einzelne Datenfelder. Das sind zum Beispiel: Stammdaten (Name, Kontaktdaten), Bewerbungsunterlagen (Lebenslauf, Zeugnisse), Kommunikationsdaten.

Schritt 5: Empfänger der Daten benennen

Hier werden interne und externe Stellen aufgeführt, an die Daten weitergegeben werden.

Schritt 6: Speicherdauer oder Löschfristen festlegen

Geben Sie an, wie lange die Daten gespeichert werden bzw. nach welchen Kriterien sie gelöscht werden. Hierbei bietet es sich unbedingt an, verschiedene Löschfristen pro Datenkategorie festzulegen.

Schritt 7: Technische und organisatorische Maßnahmen (TOMs) dokumentieren

Beschreiben Sie die grundlegenden Maßnahmen zum Schutz der Daten. Es reicht eine zusammenfassende Beschreibung, keine technische Detaildokumentation. Alternativ kann auch auf eine zentrale Dokumentation verwiesen werden.

Welche Angaben müssen Auftragsverarbeiter im Verarbeitungsverzeichnis aufnehmen?

Außerdem ist zu beachten, dass nicht nur Verantwortliche i.S.d. Art. 4 Nr. 7 DSGVO ein Verzeichnis von Verarbeitungstätigkeiten anfertigen müssen, sondern auch Auftragsverarbeiter i.S.d. Art. 4 Nr. 8 DSGVO, vgl. Art. 30 Abs. 2 DSGVO. Demnach muss jeder Auftragsverarbeiter und ggfs. sein Vertreter ein Verzeichnis zu allen Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitungen führen, die folgende Angaben enthält:

1. Den Namen und die Kontaktdaten des Auftragsverarbeiters oder der Auftragsverarbeiter und jedes Verantwortlichen, in dessen Auftrag der Auftragsverarbeiter tätig ist, sowie gegebenenfalls des Vertreters des Verantwortlichen oder des Auftragsverarbeiters und eines etwaigen Datenschutzbeauftragten (Art. 30 Abs. 2 lit. a) DSGVO);
2. Die Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden (Art. 30 Abs. 2 lit. b) DSGVO);
3. die Übermittlungen von personenbezogenen Daten in ein Drittland oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands oder der betreffenden internationalen Organisation, sowie bei den in Art. 49 Abs. 1 Uabs. 2 genannten Datenübermittlungen die Dokumentierung geeigneter Garantien (Art. 30 Abs. 2 lit. c) DSGVO);
4. Wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gem Art. 32 Abs. 1 DSGVO (Art. 30 Abs. 2 lit. d) DSGVO).

FAQ

Gibt es Online-Tools zur Erstellung von Verarbeitungsverzeichnissen?

Ja, es gibt Online-Tools zur Erstellung von Verarbeitungsverzeichnissen nach Art. 30 DSGVO. Diese Tools unterstützen Unternehmen dabei, Verarbeitungstätigkeiten strukturiert, zentral und revisionssicher zu dokumentieren. Ein intuitves Online-Tool ist zum Beispiel das DSMS von Keyed.

Welche Vorteile bieten Datenschutz-Management-Systeme gegenüber Excel?

Datenschutz-Management-Systeme automatisieren Prozesse, verknüpfen Verarbeitungstätigkeiten mit TOMs und Risiken und ermöglichen rollenbasierte Zusammenarbeit. Excel-Listen sind dagegen fehleranfällig, schwer versionierbar und nicht revisionssicher.

Wie kann ich Verarbeitungstätigkeiten in meinem Unternehmen dokumentieren?

Verarbeitungstätigkeiten in einem Unternehmen werden dokumentiert, indem ein Verzeichnis von Verarbeitungstätigkeiten (VVT) gemäß Art. 30 DSGVO erstellt und gepflegt wird. Dabei werden alle Prozesse erfasst, bei denen personenbezogene Daten verarbeitet werden.

Vorgehensweise in kompakten Schritten:

1. Alle relevanten Prozesse identifizieren, z. B. Personalverwaltung, Kundenmanagement, IT-Betrieb oder Marketing.

2. Pflichtangaben je Verarbeitung erfassen, insbesondere Zweck, Rechtsgrundlage, Kategorien betroffener Personen und Daten, Empfänger, Speicherdauer und technische sowie organisatorische Maßnahmen (TOMs).

3. Die Informationen strukturiert dokumentieren, etwa in einer Tabelle, einem zentralen Dokument oder einer spezialisierten Datenschutz-Software.

4. Das Verzeichnis regelmäßig aktualisieren, insbesondere bei neuen IT-Systemen, geänderten Zwecken oder neuen Auftragsverarbeitern.

Wichtig ist, dass das Verzeichnis vollständig, aktuell und jederzeit prüffähig ist, damit es bei internen Kontrollen oder Anfragen von Aufsichtsbehörden sofort vorgelegt werden kann.

Was passiert, wenn Verarbeitungstätigkeiten nicht oder unvollständig dokumentiert sind?

Fehlende oder unvollständige Dokumentation kann bei Prüfungen durch Aufsichtsbehörden als DSGVO-Verstoß gewertet werden. Dies kann zu Anordnungen, Bußgeldern oder Reputationsschäden führen.