Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist eine strukturierte Dokumentation aller Prozesse, in denen ein Unternehmen personenbezogene Daten verarbeitet. Nach Art. 30 DSGVO müssen darin unter anderem Zwecke, Datenkategorien, Empfänger und Löschfristen jeder Verarbeitung festgehalten werden. Das VVT dient als zentraler Nachweis gegenüber Aufsichtsbehörden und als Grundlage für weitere Datenschutzdokumente.
Wie funktioniert das Verzeichnis von Verarbeitungstätigkeiten?
Das VVT listet jede Verarbeitungstätigkeit als eigenen Eintrag auf — etwa Personalverwaltung, Kundenverwaltung, Newsletter-Versand, Website-Tracking oder Bewerbermanagement. Pro Eintrag dokumentiert es die in Art. 30 DSGVO genannten Angaben: Name und Kontaktdaten des Verantwortlichen, Zwecke der Verarbeitung, Kategorien betroffener Personen und Daten, Empfängerkategorien, etwaige Drittlandtransfers, vorgesehene Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.
Geführt wird das Verzeichnis meist als Tabelle oder in einer Datenschutz-Management-Software. Es ist ein lebendes Dokument: Neue Tools, geänderte Prozesse oder neue Dienstleister erfordern eine Aktualisierung.
Warum ist das VVT wichtig?
Das VVT ist das zentrale Nachweisdokument der DSGVO-Rechenschaftspflicht: Auf Anfrage muss es der Aufsichtsbehörde vorgelegt werden — häufig ist es das erste Dokument, das bei einer Prüfung angefordert wird. Die Pflicht trifft grundsätzlich alle Unternehmen; die vielzitierte Ausnahme für Betriebe unter 250 Mitarbeitenden greift in der Praxis selten, weil sie nur bei gelegentlicher, risikoarmer Verarbeitung gilt — regelmäßige Verarbeitungen wie Kunden- oder Personaldaten sind fast immer erfasst.
Darüber hinaus ist das VVT die Basis für andere Pflichten: Aus ihm lassen sich Datenschutzerklärung, Löschkonzept und die Liste der benötigten Auftragsverarbeitungsverträge ableiten. Wer sein VVT pflegt, hat den Überblick über die eigene Datenlandschaft.
VVT in der Praxis
Der Einstieg gelingt am besten abteilungsweise: Welche Prozesse verarbeiten Personendaten — von der Buchhaltung über das Marketing bis zur Website? Für das Online-Marketing gehören typischerweise Einträge zu Website-Betrieb, Kontaktformularen, Newsletter, Tracking- und Werbetools sowie Social-Media-Auftritten hinein. Aufsichtsbehörden stellen Muster und Ausfüllhilfen bereit.
Für eine Kanzlei umfasst das VVT neben Mandatsverwaltung und Personal auch die Marketing-Prozesse: Wer Google Ads mit Conversion-Tracking schaltet oder ein CRM einsetzt, sollte diese Verarbeitungen als eigene Einträge dokumentieren. Sinnvoll ist eine jährliche Überprüfung sowie eine Aktualisierung bei jeder größeren Tool-Änderung.