Was ist ein Verzeichnis von Verarbeitungstätigkeiten?
Newsletter, Kontaktformular, CRM, Lohnabrechnung: In jedem davon stecken personenbezogene Daten. Das Verzeichnis von Verarbeitungstätigkeiten, kurz VVT, ist die Liste all dieser Vorgänge. Eine Zeile pro Zweck.
Die Pflicht steht in Art. 30 DSGVO. Es ist ein internes Dokument: Du musst es nicht veröffentlichen. Die Aufsichtsbehörde darf es aber jederzeit anfordern, und dann muss es schnell da sein — auf Deutsch, als Datei oder ausgedruckt.
Früher hieß das Ganze im alten Bundesdatenschutzgesetz Verfahrensverzeichnis. Viele sagen heute einfach Verarbeitungsverzeichnis.
Was muss drinstehen?
Art. 30 Abs. 1 nennt sieben Pflichtangaben für jeden Verantwortlichen:
- Wer: Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Datenschutzbeauftragten
- Wozu: der Zweck der Verarbeitung
- Wen und was: Kategorien der betroffenen Personen und der Daten
- An wen: Kategorien von Empfängern, auch in Drittländern
- Wohin: gegebenenfalls Übermittlungen in Drittländer
- Wie lange: wenn möglich die Löschfristen
- Wie geschützt: wenn möglich eine kurze Beschreibung der technischen und organisatorischen Maßnahmen (TOM)
„Wenn möglich“ klingt nach Kür. Die Datenschutzkonferenz (DSK), das Gremium der deutschen Aufsichtsbehörden, sieht das anders: Präzise Löschfristen und eine TOM-Beschreibung sind der Regelfall. „Gesetzliche Fristen“ als Löschfrist reicht ihr nicht.
Auch Dienstleister, die für andere Daten verarbeiten, führen ein eigenes, kürzeres Verzeichnis mit vier Angaben (Art. 30 Abs. 2).
Wer braucht ein VVT?
Im Gesetz steht eine Ausnahme für Unternehmen mit weniger als 250 Beschäftigten. Klingt nach Entwarnung für KMU. Ist es aber fast nie.
Die Ausnahme fällt weg, sobald eine dieser drei Bedingungen zutrifft: Die Verarbeitung birgt ein Risiko, sie erfolgt nicht nur gelegentlich, oder sie betrifft besondere Daten wie Gesundheit oder Religion.
Die EU will die Schwelle anheben, im Vorschlag der Kommission vom Mai 2025 auf 750 Beschäftigte. Beschlossen ist das noch nicht. Bis dahin gilt 250. Und auch danach bleibt das VVT Pflicht, wenn eine Verarbeitung ein hohes Risiko birgt.
Beispiel: eine Zeile für deinen Newsletter
So kann der Eintrag für einen Newsletter aussehen. Die Inhalte sind ein Muster, kein Vorschlag für deinen Fall.
Feld
Eintrag
Zweck
Newsletter an Interessenten
Betroffene
Abonnenten
Daten
E-Mail, Vorname, Double-Opt-in-Nachweis, Öffnungen und Klicks
Empfänger
Newsletter-Anbieter als Auftragsverarbeiter
Drittland
USA, Data Privacy Framework — oder „keins“
Löschung
Bei Abmeldung, Nachweis der Einwilligung länger
TOM
Verweis auf das Sicherheitskonzept
Die Rechtsgrundlage ist keine Pflichtangabe. Die DSK hält es aber für sinnvoll, sie mit aufzunehmen. Dann hast du alles an einem Ort, wenn die Datenschutzerklärung überarbeitet wird.
Ein Solopreneur mit drei Angestellten kommt schnell auf fünf bis zehn Zeilen: Lohnabrechnung, Bewerbungen, Buchhaltung, Kundenverwaltung, Kontaktformular, Newsletter, Webanalyse.
Häufige Fehler
Fehler 1 · „Wir sind zu klein dafür“
Die 250er-Grenze ist kein Freibrief. Wer Mitarbeiter bezahlt oder Kunden betreut, verarbeitet regelmäßig Daten und braucht ein Verzeichnis.
Fehler 2 · VVT und Datenschutzerklärung verwechseln
Die Datenschutzerklärung informiert Besucher öffentlich. Das VVT ist dein internes Arbeitsdokument für die Behörde. Beide hängen zusammen, ersetzen sich aber nicht.
Fehler 3 · Zu grob bleiben
Eine Zeile „Kundendaten“ mit Löschfrist „gesetzlich“ hilft niemandem. Jeder Zweck ist eine eigene Verarbeitungstätigkeit. Newsletter und Rechnungsstellung sind zwei Zeilen, auch wenn dieselbe E-Mail-Adresse drinsteckt.
Fehler 4 · Einmal anlegen, nie anfassen
Neues Tool, neues Formular, neuer Dienstleister — jedes Mal ändert sich das Verzeichnis. Die DSK empfiehlt, Änderungen zu dokumentieren und ein Jahr aufzubewahren.
So legst du los
- Muster holen: Die DSK bietet kostenlose Vorlagen für Verantwortliche und Auftragsverarbeiter.
- Tools auflisten: Geh deine Rechnungen durch. Jedes Abo mit Kundendaten ist ein Kandidat.
- Pro Zweck eine Zeile: Lieber zehn klare Zeilen als drei verschwommene.
- Termin setzen: Einmal im Quartal drüberschauen, bei jedem neuen Tool sofort.
Eine Tabelle in Excel oder Google Sheets reicht völlig. Wer mehr will, nimmt ein Datenschutz-Tool wie Caralegal, heyData, DataGuard oder Proliance. Fehlt das Verzeichnis oder ist es unvollständig, ist das ein Bußgeldtatbestand: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.
Häufige Fragen
Brauche ich als Solopreneur ein VVT?
Fast immer ja. Sobald du regelmäßig Kundendaten verwaltest, einen Newsletter verschickst oder Mitarbeiter bezahlst, greift die Ausnahme für kleine Unternehmen nicht. Ein kurzes Verzeichnis mit einer Handvoll Zeilen ist schnell gemacht.
Muss ich das VVT auf meine Website stellen?
Nein. Das Verzeichnis ist intern. Du legst es nur der Aufsichtsbehörde vor, wenn sie danach fragt. Öffentlich ist die Datenschutzerklärung, nicht das VVT.
Reicht eine Excel-Tabelle?
Ja. Das Gesetz verlangt ein schriftliches Verzeichnis, das ausdrücklich auch elektronisch sein darf. Wichtig ist, dass es vollständig ist, auf Deutsch vorgelegt werden kann und aktuell bleibt.
Was passiert, wenn ich keins habe?
Ein fehlendes oder unvollständiges Verzeichnis ist ein Verstoß gegen Art. 30 DSGVO. Der Bußgeldrahmen liegt bei bis zu 10 Mio. € oder 2 % des Umsatzes. Meist fällt es auf, wenn die Behörde wegen einer Beschwerde nachfragt.
Kommt die Grenze von 750 Beschäftigten?
Vielleicht. Die EU-Kommission hat sie im Mai 2025 vorgeschlagen, das Gesetzgebungsverfahren läuft noch. Bis zur Veröffentlichung im Amtsblatt gilt die alte Regel. Für riskante Verarbeitungen bleibt das Verzeichnis auch danach Pflicht.
