Verarbeitungsverzeichnis (VVT)

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist eines der zentralen Instrumente der DSGVO-Compliance. Gemäß Art. 30 DSGVO ist jeder Verantwortliche verpflichtet, ein solches Verzeichnis schriftlich – auch in elektronischer Form – zu führen und der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. Es bildet die dokumentarische Grundlage für die gesamte datenschutzrechtliche Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Das VVT muss für jede Verarbeitungstätigkeit mindestens die folgenden Angaben enthalten: Name und Kontaktdaten des Verantwortlichen, den Verarbeitungszweck, eine Beschreibung der betroffenen Personengruppen und Datenkategorien, die Empfänger oder Empfängerkategorien, etwaige Drittlandübermittlungen einschließlich der Garantien, die vorgesehenen Löschfristen sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Auftragsverarbeiter müssen ein eigenes Verzeichnis für alle im Auftrag durchgeführten Verarbeitungen führen.

In der Praxis ist das VVT weit mehr als ein bürokratisches Dokument: Es hilft Ihnen als Compliance Officer, einen systematischen Überblick über alle Datenflüsse im Unternehmen zu gewinnen, Risiken frühzeitig zu erkennen und die Notwendigkeit einer Datenschutz-Folgenabschätzung (DSFA) zu beurteilen. Unternehmen mit weniger als 250 Mitarbeitern sind von der Pflicht nur ausgenommen, wenn die Verarbeitung kein Risiko für die Betroffenenrechte birgt, nicht gelegentlich erfolgt und keine besonderen Datenkategorien betrifft – was in der Praxis selten zutrifft.