So läuft es heute in den meisten Unternehmen
Der Einstieg ist immer derselbe. Jemand lädt eine Vorlage herunter – von der Aufsichtsbehörde, aus einem Fachverband oder aus einem Seminar –, benennt sie in „VVT_Unternehmen.xlsx" um und beginnt zu befüllen. Personal, Buchhaltung, Marketing, IT: Für jede Abteilung entsteht eine Zeile, in der Zweck, Rechtsgrundlage, Datenkategorien, Empfänger und Löschfristen nebeneinander stehen.
Das ist ein völlig vernünftiger Anfang. Eine Tabelle ist sofort verfügbar, jede und jeder kann sie bedienen, und für die ersten zwanzig Verarbeitungstätigkeiten reicht sie vollkommen aus. Die Probleme entstehen nicht beim Anlegen – sie entstehen beim Betrieb.
Denn nach der Erstversion beginnt der eigentliche Prozess: Die Fachbereiche liefern per E-Mail zu, meist als ausgefüllte Word-Vorlage oder als Antwort im Fließtext. Eine Person überträgt das in die Tabelle. Ein neues System wird eingeführt, ein Dienstleister ausgetauscht, eine Abteilung umstrukturiert. Die Datei liegt auf einem Laufwerk, wird für eine Abstimmung als Kopie verschickt, kommt kommentiert zurück – und irgendwann existieren „VVT_Unternehmen_final.xlsx", „VVT_Unternehmen_final_v2.xlsx" und „VVT_Stand_Audit.xlsx" nebeneinander.
Der Moment, in dem es auffällt
Auffällig wird das selten im Alltag. Es fällt in drei Situationen auf: wenn die Aufsichtsbehörde nachfragt, wenn ein Kunde im Rahmen einer Lieferantenprüfung das Verzeichnis sehen will, oder wenn die verantwortliche Person das Unternehmen verlässt. In allen drei Fällen lautet die Frage nicht „Habt ihr ein Verzeichnis?", sondern „Welcher Stand galt am 14. März – und wer hat ihn freigegeben?"
Auf diese Frage hat eine Excel-Datei keine Antwort. Nicht, weil sie schlecht gepflegt wurde, sondern weil sie über Version, Zuständigkeit und Freigabe strukturell nichts weiß.
Die Analyse
Fünf Probleme, die jede VVT-Tabelle erzeugt
Sie treten unabhängig von der Sorgfalt auf, mit der die Tabelle geführt wird – sie sind Eigenschaften des Werkzeugs, nicht der Person.
Verarbeitungstätigkeiten in preeco ansehenKein Nachweis über den Stand
Art. 30 DSGVO verlangt ein Verzeichnis, das der Aufsichtsbehörde vorgelegt werden kann. Ohne Versionierung und Freigabe lässt sich nicht belegen, welcher Inhalt zu welchem Zeitpunkt galt.
Pflichtangaben werden nicht eingefordert
Eine leere Zelle sieht aus wie eine gefüllte. Fehlende Angaben zu Drittlandtransfers, Empfängerkategorien oder Löschfristen fallen erst auf, wenn jemand gezielt danach sucht.
Zusammenhänge existieren nur als Freitext
Systeme, technische und organisatorische Maßnahmen sowie Auftragsverarbeitungsverträge stehen als Text in einer Zelle. Ändert sich ein Dienstleister, muss jede betroffene Zeile einzeln gesucht werden.
Zusammenarbeit endet beim Dateiumlauf
Sobald zwei Personen oder mehrere Gesellschaften beteiligt sind, kursieren konkurrierende Stände. Wer welche Zeile zuletzt geändert hat, steht nirgends.
Aktualität hängt an einer Person
Es gibt keinen Turnus, keine Wiedervorlage und keine Erinnerung. Das Verzeichnis altert genau so schnell, wie das Unternehmen sich verändert – nur merkt es niemand.
Der Soll-Prozess in sechs Schritten
Ein tragfähiges Verzeichnis unterscheidet sich von einer Tabelle nicht durch mehr Inhalt, sondern durch einen definierten Ablauf. Diese sechs Schritte beschreiben ihn – unabhängig davon, mit welchem Werkzeug Sie arbeiten.
1. Bestand aufnehmen, nicht neu erfinden. Der vorhandene Excel- oder Word-Stand ist die Grundlage. Er wird importiert und den strukturierten Feldern zugeordnet, statt abgetippt zu werden. Alles, was bereits dokumentiert ist, bleibt erhalten.
2. Systeme einmal zentral erfassen. Jedes Datenverarbeitungssystem wird einmal angelegt – mit Anbieter, Datenkategorien und den zugehörigen Schutzmaßnahmen. Verarbeitungstätigkeiten verweisen anschließend darauf, statt die Angaben zu wiederholen. Ein Anbieterwechsel wird damit zu einer Änderung an einer Stelle.
3. Pflichtangaben erzwingen. Die Erfassung folgt einem strukturierten Formular, das durch alle Angaben nach Art. 30 Abs. 1 DSGVO führt: Zweck, betroffene Personen, Datenkategorien, Empfänger, Drittlandtransfers, Löschfristen und Schutzmaßnahmen. Leere Pflichtfelder sind sichtbar, nicht unsichtbar.
4. Verantwortung je Verarbeitung festlegen. Jede Verarbeitungstätigkeit bekommt eine fachlich verantwortliche Person. Rückfragen gehen an diese Person, nicht an „den Datenschutz". Damit verlagert sich die Pflege dorthin, wo das Wissen sitzt.
5. Freigeben und einfrieren. Mit der Freigabe entsteht ein unveränderlicher Stand. In preeco | datenschutz erzeugt das System dabei automatisch eine PDF-Revision; zwei Stände lassen sich farblich vergleichen, und über gespeicherte SHA-256-Prüfsummen ist die Integrität einer Revision überprüfbar. Genau das beantwortet die Frage nach dem Stand vom 14. März.
6. Turnus statt Anlass. Die Aktualisierung wird terminiert – jährlich, bei wesentlichen Änderungen oder bei Einführung eines neuen Systems. Wiedervorlagen und Aufgaben erinnern die zuständige Person, ohne dass jemand eine Liste im Kopf führt.
Was die Aufsichtsbehörde tatsächlich sehen will
In der Praxis fragt eine Aufsichtsbehörde selten nach dem Verzeichnis allein. Sie fragt nach einer konkreten Verarbeitung – etwa dem Bewerbermanagement oder dem Newsletter – und erwartet dazu einen zusammenhängenden Nachweis: die Verarbeitungstätigkeit selbst, das eingesetzte System, die getroffenen technischen und organisatorischen Maßnahmen, den Auftragsverarbeitungsvertrag mit dem Dienstleister und die Löschfrist.
In einer Tabelle liegen diese fünf Informationen an fünf verschiedenen Orten: eine Zeile im VVT, eine Zeile in der Systemliste, ein Abschnitt im TOM-Dokument, eine PDF im Vertragsordner und ein Eintrag im Löschkonzept. Sie zusammenzutragen ist die eigentliche Arbeit – und der Grund, warum eine behördliche Anfrage in vielen Unternehmen mehrere Tage bindet. Sind die Objekte dagegen dauerhaft miteinander verknüpft, ist die Antwort ein Export.
Vorher und nachher im direkten Vergleich
| Kriterium | Vorher: Excel-Tabelle | Nachher: strukturiertes Verzeichnis |
|---|---|---|
| Pflegeaufwand | Zulieferung per Mail, manuelle Übertragung durch eine Person | Fachbereiche pflegen ihre eigenen Verarbeitungen direkt |
| Aktualität | Abhängig davon, ob jemand an die Datei denkt | Wiedervorlagen und Aufgaben mit festem Turnus |
| Vollständigkeit | Leere Zellen bleiben unbemerkt | Formular führt durch alle Pflichtangaben nach Art. 30 DSGVO |
| Nachweisfähigkeit | Kein belegbarer Stand, keine Freigabe | PDF-Revision je Freigabe, Versionsvergleich, Prüfsumme |
| Zusammenhänge | Systeme, TOMs und AVVs als Freitext | Dauerhafte Verknüpfung von Verarbeitung, System, Maßnahme und Vertrag |
| Zusammenarbeit | Konkurrierende Dateiversionen im Umlauf | Ein Stand, Rollen und Rechte, Aktivitätenprotokoll |
| Auskunft an Behörden | Export von gestern, händisch aufbereitet | Verfahrensakte und Statusbericht auf Knopfdruck |
| Ausfallrisiko | Wissen liegt bei einer Person | Prozess und Historie liegen im System |
In der Praxis
So sieht das in preeco | datenschutz aus
Die drei Bausteine, die den beschriebenen Prozess tragen.
Verarbeitungstätigkeiten und Systeme
Strukturiertes Formular mit allen Pflichtangaben, KI-Vorschläge für einzelne Abschnitte, zentrale Systemverwaltung und automatische PDF-Revisionen bei jeder Freigabe.
Vertragsmanagement
Auftragsverarbeitungsverträge werden mit den Verarbeitungstätigkeiten verknüpft, die sie abdecken. Der Abschnitt „Vertragsbeziehungen" zeigt je Verarbeitung, welche Empfänger vertraglich abgesichert sind.
Datenmigration
Bestehende Verzeichnisse werden als XLSX oder DOCX importiert und den strukturierten Feldern zugeordnet. Das Support-Team begleitet den Umstieg.
Was der Umstieg praktisch bedeutet
Der häufigste Einwand gegen den Wechsel lautet, das Verzeichnis müsse dann neu geschrieben werden. Das ist nicht der Fall. Der bestehende Stand wird importiert, die Inhalte werden den strukturierten Feldern zugeordnet, und ergänzt wird nur, was in der Tabelle ohnehin gefehlt hat. Genau diese Lücken sind der eigentliche Gewinn: Sie werden sichtbar, bevor eine Aufsichtsbehörde sie sichtbar macht.
Realistisch dauert der Umstieg bei einem mittelständischen Unternehmen mit 30 bis 60 Verarbeitungstätigkeiten wenige Tage – der größere Teil davon entfällt nicht auf die Technik, sondern auf die inhaltliche Klärung: Wer verantwortet welche Verarbeitung, welches System steckt tatsächlich dahinter, und welche Löschfrist gilt wirklich.
Drei Fehler, die den Umstieg unnötig schwer machen
Alles auf einmal migrieren wollen. Beginnen Sie mit den Verarbeitungen, die tatsächlich geprüft werden – Personal, Bewerbung, Kundendaten, Newsletter, Videoüberwachung. Der lange Rest folgt im Turnus.
Die Systemliste überspringen. Wer Systeme weiterhin als Freitext in die Verarbeitung schreibt, baut die Excel-Logik im neuen Werkzeug nach. Die zentrale Systemverwaltung ist der Punkt, an dem der Pflegeaufwand tatsächlich sinkt.
Den Fachbereich außen vor lassen. Ein Verzeichnis, das ausschließlich die Datenschutzbeauftragte oder der Datenschutzbeauftragte pflegt, bleibt genauso fragil wie zuvor – nur in einer anderen Oberfläche. Erst verteilte Verantwortung macht den Prozess unabhängig von einzelnen Personen.
Woran Sie erkennen, dass es Zeit ist
Ein Verzeichnis in Excel ist kein Fehler. Es wird erst dann zum Risiko, wenn mindestens einer dieser Punkte zutrifft:
- Mehr als eine Person soll daran arbeiten.
- Sie können den Stand eines beliebigen Stichtags nicht belegen.
- Es gibt mehrere Gesellschaften, Standorte oder Mandanten.
- Die letzte vollständige Aktualisierung liegt mehr als zwölf Monate zurück.
- Sie werden regelmäßig von Kunden oder Auditoren nach dem Verzeichnis gefragt.
Trifft davon nichts zu, ist die Tabelle in Ordnung. Trifft davon zwei oder mehr zu, arbeitet sie bereits gegen Sie.
FAQ
Häufige Fragen zum Verarbeitungsverzeichnis
Ja. Die DSGVO schreibt kein bestimmtes Werkzeug vor – Art. 30 Abs. 3 DSGVO verlangt lediglich eine schriftliche, auch elektronische Form. Eine Excel-Tabelle erfüllt die Formanforderung. Die praktischen Anforderungen an Vollständigkeit, Aktualität und Nachweisbarkeit erfüllt sie jedoch nur so lange, wie das Verzeichnis klein und von einer Person geführt ist.
Nein. Bestehende Verzeichnisse lassen sich in preeco | datenschutz als XLSX oder DOCX importieren; die Inhalte werden den strukturierten Feldern zugeordnet. Ergänzt wird nur, was fehlt.
Die DSGVO nennt keinen festen Turnus, verlangt aber ein aktuelles Verzeichnis. In der Praxis hat sich eine jährliche Überprüfung bewährt, ergänzt um anlassbezogene Aktualisierungen bei neuen Systemen, neuen Dienstleistern oder wesentlichen Prozessänderungen.
Über freigegebene Revisionen. In preeco | datenschutz erzeugt jede Freigabe automatisch eine PDF-Revision. Zwei Revisionen lassen sich farblich vergleichen, und über gespeicherte SHA-256-Prüfsummen ist die Integrität überprüfbar. Vergleich und Integritätsprüfung stehen für Revisionen zur Verfügung, die ab Einführung dieser Funktion erstellt wurden.
Fachlich die Fachbereiche, methodisch der Datenschutz. Das Wissen über eine Verarbeitung liegt in der Abteilung, die sie durchführt. Sobald jede Verarbeitungstätigkeit eine verantwortliche Person hat und Rückfragen dorthin gehen, sinkt der Aufwand für die Datenschutzbeauftragte oder den Datenschutzbeauftragten deutlich.
Ihr Verzeichnis gemeinsam durchgehen
Bringen Sie Ihre bestehende Tabelle mit. In 30 Minuten zeigen wir, wie der Import läuft und wo die Lücken liegen.