Verzeichnis von Verarbeitungstätigkeiten: Pflicht und Inhalte Kurz erklärt Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist eine Übersicht aller Prozesse, in denen ein Unternehmen personenbezogene Daten verarbeitet. Es ist nach Art. 30 DSGVO vorgeschrieben und auf Anfrage der Aufsichtsbehörde vorzulegen. Wer muss ein Verzeichnis führen? Grundsätzlich jedes Unternehmen. Die Ausnahme für Betriebe mit weniger als 250 Beschäftigten greift nur, wenn die Verarbeitung gelegentlich erfolgt, kein Risiko birgt und keine besonderen Datenkategorien betrifft. Da Lohnabrechnung oder Kundenverwaltung regelmäßig stattfinden, braucht in der Praxis fast jedes Unternehmen ein Verzeichnis von Verarbeitungstätigkeiten. Die 7 Pflichtangaben im Verzeichnis von Verarbeitungstätigkeiten Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des Datenschutzbeauftragten Zwecke der Verarbeitung Kategorien betroffener Personen und Daten Kategorien von Empfängern Übermittlungen in Drittländer Vorgesehene Löschfristen Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen Verzeichnis von Verarbeitungstätigkeiten auf einen Blick MerkmalBeschreibungRechtsgrundlageArt. 30 DSGVOFormSchriftlich, elektronisch genügtTypische EinträgePersonalverwaltung, Lohnabrechnung, CRM, Videoüberwachung, LMSPflegeBei jeder neuen oder geänderten Verarbeitung Tipps für das Verzeichnis von Verarbeitungstätigkeiten Starten Sie mit den Fachbereichen und fragen Sie gezielt, welche Tools und Listen dort genutzt werden. Neue Software, etwa eine Lernplattform, gehört vor dem Start ins Verzeichnis, mehr dazu im Beitrag LMS und DSGVO. Den Gesetzestext finden Sie unter Art. 30 DSGVO. Beispiel aus der Praxis Ein Eintrag für die Lernplattform könnte so aussehen: Zweck ist die Durchführung und Dokumentation von Schulungen. Betroffen sind Beschäftigte, verarbeitet werden Name, Abteilung, Kursfortschritt und Ergebnisse. Empfänger sind die Personalabteilung und der Plattformanbieter als Auftragsverarbeiter. Gelöscht wird nach Ablauf der Nachweisfrist, geschützt durch Rollenrechte und verschlüsselte Übertragung. Verwandte Begriffe Personenbezogene Daten, Datenschutzbeauftragter und TOMs im Datenschutz. Weitere Begriffe finden Sie im Datenschutz-Glossar. Häufig gestellte Fragen Gibt es eine Vorlage für das Verzeichnis?Ja. Die Datenschutzaufsichtsbehörden der Länder stellen Muster bereit. Wichtiger als die Form ist, dass alle tatsächlichen Verarbeitungen erfasst sind. Wie oft muss das Verzeichnis aktualisiert werden?Immer dann, wenn eine Verarbeitung neu hinzukommt oder sich wesentlich ändert. Eine jährliche Gesamtprüfung hat sich bewährt. Was passiert, wenn kein Verzeichnis existiert?Ein fehlendes oder unvollständiges Verzeichnis kann mit einem Bußgeld geahndet werden und erschwert jede Prüfung durch die Aufsichtsbehörde.