Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO.

Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO.

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist ein zentrales Element der Datenschutz-Grundverordnung (DSGVO). Es dient der Dokumentation aller Verarbeitungstätigkeiten im Unternehmen, bei denen personenbezogene Daten verarbeitet werden. Dieser Artikel erläutert, was das VVT ist, wer ein VVT führen muss, welche Inhalte das VVT enthalten sollte, wer für das VVT verantwortlich ist und welche Erwartungen die Aufsichtsbehörden haben.

Was ist das Verzeichnis von Verarbeitungstätigkeiten (VVT)?

Das VVT dient der Dokumentation aller Verarbeitungstätigkeiten im Unternehmen, bei denen personenbezogene Daten verarbeitet werden (z. B. Erhebung, Speicherung, Nutzung, Übermittlung, Löschung). Es ist eine Pflicht nach Art. 30 DSGVO für Verantwortliche (Unternehmen, Organisationen) und Auftragsverarbeiter (Dienstleister, die personenbezogene Daten im Auftrag verarbeiten).

Ziel des VVT:

• Erfüllung der Nachweispflicht gemäß Art. 5 Abs. 2 DSGVO („Accountability“)
• Grundlage für Datenschutz-Audits durch die Aufsichtsbehörden
• Transparenz über Datenverarbeitungsprozesse

Wer muss ein VVT führen?

Unternehmen mit mehr als 250 Mitarbeitern sind zur Führung eines VVT verpflichtet. Auch für kleinere Unternehmen ist ein VVT verpflichtend, wenn:

• Die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt.
• Die Verarbeitung nicht nur gelegentlich erfolgt.
• Besondere Kategorien personenbezogener Daten (z. B. Gesundheitsdaten) oder Daten über strafrechtliche Verurteilungen verarbeitet werden.

Form: Das VVT muss schriftlich geführt werden – auch elektronisch (Art. 30 Abs. 3 DSGVO).

Inhalte des Verzeichnisses von Verarbeitungstätigkeiten

Für Verantwortliche nach Art. 30 Abs. 1 DSGVO:

• Name und Kontaktdaten des Verantwortlichen und des Datenschutzbeauftragten
• Zweck der Verarbeitung
• Kategorien betroffener Personen (z. B. Kunden, Mitarbeiter)
• Kategorien personenbezogener Daten (z. B. Name, Adresse, IP-Adressen)
• Empfänger von Daten (intern/extern, auch Drittländer)
• Löschfristen (sofern möglich)
• Technische und organisatorische Maßnahmen (TOMs) zum Schutz der Daten

Praxis-Tipp: Falls ein Datenschutz- oder Löschkonzept existiert, kann darauf verwiesen werden.

Für Auftragsverarbeiter nach Art. 30 Abs. 2 DSGVO:

• Name und Kontaktdaten des Auftragsverarbeiters und der Verantwortlichen
• Kategorien der im Auftrag durchgeführten Verarbeitungen
• Empfänger und Datenübermittlungen in Drittländer
• Allgemeine Beschreibung der TOMs

Wer ist für das VVT verantwortlich?

Die Unternehmensleitung trägt die formale Verantwortung für die Führung des VVT. Fachabteilungen melden Verarbeitungstätigkeiten, da sie die Datenverarbeitung am besten kennen. Der Datenschutzbeauftragte unterstützt, ist aber nicht selbst für die Führung des VVT verantwortlich.

Best Practice:

• Datenschutzmanagementsystem etablieren
• Standardisierte Meldeformulare für Fachabteilungen nutzen
• Klare Verantwortlichkeiten für die Aktualisierung des VVT definieren

Erwartungen der Aufsichtsbehörden

Das VVT ist ein zentrales Element der Datenschutz-Compliance und eine wesentliche Grundlage für Audits. Strukturierte Datenschutzdokumentation wird erwartet – Verweise auf IT-Sicherheitsrichtlinien oder ISMS-Dokumente sind zulässig. Bei Kontrollen sind Referenzdokumente (z. B. Sicherheitskonzepte) auf Anforderung vorzulegen.

Achtung: Das Fehlen eines VVT kann als DSGVO-Verstoß gewertet werden und Bußgelder nach sich ziehen!

Fazit und Empfehlungen

Jedes Unternehmen sollte prüfen, ob es ein VVT führen muss. Strukturierte Dokumentation spart Zeit und reduziert Datenschutzrisiken. Regelmäßige Updates des VVT sind essenziell – Datenschutz ist ein kontinuierlicher Prozess.

Tipps für die Praxis

• Schulung der Mitarbeiter: Sensibilisieren Sie Ihre Mitarbeiter für den Umgang mit personenbezogenen Daten und die Bedeutung des Datenschutzes. Regelmäßige Schulungen können helfen, das Bewusstsein für die rechtlichen Anforderungen zu schärfen.
• Interne Richtlinien: Entwickeln Sie klare Richtlinien für den Umgang mit personenbezogenen Daten. Diese Richtlinien sollten die rechtlichen Anforderungen abdecken und sicherstellen, dass alle Mitarbeiter die notwendigen Kenntnisse und Fähigkeiten besitzen.
• Regelmäßige Überprüfung: Überprüfen Sie regelmäßig die Maßnahmen und Richtlinien zum Datenschutz und passen Sie diese bei Bedarf an. Dies stellt sicher, dass Ihr Unternehmen den aktuellen Anforderungen entspricht und effektiv auf neue Entwicklungen reagieren kann.

Mögliche Fragen, die zu diesem Artikel führen könnten:

1. Was ist das Verzeichnis von Verarbeitungstätigkeiten (VVT)?
2. Wer muss ein VVT führen?
3. Welche Inhalte sollte das VVT enthalten?
4. Wer ist für das VVT verantwortlich?
5. Welche Erwartungen haben die Aufsichtsbehörden an das VVT?

Tags

• Datenschutz-Compliance
• VVT
• DSGVO