¶ Verzeichnis von Verarbeitungstätigkeiten (VVT)
Beispieldokument: Diese Seite beschreibt Aufbau, Pflege und Qualitätssicherung eines Verzeichnisses von Verarbeitungstätigkeiten für die fiktive „Muster GmbH“. Sie enthält kein vollständiges oder freigegebenes Unternehmens-VVT. Reale Verarbeitungstätigkeiten, Rechtsgrundlagen, Empfänger, Fristen, Risiken und Nachweise müssen organisationsbezogen erhoben und geprüft werden.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-REG-02-01 |
| Dokumentenart | Registerverfahren / Lesehilfe |
| Wiki.js-Pfad | /DSGVO/02-Verarbeitungen-und-Rechtsgrundlagen/Verzeichnis-von-Verarbeitungstaetigkeiten |
| Verantwortlich | Geschäftsführung als verantwortliche Stelle / Datenschutzkoordination |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Rechtsfunktion und Prozesseigner |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf – kein organisationsbezogenes VVT hinterlegt |
| Version | 1.2 |
| Stand | 10.08.2026 |
| Nächste Prüfung | Mindestens jährlich sowie bei wesentlichen Änderungen einer Verarbeitung |
| Schutzklasse | Vertraulich; veröffentlichte Wiki-Seite enthält nur Muster- und Verfahrensinformationen |
| DSGVO-Bezug | Artikel 5 Absatz 2, Artikel 24, Artikel 30 und Artikel 32 DSGVO |
| Strukturreferenz | Vom Nutzer bereitgestellte VVT-Arbeitsmappe; Struktur anonymisiert ausgewertet, keine Unternehmensdaten übernommen |
| Führende Quelle | Geschütztes organisationsbezogenes VVT mit gelenkten Prüf- und Nachweisreferenzen |
| Schnittstellen | Rechtsgrundlagen, Informationspflichten, Betroffenenrechte, Auftragsverarbeitung, Drittlandtransfer, Löschung, DSFA, TOM, Projekte und Änderungen |
Vom Prozess zur freigegebenen und regelmäßig überprüften Verarbeitungstätigkeit. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
Interaktive Orientierung: Im VVT-Explorer lassen sich ausschließlich erfundene Musterdatensätze durchsuchen und filtern. Der Explorer ersetzt weder das geschützte operative VVT noch eine fachliche, rechtliche oder formale Prüfung.
¶ 1. Zweck des VVT
Das Verzeichnis von Verarbeitungstätigkeiten ist die führende Übersicht darüber, warum, wie und in welchem Verantwortungsbereich personenbezogene Daten verarbeitet werden. Es unterstützt insbesondere:
- den Nachweis der datenschutzrechtlichen Rechenschaftspflicht,
- die Vollständigkeitsprüfung der tatsächlichen Verarbeitungen,
- die Zuordnung von Zwecken und Rechtsgrundlagen,
- Informationspflichten und Betroffenenrechte,
- Löschung und Aufbewahrung,
- Auftragsverarbeitung und Drittlandtransfers,
- Datenschutzrisiken und DSFA-Screenings,
- technische und organisatorische Maßnahmen,
- Prüfungen durch Datenschutzrollen, interne Audits und Aufsichtsbehörden.
Das VVT ist kein einmalig erstelltes Formular. Es ist ein gelenktes Register, das die tatsächlichen Prozesse aktuell abbilden muss.
¶ 2. Wer muss ein VVT führen?
Artikel 30 DSGVO unterscheidet zwei Verzeichnisse:
| Rolle | Gegenstand des Verzeichnisses |
|---|---|
| Verantwortlicher | alle Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen |
| Auftragsverarbeiter | alle Kategorien von Verarbeitungstätigkeiten, die im Auftrag der jeweiligen Verantwortlichen durchgeführt werden |
Ist eine Organisation in unterschiedlichen Konstellationen sowohl Verantwortlicher als auch Auftragsverarbeiter, werden die Rollen und zugehörigen Verzeichnisse eindeutig getrennt.
¶ Die 250-Beschäftigten-Regel ist keine allgemeine Befreiung
Die Ausnahme für Unternehmen oder Einrichtungen mit weniger als 250 Beschäftigten greift nur, wenn gleichzeitig keine der in Artikel 30 Absatz 5 genannten Rückausnahmen vorliegt. Ein VVT ist deshalb insbesondere weiterhin erforderlich, wenn eine Verarbeitung:
- ein Risiko für Rechte und Freiheiten betroffener Personen birgt,
- nicht nur gelegentlich erfolgt,
- besondere Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 umfasst oder
- Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10 umfasst.
Regelmäßige Personal-, Kunden-, Lieferanten-, Finanz-, IT- oder Websiteprozesse sind typischerweise nicht nur gelegentliche Verarbeitungen. Die Anwendbarkeit der Ausnahme wird daher dokumentiert und nicht allein aus der Beschäftigtenzahl abgeleitet.
Rechtsstand 10.08.2026: Artikel 30 Absatz 5 der derzeit geltenden DSGVO enthält weiterhin die Schwelle von 250 Beschäftigten und die genannten Rückausnahmen. Im europäischen Gesetzgebungsverfahren bestehen Vorschläge für eine Änderung und Erweiterung der Ausnahme. Die vom Rat am 09.06.2026 gemeldete Einigung mit dem Europäischen Parlament ist vorläufig und muss noch gebilligt, rechtlich-sprachlich überarbeitet und formell angenommen werden. Sie wird daher auf dieser Musterseite nicht als geltendes Recht behandelt. Vor jeder Aussage zur VVT-Pflicht ist die aktuelle konsolidierte Fassung zu prüfen. Unabhängig von einer möglichen Ausnahme kann ein VVT als zentrales Steuerungs- und Rechenschaftsinstrument erforderlich oder zweckmäßig bleiben.
¶ 3. Gesetzliche Pflichtangaben des Verantwortlichen
Das VVT des Verantwortlichen enthält nach Artikel 30 Absatz 1 DSGVO:
| Pflichtangabe | Inhalt im VVT |
|---|---|
| Verantwortlicher und Kontakte | Name und Kontaktdaten des Verantwortlichen, gegebenenfalls gemeinsam Verantwortlicher, Vertreter und Datenschutzbeauftragter |
| Zwecke | konkrete, verständliche Zwecke der Verarbeitung |
| Kategorien betroffener Personen | zum Beispiel Beschäftigte, Bewerbende, Kundenkontakte oder Besuchende |
| Kategorien personenbezogener Daten | zum Beispiel Stammdaten, Kontaktdaten, Vertragsdaten oder Beschäftigtendaten |
| Kategorien von Empfängern | interne und externe Empfängerkategorien einschließlich Empfänger in Drittländern |
| Drittlandübermittlungen | Drittland oder internationale Organisation und gegebenenfalls dokumentierte geeignete Garantien |
| Löschfristen | wenn möglich vorgesehene Fristen für die Löschung der verschiedenen Datenkategorien |
| TOM | wenn möglich allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Artikel 32 Absatz 1 |
Das Verzeichnis wird schriftlich geführt; ein elektronisches Format ist zulässig. Es muss der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden können.
¶ 3.1 Von der Pflichtangabe zur belastbaren Registerinformation
Ein Feld ist nicht schon deshalb brauchbar, weil es ausgefüllt wurde. Die folgende Gegenüberstellung zeigt typische Qualitätsunterschiede:
| Feld | Zu pauschal oder nicht prüfbar | Belastbarer Arbeitsstand |
|---|---|---|
| Zweck | „Kundenverwaltung“ | „Anlage und Pflege von Kunden- und Ansprechpartnerstammdaten für Vertragsanbahnung, Auftragsabwicklung und dokumentierte Geschäftskommunikation“ |
| betroffene Personen | „Kunden“ | Kunden als natürliche Personen, Interessenten sowie Ansprechpartner bei Geschäftskunden; Abgrenzung zu Endnutzern dokumentiert |
| Datenkategorien | „Kontaktdaten und Sonstiges“ | Stamm-, Kontakt-, Vertrags-, Kommunikations- und Abrechnungsdaten; besondere Kategorien ausdrücklich geprüft |
| Empfänger | „interne Stellen und Dienstleister“ | Empfängerkategorien mit Zweck, Rolle und Referenz auf den geprüften Dienstleister- beziehungsweise Vertragsbestand |
| Drittlandbezug | „kein Drittlandtransfer“ | Anbieterstandorte, Supportzugriffe, Unterauftragnehmer und technische Übermittlungen geprüft; Ergebnis und Transferreferenz dokumentiert |
| Löschung | „nach gesetzlichen Fristen“ | je Datenkategorie: Fristauslöser, Dauer, Rechts-/Geschäftsgrund, betroffene Systeme, Legal Hold und geprüfter Löschweg |
| TOM | „TOM vorhanden“ | anwendbare TOM-IDs, Geltungsbereich, verantwortliche Rolle, Status sowie Referenz auf Prüfung oder Wirksamkeitsnachweis |
| DSFA-Screening | „nicht erforderlich“ | Kriterien, Informationsquellen, Entscheidung, Begründung, prüfende Rolle, Datum und erneuter Prüfauslöser |
Auch der rechte Eintrag bleibt ein Arbeitsstand, bis die tatsächlichen Prozesse, Systeme und Nachweise durch die zuständigen Rollen bestätigt wurden.
¶ 4. Empfohlene zusätzliche Steuerungsfelder
Die gesetzliche Mindeststruktur reicht für die praktische Steuerung häufig nicht aus. Die bereitgestellte Arbeitsmappe wurde deshalb als Strukturreferenz für folgende zusätzliche Felder verwendet:
| Zusätzliches Feld | Nutzen |
|---|---|
| eindeutige VVT-ID und Titel | Verlinkung, Änderungshistorie und eindeutige Kommunikation |
| Prozesseigner / verantwortlicher Fachbereich | fachliche Verantwortung und regelmäßige Bestätigung |
| Beschreibung des Ablaufs | Abgrenzung der Verarbeitung und Erkennen von Schnittstellen |
| Rechtsgrundlage | Nachweis der Rechtmäßigkeit je Zweck; nicht nur pauschale Artikelangabe |
| besondere Kategorien / Artikel-10-Daten | Erkennen zusätzlicher Voraussetzungen und Schutzanforderungen |
| Systeme, Anwendungen und Ablagen | Verbindung zum Asset-Inventar, zu Datenflüssen und Berechtigungen |
| zugriffsberechtigte Rollen | Need-to-know-Prüfung und Berechtigungsreview |
| Auftragsverarbeiter und Unterauftragnehmer | Vertrags-, Weisungs-, Kontroll- und Transferprüfung |
| DSFA-Screening | dokumentierte Vorprüfung, ob voraussichtlich ein hohes Risiko besteht |
| Informationspflichten | Zuordnung der Hinweise nach Artikel 13 beziehungsweise 14 DSGVO |
| Status, Prüfpunkte und Freigabe | transparente Trennung zwischen Arbeitsstand und freigegebenem Eintrag |
| letzte Prüfung und nächster Prüftermin | Aktualitäts- und Reviewsteuerung |
Abgrenzung: Ein zusätzliches Feld „DSFA-Screening“ ersetzt keine Datenschutz-Folgenabschätzung. Ein TOM-Verweis ersetzt keinen Wirksamkeitsnachweis. Eine eingetragene Rechtsgrundlage ersetzt keine fachliche und rechtliche Prüfung.
¶ 5. Empfohlene Registerstruktur
Analog zur ausgewerteten Beispielarbeitsmappe wird das operative VVT in vier verbundenen Sichten geführt:
| Sicht | Zweck | Mindestinhalt |
|---|---|---|
| VVT-Register | führender Bestand aller Verarbeitungstätigkeiten | VVT-ID, Pflicht- und Steuerungsfelder, Owner, Status |
| Übersicht | Management- und Qualitätssicht | Anzahl Einträge, offene Prüfungen, Art.-9-/Art.-10-Bezug, Transfers, DSFA-Screenings, Fälligkeiten |
| Prüfpunkte | Freigabe- und Maßnahmensteuerung | Prüfpunkt, Priorität, Status, Zuständigkeit, Termin, erwarteter Nachweis |
| Quellen und Hinweise | nachvollziehbare Herleitung | Rechtsquellen, interne Quellen, Annahmen, offene Abgrenzungen und Versionsstand |
Die Kennzahlen der Übersicht werden aus dem führenden Register und dem Prüfpunktebestand abgeleitet. Eine positive Kennzahl oder eine leere Prüfliste gilt nicht automatisch als Freigabenachweis.
¶ 5.1 Qualitätsampel für das Gesamtregister
Die Ampel verbindet Farbe, Symbol und eindeutige Textaussage. Sie bewertet die Steuerungs- und Datenqualität des Registers, nicht automatisch die Rechtmäßigkeit sämtlicher Verarbeitungen.
| Ampel | Registerzustand | Erforderliche Reaktion |
|---|---|---|
| 🟢 Grün – steuerbar | Grundgesamtheit plausibilisiert; Owner und Reviews aktuell; Pflichtfelder und wesentliche Schnittstellen geprüft; Abweichungen mit Maßnahmen geführt | Stichproben gegen Prozesse und Systeme fortsetzen; Änderungen über geregelte Auslöser einsteuern |
| 🟡 Gelb – Klärungsbedarf | Einträge ohne bestätigten Owner, Review, Löschregel, Transferprüfung, Rechtsgrundlagen- oder DSFA-Entscheidung; Rückstände sind sichtbar | betroffene Datensätze priorisieren, Verantwortliche und Termine setzen, Freigabeaussagen begrenzen |
| 🔴 Rot – nicht belastbar | unbekannte Grundgesamtheit, wesentliche Verarbeitungen fehlen, Register und Realität widersprechen sich oder Hochrisiko-/Transferfragen bleiben ungesteuert | Leitung und Datenschutzfunktion eskalieren, betroffene Nutzung bewerten und risikoorientierten Wiederherstellungsplan eröffnen |
Ein einzelner grüner Datensatz macht das Gesamtregister nicht grün. Umgekehrt wird ein offener Punkt nicht verdeckt: Er bleibt mit Auswirkung, Verantwortlichem, Termin und Entscheidungsstatus sichtbar.
¶ 6. Angemessene Granularität
Eine Verarbeitungstätigkeit wird nach ihrem fachlichen Zweck und Ablauf abgegrenzt. Sie ist weder zwingend identisch mit einer Software noch mit jedem einzelnen Arbeitsschritt.
Zu grob:
- „Personal“
- „IT“
- „Kundendaten“
Besser abgrenzbar:
- Bewerbungsmanagement,
- Personaladministration,
- Lohn- und Gehaltsabrechnung,
- Arbeitszeiterfassung,
- Kundenstammdatenverwaltung,
- Angebots- und Auftragsabwicklung,
- Lieferantenmanagement,
- Benutzer- und Berechtigungsverwaltung,
- Website-Kontaktformular,
- Protokollierung und Sicherheitsüberwachung.
Mehrere Systeme können zu einer Verarbeitung gehören. Umgekehrt kann ein System mehrere Verarbeitungstätigkeiten unterstützen. Maßgeblich sind Zweck, Verantwortlichkeit, betroffene Personen, Daten, Empfänger und Ablauf.
¶ 6.1 Visuelle Abgrenzungshilfe
Die geeignete Granularität verbindet Geschäftsprozess, konkrete Zwecke und tatsächlichen Datenlebenszyklus. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
| Abgrenzungsfrage | Hinweis auf eigenen Datensatz | Hinweis auf gemeinsamen Datensatz |
|---|---|---|
| Zweck | eigenständiges Ziel oder andere Rechtsgrundlage | zusammengehörige Teilzwecke derselben Leistung |
| Betroffene und Daten | deutlich anderer Personenkreis oder besondere Daten | weitgehend gleiche Personen- und Datenkategorien |
| Verantwortlichkeit | anderer Rechtsträger, gemeinsame Verantwortung oder Auftragsverarbeiterrolle | gleicher Verantwortlicher und fachlicher Owner |
| Empfänger / Transfer | eigene Offenlegungen, Plattformen oder Drittlandbezüge | gemeinsame Empfänger- und Transferstruktur |
| Fristen und Lebenszyklus | eigener Beginn, Aufbewahrungsgrund oder Löschpfad | gleichartiger Lebenszyklus und dieselben Systeme |
| Risiko / DSFA | eigenständiger Überwachungs-, Profiling- oder Hochrisikokontext | einheitlicher Risikokontext und Maßnahmenverbund |
Die Entscheidung wird begründet. Ein Datensatz wird nicht nur deshalb geteilt, weil mehrere Anwendungen beteiligt sind, und nicht nur deshalb zusammengeführt, weil derselbe Fachbereich zuständig ist.
¶ 7. Muster eines VVT-Datensatzes
Nur Beispiel – keine freigegebene Verarbeitung der Muster GmbH.
| Feld | Musterinhalt |
|---|---|
| VVT-ID / Titel | VVT-001 – Kundenstammdatenverwaltung |
| Status | Entwurf |
| Prozesseigner | Vertrieb / Auftragsbearbeitung |
| Zweck | Anlage und Pflege von Kunden sowie Ansprechpartnern zur Vertragsanbahnung und -durchführung |
| Rechtsgrundlage | organisationsbezogen zu prüfen; insbesondere Artikel 6 Absatz 1 DSGVO und einschlägige Aufbewahrungspflichten |
| Betroffene Personen | Kunden, Interessenten und geschäftliche Ansprechpartner |
| Datenkategorien | Stamm-, Kontakt-, Vertrags- und Kommunikationsdaten |
| Empfängerkategorien | zuständige interne Stellen; erforderliche Dienstleister und Behörden nach dokumentierter Prüfung |
| Drittlandtransfer | Anbieter, Supportzugriffe, Unterauftragnehmer und Transfergrundlage zu prüfen |
| Löschung | nach Zweckwegfall sowie unter Berücksichtigung bestätigter gesetzlicher und vertraglicher Aufbewahrungsfristen |
| TOM | Rollen- und Berechtigungskonzept, Zugriffsschutz, Übertragungsschutz, Datensicherung und kontrollierte Löschung; Nachweise referenzieren |
| DSFA-Screening | Vorprüfung erforderlich; Ergebnis und Begründung dokumentieren |
| Informationspflicht | zugehörigen Datenschutzhinweis nach Artikel 13 oder 14 referenzieren |
| Freigabeprüfpunkt | tatsächliche Systeme, Empfänger, Rechtsgrundlage und Fristen durch Prozesseigner bestätigen |
Musterwerte werden niemals ungeprüft in ein reales VVT übernommen.
¶ 8. Erhebung einer neuen Verarbeitungstätigkeit
- Auslöser und fachlichen Prozess beschreiben.
- Verantwortliche Rolle und Prozesseigner bestätigen.
- Zwecke einzeln und konkret festlegen.
- Betroffenengruppen und Datenkategorien erheben.
- Datenquellen, Systeme, Ablagen und Datenflüsse zuordnen.
- Interne und externe Empfänger einschließlich Dienstleister feststellen.
- Rollenmodell für Verantwortlichkeit, Auftragsverarbeitung oder gemeinsame Verantwortung prüfen.
- Rechtsgrundlage je Zweck bewerten.
- Drittlandzugriffe und Transfers einschließlich Unterauftragnehmern prüfen.
- Lösch- und Aufbewahrungsregeln je Datenkategorie festlegen.
- TOM und zugehörige Wirksamkeitsnachweise referenzieren.
- Risiken für Rechte und Freiheiten bewerten und DSFA-Screening durchführen.
- Informationspflichten und Betroffenenrechtsprozesse zuordnen.
- Offene Prüfpunkte mit Owner und Termin erfassen.
- Fachprüfung und formale Freigabe dokumentieren.
¶ 8.1 Interaktives VVT-Qualitätsgate
Arbeitshilfe ohne Freigabewirkung: Das Qualitätsgate hilft, fehlende Arbeitsunterlagen sichtbar zu machen. Es bestätigt weder Vollständigkeit noch Rechtmäßigkeit, Wirksamkeit oder eine Befreiung von der VVT-Pflicht. Eingaben werden nicht gespeichert.
¶ 1. Bearbeitungssituation auswählen
Ohne JavaScript bleiben Verfahrensbeschreibung, Tabellen und Freigabeprüfung vollständig lesbar. Das Qualitätsgate ist kein Ersatz für das VVT oder die geschützten Prüfakten.
¶ 8.2 Ergebnisampel des Qualitätsgates
Das Qualitätsgate zählt ausschließlich bestätigte Prüfpunkte. Die Schwellen dienen der Arbeitssteuerung und erzeugen keine automatische Freigabe:
| Anzeige | Prüfpunkte | Aussage |
|---|---|---|
| 🔴 Rot – wesentliche Lücken | 0 bis 5 von 12 | Fakten, Zuständigkeiten und Nachweise vervollständigen; Datensatz nicht freigabereif |
| 🟡 Gelb – vertiefte Prüfung | 6 bis 9 von 12 | offene Felder und Schnittstellen bearbeiten; Abweichungen nachvollziehbar steuern |
| 🟢 Grün – zur Prüfung vorbereitet | 10 oder 11 von 12 | fehlende Punkte vor der formalen Freigabe schließen |
| 🟢 Grün – vollständig angekreuzt | 12 von 12 | für die formale Freigabeprüfung vorbereitet; keine Aussage über Richtigkeit, Rechtmäßigkeit, Umsetzung oder Wirksamkeit |
Die Checkboxen dürfen nur gesetzt werden, wenn ein prüfbarer Arbeitsstand oder eine kontrollierte Referenz vorliegt. Eine Selbstauskunft ohne Quelle wird im Datensatz als offene Bestätigung gekennzeichnet.
¶ 9. Freigabe- und Statusmodell
| Status | Bedeutung | Zulässige Nutzung |
|---|---|---|
| Geplant | Verarbeitung oder Aufnahme in das VVT wird geprüft | keine Freigabeaussage |
| Entwurf | Datensatz wird erhoben und abgestimmt | Arbeitsstand; nicht als vollständig ausgeben |
| In Prüfung | Pflichtfelder und Schnittstellen werden geprüft | Rückfragen und Nachweise bearbeiten |
| Freigegeben | fachlich geprüft und formal genehmigt | gültige Fassung anwenden |
| Überarbeitung erforderlich | Änderung oder Mangel beeinflusst den Datensatz | Risiko bewerten und Aktualisierung priorisieren |
| Beendet | Verarbeitung wurde eingestellt | Löschung, Sperrung und Aufbewahrung nachverfolgen |
| Archiviert | historische Fassung | nur als Nachweis; nicht als aktueller Stand verwenden |
Freigabe, tatsächliche Umsetzung und Wirksamkeit bleiben getrennte Aussagen.
¶ 10. Rollen und Verantwortlichkeiten
| Aufgabe | Verantwortung |
|---|---|
| Gesamtverantwortung und Ressourcen | Geschäftsführung / Verantwortlicher |
| Registermethodik und Koordination | Datenschutzkoordination |
| fachliche Prozessbeschreibung und Aktualität | Prozesseigner / Fachbereich |
| Rechtsgrundlagen und Rollenmodell prüfen | Rechtsfunktion / Datenschutzrollen |
| Beratung und Überwachung | Datenschutzbeauftragte/r, sofern benannt |
| Systeme, Datenflüsse, Berechtigungen und TOM zuordnen | IT / ISMS / System-Owner |
| Dienstleister, Verträge und Transfers prüfen | Einkauf / Recht / Datenschutz / Service-Owner |
| Löschregeln praktisch umsetzen | Fachbereich / IT / Records Management |
| formale Freigabe | Geschäftsführung oder dokumentierte Freigaberolle |
Die oder der Datenschutzbeauftragte berät und überwacht. Die Verantwortung für die Rechtmäßigkeit, Vollständigkeit und Ressourcen verbleibt beim Verantwortlichen.
¶ 11. Verknüpfungen zu anderen Datenschutzaufgaben
| VVT-Angabe | Führende Anschlussprüfung |
|---|---|
| Zweck und Rechtsgrundlage | Rechtsgrundlagenkataster |
| Erhebung bei betroffenen Personen oder Dritten | Informationspflichten nach Artikel 13 beziehungsweise 14 |
| Auftragsverarbeiter | Auftragsverarbeiterregister und Vertrag nach Artikel 28 |
| Drittland oder internationaler Zugriff | Drittlandtransfer und Transfergrundlage |
| besondere Daten oder hohes Risiko | Datenschutz-Risikobewertung und gegebenenfalls DSFA |
| Systeme und Ablagen | ISMS-Asset-Inventar und Datenflussübersicht |
| zugriffsberechtigte Rollen | Berechtigungskonzept und regelmäßige Reviews |
| TOM | Maßnahmenbeschreibung und Wirksamkeitsnachweise |
| Fristen | Lösch- und Aufbewahrungskonzept |
| Verarbeitung beendet | kontrollierte Löschung, Sperrung und Archivierung |
¶ 12. Änderungs- und Reviewauslöser
Ein VVT-Eintrag wird nicht nur zum festen Jahrestermin geprüft. Eine Aktualisierung ist insbesondere erforderlich bei:
- neuen oder wesentlich geänderten Prozessen,
- neuen Systemen, Cloud-Diensten oder Schnittstellen,
- neuen Datenkategorien oder Betroffenengruppen,
- Zweckänderungen oder geänderten Rechtsgrundlagen,
- neuen Empfängern, Auftragsverarbeitern oder Unterauftragnehmern,
- neuen Drittlandzugriffen oder geänderten Transfermechanismen,
- geänderten Lösch- und Aufbewahrungsfristen,
- Änderungen an TOM oder Berechtigungen,
- Datenschutzverletzungen, Beschwerden oder Kontrollfeststellungen,
- Fusionen, Standortänderungen oder Organisationsänderungen,
- Beendigung einer Verarbeitung.
¶ 13. Qualitätsprüfung vor Freigabe
- Ist jede tatsächliche Verarbeitung einem eindeutigen VVT-Eintrag zugeordnet?
- Sind Zweck und fachliche Abgrenzung verständlich und nicht nur aus einem Systemnamen abgeleitet?
- Sind Rollenmodell und Verantwortlichkeit bestätigt?
- Sind alle gesetzlichen Pflichtangaben vollständig?
- Sind Rechtsgrundlagen je Zweck geprüft und dokumentiert?
- Sind besondere Kategorien und Artikel-10-Daten korrekt gekennzeichnet?
- Sind Empfänger, Dienstleister, Unterauftragnehmer und Drittlandzugriffe vollständig?
- Sind Löschfristen konkret genug, um technisch und organisatorisch umgesetzt zu werden?
- Sind TOM angemessen beschrieben und mit Nachweisen verbunden?
- Ist das DSFA-Screening nachvollziehbar und bei hohem Risiko eine DSFA eingeleitet?
- Stimmen VVT, Informationspflichten, Verträge, Datenflüsse und tatsächliche Systemkonfiguration überein?
- Sind offene Punkte, Verantwortliche, Termine und Freigabe dokumentiert?
¶ 13.1 Mindestinhalt der Freigabeakte
Eine Freigabeakte enthält mindestens:
- VVT-ID, Titel, Version und den freigegebenen Geltungsbereich,
- bestätigte Zwecke, Systeme, Empfänger, Datenflüsse und Verantwortlichkeit,
- Rechtsgrundlagen- und Zusatzprüfungen mit kontrollierten Referenzen,
- DSFA-Screening sowie gegebenenfalls DSFA- und Risikoreferenz,
- Rollen-, Vertrags-, Unterauftragnehmer- und Transferbewertung,
- Löschregeln, TOM und notwendige Umsetzungsnachweise,
- offene Punkte, abgelehnte Annahmen, Auflagen, Termine und Verantwortliche,
- fachlich Prüfende, formale Freigaberolle und Entscheidungsdatum,
- Auslöser und Termin für die nächste Prüfung.
„Freigegeben“ bedeutet, dass eine konkrete Fassung befugt entschieden wurde. Der Status beweist nicht automatisch, dass alle beschriebenen Maßnahmen dauerhaft technisch umgesetzt und wirksam sind.
¶ 13.2 Umgang mit Abweichungen
| Befund | Steuerung | Statuswirkung |
|---|---|---|
| Pflichtfeld fehlt | Verantwortlichen und Termin setzen | Entwurf oder In Prüfung |
| Sachverhalt unklar | Prozess- und Systemaufnahme vertiefen | keine formale Freigabe |
| Rechtsgrundlage oder Zusatzbefugnis ungeklärt | Rechts-/Datenschutzprüfung eskalieren | Verarbeitung nicht auf unbelegte Annahme stützen |
| DSFA-Schwelle oder hohes Risiko offen | Screening beziehungsweise DSFA vorsehen | Freigabeentscheidung zurückstellen oder begrenzen |
| technische Umsetzung weicht ab | Change, Abweichung und Maßnahme eröffnen | Überarbeitung erforderlich |
| Auflage überfällig | Risiko und tatsächliche Nutzung bewerten | Freigabe mit Auflagen neu entscheiden oder aussetzen |
¶ 14. Schutz und Ablage
Das freigegebene operative VVT wird in einer kontrollierten digitalen Ablage geführt und gesichert. Im allgemein lesbaren Wiki werden keine unnötigen personenbezogenen Einzeldaten, detaillierten Sicherheitskonfigurationen, vertraulichen Verträge oder offenen Schwachstellen veröffentlicht.
Das Wiki enthält:
- Verfahren und Verantwortlichkeiten,
- Felddefinitionen und Qualitätsregeln,
- freigegebene Übersichten ohne schutzbedürftige Detaildaten,
- kontrollierte Verweise auf das führende Register und Nachweise.
Zugriffsrechte, Versionierung, Änderungshistorie, Sicherung, Wiederherstellung und Exportfähigkeit werden festgelegt. Das VVT muss der Aufsichtsbehörde auf Anfrage in einer nachvollziehbaren Fassung bereitgestellt werden können.
¶ 14.1 Bereitstellung für die Aufsichtsbehörde
Für eine kontrollierte Bereitstellung werden vorab festgelegt:
- wer eine Anfrage entgegennimmt, authentifiziert und koordiniert,
- welches Verzeichnis für Verantwortlichen- beziehungsweise Auftragsverarbeitertätigkeiten betroffen ist,
- wie die aktuelle vollständige Fassung exportiert und gegen Vollständigkeit geprüft wird,
- wie vertrauliche Anlagen und Nachweise getrennt, geschützt und nachvollziehbar nachgereicht werden,
- wie Übermittlung, Empfänger, Datum, Umfang und Freigabe protokolliert werden,
- wie Rückfragen, Korrekturen und spätere Erkenntnisse in das Register zurückgeführt werden.
Ein öffentliches Wiki, eine Managementübersicht oder der VVT-Explorer ist nicht automatisch die gegenüber einer Aufsichtsbehörde bereitzustellende Fassung.
¶ 14.2 Betriebs- und Wiederherstellungsfähigkeit
Mindestens regelmäßig getestet werden:
- Export in ein lesbares, dauerhaft verfügbares Format,
- Wiederherstellung des Registers und seiner Versionen,
- Zuordnung von Nachweisreferenzen nach einer Wiederherstellung,
- Rollen- und Rechtekonzept einschließlich Notfallzugriff,
- Erkennung fehlerhafter Synchronisation oder unvollständiger Datensätze,
- Übernahme bei Wechsel des Registerwerkzeugs oder Dienstleisters.
¶ 15. Häufige Fehler
| Fehler | Folge |
|---|---|
| nur Software statt Verarbeitungstätigkeiten auflisten | Zwecke, Rollen und Datenflüsse bleiben unklar |
| alle Prozesse in einem Sammeldatensatz zusammenfassen | Pflichtangaben und Risiken sind nicht mehr eindeutig zuordenbar |
| Rechtsgrundlage pauschal oder ohne Zweckbezug angeben | Rechtmäßigkeitsprüfung ist nicht nachvollziehbar |
| Auftragsverarbeiter als gewöhnlichen Empfänger behandeln | Rollen-, Vertrags- und Weisungsprüfung fehlt |
| „kein Drittlandtransfer“ ohne Anbieter- und Supportprüfung | Fernzugriffe und Unterauftragnehmer bleiben unberücksichtigt |
| allgemeine Löschangabe ohne Auslöser und Frist | Löschung kann nicht umgesetzt oder geprüft werden |
| DSFA-Feld automatisch mit „nein“ vorbelegen | erforderliche Risikoprüfung wird vorweggenommen |
| offene Punkte nicht vom freigegebenen Inhalt trennen | Arbeitsannahmen erscheinen als bestätigte Tatsachen |
| VVT nach Erstellung nicht mehr aktualisieren | Verzeichnis weicht von der tatsächlichen Verarbeitung ab |
¶ 15.1 Kontrollen und Kennzahlen
| Kontrolle / Kennzahl | Aussage | erforderliche Vertiefung |
|---|---|---|
| Prozesse ohne VVT-ID | Registerabdeckung | Prozessinventar, Interviews und Systemübersicht abgleichen |
| Einträge ohne Owner oder Reviewtermin | Steuerungsfähigkeit | Verantwortung und Eskalation festlegen |
| überfällige Reviews / Auflagen | Aktualität und Maßnahmenstatus | tatsächliche Nutzung und Risiken priorisiert prüfen |
| offene Rechts-, Artikel-9-/10- oder DSFA-Prüfungen | fachlicher Klärungsbedarf | nicht als positive Rechtmäßigkeitsaussage behandeln |
| offene Transfers / Unterauftragnehmer | Lieferketten- und Zugriffstransparenz | Anbieter-, Standort-, Support- und Vertragsprüfung |
| fehlende ausführbare Löschregel | Umsetzbarkeit der Speicherbegrenzung | Datenkategorie, Fristbeginn, Systeme und Test ergänzen |
| Inkonsistenzen zwischen VVT, Hinweis, Vertrag und System | Qualität der Schnittstellen | Abweichung erfassen und führende Quelle korrigieren |
| Stichprobenabweichungen | tatsächliche Umsetzung | Maßnahmen, Verantwortliche und Wirksamkeitsprüfung nachführen |
Kennzahlen dienen der Priorisierung. Ein formal vollständiger Datensatz kann fachlich falsch oder technisch nicht umgesetzt sein; deshalb werden Inhalt und Realität stichprobenartig verglichen.
¶ 16. Mitgeltende Seiten
- DSGVO-Startseite
- Lesehilfe und Dokumentenstatus
- VVT-Explorer – interaktive Demonstration
- VVT-Vorlage – öffentliches Feld- und Qualitätsmodell; keine editierbare Originalvorlage
- Rechtsgrundlagenkataster – Vertiefung der Rechtmäßigkeitsprüfung je Zweck
- Einwilligungsmanagement – Erteilung, Nachweis, Widerruf und technische Steuerung
- Informationspflichten – Zuordnung, Pflichtinhalte, Bereitstellung und Versionierung
- Zweckänderung und Kompatibilitätsprüfung – Prüfung vor einer Weiterverarbeitung
- Besondere Kategorien und Strafdaten – Zusatzgrundlagen und erhöhte Schutzmaßnahmen
- Kinder und Schutzbedürftige – Zielgruppen- und Schutzprüfung
- Auftragsverarbeiterregister – Rollen-, Vertrags-, TOM-, Unterauftragnehmer- und Transferbezug
- Drittlandtransfers – Empfänger, Länder, Instrumente, TIA und Zusatzmaßnahmen
- Transfer Impact Assessment – vertiefte Bewertung von Recht, Praxis, Zugriffsmöglichkeiten und Zusatzmaßnahmen
- Datenschutz-Risikomethodik – einheitliche Szenarien, Skalen, Maßnahmenwirkung und DSFA-Eskalation
- Datenschutz-Risikoregister – Risikoszenarien, Auswirkungen für Menschen, Maßnahmen, Restrisiko und DSFA-Screening
- DSFA-Prüfregister – dokumentierte Vorprüfung mit Muss-Fällen, Kriterien, Entscheidung und Review
- Datenschutz-Folgenabschätzung – vertiefte Prüfung bei voraussichtlich hohem Risiko
- Technische und organisatorische Maßnahmen – TOM-IDs, Geltungsbereich, Status, Wirksamkeit und Nachweise je Verarbeitung
- Privacy by Design und by Default – Gestaltung und Voreinstellungen aus dem Verarbeitungskontext ableiten
- Lösch- und Aufbewahrungskonzept – VVT-Angaben in ausführbare Löschregeln überführen
- Testdaten, Anonymisierung und Pseudonymisierung – Nichtproduktivnutzung und Identifizierbarkeit kontrollieren
- Beschäftigtendatenschutz – verarbeitungsspezifische Prüfung von Beschäftigtenprozessen
- Kunden und Interessenten – CRM-, Vertrags-, Service- und Kommunikationsprozesse konkretisieren
- Website, Cookies und Tracking – digitale Dienste, Endgerätezugriffe und Consent-Nachweise prüfen
- Video- und Zutrittskontrolle – Anlagen, Zonen, Zugriffe und Löschung bewerten
- KI und automatisierte Verarbeitung – KI-Systeme, Datenquellen, Rollen und Entscheidungswirkungen erfassen
- Forschung, Statistik und Archiv – besondere Zwecke und Artikel-89-Garantien dokumentieren
- ISMS Asset-Inventar
- ISMS Lieferanten und Dienstleister
¶ 17. Noch organisationsbezogen festzulegen
Dieses Muster lässt bewusst offen:
- führendes Registerwerkzeug, Datenmodell und zulässige Zusatzfelder,
- Abgrenzungskriterien und verbindliche Namens- beziehungsweise ID-Konvention,
- Rollen, Freigabeschwellen, Vertretungen und Eskalationsrechte,
- Reviewintervalle und risikobasierte Priorisierung,
- verbindliche Einbindung in Projekt-, Beschaffungs-, Change-, Lösch- und Offboardingprozesse,
- Schutz-, Sicht-, Export- und Aufbewahrungsregeln,
- Verfahren für Behördenbereitstellung und vertrauliche Anlagen,
- Umfang von Stichproben, Wiederherstellungs- und Wirksamkeitstests,
- Entscheidung, ob und wie eine allgemein lesbare Explorer-Sicht technisch aus dem Register abgeleitet wird.
Bis zur organisationsbezogenen Festlegung und Freigabe gelten diese Punkte nicht als umgesetzt.
¶ 18. Offizielle Grundlagen und Rechtsmonitoring
- EUR-Lex – geltender Text der Datenschutz-Grundverordnung
- BfDI – Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO
- Datenschutzkonferenz – Kurzpapier Nr. 1 zum Verzeichnis von Verarbeitungstätigkeiten
- Europäischer Datenschutzausschuss – Datenschutzleitfaden für kleine Unternehmen
- Rat der Europäischen Union – vorläufige Einigung zum Omnibus-IV-Paket vom 09.06.2026
Vor der betrieblichen Nutzung sind die aktuelle Rechtslage, Orientierungshilfen der zuständigen Aufsichtsbehörde und branchenspezifische Anforderungen zu prüfen.
¶ 19. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei VVT-Erhebung, Prozessabgrenzung, Prüf- und Nachweisverknüpfung sowie kundenindividueller Wiki-Dokumentation
| Angebot / Information | Nutzen |
|---|---|
| Datenschutzmanagement | VVT, Rechtsgrundlagen, Risiken, Rollen, Nachweise und Kontrollen verbinden |
| Datenschutz-Leistungen | organisationsbezogene Aufnahme und Weiterentwicklung der Datenschutzdokumentation |
Erstgespräch unter info@smct-management.de vereinbaren
¶ 20. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 1.2 | 10.08.2026 | Rechtsstand bestätigt, Qualitätsbeispiele für VVT-Felder, registerweite Ampel, barrierearme Ergebnisampel des Qualitätsgates, SEO-Metadaten und Seitenkennzeichnung ergänzt | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 1.1 | 09.08.2026 | Operative und visuelle Überarbeitung mit SEO-Beschreibung, Rechtsstands-Hinweis zu Artikel 30 Absatz 5, Abgrenzungsgrafik und -matrix, interaktivem VVT-Qualitätsgate, Freigabeakte, Abweichungssteuerung, Behördenbereitstellung, Betriebs- und Wiederherstellungstests, Kennzahlen, offenen Organisationsentscheidungen sowie extern öffnenden amtlichen und SMCT-Links | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 1.0 | 08.08.2026 | Vorhandene Muster-Prüfraster für spezielle Verarbeitungen als VVT-Vertiefungen verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.9 | 08.08.2026 | Privacy-by-Design-, Lösch- und Testdatenverfahren als Folgesteuerung für VVT-Angaben verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.8 | 08.08.2026 | TOM-Verzeichnis als führende Referenz für verarbeitungsspezifische Maßnahmen, Status und Wirksamkeit verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.7 | 08.08.2026 | Datenschutz-Folgenabschätzung als Folgedokument eines positiven VVT-bezogenen Screenings verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.6 | 08.08.2026 | DSFA-Prüfregister als führender Nachweis für das im VVT referenzierte Screening verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.5 | 08.08.2026 | Datenschutz-Risikomethodik als einheitliche Bewertungsgrundlage für VVT-bezogene Risiken verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.4 | 08.08.2026 | Datenschutz-Risikoregister als vertiefte Bewertung der im VVT erfassten Verarbeitungen verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.3 | 08.08.2026 | Transfer Impact Assessment als vertiefte Prüfung internationaler Übermittlungen verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.2 | 07.08.2026 | Interaktiven VVT-Explorer mit ausschließlich erfundenen Musterdaten als Orientierung verlinkt | Datenschutzkoordination | Ausstehend | – |
| 0.1 | 07.08.2026 | Erstfassung auf Basis von Artikel 30 DSGVO und einer anonymisiert ausgewerteten VVT-Arbeitsmappe; Pflichtfelder, Registerstruktur, Pflegeprozess und Qualitätsprüfung ergänzt | Datenschutzkoordination | Ausstehend | – |
Seite 1 von 1 · DSGVO-REG-02-01 · Version 1.2