¶ VVT-Vorlage
Kein öffentlicher Download: Diese Seite beschreibt die Feldstruktur. Eine editierbare VVT-Arbeitsmappe wird nur kundenindividuell und geschützt bereitgestellt.
Musterstatus: Ein leerer oder ausgefüllter Datensatz ist erst nach fachlicher Prüfung Teil des freigegebenen VVT.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-VOR-09-02 |
| Dokumentenart | Strukturmodell für Verarbeitungstätigkeiten |
| Wiki.js-Pfad | /DSGVO/09-Vorlagen-und-Archiv/VVT-Vorlage |
| Status | Entwurf – keine Arbeitsmappe oder reale Verarbeitung bereitgestellt |
| Version / Stand | 1.0 / 09.08.2026 |
| Schutzklasse | Öffentliches Feldmodell; operatives VVT vertraulich |
| DSGVO-Bezug | Artikel 5 Absatz 2, 24 und 30 DSGVO |
Vom Verarbeitungskontext zum geprüften und versionierten VVT-Datensatz. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Feldgruppen
| Feldgruppe | Mindestinhalt |
|---|---|
| Identität | VVT-ID, Titel, Verantwortlicher, gemeinsame Verantwortung und Owner |
| Zweck und Recht | getrennte Zwecke, Rechtsgrundlagen, Artikel-9-/10-Prüfung und Interessenabwägung |
| Betroffene und Daten | Personengruppen, Datenkategorien, Herkunft und besondere Schutzbedarfe |
| Verarbeitung | Erhebung, Nutzung, Offenlegung, Systeme, Standorte und Datenfluss |
| Empfänger | interne Stellen, externe Empfänger, Auftragsverarbeiter und Behörden |
| Transfer | Drittland, Empfänger, Instrument, TIA und Zusatzmaßnahmen |
| Zeit | Aufbewahrung, Fristbeginn, Löschung, Einschränkung und Legal Hold |
| Schutz | TOM-Referenzen, Risiken, DSFA-Screening und Restrisiko |
| Transparenz | Informationsfassung, Rechtekanal und Einwilligungs- oder Widerspruchsstatus |
| Lenkung | Status, Prüfung, Freigabe, Review, Änderungen und Nachweise |
¶ 1.1 Pflichtinhalt und Managementinformationen
Artikel 30 legt den gesetzlichen Mindestinhalt fest. Ein im Alltag brauchbares VVT benötigt darüber hinaus Steuerungsinformationen. Dazu gehören insbesondere Prozesseigner, Systeme, Rechtsgrundlagenentscheidung, Löschlogik, DSFA-Status, Verträge, Informationsfassungen und offene Maßnahmen. Diese zusätzlichen Angaben machen aus einer statischen Liste ein führendes Register, ohne den gesetzlichen Mindestinhalt zu verwischen.
| Ebene | Zweck | Beispiel |
|---|---|---|
| gesetzlicher Kern | Nachweis der Verarbeitungstätigkeit | Zwecke, Datenkategorien, Empfänger, Drittland, Fristen, allgemeine TOM |
| operative Steuerung | Aktualität und Verantwortlichkeit | Owner, Systeme, Schnittstellen, Dienstleister, Reviewdatum |
| Prüfverknüpfung | Entscheidungen nachvollziehen | Rechtsgrundlagenkataster, DSFA-Screening, Interessenabwägung, AVV |
| Maßnahmensteuerung | Lücken sichtbar schließen | offener Punkt, Risiko, Maßnahme, Verantwortlicher, Termin |
¶ 2. Erfassungsablauf
- Verarbeitung abgrenzen: Ein fachlich verständlicher Zweck und zusammenhängender Prozess bilden den Ausgangspunkt – nicht jedes einzelne IT-System.
- Rollen klären: Verantwortlicher, Auftragsverarbeiter, gemeinsam Verantwortliche und sonstige Empfänger anhand tatsächlicher Entscheidungen einordnen.
- Datenfluss aufnehmen: Erhebung, Nutzung, Offenlegung, Speicherorte, Schnittstellen, Supportzugriffe und Löschung darstellen.
- Zweck und Grundlage paaren: Für jeden Zweck die einschlägige Rechtsgrundlage und erforderliche Zusatzprüfung dokumentieren.
- Empfänger und Transfers prüfen: interne und externe Empfänger sowie mögliche Drittlandzugriffe vollständig erfassen.
- Fristen ausführbar machen: Beginn, Dauer, Ereignis, Löschlauf und Ausnahmen so festlegen, dass Systeme sie umsetzen können.
- Schutz und Risiko verknüpfen: TOM, DSFA-Screening, besondere Kategorien und Risiken referenzieren.
- Prüfen und freigeben: offene Punkte, Owner und Reviewauslöser dokumentieren.
¶ Praxisbeispiel: digitales Bewerbermanagement
Der VVT-Datensatz beschreibt nicht nur „Bewerbungen“. Er unterscheidet etwa laufende Auswahl, Talentpool und Verteidigung gegen Rechtsansprüche, weil Zwecke, Grundlagen und Fristen voneinander abweichen können. Er nennt das Bewerberportal, beteiligte Fachbereiche, Hosting- und Supportanbieter, mögliche Empfänger, Löschereignisse sowie den Umgang mit freiwilligen Angaben und besonderen Datenkategorien.
Wird später eine KI-gestützte Vorauswahl ergänzt, entsteht mindestens ein Review des bestehenden Datensatzes. Datenfluss, Transparenz, Risikobewertung, DSFA-Screening und gegebenenfalls automatisierte Entscheidungen werden neu geprüft; die alte Freigabe darf nicht ungeprüft fortgelten.
¶ 3. Qualitätsgate
Der Datensatz wird nur freigegeben, wenn Zwecke und Grundlagen zusammenpassen, Rollen geklärt, Empfänger und Transfers vollständig, Fristen ausführbar, TOM referenziert, DSFA-Screening dokumentiert und offene Punkte sichtbar sind. „Keine“ und „nicht zutreffend“ benötigen eine belastbare Prüfung; leere Felder dürfen nicht automatisch als negativ interpretiert werden.
¶ Plausibilitätsprüfungen
- Ein Empfänger im Datenfluss muss im Datensatz oder in einer nachvollziehbaren Referenz erscheinen.
- Ein Auftragsverarbeiter benötigt eine Rollen- und Vertragsprüfung; ein Vertrag allein beweist die Rolle nicht.
- Ein Drittlandzugriff darf nicht allein mit dem Hauptspeicherort „EU“ verneint werden; Support und Unterauftragnehmer sind einzubeziehen.
- Eine Löschfrist benötigt ein auslösenden Ereignis und einen technisch umsetzbaren Prozess.
- Besondere Kategorien nach Artikel 9 und Strafdaten nach Artikel 10 lösen zusätzliche Grundlagen- und Schutzprüfungen aus.
- Bei Beschäftigtendaten ist der konkrete Beschäftigungskontext einschließlich § 26 BDSG zu prüfen.
- Änderungen an Zweck, Daten, Technologie oder Personengruppe können ein neues DSFA-Screening erfordern.
¶ 4. Statusmodell und Review
Sinnvolle Statuswerte sind Entwurf, in fachlicher Prüfung, in Datenschutzprüfung, freigegeben, Änderung erforderlich und archiviert. „Freigegeben“ bedeutet nur, dass die vorgesehene Prüfung abgeschlossen ist. Es ist keine zeitlich unbegrenzte Aussage über Rechtmäßigkeit oder tatsächliche Umsetzung.
Reviews werden sowohl turnusmäßig als auch ereignisbezogen ausgelöst. Typische Ereignisse sind neue Zwecke, Systeme, Dienstleister, Länder, Datenkategorien, Empfänger, Löschregeln, Vorfälle oder Beschwerden. Jede Änderung erhält Datum, Grund, Bearbeiter und Freigabestatus.
¶ 5. Geschützte Arbeitsdatei
Die kundenbezogene Excel- oder Datenbankfassung kann Auswahllisten, Validierungen, eindeutige IDs, Statusfelder und geschützte Referenzen enthalten. Sie wird nicht öffentlich verteilt und enthält keine Beispiele mit realen Personen- oder Kundendaten.
Für Übergaben und Audits wird ein kontrollierter Export erzeugt. Der Export enthält einen Zeitstempel und einen definierten Geltungsbereich, damit er nicht mit dem führenden Register verwechselt wird. Schutzbedürftige technische Details und Anlagen können im Export referenziert oder für den Empfängerkreis reduziert werden.
¶ 6. Verknüpfte Seiten
¶ 7. Offizielle Grundlagen
- DSGVO – EUR-Lex
- Bundesdatenschutzgesetz – geltende Fassung
- EDSA: Datenschutzleitfaden für kleine Unternehmen
¶ 8. Weiterführende Informationen von SMCT MANAGEMENT
VVT-Strukturen werden auf Organisation, Branche und Systeme angepasst
¶ 9. Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 1.0 | 09.08.2026 | VVT-Ebenen, Erfassungsablauf, Praxisfall, Plausibilitätsprüfungen und Reviewmodell ergänzt | Ausstehend |
| 0.1 | 08.08.2026 | Öffentliches VVT-Feldmodell ohne frei verteilte Arbeitsmappe erstellt | Ausstehend |