Verzeichnis von Verarbeitungstätigkeiten
Das Verzeichnis von Verarbeitungstätigkeiten (VVT) gibt Unternehmen einen strukturierten Überblick darüber, wie personenbezogene Daten verarbeitet werden. Es dokumentiert unter anderem die Zwecke der Verarbeitung, betroffene Personengruppen, Datenkategorien, Empfänger und Löschfristen.
Ein korrekt geführtes VVT unterstützt Unternehmen dabei, ihre Datenverarbeitungen nachvollziehbar zu dokumentieren und die Anforderungen der DSGVO strukturiert umzusetzen.
PRIOLAN unterstützt Sie bei der Erstellung, Prüfung und Aktualisierung Ihres Verzeichnisses von Verarbeitungstätigkeiten.
Google Bewertung
Basierend auf 15 Bewertungen
Was ist ein Verzeichnis von Verarbeitungstätigkeiten?
Das Verzeichnis von Verarbeitungstätigkeiten ist eine zentrale Dokumentation der Verarbeitung personenbezogener Daten in einem Unternehmen.
Dabei werden zusammengehörige Verarbeitungstätigkeiten erfasst und die wichtigsten Informationen zu diesen Prozessen dokumentiert.
Typische Verarbeitungstätigkeiten sind beispielsweise:
- Bewerbermanagement
- Personalverwaltung
- Kundenverwaltung
- CRM-Systeme
- Buchhaltung
- Newsletterversand
- Marketing
- Videoüberwachung
- Zutrittskontrolle
- Cloud-Dienste
- IT-Administration
Das VVT schafft damit Transparenz darüber, welche personenbezogenen Daten verarbeitet werden, warum die Verarbeitung erfolgt und wie sie organisiert und geschützt wird.
Wer benötigt ein VVT?
Art. 30 DSGVO verpflichtet Verantwortliche grundsätzlich zur Führung eines Verzeichnisses der Verarbeitungstätigkeiten. Auch Auftragsverarbeiter müssen unter den Voraussetzungen des Art. 30 Abs. 2 DSGVO ein entsprechendes Verzeichnis führen.
Für Organisationen mit weniger als 250 Beschäftigten sieht Art. 30 Abs. 5 DSGVO eine Ausnahme vor. Diese gilt jedoch nicht automatisch. Unter anderem können Risiken für die Rechte und Freiheiten betroffener Personen, nicht nur gelegentliche Verarbeitungen oder die Verarbeitung besonderer Kategorien personenbezogener Daten, dazu führen, dass die Pflicht trotzdem besteht.
Die Anzahl der Beschäftigten allein entscheidet daher nicht darüber, ob ein VVT erforderlich ist.
Was muss ein VVT enthalten?
Art. 30 DSGVO legt fest, welche wesentlichen Angaben im Verzeichnis dokumentiert werden müssen.
Verantwortlicher
Angaben zum Verantwortlichen und gegebenenfalls zum Datenschutzbeauftragten.
Zweck der Verarbeitung
Beschreibung, warum die jeweiligen personenbezogenen Daten verarbeitet werden.
Betroffene Personen
Zum Beispiel:
- Kunden
- Beschäftigte
- Bewerber
- Interessenten
- Geschäftspartner
Kategorien personenbezogener Daten
Zum Beispiel:
- Kontaktdaten
- Vertragsdaten
- Beschäftigtendaten
- Zahlungsdaten
- Bewerbungsdaten
Empfänger
Angaben dazu, an welche internen oder externen Stellen personenbezogene Daten übermittelt werden.
Drittlandübermittlungen
Informationen über Übermittlungen personenbezogener Daten an Drittländer oder internationale Organisationen, sofern diese stattfinden.
Löschfristen
Angaben zu den vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien.
Technische und organisatorische Maßnahmen
Beschreibung der relevanten Maßnahmen zum Schutz personenbezogener Daten.
VVT erstellen: In 6 Schritten
01
Verarbeitungstätigkeiten erfassen
Zunächst werden alle relevanten Geschäftsprozesse identifiziert, bei denen personenbezogene Daten verarbeitet werden.
02
Zwecke und Daten bestimmen
Für jede Verarbeitung werden die Zwecke, betroffenen Personengruppen und Kategorien personenbezogener Daten erfasst.
03
Empfänger und Dienstleister prüfen
Es wird dokumentiert, welche internen Stellen, externen Empfänger und Dienstleister mit den Daten in Kontakt kommen.
04
Löschfristen und Datenübermittlungen prüfen
Die vorgesehenen Löschfristen werden erfasst. Zusätzlich wird geprüft, ob personenbezogene Daten an Drittländer oder internationale Organisationen übermittelt werden.
05
Schutzmaßnahmen dokumentieren
Die relevanten technischen und organisatorischen Maßnahmen werden für die jeweiligen Verarbeitungstätigkeiten berücksichtigt.
06
VVT prüfen und aktualisieren
Zum Abschluss wird geprüft, ob die Angaben mit den tatsächlichen Geschäftsprozessen übereinstimmen. Bei relevanten Änderungen muss das VVT entsprechend angepasst werden.
Wie detailliert muss ein VVT sein?
Ein VVT sollte ausreichend konkret, aber nicht unnötig kleinteilig aufgebaut sein.
Zu allgemein
Personalverwaltung
Diese Bezeichnung allein liefert möglicherweise zu wenig Informationen über die konkrete Verarbeitung.
Zu detailliert
Personaldaten erfassen
Personaldaten speichern
Personaldaten ändern
Personaldaten abrufen
Personaldaten löschen
Eine solche Aufteilung kann das VVT unnötig kompliziert machen.
Sinnvoll
Personalverwaltung
Eine zusammengehörige Verarbeitung kann als eine Verarbeitungstätigkeit dokumentiert werden. Die erforderlichen Angaben zu Zweck, Daten, betroffenen Personen, Empfängern, Löschfristen und Schutzmaßnahmen werden darunter strukturiert festgehalten.
Das Ziel ist ein VVT, das die tatsächlichen Verarbeitungstätigkeiten verständlich und nachvollziehbar abbildet.
Häufige Fehler beim VVT
Unvollständige Verarbeitungstätigkeiten
Jetzt Beratung anfordern
Jetzt Beratung anfordernVeraltete Angaben
Jetzt Beratung anfordern
Jetzt Beratung anfordernFehlende Löschfristen
Jetzt Beratung anfordern
Jetzt Beratung anfordernDienstleister werden übersehen
Jetzt Beratung anfordern
Jetzt Beratung anfordernVVT professionell erstellen lassen
Ein VVT sollte nicht nur formal vollständig sein. Es muss die tatsächlichen Geschäftsprozesse, Systeme und Datenverarbeitungen eines Unternehmens widerspiegeln. Im Rahmen eines Datenschutz-Audits lässt sich zusätzlich prüfen, ob das VVT vollständig, aktuell und auf die tatsächlichen Verarbeitungsvorgänge im Unternehmen abgestimmt ist.
PRIOLAN unterstützt Sie bei:
- der Erfassung Ihrer Verarbeitungstätigkeiten
- der Erstellung eines neuen VVT
- der Prüfung bestehender Verzeichnisse
- der Identifikation fehlender Angaben
- der Prüfung von Empfängern und Dienstleistern
- der Berücksichtigung von Löschfristen
- der Dokumentation relevanter Schutzmaßnahmen
- der Aktualisierung Ihres VVT
Dabei verbinden wir datenschutzrechtliche Anforderungen mit den tatsächlichen organisatorischen und technischen Gegebenheiten Ihres Unternehmens. Unternehmen, die die laufende Datenschutzbetreuung extern organisieren möchten, können sich außerdem über die Kosten eines externen Datenschutzbeauftragten informieren.
Warum PRIOLAN?
Juristische und technische Kompetenz
Wir verbinden Datenschutz und IT-Sicherheit, damit Ihr VVT rechtliche Anforderungen erfüllt und die tatsächlichen Prozesse und Systeme Ihres Unternehmens berücksichtigt.
Individuell statt Standardvorlage
Wir erstellen Ihr VVT passend zu Ihren Verarbeitungstätigkeiten, Geschäftsprozessen und Verantwortlichkeiten und vermeiden Lösungen, die nur auf Standardvorlagen basieren.
Praxisorientierte Umsetzung
Von der Bestandsaufnahme über die Erstellung bis zur Aktualisierung unterstützen wir Sie bei der strukturierten und praxisnahen Umsetzung Ihres Verzeichnisses.
Langjährige Erfahrung
Seit 1996 unterstützt PRIOLAN Unternehmen bei Datenschutz und IT-Sicherheit und bringt langjährige Erfahrung in die Erstellung und Pflege von VVTs ein.
Häufige Fragen
Was ist ein Verzeichnis von Verarbeitungstätigkeiten?
Ein VVT dokumentiert die Verarbeitung personenbezogener Daten innerhalb eines Unternehmens und enthält die wesentlichen Angaben nach Art. 30 DSGVO.
Ist ein VVT Pflicht?
Für Verantwortliche und unter bestimmten Voraussetzungen auch für Auftragsverarbeiter besteht grundsätzlich eine Pflicht nach Art. 30 DSGVO. Für bestimmte Organisationen mit weniger als 250 Beschäftigten gilt eine Ausnahme, die jedoch an weitere Voraussetzungen geknüpft ist.
Was muss ein VVT enthalten?
Zu den wesentlichen Angaben gehören unter anderem die Zwecke der Verarbeitung, Kategorien betroffener Personen und personenbezogener Daten, Empfänger, Löschfristen, Drittlandübermittlungen sowie relevante technische und organisatorische Maßnahmen.
Wie oft muss ein VVT aktualisiert werden?
Das VVT sollte aktuell gehalten werden. Änderungen bei Verarbeitungstätigkeiten, Systemen, Dienstleistern, Datenflüssen oder anderen relevanten Angaben sollten entsprechend berücksichtigt werden.
Wer erstellt das VVT?
Die Verantwortung für die Einhaltung der Datenschutzanforderungen liegt beim Verantwortlichen. Je nach Unternehmensstruktur können Datenschutzverantwortliche, Fachabteilungen und Datenschutzbeauftragte an der Erstellung und Pflege beteiligt sein.
