Verzeichnis von Verarbeitungstätigkeiten (VVT)

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Artikel 30 DSGVO ist eine schriftliche Übersicht aller Vorgänge, bei denen ein Unternehmen personenbezogene Daten verarbeitet. Es dokumentiert Zwecke, Datenkategorien, Empfänger und Löschfristen und ist für fast jedes Unternehmen Pflicht.

Was ist das Verzeichnis von Verarbeitungstätigkeiten?

Das Verzeichnis von Verarbeitungstätigkeiten (VVT, oft auch Verarbeitungsverzeichnis genannt) ist das zentrale Dokumentationswerkzeug der DSGVO. Artikel 30 verlangt, dass Sie jede Verarbeitung personenbezogener Daten schriftlich festhalten – als Beweis Ihrer Rechenschaftspflicht.

Für jede Verarbeitungstätigkeit listen Sie typischerweise auf:

Name und Kontakt des Verantwortlichen (und ggf. des Datenschutzbeauftragten)
Den Zweck der Verarbeitung (z. B. Kundenservice, Newsletter-Versand)
Die Kategorien betroffener Personen und Daten
Die Empfänger der Daten, einschließlich Dienstleister und Drittländer
Vorgesehene Löschfristen
Eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen

Das VVT ist kein öffentliches Dokument, muss aber der Aufsichtsbehörde auf Anfrage vorgelegt werden.

Warum ist das VVT für KMU Pflicht?

Ein verbreiteter Irrtum: Viele KMU glauben, das VVT gelte nur für große Unternehmen. Die Ausnahme für Betriebe unter 250 Mitarbeitern greift jedoch fast nie. Sie entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt oder sensible Daten betrifft. Wer regelmäßig Kundendaten verarbeitet, also praktisch jedes Unternehmen mit Kundenkommunikation, braucht ein VVT.

Fehlt das Verzeichnis, ist das ein eigenständiger Verstoß, der mit einem Bußgeld geahndet werden kann. Unabhängig davon, ob sonst alles korrekt läuft. Die Aufsichtsbehörde fragt das VVT oft als Erstes ab.

Praktisch betrachtet ist das VVT auch eine Landkarte Ihrer Daten. Wer einmal sauber dokumentiert hat, welche Daten wohin fließen, erkennt schnell Lücken und kann auf Auskunftsanfragen von Kunden zügig reagieren.

Beispiel aus dem Mittelstand

Ein Handwerksbetrieb mit 18 Mitarbeitern in Stuttgart legt sein VVT an. Er trägt mehrere Verarbeitungstätigkeiten ein: die Kundenverwaltung im CRM, den Versand von Terminerinnerungen per SMS und WhatsApp, die Lohnabrechnung und das Bewerbermanagement.

Bei der WhatsApp-Kommunikation hält er fest: Zweck ist die Terminkoordination, betroffen sind Kunden, verarbeitet werden Name und Telefonnummer, Empfänger ist der eingesetzte Messaging-Anbieter mit EU-Hosting, und die Daten werden nach Abschluss des Auftrags gemäß Löschkonzept gelöscht. Mit dieser Dokumentation ist der Betrieb bei einer Prüfung auskunftsfähig.

VVT und SendSeven

SendSeven ist eine DSGVO-konforme, EU-gehostete Unified-Messaging-Plattform – Made in Germany. Das Verzeichnis selbst führen Sie als Verantwortlicher, denn nur Sie kennen alle Ihre Verarbeitungstätigkeiten.

Als spezialisierter Anbieter liefern wir Ihnen die Bausteine, die Sie für die VVT-Einträge zur Kundenkommunikation brauchen: Wir benennen uns als Auftragsverarbeiter, dokumentieren den EU-Serverstandort, stellen einen Auftragsverarbeitungsvertrag bereit und legen unsere technischen und organisatorischen Maßnahmen offen. Diese Angaben übernehmen Sie direkt in Ihr Verzeichnis. SendSeven ist ab 49 €/Monat (Basic) nutzbar.