Verzeichnis von Verarbeitungstätigkeiten (VVT)
Das Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Artikel 30 DSGVO ist die interne Dokumentation aller Vorgänge, bei denen ein Unternehmen personenbezogene Daten verarbeitet. Es nennt Zwecke, Kategorien von Daten und Betroffenen, Empfänger, Drittlandübermittlungen, Löschfristen und Schutzmaßnahmen und muss der Aufsichtsbehörde auf Anfrage vorgelegt werden.
Was ist das Verzeichnis von Verarbeitungstätigkeiten?
Das Verzeichnis von Verarbeitungstätigkeiten (VVT, oft auch Verarbeitungsverzeichnis genannt) ist eine schriftliche Übersicht darüber, wie Ihr Unternehmen personenbezogene Daten nutzt. Jeder Eintrag beschreibt eine Verarbeitungstätigkeit, etwa Lohnabrechnung, Kundenservice, Newsletter oder WhatsApp-Support. Es dient als Nachweis Ihrer Rechenschaftspflicht.
Nach Artikel 30 Abs. 1 DSGVO enthält das Verzeichnis des Verantwortlichen:
- Name und Kontaktdaten des Verantwortlichen (und gegebenenfalls des Datenschutzbeauftragten)
- die Zwecke der Verarbeitung (z. B. Kundenservice, Newsletter-Versand)
- die Kategorien betroffener Personen und personenbezogener Daten
- die Kategorien von Empfängern, einschließlich Auftragsverarbeitern
- Übermittlungen in Drittländer außerhalb von EU/EWR und die dafür genutzten Garantien
- wenn möglich, die vorgesehenen Löschfristen
- wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen
Auftragsverarbeiter führen nach Artikel 30 Abs. 2 ein eigenes, kürzeres Verzeichnis über die Verarbeitungen, die sie im Auftrag ihrer Kunden durchführen.
Warum das VVT auch für KMU Pflicht ist
Das VVT ist kein öffentliches Dokument, Sie veröffentlichen es nicht auf Ihrer Website. Sie müssen es aber der Aufsichtsbehörde auf Anfrage vorlegen, und nach einer Beschwerde oder Datenpanne ist es meist das erste Dokument, das abgefragt wird.
Artikel 30 Abs. 5 enthält eine Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern. In der Praxis greift sie selten, denn sie entfällt, sobald die Verarbeitung:
- voraussichtlich ein Risiko für die Rechte und Freiheiten der Betroffenen birgt,
- nicht nur gelegentlich erfolgt oder
- besondere Kategorien personenbezogener Daten oder Daten über Straftaten einschließt.
Kundenverwaltung, Lohnabrechnung und die tägliche Kundenkommunikation erfolgen nicht nur gelegentlich. Die meisten KMU brauchen deshalb zumindest für diese regelmäßigen Tätigkeiten ein Verzeichnis. Fehlt es, ist das ein eigenständiger Verstoß, unabhängig davon, ob sonst alles korrekt läuft. Darüber hinaus ist das VVT eine Landkarte Ihrer Daten: Es zeigt, wo Daten liegen, welche Tools beteiligt sind und wo noch ein Löschkonzept fehlt.
Beispiel aus dem Mittelstand
Ein Handwerksbetrieb mit 18 Mitarbeitern in Stuttgart nutzt künftig WhatsApp, um Termine abzustimmen und Angebote zu verschicken. Sein Verzeichnis enthält bereits Lohnabrechnung, Buchhaltung und das Kontaktformular der Website. Jetzt ergänzt er einen neuen Eintrag:
- Tätigkeit: Kundenkommunikation über WhatsApp und SMS
- Zweck: Termine abstimmen, Angebote versenden, Fragen beantworten
- Rechtsgrundlage: Vertrag und vorvertragliche Maßnahmen; berechtigtes Interesse für Service-Erinnerungen
- Daten: Name, Telefonnummer, Adresse, Fotos des Auftrags, Nachrichtenverlauf
- Empfänger: die Messaging-Plattform als Auftragsverarbeiter; Meta als Anbieter des WhatsApp-Kanals
- Drittlandübermittlung: Plattform in der EU gehostet; WhatsApp-Daten verarbeitet Meta teilweise in den USA, auf Basis des EU-US Data Privacy Framework und von Standardvertragsklauseln
- Löschfrist: Gespräche werden zwei Jahre nach dem letzten Auftrag gelöscht, sofern keine längere Aufbewahrung vorgeschrieben ist
- TOMs: Verweis auf die Sicherheitsmaßnahmen des Anbieters und den unterzeichneten AVV
Der Eintrag passt auf eine Seite, und wenn ein Kunde das nächste Mal fragt, was mit seinen Daten passiert, steht die Antwort schon fest.
VVT und SendSeven
Das Verzeichnis selbst führen Sie als Verantwortlicher, denn nur Sie kennen alle Ihre Verarbeitungstätigkeiten. Wenn Sie SendSeven nutzen, sind wir Ihr Auftragsverarbeiter. Für Ihr Verzeichnis heißt das:
- Hosting-Standort dokumentiert: in der EU gehostet (Frankfurt, Google Cloud).
- Ein AVV nach Art. 28 DSGVO (siehe Auftragsverarbeitungsvertrag).
- Sicherheitsmaßnahmen offengelegt: verschlüsselt bei der Übertragung und im Ruhezustand, rollenbasierte Zugriffskontrolle mit eigenen Rollen.
- Kanäle gesondert erfasst: Für WhatsApp, Instagram und Messenger tragen Sie Meta als Empfänger in Ihr Verzeichnis ein.
Mehr zum Gesamtbild unter DSGVO-konformes Messaging.
Dies ist eine allgemeine Information und keine Rechtsberatung. Klären Sie die Details mit Ihrem Datenschutzbeauftragten oder Ihrer Compliance-Beratung.