VVT (Verarbeitungsverzeichnis)
Verarbeitungsverzeichnis nach Art. 30 DSGVO — Pflicht für nahezu alle Verantwortlichen
TL;DR
Das Verarbeitungsverzeichnis (VVT) ist ein nach Art. 30 DSGVO geführtes Verzeichnis aller Verarbeitungstätigkeiten eines Verantwortlichen oder Auftragsverarbeiters. Für Verantwortliche enthält es 7 Pflichtangaben nach Art. 30 Abs. 1 lit. a–g DSGVO (z.B. Zwecke, Datenkategorien, Empfänger, Löschfristen) plus 2 Praxisfelder und ist auf Verlangen der Aufsichtsbehörde vorzulegen.
Was ist VVT (Verarbeitungsverzeichnis)?
Das VVT (auch Verarbeitungsverzeichnis genannt) ist nach Art. 30 Abs. 1 DSGVO Pflicht für alle Verantwortlichen — die in Art. 30 Abs. 5 genannte Ausnahme für Unternehmen unter 250 Mitarbeitenden greift in der Praxis fast nie, weil sie Regel-Verarbeitungen wie Personaldaten, Kunden-CRM oder Newsletter ausschließt.
Auftragsverarbeiter führen ein eigenes VVT nach Art. 30 Abs. 2 mit anderen Pflichtfeldern. Auf Anfrage ist das VVT der Aufsichtsbehörde zur Verfügung zu stellen (Art. 30 Abs. 4 DSGVO); nach Praxiserfahrung steht die Vorlage des VVT bei Aufsichtsanfragen häufig am Anfang.
Praxisbeispiel
Ein 30-Personen-Maschinenbauer dokumentiert im VVT seine Verarbeitungstätigkeiten:
- Lohnabrechnung (mit Steuerberater als eigenständig Verantwortlichem)
- CRM-Kunden-Stammdaten (eigene Datenbank)
- Bewerbungsmanagement (E-Recruiting-SaaS)
- Videoüberwachung Werkshalle
- Newsletter-Versand (Cleverreach)
Pro Eintrag werden 7 Pflichtangaben nach Art. 30 Abs. 1 lit. a–g DSGVO dokumentiert — Verantwortlicher, Zweck, Kategorien betroffener Personen und Daten, Empfänger, Drittlandtransfer, Löschfristen, TOM-Verweis — plus 2 Praxisfelder: Rechtsgrundlage und Auftragsverarbeiter (sofern relevant).
Rechtslage: Deutschland und Österreich
Art. 30 DSGVO ist unmittelbar geltendes EU-Recht und in Deutschland und Österreich wortgleich: Aufbau, Pflichtfelder, das eigene VVT des Auftragsverarbeiters (Abs. 2) und die Ausnahme für Unternehmen unter 250 Mitarbeitenden (Abs. 5) sind identisch. Unterschiede entstehen erst beim nationalen Spezialrecht, das die im VVT einzutragende Rechtsgrundlage liefert, sowie bei der zuständigen Aufsichtsbehörde.
- Deutschland: Für die Verarbeitung von Beschäftigtendaten (auch Gesundheitsdaten nach Art. 9) ist die im VVT genannte Rechtsgrundlage in der Regel § 26 BDSG (Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses). Zuständige Aufsichtsbehörden sind die Landesdatenschutzbehörden für nicht-öffentliche Stellen (§ 40 BDSG) bzw. der/die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) für Bundesstellen (§ 9 BDSG).
- Österreich: Ein § 26 BDSG existiert dort nicht. Die Verarbeitung von Beschäftigten- und Gesundheitsdaten stützt sich auf Art. 9 Abs. 2 lit. b bzw. Art. 88 DSGVO i.V.m. § 96 Abs. 1 Z 3 ArbVG und das DSG. Zuständige Aufsichtsbehörde ist die Datenschutzbehörde nach § 18 DSG.