Verzeichnis von Verarbeitungstätigkeiten: So erstellen kleine Betriebe ihr VVT

Das Verzeichnis von Verarbeitungstätigkeiten, kurz VVT, ist die Übersicht über Ihre Datenverarbeitung: Welche Daten verarbeiten Sie zu welchem Zweck, wie lange und wer erhält sie? Es unterstützt die Dokumentation und muss der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden.

Wer muss ein VVT führen?

Art. 30 Abs. 5 DSGVO enthält zwar eine Ausnahme für Unternehmen unter 250 Beschäftigten. Sie greift aber nur, wenn die Verarbeitung nur gelegentlich erfolgt, kein Risiko birgt und keine sensiblen Daten betrifft. Lohnabrechnung, Kundenverwaltung oder Patientendaten sind nie „gelegentlich“. In der Praxis muss deshalb nahezu jeder Betrieb ein VVT führen, auch Vereine.

Was gehört hinein?

Für jede Verarbeitungstätigkeit verlangt Art. 30 Abs. 1 DSGVO:

• Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des Datenschutzbeauftragten
• die Zwecke der Verarbeitung
• die Kategorien betroffener Personen (Kunden, Mitarbeitende, Bewerber, Mitglieder …)
• die Kategorien personenbezogener Daten (Kontaktdaten, Bankdaten, Gesundheitsdaten …)
• die Empfänger, auch Dienstleister und Behörden
• Übermittlungen in Drittländer, etwa an US-Cloud-Anbieter
• die vorgesehenen Löschfristen
• eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen

Schritt für Schritt

1. Abläufe sammeln, nicht Programme

Eine Verarbeitungstätigkeit ist ein Geschäftsprozess, nicht eine Software. „Angebotserstellung und Auftragsabwicklung“ ist eine Tätigkeit, auch wenn dafür Handwerkersoftware, E-Mail und Excel genutzt werden.

2. Typische Tätigkeiten eines kleinen Betriebs

• Kunden- bzw. Patienten- oder Mitgliederverwaltung
• Angebote, Aufträge und Rechnungen
• Buchhaltung und Weitergabe an das Steuerbüro
• Lohn- und Gehaltsabrechnung, Personalakte
• Bewerbungsverfahren
• Arbeitszeiterfassung
• E-Mail und Telefon
• Website, Kontaktformular und gegebenenfalls Newsletter
• Social Media und Fotos
• Videoüberwachung, falls vorhanden

3. Pro Tätigkeit die Fragen beantworten

Am einfachsten mit einer Tabelle oder einer Vorlage. Wichtig ist, ehrlich zu dokumentieren, was tatsächlich passiert, nicht was passieren sollte.

4. Löschfristen festlegen

Für gewöhnliche Buchungsbelege gelten regelmäßig acht Jahre, für Handels- und Geschäftsbriefe sechs Jahre. Die Fristen beginnen grundsätzlich mit dem Schluss des maßgeblichen Kalenderjahres. Sonderregeln und laufende Verfahren können längere Aufbewahrung erfordern. Bei abgelehnten Bewerbungen wird häufig eine begrenzte Aufbewahrung zur Rechtsverteidigung, zum Beispiel bis zu sechs Monate nach der Absage, festgelegt; dies ist im Einzelfall zu begründen. Patientenakten sind grundsätzlich zehn Jahre ab Behandlungsende aufzubewahren. Im VVT halten Sie Fristbeginn, Dauer und Ausnahmen fest.

5. Aktuell halten

Neue Software, neuer Dienstleister, neuer Ablauf: Das VVT muss mitwachsen. Planen Sie mindestens einmal im Jahr eine Durchsicht ein.

Häufige Fehler

• Das VVT wurde 2018 einmal erstellt und nie wieder angefasst.
• Es listet Programme statt Abläufe auf.
• Löschfristen fehlen oder lauten „gesetzliche Aufbewahrungsfrist“.
• Mögliche Drittlandübermittlungen und Zugriffe bei Cloud-Diensten, etwa Microsoft 365 oder Google Workspace, wurden nicht anhand der tatsächlichen Nutzung und Datenflüsse geprüft und dokumentiert.

Wir erstellen das Verarbeitungsverzeichnis gemeinsam mit Ihnen, meist in einem einzigen Termin. Mehr dazu unter DSGVO-Dokumentation.

Autor: Kevin Lipkow, Geschäftsführer der Fi-Lo GmbH und Datenschutzbeauftragter (TÜV) unter Einbeziehung der EU-DSGVO, Zertifikat erworben 2018. Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Beratung im Einzelfall.