Verzeichnis von Verarbeitungstätigkeiten

Ein Verzeichnis von Verarbeitungstätigkeiten (VVT) ist die strukturierte Dokumentation der Verarbeitungsvorgänge eines Unternehmens. Nach Art. 30 DSGVO führen Verantwortliche ein Verzeichnis über die Verarbeitungen in ihrem Zuständigkeitsbereich. Auftragsverarbeiter dokumentieren die Kategorien von Verarbeitungen, die sie im Auftrag ihrer Kunden durchführen. So wird nachvollziehbar, welche personenbezogenen Daten zu welchem Zweck, über welche Empfänger und für wie lange verarbeitet werden.

Art. 30 DSGVO nennt unter anderem die Kontaktdaten des Verantwortlichen oder Auftragsverarbeiters, die Zwecke der Verarbeitung, die Kategorien betroffener Personen und personenbezogener Daten, Empfänger, Übermittlungen in Drittländer, vorgesehene Löschfristen soweit möglich sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen soweit möglich. Das Verzeichnis darf elektronisch geführt werden und ist der Datenschutzbehörde auf Anfrage zur Verfügung zu stellen. Es ersetzt weder die Datenschutzinformation noch eine Einzelfallprüfung.

Für Unternehmen mit weniger als 250 Beschäftigten gilt eine Ausnahme nur unter engen Voraussetzungen. Sie greift insbesondere nicht, wenn die Verarbeitung voraussichtlich ein Risiko für Rechte und Freiheiten birgt, nicht nur gelegentlich erfolgt oder besondere Kategorien personenbezogener Daten beziehungsweise Daten nach Art. 10 DSGVO betrifft. Neue Verfahren, Dienstleister, Empfänger und Aufbewahrungsfristen sollten im VVT zeitnah nachgeführt werden. Die Datenschutz-Governance ordnet Verantwortlichkeiten ein. Bei externen Dienstleistern helfen die Informationen zur Auftragsverarbeitung und die Checkliste für Auftragsverarbeiter.