Wenn wir ein neues Datenschutz-Mandat übernehmen, schauen wir zuerst auf das Verzeichnis der Verarbeitungstätigkeiten (VVT). Nicht aus Formalismus — sondern weil sich an diesem einen Dokument ablesen lässt, ob ein Unternehmen seinen Datenschutz kennt oder nur verwaltet. Ein gepflegtes VVT beantwortet in fünf Minuten, was sonst wochenlange Bestandsaufnahmen braucht.
Wer es braucht (Spoiler: fast jeder)
Art. 30 DSGVO kennt zwar eine Ausnahme für Unternehmen unter 250 Mitarbeitern — sie greift aber nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Da jedes Unternehmen regelmäßig Personal-, Kunden- und Lieferantendaten verarbeitet, läuft die Ausnahme in der Praxis leer. Kurz: Auch der 10-Personen-Betrieb braucht ein VVT.
Was hinein gehört — und was das Verzeichnis leisten sollte
- Pflichtangaben je Verarbeitungstätigkeit: Zwecke, Kategorien betroffener Personen und Daten, Empfänger, Drittlandübermittlungen, Löschfristen, technische und organisatorische Maßnahmen (TOM).
- Praxis-Plus: Rechtsgrundlage, eingesetzte Systeme/Dienstleister und der Verweis auf den AV-Vertrag. Streng genommen keine Pflicht im VVT — aber genau diese Verknüpfung macht es zum Steuerungsinstrument.
- Konzernstruktur abbilden: Bei mehreren Gesellschaften braucht jede ihr eigenes Verzeichnis. Aus unserer Mandatspraxis mit Trägerstrukturen (mehrere Einrichtungen unter einem Dach) wissen wir: Wer hier von Anfang an sauber trennt, spart sich später jede Menge Verwirrung.
Der Realitäts-Test: Nehmen Sie eine beliebige Software aus Ihrem Unternehmen — taucht sie im VVT auf, mit Zweck, Löschfrist und Dienstleister? Wenn das für Ihr CRM, Ihr Bewerbungstool und Ihr Videokonferenz-System klappt, ist Ihr Verzeichnis lebendig. Wenn nicht, ist es Deko.
Vom Pflichtdokument zum Arbeitsinstrument
Richtig aufgebaut, ist das VVT der Dreh- und Angelpunkt der gesamten Compliance: Es liefert die Grundlage für Datenschutz-Folgenabschätzungen, beantwortet Betroffenenanfragen schneller („Wo liegen überhaupt Daten dieser Person?"), steuert die AV-Vertrags-Inventur — und ist inzwischen auch der beste Startpunkt für das KI-Inventar nach dem EU AI Act, denn jedes KI-Tool mit Personenbezug gehört ohnehin hinein.
Wir führen Verarbeitungsverzeichnisse für unsere Mandanten in unserer eigenen, selbst gehosteten Compliance-Plattform — versioniert, mandantenfähig und ohne US-Cloud. Wie wir grundsätzlich arbeiten, zeigt unser Datenschutz-Portal; einen Blick auf die Eigenentwicklungen gibt der Entwicklungsbereich.
Fazit
Das Verarbeitungsverzeichnis ist die eine Investition im Datenschutz, die sich mehrfach auszahlt: als Pflichterfüllung, als Wissensspeicher und als Fundament für alles, was regulatorisch noch kommt. Wer es stiefmütterlich behandelt, zahlt bei jeder Anfrage, jedem Audit und jedem neuen Tool drauf.