Verzeichnis von Verarbeitungstätigkeiten (VVT)
Wie und in welchem Umfang Verantwortliche laut DSGVO Daten dokumentieren müssen
Lesedauer: 6 Minuten
Allgemeines zum Verzeichnis von Verarbeitungstätigkeiten
Sowohl Verantwortliche als auch Auftragsverarbeiter müssen laut Art. 30 DSGVO ein Verzeichnis von Verarbeitungstätigkeiten (abgekürzt VVT) führen.
Eine Verarbeitungstätigkeit ist jeder Ablauf, bei dem Unternehmen personenbezogene Daten verarbeiten. Verantwortliche und Auftragsverarbeiter müssen also insbesondere dokumentieren, welche Kategorien von personenbezogenen Daten sie zu welchem Zweck und auf welche Art und Weise verarbeiten werden. Außerdem müssen sie sofern möglich die technischen und organisatorischen Maßnahmen angeben, die zur Wahrung der Sicherheit der Verarbeitung getroffen wurden.
Beispiele
Gehaltsabrechnung, Kundenverwaltung oder Abwicklung von Bestellungen in einem Online-Shop
Wer muss ein Verzeichnis von Verarbeitungstätigkeiten führen?
Grundsätzlich müssen alle Verantwortlichen und Auftragsverarbeiter im Verzeichnis von Verarbeitungstätigkeiten dokumentieren, wie sie personenbezogenen Daten verarbeiten.
Ausnahmen:
Die DSGVO befreit von der Pflicht zur Führung des Verarbeitungsverzeichnisses nur, wenn Ihr Unternehmen alle der folgenden Voraussetzungen erfüllt:
- Das Unternehmen beschäftigt weniger als 250 Mitarbeitende und
- die Datenverarbeitung
- stellt kein Risiko für die Rechte und Freiheiten der betroffenen Personen dar und
- erfolgt nur gelegentlich und
- beinhaltet keine sensiblen Daten bzw. keine Daten über strafrechtliche Verurteilungen.
Auch wenn Ihr Unternehmen die oben genannten Voraussetzungen zur Befreiung erfüllt, kann Ihnen die Führung eines solchen Verzeichnisses bei der Erfüllung der sonstigen Verpflichtungen nach der DSGVO und dem DSG sehr helfen.
Im Zuge einer geplanten Vereinfachung in der DSGVO („Omnibus IV“) wird im Moment eine Ausweitung der oben genannten Ausnahmen von der Führung eines Verarbeitungsverzeichnisses diskutiert. So soll unter anderem die Grenze in Zukunft bei 1.000 Mitarbeitenden liegen.
Unser Tipp für noch mehr Datenschutz:
Auch wenn die Ausnahme auf Sie zutrifft, kann Ihnen die Führung eines solchen Verzeichnisses bei der Erfüllung der sonstigen Verpflichtungen nach der DSGVO und der DSG sehr helfen.
Welche Angaben müssen Verantwortliche im Verarbeitungsverzeichnis machen?
Als Verantwortlicher müssen Sie im VVT vollständig dokumentieren, wie Sie personenbezogene Daten verarbeiten.
Unser Tipp für noch mehr Datenschutz:
Nutzen Sie unser Muster, um Ihre Verarbeitungstätigkeiten zu dokumentieren. Das Muster enthält eine Anleitung, Beispiele und Textbausteine für Verantwortliche.
Die unten angeführte Tabelle bietet eine Übersicht, welche Angaben Verantwortliche im Verzeichnis machen müssen. Sie brauchen nur jene Informationen eintragen, die auf Ihr Unternehmen bzw. Ihre Tätigkeiten zutreffen.
| Angaben im Verarbeitungsverzeichnis | Beispiel | Anmerkungen |
|---|---|---|
| Name und Kontaktdaten des bzw. der Verantwortlichen | Anna Beispiel e.U. | |
| Name und Kontaktdaten des datenschutzrechtlichen Vertreters des Verantwortlichen | Claudia Beispiel | Nur auszufüllen, wenn zutreffend: Nicht jedes Unternehmen braucht einen datenschutzrechtlichen Vertreter. |
| Name und Kontaktdaten des Datenschutzbeauftragten | Max Beispiel | Nur auszufüllen, wenn zutreffend: Nicht jedes Unternehmen braucht einen Datenschutzbeauftragten. |
| Zweck der Datenverarbeitung | Kundenverwaltung | |
| Kategorien betroffener Personen | Kund:innen | |
| Kategorien personenbezogener Daten | Name, sonstige Kontaktdaten, Termindaten, Rechnungsdaten, Adressdaten, Daten zum Zahlungsverhalten, etc. | |
| Rechtliche Erlaubnis für die Datenverarbeitung | Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO | Diese Angabe ist freiwillig, aber empfehlenswert, da Sie die rechtliche Erlaubnis für Ihre Datenverarbeitung ohnehin kennen müssen. |
| Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden | Sozialversicherung, Finanzamt, Rechtsberatung, Steuerberatung, Auftragsverarbeiter | Nur auszufüllen, wenn zutreffend: Dazu zählen auch Empfänger in Drittländern oder internationalen Organisationen (z. B. Konzernmutter in USA). |
| Übermittlungen von personenbezogenen Daten an ein Drittland oder eine internationale Organisation | USA | Nur auszufüllen, wenn zutreffend: Einschließlich der Angaben des betreffenden Drittlands und der Dokumentation des Erlaubnistatbestands für die Drittlandsübermittlung (z. B. Angemessenheitsbeschluss der Kommission für ein bestimmtes Drittland oder sonstige geeignete Garantien). |
| Vorgesehene Fristen für die Löschung der verschiedenen Datenkategorien ($LINK Infoblatt Aufbewahrungs- und Speicherfristen) | z. B. Dauer des Vertragsverhältnisses, Steuerrechtliche Aufbewahrung nach § 132 BAO | nach Möglichkeit |
| Allgemeine Beschreibung der technischen und organisatorischen Datensicherheitsmaßnahmen | Schlüssel für Gebäude, Alarmanlage, Passwortpolitik, Automatische Sperrmechanismen, Verschlüsselung von Datenträgern, Virenschutz, Firewall, Clear-Desk/Clear-Screen Policy | nach Möglichkeit |
Beispiel
Dokumentation von Datenschutzverletzungen (Data Breaches)
Welche Angaben müssen Auftragsverarbeiter im Verarbeitungsverzeichnis machen?
Auch als Auftragsverarbeiter müssen Sie Verarbeitungstätigkeiten dokumentieren. Der Dokumentationsbedarf ist jedoch geringer als für Verantwortliche.
Unser Tipp für noch mehr Datenschutz:
Nutzen Sie unser Muster, um Ihre Verarbeitungstätigkeiten zu dokumentieren. Das Muster enthält eine Anleitung, Beispiele und Textbausteine für Auftragsverarbeiter.
Die unten angeführte Tabelle bietet eine Übersicht, welche Angaben Auftragsverarbeiter im Verzeichnis machen müssen. Sie brauchen nur jene Informationen eintragen, die auf Ihr Unternehmen bzw. Ihre Tätigkeiten zutreffen.
| Angaben im Verarbeitungsverzeichnis | Beispiel | Anmerkungen |
|---|---|---|
| Name und Kontaktdaten des Auftragsverarbeiters | Newsletter-Versand e.U. | |
| Name und Kontaktdaten des datenschutzrechtlichen Vertreters des Auftragsverarbeiters | Doris Beispiel | Nur auszufüllen, wenn zutreffend: Nicht jedes Unternehmen braucht einen datenschutzrechtlichen Vertreter. |
| Name und Kontaktdaten des Datenschutzbeauftragten des Auftragsverarbeiters | Ferdinand Beispiel | Nur auszufüllen, wenn zutreffend: Nicht jedes Unternehmen braucht einen Datenschutzbeauftragten. |
| Name und Kontaktdaten des Verantwortlichen, in dessen Auftrag der Auftragsverarbeiter tätig ist | Anna Beispiel e.U. | |
| Name und Kontaktdaten des datenschutzrechtlichen Vertreters des Verantwortlichen, in dessen Auftrag der Auftragsverarbeiter tätig ist | Claudia Beispiel | |
| Name und Kontaktdaten des Datenschutzbeauftragten des Verantwortlichen, in dessen Auftrag der Auftragsverarbeiter tätig ist | Max Beispiel | Nur auszufüllen, wenn zutreffend: Nicht jedes Unternehmen braucht einen Datenschutzbeauftragten. |
| Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden | Newsletter-Versand | |
| Übermittlungen von personenbezogenen Daten an ein Drittland oder eine internationale Organisation | USA | Nur auszufüllen, wenn zutreffend: Einschließlich der Angaben des betreffenden Drittlands und der Dokumentation geeigneter Garantien. |
| Allgemeine Beschreibung der technischen und organisatorischen Datensicherheitsmaßnahmen | Schlüssel für Gebäude, Alarmanlage, Passwortpolitik, Automatische Sperrmechanismen, Verschlüsselung von Datenträgern, Virenschutz, Firewall, Clear-Desk/Clear-Screen Policy | nach Möglichkeit |
Welche Form muss das Verarbeitungsverzeichnis haben?
Sowohl Verantwortliche als auch Auftragsverarbeiter müssen das Verzeichnis von Verarbeitungstätigkeiten schriftlich bzw. elektronisch führen.
Unsere Vorlagen „Muster für das Verzeichnis von Verarbeitungstätigkeiten“ helfen Ihnen dabei, die formalen Anforderungen zu erfüllen.
Wem muss der Verantwortliche oder der Auftragsverarbeiter das Verarbeitungsverzeichnis vorlegen?
Auf Anfrage müssen Sie das Verzeichnis von Verarbeitungstätigkeiten der Datenschutzbehörde vorlegen. Anhand dieser Dokumentation kann die Aufsichtsbehörde die betreffenden Verarbeitungsvorgänge kontrollieren. Betroffene haben kein Einsichtsrecht in das Verarbeitungsverzeichnis
Mustervorlagen für das Verzeichnis von Verarbeitungstätigkeiten
Zum Nachschlagen: Gesetzliche Bestimmungen zum Verarbeitungsverzeichnis
Kontakt für Rückfragen
Sie haben weitere Fragen zum Datenschutz oder zu DSGVO4KMU? Wir unterstützen Sie gerne.