Ressourcen
Diese kostenlose VVT-Vorlage gibt Ihnen ein Verzeichnis von Verarbeitungstätigkeiten, das Sie noch heute ausfüllen können, mit jeder Spalte, die Artikel 30 Abs. 1 DSGVO verlangt, und einer durchgearbeiteten Beispielzeile zum Kopieren. Es ist eine schlichte Excel-VVT-Vorlage, gebaut für den Datenschutz-Lead, Datenschutzbeauftragten oder CISO, der ein korrektes Register braucht, ohne zuerst Software zu kaufen. Ein VVT ist die Landkarte dafür, wie Ihre Organisation personenbezogene Daten nutzt, und es ist das erste Dokument, das eine Aufsichtsbehörde sehen will. Laden Sie es unten herunter und lesen Sie dann weiter: was jede Spalte bedeutet, welche Pflichten unter der DSGVO wirklich zählen und wie Sie das Register aktuell halten, sobald die Tabelle an ihre Grenzen kommt. Keine Installation, und nichts muss vor dem Start umformatiert werden.
Was die DSGVO-VVT-Vorlage abdeckt
Die Datei ist ein einzelnes Excel-Blatt mit einer Spalte für jedes Feld, das Artikel 30 Abs. 1 verlangt: Nichts fehlt, und nichts ist aufgebläht. Von links nach rechts erhalten Sie: Name und Kontaktdaten des Verantwortlichen, plus Platz für einen etwaigen gemeinsamen Verantwortlichen, EU-Vertreter und Datenschutzbeauftragten; die Zwecke der Verarbeitung; die Kategorien betroffener Personen und die Kategorien personenbezogener Daten; die Kategorien von Empfängern, die die Daten erhalten; etwaige Übermittlungen in Drittländer und die Garantien, die sie absichern; die vorgesehenen Fristen für Speicherung oder Löschung, soweit Sie sie angeben können; und eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen nach Artikel 32.
Die erste Zeile ist mit einem realistischen Beispiel ausgefüllt, einer Verarbeitungstätigkeit zur Gehaltsabrechnung, damit Sie das Detailniveau sehen, das ein Auditor erwartet, bevor Sie Ihre eigenen Zeilen schreiben. Ein zweites Tab listet die Kategorien, die die meisten Teams wiederverwenden, etwa Beschäftigte, Kunden und Website-Besucher, damit Sie Bezeichnungen nicht von Grund auf erfinden. Löschen Sie das Beispiel, kopieren Sie das Zeilenformat und arbeiten Sie das Blatt Tätigkeit für Tätigkeit ab. Seien Sie realistisch, was den Zuschnitt dieser Arbeit angeht. Eine Zeile zu schreiben dauert Minuten. Herauszufinden, was in der Gehaltsabrechnung, im CRM und in dieser einen Legacy-Reporting-Datenbank wirklich passiert, dauert Wochen, weil die Antwort in den Köpfen von Menschen lebt und diese Menschen beschäftigt sind. Ein VVT ist eine Interview-Übung mit angehängter Tabelle.
DSGVO ehrlich betrachtet: worauf es wirklich ankommt
Ein Verzeichnis von Verarbeitungstätigkeiten ist Pflicht. Nach Artikel 30 Abs. 1 DSGVO muss ein Verantwortlicher ein schriftliches Verzeichnis seiner Verarbeitungstätigkeiten führen, und dieses Verzeichnis muss die oben genannten Felder enthalten. Es ist das Dokument, das eine Aufsichtsbehörde in einer Untersuchung zuerst anfordert, weil es zeigt, ob Sie tatsächlich wissen, welche personenbezogenen Daten Sie halten und warum. Artikel 30 gehört zu den besser formulierten Teilen der DSGVO: Er benennt die Felder, es gibt also keine Auslegungsdebatte darüber, was in das Verzeichnis gehört. Die Pflicht ist ungewöhnlich günstig zu erfüllen und ungewöhnlich teuer, wenn man sie verfehlt. Das macht sie zur ersten Aufgabe und zu einer schlechten Kandidatin fürs Aufschieben.
Zwei Punkte bringen Leute regelmäßig zu Fall. Erstens führen Verantwortliche und Auftragsverarbeiter unterschiedliche Verzeichnisse. Wenn Sie über Zwecke und Mittel der Verarbeitung entscheiden, sind Sie Verantwortlicher, und Artikel 30 Abs. 1 gilt in vollem Umfang. Wenn Sie Daten nur nach Weisung einer anderen Organisation verarbeiten, sind Sie Auftragsverarbeiter und führen das schmalere Verzeichnis nach Artikel 30 Abs. 2. Viele Organisationen sind, je nach Tätigkeit, beides und brauchen beide Verzeichnisse. Der Instinkt ist, ein Etikett für das ganze Unternehmen zu wählen, und der ist fast immer falsch. Entscheiden Sie die Rolle Tätigkeit für Tätigkeit und schreiben Sie sie in die Zeile, denn die Antwort verändert, was Sie schulden.
Zweitens hilft die Ausnahme fast nie. Artikel 30 Abs. 5 scheint Organisationen mit weniger als 250 Beschäftigten zu entlasten, aber die Ausnahme ist eng: Sie entfällt, sobald Ihre Verarbeitung mehr als nur gelegentlich erfolgt, Risiken für die Rechte der Betroffenen bergen könnte oder besondere Datenkategorien einschließt. Für die meisten realen Unternehmen trifft mindestens einer dieser Punkte immer zu, die praktische Antwort lautet also: Führen Sie ein VVT unabhängig von der Mitarbeiterzahl. Es einmal ordentlich aufzubauen ist billiger, als später über die Ausnahme zu streiten.
Ein VVT speist auch den Rest Ihres DSGVO-Programms. Es ist der Startpunkt jeder Datenschutz-Folgenabschätzung, kombinieren Sie es also mit unserer DSFA-Vorlage, und es passt direkt auf die umfassendere DSGVO-Compliance-Checkliste.
So nutzen Sie die DSGVO-VVT-Vorlage
- Laden Sie die Vorlage über das Formular oben herunter und sichern Sie eine saubere Masterkopie, bevor Sie etwas bearbeiten.
- Erfassen Sie jede Verarbeitungstätigkeit als eigene Zeile. Beginnen Sie mit den offensichtlichen: Gehaltsabrechnung, Recruiting, Marketing und Kundensupport. Wählen Sie für jede Zeile eine Flughöhe, die ein Mensch aus dem Business wiedererkennt. Register scheitern in beide Richtungen: Eine einzelne Zeile mit "Kundendaten" sagt niemandem etwas, und eine Zeile pro Datenbanktabelle wird zu einer Pflegelast, die Sie vor dem zweiten Review stillschweigend aufgeben.
- Füllen Sie für jede Zeile die Spalten aus Artikel 30 Abs. 1 von links nach rechts aus und nehmen Sie die Beispielzeile als Maßstab für die richtige Tiefe.
- Geben Sie Speicherfristen an, wo immer Sie können. Wo eine Frist wirklich unbestimmt ist, halten Sie stattdessen die Kriterien fest, nach denen Sie entscheiden. Die Speicherfrist ist die Spalte, an der die meisten Register hängen bleiben, weil sie eine Entscheidung erzwingt, die das Business bisher vermieden hat, und irgendjemand sagt immer "sicherheitshalber für immer aufbewahren". Lassen Sie das gesamte Register nicht auf diesen Streit warten. Notieren Sie die Kriterien, markieren Sie die Zeile zur Entscheidung und machen Sie weiter.
- Lassen Sie den Datenschutzbeauftragten oder Datenschutz-Lead das Verzeichnis prüfen und setzen Sie dann einen wiederkehrenden Termin für die nächste Durchsicht. Ein VVT ist nur nützlich, solange es aktuell ist.
Automatisieren Sie das in Venvera
Eine Tabelle ist der richtige Ort zum Starten und der falsche Ort zum Aufhören. Sobald sich Tätigkeiten ändern, Owner wechseln oder ein neues System anfängt, Daten zu verarbeiten, driftet eine statische VVT-Vorlage aus der Aktualität, und niemand bemerkt es bis zum Audit. Venvera hält dasselbe Verzeichnis von Verarbeitungstätigkeiten lebendig: Tätigkeiten sind mit den dahinterliegenden Systemen und Controls verknüpft, Speicherfristen und Empfänger werden an Ort und Stelle aktualisiert, und die Nachweise, die Sie für die DSGVO sammeln, werden über die anderen Frameworks wiederverwendet, gegen die Sie berichten. So dokumentieren Sie dieselbe Verarbeitung nur einmal. Wie das funktioniert, sehen Sie auf der DSGVO-Framework-Seite, Pläne starten ab 399 EUR/Monat. Die Vorlage bringt Ihnen diese Woche ein belastbares Verzeichnis; die Plattform hält es nächstes Jahr belastbar.
Häufig gestellte Fragen
Ist ein VVT nach der DSGVO verpflichtend?
Für Verantwortliche ja. Artikel 30 Abs. 1 verlangt, dass ein Verantwortlicher ein schriftliches Verzeichnis seiner Verarbeitungstätigkeiten mit den genannten Feldern führt. Auftragsverarbeiter führen das schmalere Verzeichnis nach Artikel 30 Abs. 2. Die Ausnahme nach Artikel 30 Abs. 5 für Organisationen unter 250 Beschäftigten ist eng und entfällt meist, weshalb die meisten Organisationen ohnehin ein VVT führen.
Was unterscheidet das VVT eines Verantwortlichen von dem eines Auftragsverarbeiters?
Ein Verantwortlicher entscheidet über Zwecke und Mittel der Verarbeitung und führt das umfassendere Verzeichnis nach Artikel 30 Abs. 1: Zwecke, betroffene Personen, Empfänger, Übermittlungen, Speicherfristen und Sicherheitsmaßnahmen. Ein Auftragsverarbeiter handelt auf Weisung eines Verantwortlichen und führt das schmalere Verzeichnis nach Artikel 30 Abs. 2. Organisationen, die beides tun, führen beide.
Welche Spalten sollte eine VVT-Vorlage haben?
Die Felder aus Artikel 30 Abs. 1: Kontaktdaten des Verantwortlichen und des Datenschutzbeauftragten, Zwecke der Verarbeitung, Kategorien betroffener Personen und personenbezogener Daten, Kategorien von Empfängern, Drittlandübermittlungen samt Garantien, vorgesehene Speicherfristen soweit möglich und eine allgemeine Beschreibung der Sicherheitsmaßnahmen nach Artikel 32. Diese kostenlose VVT-Vorlage enthält für jedes Feld eine Spalte.
Brauche ich noch eine DSFA, wenn ich bereits ein VVT habe?
Ja, die beiden erfüllen unterschiedliche Aufgaben. Das VVT hält fest, welche Verarbeitung stattfindet; eine Datenschutz-Folgenabschätzung bewertet das Risiko risikoreicher Verarbeitungen, bevor sie beginnen. Das VVT zeigt Ihnen oft, welche Tätigkeiten eine DSFA brauchen, weshalb Teams beides führen und verknüpfen. Mit unserer DSFA-Vorlage kommen Sie weiter.
