Kurz beantwortet: Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist die dokumentierte Übersicht, welche personenbezogenen Daten Sie zu welchem Zweck, auf welcher Rechtsgrundlage und mit welchen Empfängern verarbeiten (Art. 30 DSGVO). Für ein SaaS-Unternehmen mit laufender Kunden- und Nutzerdatenverarbeitung greift die Ausnahme für kleinere Unternehmen praktisch nie, weshalb fast jeder Anbieter ein Verzeichnis führt.

Das Wichtigste in Kürze

  • Das Verzeichnis von Verarbeitungstätigkeiten dokumentiert, welche personenbezogenen Daten Sie zu welchem Zweck, auf welcher Rechtsgrundlage und mit welchen Empfängern verarbeiten (Art. 30 DSGVO).
  • Die Ausnahme für Unternehmen unter 250 Mitarbeitern entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt, weshalb sie für die laufende Datenverarbeitung eines SaaS-Unternehmens praktisch nie greift.
  • Ein SaaS-Unternehmen ist häufig zugleich Verantwortlicher und Auftragsverarbeiter und führt deshalb beide Fassungen des Verzeichnisses.
  • Das Verzeichnis ist die Grundlage für AVV, TOMs, Löschkonzept und die Beantwortung von Betroffenenanfragen und lässt sich bei einer Datenpanne, Behördenanfrage oder einem Kunden-Audit sofort vorlegen.

Was genau verlangt Art. 30 DSGVO?

Das Verzeichnis von Verarbeitungstätigkeiten klingt nach Bürokratie und wird deshalb gern aufgeschoben. Dabei ist es die Landkarte Ihres Datenschutzes und zugleich der erste Nachweis, den eine Aufsichtsbehörde oder ein Enterprise-Kunde sehen will. Für Softwareunternehmen führt an ihm praktisch kein Weg vorbei.

Das Verzeichnis nach Art. 30 DSGVO ist die dokumentierte Übersicht, welche personenbezogenen Daten Sie zu welchem Zweck, auf welcher Rechtsgrundlage, mit welchen Empfängern und mit welchen Löschfristen verarbeiten. Es gibt eine Version für den Verantwortlichen (Abs. 1) und eine schlankere für den Auftragsverarbeiter (Abs. 2). Ein SaaS-Unternehmen ist oft beides zugleich und führt entsprechend beide Fassungen.

Greift die 250-Mitarbeiter-Ausnahme für Sie?

Ein verbreiteter Irrtum lautet: „Wir sind unter 250 Mitarbeiter, also brauchen wir kein VVT.“ Zwar nimmt Art. 30 Abs. 5 DSGVO kleinere Unternehmen grundsätzlich aus, die Ausnahme entfällt aber, sobald die Verarbeitung ein Risiko birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien betrifft. Bei einem Software-Unternehmen mit laufender Kunden- und Nutzerdatenverarbeitung ist „nicht nur gelegentlich“ der Normalfall. In der Praxis führt also fast jedes SaaS-Unternehmen ein Verzeichnis.

Wie schlank darf ein VVT bleiben?

Ein VVT muss nicht monströs sein, sondern die tatsächlichen Verarbeitungen vollständig und aktuell abbilden, nicht möglichst dick sein. Sinnvoll ist eine schlanke, gepflegte Struktur, die pro Verarbeitungstätigkeit die geforderten Angaben knapp erfasst und sich ohne großen Aufwand fortschreiben lässt, wenn neue Tools oder Prozesse dazukommen.

Wofür brauchen Sie das Verzeichnis im Alltag?

Das VVT ist mehr als eine Pflichtübung. Wer es führt, hat den Überblick, welche Daten wohin fließen, die Grundlage für AVV, TOMs, Löschkonzept und die Beantwortung von Betroffenenanfragen. Im Ernstfall, bei Datenpanne, Behördenanfrage oder Kunden-Audit, ist es das Dokument, das Sie sofort vorlegen können, statt es unter Druck zu rekonstruieren. Auf welcher Rechtsgrundlage die einzelnen Verarbeitungen im Verzeichnis beruhen, ordnet der Beitrag zu den Rechtsgrundlagen nach Art. 6 DSGVO ein.

Häufige Fragen

Wer muss ein Verarbeitungsverzeichnis führen?

Grundsätzlich jeder Verantwortliche und jeder Auftragsverarbeiter. Die Ausnahme für Unternehmen unter 250 Mitarbeitern entfällt bereits, sobald die Verarbeitung ein Risiko birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien betrifft, sodass ein SaaS-Unternehmen mit laufender Kunden- und Nutzerdatenverarbeitung regelmäßig ein Verzeichnis führt.

Was gehört in ein Verarbeitungsverzeichnis?

Das Verzeichnis erfasst pro Verarbeitungstätigkeit, welche personenbezogenen Daten Sie zu welchem Zweck, auf welcher Rechtsgrundlage, mit welchen Empfängern und mit welchen Löschfristen verarbeiten. Für den Verantwortlichen gilt die ausführlichere Fassung nach Absatz 1, für den Auftragsverarbeiter die schlankere nach Absatz 2.

Reicht ein schlankes Verzeichnis aus?

Ja. Das Verzeichnis muss die tatsächlichen Verarbeitungen vollständig und aktuell abbilden, nicht möglichst umfangreich sein. Sinnvoll ist eine schlanke Struktur, die sich ohne großen Aufwand fortschreiben lässt, wenn neue Tools oder Prozesse hinzukommen.

Wozu dient das Verzeichnis im Alltag?

Es verschafft Ihnen den Überblick, welche Daten wohin fließen, und bildet die Grundlage für AVV, TOMs, Löschkonzept und die Beantwortung von Betroffenenanfragen. Bei einer Datenpanne, Behördenanfrage oder einem Kunden-Audit ist es das Dokument, das Sie sofort vorlegen können, statt es unter Druck zu rekonstruieren.

Quellen & Rechtsgrundlagen

Sie wollen ein schlankes, belastbares Verarbeitungsverzeichnis aufsetzen, das aktuell bleibt? In einem 30-minütigen Erstgespräch klären wir den pragmatischen Zuschnitt. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

→ Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen

→ Erstgespräch anfragen