Was ist das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30?
Das Verzeichnis von Verarbeitungstätigkeiten (kurz: VVT) ist die zentrale Dokumentation, mit der Verantwortliche und Auftragsverarbeiter nachweisen, welche personenbezogenen Daten sie zu welchem Zweck, auf welcher Rechtsgrundlage und mit welchen Empfängern verarbeiten. Artikel 30 der Datenschutz-Grundverordnung (DS-GVO) verlangt diese Übersicht schriftlich — in der Praxis meist elektronisch — und hält sie für die Aufsichtsbehörde bereithaltend. Ohne VVT fehlt oft der Ausgangspunkt für Auskunftsersuchen, Löschkonzepte, Datenschutz-Folgenabschätzungen und die Bewertung technisch-organisatorischer Maßnahmen (TOMs).
Ein gutes VVT ist kein reines Formular aus der Schublade: Es spiegelt die reale Verarbeitungslandschaft Ihres Betriebs wider. Typische Einträge beschreiben etwa Personalverwaltung, Bewerbermanagement, Kunden-CRM, Newsletter, Webanalyse, Buchhaltung, Videoüberwachung oder den Betrieb einer Website mit Kontaktformular. Für jede Tätigkeit halten Sie Zweck, Kategorien betroffener Personen und Daten, Empfänger, Speicherfristen und — soweit einschlägig — Übermittlungen in Drittländer fest.
Wer braucht ein VVT — auch als KMU?
Grundsätzlich gilt die Pflicht für Verantwortliche und Auftragsverarbeiter. Für Organisationen mit weniger als 250 Beschäftigten sieht Art. 30 Abs. 5 DS-GVO Erleichterungen vor — aber nur, wenn die Verarbeitung kein Risiko für Rechte und Freiheiten birgt, nur gelegentlich erfolgt und keine besonderen Kategorien personenbezogener Daten (Art. 9) bzw. Straftatdaten (Art. 10) umfasst. Sobald Sie regelmäßig Kundendaten, Mitarbeiterdaten oder Tracking einsetzen, greifen die Erleichterungen in der Praxis selten. Deshalb führen die meisten kleinen und mittleren Unternehmen (KMU), Freiberufler mit Mitarbeitenden und Vereine mit Mitgliederverwaltung trotzdem ein Verzeichnis.
Auch Solo-Selbstständige profitieren von einer klaren Dokumentation: Sie erkennen schneller, welche Tools (Cloud-Anbieter, Newsletter-Dienste, Zahlungsdienstleister) als Auftragsverarbeiter zu behandeln sind und wo AV-Verträge fehlen. Das VVT ist damit Arbeitsinstrument und Nachweis zugleich — gegenüber Aufsicht, Kunden und internen Stakeholdern.
Vorlage ≠ Rechtsberatung
Dieser kostenlose VVT-Generator von Normenkonform erstellt aus Ihren Angaben und ausgewählten Verfahrenstexten eine herunterladbare Vorlage (u. a. HTML, Markdown, Rohtext). Die Texte sind als Arbeitsgrundlage gedacht und müssen an Ihre tatsächlichen Prozesse, Systeme und Fristen angepasst werden. Die Vorlage ersetzt keine Rechtsberatung, keine anwaltliche Prüfung und keinen bestellten Datenschutzbeauftragten. Normenkonform und dieser Generator übernehmen keine Haftung für die Vollständigkeit oder Rechtmäßigkeit Ihrer individuellen Dokumentation. Bei Unsicherheit ziehen Sie bitte eine Fachkraft für Datenschutz oder einen Rechtsanwalt hinzu.
Branchenbeispiele für typische Verarbeitungstätigkeiten
Je nach Branche unterscheiden sich die Einträge im VVT. Häufige Beispiele:
- Handwerk & Bau: Kundenstammdaten, Auftragsabwicklung, Zeiterfassung, Subunternehmer-Kommunikation
- Arztpraxis / Gesundheitswesen: Patientenverwaltung, Terminbuchung, Abrechnung — besondere Kategorien (Art. 9)
- E-Commerce & Online-Shop: Bestellprozess, Zahlungsabwicklung, Versand, Retouren, Marketing-Cookies
- IT-Dienstleister / SaaS: Support-Tickets, Remote-Zugriff, Hosting-Logs, Kundenkonten
- Steuerberatung & Buchhaltung: Mandantendaten, Lohnabrechnung, Archivierungspflichten
- Bildung & Schulen: Schüler- und Elternkontakte, Lernplattformen, Foto-/Videoaufnahmen
- Vereine & Verbände: Mitgliederverwaltung, Beitragsbuchhaltung, Newsletter, Event-Anmeldung
- Gastronomie & Hotellerie: Reservierungen, Gästekarten, Videoüberwachung, Bewerberdaten
- Immobilien & Hausverwaltung: Mieterakten, Schadensmeldungen, Zutrittskontrolle
- Produktion & Industrie: Schichtplanung, Qualitätsdaten mit Personenbezug, Lieferantenportale
Wählen Sie im Formular unten die zutreffenden Kategorien aus und prüfen Sie danach jeden generierten Abschnitt: Stimmen Zweck, Rechtsgrundlage, Empfänger und Löschfrist? Fehlen Branchen-Sonderfälle (z. B. Berufsgeheimnis, Medizinprodukte, Betriebsrat)? Nur die geprüfte, an Ihre Realität angepasste Fassung gehört in Ihr laufendes Datenschutzmanagement.
So gehen Sie weiter — drei klare Optionen
1. Kostenloser Generator
Nutzen Sie das Formular auf dieser Seite, wählen Sie Ihre Verarbeitungstätigkeiten und laden Sie Ihr VVT als ZIP herunter. Ideal als Start für Art. 30.
Zum Formular2. Volles DSMS mit DS-Easy
Wenn Sie Dokumentation, TOMs, AV-Verträge und Mandantenfähigkeit in einem System brauchen: weiter mit dem Datenschutz-Management unter ds-easy.com. DS-Easy-Preise u. a. ab ca. 9,90 € bzw. 19,90 € (netto, je nach Tarif — Angaben von DS-Easy).
Zu DS-Easy3. Externer DSB (optional)
Dieser Generator ersetzt keinen Datenschutzbeauftragten. Wenn Sie ein externes DSB-Mandat prüfen möchten, können Sie sich unabhängig bei HRES Development informieren — optional und getrennt von diesem kostenlosen Tool.
HRES DevelopmentWarum Art. 30 dokumentieren — und aktuell halten?
Aufsichtsbehörden können das Verzeichnis jederzeit anfordern. Ein gepflegtes VVT verkürzt Antwortzeiten bei Betroffenenrechten und Audit-Anfragen und macht Lücken sichtbar: fehlende AV-Verträge, unklare Löschfristen, Tools ohne dokumentierte Rechtsgrundlage. Planen Sie daher eine regelmäßige Überprüfung — etwa bei Einführung neuer Software, Wechsel des Hosters, neuen Marketing-Kanälen oder Personalwechseln in der IT. Die hier erzeugte Datei ist der Startpunkt; die Pflege bleibt Ihre organisatorische Aufgabe.
Zusammenfassung: Art. 30 verlangt Transparenz über Verarbeitungstätigkeiten. Der Generator hilft KMU und Selbstständigen, schnell eine strukturierte Vorlage zu erzeugen. Prüfen und anpassen bleiben Pflicht — Rechtsberatung und DSB-Bestellung ersetzen wir nicht. Für ein durchgängiges DSMS empfehlen wir den Upsell zu DS-Easy; für ein optionales externes DSB-Mandat steht HRES Development als Ansprechpartner außerhalb dieses Tools.