Verzeichnis von Verarbeitungstätigkeiten (VVT) braucht fast jeder – aber wie?

Was früher das Verfahrensverzeichnis war, ist seit der DS-GVO das Verzeichnis von Verarbeitungstätigkeiten (VVT). Unverändert stellt das VVT einen zentralen Bestandteil der internen Datenschutzorganisation dar. Für jede datenverarbeitende Stelle – unabhängig ihrer Größe – ist ein VVT gesetzlich vorgeschrieben, sobald „die Verarbeitung nicht nur gelegentlich erfolgt“.  Damit stehen selbst Vereine, Kleinunternehmen oder Solo-Selbstständige in der Pflicht ein VVT zu führen. Liegt dieses nicht vor, droht ein Bußgeld in Höhe von bis zu 10 Mio. € – unabhängig von der Unternehmensgröße und ihrem Umsatz.

Grundlegendes zum VVT klären

Umso wichtiger ist eine professionelle Erstellung und Pflege des VVT. Voraussetzung für den richtigen Umgang ist zunächst Klarheit über die gesetzlichen Erfordernisse sowie über Ziel und Hintergrund eines VVT. Das Verzeichnis von Verarbeitungstätigkeiten zu erstellen stellt für Viele ein lästige Rechtspflicht dar, sollte aber als Chance gesehen werden sich selbst über einen Überblick über die internen Verarbeitungstätigkeiten zu machen. Schwierig gestaltet sich häufig die Frage nach dem Zuschneiden von Verarbeitungstätigkeiten innerhalb von Prozessen – wie lassen sich alle Prozesse in Verarbeitungstätigkeiten aufteilen ohne dabei Datenverarbeitungen zu übersehen? Schließlich verlangt die DS-GVO ein vollumfängliches VVT von jedem Verantwortlichen.

Erstellung und inhaltliche Ausgestaltung

Entscheidend bei der Arbeit mit einem VVT ist darüber hinaus die genaue operative Vorgehensweise. So muss personell festgelegt werden, wer das VVT erstmalig erstellt und wer es in der Zukunft weiter pflegt und aktuell hält. Dabei kann der betriebliche Datenschutzbeauftragte durchaus mitwirken, die DS-GVO legt ihm diese Aufgabe aber von Gesetzes wegen ausdrücklich nicht auf. Bei der Dokumentation von Verarbeitungstätigkeiten lässt sich auf Unterstützung zurückgreifen. Solche bieten beispielsweise Checklisten, Formulare oder auch entsprechende Softwares.

Gutes VVT dient als Grundlage für Datenschutz-Managementsystem

Im besten Fall soll ein VVT nicht nur als Rechtspflicht angesehen. Vielmehr birgt diese Dokumentationsanforderung das Potenzial die Grundlage für ein Datenschutz-Managementsystem darzustellen. Diese Sichtweise ermöglicht es, die aufgrund des Umfangs dem VVT inhärenten Potenziale dafür zu nutzen ein Datenschutz-Managementsystem aufzubauen, soweit noch nicht geschehen. Damit lässt sich das VVT nicht nur effektiv, sondern auch effizient nutzen. Aus diesem Grund bietet es sich an mit entsprechenden Ressourcen das VVT zu erstellen. Dafür stellt der Verantwortliche nach Möglichkeit ein Projektteam zur erstmaligen Erstellung eines vollumfänglichen VVT zusammen und lässt dieses sämtliche Verarbeitungstätigkeit identifizieren und hochwertig dokumentieren.

Tipp: Gemeinsam Datenschutz gestalten mit dem DataAgenda Datenschutz Manager

Mit dem webbasierten Management-System erfassen, verwalten und dokumentieren Sie alle Maßnahmen zum Datenschutz und erfüllen Ihre Rechenschaftspflicht gemäß DS-GVO.

In diesem Video sehen Sie anhand eines Praxisbeispiels, wie Sie mit der Datenschutz-Manager-Software ein Verzeichnis der Verarbeitungstätigkeiten (VVT) Schritt für Schritt erstellen. 

>> zum DataAgenda Datenschutz Manager

Beitragsbild: stock.adobe.com/Tiko