Tipps zum VVT: Warum Sie ein VVT im weiteren Sinne führen sollten

Das „Verzeichnis von Verarbeitungstätigkeiten“ (VVT) ist laut den deutschen Aufsichtsbehörden das „Herzstück jedes Datenschutzkonzeptes“. Doch obwohl das VVT zu Nachweis- und Dokumentationszwecken so wichtig ist, herrscht häufig Verunsicherung darüber, wie die Verarbeitungen zu erfassen sind, welche Infos in das eigene VVT gehören und wie es zu führen ist.

Auch unsere Datenschutz-Umfrage hat ergeben, dass Verantwortliche sowie interne und externe Datenschutzbeauftragte das VVT zu den drei größten Herausforderungen im Datenschutz zählen. Daher starten wir eine Themenreihe rund um das VVT. In den nächsten Wochen und Monaten erhalten Sie Praxis-Tipps zur Implementierung und zum Umgang mit dem VVT für Ihre tägliche Arbeit.

In der ersten Ausgabe geht es um die Frage: Warum Sie ein VVT „im weiteren Sinne“ führen sollten. 

Die Unterscheidung zwischen dem VVT im „engeren Sinne“ und dem VVT im „weiteren Sinne“ ergibt sich unmittelbar aus der DSGVO selbst.

Das VVT im engeren Sinne enthält lediglich die in Art. 30 Abs. 1 DSGVO ausdrücklich geforderten Pflichtinhalte. Dazu gehören allgemeine Angaben zu Verantwortlichen (Art. 30 Abs. 1 lit a DSGVO), eine Auflistung aller Verarbeitungen im Zuständigkeitsbereich (Art. 4 Ziff. 2 DSGVO) sowie spezifische Angaben zu den einzelnen Verarbeitungstätigkeiten (Art. 30 Abs. 1 lit b – g DSGVO).

Zu den spezifischen Angaben gehören:

• Zwecke
• Datenkategorien
• Betroffenenkategorien
• Empfänger:innen
• Drittlandübermittlungen
• Löschfristen
• Technische und organisatorische Maßnahmen 

Die Dokumentations-, Rechenschafts- und Nachweispflichten der Verantwortlichen, die sich aus dem Gesamtkontext der DSGVO ergeben, sprechen jedoch dafür, das VVT mit verschiedenen weiteren Informationen und Daten anzureichern:

Die Rechenschaftspflicht im Sinne von Art. 5 Abs. 2 DSGVO beispielsweise besagt, dass Sie die Grundsätze des Art. 5 Abs. 1 DSGVO – Rechtmäßigkeit, Transparenz, Datenminimierung etc. – einhalten und die Einhaltung der Grundsätze auch nachweisen können müssen. Dieser Nachweis ist allein mit den in Art. 30 DSGVO vorgeschriebenen Inhalten des VVT nicht zu leisten.

Insofern ist eine systematische betriebsinterne Erfassung von weiterführenden Angaben und Informationen notwendig. Deshalb empfehlen die deutschen Aufsichtsbehörden mehr als die in Art. 30 Abs. 1 DSGVO vorgeschriebenen Mindestinhalte im VVT zu erfassen. Dazu gehören beispielsweise die Festlegung von Verarbeitungszwecken, technische und organisatorische Maßnehmen sowie Datenschutzfolgenabschätzungen. 

Der größte Vorteil des VVT im weiteren Sinne: Sie haben alle nötigen Informationen zum Nachweis Ihrer Rechenschaftspflicht und die Pflichtangaben an einer Stelle gesammelt und strukturiert liegen. Das heißt aber nicht, dass Sie im VVT Kopien aller Verträge ablegen. Vielmehr sollten Sie das in der Organisation vorhandene Dokumentenablagesystem nutzen. Im VVT verweisen Sie dann auf die jeweiligen Ablageorte und ergänzen das Standdatum des Dokuments.

So vermeiden Sie ein unübersichtliches Nebeneinander von Dokumentenablagesystemen und Dokumentenkopien. Es entsteht kein Schattenarchiv, die Dokumente werden nur an einem Ort aktuell gepflegt und auch die Lösch- und Aufbewahrungsfristen müssen nicht doppelt oder dreifach festgelegt und angewendet werden. Stattdessen können Sie ein kohärentes Datenschutz-Management etablieren. Außerdem können Sie bei Bedarf wesentlich problemloser nachweisen, dass Ihre Verarbeitungen rechtmäßig sind und Sie auch Ihrer Rechenschaftspflicht nachkommen.