Verzeichnis von Verarbeitungstätigkeiten
Auch: VVT · Art. 30 DSGVO · Verarbeitungsverzeichnis
Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist eine nach Art. 30 DSGVO vorgeschriebene Dokumentation, in der ein Unternehmen alle Prozesse festhält, bei denen personenbezogene Daten verarbeitet werden – von Zweck und Rechtsgrundlage über die Kategorien der betroffenen Personen bis zu Löschfristen und eingesetzten Dienstleistern.
Ausführliche Erklärung
Für Maklerbüros ist das VVT das zentrale Dokument der Datenschutzorganisation, weil es alle anderen Datenschutzpflichten (Löschkonzept, Rechtsgrundlagen, Auftragsverarbeiterverträge, TOM) an einer Stelle bündelt.
Wichtige Praxispunkte:
- Pflicht auch für kleine Büros: Die frühere Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern (Art. 30 Abs. 5 DSGVO) greift in der Praxis kaum, da Maklertätigkeit typischerweise eine "nicht nur gelegentliche" Verarbeitung personenbezogener Daten darstellt und häufig auch besondere Kategorien (z. B. Gesundheitsdaten bei Behindertengerechtigkeit von Wohnungen) oder ein Risiko für Betroffene mit sich bringt – daher müssen praktisch alle Maklerbüros ein VVT führen.
- Typische Verarbeitungen im VVT eines Maklers: Interessentenverwaltung, Objektvermarktung, Bonitätsprüfung, Vertragsabwicklung, Buchhaltung/Provisionsabrechnung, Marketing/Newsletter, Videoüberwachung von Objekten, Website-Tracking, Personalverwaltung.
- Pflichtangaben je Verarbeitung (Art. 30 Abs. 1 DSGVO): Name und Kontaktdaten des Verantwortlichen, Zwecke der Verarbeitung, Kategorien betroffener Personen und Daten, Kategorien von Empfängern (z. B. Notare, Finanzierungsberater), geplante Löschfristen, Beschreibung der technisch-organisatorischen Maßnahmen, ggf. Angaben zu Drittlandübermittlungen.
- Format: Es gibt keine gesetzlich vorgeschriebene Form – üblich sind Excel-Tabellen, spezialisierte Datenschutz-Software oder Vorlagen der IHK/Berufsverbände. Wichtig ist, dass das VVT aktuell gehalten und bei neuen Verarbeitungen (z. B. neuer CRM-Anbieter, neues Marketing-Tool) ergänzt wird.
- Vorlagepflicht: Das VVT muss der Aufsichtsbehörde auf Anfrage vorgelegt werden können (Art. 30 Abs. 4 DSGVO) – es ist damit das erste Dokument, das bei einer Datenschutzprüfung angefordert wird.
- Bezug zur Rechenschaftspflicht: Das VVT ist der wichtigste Einzelnachweis für die generelle Rechenschaftspflicht des Verantwortlichen nach Art. 5 Abs. 2 DSGVO.
Beispiel aus der Praxis
Ein Maklerbüro führt ein Verzeichnis von Verarbeitungstätigkeiten, in dem für die Verarbeitung "Interessentenverwaltung" Zweck (Vermittlung von Kaufobjekten), Rechtsgrundlage (Vertragserfüllung/vorvertragliche Maßnahmen), betroffene Datenkategorien (Name, Kontaktdaten, Finanzierungsnachweis), Löschfrist (zwölf Monate nach letztem Kontakt ohne Vertragsabschluss) und eingesetzte Dienstleister (CRM-Anbieter mit AVV) dokumentiert sind. Bei einer Anfrage der Landesdatenschutzbehörde kann das Büro dieses Verzeichnis innerhalb weniger Minuten vorlegen.
Rechtsgrundlage
- Art. 30 DSGVO – Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten mit den erforderlichen Pflichtangaben.
- Art. 5 Abs. 2 DSGVO – Rechenschaftspflicht als übergeordnete Grundlage.
- Art. 83 Abs. 4 lit. a DSGVO – Bußgeldbewehrung bei fehlendem oder unvollständigem VVT.