Kostenlose Vorlage (VVT) des
Verzeichnis von Verarbeitungstätigkeiten

Es ist sinnvoll, zu jeder Verarbeitungstätigkeit eine laufende Nummer zu haben, auf die man sich beziehen kann. Auch habe ich zu der Nummer der Verarbeitungstätigkeit eine gleiche Nummer für die Datenart der Löschfrist (ist bei mir eine 2. Excelliste).

Dies ist rechtlich nicht gefordert. Es macht aber Sinn, dass Sie für jede Verarbeitungstätigkeit eine kurze Bezeichnung haben. So können Sie sich auch intern in Ihrem Unternehmen besser über die jeweiligen Tätigkeiten austauschen, wenn jeder das gleiche Wording hat.

Da es keine Datenverarbeitung ohne einen Zweck geben darf, erklären Sie in dieser Spalte, warum Sie die personenbezogenen Daten verarbeiten.

Die Zwecke müssen eindeutig und so aussagekräftig sein, dass die Aufsichtsbehörde die Zulässigkeit der Verarbeitung vorläufig einschätzen kann.

Bei größeren Unternehmen empfiehlt es sich, hier den fachlich verantwortlichen Bereich für die Verarbeitung einzutragen. So können Sie später auch sehr gut filtern, welcher Fachbereich für welche Verarbeitungstätigkeit verantwortlich ist.

Bei kleineren Unternehmen können Sie diese Spalten löschen, da Sie den Verantwortlichen schon im Tab „Angaben zum Verantwortlichen“ angegeben haben.

Hier beschreiben Sie, für welche Personengruppe bzw. Kategorie von Betroffenen Sie die Daten verarbeiten.

Tun Sie sich einen Gefallen und versuchen Sie, diese Daten wirklich detailliert so darzustellen, wie ich sie in der Tabelle vorgegeben habe. Denn Sie sollten meiner Meinung nach wirklich wissen, welche Daten Sie von Ihren Kunden und Mitarbeitern GENAU verarbeiten.

Die besonderer Kategorien personenbezogener Daten (Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person) sowie sehr sensible Daten habe ich in einem Rosa zur besseren Trennung von den anderen Daten dargestellt.

Auch die Trennung von Beschäftigtendaten zu Kunden- und Lieferantendaten läßt sich in der Tabelle sehr gut darstellen.

Hier hinterlegen Sie die internen (in Ihrem Unternehmen) und externen Empfänger der von Ihnen verarbeiteten personenbezogenen Daten.

Ich habe noch unterschieden in „z“ für „Zugriff auf Daten“ und „x“ für „Übermittlung der Daten“. Das müssen Sie aber nicht, es reicht, wenn Sie überall ein „x“ eintragen (aber ein Prüfer könnte durchaus nachfragen, wer Zugriff hat und wem übermittelt wird).

Darüber hinaus hinterlegen Sie hier die Übermittlung der Daten in ein Drittland. Zu Drittländern sollte in jedem Fall eine Aussage getroffen werden, also auch angegeben werden, wenn eine Übermittlung in Drittländer nicht stattfindet und auch nicht geplant ist. Eine Übermittlung in Drittländer erfolgt auch, wenn sich dort der Server befindet oder der E-Mailversand hierüber abgewickelt wird. Ebenso kann eine Übermittlung in Drittländer vorliegen, wenn Supportdienstleistungen aus diesem erbracht werden.

Hier ist es ein wenig „tricky“, da die DSGVO die Fristen für die Löschung der Daten haben möchte, in den Empfehlungen aber von den rechtlichen Aufbewahrungsfristen die Rede ist. Denn es gibt einen Unterschied zwischen Aufbewahrungs- und Löschfristen.

Beispiel: Laut § 257 Handelsgesetzbuch, auf das oft verwiesen wird, müssen Belege für Buchungen 10 Jahre aufbewahrt werden. Also wäre die Aufbewahrungsfrist: 10 Jahre. Da im Gesetz aber  „zum Schluss eines Kalenderjahres“ angegeben ist, wäre die Aufbewahrungsfrist laut Gesetz immer noch 10 Jahre, die Löschfrist (also der Zeitpunkt, an dem die Daten spätestens gelöscht werden müssen): 11 Jahre (da es zu aufwändig ist, z.B. eine Löschfrist von 10 Jahren und 2 Monaten zu hinterlegen). Wenn das Geschäftsjahr des Unternehmens dann auch noch auf die Mitte des Jahres fällt, dann wäre die Löschfrist u.U. auch: 12 Jahre. Die rechtliche Aufbewahrungsfrist aber immer noch: 10 Jahre.

Darüber hinaus gibt es für manche Datenkategorien auch keine rechtlichen Aufbewahrungsfristen, wie z.B. für Protoll- oder Backupdaten.

Wenn Sie viele Verarbeitungen haben, würde ich an Ihrer Stelle so wie ich eine 2. Tabelle mit den Löschfristen und noch weiteren Daten zur Löschung anlegen. Sollten Sie sehr wenige Vearbeitungen haben, können Sie die Löschfristen auch direkt in die Spalte der Aufbewahrungsfristen mit eintragen, falls diese abweichend sein sollten.

Hinweis: die rechtlichen Grundlagen zum Nachweis der Rechtmäßigkeit der Verarbeitung habe ich in der Spalte „Rechtsgrundlage“ im erweiterten Teil des VVT aufgeführt.

Diese Spalte hilft Ihnen bei der besseren Trennung der personenbezogenen Daten. Denn da der Begriff „Datenkategorie“ sehr übergreifend und in der DSGVO nicht definiert ist, kommt es in meiner Beratungspraxis regelmäßig in den Fachbereichen zur totalen Verwirrung, wenn ich nur mit dem Begriff „Datenkategorie“ arbeite. So bediene ich mich der DIN 66398 und nutze die Datenarten.

Beispiel aus der Praxis: Sie haben die Verarbeitung „Personalmanagement“ mit sehr vielen Datenarten, u.a. den Datenarten Personalunterlagen, bAV-Unterlagen und Darlehensunterlagen. Jede dieser Datenart hat eine andere Aufbewahrungsfrist, eine andere Löschfrist und könnte in anderen Systemen liegen. Wenn Sie nun mit den Fachbereichen über die jeweilige Datenart reden, versteht jeder sofort, um welche Daten es sich handelt. Und sprechen Sie mit der IT über die Löschung dieser Daten, weiß auch diese (meist), was gemeint ist.

WICHTIGER HINWEIS: sollten Sie den VVT für ein größeres Unternehmen anlegen oder haben Sie einen strengen Auditor 😉 oder wollen Sie es sehr genau machen, empfiehlt sich folgendes Vorgehen: legen Sie für alle Verarbeitungen, die sehr viele Datenarten haben wie z.B. das Personalmanagement, einen 2. Tab im VVT an. Und hier hinterlegen Sie für jede Datenart in einer eigenen Zeile die Datenmerkmale (Name, Vorname usw.) und auch die genauen Prozesse rund um die Verarbeitung dieser Datenart. So wissen Sie GENAU, welche Daten sie wie verarbeiten und können auch später hier immer wieder nachschauen, auch bei Audits.