Jede Organisation, die personenbezogene Daten nach der DSGVO verarbeitet, muss ein Verzeichnis von Verarbeitungstätigkeiten führen — ein Verarbeitungsverzeichnis. DSGVO Artikel 30 ist hierzu eindeutig, und Aufsichtsbehörden fordern es routinemäßig bei Prüfungen an. Dennoch verwalten die meisten Organisationen ihr Verarbeitungsverzeichnis nach wie vor in einer Tabellenkalkulation, wobei Dateien zwischen dem DSB und den Abteilungsleitern hin- und hergeschickt werden, in der Hoffnung, dass jemand daran denkt, es zu aktualisieren, wenn ein neuer Dienst live geht.

Ein Verarbeitungsverzeichnis-Tool ersetzt diesen fragilen Arbeitsablauf durch strukturierte, verknüpfte Daten, die aktuell bleiben, während sich Ihre Organisation weiterentwickelt. In diesem Leitfaden: was ein Verarbeitungsverzeichnis-Tool tatsächlich leistet, wie es sich von allgemeiner DSGVO-Software oder einer kostenlosen Verarbeitungsverzeichnis-Vorlage unterscheidet, und wie Sie Ihr Artikel-30-Verzeichnis an einem Nachmittag aufbauen.

Was ist ein VVT?

Ein Verzeichnis von Verarbeitungstätigkeiten ist ein formelles Register, das dokumentiert, wie Ihre Organisation mit personenbezogenen Daten umgeht. Artikel 30 Absatz 1 DSGVO verlangt von Verantwortlichen die Erfassung von:

  • Name und Kontaktdaten des Verantwortlichen — einschließlich etwaiger gemeinsamer Verantwortlicher und des DSB
  • Zwecke der Verarbeitung — warum Sie jede Datenkategorie erheben und nutzen
  • Kategorien betroffener Personen — Beschäftigte, Kunden, Website-Besucher, Bewerber
  • Kategorien personenbezogener Daten — Namen, E-Mail-Adressen, Finanzdaten, Gesundheitsdaten
  • Empfänger — interne Teams, Auftragsverarbeiter und Dritte, die die Daten erhalten
  • Übermittlungen in Drittländer — und die vorhandenen Garantien (Angemessenheitsbeschlüsse, SCC, BCR)
  • Speicherfristen — wie lange jede Datenkategorie aufbewahrt wird und die Rechtsgrundlage dafür
  • Sicherheitsmaßnahmen — technische und organisatorische Maßnahmen zum Schutz der Daten

Artikel 30 Absatz 5 befreit technisch gesehen Organisationen mit weniger als 250 Beschäftigten, aber nur wenn die Verarbeitung gelegentlich erfolgt, ein geringes Risiko birgt und keine besonderen Kategorien umfasst. In der Praxis verarbeitet fast jede Organisation Beschäftigtendaten, nutzt Cookies oder verarbeitet Finanzdaten — daher greift die Ausnahme selten.

Das VVT ist das am häufigsten angeforderte Dokument, wenn eine Aufsichtsbehörde anklopft. Es bildet auch die Grundlage für Datenschutz-Folgenabschätzungen, Meldungen von Datenschutzverletzungen und Betroffenenanfragen.

Verarbeitungsverzeichnis-Tool, DSGVO-Software oder Vorlage — wo liegt der Unterschied?

Die Begriffe werden synonym verwendet, beschreiben aber drei unterschiedliche Dinge — und die richtige Wahl hängt von Größe und Reife Ihrer Organisation ab.

Verarbeitungsverzeichnis-Vorlage. Ein leeres Word-, Excel- oder PDF-Dokument mit den Spalten, die Artikel 30 verlangt. Kostenlos, schnell zu starten und ausreichend für ein Ein-Personen-Unternehmen, das kaum personenbezogene Daten verarbeitet. Nachteil: Eine Vorlage ist eine Momentaufnahme. Sobald Sie eine neue SaaS einführen oder eine Aufbewahrungsrichtlinie ändern, ist die Vorlage veraltet, ohne dass dies erkannt wird.

DSGVO-Software (allgemein). Sammelbegriff für jede Anwendung, die beim Führen eines Verarbeitungsverzeichnisses hilft. Manche DSGVO-Software ist im Kern eine digitale Vorlage mit schönerer Oberfläche — Sie tippen dieselben Daten in dieselben Felder. Andere Lösungen sind vollwertige Datenmapping-Plattformen, bei denen das Verzeichnis aus zugrunde liegenden Datensätzen generiert wird. Das Etikett "DSGVO-Software" allein sagt nichts aus; prüfen Sie, ob das Verzeichnis aus strukturierten Daten oder einem digitalen Formular entsteht.

Verarbeitungsverzeichnis-Tool. Funktional ähnlich wie DSGVO-Software, der Begriff wird aber häufiger für zweckorientierte Register-Tools verwendet. Die besten Verarbeitungsverzeichnis-Tools generieren das Artikel-30-Verzeichnis automatisch aus Ihrem Dateninventar — Dienste, Datenelemente, Rechtsgrundlagen, Speicherfristen, Übermittlungen — statt von Ihnen zu verlangen, das Verzeichnis als separates Dokument zu führen. Wenn das Inventar sich ändert, aktualisiert sich das Verzeichnis.

Welche brauchen Sie? Unter fünf Beschäftigte mit nur einfachen Kontaktdaten — eine Vorlage reicht. 10–250 Beschäftigte und mehrere SaaS-Abonnements — ein strukturiertes Verarbeitungsverzeichnis-Tool zahlt sich beim ersten Mal aus, wenn Sie es vermeiden, zwei parallele Verzeichnisse zu pflegen. Regulierte Branche (Finanzen, Gesundheit, öffentlicher Sektor) oder mehrere Tochtergesellschaften — eine vollwertige Datenmapping-Plattform mit verknüpften Datensätzen ist die richtige Wahl.

Warum Tabellenkalkulationen als Verarbeitungsverzeichnis versagen

Tabellenkalkulationen sind vertraut, flexibel und kostenlos. Sie sind jedoch ein Compliance-Risiko, wenn sie als VVT verwendet werden:

Versionskontrolle. Mehrere Personen bearbeiten verschiedene Kopien. Welche Version ist aktuell? Die auf dem geteilten Laufwerk, die der DSB letzten Monat per E-Mail verschickt hat, oder die, die die IT gestern aktualisiert hat?

Keine verknüpften Datensätze. Eine Tabellenkalkulation kann einen Dienst nicht strukturiert mit seinen Datenbeständen, Rechtsgrundlagen und Speicherfristen verbinden. Sie duplizieren Informationen über Zeilen und Tabellenblätter hinweg, und Inkonsistenzen schleichen sich ein.

Keine automatisierten Prüfungen. Eine Tabellenkalkulation teilt Ihnen nicht mit, dass drei Diensten eine Rechtsgrundlage fehlt oder dass eine Datenübermittlung in ein Nicht-EU-Land keine dokumentierte Garantie hat. Sie erfahren es erst bei einer Prüfung.

Veraltete Dokumentation. Manuelle Aktualisierungen bedeuten, dass das VVT von der Realität abweicht. Neue Dienste gehen ohne Eintrag live, alte verbleiben nach der Abschaltung. Das Verzeichnis wird zur Fiktion statt zum Nachweis.

Exportformatierung. Prüfer erwarten ein sauberes, strukturiertes Dokument — keine farbcodierte Tabelle mit ausgeblendeten Spalten und defekten Formeln.

Was ein VVT-Tool leisten sollte

Ein gutes VVT-Tool erstellt das Verzeichnis aus strukturierten Daten, anstatt von Ihnen das Ausfüllen einer flachen Tabelle zu verlangen. Achten Sie auf folgende Funktionen:

Strukturiertes Datenmodell. Dienste, Datenbestände, betroffene Personen, Zwecke, Rechtsgrundlagen, Speicherfristen, Empfänger und Übermittlungen sollten separate, verknüpfte Entitäten sein — keine Zellen in einer Zeile. Wenn Sie eine Rechtsgrundlage aktualisieren, sollte jeder darauf verweisende Dienst die Änderung widerspiegeln.

Automatische Verzeichniserstellung. Das VVT sollte sich selbst aus den bereits dokumentierten Daten zusammensetzen. Wenn Sie das Verzeichnis getrennt von Ihrem Dateninventar pflegen müssen, machen Sie die Arbeit doppelt.

Lückenerkennung. Das Tool sollte Dienste ohne Rechtsgrundlage, Datenbestände ohne Speicherfrist und Übermittlungen ohne dokumentierte Garantien kennzeichnen. Genau diese Befunde verwandeln eine Routineprüfung in ein Durchsetzungsverfahren.

Prüferfreundliche Exporte. PDF und strukturierte Formate, die ein Prüfer begutachten kann, ohne Sie bitten zu müssen, Ihr Tabellenlayout zu erklären.

Unterstützung mehrerer Projekte. Organisationen mit mehreren Geschäftsbereichen, Tochtergesellschaften oder Kundenprojekten benötigen separate Verzeichnisse, die unabhängig verwaltet werden können.

Stellen Sie bei der Bewertung von Tools eine zentrale Frage: Wird das VVT aus der tatsächlichen Datenkartierung generiert oder erfordert es eine separate manuelle Eingabe? Im letzteren Fall pflegen Sie zwei Quellen der Wahrheit — und diese werden auseinanderlaufen.

Wie Readmodel® das VVT handhabt

Readmodel® erstellt das VVT direkt aus Ihrer Datenkartierung. Es gibt kein separates VVT-Formular — das Verzeichnis setzt sich selbst aus den Diensten, Datenbeständen, Rechtsgrundlagen, Speicherfristen, Übermittlungen und Datennutzern zusammen, die Sie bereits dokumentiert haben.

Wenn Sie einen Dienst anlegen und seine Datenbestände dokumentieren, trägt jeder Bestand seine eigene Rechtsgrundlage und Speicherfrist. Übermittlungen zwischen Diensten werden mit Typ und Garantiemechanismus erfasst. Datennutzer werden mit den Diensten verknüpft, auf die sie zugreifen. All dies fließt automatisch in das VVT ein.

Das Risikoregister kennzeichnet Dienste, bei denen kritische Dokumentation fehlt — keine Rechtsgrundlage, keine Speicherfrist, kein Anmeldetyp. Dies sind die Lücken, die ein VVT-Tool aufdecken sollte, bevor ein Prüfer es tut.

Der Export erfolgt mit einem Klick: ein strukturiertes, druckfertiges Dokument mit Risikobadges, DPIA-Indikatoren und detaillierten Rechtsgrundlagen und Speicherfristen pro Datenbestand. Keine Neuformatierung nötig. Der VVT-Export ist in jedem Tarif verfügbar, einschließlich des kostenlosen Plans.

Für einen umfassenderen Vergleich von Readmodel® mit anderen Tools siehe den Vergleich von DSGVO-Compliance-Tools.

Erste Schritte mit Ihrem VVT

Der Aufbau eines VVT muss kein monatelanges Projekt sein. Hier ist ein praktischer Weg:

  1. Listen Sie Ihre Dienste auf. Beginnen Sie mit den offensichtlichen: Ihr CRM, E-Mail-Anbieter, HR-System, Cloud-Speicher. Readmodel® enthält über 200 Dienstvorlagen, um dies zu beschleunigen.
  2. Fügen Sie Datenbestände hinzu und klassifizieren Sie sie. Dokumentieren Sie für jeden Dienst, welche personenbezogenen Daten er enthält und wie sensibel diese sind.
  3. Dokumentieren Sie Rechtsgrundlagen und Speicherfristen. Jeder Datenbestand benötigt eine Rechtsgrundlage (Artikel 6) und einen Aufbewahrungsplan. Nutzen Sie die integrierten DSGVO-Vorlagen.
  4. Kartieren Sie Übermittlungen. Welche Dienste senden Daten an andere Dienste? Gibt es Übermittlungen außerhalb der EU?
  5. Exportieren Sie Ihr VVT. Überprüfen Sie es, teilen Sie es mit Ihrem DSB und halten Sie es aktuell, wenn sich Ihre Datenlandschaft verändert.

Erstellen Sie ein kostenloses Konto und haben Sie Ihr erstes VVT noch am selben Nachmittag fertig.

Verarbeitungsverzeichnis-Tool: häufig gestellte Fragen

Was ist ein Verarbeitungsverzeichnis-Tool? Ein Verarbeitungsverzeichnis-Tool ist Software, die Ihnen hilft, ein DSGVO-Artikel-30-Verzeichnis zu führen. Die besten Tools generieren das Verzeichnis automatisch aus Ihrem zugrunde liegenden Dateninventar — Dienste, Datenelemente, Rechtsgrundlagen, Speicherfristen und Übermittlungen — sodass das Artikel-30-Dokument die Realität widerspiegelt und nicht eine Momentaufnahme aus dem letzten Compliance-Projekt.

Schreibt die DSGVO ein Verarbeitungsverzeichnis-Tool vor? DSGVO Artikel 30 schreibt das Verzeichnis vor, nicht ausdrücklich ein Tool. Sie können auch mit einem Papierdokument, einer Tabellenkalkulation oder einer kostenlosen Vorlage compliant sein. In der Praxis ist es jedem Unternehmen ab einer gewissen Größe unmöglich, die Dokumentation ohne strukturiertes Tool aktuell zu halten. Aufsichtsbehörden erwarten ein Verzeichnis, das die aktuelle Verarbeitung widerspiegelt — keine Momentaufnahme aus dem Vorjahr.

Was ist der Unterschied zwischen Verarbeitungsverzeichnis-Tool und Vorlage? Eine Verarbeitungsverzeichnis-Vorlage ist ein statisches Dokument (typischerweise Word, Excel oder PDF), das Sie einmal ausfüllen. Ein Verarbeitungsverzeichnis-Tool ist Software, die das Verzeichnis kontinuierlich pflegt — idealerweise generiert aus Ihrem Dateninventar, statt jede Änderung in einer separaten Datei einzutippen.

Brauchen kleine Unternehmen ein Verarbeitungsverzeichnis-Tool? DSGVO Artikel 30 Absatz 5 befreit technisch Organisationen mit weniger als 250 Beschäftigten, aber nur wenn die Verarbeitung gelegentlich, risikoarm und ohne besondere Kategorien erfolgt. Fast jede Organisation verarbeitet Beschäftigtendaten, nutzt Cookies oder verarbeitet Finanzdaten — daher greift die Ausnahme in der Praxis selten. Wenn Sie regelmäßig personenbezogene Daten verarbeiten, brauchen Sie ein Verarbeitungsverzeichnis, und ein Tool ist meist der effizienteste Weg, es zu pflegen.

Worauf sollte ich bei DSGVO-Software achten? Fünf Funktionen: strukturierte verknüpfte Datensätze (keine flache Tabelle), automatische Verzeichniserstellung aus Ihrer Datenkarte, Lückenerkennung (fehlende Rechtsgrundlage, fehlende Speicherfrist, undokumentierte Übermittlungen), prüferfreundliche Exporte und Mehrprojekt-Unterstützung bei mehreren Geschäftsbereichen.

Wie lange dauert die Einrichtung eines Verarbeitungsverzeichnis-Tools? Mit einem vorlagengesteuerten Tool, das vorkonfigurierte Dienste und Datenelemente enthält, kann ein KMU innerhalb eines Nachmittags ein erstes Verarbeitungsverzeichnis erstellen. Größere Organisationen oder solche mit komplexer Verarbeitung benötigen typischerweise 1–2 Wochen fokussierter Arbeit, um Dienste zu inventarisieren, Daten zu klassifizieren, Rechtsgrundlagen zu dokumentieren und Übermittlungen zu kartieren.

Kann ein Verarbeitungsverzeichnis-Tool meine DSFA ersetzen? Nein. Ein Verarbeitungsverzeichnis dokumentiert alle Verarbeitungen; eine DSFA (DSGVO Art. 35) ist eine tiefergehende Bewertung für hochriskante Verarbeitung. Ein gutes Verarbeitungsverzeichnis-Tool kennzeichnet, welche Verarbeitungstätigkeiten eine DSFA erfordern, aber die Bewertung selbst ist ein separates Dokument.

Ein lebendes Dokument, keine einmalige Übung

Ein Verarbeitungsverzeichnis ist nur wertvoll, wenn es Ihre aktuelle Datenverarbeitung widerspiegelt. Eine vergessene Tabellenkalkulation aus dem Compliance-Projekt des letzten Jahres schützt niemanden. Das richtige Verarbeitungsverzeichnis-Tool macht den Unterschied zwischen einem lebenden Artikel-30-Verzeichnis, das mit Ihrer Organisation wächst, und einem statischen Dokument, das Staub ansetzt. Erstellen Sie es einmal, halten Sie es aktuell, und die nächste Prüfung wird ein Gespräch statt einer Krise.