Artikel 30 Absatz 1 DSGVO einfach erklärt: Das Verzeichnis von Verarbeitungstätigkeiten

Artikel 30 Absatz 1 DSGVO verpflichtet Sie dazu, ein schriftliches Verzeichnis darüber zu führen, welche personenbezogenen Daten Sie in Ihrem Unternehmen verarbeiten, zu welchem Zweck und unter welchen Bedingungen.

Ein solches Verzeichnis ist also eine Art "Daten-Inventar", in dem Sie dokumentieren:

• Welche Daten Sie verarbeiten
• Warum Sie diese verarbeiten
• Von wem Sie die Daten haben
• Wie lange Sie sie aufbewahren
• Wer Zugriff auf diese Daten hat
• Welche Sicherheitsmaßnahmen Sie zum Schutz der Daten ergreifen

Diese Pflicht hilft nicht nur Behörden, sondern auch Ihnen selbst dabei, den Überblick über Ihre Datenverarbeitung zu behalten – und rechtssicher zu handeln.

Viele Unternehmen glauben, dass nur große Firmen mit vielen Mitarbeitern ein solches Verzeichnis führen müssen. Das stimmt so nicht. Artikel 30 DSGVO gilt grundsätzlich für alle Organisationen, die personenbezogene Daten verarbeiten – auch wenn sie nur wenige Mitarbeiter haben.

Nur wer weniger als 250 Mitarbeiter beschäftigt und nicht regelmäßig besonders schützenswerte Daten verarbeitet, kann unter bestimmten Bedingungen von der Pflicht befreit sein.

Doch sobald Sie regelmäßig mit personenbezogenen Daten arbeiten – etwa im Vertrieb, bei der Kundenverwaltung oder im Personalwesen – müssen Sie ein VVT führen.

• Ein Friseursalon mit 5 Angestellten, der Kundendaten für Terminbuchungen speichert – muss ein VVT führen.
• Ein Steuerberater, der Mandantendaten verarbeitet – muss ein VVT führen.
• Ein Online-Shop mit 3 Mitarbeitern, der Bestellungen abwickelt – muss ein VVT führen.

Merksatz: Wenn Sie personenbezogene Daten regelmäßig verarbeiten, brauchen Sie ein Verzeichnis – unabhängig von der Unternehmensgröße.

Personenbezogene Daten sind alle Informationen, mit denen eine Person direkt oder indirekt identifiziert werden kann.

Dazu zählen zum Beispiel:

• Name, Adresse, Telefonnummer
• E-Mail-Adressen
• Kundennummern
• Bankverbindungen
• Geburtsdaten
• Standortdaten
• IP-Adressen
• Gesundheitsdaten

Auch scheinbar harmlose Informationen wie Nutzerverhalten auf Ihrer Website oder Fotos zählen dazu.

Artikel 30 Absatz 1 DSGVO schreibt genau vor, welche Angaben im VVT enthalten sein müssen. Hier sind die wichtigsten Punkte:

Das sind Ihre Daten oder die Ihres Unternehmens.

Beispiel:
Max Mustermann
Musterfirma GmbH
Musterstraße 1
12345 Musterstadt
E-Mail: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.

Hier beschreiben Sie, warum Sie die Daten verarbeiten.

Beispiele:

• Verwaltung von Kundendaten
• Durchführung von Bewerbungsverfahren
• Lohnabrechnung für Mitarbeiter
• Versand von Newslettern

Geben Sie an, welche Personengruppen betroffen sind.

Beispiele:

• Kunden
• Mitarbeiter
• Lieferanten
• Bewerber
• Websitebesucher

Hier listen Sie auf, welche Datenarten verarbeitet werden.

Beispiele:

• Namen
• Adressen
• Telefonnummern
• Geburtsdaten
• E-Mail-Adressen
• Bankverbindungen
• IP-Adressen

Wer bekommt Zugriff auf die Daten? Intern oder extern?

Beispiele:

• Steuerberater
• IT-Dienstleister
• Hosting-Anbieter
• Versanddienstleister (z. B. DHL)

Werden Daten außerhalb der EU übermittelt? Wenn ja, wohin?

Beispiel:
Bei Nutzung von Google Analytics oder US-basierten Cloud-Diensten erfolgt eine Übermittlung in die USA.

Wie lange bewahren Sie die Daten auf? Geben Sie hier konkrete Fristen an.

Beispiele:

• Kundendaten: 10 Jahre (steuerrechtliche Aufbewahrungspflicht)
• Bewerberdaten: 6 Monate nach Absage
• Newsletter-Abonnenten: Bis Widerruf

Was tun Sie, um die Daten zu schützen?

Beispiele:

• Zugang nur für berechtigte Personen
• Passwörter und Verschlüsselung
• Regelmäßige Backups
• Schulungen für Mitarbeiter

Ein gut geführtes Verzeichnis bietet Ihnen viele Vorteile:

• Sie erfüllen Ihre gesetzliche Pflicht
• Sie behalten den Überblick über Ihre Datenverarbeitung
• Sie sind bei Datenschutzprüfungen vorbereitet
• Sie zeigen Verantwortung gegenüber Kunden und Mitarbeitern
• Sie schützen Ihr Unternehmen vor Bußgeldern

Wichtig: Die Datenschutzaufsichtsbehörde kann jederzeit verlangen, dass Sie Ihr Verzeichnis vorlegen. Deshalb sollte es aktuell und vollständig sein.

Im Internet finden Sie viele kostenlose Vorlagen, zum Beispiel von Datenschutzbehörden oder Industrie- und Handelskammern. Diese helfen Ihnen beim Einstieg.

Es gibt digitale Tools, mit denen Sie Ihr Verzeichnis bequem online pflegen können. Diese bieten oft Erinnerungen und Checklisten.

Mindestens einmal im Jahr sollten Sie Ihr Verzeichnis überprüfen und bei Änderungen sofort aktualisieren.

Wenn Sie unsicher sind, ob eine Verarbeitung aufgenommen werden muss – nehmen Sie sie lieber auf. Das zeigt Ihre Sorgfalt.

Fragen Sie in allen Abteilungen nach, welche Daten dort verarbeitet werden. Nur so wird das Verzeichnis vollständig.

Nein. Das Verzeichnis von Verarbeitungstätigkeiten ist nicht öffentlich. Es muss nur auf Anfrage der Datenschutzaufsicht vorgelegt werden.

Ohne VVT verstoßen Sie gegen Artikel 30 DSGVO. Das kann zu Bußgeldern führen. Auch bei Datenschutzverletzungen fehlt Ihnen ohne VVT ein wichtiger Nachweis Ihrer Pflichten.

Immer wenn sich etwas ändert – etwa ein neuer Dienstleister oder ein neuer Zweck der Datenverarbeitung. Mindestens einmal jährlich sollten Sie es überprüfen.

Artikel 30 Absatz 1 DSGVO klingt zunächst bürokratisch – ist aber in der Praxis gut umsetzbar. Wenn Sie strukturiert vorgehen, klare Vorlagen nutzen und regelmäßig prüfen, sind Sie gut aufgestellt.

Ein aktuelles und vollständiges Verzeichnis schützt nicht nur die Daten Ihrer Kunden, Mitarbeiter und Partner, sondern auch Ihr Unternehmen – vor rechtlichen Risiken, Bußgeldern und Imageverlust.

Sprechen Sie uns gerne an - wir unterstützen Sie in der einfachen und pragmatischen Umsetzung Ihrer Datenschutzgrundlagen. Schaffen Sie mit uns Vertrauen bei Ihren Kunden, Beschäftigen und Partnern. 

Vereinbaren Sie einen Gesprächstermin. Oder senden Sie uns einfach eine Nachricht. Wir freuen uns, Sie kennenzulernen!

Ihr Team von Datenschutz Prinz