Eine Vorlage für das Verzeichnis von Verarbeitungstätigkeiten hilft, personenbezogene Daten nach ihren tatsächlichen Verarbeitungszwecken zu ordnen. Sie ersetzt jedoch nicht die Ermittlung der Abläufe. Ein brauchbares VVT zeigt, welche Personengruppen betroffen sind, welche Daten verarbeitet werden, wer sie erhält und welche Löschfristen sowie Sicherheitsmaßnahmen vorgesehen sind. Die Angaben müssen zu den eingesetzten Systemen und der Arbeit der Fachabteilungen passen.
Dieser Beitrag enthält eine anpassbare Struktur für Verantwortliche, einen Beispieleintrag und eine eigene Vorlage für Auftragsverarbeiter. Er trennt die gesetzlichen Pflichtangaben von sinnvollen Ergänzungen wie Rechtsgrundlage, Zuständigkeit und Prüfdatum. Für die systematische Einordnung stehen der VVT-Leitfaden und die Erläuterung des Art. 30 DSGVO zur Verfügung; hier geht es um das Ausfüllen und Pflegen eines konkreten Musters.
Wer muss ein Verzeichnis führen?
Art. 30 verpflichtet grundsätzlich Verantwortliche und Auftragsverarbeiter, jeweils für ihre Rolle ein Verzeichnis zu führen. Die Ausnahme für Unternehmen oder Einrichtungen mit weniger als 250 Beschäftigten ist an die Verarbeitung geknüpft. Sie greift für die betreffende Tätigkeit nicht, wenn diese voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen birgt, nicht nur gelegentlich erfolgt oder besondere Kategorien nach Art. 9 beziehungsweise Daten nach Art. 10 umfasst. Einer dieser Ausschlussgründe genügt.
Es geht beim Risikokriterium nicht erst um ein hohes Risiko wie bei der Datenschutz-Folgenabschätzung. Die laufende Lohnabrechnung oder regelmäßige Kundenverwaltung ist zudem nicht nur gelegentlich. Deshalb kann ein kleines Unternehmen für solche Tätigkeiten zur Dokumentation verpflichtet sein. Daraus folgt aber keine undifferenzierte Aussage, dass die Beschäftigtenzahl stets unbeachtlich oder jede beliebige Einzeltätigkeit automatisch von der Ausnahme ausgeschlossen wäre.
Das Kurzpapier Nr. 1 der Datenschutzkonferenz erläutert diese Kriterien. Dokumentieren Sie eine beanspruchte Ausnahme nachvollziehbar für den betreffenden Vorgang. Auch wenn die Registerpflicht ausnahmsweise nicht besteht, entfallen dadurch weder die übrigen DSGVO-Pflichten noch die Notwendigkeit, die Rechtmäßigkeit der eigenen Verarbeitung beurteilen zu können.
Ein Dienstleister kann beide Rollen haben: Für die eigene Personalverwaltung handelt er als Verantwortlicher, während er bestimmte Kundendaten im Auftrag verarbeitet. Maßgeblich sind die tatsächlichen Entscheidungen über Zwecke und wesentliche Mittel. Nutzen Sie die Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter, bevor Sie die passende Registervorlage auswählen. Nicht jede eingekaufte Dienstleistung ist Auftragsverarbeitung.
Welche Angaben verlangt Art. 30 tatsächlich?
Art. 30 Abs. 1 gliedert die Angaben für Verantwortliche in sieben Buchstaben. Diese lassen sich in einer Tabelle in mehr oder weniger einzelne Felder aufteilen; daraus entsteht keine gesetzliche Vorgabe von genau neun Spalten. Zu erfassen sind zunächst Namen und Kontaktdaten des Verantwortlichen sowie gegebenenfalls gemeinsam Verantwortlicher, des Vertreters und des Datenschutzbeauftragten.
Hinzu kommen die Verarbeitungszwecke, die Kategorien betroffener Personen und die Kategorien personenbezogener Daten. Ebenfalls erforderlich sind die Kategorien von Empfängern, einschließlich Empfängern in Drittländern oder internationalen Organisationen. Bei einschlägigen Übermittlungen werden das Drittland beziehungsweise die internationale Organisation und die weiteren Angaben nach Art. 30 Abs. 1 Buchstabe e dokumentiert.
Soweit möglich gehören die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien und eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen nach Art. 32 Abs. 1 dazu. Die Einschränkung „wenn möglich“ ist kein Anlass, diese Felder standardmäßig leer zu lassen. Wer die Frist noch nicht bestimmen kann, sollte die offene Frage klären und die Arbeit daran nachvollziehbar machen.
Die Rechtsgrundlage wird in Art. 30 Abs. 1 nicht ausdrücklich als Registerfeld genannt. Ihre Ermittlung und Dokumentation ist dennoch für die Rechenschaftspflicht wesentlich; ein entsprechendes Zusatzfeld ist praktisch sinnvoll. Dasselbe gilt für interne Verantwortlichkeiten, Systemnamen und Verweise auf weitere Nachweise. Kennzeichnen Sie solche Ergänzungen, damit gesetzlicher Mindestinhalt und interne Arbeitsorganisation nicht verwechselt werden.
Vorlage: Stammdaten des Verantwortlichen
Die Stammdaten können für mehrere Tätigkeiten gemeinsam geführt werden. Sie müssen dann eindeutig mit den einzelnen Einträgen verbunden sein. Bei mehreren Gesellschaften reicht ein Konzernname ohne Zuordnung nicht aus. Prüfen Sie außerdem, ob tatsächlich gemeinsame Verantwortlichkeit vorliegt oder verschiedene Verantwortliche jeweils eigene Zwecke verfolgen.
Stammdaten zum Verzeichnis nach Art. 30 Abs. 1 DSGVO
Verantwortlicher: [vollständiger Name und Kontaktdaten].
Gegebenenfalls gemeinsam Verantwortlicher: [Name, Kontaktdaten und Zuordnung zur Tätigkeit].
Gegebenenfalls Vertreter: [Name und Kontaktdaten].
Gegebenenfalls Datenschutzbeauftragter: [Name und Kontaktdaten].
Interne Ergänzungen: [zuständige Stelle für die Pflege, Version und Datum].
Übernehmen Sie nur tatsächlich bestehende Rollen. Ein Unternehmen ohne bestellten Datenschutzbeauftragten sollte keinen Mitarbeiter allein wegen seiner Zuständigkeit für diese Tabelle als Datenschutzbeauftragten ausweisen. Umgekehrt ersetzt die Benennung einer pflegenden Person nicht die Prüfung, ob eine gesetzliche Benennungspflicht besteht. Die Unternehmensleitung bleibt für die Organisation der Pflichterfüllung verantwortlich.
Vorlage: Eintrag je Verarbeitungstätigkeit
Die folgende Struktur ist als Arbeitsmuster gedacht. Platzhalter müssen durch konkrete Angaben oder nachvollziehbare Verweise ersetzt werden. Es ist zulässig, dieselbe Sicherheitsbeschreibung für mehrere passende Tätigkeiten zu nutzen, sofern die Zuordnung eindeutig bleibt und besondere Anforderungen nicht verdeckt werden.
| Feld | Einzutragende Information | Einordnung |
|---|---|---|
| Tätigkeit und Kennung | [konkrete Bezeichnung und interne Kennung] | Organisatorische Ergänzung |
| Zuordnung zu Stammdaten | [Verantwortlicher und gegebenenfalls weitere Rollen] | Art. 30 Abs. 1 a |
| Zwecke | [bestimmte Zwecke der Verarbeitung] | Art. 30 Abs. 1 b |
| Betroffene Personen | [Personengruppen] | Art. 30 Abs. 1 c |
| Personenbezogene Daten | [Datenkategorien, besondere Kategorien gesondert kenntlich machen] | Art. 30 Abs. 1 c |
| Empfänger | [Empfängerkategorien einschließlich Drittlandbezug] | Art. 30 Abs. 1 d |
| Drittlandübermittlungen | [gegebenenfalls Land oder Organisation und gesetzlich verlangte Angaben] | Art. 30 Abs. 1 e |
| Löschung | [wenn möglich Fristen je Datenkategorie und Fristbeginn] | Art. 30 Abs. 1 f |
| Sicherheitsmaßnahmen | [wenn möglich allgemeine Beschreibung oder konkreter Dokumentverweis] | Art. 30 Abs. 1 g |
| Rechtsgrundlage und Nachweise | [Art. 6, gegebenenfalls Art. 9 oder 10 und ergänzendes Recht] | Ergänzung zur Rechenschaftspflicht |
| Systeme und Zuständigkeit | [Anwendungen, fachliche Ansprechperson, Prüfdatum] | Organisatorische Ergänzung |
Beispiel: Bewerbermanagement richtig abgrenzen
Das folgende vereinfachte Beispiel zeigt die Struktur eines Eintrags. Es ist kein Beleg dafür, dass ein bestimmtes Bewerbungsverfahren rechtmäßig ist. Insbesondere zusätzliche Eignungstests, Hintergrundprüfungen oder eine langfristige Aufnahme in einen Bewerberpool benötigen eine eigene Prüfung und gegebenenfalls eine getrennte Beschreibung.
Tätigkeit: Bearbeitung von Bewerbungen für konkret ausgeschriebene Stellen.
Zweck: Entscheidung über die Besetzung der jeweiligen Stelle.
Betroffene: Bewerberinnen und Bewerber.
Datenkategorien: Kontaktdaten, beruflicher Werdegang, Qualifikationsnachweise und erforderliche Auswahlvermerke. Zusätzliche Angaben gesondert auf ihre Erforderlichkeit prüfen.
Empfänger: Zuständige Personalstelle, an der Auswahl beteiligte Fachverantwortliche und gegebenenfalls eingesetzter Bewerbungsdienstleister in geprüfter Rolle.
Übermittlungen: [tatsächliche Länder und einschlägige Regelungen nach Prüfung der Dienstleister und Zugriffe].
Löschung: [konkret festgelegte Fristen, Auslöser und eng begrenzte Aufbewahrung bei Rechtsansprüchen].
Maßnahmen: Rollenbezogene Zugriffe, geschützte Übertragung und dokumentierte Löschung; Verweis auf [zugehörige aktuelle Sicherheitsbeschreibung].
Zusatzfeld Rechtsgrundlage: Erforderlichkeit für die Einstellungsentscheidung unter Berücksichtigung von § 26 BDSG, DSGVO und anwendbarer Rechtsprechung geprüft; Ergebnis und besondere Verarbeitungsschritte unter [Nachweis].
§ 26 BDSG nennt die Entscheidung über die Begründung eines Beschäftigungsverhältnisses und erfasst auch Bewerber. Der Verweis erlaubt nicht jede Information, die für die Personalabteilung interessant sein könnte. Prüfen Sie den konkreten Zweck und die Erforderlichkeit sowie den unionsrechtlichen Rahmen. Ein Feld für Gesundheitsangaben benötigt außerdem eine gesonderte Prüfung der Voraussetzungen für besondere Kategorien.
Eine pauschale „gesetzliche Löschfrist von sechs Monaten“ für alle abgelehnten Bewerbungen ist falsch. § 15 Abs. 4 AGG enthält grundsätzlich eine zweimonatige Frist zur schriftlichen Geltendmachung bestimmter Ansprüche, keine allgemeine sechsmonatige Speicherpflicht für Bewerbungsunterlagen. Prozessuale Fristen und konkrete Ansprüche können zusätzlich relevant sein. Legen Sie die Aufbewahrung begründet fest und begrenzen Sie den Zugriff während einer notwendigen weiteren Speicherung.
Wenn die Person in einen Bewerberpool aufgenommen werden soll, ändern sich Zweck und Dauer. Kopieren Sie nicht einfach den Eintrag für die abgeschlossene Stellenbesetzung. Klären Sie die Rechtsgrundlage, die Information der Person, die tatsächliche Auswahlpraxis und den Zeitraum. Auch die Weiterleitung an eine andere Konzerngesellschaft ist ein eigener Datenfluss, der nicht in der allgemeinen Bezeichnung Personalverwaltung verschwinden sollte.
Zwecke und Datenflüsse statt bloßer Softwarelisten
Ein Eintrag beschreibt eine sachlich zusammenhängende Tätigkeit. Die installierte Software ist dafür ein Hilfsmittel, aber nicht immer die passende Einheit. Ein CRM kann Angebotsbearbeitung, Vertragsverwaltung und Werbeauswertungen unterstützen. Unterschiedliche Zwecke, Betroffenengruppen oder Aufbewahrungsregeln können getrennte Einträge sinnvoll machen. Umgekehrt kann eine Tätigkeit mehrere Systeme, Papierunterlagen und externe Dienstleister umfassen.
Befragen Sie die Fachabteilung deshalb nach konkreten Arbeitsschritten. Wo kommen Daten an, wer bearbeitet sie, welche Entscheidung wird getroffen und wohin gehen sie anschließend? Vergleichen Sie diese Antworten mit der Liste eingesetzter Anwendungen und Verträge. So werden etwa lokale Exportdateien oder zusätzliche Versanddienste sichtbar, die ein ausschließlich von der IT erstelltes Inventar möglicherweise nicht vollständig abbildet.
Nicht jede neue Anwendung benötigt automatisch einen vollständig neuen Registereintrag. Wenn sie lediglich ein bisheriges System für denselben Zweck ersetzt, kann eine Aktualisierung genügen. Ändern sich durch das neue System jedoch Datenumfang, Empfänger, Übermittlungen oder Entscheidungen, müssen diese Auswirkungen geprüft und dokumentiert werden. Entscheidend ist die Veränderung der Verarbeitung, nicht allein der Produktname.
Bei den Rechtsgrundlagen vermeiden Sie pauschale Zuordnungen. Kundenverwaltung ist nicht immer vollständig durch Vertragserfüllung gedeckt; Art. 6 Abs. 1 b setzt insbesondere den erforderlichen Bezug zu einem Vertrag mit der betroffenen Person voraus. Ansprechpartner eines Unternehmenskunden sind nicht allein wegen ihrer Funktion selbst Vertragspartei. Wird berechtigtes Interesse herangezogen, braucht es eine konkrete Prüfung von Interesse, Erforderlichkeit und entgegenstehenden Rechten.
Empfänger, Auftragsverarbeiter und Drittländer erfassen
Art. 30 verlangt Empfängerkategorien. Konkrete Dienstleisternamen und Verweise auf Vertragsakten können darüber hinaus die Pflege erleichtern. Beschreiben Sie die Rolle verständlich, etwa ausgelagerte Lohnabrechnung oder technischer Hostingdienst. Ein Sammelbegriff wie externe Partner verhindert häufig, dass später jemand die tatsächlichen Datenflüsse nachvollziehen kann.
Für echte Auftragsverarbeitung ist ein AVV oder ein anderer bindender Rechtsakt nach Unionsrecht beziehungsweise mitgliedstaatlichem Recht erforderlich; die Regelung muss schriftlich vorliegen, auch elektronisch. Ein selbstständig verantwortlicher Empfänger wird dagegen nicht durch ein so überschriebenes Dokument zum Auftragsverarbeiter. Ordnen Sie die Rolle zuerst ein und dokumentieren Sie dann die passende Regelung.
Beim Drittlandfeld bedeutet ein europäischer Serverstandort nicht automatisch, dass keine Übermittlung stattfindet. Prüfen Sie auch externe Supportzugriffe, Unterauftragnehmer und weitere Empfänger. Art. 30 verlangt bei einschlägigen Übermittlungen die Angabe des Drittlands oder der internationalen Organisation; für die besondere Konstellation des Art. 49 Abs. 1 Unterabsatz 2 ist die Dokumentation geeigneter Garantien vorgesehen.
Für die praktische Nachweisführung ist zusätzlich ein Verweis auf das tatsächlich gewählte Übermittlungsinstrument sinnvoll. Unterscheiden Sie diese Ergänzung vom genauen Wortlaut der Registerpflicht. Die Einordnung internationaler Datenübermittlungen hilft bei der Prüfung. Der Eintrag „Standardvertragsklauseln vorhanden“ genügt nicht, um die Voraussetzungen einer Übermittlung oder erforderliche zusätzliche Maßnahmen zu belegen.
Löschfristen ohne falsche Pauschalen
Legen Sie Fristen je Datenkategorie und Zweck fest. Für Kundenkommunikation, Buchungsbelege und technische Protokolle können unterschiedliche Regeln gelten. Ein pauschaler Eintrag von zehn Jahren für sämtliche Lohndaten oder drei Jahren für jedes CRM-Feld beschreibt diese Unterschiede nicht. Ebenso wenig gibt es eine universelle DSGVO-Frist von sieben bis neunzig Tagen für sämtliche Serverprotokolle.
Die geltende Fassung von § 257 HGB unterscheidet beispielsweise zehn Jahre für bestimmte Bücher und Abschlüsse, grundsätzlich acht Jahre für Buchungsbelege und sechs Jahre für sonstige dort genannte Unterlagen. Für bestimmte beaufsichtigte Unternehmen gelten bei Buchungsbelegen abweichende Regeln. Auch § 147 AO, weitere Vorschriften und Übergangsregelungen können relevant sein. Daraus folgt keine einheitliche Frist für eine gesamte Personalakte.
Tragen Sie auch ein, wann die Frist beginnt. Das Ende eines Vertrags, der Abschluss eines Vorgangs und das Ende eines Kalenderjahrs sind verschiedene Auslöser. Verknüpfen Sie den Eintrag mit dem Löschkonzept, und unterscheiden Sie Löschung von einer zeitweiligen Zugriffsbeschränkung. Die Speicherbegrenzung verlangt eine nachvollziehbare Zweckbindung auch während fortgesetzter Aufbewahrung.
Bei laufenden Rechtsstreitigkeiten kann eine begründete Aussetzung bestimmter Löschungen nötig sein. Sie sollte betroffene Daten, Anlass, Zuständigkeit und erneute Prüfung erfassen. Das ist kein Anlass, alle Unterlagen vorsorglich unbegrenzt zu behalten. Bei Sicherungskopien muss die Löschplanung die technische Wiederherstellung und den Schutz vor erneuter produktiver Nutzung berücksichtigen, statt nicht erfüllbare Zusagen in das Register zu schreiben.
Sicherheitsmaßnahmen verständlich beschreiben
Die allgemeine TOM-Beschreibung soll eine erste Einordnung der tatsächlichen Schutzmaßnahmen ermöglichen. Die Angabe „DSGVO-konform“ enthält keine solche Information. Beschreiben Sie beispielsweise, wie Zugriffe nach Aufgaben vergeben und überprüft werden, wie Daten übertragen werden und wie Verfügbarkeit sowie Wiederherstellung abgesichert sind. Verweise auf vertiefende Dokumente müssen eindeutig und aktuell sein.
Art. 32 DSGVO verlangt ein angemessenes Schutzniveau anhand der Risiken. Eine allgemein gehaltene Sicherheitsbeschreibung kann deshalb Ergänzungen für Gesundheitsdaten, besonders exponierte Zugänge oder umfangreiche Auswertungen brauchen. Das VVT selbst ersetzt die Risikobewertung nicht. Bei voraussichtlich hohem Risiko ist die Frage einer Datenschutz-Folgenabschätzung gesondert zu prüfen und rechtzeitig zu bearbeiten.
Eigene Vorlage für Auftragsverarbeiter
Art. 30 Abs. 2 verwendet vier Buchstaben mit anderen Inhalten als Absatz 1. Er verlangt insbesondere Angaben zum Auftragsverarbeiter und zu jedem Verantwortlichen, für den er tätig ist, sowie die jeweiligen Kategorien von Verarbeitungen. Ein unverändertes Verantwortlichenmuster kann deshalb die falschen Informationen abfragen. Die eigene Verarbeitung für Personal oder Rechnungsstellung gehört dagegen weiterhin zur Verantwortlichenrolle.
Register für Auftragsverarbeitung
Auftragsverarbeiter: [Name und Kontaktdaten, gegebenenfalls weitere beteiligte Auftragsverarbeiter].
Verantwortlicher je Auftrag: [Name und Kontaktdaten]. Gegebenenfalls Vertreter und Datenschutzbeauftragter: [Name und Kontaktdaten].
Kategorien der im Auftrag durchgeführten Verarbeitungen: [Zuordnung zu jedem Verantwortlichen].
Gegebenenfalls Drittlandübermittlungen: [Land oder internationale Organisation und Angaben nach Art. 30 Abs. 2 c].
Wenn möglich allgemeine Sicherheitsbeschreibung: [konkrete Darstellung oder zugeordneter Dokumentverweis nach Art. 32 Abs. 1].
Interne Ergänzungen: [Vertragsbezug, zuständige Person, Version und Prüfdatum].
Ähnliche technische Leistungen können mit einer gemeinsamen Leistungsbeschreibung erfasst werden, wenn die Zuordnung zu den einzelnen Verantwortlichen und ihren Verarbeitungskategorien erhalten bleibt. Ein anonymes Kundenverzeichnis ohne diese Verbindung reicht nicht. Ändert sich die angebotene Leistung oder ein relevanter Übermittlungsweg, müssen die betroffenen Auftragsverhältnisse ermittelt und die Angaben aktualisiert werden.
Einen Eintrag vor der Freigabe gegenprüfen
Prüfen Sie einen ausgewählten Vorgang anhand eines konkreten Datenflusses. Bei einer Bestellung lässt sich etwa verfolgen, welche Angaben das Formular erfasst, was im Warenwirtschaftssystem landet und welche Daten an Versand und Zahlungsdienst gehen. Vergleichen Sie diese Beobachtungen mit dem Registereintrag. Fehlende Empfänger oder zusätzliche Protokolldaten werden so sichtbar, ohne dass das VVT mit einzelnen Kundendatensätzen gefüllt werden muss.
Lassen Sie anschließend die zuständige Fachperson bestätigen, ob die Beschreibung der täglichen Arbeit entspricht. Diese Bestätigung ist eine empfohlene organisatorische Kontrolle, keine eigenständige Unterschriftspflicht aus Art. 30. Offene Fragen sollten mit Zuständigkeit und Bearbeitungsstand erkennbar bleiben. Ein erfundenes Löschdatum macht eine Tabelle vollständiger, verbessert aber weder die Dokumentation noch die tatsächliche Praxis.
Halten Sie die Registerdatei außerdem von den verarbeiteten Fallakten getrennt. Für die Beschreibung einer Bewerberkategorie werden keine echten Lebensläufe als Anlagen benötigt. Damit vermeiden Sie, dass ein Dokument zur Übersicht selbst eine zusätzliche Sammlung personenbezogener Einzelinformationen wird. Bei einer Anfrage der Aufsicht muss die aktuelle Fassung auffindbar und verständlich exportierbar sein; welche ergänzenden Nachweise benötigt werden, hängt von der konkreten Anfrage ab.
Pflege, Vorlage an die Aufsicht und häufige Fragen
Reicht eine Excel-Tabelle?
Art. 30 Abs. 3 verlangt Schriftform einschließlich elektronischer Form. Eine gepflegte Tabelle kann diese Anforderung erfüllen. Es gibt keine gesetzliche Grenze von zwanzig oder dreißig Einträgen, ab der eine bestimmte Software nötig wird. Entscheidend sind Vollständigkeit, verständliche Zuordnung, Zugriffsschutz und zuverlässige Pflege. Bei paralleler Bearbeitung sollten Versionen und Zuständigkeiten so geregelt sein, dass Änderungen nicht verloren gehen.
Wie viele Einträge braucht ein kleines Unternehmen?
Eine allgemeine Sollzahl gibt es nicht. Die Zahl folgt den tatsächlichen Tätigkeiten und einer sinnvollen Abgrenzung. Prüfen Sie bei einem sehr groben Eintrag, ob er unterschiedliche Zwecke und Fristen verdeckt. Bei vielen nahezu identischen Einträgen prüfen Sie, ob eine gemeinsame Beschreibung mit klarer Zuordnung verständlicher wäre. Weder Länge noch Tabellenzahl sind für sich ein Qualitätsnachweis.
Muss das Verzeichnis veröffentlicht werden?
Nein. Nach Art. 30 Abs. 4 wird es der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt. Es ist kein allgemein öffentliches Register und ersetzt nicht die Datenschutzerklärung für die Website. Für Beschäftigte werden passende Datenschutzhinweise benötigt. Deren Inhalte sollten mit den tatsächlichen Verarbeitungen und den Registerangaben übereinstimmen.
Wann muss es aktualisiert werden?
Es gibt keine allgemeine gesetzliche Jahresfrist für die Pflege. Relevante Änderungen müssen im Verzeichnis nachvollziehbar berücksichtigt werden. Verknüpfen Sie die Prüfung deshalb mit neuen Zwecken, Dienstleistern, Systemen und geänderten Aufbewahrungsregeln. Eine zusätzliche regelmäßige Durchsicht ist eine organisatorische Empfehlung. Sie hilft, schleichende Veränderungen zu finden, ersetzt aber nicht die Aktualisierung bei konkreten Änderungen.
Beweist ein vollständiges VVT die gesamte DSGVO-Konformität?
Nein. Es ist ein wichtiger Teil der Rechenschaftspflicht, aber kein Ersatz für Einwilligungsnachweise, Verträge, Risikobewertungen oder tatsächlich umgesetzte Maßnahmen. Auch eine vollständig ausgefüllte Tabelle kann eine unzulässige Verarbeitung beschreiben. Bearbeiten Sie erkannte Lücken daher als Sachfragen: Was muss geändert werden, wer ist zuständig und welcher Nachweis zeigt anschließend, dass die beschriebene Praxis stimmt?