Eine VVT-Software ist dann hilfreich, wenn sie das Verzeichnis der Verarbeitungstätigkeiten verlässlich aktuell hält und bei einer Anfrage vollständig ausgeben kann. Sie ist keine Pflicht nach der DSGVO. Eine gepflegte Tabelle kann denselben rechtlichen Zweck erfüllen; eine teure Plattform kann an unklaren Zuständigkeiten scheitern. Wer Software auswählt, sollte daher mit den gesetzlichen Angaben und dem eigenen Änderungsprozess beginnen, nicht mit einer Liste vermeintlich unverzichtbarer Funktionen oder einem willkürlichen Schwellenwert von 20 Einträgen.
Dieser Vergleich richtet sich an Verantwortliche, Datenschutzbeauftragte und Einkaufsteams, die eine belastbare Entscheidung zwischen Tabelle, allgemeinem Dokumentenwerkzeug und spezialisiertem Datenschutzmanagement treffen müssen. Er bewertet Funktionen und Prüffragen statt Anbieterpreise zu behaupten, die sich nach Nutzerzahl, Modulen und Vertrag stark ändern können. Die rechtliche Grundlage ist Art. 30 DSGVO und die Ausfüllhilfe der Datenschutzkonferenz. Einen allgemeinen Einstieg bietet unser Artikel zum Verzeichnis der Verarbeitungstätigkeiten; hier geht es um die Werkzeugentscheidung.
Zuerst den Gegenstand des Verzeichnisses festlegen
Das VVT beschreibt Tätigkeiten, bei denen personenbezogene Daten verarbeitet werden, nicht jede einzelne Datei, jede Nachricht oder jeden Datensatz. Ein Eintrag kann beispielsweise „Bewerbungsverfahren“ sein, wenn Zweck, Datenkategorien, Empfänger und Löschlogik hinreichend einheitlich sind. Eine gesonderte Verarbeitung kann nötig werden, wenn ein anderer Zweck oder wesentlich andere Empfänger und Fristen gelten. Eine Software kann Dubletten markieren, doch sie kann den fachlichen Zuschnitt nicht aus dem Namen eines IT-Systems ableiten. Der praktische Nutzen eines Tools beginnt also mit einem gemeinsam verstandenen Modell für Verarbeitungstätigkeiten.
Art. 30 Abs. 1 verlangt beim Verantwortlichen insbesondere Namen und Kontaktdaten der Beteiligten und gegebenenfalls des Datenschutzbeauftragten, Zwecke, Kategorien betroffener Personen und Daten, Kategorien von Empfängern, gegebenenfalls Drittlandübermittlungen samt erforderlicher Dokumentation, soweit möglich vorgesehene Löschfristen und soweit möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Auftragsverarbeiter führen nach Abs. 2 ein anders strukturiertes Verzeichnis ihrer Verarbeitungskategorien für Verantwortliche. Wer beides ist, braucht die Rollen sauber getrennt. Unser Artikel-30-Detailleitfaden geht Feld für Feld durch; für die Toolauswahl ist wichtig, dass die Eingabemaske beide Rechtsrollen abbilden kann.
Die oft zitierte Ausnahme für Organisationen mit weniger als 250 Beschäftigten ist eng. Sie greift nicht, wenn die Verarbeitung voraussichtlich ein Risiko für Rechte und Freiheiten birgt, nicht nur gelegentlich erfolgt oder besondere Kategorien personenbezogener Daten beziehungsweise Daten über strafrechtliche Verurteilungen betroffen sind. Eine gewöhnliche, fortlaufende Personalverwaltung ist kein einmaliger Sonderfall. Wer die Ausnahme erwägt, sollte sie tätigkeitsbezogen und begründet prüfen, statt die Beschäftigtenzahl in einer Kaufentscheidung als generellen Freibrief zu verwenden. Auch ohne Rechtspflicht kann ein freiwilliges Verzeichnis nützlich sein, weil es Informationspflichten, Löschung und Auskunft vorbereitet.
Wann eine Tabelle ausreichend sein kann
Eine Tabelle eignet sich, wenn wenige Personen Änderungen vornehmen, die Zahl der Prozesse überschaubar bleibt und ein klarer Eigentümer regelmäßig nachfasst. Sie lässt sich mit geschützten Zugriffsrechten, definierten Spalten, Änderungsprotokoll und einem festen Exportverfahren betreiben. Art. 30 schreibt weder eine Datenbank noch „revisionssichere Software“ noch einen automatischen Behördenexport vor. Wichtig sind Vollständigkeit, Aktualität, Verfügbarkeit und die Möglichkeit, das Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. Die Verarbeitungsverzeichnis-Vorlage kann hierfür ein Ausgangspunkt sein, sofern sie an die wirklichen Prozesse angepasst wird.
Die Grenze der Tabelle ist nicht eine gesetzliche Anzahl von 20 oder 30 Einträgen. Sie zeigt sich dort, wo mehrere Fachbereiche parallel ändern, Gesellschaften unterschiedliche Rollen haben, Dienstleister häufig wechseln oder ein Prozess an vielen Stellen referenziert wird. Dann entstehen Versionskonflikte und doppelte Pflege. Ein Formatwechsel lohnt sich, wenn die Kosten der Abstimmung und Fehlerbehebung den Nutzen einer strukturierten Freigabe, Suche und Änderungsverfolgung übersteigen. Messen Sie das mit einem kleinen Pilot: Wie lange dauert es, einen neuen Dienst zu erfassen, seine Empfänger zu aktualisieren und den betreffenden Eintrag wiederzufinden? Eine Antwort in Tagen statt Minuten kann ein besseres Signal sein als eine starre Schwelle.
Eine andere Organisation kann trotz vieler Einträge mit einer gut kontrollierten Tabelle zurechtkommen, wenn die Abläufe stabil und die Verantwortlichkeiten eng sind. Umgekehrt braucht ein kleiner Anbieter mit komplexen Unterauftragnehmern, vielen internationalen Kunden und häufigen Produktänderungen möglicherweise früh ein spezielles Tool. Dieser Unterschied ist der Grund, weshalb ein pauschaler Preis- oder Volumengrenzwert keine seriöse Empfehlung ersetzt.
Funktionen an einem echten Änderungsfall testen
Lassen Sie die Anbieter im Demo-System nicht nur eine hübsche Übersicht zeigen. Geben Sie einen konkreten Fall vor: Ein Fachbereich führt einen neuen Newsletter-Dienst ein; der Anbieter verarbeitet E-Mail-Adressen außerhalb der EU, nutzt einen Unterauftragnehmer und löscht Kontaktdaten nach einem definierten Ereignis. Der Test sollte zeigen, wer den Eintrag anlegt, welche Pflichtfelder erscheinen, wer die Freigabe erteilt und wie der bestehende Verarbeitungseintrag nach einem Dienstleisterwechsel angepasst wird. So wird sichtbar, ob das Produkt die Arbeit erleichtert oder nur zusätzliche Formulare erzeugt.
Eine gute Datenstruktur erlaubt konsistente Bezeichnungen für Zwecke, Datenkategorien und Empfänger, ohne die Wirklichkeit in unpassende Dropdowns zu pressen. Sie macht unvollständige Felder sichtbar und hält fest, was „soweit möglich“ noch nicht bestimmt werden konnte. Ein bloßer roter Warnhinweis ist weniger wert als eine Zuständigkeit und ein Fälligkeitsdatum. Prüfen Sie zudem, ob Verantwortliche und Auftragsverarbeiter eigene Ansichten und Exporte erhalten. Wenn eine Agentur im einen Prozess Verantwortliche und im anderen Auftragsverarbeiterin ist, darf das System diese Unterschiede nicht durch ein globales Rollenetikett verdecken.
Die Verknüpfung mit Dienstleisterdaten ist nützlich, aber sie erzeugt keine rechtliche Prüfung automatisch. Ein AV-Vertrag nach Art. 28 DSGVO kann für mehrere Tätigkeiten gelten; ein Dienstleister kann zugleich Leistungen in eigener Verantwortung anbieten. Fragen Sie, ob Beziehungen zu Einträgen sichtbar sind und ob Vertragsänderungen eine Prüfung der betroffenen Verarbeitungen auslösen. Erwarten Sie nicht, dass eine neue Vertragsdatei selbstständig die Löschfristen oder Drittlandtransfers rechtlich richtig bestimmt. Auch unser Beitrag zur Abgrenzung Verantwortlicher und Auftragsverarbeiter macht deutlich, warum die Rollenentscheidung fachlich bleibt.
Ähnlich gilt für Datenschutz-Folgenabschätzungen. Ein VVT-Eintrag kann auf eine DSFA verweisen und auf veränderte Risiken aufmerksam machen. Die Software kann aber nicht allein aus der Existenz einer Verarbeitung ableiten, dass eine DSFA nötig oder entbehrlich ist. Art. 35 stellt auf ein voraussichtlich hohes Risiko ab. Bei der Demo sollte daher die Verbindung zwischen Eintrag, dokumentierter Schwellenprüfung, gegebenenfalls DSFA und getroffenen Maßnahmen geprüft werden, ohne daraus eine Pflicht zu einem bestimmten Modulpaket zu machen.
Export, Nachvollziehbarkeit und Portabilität
Der Export ist der wichtigste Belastungstest. Er sollte die Felder des Art. 30 mit verständlichen Bezeichnungen ausgeben, deutsche Umlaute und längere Beschreibungen korrekt behandeln und Verantwortlichen- und Auftragsverarbeiterverzeichnisse unterscheiden. Prüfen Sie anhand eines echten Beispiels, ob ein PDF allein genügt oder ob zusätzlich ein bearbeitbares Format benötigt wird. Die Aufsicht legt je nach Verfahren Anforderungen und Fristen fest; ein „amtlich zertifizierter deutscher Export“ ist keine allgemeine DSGVO-Kategorie. Testen Sie außerdem, ob der Export den aktuellen freigegebenen Stand zeigt oder unvollständige Entwürfe ungekennzeichnet mischt.
Versionierung hilft bei der Frage, wann ein Zweck, ein Empfänger oder eine Frist geändert wurde. Sie ist als Softwarefunktion wertvoll, aber Art. 30 verlangt nicht pauschal ein unveränderbares Änderungsprotokoll für jeden Eintrag. Prüfen Sie vielmehr, ob frühere Stände nachvollziehbar bleiben, Korrekturen erklärt werden können und ein Export zu einem dokumentierten Stichtag möglich ist. Ein unbegrenztes Protokoll mit personenbezogenen Kommentaren kann seinerseits Datenschutzprobleme erzeugen. Rollenrechte, Löschung von Testdaten und Aufbewahrung der Historie gehören daher zur Sicherheitsprüfung.
Ausstieg ist ebenso wichtig wie Einstieg. Fordern Sie einen vollständigen maschinenlesbaren Export Ihrer Einträge, Beziehungen, Anhänge und gegebenenfalls Historie. Klären Sie, was nach Vertragsende mit Sicherungen geschieht und welche Unterstützung beim Export vertraglich enthalten ist. Ein Tool, das nur druckbare PDFs liefert, kann die Migration in ein anderes System erschweren. Prüfen Sie diese Frage vor dem Kauf mit einem Testexport, nicht erst im Kündigungsfall.
Sicherheit und Beschaffung des Werkzeugs selbst
Das VVT kann vertrauliche Informationen über Systeme, Schwachstellen, Dienstleister und Datenflüsse enthalten. Auch wenn viele Einträge keine Betroffenendaten enthalten müssen, können Namen von Beschäftigten oder Ansprechpartnern personenbezogen sein. Legen Sie deshalb fest, welche Daten im Werkzeug benötigt werden und welche nur in einem gesicherten Verweis liegen sollten. Fragen Sie nach Zugriffsrollen, Mehrfaktor-Authentifizierung, Protokollierung, Sicherungen, Wiederherstellung, Hosting, Unterauftragnehmern und Löschkonzept. Eine öffentlich erreichbare Wissensdatenbank ist nicht automatisch ein geeigneter Speicher für detaillierte Sicherheitsbeschreibungen.
Prüfen Sie den vertraglichen Datenfluss. Nutzt der Anbieter personenbezogene Daten im Auftrag, sind Rolle, Weisungen, Sicherheitsmaßnahmen und Unterauftragnehmer nach Art. 28 zu prüfen. Ein Serverstandort in der EU beantwortet allein noch nicht, ob Zugriff oder Support aus Drittländern stattfindet. Umgekehrt bedeutet eine internationale Unternehmensgruppe nicht automatisch eine unzulässige Übermittlung. Dokumentieren Sie konkrete Zugriffswege und Garantien. Bei Produktvergleichen ist die DSMS-Perspektive nützlich, weil ein VVT selten isoliert von Verträgen, Sicherheitsmaßnahmen und Betroffenenrechten betrieben wird.
Wer mehrere Angebote vergleicht, kann die Antworten auf denselben Fragen bewerten: Deckt das Tool die Pflichtfelder ab? Passt die Rollensteuerung zu unserer Organisation? Sind Änderungen und Freigaben verständlich? Können wir Daten vollständig exportieren? Wie werden Zugriffe und Unterauftragnehmer behandelt? Welche Arbeitsstunden spart der getestete Änderungsfall tatsächlich? Diese Fragen tragen eine Entscheidung auch ohne unsichere Marktpreise. Eine umfassendere Auswahlhilfe bietet unser DSGVO-Software-Vergleich.
Migration: erst Begriffe bereinigen, dann importieren
Vor einem Import sollten vorhandene Einträge nach Zweck, verantwortlicher Stelle und Aktualität überprüft werden. In alten Tabellen stehen häufig ein IT-System und eine Verarbeitung nebeneinander, obwohl das System mehrere Zwecke trägt; manchmal sind unter „Empfänger“ nur Auftragsverarbeiter aufgeführt und interne oder eigenverantwortliche Empfänger vergessen. Ein automatischer Spaltenimport übernimmt solche Fehler treu. Ordnen Sie daher die Felder zu, markieren Sie unklare Rechtsrollen und lassen Sie Fachbereiche die Angaben bestätigen. Die allgemeine VVT-Anleitung kann als fachliches Prüfschema dienen.
Führen Sie für einen begrenzten Zeitraum einen Pilot mit echten, aber angemessen minimierten Daten durch. Vergleichen Sie importierte Einträge mit dem bisherigen Verzeichnis, insbesondere Löschfristen, Drittlandtransfers und Maßnahmenbeschreibungen. Bestimmen Sie, welches System während der Migration führend ist und wer Änderungen einträgt. Zwei dauerhaft parallel gepflegte „Wahrheiten“ erhöhen die Fehlergefahr. Nach Abnahme des neuen Verzeichnisses archivieren Sie die alte Fassung gemäß Ihrem Dokumentationskonzept und kommunizieren die neuen Zuständigkeiten an die Fachbereiche.
Ein häufiger Fehler ist, alle Einträge formal freizugeben, obwohl niemand die tatsächlichen Prozesse kennt. Software kann Eingaben erzwingen, aber nicht bestätigen, dass ein Newsletter wirklich nur für die angegebenen Zwecke verwendet wird. Nehmen Sie daher Vertreter aus IT, Personal, Vertrieb und weiteren relevanten Bereichen in die Abnahme auf. Dokumentieren Sie offene Punkte und behandeln Sie sie nach Risiko und Relevanz. Das Ergebnis sollte ein nutzbares Verzeichnis sein, nicht ein perfekt aussehender Importbericht.
Pflege als Arbeitsablauf statt Jahresritual
Art. 30 nennt keinen starren jährlichen Aktualisierungstag. Ein Verzeichnis muss die tatsächlichen Tätigkeiten zutreffend darstellen. Auslöser für die Pflege sind daher neue Zwecke, neue Datenkategorien, geänderte Empfänger, andere Transfers oder Fristen sowie das Ende einer Tätigkeit. Eine periodische Überprüfung kann als zusätzliche Kontrolle sinnvoll sein, besonders wenn Änderungen nicht zuverlässig gemeldet werden. Legen Sie fest, wer neue Projekte anmeldet, wer die rechtliche Beschreibung prüft und wer einen Eintrag freigibt. Ein Reminder ohne zuständige Person löst das Grundproblem nicht.
Verknüpfen Sie das VVT mit den Prozessen, in denen Änderungen ohnehin sichtbar werden: Beschaffung, Produktfreigabe, neue Dienstleister, Personalprozesse und Löschkonzept. Bei einem Wechsel des E-Mail-Dienstes kann etwa der AVV-Prozess einen Hinweis auf betroffene VVT-Einträge erzeugen. Eine veränderte Speicherfrist sollte im Löschkonzept und im Verzeichnis konsistent sein. Das sind Anforderungen an Ihre Arbeitsweise; ob die Software die Verbindung automatisch oder über eine Aufgabe herstellt, ist eine Produktentscheidung.
Ein weiterer Testfall ist der Wechsel eines Unterauftragnehmers. Stellen Sie im Pilot eine Änderung bei einem Cloud-Anbieter nach und prüfen Sie, welche Verarbeitungstätigkeiten davon berührt werden. Das Werkzeug sollte die Beziehung sichtbar machen, damit die Organisation den Vertrag, mögliche Transfers und gegebenenfalls die Informationspflichten beurteilen kann. Es muss die Rechtsfolge nicht selbst festlegen. Die Prüfliste für den Wechsel von Unterauftragsverarbeitern zeigt, welche Fragen außerhalb des VVT zu klären sind. Ändert sich durch den Wechsel das Risiko für Betroffene erheblich, kann außerdem die bestehende DSFA-Prüfung nach Art. 35 neu zu bewerten sein. In einem guten Pilot sehen Sie, ob das Tool die zuständigen Personen auf diese Folgefragen aufmerksam macht, ohne aus jeder Änderung automatisch einen neuen Rechtsakt zu behaupten.
Häufige Fragen
Ist Excel für ein VVT verboten?
Nein. Die DSGVO schreibt kein bestimmtes Werkzeug vor. Eine korrekt gepflegte Tabelle kann Art. 30 erfüllen. Entscheidend sind Inhalt, Aktualität und Bereitstellung auf Anfrage. Rollen, Änderungsvolumen und Fehleranfälligkeit entscheiden, ob sich Software im konkreten Betrieb lohnt.
Muss VVT-Software AVV und DSFA automatisch verknüpfen?
Nein, das ist keine ausdrückliche Art.-30-Pflicht. Eine nachvollziehbare Verbindung kann allerdings doppelte Pflege reduzieren und Änderungen sichtbar machen. Entscheidend ist, ob sie im getesteten Arbeitsablauf zuverlässig funktioniert und fachliche Entscheidungen nicht vortäuscht.
Was kostet ein geeignetes Werkzeug?
Es gibt keinen belastbaren allgemeinen Preis für „VVT-Software“: Lizenzmodell, Nutzerzahl, Gesellschaften, Migration, Beratung, Hosting und Vertragsdauer unterscheiden sich. Fordern Sie für Ihren realen Umfang schriftliche Angebote und prüfen Sie Gesamtaufwand einschließlich Datenbereinigung und späterem Export. Die im alten Artikel genannten festen Preis- und Stundenbänder waren nicht ausreichend belegt.
Wann muss das Verzeichnis geändert werden?
Wenn seine Angaben durch neue oder geänderte Tätigkeiten unzutreffend werden. Ein fester Jahresrhythmus allein genügt nicht. Eine periodische Durchsicht kann ergänzen, aber nicht die Aktualisierung bei tatsächlichen Änderungen ersetzen.
Fazit
Wählen Sie das Werkzeug anhand eines echten Eintrags, eines echten Änderungsfalls und eines vollständigen Exports. Eine Tabelle kann lange ausreichen; eine spezialisierte Anwendung kann bei vielen Beteiligten Freigaben und Beziehungen besser organisieren. Rechtlich zählt das richtige, aktuelle Verzeichnis. Wirtschaftlich zählt, ob die Lösung den Arbeitsablauf Ihrer Organisation messbar verbessert. Für besondere Umgebungen ergänzt unser Beitrag zur DSGVO-Software in Arztpraxen die Auswahlkriterien.