Verzeichnis der Verarbeitungstätigkeit (VVT)

Das Verzeichnis der Verarbeitungstätigkeit (engl. Record of Processing Activities, RoPA) dokumentiert alle Verarbeitungstätigkeiten gemäß Art. 30 DSGVO.

Jeder Verantwortliche muss ein Verzeichnis führen, das folgende Angaben enthält:

• Name und Kontaktdaten des Verantwortlichen
• Zwecke der Verarbeitung
• Kategorien betroffener Personen und personenbezogener Daten
• Kategorien von Empfängern
• Übermittlungen in Drittländer
• Fristen für die Löschung
• Beschreibung der technischen und organisatorischen Maßnahmen (TOMs)

---

Verarbeitungstätigkeit anlegen

1. Klicke in der Seitenleiste auf + Verarbeitungstätigkeit hinzufügen
2. Fülle die Grundlegenden Details aus:
3. Bezeichnung: Kurzer Name (z.B. "Bewerbermanagement")
4. Beschreiben Sie die Verarbeitungsaktivität: Detaillierte Beschreibung der Verarbeitung
5. Zweck der Datenverarbeitung: Warum werden die Daten verarbeitet?
6. Kategorien von betroffenen Personen: z.B. Mitarbeiter, Kunden, Bewerber
7. Kategorien interner Empfänger: Interne Abteilungen mit Zugriff
8. Kategorien externer Empfänger: Externe Dienstleister, Behörden
9. Aufbewahrungsfrist: Wie lange werden Daten gespeichert?
10. Erläuterung der Rechtsgrundlage: Art. 6 Abs. 1 DSGVO (Vertrag, berechtigtes Interesse, etc.)
11. Verantwortliche Organisationseinheit: Zuständige Abteilung/Team
12. Verwendung eines Prozessors: Gibt es Auftragsverarbeiter?
13. Tab 2. Verarbeiteten Daten: Wähle Datenkategorien (Stammdaten, Vertragsdaten, Zahlungsdaten)
14. Tab 3. Maßnahmen: Verknüpfe technische und organisatorische Maßnahmen (TOMs)
15. Tab 4. Genehmigung: Setze Status (Entwurf / In Prüfung / Genehmigt)
16. Tab Überblick: Zusammenfassung aller eingegebenen Informationen
17. Speichern

---

Filter und Export

Die VVT-Liste bietet Filter nach:

• Status: Entwurf, In Bearbeitung, Genehmigt
• DSGVO-relevant: Nur datenschutzrelevante Verarbeitungen
• Verantwortliche Organisationseinheit
• Verwendung von Auftragsverarbeitern

Export als PDF oder Excel für:

• Behördliche Anfragen
• Interne Audits
• Datenschutzbeauftragte
• Zertifizierungen

---

Verbindung zu anderen Modulen

• Schwellwertanalyse → Ermittlung, ob DSFA erforderlich
• DSFA → Detaillierte Folgenabschätzung bei Hochrisiko-Verarbeitungen
• Auftragsverarbeiter → Verwaltung externer Dienstleister
• Löschkonzepte → Automatisierte Umsetzung der Aufbewahrungsfristen

---

Tipps

• Ein VVT-Eintrag pro Verarbeitungszweck (nicht pro System!)
• Formuliere verständlich (auch für Nicht-IT-Fachleute)
• Jährlich überprüfen und bei neuen Verarbeitungen sofort erfassen