Zum Inhalt springen

Datenschutz · Art. 30 DSGVO Verzeichnis Verarbeitungstätigkeiten

Verzeichnis von Verarbeitungstätigkeiten prüfen

Ihr VVT muss zur Verarbeitung passen.

Wir prüfen Ihr Verzeichnis nach Art. 30 DSGVO gegen die tatsächliche Verarbeitung, schließen Lücken präzise und bauen es so auf, dass es in Audit, Kundenprüfung und Behördenkontakt hält.

Ohne Angabe anfragen

Der Erstkontakt ist kostenfrei. Bevor Kosten entstehen, machen wir Sie ausdrücklich darauf aufmerksam.

Rückmeldung an Werktagen innerhalb von 24 Stunden

Stand: 23.10.2026

Schematische Darstellung einer VVT-Prüfung. Beispiel vereinfacht.

Wir prüfen Verzeichnisse für

  • Großkunden
  • Investoren
  • Behörden
  • Datenschutzbeauftragte

Das Wichtigste in Kürze

  • Verantwortliche und Auftragsverarbeiter müssen nach Art. 30 DSGVO ein Verzeichnis ihrer Verarbeitungstätigkeiten führen und es der Aufsichtsbehörde auf Anfrage vorlegen.
  • Kritisch ist nach unserer Erfahrung nicht das fehlende Dokument allein, sondern das Auseinanderfallen von Papier und tatsächlicher Verarbeitung.
  • Bei ITMR prüfen wir Pflichtangaben, Rollen, Empfänger, Löschfristen, Übermittlungen und die Verbindung zu AVV und DSFA.
  • Sie erhalten ein Verzeichnis, das Sie gegenüber Kunden, Investoren und Behörde erklären können.
  • Ansprechpartner ist Dominik Skornia und sein Team. Er ist AI-Privacy-Expert (GDDcert. EU). Rückmeldung an Werktagen innerhalb von 24 Stunden.
DSGVO
Datenschutz-Grundverordnung der EU. Sie regelt, wie Unternehmen personenbezogene Daten verarbeiten dürfen.
VVT
Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Es listet auf, welche Daten wofür verarbeitet werden.
AVV
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Er regelt, wie ein Dienstleister Daten im Auftrag verarbeitet.
DSFA
Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Sie bewertet Risiken einer Verarbeitung vor dem Start.

Typischer Anlass

Wann wird das VVT zum Problem?

Das Verzeichnis wird nach unserer Erfahrung selten in Ruhe überarbeitet. Es wird wichtig, wenn ein Großkunde Nachweise verlangt, eine Behörde Unterlagen sehen will oder ein Investor prüft.

Ein VVT muss mit Ihrer Verarbeitung, Ihren Rollen und Ihrer übrigen Dokumentation zusammenpassen.

In unseren Prüfungen fällt dann auf, dass neue Werkzeuge, Dienstleister und internationale Datenflüsse im Dokument fehlen. Nach Wachstum, Werkzeugwechseln oder KI-Einsatz ist das Verzeichnis zwar vorhanden, aber nicht mehr verlässlich.

In dieser Lage lassen Sie Lücken und Prioritäten zuerst einordnen, bevor das Verzeichnis überarbeitet wird. Grundsatzfragen beantwortet unsere Seite zum Datenschutzrecht. Hier geht es um das belastbare VVT unter konkretem Nachweisdruck.

Ein gutes VVT ist ein Steuerungsdokument. Es hilft bei Auskunft, Löschung, Steuerung von Dienstleistern, Risikoanalyse, DSFA, Due Diligence und der Abstimmung zwischen Recht, Datenschutz, IT und Fachbereichen.

Für wen
Verantwortliche und Auftragsverarbeiter
Norm
Art. 30 DSGVO
Vorlage
Auf Anfrage der Aufsichtsbehörde
Form
Schriftlich, auch elektronisch

Klare Prioritäten

Schildern Sie den Anlass im Formular. Wir melden uns an Werktagen innerhalb von 24 Stunden mit einer ersten Einordnung.

So läuft es ab

Wie prüfen wir Ihr VVT?

Wir arbeiten in drei Schritten und richten das Tempo am Anlass aus.

  1. 01

    Stand erfassen

    Wir ordnen ein, warum Ihr VVT gerade wichtig wird und welche Prozesse, Gesellschaften, Werkzeuge, Dienstleister und Länderbezüge zuerst zu prüfen sind.

  2. 02

    VVT abgleichen

    Wir prüfen Pflichtangaben, Rollen, Rechtsgrundlagen, Empfänger, Löschfristen, Verweise auf technische Maßnahmen, Übermittlungen sowie die Verbindung zu AVV und DSFA.

  3. 03

    Prüffähig aufsetzen

    Sie erhalten eine klare Linie für Korrektur, Priorisierung, Nachweis und den nächsten Schritt gegenüber Kunde, Investor, Datenschutzbeauftragtem oder Behörde.

Was wir im VVT konkret prüfen

  1. 1

    Pflichtangaben

    Sind Zweck, Datenkategorien, Empfänger und Speicherdauer präzise genug beschrieben, ohne operativ unbrauchbar zu werden?

  2. 2

    Rollen

    Sind Verantwortliche, Auftragsverarbeiter, gemeinsam Verantwortliche und Konzerngesellschaften so eingeordnet, wie sie tatsächlich zusammenarbeiten?

  3. 3

    Übermittlungen

    Werden Dienstleister, Unterauftragnehmer und Drittlandbezüge mitgedacht? Bei Cloud- und US-Bezügen zeigen sich Brüche zwischen VVT, AVV, Standardvertragsklauseln und tatsächlicher Nutzung.

  4. 4

    Technische Maßnahmen

    Das VVT muss die Sicherheitsdokumentation nicht doppeln. Der Verweis muss aber zur gelebten Schutzarchitektur passen.

  5. 5

    Anschlüsse

    Stimmt das Zusammenspiel mit AVV, DSFA, Löschkonzept, Betroffenenrechten und behördlichen Reaktionswegen?

  6. 6

    Pflege

    Kann das Dokument intern weitergeführt werden? Wir klären Zuständigkeiten, Auslöser für Aktualisierungen und Freigaben.

Wie lange dauert es? Die meisten Arbeitsschritte erledigen wir innerhalb weniger Werktage. Wie schnell es geht, hängt vom Umfang und von Ihren Rückmeldungen ab. Haben Sie einen festen Termin, etwa einen Launch? Nennen Sie ihn uns gleich bei der Anfrage, dann planen wir ihn ein.

Leistungspaket

Was haben Sie nach der Prüfung in der Hand?

Leistungspaket VVT-Prüfung

  1. Lückenanalyse

    Welche Verarbeitungen, Rollen, Empfänger und Übermittlungen fehlen oder sind unscharf beschrieben?

  2. Priorisierte Korrekturen

    Was ist vor Kundenprüfung, Due Diligence oder Behördenvorlage zu ändern, was kann folgen?

  3. Überarbeitetes Verzeichnis

    Auf Wunsch überarbeiten wir das Verzeichnis selbst oder mit Ihrem Datenschutzteam.

  4. Pflegeprozess

    Zuständigkeiten und Auslöser für Aktualisierungen, damit das VVT aktuell bleibt.

Für wen
Verantwortliche und Auftragsverarbeiter
Erste Rückmeldung
an Werktagen innerhalb von 24 Stunden
Kosten
Wir nennen Ihnen die Kosten vor Mandatserteilung transparent.
Nicht im Paket
Laufende Betreuung als externer Datenschutzbeauftragter. Das ist eine separate Leistung, auf Anfrage.
VVT prüfen lassen

Wer liefert was und wer entscheidet

Was Sie liefern

  • Aktuelles Verzeichnis
  • Liste der Werkzeuge und Dienstleister
  • Ansprechpartner der Fachbereiche
  • Anlass und Frist

Was wir übernehmen

  • Abgleich mit der Verarbeitung
  • Rollenprüfung
  • Korrekturvorschläge
  • Pflegeprozess

Wer entscheidet

  • Ihr Unternehmen über die Fassung
  • Im Streitfall die Aufsichtsbehörde

Wie läuft die Beauftragung ab?

  1. 1

    Erste Einschätzung

    Sie schildern den Anlass über das Formular. Wir ordnen ein, wo Sie stehen. Der Erstkontakt ist kostenfrei.

  2. 2

    Angebot

    Vor Beginn der Arbeit nennen wir Ihnen Umfang und Kosten transparent.

  3. 3

    Gerichtliche Schritte gesondert

    Gerichtsverfahren und die Vertretung gegenüber Aufsichtsbehörden vereinbaren wir gesondert, wenn Sie das wünschen.

Mandantenmomente

Wann sollten Sie mit dem VVT nicht mehr warten?

Behörde, Kunde, Investor, Datenschutzbeauftragter, Revision oder neue Systeme lösen die meisten Anfragen aus.

Das Dokument soll vorgelegt werden

Fordert die Behörde Unterlagen an oder verlangt der Datenschutzbeauftragte eine saubere Vorlage, fällt auf, ob Verarbeitungen aktuell und stimmig dokumentiert sind. Improvisation kostet dann Zeit und Glaubwürdigkeit.

Dritte wollen Nachweise sehen

Im Vertrieb an Großkunden, in Konzernen, bei Investoren oder Transaktionen genügt ein pauschales „haben wir“ nicht. Erwartet wird eine nachvollziehbare Linie zu Rollen, Dienstleistern, Übermittlungen und Löschfristen.

Die Praxis hat das VVT überholt

Kundendatenbank, Personalsoftware, Cloud, Tracking, Ticketsysteme, Kollaborationswerkzeuge oder KI-Funktionen ändern die Verarbeitung schneller, als Verzeichnisse nachgezogen werden.

Die Rolle ist unklar

Nach unserer Erfahrung beginnen Fehler bei der Rolle. Wer Verantwortlichen, gemeinsam Verantwortlichen und Auftragsverarbeiter verwechselt, dokumentiert auch Empfänger, AVV-Bedarf und Übermittlungen falsch.

Risiken

Welche VVT-Fehler werden im Ernstfall sichtbar?

Diese Fehler sehen wir in unseren Prüfungen.

Inhalt

  • Nur Standardprozesse erfasst Tracking, Bewerbungen, KI-Nutzung, Automatisierungen oder Auslandszugriffe fehlen.
  • Rollen übernommen, nicht geprüft Verantwortlichkeit und Auftragsverarbeitung passen nicht zur Werkzeug- und Vertragsstruktur.
  • Löschfristen nur auf Papier Unklar bleibt, ob sie umgesetzt oder an andere Regelwerke angebunden sind.

Zusammenhang

  • Übermittlungen pauschal Dienstleister, Unterauftragnehmer oder Fernzugriffe aus Drittländern fehlen.
  • Kein Abgleich Das VVT wurde zu keinem Zeitpunkt mit AVV, DSFA, Datenschutzhinweisen und Auskunftsprozess abgeglichen.
  • Nicht erklärbar Das Unternehmen kann das Dokument vorzeigen, aber nicht erklären, warum es die aktuelle Lage abbildet.

Gutes VVT

Woran erkennen Sie ein belastbares VVT?

Ein gutes VVT reduziert Reibung in Audits und macht aus einer Pflicht einen Nachweis Ihrer Organisation.

Übersicht statt Scheinsicherheit

Es zeigt intern, welche Prozesse laufen, welche Dienstleister beteiligt sind und wo Speicherfristen, Löschroutinen und Berechtigungen anschließen.

Erklärbar statt nur vorhanden

Sie können begründen, warum diese Rolle, diese Empfänger, diese Fristen, dieser Übermittlungsweg und dieser Verweis auf technische Maßnahmen gewählt wurden.

Nachweis statt Pflichtübung

Ziel ist ein Verzeichnis, das Audits erleichtert und gegenüber Kunden, Investoren und Behörde zeigt, dass Ihre Organisation ihre Verarbeitung kennt.

Anschlusswege

Wann passt ein anderes Leistungspaket besser?

Klare Anschlusswege verhindern, dass das VVT zum Sammelbecken für andere Themen wird.

Audit oder Set-up

Datenschutz-Audit, wenn das gesamte Set-up geprüft werden soll. Datenschutz-Set-up, wenn Zuständigkeiten und Dokumentation neu zu ordnen sind.

Vertrag zur Auftragsverarbeitung

Wenn Rollenklärung und Verträge mit Dienstleistern im Vordergrund stehen.

Datenschutz-Folgenabschätzung

Wenn eine riskante Verarbeitung im Vordergrund steht.

Behörde oder Gericht

Hilfe bei der Aufsichtsbehörde, wenn ein Schreiben oder eine Frist vorliegt. Privacy Litigation, wenn Bußgeld, Anspruchsabwehr oder Gerichtsverfahren drohen.

Datenschutz-Auskunft

Wenn vor allem Betroffenenanfragen fristgerecht zu beantworten sind.

Externer Datenschutzbeauftragter

Wenn das VVT laufend überwacht und aktualisiert werden soll.

Rechtsrahmen

Welche Regeln gelten für das VVT?

Art. 30 Abs. 1 DSGVO verpflichtet Verantwortliche, ein Verzeichnis zu führen. Es enthält unter anderem Zwecke, Kategorien von Betroffenen und Daten, Empfänger, Drittlandübermittlungen, Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.

Auftragsverarbeiter führen nach Art. 30 Abs. 2 DSGVO ein eigenes Verzeichnis. Das Verzeichnis ist schriftlich zu führen, auch elektronisch, und der Aufsichtsbehörde nach Art. 30 Abs. 4 DSGVO auf Anfrage vorzulegen.

Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten nach Art. 30 Abs. 5 DSGVO entfällt, wenn die Verarbeitung ein Risiko birgt, regelmäßig erfolgt oder besondere Datenkategorien betrifft. Nach unserer Erfahrung greift sie deshalb selten.

Quellen

Grenzen

Was leistet die VVT-Prüfung nicht?

Das VVT bildet die Verarbeitung ab. Es ersetzt keine anderen Pflichten.

  1. 1

    Keine Sicherheitsprüfung

    Ob technische Maßnahmen wirken, prüfen spezialisierte Dienstleister. Wir prüfen, ob der Verweis im VVT stimmt.

  2. 2

    Pflege bleibt bei Ihnen

    Ein VVT ist nur so gut wie sein Aktualisierungsprozess. Ohne interne Zuständigkeit veraltet es wieder.

  3. 3

    Kurz vor Behördenfrist teurer

    Unter Zeitdruck werden Lücken sichtbar, die sich mit Vorlauf geordneter beheben lassen.

Fehler, die wir in der Praxis sehen

  • Ein Muster wird übernommen, ohne es an die Organisation anzupassen.
  • Mehrere Gesellschaften teilen ein Verzeichnis ohne klare Zuordnung.
  • Das VVT wird erst aufgeräumt, wenn die Behörde fragt.
Rechtsanwalt Dominik Skornia

Ihr Ansprechpartner

Dominik Skornia, LL.B.

Rechtsanwalt · AI-Privacy-Expert (GDDcert. EU) · Externer Datenschutzbeauftragter

Zum Profil Düsseldorf, Schirmerstraße 80 · Hamburg, Palmaille 124

Bei ITMR führen Jean Paul Bohne, Andreas Buchholz und Dr. Alexander Pleh die Bezeichnung Fachanwalt für Informationstechnologierecht.

Bewertungen

Was Mandanten sagen

5,0 von 5 · 167 Google-Bewertungen

5,0 von 5 · 71 Bewertungen auf anwalt.de

Ausgewählte Bewertungen, Stand: 23.10.2026. Weitere Bewertungen finden Sie auf den Plattformen.

„Herr Bohne ist ein ausgezeichneter Anwalt. Er hat sich wirklich Zeit genommen, aufmerksam zugehört und mir klare Empfehlungen gegeben, wie ich meine App DSGVO-konform in Deutschland aufsetzen kann, inklusive Hinweise zu typischen Fallstricken. …“
C. A. · anwalt.de · 29.04.2026 · „Kompetente DSGVO-Beratung“
„Herr Bohne hat mich durch seine unkomplizierte Art, schnelle Arbeitsweise und hoher Kompetenz überzeugt. Die Zusammenarbeit war stets angenehm, und ich fühlte mich bestens beraten. Ich würde seine Dienste jederzeit wieder in Anspruch nehmen.“
E. Y. · anwalt.de · 21.01.2025 · „Kompetente und zuverlässige Unterstützung“
„Ich kann die Kanzlei uneingeschränkt weiterempfehlen. Insbesondere Herr Bohne hat mir in meiner Rechtsangelegenheit schnell, kompetent und unkompliziert weitergeholfen. Vielen Dank dafür!“
Marie · Google · 31.07.2024

Keine Überprüfung der Bewertungen auf Google und anwalt.de durch uns · Google · anwalt.de

FAQ

Welche Fragen stellen Unternehmen zum VVT?

Reicht ein DSK-Muster oder eine Softwarevorlage?

Für den ersten Aufbau kann ein Muster helfen. Beratung braucht es, wo es nicht zur Organisation passt: bei mehreren Gesellschaften, Dienstleisterketten, Übermittlungen, besonderen Daten, KI, Tracking oder Auditdruck.

Wir haben weniger als 250 Beschäftigte. Brauchen wir ein VVT?

Nach unserer Erfahrung meist ja. Die Ausnahme nach Art. 30 Abs. 5 DSGVO entfällt schon bei regelmäßiger Verarbeitung, besonderen Datenkategorien oder einem Risiko für Betroffene.

Muss unser Auftragsverarbeiter ein eigenes Verzeichnis führen?

Ja, nach Art. 30 Abs. 2 DSGVO. Verantwortlicher, AVV und VVT müssen logisch zusammenpassen und Informationen entlang der Kette beschaffbar sein.

Wann lohnt sich eine anwaltliche Prüfung?

Wenn Rollen unklar sind, ein Audit oder eine Behördenanfrage ansteht, Dokumente auseinanderlaufen, internationale Datenflüsse betroffen sind oder Sie Ihre Einordnung später vertreten müssen.

Können wir das VVT aufräumen, wenn die Behörde fragt?

Das ist die teuerste Variante. Unter Zeitdruck werden Lücken und Widersprüche sichtbar, die sich mit Vorlauf geordneter und glaubwürdiger beheben lassen.

Ist das VVT nur eine Formalie?

Nein. Ein gutes VVT steuert Auskunft, Löschung, Dienstleister, Risikoanalyse, DSFA und Due Diligence und erleichtert die Abstimmung zwischen Recht, Datenschutz, IT und Fachbereichen.

Nächster Schritt

Soll Ihr VVT gerade geprüft werden?

Je früher sichtbar wird, welche Verarbeitungen, Rollen und Übermittlungen fehlen, desto besser lässt sich die Lage gegenüber Kunden, Investoren und Behörden steuern. Als Vorarbeit können Sie Quellen, Zwecke und Empfänger mit unserem Datenfluss-Designer erfassen.

Für die Anfrage hilfreich

  • Aktuelles Verzeichnis
  • Anlass und Frist
  • Liste der Werkzeuge und Dienstleister
  • Zahl der Gesellschaften

Unterlagen können Sie auch nach der ersten Rückmeldung nachreichen.

VVT prüfen lassen

Nennen Sie den Anlass und laden Sie Ihr Verzeichnis hoch. Wir ordnen Lücken und Prioritäten ein.

Ihre Kontaktdaten

Ihre Nachricht

Dateien anhängen

Laden Sie relevante Dokumente hoch (optional)

Hilfreich sind das aktuelle Verzeichnis, der Anlass der Prüfung, eine Liste der Werkzeuge und Dienstleister und gegebenenfalls Fristen.

Verwandte Leistungen