Zuletzt aktualisiert: 9. Juli 2026 — Peter Fürsicht, zertifizierter DSB

VVT – Verzeichnis von Verarbeitungstaetigkeiten (Art. 30 DSGVO)

Das Verzeichnis von Verarbeitungstaetigkeiten (VVT) nach Artikel 30 DSGVO ist die wichtigste Dokumentationspflicht fuer jedes Unternehmen. Es ist der Nachweis, welche personenbezogenen Daten wo, warum und wie lange verarbeitet werden – und fuer Aufsichtsbehoerden oft das erste Dokument, das angefordert wird.

Was muss ins VVT?

Artikel 30 Absatz 1 DSGVO nennt die Pflicht-Inhalte, die jede Verarbeitungstaetigkeit enthalten muss:

• Name und Kontaktdaten des Verantwortlichen und ggf. des Datenschutzbeauftragten
• Zwecke der Verarbeitung
• Kategorien betroffener Personen und Datenkategorien
• Kategorien von Empfaengern (inkl. Auftragsverarbeiter, Hosting, Cloud)
• Loeschfristen und Kriterien
• Moegliche Uebermittlung an Drittlaender und Schutzmassnahmen

Wer fuehrt das VVT?

Jeder Verantwortliche und jeder Auftragsverarbeiter mit mehr als 249 Mitarbeitern muss ein VVT fuehren. Ausnahme: Verarbeitungsroutinen sind geringes Risiko. In der Praxis empfiehlt sich das VVT aber fuer jedes Unternehmen – es ist der zentrale Compliance-Nachweis bei Audits und Bussgeldverfahren.

Praxis-Beispiel

Eine Muenchner PR-Agentur fuehrt ein VVT in Tabellenkalkulation. Die Aufsichtsbehoerde fordert nach einer Beschwerde Einblick. Da das VVT lueckenhaft ist – Tracking-Tools fehlen, Newsletter-Anbindung nicht dokumentiert – wird ein Bussgeld verhaengt. Ein vollstaendiges VVT haette das Risiko deutlich reduziert.