Verzeichnis bleibt liegen
Das VVT wird häufig für eine einzelne Anfrage erstellt und danach nicht mehr geprüft. Änderungen im Praxisalltag oder Betrieb erreichen die Datei nicht zuverlässig.
DSGVO dokumentieren
Wie beweisen Sie den Stand Ihrer Verarbeitung?
Verarbeitungsbuch führt Verzeichnis von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Auftragsverarbeiter und Löschfristen in einem gepflegten Dokument zusammen. Es richtet sich an kleine Betriebe und externe Datenschutzbeauftragte, die bei einer Anfrage der Aufsichtsbehörde auskunftsfähig sein müssen.
- Artikel 30 DSGVO
- Artikel 32 DSGVO
- Für kleine Betriebe
- Pilotphase mit Erstanwendern
Der Prüfungsfall
Word beweist keinen aktuellen Stand
Ein Verzeichnis als Word-Datei kann bei der Erstellung richtig gewesen sein und später dennoch nicht mehr zur tatsächlichen Verarbeitung passen. Neue Programme, neue Dienstleister und geänderte Aufbewahrungsfristen werden oft an verschiedenen Stellen nachgetragen oder gar nicht dokumentiert.
Dienstleister fehlen
Auftragsverarbeiter werden in Verträgen, E Mails oder Ordnern geführt. Im Verzeichnis bleibt dann offen, welche Verarbeitung durch welchen Dienstleister unterstützt wird.
TOM stehen daneben
Technische und organisatorische Maßnahmen liegen oft als getrennte Vorlage vor. Die Zuordnung zu konkreten Verarbeitungstätigkeiten ist damit schwer nachweisbar.
Löschung widerspricht Akten
Löschkonzepte und tatsächliche Aufbewahrungsregeln werden getrennt gepflegt. Gerade bei Patientenakten, Steuerunterlagen oder Bewerbungen entstehen so Widersprüche.
Der Dokumentationsweg
Ein Dokument, das Änderungen mitführt
Verarbeitungsbuch beginnt mit passenden Branchenvorlagen und macht daraus eine Arbeitsdokumentation für den einzelnen Betrieb. Jede Verarbeitung wird mit ihren Rechtsgrundlagen, Empfängern, Dienstleistern, TOM und Löschfristen verknüpft.
- Branchenvorlage auswählenWählen Sie einen Ausgangspunkt für Arztpraxis, Zahnarztpraxis, Steuerkanzlei, Handwerksbetrieb oder eine andere passende Tätigkeit. Die Vorlage wird für den konkreten Verantwortlichen angepasst.
- Verarbeitung verknüpfenHinterlegen Sie Zweck, Kategorien betroffener Personen, Datenarten, Empfänger und Auftragsverarbeiter an einer Stelle. TOM und Löschfristen werden der jeweiligen Verarbeitung zugeordnet.
- Stand prüfen und vorlegenBei Änderungen wird das betroffene Dokument fortgeschrieben, statt eine neue Datei neben alte Versionen zu legen. Für eine Anfrage der Aufsichtsbehörde liegt der dokumentierte Stand geordnet vor.
Für die Nachweisführung
Die Bausteine eines gepflegten VVT
Die Funktionen orientieren sich an den Unterlagen, die kleine Verantwortliche tatsächlich zusammenführen müssen. Nicht ein weiterer Ablageort, sondern eine verknüpfte Dokumentation.
VVT nach Artikel 30
Erfassen Sie Verarbeitungstätigkeiten mit den Angaben, die Artikel 30 DSGVO für Verantwortliche verlangt.
Branchenvorlagen
Starten Sie mit Vorlagen für typische Abläufe in Praxen, Kanzleien und Handwerksbetrieben und passen Sie sie an.
TOM zuordnen
Hinterlegen Sie technische und organisatorische Maßnahmen dort, wo ihre Umsetzung nachgewiesen werden muss.
Auftragsverarbeiter pflegen
Ordnen Sie Dienstleister den Verarbeitungstätigkeiten zu und behalten Sie die Liste der Auftragsverarbeiter im Zusammenhang.
Löschfristen hinterlegen
Dokumentieren Sie Löschregeln und Aufbewahrungsfristen je Verarbeitung, statt sie nur in einer allgemeinen Tabelle zu führen.
Prüfhinweise setzen
Markieren Sie Einträge, die nach einer Umstellung, einem Vertragswechsel oder einer Prüfung erneut angesehen werden sollen.
Dokumente ordnen
Halten Sie zugehörige Unterlagen strukturiert bereit, etwa Verträge, Richtlinien oder Nachweise zu Maßnahmen.
Mandanten verwalten
Externe Datenschutzbeauftragte können getrennte Dokumentationen für die von ihnen betreuten Verantwortlichen führen.
Im Arbeitsalltag
Dokumentation, die auf Rückfragen vorbereitet
Eine Aufsichtsbehörde erwartet keinen formschönen Ordner, sondern nachvollziehbare Angaben zum tatsächlichen Umgang mit personenbezogenen Daten. Verarbeitungsbuch bringt die dafür relevanten Teile zusammen.
Widersprüche erkennen
Wenn Verarbeitung, Dienstleister, TOM und Löschregel zusammen betrachtet werden, fallen Lücken früher auf. Das erleichtert die Abstimmung mit Praxisleitung, Kanzlei oder Betrieb.
Mandanten trennen
Betreuer führen jeden Verantwortlichen als eigene Dokumentation. Das schafft eine klare Grundlage für Rückfragen und die laufende Betreuung.
Änderungen einordnen
Ein Wechsel der Software oder eines Dienstleisters betrifft konkrete Verarbeitungen. Die Anpassung beginnt deshalb an der richtigen Stelle.
Anfrage beantworten
Für eine behördliche Anfrage muss der dokumentierte Stand schnell auffindbar sein. Das VVT bleibt dafür mit seinen Bezügen zusammen.
Rechtsgrundlagen prüfen
Nachweise folgen konkreten Datenschutzpflichten
Verarbeitungsbuch ersetzt keine Rechtsberatung. Die Dokumentation ist jedoch an Pflichten aus der DSGVO ausgerichtet, deren Einhaltung Verantwortliche belegen können müssen.
RechenschaftspflichtDer Verantwortliche muss die Einhaltung der Grundsätze der Verarbeitung nachweisen können.
AuftragsverarbeitungDie Verarbeitung durch Auftragsverarbeiter setzt einen Vertrag oder ein anderes Rechtsinstrument nach der DSGVO voraus.
Dokumentierte MaßnahmenTechnische und organisatorische Maßnahmen gehören zur nachweisbaren Sicherheit der Verarbeitung.
Behördliche KontrolleAufsichtsbehörden überwachen und setzen die Anwendung der DSGVO durch.
Verzeichnis von Verarbeitungstätigkeiten
Verantwortliche führen ein Verzeichnis aller Verarbeitungstätigkeiten, für die sie verantwortlich sind. Artikel 30 nennt unter anderem Zweck, Kategorien betroffener Personen und Daten, Empfänger, Löschfristen sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.
Grundlage: Artikel 30 Absatz 1 DSGVOSicherheit der Verarbeitung
Verantwortliche und Auftragsverarbeiter treffen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Auswahl richtet sich unter anderem nach Stand der Technik, Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung.
Grundlage: Artikel 32 Absatz 1 DSGVO
Julien Jimenez
Julien Jimenez ist Herausgeber und Autor des Magazins von Verarbeitungsbuch und verantwortet dessen Fachbeiträge. Mehr zum Autor
Pilotzugang
Preise für Betrieb und Betreuung
Die Pakete orientieren sich daran, ob Sie eine einzelne Dokumentation führen oder mehrere Mandanten betreuen. Für die Pilotphase können Sie eine Vorführung und frühen Zugang anfragen.
Alle Preise verstehen sich pro Monat zuzüglich gesetzlicher Umsatzsteuer. Die Abrechnung und Vertragsbedingungen werden vor dem Start transparent vereinbart.
Einzelbetrieb
Für eine Arztpraxis, Zahnarztpraxis, Steuerkanzlei oder einen Handwerksbetrieb mit eigener Dokumentation.
12 Europro Monat
- Eine Dokumentation für einen Verantwortlichen
- VVT mit Verarbeitungstätigkeiten
- TOM und Löschfristen
- Auftragsverarbeiter zuordnen
Für einzelne Verantwortliche.
Betreuerlizenz
Für externe Datenschutzbeauftragte, die mehrere kleine Mandanten getrennt betreuen.
79 Europro Monat
- Bis zu 25 Mandanten
- Getrennte Mandantendokumentationen
- VVT, TOM und Löschfristen
- Auftragsverarbeiter je Mandant
- Branchenvorlagen als Einstieg
Für die laufende Mandantenbetreuung.
Betreuerverbund
Für Datenschutzorganisationen mit acht Betreuerlizenzen und zusätzlichen Einzelbetrieben.
1.016 Europro Monat
- Acht Betreuerlizenzen
- Bis zu 200 Mandanten über Betreuerlizenzen
- 32 Einzelbetriebe zusätzlich
- Getrennte Dokumentationen
- Vorführung für den Start
632 Euro für acht Lizenzen plus 384 Euro für 32 Einzelbetriebe.
Fragen vor dem Start
Was Sie zu Verarbeitungsbuch wissen sollten
Die Antworten beziehen sich auf den Einsatz in kleinen Betrieben und bei der externen Datenschutzbetreuung.
Ersetzt Verarbeitungsbuch eine Datenschutzberatung?
Nein. Verarbeitungsbuch unterstützt die strukturierte Dokumentation. Ob eine Verarbeitung zulässig ist, welche Rechtsgrundlage greift oder welche Maßnahmen angemessen sind, bleibt eine fachliche und im Einzelfall rechtliche Prüfung.
Ist das Produkt für Arztpraxen geeignet?
Ja, Arztpraxen gehören zur vorgesehenen Zielgruppe. Die Dokumentation kann typische Verarbeitungen einer Praxis als Ausgangspunkt aufnehmen und wird anschließend auf die tatsächlichen Abläufe, Systeme und Dienstleister angepasst.
Kann ich eine bestehende Word-Datei übernehmen?
Bestehende Inhalte sind eine wichtige Grundlage für die Überarbeitung. Vor einer Übernahme sollte geprüft werden, ob die Angaben noch zu eingesetzten Systemen, Dienstleistern, TOM und Löschfristen passen.
Wie hilft das bei einer Anfrage der Aufsichtsbehörde?
Das Produkt hält die Angaben zu einer Verarbeitung und ihre Bezüge an einer Stelle zusammen. Dadurch kann der dokumentierte Stand gezielt geprüft und vorgelegt werden, statt Informationen aus verschiedenen Dateien zusammenzusuchen.
Können externe Datenschutzbeauftragte mehrere Mandanten führen?
Ja. Die Betreuerlizenz ist für getrennte Dokumentationen mehrerer Mandanten vorgesehen. Jeder Verantwortliche bleibt dabei als eigener Bestand geführt.
Sind Auftragsverarbeiter Teil der Dokumentation?
Ja. Dienstleister können den einzelnen Verarbeitungstätigkeiten zugeordnet werden. Der Vertrag zur Auftragsverarbeitung und die rechtliche Prüfung des Dienstleisters bleiben davon unberührt.
Wann ist Verarbeitungsbuch verfügbar?
Das Produkt befindet sich in der Pilotphase. Interessierte können eine Vorführung oder frühen Zugang anfragen und erhalten Informationen zum vorgesehenen Start und zur Mitwirkung als Erstanwender.
Aus dem Magazin
Vorlagen prüfen, Dokumentation verstehen
Das Magazin erläutert typische Fragen zu VVT, TOM, Auftragsverarbeitung und Löschfristen für kleine Verantwortliche.
Datenschutzaufsicht: Rollen, Entscheidungen und Verantwortung
Der Beitrag erklärt, wer bei einer datenschutzrechtlichen Anfrage welche Aufgabe hat. Er trennt Verantwortliche, Auftragsverarbeiter, Datenschutzbeauftragte und Aufsichtsbehörden klar voneinander.
Zuständigkeiten klären
Acht VVT-Fehler, ihre Folgen und passende Gegenmaßnahmen
Der Beitrag analysiert typische Brüche zwischen Verzeichnis, Dienstleisterliste, TOM und Löschkonzept. Jeder Fehler wird mit seiner konkreten Folge und einem umsetzbaren Gegenmittel beschrieben.
Fehler vermeiden
Löschkonzept verstehen: Fristen, Auslöser und Nachweise
Der Beitrag führt in das Löschkonzept als Pflichtbaustein der DSGVO-Dokumentation ein. Er definiert die Begriffe so, dass kleine Betriebe Löschregeln aus ihren tatsächlichen Verfahren ableiten können.
Löschregeln verstehenPilotphase
Zeigen Sie, was heute dokumentiert ist
Fordern Sie eine Vorführung an, wenn Sie Ihr VVT nicht länger als abgelegte Word-Datei führen möchten. Wir besprechen, ob Verarbeitungsbuch zu Ihrem Betrieb oder Ihrer Mandantenbetreuung passt.
- Sie schildern Branche und bisherigen Dokumentationsstand.
- Wir zeigen den vorgesehenen Ablauf anhand typischer Verarbeitungen.
- Sie erhalten Informationen zum frühen Zugang in der Pilotphase.
Vorführung oder Pilotzugang anfragen
Teilen Sie uns mit, ob Sie eine einzelne Organisation dokumentieren oder Mandanten betreuen. Eine konkrete Frage zu VVT, TOM oder Löschfristen hilft bei der Vorbereitung.