Acht VVT-Fehler, ihre Folgen und passende Gegenmaßnahmen
Der Beitrag analysiert typische Brüche zwischen Verzeichnis, Dienstleisterliste, TOM und Löschkonzept. Jeder Fehler wird mit seiner konkreten Folge und einem umsetzbaren Gegenmittel beschrieben.
Ein Verzeichnis von Verarbeitungstätigkeiten ist kein einmal erstelltes Formular, sondern ein Nachweis über die tatsächliche Verarbeitung personenbezogener Daten. Gerade bei kleinen Verantwortlichen entstehen Lücken häufig nicht durch fehlende Absicht, sondern weil Word Dateien, Vertragsordner, E Mails und Fachanwendungen getrennt gepflegt werden. Bei einer Anfrage der Aufsichtsbehörde oder nach einer Beschwerde werden diese Brüche sichtbar.
Prüfbar wird die Dokumentation erst, wenn sich jeder Eintrag mit der gelebten Praxis, dem Vertrag und den Schutzmaßnahmen verbinden lässt. Die folgenden acht VVT Fehler zeigen, welche Folgen typische Abweichungen haben und wie Sie belastbare Gegenmaßnahmen einrichten. Der Autor dieses Beitrags ordnet dabei die Anforderungen aus der Datenschutz Grundverordnung, kurz DSGVO, in umsetzbare Prüfschritte ein.
Fehler 1: Das Verzeichnis nennt nur Überschriften statt Verarbeitungsvorgänge
Einträge wie „Personal“, „Buchhaltung“, „Patientendaten“ oder „Marketing“ bezeichnen Arbeitsbereiche, aber keine Verarbeitungstätigkeiten. Sie lassen offen, wer welche Daten zu welchem Zweck verarbeitet, aus welcher Quelle sie stammen, welche Empfänger eingebunden sind und wann die Daten gelöscht werden. Damit kann das Verzeichnis die Mindestangaben nach Artikel 30 Absatz 1 DSGVO nicht nachvollziehbar abbilden.
Die Folge ist nicht allein ein unvollständiges Feld im Dokument. Zwecke, Kategorien betroffener Personen, Datenkategorien und Empfänger lassen sich nicht einem konkreten Ablauf zuordnen. Auch die Prüfung, ob eine Löschfrist oder eine technische Maßnahme passt, bleibt zwangsläufig abstrakt.
Den tatsächlichen Ablauf als Einheit erfassen
Beschreiben Sie stattdessen einzelne Verfahren, die im Betrieb tatsächlich stattfinden. In einer Zahnarztpraxis können etwa Terminverwaltung, Behandlungsdokumentation, Abrechnung und Personalverwaltung getrennte Tätigkeiten sein. In einer Steuerkanzlei sind Mandatsverwaltung, Finanzbuchhaltung und Lohnabrechnung regelmäßig unterschiedliche Datenflüsse.
Für jede Tätigkeit sollte nachvollziehbar feststehen:
- der konkrete Zweck und die betroffenen Personengruppen,
- die verarbeiteten Datenkategorien und ihre Herkunft, soweit dies für den Ablauf relevant ist,
- interne Stellen und externe Empfänger,
- eingesetzte Systeme, Speicherorte und Löschregeln,
- die für den Vorgang einschlägigen technischen und organisatorischen Maßnahmen.
Der Maßstab ist nicht die Organisationsgrafik, sondern der reale Umgang mit Daten. Eine Einordnung der Pflicht und des Umfangs bietet der Beitrag Artikel 30 DSGVO für kleine Betriebe verständlich einordnen.
Fehler 2: Der Dienstleister fehlt bei den Empfängern
Ein Auftragsverarbeitungsvertrag liegt im Vertragsordner, im VVT erscheint der Dienstleister aber nicht als Empfänger. Dieser Widerspruch kommt häufig vor, etwa bei Praxissoftware, Lohnbüros, Hosting, Fernwartung oder cloudgestützter Buchhaltung. Artikel 30 Absatz 1 Buchstabe d DSGVO verlangt Kategorien von Empfängern, gegenüber denen personenbezogene Daten offengelegt worden sind oder noch offengelegt werden.
Auftragsverarbeiter sind nicht mit eigenen Verantwortlichen gleichzusetzen. Dennoch kann ihre Einbindung eine Offenlegung und damit eine im Verzeichnis zu erfassende Empfängerkategorie bedeuten. Entscheidend ist, dass das VVT den tatsächlichen Datenfluss erkennen lässt und nicht im Widerspruch zur Dienstleisterdokumentation steht.
Eine führende Dienstleisterliste festlegen
Bestimmen Sie eine gepflegte Liste aller eingesetzten Dienstleister als führende Quelle. Sie sollte mindestens Dienstleistung, verarbeitende Daten, Vertrag nach Artikel 28 Absatz 3 DSGVO, Einsatzstatus, Unterauftragsverarbeiter und gegebenenfalls Drittlandbezug enthalten. Aus dieser Liste müssen die Empfängerangaben der betroffenen Verarbeitungstätigkeiten ableitbar sein.
Praktisch bewährt sich eine Änderung nur dann als abgeschlossen, wenn gleichzeitig Vertrag, Dienstleisterliste und VVT geprüft wurden. Wird etwa ein neues Terminbuchungssystem genutzt, ist nicht nur der Vertrag abzulegen. Auch die betroffene Tätigkeit, die Empfängerangabe, die TOM, der Speicherort und die Löschregel sind zu aktualisieren. Wie Sie diesen Schritt dokumentiert nachziehen, erläutert einen neuen Auftragsverarbeiter im Verzeichnis richtig nachziehen.
Fehler 3: Die TOM bleiben bei jedem Verfahren gleich und ohne Bezug
Viele Verzeichnisse enthalten bei jeder Tätigkeit denselben Standardtext zu Zutrittskontrolle, Zugangskontrolle und Datensicherung. Solche Maßnahmen können vorhanden sein, belegen aber nicht ohne Weiteres, dass sie für den jeweiligen Datenfluss angemessen ausgewählt und umgesetzt wurden. Artikel 32 DSGVO fordert Maßnahmen, die unter Berücksichtigung des Risikos ein angemessenes Schutzniveau gewährleisten.
Die Folge ist ein schwacher Nachweis der risikoorientierten Betrachtung. Besonders auffällig wird dies, wenn besonders sensible Daten, Fernzugriffe, mobile Geräte oder umfangreiche Berechtigungen vorkommen, die TOM aber keinerlei Bezug dazu zeigen. Ein allgemeiner Katalog ersetzt nicht die Zuordnung zur konkreten Verarbeitung.
Den Datenfluss mit den Schutzmaßnahmen verbinden
Gehen Sie vom Ablauf aus: Wo werden Daten erhoben, übertragen, gespeichert, eingesehen, verändert und gelöscht? Ordnen Sie daran anknüpfend die tatsächlich geltenden Maßnahmen zu. Bei einer cloudbasierten Praxissoftware können dies etwa rollenbezogene Berechtigungen, Mehrfaktorabsicherung, verschlüsselte Übertragung, Protokollierung, geregelte Fernwartung und Wiederherstellungsverfahren sein, soweit sie tatsächlich eingerichtet sind.
Dokumentieren Sie keine Maßnahme, deren Umsetzung nicht geprüft wurde. Wenn eine Maßnahme zentral für mehrere Verfahren gilt, darf sie zentral beschrieben werden. Im jeweiligen VVT Eintrag muss jedoch erkennbar bleiben, warum und in welchem Umfang sie einschlägig ist. Die technische Dokumentation, Verträge und die gelebte Systemkonfiguration sollten dasselbe Bild ergeben.
Fehler 4: Löschfristen stehen ohne Auslöser im Dokument
Eine Angabe wie „Löschung nach zehn Jahren“ genügt für die Umsetzung nicht. Offen bleibt, ab welchem Ereignis die Frist beginnt, welches System betroffen ist, ob ein gesetzlicher Aufbewahrungsgrund entgegensteht und wer die Löschung ausführt oder kontrolliert. Die Speicherbegrenzung aus Artikel 5 Absatz 1 Buchstabe e DSGVO wird dadurch nicht operationell.
Aufbewahrungsfristen können sich je nach Datenart, Rechtsgebiet und Einzelfall unterscheiden. Für Arztpraxen, Steuerkanzleien und andere Berufsgruppen gelten teilweise besondere Vorgaben. Eine pauschale Frist für sämtliche Daten eines Verfahrens ist deshalb regelmäßig kein belastbarer Ersatz für die Prüfung der konkreten Unterlagen und Rechtsgrundlagen.
Vier Angaben pro Löschregel festhalten
Jede Löschregel braucht mindestens ein auslösendes Ereignis, die anschließende Frist, den Speicherort und eine zuständige Rolle. Ein Auslöser kann beispielsweise das Ende eines Vertragsverhältnisses, der Abschluss eines Vorgangs oder der Ablauf einer gesetzlichen Aufbewahrungspflicht sein. Ergänzen Sie, ob automatisiert gelöscht, gesperrt oder manuell geprüft wird.
| Prüffrage | Erforderlicher Nachweis |
|---|---|
| Wann beginnt die Frist? | Ereignis, etwa Vorgangsabschluss oder Vertragsende |
| Wo liegen die Daten? | Fachanwendung, Dateisystem, Archiv und Sicherungskonzept |
| Wer handelt? | Benannte Rolle mit Prüf oder Löschaufgabe |
| Was geschieht bei Ablauf? | Löschung, Sperrung oder dokumentierte Ausnahme |
Ein belastbares Löschkonzept behandelt außerdem Sicherungen, Papierakten und Exportdateien. Vertiefende Grundlagen finden Sie unter Löschkonzept verstehen, Fristen, Auslöser und Nachweise.
Fehler 5: Unterauftragsverarbeiter werden nicht geprüft
Ein Hauptdienstleister setzt häufig weitere Anbieter ein, etwa für Hosting, Support, Versand oder Sicherheitsleistungen. Werden diese Unterauftragsverarbeiter nur als Anlage zum Vertrag abgelegt oder gar nicht erfasst, fehlt der Nachweis, dass ihre Beauftragung nach Artikel 28 Absatz 2 DSGVO geprüft und genehmigt wurde. Das gilt besonders bei Änderungen während der Vertragslaufzeit.
Die Folgen betreffen nicht nur die Vertragsakte. Ohne Prüfung bleibt offen, welche Stellen tatsächlich Zugriff erhalten, ob sich der Datenfluss verändert und ob TOM, Empfängerangaben oder Drittlandübermittlungen anzupassen sind. Eine frühere allgemeine Kenntnis des Hauptdienstleisters ersetzt keine dokumentierte Behandlung einer konkreten Änderung.
Prüfung vor Einsatz und bei jeder Änderung
Legen Sie einen festen Ablauf fest: Der Dienstleister meldet einen geplanten Einsatz oder Wechsel, die zuständige Stelle prüft Vertrag, Zweck, Datenzugriff, Speicherort und Übermittlungsgrundlage, anschließend wird die Genehmigung oder der Widerspruch dokumentiert. Bei allgemeiner schriftlicher Genehmigung verlangt Artikel 28 Absatz 2 DSGVO eine Information über beabsichtigte Änderungen und eine Möglichkeit, Einspruch zu erheben.
Halten Sie Datum, Quelle der Information, Entscheidung, entscheidende Rolle und die daraus folgenden Dokumentenänderungen fest. So lässt sich später belegen, dass die Prüfung nicht nur theoretisch vorgesehen, sondern durchgeführt wurde.
Fehler 6: Drittlandübermittlungen bleiben unerwähnt
Ein Dienstleister mit europäischer Rechnungsadresse bedeutet nicht automatisch, dass keine Übermittlung in ein Drittland stattfindet. Relevante Konstellationen können sich aus Speicherorten, Supportzugriffen, Fernwartung, konzerninternen Leistungen oder Unterauftragsverarbeitern ergeben. Fehlt dieser Punkt im VVT, ist die Angabe zu Übermittlungen in Drittländer nach Artikel 30 Absatz 1 Buchstabe e DSGVO unvollständig.
Zugleich bleibt ungeklärt, auf welcher Grundlage die Übermittlung nach Kapitel V DSGVO erfolgt. Ob eine Übermittlung vorliegt und welche Grundlage trägt, hängt vom konkreten Datenfluss ab. Eine bloße Aussage des Anbieters ohne Prüfung der Vertragsunterlagen und technischen Einsatzbedingungen genügt als Nachweis nicht.
Prüfen Sie daher für jeden externen Dienstleister den tatsächlichen Speicherort, mögliche Zugriffsorte für Support und Administration sowie die Kette weiterer Dienstleister. Dokumentieren Sie das Ergebnis auch dann, wenn keine Drittlandübermittlung festgestellt wird. Bei bejahter Übermittlung gehören die passende Übermittlungsgrundlage und gegebenenfalls erforderliche ergänzende Bewertungen in die Dokumentation.
Fehler 7: Änderungen werden nur in der Rechnung oder E-Mail sichtbar
Eine neue Softwarelizenz auf einer Rechnung, eine Supportankündigung per E Mail oder ein neuer Vertrag im Einkauf zeigen oft als Erstes, dass sich eine Verarbeitung geändert hat. Bleibt die Word Datei des VVT unverändert, dokumentiert sie nach kurzer Zeit einen historischen Zustand. Das ist besonders problematisch, wenn neue Funktionen Datenkategorien, Empfänger, Berechtigungen oder Speicherorte verändern.
Die Gegenmaßnahme ist kein jährliches bloßes Durchlesen allein, sondern ein verbindlicher Änderungsprozess. Fachbereich, verantwortliche Leitung und Datenschutzbeauftragter müssen wissen, welche Änderungen vor Beschaffung oder Einsatz gemeldet werden. Dazu gehören neue oder ersetzte Software, neue Dienstleister, geänderte Schnittstellen, neue Fernzugriffe und geänderte Aufbewahrungsabläufe.
Führen Sie eine Änderungsmeldung mit Anlass, betroffener Tätigkeit, prüfender Rolle, Entscheidung und Umsetzungsdatum. Prüfen Sie dabei stets VVT, Dienstleisterliste, Vertrag, TOM und Löschkonzept gemeinsam. Eine Rechnung oder E Mail bleibt dann ein Auslöser, aber nicht der einzige Nachweis der Änderung.
Fehler 8: Es gibt keinen Nachweis der regelmäßigen Überprüfung
Auch wenn ein VVT inhaltlich einmal richtig war, muss der Verantwortliche seine Rechenschaftspflicht erfüllen. Artikel 5 Absatz 2 DSGVO verlangt nicht nur die Einhaltung der Grundsätze, sondern auch den Nachweis darüber. Ohne dokumentierte Überprüfung lässt sich kaum zeigen, wann die Übereinstimmung mit der tatsächlichen Verarbeitung zuletzt kontrolliert wurde.
Legen Sie einen wiederkehrenden Prüftermin fest und ergänzen Sie anlassbezogene Prüfungen bei relevanten Änderungen. Das Prüfprotokoll sollte Datum, geprüfte Unterlagen, beteiligte Rollen, Ergebnis, Abweichungen, Maßnahmen und offene Punkte enthalten. Wichtig ist auch die Nachverfolgung: Eine festgestellte Lücke ist erst geschlossen, wenn die Änderung umgesetzt und überprüfbar dokumentiert ist.
Für kleine Betriebe genügt häufig ein schlanker, aber konsequent geführter Ablauf. Entscheidend ist nicht die Länge des Protokolls, sondern die Nachweiskette von der Feststellung über die Entscheidung bis zur Korrektur.
Fazit: Nachweise vor der Prüfung schließen
Die acht Fehler haben eine gemeinsame Ursache: Verzeichnis, Dienstleisterunterlagen, TOM und Löschkonzept werden als getrennte Dokumente behandelt. Ein belastbarer Nachweis entsteht dagegen, wenn jeder reale Datenfluss in allen einschlägigen Unterlagen konsistent erscheint, Änderungen gesteuert werden und die regelmäßige Prüfung ein dokumentiertes Ergebnis hinterlässt.
Verarbeitungsbuch verbindet Verzeichnis von Verarbeitungstätigkeiten, TOM und Löschfristen in einem gepflegten Dokument, das bei einer Anfrage der Aufsichtsbehörde sofort vorzeigbar ist. Wenn Sie die Zusammenführung für Mandanten oder den eigenen Betrieb sehen möchten, fordern Sie eine Vorführung oder frühen Zugang über das Kontaktformular an.
