DSGVO · Art. 30
DSGVO-030-VVT
VVT vervollstaendigen und Aktualisierungsprozess etablieren
Anforderung
Verantwortliche (und i.d.R. auch Auftragsverarbeiter) muessen ein Verzeichnis von Verarbeitungstaetigkeiten (VVT) fuehren, das u. a. Zwecke, Kategorien betroffener Personen und Daten, Empfaenger, Drittlandtransfers, Loeschfristen und TOM enthaelt.
Fundstelle
DSGVO Art. 30 Abs. 1-2
Gap-Check
Existiert ein vollstaendiges, aktuelles VVT, das alle Verarbeitungstaetigkeiten des Unternehmens abdeckt und regelmaessig aktualisiert wird?
Wenn ja
Anforderung erfuellt – Aktualisierungsprozess bei neuen Verarbeitungen sicherstellen.
Teilweise
VVT vorhanden, aber unvollstaendig (z. B. neue Tools/Abteilungen fehlen) oder veraltet.
Wenn nein
Kritische Luecke: VVT ist Grundvoraussetzung fuer fast alle anderen DSGVO-Nachweise und wird bei jedem Audit als erstes angefordert.
Maßnahme
- Workshop mit Fachabteilungen zur Erfassung aller Verarbeitungstaetigkeiten durchfuehren
- VVT-Vorlage mit allen Pflichtfeldern nach Art. 30 ausfuellen
- Verantwortlichkeit fuer VVT-Pflege festlegen (z. B. Datenschutzbeauftragter + Fachbereichs-Ansprechpartner)
- Prozess definieren: neue Verarbeitung = VVT-Eintrag Pflichtschritt vor Go-Live
Aufwand
hoch
Schätzung
5 bis 15 Personentage (Stark abhaengig von Unternehmensgroesse und Anzahl Abteilungen)
Zeithorizont
sofort
Hilfsmittel
VVT-Vorlage, Erfassungs-Workshop-Leitfaden
Vertiefung
DSGVO Survival Kit, Kap. 3 – Verzeichnis von Verarbeitungstaetigkeiten
Risiko
Das VVT ist das erste Dokument, das Aufsichtsbehoerden bei einer Pruefung anfordern. Fehlen oder Unvollstaendigkeit signalisiert generelle Compliance-Schwaeche.
Eintritt
5 von 5
Auswirkung
4 von 5
Bußgeldrahmen
20.000.000 EUR oder 4% weltweiter Jahresumsatz
DSGVO Art. 83 Abs. 5
Control und Nachweis
Control
Vollstaendiges VVT mit definiertem Pflegeprozess und jaehrlichem Review
Art
organisatorisch
Dringlichkeit
sofort
Nachweis
Verarbeitungsverzeichnis (VVT)
Vorlage
VVT-Vorlage nach Art. 30
Verknüpfungen
Querverweise
CROSS-DSGVO-VVT
ISO 27001:2022
A.5.34 (vollstaendig)
Diesen Bezeichner zitieren
Stabilitätszusage
BAM-IDs sind stabil und werden nicht wiederverwendet. Regulierungskürzel, Nummer und Slug sind Lesehilfen, keine Aussage über den aktuellen Inhalt. Die vollständigen Zusagen stehen in docs/IDENTIFIERS.md.
Maschinenlesbar: index.json