{
  "bam_id": "DSGVO-030-VVT",
  "regulation": "DSGVO",
  "article": "Art. 30",
  "status": "ausstehend",
  "tags": [
    "vvt",
    "dokumentation",
    "verzeichnis"
  ],
  "cross_refs": [
    "CROSS-DSGVO-VVT"
  ],
  "requirement": {
    "text": "Verantwortliche (und i.d.R. auch Auftragsverarbeiter) muessen ein Verzeichnis von Verarbeitungstaetigkeiten (VVT) fuehren, das u. a. Zwecke, Kategorien betroffener Personen und Daten, Empfaenger, Drittlandtransfers, Loeschfristen und TOM enthaelt.",
    "source": "DSGVO Art. 30 Abs. 1-2",
    "priority": "hoch"
  },
  "gap_check": {
    "question": "Existiert ein vollstaendiges, aktuelles VVT, das alle Verarbeitungstaetigkeiten des Unternehmens abdeckt und regelmaessig aktualisiert wird?",
    "if_yes": "Anforderung erfuellt – Aktualisierungsprozess bei neuen Verarbeitungen sicherstellen.",
    "if_no": "Kritische Luecke: VVT ist Grundvoraussetzung fuer fast alle anderen DSGVO-Nachweise und wird bei jedem Audit als erstes angefordert.",
    "if_partial": "VVT vorhanden, aber unvollstaendig (z. B. neue Tools/Abteilungen fehlen) oder veraltet."
  },
  "remediation": {
    "summary": "VVT vervollstaendigen und Aktualisierungsprozess etablieren",
    "steps": [
      "Workshop mit Fachabteilungen zur Erfassung aller Verarbeitungstaetigkeiten durchfuehren",
      "VVT-Vorlage mit allen Pflichtfeldern nach Art. 30 ausfuellen",
      "Verantwortlichkeit fuer VVT-Pflege festlegen (z. B. Datenschutzbeauftragter + Fachbereichs-Ansprechpartner)",
      "Prozess definieren: neue Verarbeitung = VVT-Eintrag Pflichtschritt vor Go-Live"
    ],
    "effort": "hoch",
    "deadline": "sofort",
    "tools": [
      "VVT-Vorlage",
      "Erfassungs-Workshop-Leitfaden"
    ],
    "book_reference": {
      "book": "DSGVO Survival Kit",
      "chapter": "Kap. 3 – Verzeichnis von Verarbeitungstaetigkeiten"
    },
    "cost_estimate": {
      "pt_min": 5,
      "pt_max": 15,
      "note": "Stark abhaengig von Unternehmensgroesse und Anzahl Abteilungen"
    }
  },
  "risk": {
    "likelihood": 5,
    "impact": 4,
    "score": 9,
    "description": "Das VVT ist das erste Dokument, das Aufsichtsbehoerden bei einer Pruefung anfordern. Fehlen oder Unvollstaendigkeit signalisiert generelle Compliance-Schwaeche.",
    "regulatory_fine": {
      "max_eur": 20000000,
      "max_pct": "4% weltweiter Jahresumsatz",
      "basis": "DSGVO Art. 83 Abs. 5"
    }
  },
  "control": {
    "measure": "Vollstaendiges VVT mit definiertem Pflegeprozess und jaehrlichem Review",
    "priority": "sofort",
    "type": "organisatorisch"
  },
  "evidence": {
    "type": "Verarbeitungsverzeichnis (VVT)",
    "template": "VVT-Vorlage nach Art. 30",
    "audit_ready": true
  },
  "iso27001_mapping": {
    "controls": [
      "A.5.34"
    ],
    "coverage": "vollstaendig"
  },
  "iso27001_2022_controls": [
    "5.34"
  ],
  "_bam_uri": "https://bam.brain-media.de/id/DSGVO-030-VVT",
  "_model_version": "2.0",
  "_service": "Compliance Trace",
  "_license": "CC BY-SA 4.0 (see LICENSE-DATA)",
  "_attribution": "Brain-Media Audit Model (BAM), Dr. Holger Reibold, brain-media.de"
}