Inhalt dieses Artikels
Du nutzt ein CRM, eine Newsletter-Software, eine Support-Inbox, Cloud-Speicher, eine Lohnabrechnung und vermutlich längst einen KI-Assistenten. Trotzdem kann niemand im Team spontan sagen, welche personenbezogenen Daten wohin fließen, wer darauf zugreift und wann sie verschwinden. Genau diese Lücke schließt das Verzeichnis von Verarbeitungstätigkeiten, kurz VVT.
Die größere Schwachstelle in jungen Unternehmen ist selten das fehlende Cookie-Banner. Es ist die undokumentierte Datenrealität. Sobald ein Enterprise-Deal einen Sicherheitsfragebogen mitbringt, eine Betroffenenanfrage eingeht oder du Auftragsverarbeitungsverträge prüfen musst, brauchst du eine belastbare Grundlage. Erwarte dabei keine perfekte Vorlage: Ziel ist ein schlankes, ehrliches Arbeitsdokument, das deine tatsächliche Arbeitsweise abbildet und mitwächst.
Was ein Verarbeitungsverzeichnis wirklich dokumentiert
Das VVT beschreibt wiederkehrende Geschäftsprozesse, in denen personenbezogene Daten verarbeitet werden. „Verarbeitung“ ist weit gefasst. Erheben, Speichern, Ordnen, Nutzen, Übermitteln, Einschränken und Löschen gehören dazu. Wer eine Mailadresse in ein CRM einträgt, verarbeitet bereits.
Ein Eintrag beschreibt deshalb nie nur ein Tool, sondern den Geschäftsvorgang mit Zweck, betroffenen Personen, Datenarten, Empfängern, Speicherlogik und Schutzmaßnahmen. Ein Lead kommt über das Kontaktformular, wird im CRM qualifiziert und vom Vertrieb kontaktiert. Eine Bewerbung geht ein, wird von den zuständigen Personen gelesen und nach dem Auswahlverfahren gelöscht oder in ein Arbeitsverhältnis überführt. Ein Support-Ticket wandert bei Bedarf ins Technikteam und wird nach einer festgelegten Frist archiviert.
Die Pflicht ist nicht neu. Seit dem 25. Mai 2018 müssen Verantwortliche und Auftragsverarbeiter ein Verzeichnis aller Verarbeitungstätigkeiten führen. Der Landesbeauftragte für den Datenschutz Niedersachsen beschreibt auch den Preis des Fehlens: Für ein fehlendes, unvollständiges oder nicht vorgelegtes Verzeichnis sind Geldbußen von bis zu 10.000.000 Euro vorgesehen oder, im Fall eines Unternehmens, bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. In der Praxis von Startups ist das selten der erste Hebel einer Aufsichtsbehörde. Als Argument gegen das Aufschieben taugt es trotzdem.
Quelle: LfD Niedersachsen zum Verzeichnis von Verarbeitungstätigkeiten
Warum die Ausnahme für kleine Teams fast nie greift
Rechtsgrundlage ist Artikel 30 DSGVO. Viele Gründerinnen und Gründer hören davon zum ersten Mal mitten in einem Sales-Prozess, und dann meist in der verkürzten Form: unter einer bestimmten Größe müsse man nichts dokumentieren. Diese Lesart ist der häufigste Irrtum zum Thema.
Die Ausnahme setzt voraus, dass du weniger als 250 Beschäftigte hast und zusätzlich keiner der folgenden Punkte zutrifft:
- Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen.
- Es sind besondere Datenkategorien nach Artikel 9 Abs. 1 DSGVO betroffen, etwa Gesundheitsdaten oder Angaben zu religiösen Überzeugungen.
- Die Verarbeitung erfolgt nicht nur gelegentlich.
- Es werden personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten verarbeitet.
Das Kriterium der nicht nur gelegentlichen Verarbeitung entscheidet fast jeden Fall. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit hält ausdrücklich fest, dass schon die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten dieses Kriterium entfallen lässt und die Ausnahme deshalb nur in wenigen Fällen greift. Ein Startup mit Gehaltsabrechnung, Kundendatei und eigener Website liegt nicht in diesen wenigen Fällen.
Quellen: HBDI Hessen, häufig gestellte Fragen | LfD Niedersachsen, FAQ für kleinere Unternehmen
Erst die Rolle klären, dann den Eintrag schreiben
Bevor du einen Eintrag formulierst, klär die Rolle. Als Verantwortlicher entscheidet dein Startup über Zwecke und wesentliche Mittel der Verarbeitung: eigene Leads, Personalverwaltung, Newsletter-Versand. Auftragsverarbeiter ist nach Artikel 4 Nr. 8 DSGVO dagegen, wer personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet, also nach dessen Weisungen.
Das typische SaaS-Bild: Für Marketing, Personal und Vertrieb bist du Verantwortlicher. Für die Daten, die deine Kunden in dein Produkt einspeisen, kannst du Auftragsverarbeiter sein. Beide Rollen gleichzeitig zu tragen ist normal. Entscheidend ist, dass die Rolle pro Verarbeitung geprüft wird und nicht pro Unternehmen.
Für das Verzeichnis hat das Folgen. Als Verantwortlicher dokumentierst du vor allem Zwecke, Kategorien betroffener Personen und Daten, Empfänger, Drittlandübermittlungen, Löschfristen und technisch-organisatorische Maßnahmen. Als Auftragsverarbeiter dokumentierst du vor allem Namen und Kontaktdaten jedes Auftraggebers, die Kategorien der in seinem Auftrag durchgeführten Verarbeitungen, Drittlandübermittlungen sowie die Schutzmaßnahmen. Die Vertragsgrundlage dafür regelt Artikel 28 DSGVO. Beim Produktbetrieb lohnt es sich deshalb, Nutzerverwaltung, Supportzugriffe, Hosting und Backups getrennt nach tatsächlicher Rolle zu bewerten.
Quelle: LfD Niedersachsen zur Auftragsverarbeitung
Die Pflichtfelder in verständlicher Startup-Sprache
Ein Muster ist eine Strukturhilfe, kein Ergebnis. Du musst es an deine Prozesse, Datenarten, Dienstleister und Löschregeln anpassen. Diese Felder gehören in jeden Eintrag als Verantwortlicher:
- Verantwortlicher und Kontakt: Firmenname, Anschrift, zuständige Ansprechperson und, falls benannt, der Datenschutzbeauftragte.
- Zweck: das geschäftliche Warum, also „Bearbeitung von Vertriebsanfragen“ statt nur „CRM“.
- Betroffenengruppen: Leads, Kunden, Nutzer, Bewerber, Mitarbeitende, Lieferanten.
- Datenkategorien: Kontakt- und Stammdaten, Kommunikationsinhalte, Vertragsdaten, Nutzungsdaten, Zahlungsdaten, Bewerbungsunterlagen, Zugangsdaten.
- Empfänger: interne Bereiche und externe Stellen wie Hosting, CRM, Newsletter, Zahlungsabwicklung oder Lohnbüro. Die Datenweitergabe muss nachvollziehbar bleiben.
- Drittlandbezug: Gehen Daten aus der EU heraus oder greift jemand von außerhalb darauf zu? Dann gehören die genutzten Garantien dazu.
- Löschfristen: eine konkrete Frist oder ein nachvollziehbares Kriterium. „Bei Bedarf“ ist keine Frist.
- Schutzmaßnahmen: Rollen- und Berechtigungskonzept, Zwei-Faktor-Authentisierung, Verschlüsselung, geregelte Zugriffe, Backup und Wiederherstellung.
Software darf als Zusatzinformation dastehen. Sie ersetzt die Beschreibung der Tätigkeit nie. Genau daran scheitern die meisten selbstgebauten Listen. Und noch eine Trennregel: Bündle ähnliche Abläufe, aber lege einen eigenen Eintrag an, sobald sich Zweck, Betroffenengruppe, Datenkategorie, Empfänger oder Löschfrist wesentlich unterscheiden. Ein Sammelposten „digitale Tools“ trägt nicht.
Die Datenflüsse, die junge Unternehmen übersehen
| Geschäftsprozess | Typische Daten | Worauf du achten musst |
|---|---|---|
| Bewerbermanagement | Kontaktdaten, Lebenslauf, Qualifikationen, Kommunikation | Zugriffsberechtigte und eine klare Löschlogik nach dem Verfahren |
| CRM und Newsletter | Kontaktdaten, Vertriebsstatus, Interaktionen, Einwilligungen | Vertrieb und Marketing trennen, wenn Zweck oder Löschlogik abweichen |
| Website-Analyse | Nutzungs- und Gerätedaten, IP-bezogene Informationen | Zweck, Dienstleister und etwaige Übermittlungen nach außerhalb der EU |
| Support | Kontaktangaben, Ticketinhalte, Diagnoseinformationen | Zugriffe auf Kundensysteme und die Rollenverteilung dabei |
| Personal und Lohn | Personal-, Steuer-, Bank- und Abwesenheitsdaten | Getrennte Zwecke, externe Empfänger, Aufbewahrungspflichten |
| Produktbetrieb | Nutzerkonten, Inhaltsdaten, Logs, Backups | Bereitstellung, Hosting, Backups und Supportzugriffe sauber trennen |
| KI-Werkzeuge | Eingabedaten aus Tickets, Dokumenten, Notizen | Anbieter, Speicherort, Zugriffe und erlaubte Einsatzszenarien |
Am häufigsten fehlt der letzte Punkt. Ein KI-Assistent, der Supporttickets zusammenfasst, verarbeitet in der Regel personenbezogene Eingaben. Lege vor der Einführung fest, welche Szenarien erlaubt sind und welche internen Regeln gelten. Bei voraussichtlich hohem Risiko kann zusätzlich eine Datenschutz-Folgenabschätzung nötig werden.
Quelle: LDI Nordrhein-Westfalen zum Verarbeitungsverzeichnis
In fünf Schritten zum belastbaren Grundgerüst
Ein tragfähiges Grundgerüst entsteht an einem konzentrierten Nachmittag. Es muss am ersten Tag nicht vollständig sein, sondern vorzeigbar und fortschreibbar.
- Inventur: Sammle CRM, Mail, Newsletter, Hosting, Cloud-Speicher, Analyse, Support, Zahlungsanbieter, Personal- und Lohnsoftware, Bewerbungswege und KI-Werkzeuge. Vergiss Testzugänge, kostenlose Tools und geteilte Tabellen nicht.
- Nach Prozessen sortieren: Gruppiere nach Marketing, Vertrieb, Website, Produktbetrieb, Support, Personal und Finanzen. Trage je Gruppe eine zuständige Person ein.
- Pflichtfelder füllen: Übertrage Zweck, Betroffenengruppen, Datenkategorien, Empfänger, Löschlogik, Schutzmaßnahmen und Drittlandbezug.
- Lücken markieren: Kennzeichne unklare Löschfristen, unbekannte Unterdienstleister und ungeprüfte KI-Funktionen als offene Punkte, statt sie wegzulassen.
- Pflege festlegen: Schreib das Verzeichnis fort, wenn ein Tool, eine Produktfunktion, ein Markt oder eine Datenkategorie dazukommt. Ein fester Rhythmus für die Durchsicht hilft.
Die Fehler, die später Audit-Stress erzeugen
- Nur Tool-Namen eintragen statt den Geschäftsprozess und seinen Zweck zu beschreiben.
- KI- und SaaS-Abläufe vergessen, auch Testphasen und Supportzugriffe.
- Löschfristen offenlassen, weil die Antwort gerade unbequem ist.
- Rollen verwechseln, obwohl sie pro Verarbeitung zu prüfen sind.
- Drittlandbezug übersehen: Nicht nur Serverstandorte zählen, sondern auch Fernzugriffe.
- Ein Muster unverändert kopieren und das Dokument danach nie wieder anfassen.
Häufige Fragen von Gründerinnen und Gründern
Reicht eine Tabellenkalkulation aus?
Ja, wenn sie vollständig, nachvollziehbar und aktuell ist und du sie der Aufsichtsbehörde auf Anfrage vorlegen kannst. Das Dateiformat ist nicht der Kernpunkt, die Pflege ist es.
Braucht jedes Tool einen eigenen Eintrag?
Nein. Dokumentiert werden Verarbeitungstätigkeiten, also Geschäftsprozesse. Tools kannst du als eingesetzte Systeme ergänzen, wenn sie den Prozess verständlicher machen.
Ist das Verzeichnis nur für die Aufsichtsbehörde da?
Nein, und das ist der unterschätzte Teil. Es beschleunigt Kundenfragebögen, die Prüfung von Dienstleistern, Löschkonzepte und die Bewertung neuer Produktfunktionen.
Muss ein neues KI-Werkzeug sofort einen eigenen Eintrag erhalten?
Nicht zwingend. Prüfe zuerst, ob es einen bestehenden Prozess mit gleichem Zweck und vergleichbarer Datenlogik erweitert. Ändern sich Zweck, Empfänger, Datenarten oder Risiken wesentlich, braucht es einen eigenen Eintrag.
Fazit
Ein Verarbeitungsverzeichnis muss nicht perfekt sein, sondern wahr. Starte mit den zentralen Prozessen: CRM und Newsletter, Website, Produktbetrieb, Support, Bewerbungen, Personal und Lohn sowie KI-Nutzung. Hinterlege je Eintrag eine namentlich zuständige Person und das Datum der letzten Durchsicht. Damit wird aus einer Datei ein lebendes Dokument, das Sales-Fragebögen und Behördenanfragen gleichermaßen trägt.
Die Selbstprüfung für dein Team lautet: Kannst du für jeden wichtigen Datenprozess erklären, warum du Daten verarbeitest, wer sie erhält, wie du sie schützt und wann du sie löschst? Wenn ja, bist du weiter als die meisten jungen Unternehmen. Wenn nein, weißt du jetzt, wo du anfängst.
Transparenzhinweis: Dieser Beitrag wurde unter Zuhilfenahme künstlicher Intelligenz erstellt und vor der Veröffentlichung redaktionell geprüft. Alle Zahlen und Angaben wurden gegen die im Text verlinkten Primärquellen abgeglichen.
