Verzeichnis der Verarbeitungstätigkeiten (VVT)

Leistungen

Intelligente Dokumentation mit Mehrwert

Sobald in Ihrem Unternehmen die Verarbeitung von personenbezogenen Daten nicht nur gelegentlich erfolgt, unterliegen Sie den Anforderungen von Art. 30 der DS-GVO. Hier wird eine Dokumentation für alle Prozesse gefordert, bei denen personenbezogene Daten erhoben, verarbeitet, gespeichert, offengelegt, verknüpft oder auch gelöscht werden. Auf Verlangen der Aufsichtsbehörden müssen Sie in der Lage sein, die Einhaltung der Vorschriften der DS-GVO in einem Verzeichnis der Verarbeitungstätigkeiten (VVT) nachzuweisen. 

Schon bei mittelgroßen Unternehmen, kann dieses Verzeichnis sehr umfangreich werden und die Erstellung erfordert eine komplexe Analyse aller Unternehmensprozesse. 

Doch bei allem Aufwand gilt zu bedenken: ein gut geführtes und umfassendes Verzeichnis der Verarbeitungstätigkeiten vereinfacht viele weitere datenschutzrelevante Notwendigkeiten wie:

• Auskunftsersuchen
• Datenschutz-Folgenabschätzung
• Risikobewertung
• Erfüllung der Informationspflichten
• Interessensabwägung
• Löschkonzept

Was ein gutes VVT ausmacht

Um einen echten Mehrwert aus dem Verzeichnis der Verarbeitungstätigkeiten zu erzielen und rechtskonform zu sein, sollte dieses mindestens folgende Angaben für jede Verarbeitungstätigkeit enthalten:

• Zweck der Verarbeitung: z. B. Bewerbungsmanagement
• Kategorien betroffener Personen: z. B. Bewerber
• Kategorien betroffener Daten: z. B. Kontaktdaten, Lebenslauf, Zeugnisse
• Empfänger der Daten: z. B. Personalabteilung, Betriebsrat, potentielle Vorgesetzte
• Für die Verarbeitung verwendete Systeme: z. B. Bewerbungsmanagementtool
• Maßnahmen zur Sicherstellung einer gesetzeskonformen Verarbeitung: z. B. Anonymisierung der Daten nach Bewerbungsabsage oder Einholung einer Einwilligung zur Aufnahme in den Bewerberpool
• Löschung der Daten: z. B. automatisierte Löschung der Datensätze 120 Tage nach Ablehnung
• Rechtsgrundlage für die Verarbeitung der Daten: z. B. Art. 88 DS-GVO i.V.m. § 26 Abs. 1 BDSG
• Risikoanalyse: z. B. welche Schäden und Folgen sowie Eintrittswahrscheinlichkeiten dieser könnten einer sich bewerbenden Person, durch die Verarbeitung der Bewerbungsdaten, drohen
• Erforderlichkeit einer etwaigen Datenschutz-Folgenabschätzung: z. B. bei automatisierten Entscheidungen und der Verarbeitung einer sehr großen Anzahl an Bewerbungsdatensätzen