Verzeichnis von Verarbeitungstätigkeiten (VVT)
Hinweis: Diese Vorlage ist ein Muster zur eigenverantwortlichen
Bearbeitung und ersetzt keine Rechtsberatung im Einzelfall. Rot markierte
[Platzhalter] müssen durch Ihre tatsächlichen Angaben ersetzt werden.
Prüfen Sie das Ergebnis auf Vollständigkeit und Richtigkeit für Ihre konkrete Situation.
Rechtsstand: August 2026.
1. Angaben zum Verantwortlichen (Art. 30 Abs. 1 lit. a DSGVO)
| Angabe | Inhalt |
|---|---|
| Name und Kontaktdaten des Verantwortlichen | [Firma / Praxis, Anschrift, Telefon, E-Mail] |
| Gesetzliche Vertretung | [Geschäftsführung / Inhaber:in] |
| Datenschutzbeauftragte:r (sofern benannt) | [Name, Kontaktdaten] |
| Gemeinsam Verantwortliche (Art. 26 DSGVO), falls vorhanden | [Name, Kontaktdaten] |
| Stand des Verzeichnisses | [Datum der letzten Aktualisierung] |
Zur DSB-Pflicht: Eine Benennungspflicht besteht nach
§ 38 Abs. 1 BDSG in der Regel erst ab 20 Personen, die ständig mit der
automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — unabhängig davon
kann sich eine Pflicht aus Art. 37 Abs. 1 DSGVO oder aus einer DSFA-Pflicht
(§ 38 Abs. 1 Satz 2 BDSG) ergeben. Prüfen Sie den Einzelfall und dokumentieren Sie das Ergebnis.
2. Verarbeitungstätigkeiten (Art. 30 Abs. 1 lit. b–g DSGVO)
Die ersten drei Zeilen sind ausgefüllte Beispiele zur Orientierung; die Leerzeilen sind für Ihre eigenen Tätigkeiten vorgesehen. Legen Sie für jede Tätigkeit eine eigene Zeile an.
| Nr. | Verarbeitungstätigkeit | Zweck (lit. b) | Rechtsgrundlage | Betroffene (lit. c) | Datenkategorien (lit. c) | Empfänger (lit. d) | Löschfrist (lit. f) | TOM (lit. g) |
|---|---|---|---|---|---|---|---|---|
| 1 | Patienten-/Kundenverwaltung | Begründung und Durchführung des Behandlungs- bzw. Vertragsverhältnisses | Art. 6 Abs. 1 lit. b DSGVO; bei Gesundheitsdaten zusätzlich Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b BDSG | Patientinnen und Patienten / Kundinnen und Kunden | Stammdaten, Kontaktdaten, Behandlungs- bzw. Auftragsdaten | Praxis-/Warenwirtschaftssystem-Anbieter (Auftragsverarbeiter), Abrechnungsstelle | 10 Jahre (§ 630f Abs. 3 BGB) bzw. vertragliche Aufbewahrung | Zugriffskonzept, Verschlüsselung, Protokollierung |
| 2 | Abrechnung und Buchhaltung | Erstellung und Archivierung von Rechnungen, steuerliche Nachweispflichten | Art. 6 Abs. 1 lit. b und lit. c DSGVO i. V. m. § 147 AO, § 14b UStG | Patienten/Kunden, Lieferanten | Rechnungsdaten, Leistungsdaten, Zahlungsdaten | Steuerberatung (Auftragsverarbeiter), Finanzbehörden | 8 Jahre für Buchungsbelege und Rechnungen (§ 147 Abs. 3 AO i. d. F. BEG IV, § 14b UStG); 10 Jahre für Bücher, Inventare und Jahresabschlüsse (§ 147 Abs. 1 Nr. 1 AO) | Rollenbasierter Zugriff, revisionssichere Ablage |
| 3 | Personalverwaltung | Begründung, Durchführung und Beendigung des Beschäftigungsverhältnisses | Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 26 Abs. 1 BDSG | Beschäftigte, Bewerberinnen und Bewerber | Stammdaten, Vertragsdaten, Entgeltdaten, Qualifikationsnachweise | Lohnbuchhaltung, Sozialversicherungsträger, Finanzamt | 6 Jahre für Lohnkonten (§ 41 Abs. 1 EStG); Bewerbungsunterlagen i. d. R. 6 Monate nach Absage | Getrennte Ablage, Zugriff nur Personalverantwortliche |
| [Nr.] | [Bezeichnung der Verarbeitungstätigkeit] | [Zweck] | [Art. 6 / ggf. Art. 9 DSGVO] | [Kategorien betroffener Personen] | [Kategorien personenbezogener Daten] | [Empfänger / Auftragsverarbeiter] | [Löschfrist] | [TOM] |
| [Nr.] | [Bezeichnung der Verarbeitungstätigkeit] | [Zweck] | [Art. 6 / ggf. Art. 9 DSGVO] | [Kategorien betroffener Personen] | [Kategorien personenbezogener Daten] | [Empfänger / Auftragsverarbeiter] | [Löschfrist] | [TOM] |
| [Nr.] | [Bezeichnung der Verarbeitungstätigkeit] | [Zweck] | [Art. 6 / ggf. Art. 9 DSGVO] | [Kategorien betroffener Personen] | [Kategorien personenbezogener Daten] | [Empfänger / Auftragsverarbeiter] | [Löschfrist] | [TOM] |
| [Nr.] | [Bezeichnung der Verarbeitungstätigkeit] | [Zweck] | [Art. 6 / ggf. Art. 9 DSGVO] | [Kategorien betroffener Personen] | [Kategorien personenbezogener Daten] | [Empfänger / Auftragsverarbeiter] | [Löschfrist] | [TOM] |
| [Nr.] | [Bezeichnung der Verarbeitungstätigkeit] | [Zweck] | [Art. 6 / ggf. Art. 9 DSGVO] | [Kategorien betroffener Personen] | [Kategorien personenbezogener Daten] | [Empfänger / Auftragsverarbeiter] | [Löschfrist] | [TOM] |
3. Drittlandübermittlungen (Art. 30 Abs. 1 lit. e DSGVO)
| Empfänger | Land | Garantie nach Kapitel V DSGVO | Dokumentation |
|---|---|---|---|
| [Dienstleister] | [Land] | [Angemessenheitsbeschluss Art. 45 / Standardvertragsklauseln Art. 46 Abs. 2 lit. c / Ausnahme Art. 49] | [Fundstelle, ggf. Transfer Impact Assessment] |
| Keine Drittlandübermittlung? Dann diesen Abschnitt mit „Es findet keine Übermittlung in Drittländer statt." dokumentieren. | |||
4. Allgemeine Beschreibung der TOM (Art. 30 Abs. 1 lit. g DSGVO)
Verweisen Sie hier auf Ihr TOM-Dokument nach Art. 32 DSGVO oder beschreiben Sie die Maßnahmen zusammenfassend:
- Vertraulichkeit: Zutritts-, Zugangs- und Zugriffskontrolle, Trennungsgebot, Pseudonymisierung [konkrete Maßnahmen]
- Integrität: Weitergabe- und Eingabekontrolle, Verschlüsselung bei Übertragung und Speicherung [konkrete Maßnahmen]
- Verfügbarkeit und Belastbarkeit: Backup-Konzept, Wiederherstellungstests, Notfallplanung [konkrete Maßnahmen]
- Regelmäßige Überprüfung: Verfahren zur Bewertung der Wirksamkeit (Art. 32 Abs. 1 lit. d DSGVO) [Turnus, Verantwortliche]
Pflicht zur Führung: Das Verzeichnis ist nach Art. 30 Abs. 5
DSGVO auch für Unternehmen mit weniger als 250 Beschäftigten verpflichtend, wenn die
Verarbeitung nicht nur gelegentlich erfolgt oder besondere Datenkategorien nach Art. 9
(z. B. Gesundheitsdaten) verarbeitet werden — das trifft auf Arztpraxen und praktisch
jedes Unternehmen mit Personal zu. Es ist der Aufsichtsbehörde auf Anfrage vorzulegen
(Art. 30 Abs. 4 DSGVO).
Ort, Datum
Unterschrift Verantwortliche:r