Pflichtangaben, Muster und Anleitung für Ihr Verarbeitungsverzeichnis. Kostenloser Leitfaden für Arztpraxen, KMU und Datenschutzbeauftragte.
Vollständiges Verzeichnis-Muster mit allen Pflichtangaben nach Art. 30 Abs. 1 DSGVO, drei ausgefüllten Beispieltätigkeiten und Leerzeilen für Ihre eigenen Verarbeitungen.
Vorlage herunterladen Vorschau ansehen Kostenlos, ohne Registrierung und ohne E-Mail-Adresse. Druckfertiges Dokument — per Strg + P als PDF speichern oder in Word einfügen. Muster ohne Gewähr, keine Rechtsberatung.Das Verarbeitungsverzeichnis (VVT) nach Art. 30 DSGVO ist das zentrale Datenschutz-Dokument jeder Organisation. Es dokumentiert alle Verarbeitungstätigkeiten, bei denen personenbezogene Daten verarbeitet werden — von der Lohnabrechnung über den Newsletter bis zur Videoüberwachung.
Die Datenschutz-Aufsichtsbehörden fordern das VVT regelmäßig als erstes Dokument bei Prüfungen an. Ein fehlendes oder unvollständiges VVT ist ein häufiger Beanstandungspunkt bei Datenschutzprüfungen.
Der Gesetzestext spricht vom Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Im Alltag heißt es VVT, Verarbeitungsverzeichnis oder Verfahrensverzeichnis — der letzte Begriff stammt noch aus dem alten BDSG, meint aber dieselbe Sache.
Und ob Sie nach einer VVT Vorlage, einem VVT Muster, einem VVT Beispiel oder nach Verarbeitungsverzeichnis Vorlage suchen: gemeint ist stets ein Dokument zum Ausfüllen. Genau das liegt auf dieser Seite — mit ausgefüllten Beispielzeilen, damit man sieht, wie ein Eintrag aussieht.
Art. 30 Abs. 1 DSGVO schreibt folgende Mindestangaben vor:
| # | Pflichtangabe | Beispiel |
|---|---|---|
| 1 | Name und Kontaktdaten des Verantwortlichen | Musterpraxis Dr. Müller GmbH |
| 2 | Ggf. gemeinsam Verantwortlicher | Laborgemeinschaft XY |
| 3 | Datenschutzbeauftragter | David Stegmann, dsb@firma.de |
| 4 | Zwecke der Verarbeitung | Patientenbehandlung, Abrechnung |
| 5 | Kategorien betroffener Personen | Patienten, Mitarbeiter, Lieferanten |
| 6 | Kategorien personenbezogener Daten | Kontaktdaten, Gesundheitsdaten, Bankdaten |
| 7 | Empfänger | Krankenkasse, Steuerberater, IT-Dienstleister |
| 8 | Drittlandtransfers | Google Analytics (USA, DPF) |
| 9 | Löschfristen | 10 Jahre nach Behandlungsende |
| 10 | TOM-Beschreibung | Verschlüsselung, Zugriffskontrolle, Backups |
Diese Verarbeitungstätigkeiten sollten in fast jedem VVT dokumentiert sein:
Arztpraxen benötigen zusätzlich: Patientenbehandlung, ePA, Laboraufträge, QM-Dokumentation.
Die sieben Einträge oben hat fast jedes Unternehmen. Je nach Branche kommen Verarbeitungen hinzu, die besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO betreffen — dort ist die Dokumentation besonders wichtig:
| Branche | Zusätzliche Verarbeitungstätigkeiten |
|---|---|
| Arztpraxis / MVZ | Patientenbehandlung, elektronische Patientenakte (ePA), Laboraufträge, Abrechnung über die KV, Terminverwaltung, QM-Dokumentation, Röntgen- und Gerätebuch |
| Zahnarztpraxis | Behandlungsdokumentation, Heil- und Kostenpläne, Dentallabor-Aufträge, Abrechnung über die KZV, Röntgendokumentation |
| Pflegedienst | Pflegedokumentation, Tourenplanung mit Adressdaten, Abrechnung mit Pflege- und Krankenkassen, Medikamentengabe, Angehörigenkontakte, Dienstpläne mit Qualifikationsnachweisen |
| Apotheke | Rezeptabwicklung, Kundenkarten, Medikationsanalyse, Botendienst mit Lieferadressen, Betäubungsmitteldokumentation |
| Psychotherapeutische Praxis | Behandlungsdokumentation, Antragsverfahren mit Gutachtern, Berichte an Krankenkassen |
| IT-Dienstleister | Fernwartung bei Kunden, Ticketsystem, Backup-Verwaltung, Auftragsverarbeitung für Dritte |
Ein Pflegedienst braucht in der Praxis besondere Aufmerksamkeit bei der Tourenplanung: dort stehen Name, Adresse, Pflegegrad und oft die Diagnose in einem Dokument, das mehrere Beschäftigte im Auto mitführen. Das gehört als eigener Eintrag ins VVT — mit den technischen und organisatorischen Maßnahmen, die dazu getroffen wurden.
Wer ein Verarbeitungsverzeichnis zum ersten Mal erstellt, kommt mit dieser Reihenfolge am schnellsten zu einem vollständigen Ergebnis:
Rechnen Sie für ein erstes vollständiges VVT mit einem halben bis einem ganzen Arbeitstag. Der zweite Durchgang im Folgejahr dauert dann meist unter einer Stunde — vorausgesetzt, das Verzeichnis ist so abgelegt, dass man es fortschreiben kann.
| Kriterium | Excel | Custodio |
|---|---|---|
| Einstieg | Kostenlos | Ab 49 €/Monat |
| Vorlagen | Manuell erstellen | 25 Branchen-Presets vorbefüllt |
| Fristen | Manuell überwachen | Automatische Erinnerungen |
| Versionierung | Dateiname_v3_final_NEU.xlsx | Automatisch mit Audit-Log |
| Export | PDF manuell | PDF, CSV, Behördenformat |
| Verknüpfung | Isoliert | Verknüpft mit AVV, TOM, DSFA |
| Zusammenarbeit | E-Mail-Versand | Multi-User, Aufgaben, Kommentare |
Mit Custodio erstellen Sie Ihr Verarbeitungsverzeichnis in Minuten — mit branchenspezifischen Vorlagen, automatischen Fristen und Behörden-Export.
Kostenlos beraten lassen Kostenlos DSE erstellen📞 Oder rufen Sie an: 030 - 91 74 77 13Datenschutz-Hotline · kostenlose Erstberatung · Mo–Fr 8–15 Uhr
Die ehrliche Antwort: bei wenigen Verarbeitungen genügt eine Tabelle, wenn sie wirklich gepflegt wird. Eine Praxis mit einem Standort, einer Praxissoftware und einer Handvoll Dienstleistern kommt mit der Vorlage von dieser Seite aus.
Der Aufwand entsteht nicht beim Anlegen, sondern beim Nachhalten: eine neue Verarbeitung kommt dazu, ein Dienstleister wird gewechselt, eine Löschfrist läuft ab, und ein Jahr später weiß niemand mehr, welche der fünf Dateiversionen die aktuelle ist. Genau an dieser Stelle fängt eine VVT-Software an, sich zu lohnen — und nicht früher.
Konkret lohnt ein VVT-Tool dann, wenn mindestens eines davon zutrifft:
Trifft nichts davon zu, nehmen Sie die Vorlage und sparen Sie sich das Abonnement. Das ist keine Bescheidenheit, sondern gemeint: eine gepflegte Tabelle ist mehr wert als eine ungepflegte Software.
Das VVT nach Art. 30 DSGVO dokumentiert alle Verarbeitungstätigkeiten einer Organisation, bei denen personenbezogene Daten verarbeitet werden. Es ist Pflicht für jeden Verantwortlichen und Auftragsverarbeiter.
Name und Kontaktdaten des Verantwortlichen, Zwecke der Verarbeitung, Kategorien betroffener Personen und Daten, Empfänger, Drittlandtransfers, Löschfristen und technisch-organisatorische Maßnahmen (TOM).
Grundsätzlich jede Organisation, die personenbezogene Daten verarbeitet. Die Ausnahme für Unternehmen unter 250 Mitarbeitern greift nur, wenn die Verarbeitung nicht regelmäßig erfolgt — in der Praxis braucht fast jedes Unternehmen ein VVT.
Ja. Für mehr als 5-10 Einträge wird Excel jedoch schnell unübersichtlich. Spezialisierte Tools wie Custodio bieten Vorlagen, automatische Fristen, Versionierung und Exportfunktionen.