Kostenloses Verzeichnis von Verarbeitungstaetigkeiten (VVT) Vorlage

RECHTSGRUNDLAGE DER DOKUMENTATIONSPFLICHT

Gemäß Art. 30 Abs. 1 DSGVO hat jede/r Verantwortliche und ggf. ihr/sein Vertreter ein Verzeichnis aller Verarbeitungstätigkeiten zu führen, die ihrer/seiner Zuständigkeit unterliegen. Die Pflicht gilt schriftlich oder in einem elektronischen Format (Art. 30 Abs. 3 DSGVO). Das Verzeichnis muss u. a. Namen und Kontaktdaten des Verantwortlichen (und ggf. des DSB), die Zwecke der Verarbeitung, die Kategorien betroffener Personen und personenbezogener Daten, die Empfänger, Übermittlungen in Drittländer, Löschfristen und die technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO enthalten. Die Ausnahmeregelung des Art. 30 Abs. 5 DSGVO (< 250 Beschäftigte) greift nur, sofern die Verarbeitung kein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, nicht regelmäßig erfolgt und keine besonderen Datenkategorien (Art. 9 DSGVO) oder Strafdaten (Art. 10 DSGVO) umfasst. Diese Bedingungen liegen in der Praxis selten gleichzeitig vor, weshalb die Verzeichnispflicht faktisch für fast alle Unternehmen gilt.

RECHENSCHAFTSPFLICHT (ART. 5 ABS. 2 DSGVO)

Der Verantwortliche ist für die Einhaltung der Grundsätze nach Art. 5 Abs. 1 DSGVO (Rechtmäßigkeit, Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit) verantwortlich und muss deren Einhaltung nachweisen können. Dieses Verzeichnis bildet zusammen mit den Informationspflichten (Art. 13/14 DSGVO), den TOMs (Art. 32 DSGVO), etwaigen Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und den AV-Verträgen (Art. 28 DSGVO) den Kern der Nachweisdokumentation.

TECHNISCH-ORGANISATORISCHE MASSNAHMEN (ART. 32 DSGVO)

Gemäß Art. 32 DSGVO sind angemessene TOMs zu treffen, um ein dem Risiko angemessenes Schutzniveau sicherzustellen — insbesondere Pseudonymisierung und Verschlüsselung, die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sowie die rasche Wiederherstellbarkeit nach physischen oder technischen Zwischenfällen.

Technische Maßnahmen: TLS 1.3 für alle externen Verbindungen; verschlüsselte Datenbanken (AES-256 at rest); rollenbasiertes Zugriffskonzept mit Least-Privilege; 2FA für alle administrativen Zugänge; regelmäßige Penetrationstests; tägliche verschlüsselte Backups mit 30-Tage-Retention (3-2-1-Strategie); Endpoint-Protection auf allen Arbeitsplätzen; Festplattenverschlüsselung (LUKS/BitLocker); Logging und SIEM-Auswertung sicherheitsrelevanter Ereignisse.

Organisatorische Maßnahmen: Datenschutzrichtlinie und Verpflichtung auf die Vertraulichkeit (Art. 29 DSGVO) aller Beschäftigten; jährliche Datenschutz- und IT-Sicherheits-Schulungen; dokumentiertes Berechtigungsmanagement mit Rezertifizierung; Clean-Desk-Policy; Besucherregistrierung; dokumentierte Lösch- und Aufbewahrungskonzepte; Meldewege für Datenschutzvorfälle (interne Eskalation an DSB binnen 24 h); AV-Verträge mit allen Dienstleistern.

ÜBERMITTLUNG IN DRITTLÄNDER (ART. 44–49 DSGVO)

Übermittlungen personenbezogener Daten in Staaten außerhalb der EU/des EWR erfolgen ausschließlich auf Grundlage eines Angemessenheitsbeschlusses (Art. 45 DSGVO), geeigneter Garantien (Art. 46 DSGVO — insbesondere EU-Standardvertragsklauseln nach Durchführungsbeschluss 2021/914) oder einer Ausnahme nach Art. 49 DSGVO. Für Übermittlungen in die USA wird, soweit einschlägig, auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10.07.2023) zurückgegriffen; andernfalls werden Standardvertragsklauseln zuzüglich einer Transfer Impact Assessment (TIA) in Umsetzung der „Schrems II"-Rechtsprechung (EuGH, Urteil v. 16.07.2020, C-311/18) verwendet.

Tatsächliche Drittlandübermittlungen: Übermittlung an Stripe Payments Europe (Irland) mit Weiterleitung an Stripe, Inc. (USA) auf Grundlage EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914) und EU-US Data Privacy Framework; TIA durchgeführt und dokumentiert. Keine sonstigen Drittlandübermittlungen.

AUFTRAGSVERARBEITUNG (ART. 28 DSGVO)

Soweit Dritte im Auftrag des Verantwortlichen personenbezogene Daten verarbeiten, erfolgt dies ausschließlich auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 Abs. 3 DSGVO. Der Verantwortliche arbeitet nur mit Auftragsverarbeitern zusammen, die hinreichend Garantien dafür bieten, dass geeignete TOMs durchgeführt werden und die Verarbeitung im Einklang mit der DSGVO erfolgt.

Auftragsverarbeiter (Übersicht): Hosting: Hetzner Online GmbH (DE — AVV). E-Mail-Marketing: CleverReach GmbH (DE — AVV). Zahlungsabwicklung: Stripe Payments Europe (IE — AVV + EU-SCC). Versand: DHL Paket GmbH, DPD Deutschland GmbH. Steuerberatung: Müller und Partner StB (DE — AVV). Cloud-Speicherung interner Dokumente: IONOS SE (DE — AVV). Support-Ticket-System: self-hosted Zammad.

SPEICHERDAUER UND LÖSCHFRISTEN

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die Erfüllung der Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Zu beachten sind insbesondere § 257 HGB (6 bzw. 10 Jahre für Handelsbücher, Inventare, Jahresabschlüsse, Buchungsbelege und Handelsbriefe) und § 147 AO (steuerrelevante Unterlagen 10 Jahre, sonstige Unterlagen 6 Jahre). Nach Ablauf der Aufbewahrungsfrist werden die Daten unverzüglich gelöscht oder anonymisiert, sofern keine weiteren Rechtsgrundlagen für eine Speicherung bestehen.

MELDEPFLICHTEN BEI DATENSCHUTZVORFÄLLEN (ART. 33, 34 DSGVO)

Verletzungen des Schutzes personenbezogener Daten werden gemäß Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet, sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Bei voraussichtlich hohem Risiko werden die betroffenen Personen nach Art. 34 DSGVO unverzüglich benachrichtigt. Sämtliche Vorfälle werden intern dokumentiert (Art. 33 Abs. 5 DSGVO).

DATENSCHUTZ-FOLGENABSCHÄTZUNG (ART. 35 DSGVO)

Bei Verarbeitungen, die aufgrund ihrer Art, des Umfangs, der Umstände oder der Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben — insbesondere bei systematischer und umfassender Bewertung, umfangreicher Verarbeitung besonderer Datenkategorien oder systematischer Überwachung öffentlich zugänglicher Bereiche — wird eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchgeführt. Die „Muss-Liste" der zuständigen Aufsichtsbehörde (§ 14 Abs. 3 DSAnpUG-EU / Beschlusskammer DSK) wird beachtet.

AKTUALISIERUNG UND AUFBEWAHRUNG DES VERZEICHNISSES

Dieses Verzeichnis wird laufend aktualisiert und mindestens einmal jährlich einer vollständigen Überprüfung unterzogen. Änderungen an bestehenden Verarbeitungstätigkeiten (Zweck, Rechtsgrundlage, Empfänger, Drittland, TOMs) werden zeitnah eingearbeitet; neue Verarbeitungstätigkeiten werden vor Aufnahme der Verarbeitung erfasst. Das Verzeichnis wird gemäß Art. 30 Abs. 4 DSGVO der Aufsichtsbehörde auf deren Anfrage zur Verfügung gestellt.

Nächste planmäßige Überprüfung: 1. April 2027