Verzeichnis von Verarbeitungstätigkeiten: was ein Eintrag enthalten muss
Wenn eine Aufsichtsbehörde bei euch anklopft – wegen einer Beschwerde, einer Datenpanne oder einfach so – lautet die erste Anforderung fast immer: „Bitte legen Sie Ihr Verzeichnis von Verarbeitungstätigkeiten vor." Wer dann ein gepflegtes Dokument schickt, hat den wichtigsten Eindruck schon gemacht. Wer erst googeln muss, was das ist, startet mit Rückstand. Die gute Nachricht: Ein VVT ist keine Doktorarbeit.
Stand: Juli 2026. Grundlage: Art. 30 DSGVO. Fachliche Orientierung mit Muster-Struktur – keine Rechtsberatung; die Einträge sind an euren Träger anzupassen.
„Gilt die Pflicht überhaupt für uns?" Ja.
Viele kleine Träger berufen sich auf die Ausnahme für Organisationen unter 250 Mitarbeitenden. Die steht zwar in Art. 30 Abs. 5 DSGVO – sie greift aber nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Datenkategorien umfasst. Eure Falldokumentation läuft täglich und enthält Gesundheits- und Sozialdaten: beides trifft zu. Damit ist das VVT für praktisch jeden sozialen Träger Pflicht, vom Solo-Dienst bis zum großen Verbund. Die Form ist frei – Word, Excel oder ein Tool, Hauptsache schriftlich (elektronisch zählt) und aktuell.
Was ein Eintrag enthalten muss
Je Verarbeitungstätigkeit verlangt Art. 30 Abs. 1 DSGVO im Kern sieben Angaben:
- Verantwortlicher und Kontakt (Träger, Leitung, ggf. Datenschutzbeauftragte:r – einmal zentral vorne im Dokument)
- Zwecke der Verarbeitung
- Kategorien betroffener Personen und Daten (z. B. Klient:innen: Stammdaten, Gesundheitsdaten, Verlaufsdoku)
- Kategorien der Empfänger (Kostenträger, Jugendamt, Lohnbüro, Software-Anbieter …)
- Drittlandübermittlung, falls vorhanden, mit Garantien
- Löschfristen je Datenart – hier zahlt sich ein Löschkonzept doppelt aus
- Allgemeine Beschreibung der TOM – in der Praxis ein Verweis auf eure TOM-Dokumentation
Die typischen Verarbeitungstätigkeiten eines ambulanten Trägers
Der häufigste Fehler ist, pro Software einen Eintrag anzulegen. Richtig herum wird ein Schuh draus: ein Eintrag je Tätigkeit, die Software ist nur ein Feld darin. Diese Liste deckt bei den meisten Trägern 90 Prozent ab:
- Klientenverwaltung und Falldokumentation (inkl. Hilfe-/Teilhabeplanung, Berichte)
- Leistungsabrechnung mit Kostenträgern (inkl. Leistungsnachweise)
- Kinderschutzverfahren nach § 8a SGB VIII (eigene Tätigkeit – besonders sensibel)
- Personalverwaltung (Verträge, Qualifikationen, Führungszeugnisse)
- Dienst- und Einsatzplanung, Zeiterfassung
- Lohn- und Gehaltsabrechnung (oft mit externem Lohnbüro)
- Bewerbermanagement
- Buchhaltung und Rechnungswesen
- E-Mail-Kommunikation und Terminverwaltung
- Website, Kontaktformulare, ggf. Newsletter
- Fortbildungs- und Supervisionsverwaltung
- Statistik- und Meldepflichten (z. B. Trägerstatistik)
So sieht ein Eintrag aus (Muster)
| Feld | Beispiel „Falldokumentation" |
|---|---|
| Zweck | Erbringung und Dokumentation der bewilligten Hilfen, Nachweis gegenüber Kostenträgern |
| Betroffene | Klient:innen, Sorgeberechtigte, ggf. weitere Haushaltsangehörige |
| Datenkategorien | Stammdaten, Bewilligungsdaten, Verlaufsdokumentation, Gesundheits- und Sozialdaten (Art. 9) |
| Empfänger | Kostenträger (Berichte, Nachweise), Fachsoftware-Anbieter als Auftragsverarbeiter |
| Drittland | keines / falls doch: Land + Garantie benennen |
| Löschfrist | nach Löschkonzept, je Hilfeart und Rechtsgrundlage |
| TOM | siehe TOM-Dokumentation, Version/Datum |
Drei Praxis-Tipps, die Arbeit sparen
- Erst sammeln, dann verfeinern: Ein ehrliches, grobes VVT mit zwölf Einträgen schlägt ein perfektes mit zwei. Nachschärfen könnt ihr immer.
- Pflege an Anlässe koppeln: Neue Software, neuer Dienstleister, neues Arbeitsfeld → VVT-Termin. Einmal jährlich zusätzlich ein Review, eine Stunde reicht meist.
- Querverweise nutzen: Das VVT ist die Drehscheibe – es verweist auf AVVs, TOM, Löschkonzept und zeigt an, wo eine Datenschutz-Folgenabschätzung nötig ist. Wer das VVT pflegt, merkt automatisch, wo die anderen Dokumente fehlen.
Weiterlesen
- Datenschutz-Folgenabschätzung (DSFA): wann sie Pflicht ist
- TOM nach Art. 32 DSGVO: die Vorlage für soziale Träger
- DSGVO-konforme Dokumentation & Löschkonzept
Stand: 15. Juli 2026. Muster und fachliche Orientierung, keine Rechtsberatung. Maßgeblich ist eure konkrete Verarbeitung; im Zweifel Datenschutzbeauftragte:n einbeziehen.