Marketing Glossar

2.413 Fachbegriffe aus 22 Bereichen des Online Marketings

Verarbeitungsverzeichnis (Verzeichnis der Verarbeitungstätigkeiten)

Definition: Das Verarbeitungsverzeichnis – offiziell „Verzeichnis von Verarbeitungstätigkeiten" (VVT) – ist ein nach Art. 30 DSGVO vorgeschriebenes internes Dokument, das alle Vorgänge, bei denen personenbezogene Daten verarbeitet werden, systematisch auflistet und beschreibt. Das Verarbeitungsverzeichnis ist ein zentrales Instrument der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) und ermöglicht es Unternehmen, Datenschutzbehörden gegenüber nachzuweisen, dass sämtliche Datenverarbeitungen auf einer Rechtsgrundlage beruhen, einem definierten Zweck dienen, auf das notwendige Maß beschränkt sind und angemessen geschützt werden. Das VVT wird auf Anfrage der zuständigen Datenschutzaufsichtsbehörde vorgelegt und ist im Falle einer Datenpanne, eines Betroffenenantrags oder einer behördlichen Prüfung das erste Dokument, das Kontrolleure einsehen wollen. Für das Online-Marketing-Team hat das Verarbeitungsverzeichnis eine besondere operative Bedeutung: Es zwingt dazu, alle eingesetzten Marketing-Tools, Tracking-Technologien, Drittanbieter-Integrationen und Datenflüsse systematisch zu erfassen und rechtlich zu bewerten. In der Praxis zeigt sich, dass viele Unternehmen beim Erstellen des VVT erstmals vollständig überblicken, welche Datenmengen und -ströme ihr digitales Marketing-Ökosystem tatsächlich erzeugt.

Erläuterung

Das Verarbeitungsverzeichnis ist kein einmaliges Projekt, sondern ein lebendes Dokument, das kontinuierlich aktualisiert werden muss. Jedes Mal, wenn ein neues Marketing-Tool eingeführt, eine bestehende Integration angepasst oder ein Datenverarbeitungsvorgang eingestellt wird, muss das VVT entsprechend aktualisiert werden. Die Pflicht zur Führung des VVT ist nicht an bestimmte Unternehmensformen oder -größen gebunden, sondern gilt grundsätzlich für alle Verantwortlichen und Auftragsverarbeiter.

Art. 30 Abs. 5 DSGVO sieht eine Ausnahme für Unternehmen mit weniger als 250 Beschäftigten vor – aber diese Ausnahme greift in der Praxis kaum, da sie voraussetzt, dass die Verarbeitung kein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, keine besonderen Datenkategorien (z. B. Gesundheitsdaten) verarbeitet werden und die Verarbeitung nicht nur gelegentlich erfolgt. Da nahezu jedes Unternehmen mit Website, Newsletter oder CRM-System regelmäßig personenbezogene Daten verarbeitet, ist die Ausnahme in der Marketingpraxis kaum anwendbar. Die Datenschutzkonferenz der deutschen Aufsichtsbehörden empfiehlt ausdrücklich, das VVT unabhängig von der Unternehmensgröße zu führen.

Die Form des Verarbeitungsverzeichnisses ist gesetzlich nicht vorgeschrieben. Es kann als Excel-Tabelle, in einer spezialisierten Datenschutzmanagementsoftware oder als strukturiertes Word-Dokument geführt werden. Wichtig ist, dass es schriftlich (auch elektronisch) vorliegt, klar strukturiert ist und die in Art. 30 DSGVO aufgezählten Pflichtangaben vollständig enthält.

Ein gut geführtes VVT ist mehr als nur eine Compliance-Pflicht: Es ist ein strategisches Steuerungsinstrument. Marketing-Teams können es nutzen, um Datenflüsse zu visualisieren, Haftungsrisiken zu identifizieren, Datenschutzfolgenabschätzungen zu priorisieren und bei der Einführung neuer Technologien einen strukturierten Privacy-by-Design-Prozess zu gewährleisten. Viele Unternehmen kombinieren das VVT daher mit einem internen Datenschutz-Managementsystem (DSMS).

Pflichtangaben im Verarbeitungsverzeichnis (Art. 30 DSGVO)

Typische Verarbeitungstätigkeiten im Marketing-VVT

Praxistipp: Beginnen Sie mit einem strukturierten Bestandsaufnahme-Workshop, bei dem Marketing, IT und Datenschutzverantwortliche gemeinsam alle eingesetzten Tools und Datenflüsse kartieren. Eine einfache Excel-Tabelle mit den Pflichtfeldern aus Art. 30 DSGVO ist ein guter Einstieg – Perfektion ist weniger wichtig als Vollständigkeit und regelmäßige Aktualisierung. Verknüpfen Sie das VVT mit Ihrem Onboarding-Prozess für neue Software: Jedes neue Tool sollte erst nach Eintrag ins VVT und Prüfung der datenschutzrechtlichen Anforderungen produktiv eingesetzt werden.