Erstellen Sie Ihr Verzeichnis von Verarbeitungstätigkeiten — bevor die Prüfung kommt

Artikel 30 der Datenschutz-Grundverordnung (EU) 2016/679 verpflichtet jeden Verantwortlichen, ein schriftliches Verzeichnis der Verarbeitungstätigkeiten zu führen. Die Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern (Art. 30 Abs. 5) gilt nur, wenn die Verarbeitung gelegentlich erfolgt, unwahrscheinlich ein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt und keine besonderen Kategorien personenbezogener Daten (Art. 9) oder strafrechtliche Daten (Art. 10) umfasst. Lohnabrechnung, eine Kundendatenbank oder ein Newsletter sind regelmäßige, keine gelegentlichen Tätigkeiten — die Ausnahme greift daher in der Praxis kaum. Bei einer Prüfung ist das VVT meist das erste Dokument, das Aufsichtsbehörden wie die deutschen Landesdatenschutzbehörden anfordern.