Start / Glossar / Recht und Normen
Verzeichnis von Verarbeitungstätigkeiten (VVT)
Das Verzeichnis von Verarbeitungstätigkeiten beschreibt nach Art. 30 DSGVO jeden Ablauf, in dem ein Unternehmen personenbezogene Daten verarbeitet, mit Zweck, Datenarten, Empfängern, Löschfristen und Schutzmaßnahmen. Die Aufsichtsbehörde kann es jederzeit anfordern.
Art. 30 Abs. 1 DSGVO verlangt von jedem Verantwortlichen ein Verzeichnis aller Verarbeitungstätigkeiten, schriftlich oder elektronisch (Abs. 3). Auch Auftragsverarbeiter führen eines (Abs. 2). Die Aufsichtsbehörde bekommt das Verzeichnis auf Anfrage (Abs. 4). Fehlt es oder ist es unvollständig, droht ein Bußgeld nach Art. 83 Abs. 4. Die Datenschutzkonferenz (DSK), das Gremium der deutschen Aufsichtsbehörden, nennt in ihren Hinweisen zum Verzeichnis die „Löschung sowie Entsorgung von Datenträgern“ als Beispiel für eine Verarbeitungstätigkeit.
Unternehmen unter 250 Beschäftigten sind nur ausgenommen, wenn die Verarbeitung kein Risiko birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien betrifft (Abs. 5). Wer Löhne abrechnet, verarbeitet laufend Daten und fällt laut DSK deshalb kaum unter die Ausnahme. Eine EU-Änderung, die die Ausnahme ausweiten soll (Verfahren 2025/0130(COD)), war am 10.10.2026 nicht verabschiedet: Parlament und Rat haben sich auf einen Text geeinigt, die Abstimmung im Plenum stand noch aus. Bis die Änderung in Kraft tritt, gilt Abs. 5 unverändert.
| Angabe im Verzeichnis | Was Sie vor der Ausmusterung prüfen | Hinweis der DSK |
|---|---|---|
| Löschfristen (lit. f) | Sind sie für die Daten auf den Geräten abgelaufen, oder laufen noch Aufbewahrungsfristen? | Ein allgemeiner Verweis auf Aufbewahrungspflichten genügt nicht. |
| Empfänger (lit. d) | Ist der Dienstleister eingetragen? | Auftragsverarbeiter können Empfänger sein. |
| Drittländer (lit. e) | Gehen Daten aus der EU hinaus? | Eine Aussage auch dann, wenn keine Übermittlung stattfindet. |
| Schutzmaßnahmen (lit. g) | Sind Löschverfahren und Beauftragung von Dienstleistern beschrieben? | Beides gehört zu den TOM. |
| Änderungen | Ist der neue Stand datiert vermerkt? | Änderungen ein Jahr nachvollziehbar halten. |
Bei uns liegt der Auftragsverarbeitungsvertrag vor jeder Abholung von Geräten mit Daten vor. Gelöscht wird in Deutschland mit Securaze nach NIST SP 800-88 Purge, und Sie erhalten ein Löschprotokoll je Gerät mit Seriennummer. Welche Belege zusammengehören, zeigt der Beitrag Belege der IT-Ausmusterung.
Was das für Ihre Ausmusterung bedeutet
Gleichen Sie das Verzeichnis vor der Abholung mit der Geräteliste ab. Klären Sie für die Daten auf den Geräten, ob Löschfristen abgelaufen sind. Tragen Sie den Dienstleister als Empfänger ein und vermerken Sie, ob Daten in ein Drittland gehen. Beschreiben Sie bei den Schutzmaßnahmen Löschverfahren und Beauftragung, datieren Sie die Änderung und legen Sie die Löschprotokolle dort ab, wohin das Verzeichnis für Nachweise verweist.
Verwandte Begriffe
- Technische und organisatorische Maßnahmen (TOM)
- Löschkonzept (DIN 66398)
- Auftragsverarbeitungsvertrag (AVV)
- Aufbewahrungsfristen
- Datenschutzbeauftragter
Ankauf
Ausgemusterte IT verkaufen?
Wir kaufen alles an, auch alte und defekte Geräte, und zahlen auch dort noch, wo andere abwinken. Die Abholung ist kostenlos, schon ab einem Gerät. Sie bekommen noch am selben Werktag eine Antwort.
Stand: 10.10.2026. Keine Rechtsberatung.