Rechtsgrundlagen als Katalog statt als Buchstabencode, Fristen mit Auslöser statt als Freitext, Drittland-Prüfung mit Warnung und ein feldgenauer Nachweis, der das Löschen des Verfahrens überlebt.
# Verfahren: Bewerbermanagement Rechtsgrundlage Art. 6 Abs. 1 lit. b └─ Spezialgesetz § 26 BDSG Betroffene × Daten Bewerber × Gesundheitsdaten Art. 9 → Prüfung Bewerber × Kontaktdaten Frist 6 Monate ab Zweckfortfall Empfänger Bewerberportal (US) DPF-Nachweis?
Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist die nach Art. 30 DSGVO vorgeschriebene Dokumentation aller Vorgänge, bei denen eine Organisation personenbezogene Daten verarbeitet – mit Zweck, Rechtsgrundlage, Betroffenen- und Datenkategorien, Empfängern, Drittlandtransfers und Löschfristen.
Es ist in aller Regel der erste Nachweis, den eine Aufsichtsbehörde anfordert – und zugleich der, bei dem am häufigsten auffällt, dass die Dokumentation seit Jahren nicht mehr der Wirklichkeit entspricht.
Praktisch jede Organisation. Die vielzitierte Ausnahme für Stellen unter 250 Beschäftigten greift kaum: Sie entfällt bereits, wenn die Verarbeitung nicht nur gelegentlich erfolgt, wenn ein Risiko für Betroffene besteht oder wenn besondere Kategorien nach Art. 9 verarbeitet werden. Wer Personal führt, erfüllt normalerweise schon die erste Bedingung.
Eine Excel-Vorlage nimmt jede Eingabe an. Sie akzeptiert „berechtigtes Interesse“ ohne die dann zwingende Interessenabwägung. Sie lässt einen Empfänger in einem Drittland zu, ohne nach der Garantie nach Kapitel V zu fragen. Und sie führt keinen Nachweis darüber, wer wann welches Feld von welchem Wert auf welchen geändert hat.
Genau diese drei Punkte prüft eine Aufsicht. Ordivis Platform erzwingt sie deshalb im Ablauf, statt sie in einer Ausfüllhilfe zu erwähnen.
Reine Datenschutz-Werkzeuge führen ein eigenes Verzeichnis ohne Bezug zur IT-Landschaft. Dann steht dort „Bewerberportal“ als Text, und niemand merkt, wenn das dahinterliegende System ausgetauscht wird. In Ordivis Platform liegt das Verzeichnis neben CMDB und ISMS – technisch-organisatorische Maßnahmen müssen nicht doppelt dokumentiert werden, und Änderungen an der Landschaft bleiben sichtbar.
Kein Zusatzmodul – enthalten im vollen Funktionsumfang jeder Lizenz.
Nicht ab dem Vorfall. Diese Verwechslung kostet regelmäßig die Einhaltung der Frist, weil intern ab dem Datum des Ereignisses gerechnet wird. Ordivis Platform führt die Uhr ab Kenntnis und lässt einen Vorgang nicht abschließen, solange eine Meldepflicht offen ist.
Beim Data Privacy Framework für die USA ist nicht das Land zertifiziert, sondern das einzelne Unternehmen. Ein Eintrag „USA – DPF“ ohne Nachweis für den konkreten Empfänger ist deshalb wertlos. Ordivis Platform fragt den Nachweis je Empfänger ab und warnt bei Drittlandtransfer ohne Garantie nach Art. 44.
Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist die nach Art. 30 DSGVO vorgeschriebene Dokumentation aller Vorgänge, bei denen eine Organisation personenbezogene Daten verarbeitet – mit Zweck, Rechtsgrundlage, Betroffenen- und Datenkategorien, Empfängern, Drittlandtransfers und Löschfristen. Es ist der erste Nachweis, den eine Aufsichtsbehörde anfordert.
Praktisch jede Organisation. Die vielzitierte Ausnahme für unter 250 Beschäftigte greift kaum: Sie entfällt bereits, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko für Betroffene besteht oder besondere Kategorien nach Art. 9 verarbeitet werden. Wer Personal führt, erfüllt in aller Regel schon das erste Kriterium.
Eine Vorlage prüft nichts. Sie akzeptiert „berechtigtes Interesse“ ohne die dann zwingende Interessenabwägung, sie merkt nicht, wenn ein Drittlandempfänger ohne Garantie nach Kapitel V eingetragen wird, und sie führt keinen Nachweis darüber, wer wann welches Feld geändert hat. Genau diese drei Punkte fragt eine Aufsicht ab.
Fristen werden nicht als Freitext erfasst, sondern als Dauer plus Auslöser – ab Erhebung, Vertragsende, Jahresende, Zweckfortfall oder Widerruf – und zwar je Datenkategorie statt pauschal je Verfahren. Das ist der Unterschied zwischen einer Angabe, die man umsetzen kann, und einer, die nur gut aussieht.
Das Meldewesen nach Art. 33 und 34 führt die 72-Stunden-Frist ab Bekanntwerden – nicht ab Vorfall, was regelmäßig verwechselt wird. Solange eine Meldepflicht offen ist, lässt sich der Vorgang nicht abschließen; ein bewusstes Nicht-Melden verlangt eine dokumentierte Begründung nach Art. 33 Abs. 5.
Ja. Ein Assistent im Self-Service-Portal fragt in Alltagssprache ab, was ein Fachbereich über seine Verarbeitung weiß. Die Meldung geht als Entwurf an den Datenschutzbeauftragten, der prüft und freigibt – so entsteht das Verzeichnis dort, wo das Wissen liegt, ohne die fachliche Kontrolle aufzugeben.
Einen Export als PDF, CSV oder JSON. Er weist bestehende Lücken aus, statt sie zu kaschieren – ein vollständig wirkendes Verzeichnis mit stillen Leerstellen ist im Gespräch mit einer Aufsicht das schlechtere Ergebnis.
Nein. Sie strukturiert dessen Arbeit, führt den Nachweis und verhindert typische Formfehler. Die rechtliche Bewertung – etwa ob eine Interessenabwägung trägt – bleibt eine fachliche Entscheidung.
Technisch-organisatorische Maßnahmen und Risiken im selben System – keine doppelte Dokumentation.
Verfahren hängen an realen Systemen – nicht an Freitext in einer Tabelle.
Warum Verwaltungen Verzeichnis, Grundschutz und Planbarkeit zusammen denken müssen.
Von der Rechtsgrundlage über die Fristenlogik bis zum Behördenexport – in einer Demo per Videokonferenz.