Verzeichnis von Verarbeitungstätigkeiten (VVT)

Muster nach Art. 30 Abs. 1 DSGVO · Rechtsstand August 2026 · Kostenlose Vorlage von Custodio (NordPrax GmbH)

Hinweis: Diese Vorlage ist ein Muster zur eigenverantwortlichen Bearbeitung und ersetzt keine Rechtsberatung im Einzelfall. Rot markierte [Platzhalter] müssen durch Ihre tatsächlichen Angaben ersetzt werden. Prüfen Sie das Ergebnis auf Vollständigkeit und Richtigkeit für Ihre konkrete Situation. Rechtsstand: August 2026.

1. Angaben zum Verantwortlichen (Art. 30 Abs. 1 lit. a DSGVO)

Angabe	Inhalt
Name und Kontaktdaten des Verantwortlichen	[Firma / Praxis, Anschrift, Telefon, E-Mail]
Gesetzliche Vertretung	[Geschäftsführung / Inhaber:in]
Datenschutzbeauftragte:r (sofern benannt)	[Name, Kontaktdaten]
Gemeinsam Verantwortliche (Art. 26 DSGVO), falls vorhanden	[Name, Kontaktdaten]
Stand des Verzeichnisses	[Datum der letzten Aktualisierung]

Angabe

Inhalt

Name und Kontaktdaten des Verantwortlichen

[Firma / Praxis, Anschrift, Telefon, E-Mail]

Gesetzliche Vertretung

[Geschäftsführung / Inhaber:in]

Datenschutzbeauftragte:r (sofern benannt)

[Name, Kontaktdaten]

Gemeinsam Verantwortliche (Art. 26 DSGVO), falls vorhanden

[Name, Kontaktdaten]

Stand des Verzeichnisses

[Datum der letzten Aktualisierung]

Zur DSB-Pflicht: Eine Benennungspflicht besteht nach § 38 Abs. 1 BDSG in der Regel erst ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — unabhängig davon kann sich eine Pflicht aus Art. 37 Abs. 1 DSGVO oder aus einer DSFA-Pflicht (§ 38 Abs. 1 Satz 2 BDSG) ergeben. Prüfen Sie den Einzelfall und dokumentieren Sie das Ergebnis.

2. Verarbeitungstätigkeiten (Art. 30 Abs. 1 lit. b–g DSGVO)

Die ersten drei Zeilen sind ausgefüllte Beispiele zur Orientierung; die Leerzeilen sind für Ihre eigenen Tätigkeiten vorgesehen. Legen Sie für jede Tätigkeit eine eigene Zeile an.

Nr.	Verarbeitungstätigkeit	Zweck (lit. b)	Rechtsgrundlage	Betroffene (lit. c)	Datenkategorien (lit. c)	Empfänger (lit. d)	Löschfrist (lit. f)	TOM (lit. g)
1	Patienten-/Kundenverwaltung	Begründung und Durchführung des Behandlungs- bzw. Vertragsverhältnisses	Art. 6 Abs. 1 lit. b DSGVO; bei Gesundheitsdaten zusätzlich Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b BDSG	Patientinnen und Patienten / Kundinnen und Kunden	Stammdaten, Kontaktdaten, Behandlungs- bzw. Auftragsdaten	Praxis-/Warenwirtschaftssystem-Anbieter (Auftragsverarbeiter), Abrechnungsstelle	10 Jahre (§ 630f Abs. 3 BGB) bzw. vertragliche Aufbewahrung	Zugriffskonzept, Verschlüsselung, Protokollierung
2	Abrechnung und Buchhaltung	Erstellung und Archivierung von Rechnungen, steuerliche Nachweispflichten	Art. 6 Abs. 1 lit. b und lit. c DSGVO i. V. m. § 147 AO, § 14b UStG	Patienten/Kunden, Lieferanten	Rechnungsdaten, Leistungsdaten, Zahlungsdaten	Steuerberatung (Auftragsverarbeiter), Finanzbehörden	8 Jahre für Buchungsbelege und Rechnungen (§ 147 Abs. 3 AO i. d. F. BEG IV, § 14b UStG); 10 Jahre für Bücher, Inventare und Jahresabschlüsse (§ 147 Abs. 1 Nr. 1 AO)	Rollenbasierter Zugriff, revisionssichere Ablage
3	Personalverwaltung	Begründung, Durchführung und Beendigung des Beschäftigungsverhältnisses	Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 26 Abs. 1 BDSG	Beschäftigte, Bewerberinnen und Bewerber	Stammdaten, Vertragsdaten, Entgeltdaten, Qualifikationsnachweise	Lohnbuchhaltung, Sozialversicherungsträger, Finanzamt	6 Jahre für Lohnkonten (§ 41 Abs. 1 EStG); Bewerbungsunterlagen i. d. R. 6 Monate nach Absage	Getrennte Ablage, Zugriff nur Personalverantwortliche
[Nr.]	[Bezeichnung der Verarbeitungstätigkeit]	[Zweck]	[Art. 6 / ggf. Art. 9 DSGVO]	[Kategorien betroffener Personen]	[Kategorien personenbezogener Daten]	[Empfänger / Auftragsverarbeiter]	[Löschfrist]	[TOM]
[Nr.]	[Bezeichnung der Verarbeitungstätigkeit]	[Zweck]	[Art. 6 / ggf. Art. 9 DSGVO]	[Kategorien betroffener Personen]	[Kategorien personenbezogener Daten]	[Empfänger / Auftragsverarbeiter]	[Löschfrist]	[TOM]
[Nr.]	[Bezeichnung der Verarbeitungstätigkeit]	[Zweck]	[Art. 6 / ggf. Art. 9 DSGVO]	[Kategorien betroffener Personen]	[Kategorien personenbezogener Daten]	[Empfänger / Auftragsverarbeiter]	[Löschfrist]	[TOM]
[Nr.]	[Bezeichnung der Verarbeitungstätigkeit]	[Zweck]	[Art. 6 / ggf. Art. 9 DSGVO]	[Kategorien betroffener Personen]	[Kategorien personenbezogener Daten]	[Empfänger / Auftragsverarbeiter]	[Löschfrist]	[TOM]
[Nr.]	[Bezeichnung der Verarbeitungstätigkeit]	[Zweck]	[Art. 6 / ggf. Art. 9 DSGVO]	[Kategorien betroffener Personen]	[Kategorien personenbezogener Daten]	[Empfänger / Auftragsverarbeiter]	[Löschfrist]	[TOM]

Nr.

Verarbeitungstätigkeit

Zweck (lit. b)

Rechtsgrundlage

Betroffene (lit. c)

Datenkategorien (lit. c)

Empfänger (lit. d)

Löschfrist (lit. f)

TOM (lit. g)

Patienten-/Kundenverwaltung

Begründung und Durchführung des Behandlungs- bzw. Vertragsverhältnisses

Art. 6 Abs. 1 lit. b DSGVO; bei Gesundheitsdaten zusätzlich Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b BDSG

Patientinnen und Patienten / Kundinnen und Kunden

Stammdaten, Kontaktdaten, Behandlungs- bzw. Auftragsdaten

Praxis-/Warenwirtschaftssystem-Anbieter (Auftragsverarbeiter), Abrechnungsstelle

10 Jahre (§ 630f Abs. 3 BGB) bzw. vertragliche Aufbewahrung

Zugriffskonzept, Verschlüsselung, Protokollierung

Abrechnung und Buchhaltung

Erstellung und Archivierung von Rechnungen, steuerliche Nachweispflichten

Art. 6 Abs. 1 lit. b und lit. c DSGVO i. V. m. § 147 AO, § 14b UStG

Patienten/Kunden, Lieferanten

Rechnungsdaten, Leistungsdaten, Zahlungsdaten

Steuerberatung (Auftragsverarbeiter), Finanzbehörden

8 Jahre für Buchungsbelege und Rechnungen (§ 147 Abs. 3 AO i. d. F. BEG IV, § 14b UStG); 10 Jahre für Bücher, Inventare und Jahresabschlüsse (§ 147 Abs. 1 Nr. 1 AO)

Rollenbasierter Zugriff, revisionssichere Ablage

Personalverwaltung

Begründung, Durchführung und Beendigung des Beschäftigungsverhältnisses

Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 26 Abs. 1 BDSG

Beschäftigte, Bewerberinnen und Bewerber

Stammdaten, Vertragsdaten, Entgeltdaten, Qualifikationsnachweise

Lohnbuchhaltung, Sozialversicherungsträger, Finanzamt

6 Jahre für Lohnkonten (§ 41 Abs. 1 EStG); Bewerbungsunterlagen i. d. R. 6 Monate nach Absage

Getrennte Ablage, Zugriff nur Personalverantwortliche

[Nr.]

[Bezeichnung der Verarbeitungstätigkeit]

[Zweck]

[Art. 6 / ggf. Art. 9 DSGVO]

[Kategorien betroffener Personen]

[Kategorien personenbezogener Daten]

[Empfänger / Auftragsverarbeiter]

[Löschfrist]

[TOM]

[Nr.]

[Bezeichnung der Verarbeitungstätigkeit]

[Zweck]

[Art. 6 / ggf. Art. 9 DSGVO]

[Kategorien betroffener Personen]

[Kategorien personenbezogener Daten]

[Empfänger / Auftragsverarbeiter]

[Löschfrist]

[TOM]

[Nr.]

[Bezeichnung der Verarbeitungstätigkeit]

[Zweck]

[Art. 6 / ggf. Art. 9 DSGVO]

[Kategorien betroffener Personen]

[Kategorien personenbezogener Daten]

[Empfänger / Auftragsverarbeiter]

[Löschfrist]

[TOM]

[Nr.]

[Bezeichnung der Verarbeitungstätigkeit]

[Zweck]

[Art. 6 / ggf. Art. 9 DSGVO]

[Kategorien betroffener Personen]

[Kategorien personenbezogener Daten]

[Empfänger / Auftragsverarbeiter]

[Löschfrist]

[TOM]

[Nr.]

[Bezeichnung der Verarbeitungstätigkeit]

[Zweck]

[Art. 6 / ggf. Art. 9 DSGVO]

[Kategorien betroffener Personen]

[Kategorien personenbezogener Daten]

[Empfänger / Auftragsverarbeiter]

[Löschfrist]

[TOM]

3. Drittlandübermittlungen (Art. 30 Abs. 1 lit. e DSGVO)

Empfänger	Land	Garantie nach Kapitel V DSGVO	Dokumentation
[Dienstleister]	[Land]	[Angemessenheitsbeschluss Art. 45 / Standardvertragsklauseln Art. 46 Abs. 2 lit. c / Ausnahme Art. 49]	[Fundstelle, ggf. Transfer Impact Assessment]
Keine Drittlandübermittlung? Dann diesen Abschnitt mit „Es findet keine Übermittlung in Drittländer statt." dokumentieren.

Empfänger

Land

Garantie nach Kapitel V DSGVO

Dokumentation

[Dienstleister]

[Land]

[Angemessenheitsbeschluss Art. 45 / Standardvertragsklauseln Art. 46 Abs. 2 lit. c / Ausnahme Art. 49]

[Fundstelle, ggf. Transfer Impact Assessment]

Keine Drittlandübermittlung? Dann diesen Abschnitt mit „Es findet keine Übermittlung in Drittländer statt." dokumentieren.

4. Allgemeine Beschreibung der TOM (Art. 30 Abs. 1 lit. g DSGVO)

Verweisen Sie hier auf Ihr TOM-Dokument nach Art. 32 DSGVO oder beschreiben Sie die Maßnahmen zusammenfassend:

Pflicht zur Führung: Das Verzeichnis ist nach Art. 30 Abs. 5 DSGVO auch für Unternehmen mit weniger als 250 Beschäftigten verpflichtend, wenn die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Datenkategorien nach Art. 9 (z. B. Gesundheitsdaten) verarbeitet werden — das trifft auf Arztpraxen und praktisch jedes Unternehmen mit Personal zu. Es ist der Aufsichtsbehörde auf Anfrage vorzulegen (Art. 30 Abs. 4 DSGVO).