Verzeichnis der Verarbeitungstätigkeiten durchsuchen

Listen, filtern und verwalten Sie Ihr Verzeichnis der Verarbeitungstätigkeiten (VVT).

Das Verzeichnis der Verarbeitungstätigkeiten ist Ihr vollständiger Bestand aller Verarbeitungstätigkeiten, mit denen Ihr Unternehmen personenbezogene Daten verarbeitet — das nach Artikel 30 DSGVO geforderte Verzeichnis, gebündelt in einer durchsuchbaren Liste. Als Datenschutzbeauftragte, Mitglied des Datenschutzteams, Compliance-Verantwortliche oder Fachbereichsleitung beginnen Sie hier nahezu jeden Arbeitsablauf: alles auf einen Blick sehen, nach Risiko sortieren, das gesuchte Verzeichniseintrag (kurz: ROPA) finden und in die Detailansicht wechseln. Auch Auditoren schätzen diese Ansicht, weil sie die naheliegendste Frage sofort beantwortet: „Zeigen Sie mir, was Sie verarbeiten."

Auf diesem Bildschirm legen Sie keinen einzelnen Eintrag an oder bearbeiten ihn. Seine Aufgabe ist die Gesamtübersicht — mit kraftvollen Filtern, Suche und schnellem Sprung in jeden einzelnen Eintrag, damit Sie ihn dort prüfen, aktualisieren oder freigeben können.

Wie Sie die Ansicht öffnen

Klicken Sie in der linken Hauptnavigation auf Verzeichnis der Verarbeitungstätigkeiten (oft als „ROPA" abgekürzt). Es handelt sich um einen Hauptmenüeintrag; ein Klick führt Sie direkt unter /ropa auf diese Übersicht.

Die Ansicht steht allen Benutzern mit Leserecht für das ROPA-Modul zur Verfügung. Sehen Sie den Menüpunkt überhaupt nicht, lassen Sie Ihre Berechtigungen von einer Administratorin prüfen. Was Sie auf dem Bildschirm tun können, hängt von weiteren Rechten ab: Die Schaltfläche Erstellen erscheint nur, wenn Sie ROPAs anlegen dürfen, der Eintrag Importieren benötigt das Importrecht, und freigabebezogene Aktionen in den Zeilen setzen das Freigaberecht voraus.

Screenshot

Was Sie sehen

Beim Aufruf der Seite landen Sie in einem breiten Inhaltsbereich mit der klar erkennbaren Seitenüberschrift Verzeichnis der Verarbeitungstätigkeiten oben links. Rechts neben dem Titel finden Sie den Aktionsbereich mit der primären Schaltfläche Erstellen und einem kleinen Drei-Punkte-Menü (…), das sekundäre Aktionen wie Importieren und Exportieren enthält.

Darunter befindet sich eine große Karte mit der eigentlichen Tabelle. Eine Reiterleiste oben in der Karte zeigt im Standardfall nur den aktiven Reiter Alle. Direkt unter den Reitern liegt eine Steuerungsleiste mit einem Volltextsuchfeld, einem Filter-Builder zum Stapeln von Bedingungen, einem Sortierwerkzeug, einem Auswahlfeld Standard (das die Risikospalte steuert) und einem Schalter, mit dem Sie die Spalte Datentransfer ein- oder ausblenden. Den Hauptteil der Karte bildet die Liste — eine Zeile pro Verarbeitungstätigkeit, mit Schnellaktions-Symbolen am rechten Zeilenrand und unendlichem Scrollen für lange Listen.

Arbeiten mit dieser Ansicht

Tägliche Kontrollrunde durch alle ROPAs

Dies ist die häufigste Verwendung der Ansicht für eine Datenschutzbeauftragte. Klicken Sie in der Seitenleiste auf Verzeichnis der Verarbeitungstätigkeiten. Lassen Sie den Reiter Alle ausgewählt, damit Sie sämtliche zugänglichen ROPAs sehen. Über die Sortiersteuerung wählen Sie absteigend nach Risiko, sodass die kritischsten Verarbeitungen oben stehen.

Arbeiten Sie sich nun nach unten durch die Liste. Ein Klick auf eine Zeile öffnet die Detailseite des betreffenden ROPA, wo Sie Verantwortliche, das letzte Überprüfungsdatum, eine verknüpfte DSFA, Datenkategorien, externe Empfänger, Aufbewahrungsregeln und mehr einsehen können. Mit der Zurück-Navigation des Browsers (oder der App) kehren Sie zur Liste zurück und nehmen sich den nächsten Eintrag vor. Stellen Sie fest, dass eine Überprüfung überfällig ist, müssen Sie die Seite nicht verlassen — über das Briefumschlag-Symbol am rechten Zeilenrand verschicken Sie eine Erinnerung an die verantwortliche Person.

Ist die Liste zu unübersichtlich, grenzen Sie sie mit dem Filter-Builder oberhalb der Tabelle ein. Beispielsweise legen Sie nacheinander die Filter Organisationseinheit gleich Marketing und Klassifizierung enthält HR an — die Liste schrumpft entsprechend. Jeder Filter erscheint als Chip, den Sie einzeln wieder entfernen können.

Eine neue Verarbeitungstätigkeit registrieren

Wann immer eine Abteilung etwas Neues startet, das personenbezogene Daten betrifft — ein neues HR-Umfragetool, eine neue Marketing-Plattform, ein neuer Support-Workflow — gehört dies in Ihr Verzeichnis.

Klicken Sie in der Übersicht oben rechts auf Erstellen. Sie gelangen direkt in den Anlageprozess für eine neue Verarbeitungstätigkeit.
Tragen Sie die grundlegenden Angaben ein: einen klaren Namen, die zuständige Organisationseinheit, eine kurze Beschreibung, die Rolle des Unternehmens (Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortliche), die anwendbaren Regulierungen und ggf. Klassifizierungs-Tags zur späteren Wiederauffindbarkeit.
Speichern Sie das Formular. Der neue Eintrag erscheint als Zeile in dieser Übersicht und kann anschließend mit weiteren Details ausgebaut werden — Datenkategorien, Verarbeitungszwecke, betroffene Personen, Rechtsgrundlage, verknüpfte Assets und externe Empfänger, DSFA, Risikoszenarien, TOM, Aufgaben, Aufbewahrungsregeln usw.

Fehlt Ihnen die Schaltfläche Erstellen, hat Ihr Konto aktuell keine Berechtigung zum Anlegen von ROPAs — wenden Sie sich an Ihre Administration.

Eine Liste für ein Audit erzeugen

Wenn Auditoren „alle aktiven DSGVO-Verarbeitungen" verlangen, bauen Sie diese Sicht direkt hier auf.

Legen Sie im Filter-Builder eine Regel für die anwendbare Regulierung (z. B. DSGVO) und eine weitere für den gewünschten Status („aktiv") an.
Passen Sie bei Bedarf die Sortierung an, etwa nach Name, damit die Liste übersichtlich aussieht.
Öffnen Sie das Drei-Punkte-Menü neben Erstellen und wählen Sie Exportieren. DPMS erzeugt eine herunterladbare Datei, die exakt das abbildet, was gerade in der Tabelle sichtbar ist — gleiche Spalten, gleiche Filter, gleiche Reihenfolge.

Diese Datei können Sie direkt an die Auditoren weitergeben oder Ihrem Audit-Nachweis hinzufügen.

Internationale Datenübermittlungen erkennen

Drittlandtransfers sind eines der sensibelsten Themen im Datenschutz, und diese Ansicht bietet dafür eine eigene Abkürzung.

Aktivieren Sie den Schalter Datentransfer in der Steuerungsleiste oberhalb der Tabelle.
Es erscheint eine zusätzliche Spalte Datentransfer. Für jedes ROPA prüft DPMS alle verknüpften externen Empfänger und listet die Länder auf, die sich vom Sitzland Ihres Unternehmens unterscheiden. Empfänger ohne hinterlegtes Land werden übergangen, historisch fehlerhafte Einträge automatisch herausgefiltert.
Über die neue Spalte erkennen Sie ROPAs mit ausländischen Empfängern. Ein Klick auf eine solche Zeile öffnet das ROPA, wo Sie auf der Registerkarte Externe Empfänger die Rechtsgrundlage des Transfers, die getroffenen Garantien und die vertragliche Ausgestaltung im Detail prüfen.

Wenn Sie fertig sind, schalten Sie den Schalter wieder aus, damit die Tabelle für die tägliche Arbeit kompakt bleibt.

Den Risiko-Standard wechseln

Die Spalte Risiko zeigt für jedes ROPA einen farbcodierten Chip und einen numerischen Wert — abhängig davon, durch welchen Risiko-Standard Sie blicken. Über das Auswahlfeld Standard oberhalb der Tabelle ändern Sie diese Perspektive:

Wählen Sie einen konkreten Standard (z. B. DSGVO oder ISO 27001), zeigt die Spalte das Risiko bezogen auf diesen Standard. Wurde ein ROPA noch nicht gegen diesen Standard bewertet, bleibt die Zelle leer.
Wählen Sie den Eintrag Alle, kombiniert die Ansicht alle verknüpften Standards.

Ihre Auswahl beeinflusst nur die Darstellung der Spalte; die hinterlegten Bewertungen verändern sich dadurch nicht. Möchten Sie eine Bewertung wirklich anlegen oder aktualisieren, öffnen Sie die Detailseite des ROPA und nutzen dort die Risikoansicht.

Massenimport nach einer Migration

Wenn Sie DPMS bei einer neuen Gesellschaft einführen oder von einem anderen Tool migrieren, müssen Sie nicht jedes ROPA manuell anlegen.

Öffnen Sie das Drei-Punkte-Menü neben Erstellen und wählen Sie Importieren.
Wählen Sie die Datei aus (üblicherweise ein JSON-Export im DPMS-Standardformat).
Nach Abschluss des Imports erscheinen die importierten ROPAs im Reiter Alle.

Importieren arbeitet ausschließlich additiv — bestehende Datensätze werden nie gelöscht oder zusammengeführt. Sie können den Import also bedenkenlos erneut ausführen. Ist der Eintrag ausgegraut, fehlt Ihrem Konto das Importrecht.

Felderübersicht

Jede Zeile der Tabelle steht für ein ROPA. Folgende Spalten werden angezeigt:

Name — der mehrsprachige Name der Verarbeitung. Wird automatisch in Ihre Arbeitssprache übersetzt, sofern eine Übersetzung vorliegt. Ein Klick auf den Namen (oder die Zeile) öffnet die Detailseite. Sortierbar.
ROPA-Typ — die rechtliche Rolle des Unternehmens für diese Verarbeitung: Verantwortlicher, gemeinsam Verantwortliche oder Auftragsverarbeiter. Leer, solange die Rolle noch nicht gesetzt ist. Sortierbar.
Klassifizierung — die Tags, die im Reiter „Allgemein" des ROPA hinterlegt sind (z. B. HR, Marketing, Customer Care). Mehrere Tags werden in einer Zelle zusammengefasst. Ideal, um Verarbeitungen thematisch zu gruppieren.
Organisationseinheit — die für das ROPA zuständige Einheit. Sind Abteilungen in den Compliance-Einstellungen aktiviert, zeigt diese Spalte zusätzlich die Abteilung in eckigen Klammern, etwa Einheit [Abteilung]. Erscheint dieser Zusatz nirgends, sind Abteilungen schlicht nicht aktiviert.
Risiko — ein farbcodierter Prioritäts-Chip (sehr niedrig bis sehr hoch) plus den numerischen Wert, berechnet anhand des im Auswahlfeld Standard gewählten Standards. Ein Klick auf die Zelle führt in die Risikoansicht des ROPA. Leer, wenn das ROPA nicht gegen den ausgewählten Standard bewertet wurde.
Datentransfer — nur sichtbar, wenn der Schalter aktiv ist. Zeigt die fremden Länder der externen Empfänger. Empfänger ohne Land werden übergangen.

Ein Hinweis zur kleinen Symbolleiste am rechten Rand jeder Zeile (Verbieten, Briefumschlag, Notiz mit Häkchen, Drucker): In der aktuellen Version sind diese Symbole visuelle Platzhalter für Schnellaktionen wie „nicht anwendbar markieren", „Erinnerung senden", „als geprüft markieren" und „drucken". Die produktive Funktion liegt in der Detailseite des ROPA — für ernsthafte Aktionen klicken Sie die Zeile an, um den Datensatz zu öffnen.

Wie diese Ansicht mit dem übrigen DPMS verbunden ist

Die ROPA-Liste ist das Rückgrat des Datenschutz-Moduls. Nahezu jeder andere Compliance-Bereich verweist auf eines oder mehrere ROPAs:

DSFAs beziehen sich typischerweise auf die in einem ROPA beschriebene Verarbeitung.
Lieferanten erscheinen hier als externe Empfänger; aus dem Reiter Externe Empfänger eines ROPA navigieren Sie direkt in die Lieferantendetails.
Assets (Systeme, Datenbanken, Anwendungen) werden mit den ROPAs verknüpft, in denen sie genutzt werden.
Interner Zugriff zeigt, wer im Unternehmen die personenbezogenen Daten dieser Verarbeitung sehen darf.
Aufgaben, Assessments, Dokumente, Aufbewahrung & Löschung sowie Vorfälle verweisen ebenfalls auf ROPAs als Kontext.
Risiko-Einstellungen speisen die Spalte Risiko. Ändert sich das aktive Risiko-Modell in den IT-/Compliance-Einstellungen, ändern sich die hier angezeigten Werte.
Freigaben: Ein ROPA aus einer Muttergesellschaft kann hier als geteiltes Element erscheinen. Viele Aktionen sind dann nur lesend, weil die Quelle der Wahrheit beim Mutterunternehmen liegt.

Nach dem Anlegen oder Aktualisieren eines ROPA aus dieser Ansicht heraus geht es typischerweise so weiter: das ROPA öffnen, Datenkategorien ergänzen, relevante Assets und externe Empfänger verknüpfen, passende TOM zuweisen, eine Risikobewertung durchführen und gegebenenfalls eine DSFA oder ein Assessment auslösen. Diese Liste ist der Ort, an den Sie zurückkehren, um Ihren Fortschritt zu prüfen, Lücken zu finden und Compliance nachzuweisen.

Tipps & häufige Stolpersteine

Tipp: Wirkt die Liste kürzer als erwartet, prüfen Sie zuerst die Filter-Chips über der Tabelle. Filter bleiben aktiv, solange Sie sich auf der Seite befinden — eine alte Regel kann Zeilen verbergen.

Achtung: Die Spalte Risiko hängt am Auswahlfeld Standard. Ist das Feld bei einem ROPA leer, bedeutet das nicht, dass kein Risiko vorhanden ist — sondern, dass das ROPA gegen den aktuell gewählten Standard noch nicht bewertet wurde. Wechseln Sie den Standard oder öffnen Sie das ROPA und führen Sie eine Bewertung durch.

Sie wissen, dass es ausländische Empfänger gibt, sehen sie aber nicht? Stellen Sie sicher, dass der Schalter Datentransfer aktiv ist, und beachten Sie, dass nur Empfänger mit einem Länderkennzeichen außerhalb des Sitzlandes Ihres Unternehmens gezählt werden. Empfänger ohne hinterlegtes Land werden übersprungen — sobald Sie das Land im Lieferantendatensatz pflegen, erscheinen sie hier.
Die Abteilung in eckigen Klammern erscheint nie. Abteilungen sind eine optionale zweite Ebene. Sind sie in den Compliance-Einstellungen nicht aktiviert, bleibt der Zusatz auch hier aus.
Die Klassifizierungs-Zelle wirkt überfüllt mit vielen Tags. Diese Spalte ist bewusst schmal gehalten. Für die vollständige Liste der Tags öffnen Sie die Detailseite des ROPA.
Ein gerade angelegtes ROPA erscheint nicht sofort. Die Liste lädt nach erfolgreichem Speichern neu, bei langsamer Verbindung kann es einen Moment dauern. Kurzes Wechseln des Reiters oder im Notfall ein hartes Neuladen hilft.
Importieren ergänzt — es ersetzt nichts. Ein zweimaliger Import erzeugt Duplikate, statt zusammenzuführen. Säubern Sie die Datei vor dem Import, wenn Überschneidungen drohen.
Für echte Aktionen pro Zeile öffnen Sie das ROPA. Die Symbole am rechten Zeilenrand sind in der aktuellen Version Platzhalter. Die produktiven Workflow-Aktionen (Genehmigen, Erinnerungen senden, Sperren, Drucken) liegen in der Detailseite des einzelnen ROPA.