VVT-Eintrag erstellen

VVT-Eintrag erstellen

Das Verzeichnis der Verarbeitungstätigkeiten (VVT) ist das Herzstück jedes DSGVO-Compliance-Programms. Auf diesem Bildschirm legen Sie eine neue Verarbeitungstätigkeit in DPMS an – mit Namen, Verantwortlichkeit, rechtlichem Kontext und einer ausreichend detaillierten Beschreibung, damit Prüfer, Aufsichtsbehörden und Ihr eigenes Team sofort verstehen, worum es geht und warum diese Tätigkeit existiert. Ob Sie einen neuen HR-Lohnprozess, eine Marketing-E-Mail-Kampagne oder eine Datenweitergabe an Dritte dokumentieren möchten – hier fangen Sie an. Sobald Sie den Tab „Allgemein" gespeichert haben, wird der Eintrag zu einem vernetzten Datensatz, den Sie um Datenkategorien, Rechtsgrundlagen, Risikoanalysen, DPIAs, Aufgaben und vieles mehr erweitern können.

So öffnen Sie den Bildschirm

• Klicken Sie in der linken Seitenleiste auf VVT.
• Klicken Sie auf der VVT-Übersichtsseite auf die Schaltfläche Erstellen.
• Das Erstellungsformular öffnet sich direkt auf dem Tab Allgemein unter /ropa/create.

Achtung: Wenn Sie auf der VVT-Übersichtsseite keine Schaltfläche Erstellen sehen, verfügt Ihr Konto nicht über die Berechtigung zum Erstellen von VVT-Einträgen. Wenden Sie sich an Ihren DPMS-Administrator.

Was Sie auf dem Bildschirm sehen

Der Bildschirm ist in zwei Bereiche unterteilt. Auf der linken Seite befindet sich ein ausklappbares Menü, das alle verfügbaren Tabs eines VVT-Eintrags auflistet – Allgemein, Personenbezogene Daten, Verarbeitungszweck, Rechtsgrundlage, Betroffene Personen, Interner Zugriff, Externe Empfänger, Assets, Datenerhebungspunkte, DPIAs, Risikoanalysen, TOMs, Bewertungen, Aufgaben, Aufbewahrung & Löschung sowie Zugriff verwalten. Beim erstmaligen Erstellen ist nur der Tab Allgemein aktiv. Alle Tabs für verknüpfte Daten werden erst nach dem ersten Speichern verfügbar, da sie eine eindeutige Datensatz-ID benötigen.

Oben im rechten Inhaltsbereich sehen Sie einen Breadcrumb-Pfad mit VVT › Allgemein. Direkt darunter befindet sich ein fixierter Kopfbereich mit dem Statusauswahlfeld und der Zuweisung verantwortlicher Personen – dieser Bereich bleibt beim Scrollen stets sichtbar. Darunter folgt die eigentliche Formularkarte mit allen auszufüllenden Feldern. Ein blauer vertikaler Balken am linken Rand der Karte zeigt an, dass Sie gerade den Bereich „Allgemein" bearbeiten.

Wenn Ihre Organisation die KI-Autovervollständigung aktiviert hat und Sie die erforderliche Berechtigung besitzen, sehen Sie außerdem eine Schaltfläche KI generieren im oberen Bereich des Formulars. Wenn Felder aktiv durch die KI befüllt werden, wird das Formular leicht abgedunkelt und eine Tippanimation zeigt an, dass der Prozess läuft.

So arbeiten Sie mit diesem Bildschirm

Einen VVT-Eintrag erstmalig anlegen

Die meisten neuen Einträge folgen einem übersichtlichen Ablauf. Beginnen Sie im fixierten Kopfbereich: Prüfen Sie, ob das Status-Dropdown den richtigen Lebenszyklus-Status für diese Tätigkeit anzeigt. Neue Einträge erhalten standardmäßig den Status Entwurf, was sinnvoll ist, solange Sie noch Informationen zusammentragen. Ist die Tätigkeit bereits aktiv, können Sie sofort zu Aktiv wechseln. Weisen Sie anschließend über die Auswahl Verantwortliche Personen den oder die Datenschutzbeauftragten oder Abteilungsleiter zu, die für diesen Eintrag verantwortlich sind – mehrere Personen sind möglich.

Geben Sie im Hauptformular den Namen der Verarbeitungstätigkeit in das Feld Name ein – zum Beispiel „Mitarbeiter-Gehaltsabrechnung" oder „Kunden-Newsletter". Dieses Pflichtfeld ist das, was in der VVT-Übersichtstabelle erscheint. Das Feld unterstützt mehrere Sprachen, wenn Ihre Organisation in verschiedenen Sprachregionen tätig ist.

Füllen Sie das Feld Kurzbeschreibung der Verarbeitung mit einer verständlichen Zusammenfassung der Tätigkeit aus – welche Daten erhoben werden, zu welchem Zweck, wie sie verwendet werden und welche weiteren relevanten Details ein Prüfer benötigt. Dies ist das wichtigste Beschreibungsfeld im gesamten Eintrag und dient der KI als primäre Eingabe, falls Sie später die Autovervollständigung nutzen.

Wählen Sie die zuständige Abteilung aus dem Dropdown Organisationseinheiten aus. Dadurch wird die Tätigkeit einem verantwortlichen Bereich in Ihrer Organisation zugeordnet, und die Angabe erscheint in der entsprechenden Spalte der VVT-Übersichtstabelle.

Wählen Sie aus dem Dropdown VVT-Typ die Rechtsrolle Ihrer Organisation aus – in der Regel Verantwortlicher, Auftragsverarbeiter oder Gemeinsam Verantwortlicher. Wenn Sie Auftragsverarbeiter wählen, erscheint unmittelbar darunter ein neues Feld Auftraggeber (Verantwortliche), in dem Sie den Auftraggeber verknüpfen können. Falls dieser noch nicht in DPMS vorhanden ist, geben Sie den Namen ein und wählen Sie die Option Erstellen – DPMS legt den Vendor-Datensatz sofort an und fügt ihn Ihrer Auswahl hinzu.

Wählen Sie im Dropdown Vorschriften die geltenden Datenschutzgesetze aus – zum Beispiel DSGVO, CCPA oder LGPD. Dieser Schritt ist wichtig: Die hier ausgewählten Vorschriften bestimmen, welche Rechtsgrundlagen, besonderen Kategorien und Empfänger-Untervorschriften in den nachgelagerten Tabs verfügbar sind.

Vergeben Sie optional Klassifikations-Tags, um Verarbeitungstätigkeiten in der Übersicht besser filtern und gruppieren zu können. Legen Sie im Dropdown Risikoziel das für diese Tätigkeit akzeptable Risikoniveau fest; der Standardwert ist Mittel. Füllen Sie abschließend das Feld Verarbeitungsgrund aus, wenn Ihr Governance-Rahmenwerk neben der formalen Rechtsgrundlage auch eine interne Begründung erfordert.

Wenn alles korrekt ausgefüllt ist, klicken Sie auf Speichern. DPMS prüft Ihre Eingaben, sendet den Datensatz an die Datenbank und leitet Sie zur vollständigen Detailansicht des neu erstellten Eintrags weiter – wo alle verknüpften Tabs jetzt aktiv und nutzbar sind.

Mit KI einen VVT-Eintrag schnell erstellen

Wenn die KI-Autovervollständigung in Ihrer Organisation aktiviert ist, können Sie DPMS einen ersten Entwurf des Eintrags auf Basis weniger Ausgangsinformationen erstellen lassen.

Öffnen Sie das Erstellungsformular und geben Sie den Namen der Verarbeitungstätigkeit in das Feld Name ein – zum Beispiel „Marketing-E-Mail-Kampagne". Wählen Sie dann eine oder mehrere Vorschriften im Dropdown Vorschriften aus. Diese beiden Felder reichen der KI als Ausgangspunkt.

Klicken Sie nun auf KI generieren. Eine Ladeanimation startet, und innerhalb weniger Sekunden befüllt DPMS das Feld Kurzbeschreibung der Verarbeitung mit einem Entwurfstext, schlägt eine Organisationseinheit vor und generiert verknüpfte Elemente wie Kategorien betroffener Personen, Datenkategorien und einen Verarbeitungszweck.

Prüfen Sie nach Abschluss jeden generierten Wert sorgfältig. Korrigieren Sie die Organisationseinheit, passen Sie die Beschreibung an Ihre konkreten Gegebenheiten an und entfernen Sie vorgeschlagene verknüpfte Elemente, die nicht zutreffen. Klicken Sie dann auf Speichern. Der Eintrag wird angelegt und Sie gelangen zur Detailansicht, in der die KI-generierten Verknüpfungen bereits zur Überprüfung bereitstehen.

Tipp: Die Schaltfläche KI generieren für das gesamte Formular ist nur beim erstmaligen Erstellen verfügbar. Nach dem ersten Speichern verschwindet sie. Für KI-Unterstützung zu einzelnen Feldern in der Detailansicht verwenden Sie die feldspezifischen KI-Schaltflächen auf den jeweiligen Tabs.

Achtung: Wenn Sie auf KI generieren klicken, ohne einen Namen eingegeben zu haben, erscheint eine rote Warnung im Feld Name. Die KI benötigt mindestens den Namen der Verarbeitungstätigkeit.

Rechtsrolle „Auftragsverarbeiter" auswählen und einen Auftraggeber verknüpfen

Wenn Ihre Organisation personenbezogene Daten im Auftrag eines Kunden oder Partners verarbeitet – etwa den Betrieb eines CRM-Systems –, müssen Sie dies als Auftragsverarbeiter-Eintrag dokumentieren und den Verantwortlichen verknüpfen.

Geben Sie Namen und Beschreibung ein, öffnen Sie dann das Dropdown VVT-Typ und wählen Sie Auftragsverarbeiter. Das Formular zeigt sofort das Feld Auftraggeber (Verantwortliche) an. Suchen Sie den Auftraggeber nach Name. Ist er bereits in den Vendor-Daten von DPMS vorhanden, erscheint er in der Liste. Andernfalls tippen Sie den vollständigen Namen ein und klicken auf Erstellen – DPMS legt einen minimalen Vendor-Datensatz an, fügt ihn Ihrer Auswahl hinzu und stellt ihn im gesamten Vendor-Modul zur Verfügung.

Vervollständigen Sie die übrigen Felder und klicken Sie auf Speichern.

Einen Vorschriftenkonflikt vor dem Speichern lösen

Wenn Sie einen bestehenden VVT-Eintrag bearbeiten, der bereits eine verknüpfte Rechtsgrundlage enthält – zum Beispiel „Berechtigte Interessen" unter der DSGVO – und Sie die DSGVO anschließend aus dem Dropdown Vorschriften entfernen, zeigt DPMS beim Speicherversuch einen Konflikt-Hinweis an.

Anstatt zu speichern, erscheint eine Warnmeldung, die die betroffene Rechtsgrundlage benennt. Sie haben zwei Möglichkeiten: Fügen Sie die DSGVO wieder zu den Vorschriften hinzu, um die Konsistenz wiederherzustellen, oder wechseln Sie in der Detailansicht zum Tab Rechtsgrundlage und entfernen Sie den kollidierenden Eintrag. Sobald der Konflikt behoben ist, klicken Sie erneut auf Speichern.

Feldreferenz

• Name — Der Anzeigename der Verarbeitungstätigkeit. Pflichtfeld. Mehrsprachig. Dieser Name erscheint in der VVT-Übersichtstabelle und überall in DPMS, wo auf den Eintrag verwiesen wird.
• Kurzbeschreibung der Verarbeitung — Eine verständliche Zusammenfassung der Tätigkeit: welche Daten betroffen sind, zu welchem Zweck sie verarbeitet werden und weitere relevante Details. Primäre Eingabe für die KI-Autovervollständigung. Keine Zeichenbegrenzung, aber möglichst prägnant halten.
• Organisationseinheiten — Die für diese Tätigkeit verantwortliche Abteilung oder Organisationseinheit. Wenn Ihre Organisation Abteilungen als Unterebene konfiguriert hat, lautet die Bezeichnung Organisationseinheiten [Abteilung].
• VVT-Typ — Die Rechtsrolle Ihrer Organisation: Verantwortlicher, Auftragsverarbeiter, Gemeinsam Verantwortlicher oder eine Kombination. Bei Auswahl von „Auftragsverarbeiter" erscheint das Feld „Auftraggeber".
• Auftraggeber (Verantwortliche) — Nur sichtbar, wenn „Auftragsverarbeiter" im VVT-Typ ausgewählt ist. Die externe Organisation, die als Verantwortlicher agiert. Unterstützt das direkte Anlegen neuer Vendor-Datensätze.
• Klassifikation — Benutzerdefinierte Tags zum Gruppieren und Filtern von Einträgen in der Übersichtstabelle. Tags werden von Ihrem Compliance-Team unter den Einstellungen konfiguriert.
• Vorschriften — Die geltenden Datenschutzgesetze für diese Verarbeitungstätigkeit. Steuert, welche Rechtsgrundlagen, besonderen Kategorien und Empfänger-Untervorschriften in den nachgelagerten Tabs verfügbar sind. Das Entfernen einer Vorschrift, unter der bereits eine Rechtsgrundlage verknüpft wurde, blockiert das Speichern bis zur Konfliktbehebung.
• Risikoziel — Das für diese Verarbeitungstätigkeit akzeptable Risikoniveau (Sehr niedrig, Niedrig, Mittel, Hoch, Sehr hoch). Standardwert: Mittel. Wird mit dem berechneten Risikoscore aus verknüpften Risikoanalysen verglichen.
• Verarbeitungsgrund — Eine interne Begründung für die Durchführung der Tätigkeit, getrennt von der formalen Rechtsgrundlage. Von manchen Governance-Rahmenwerken für Prüfungszwecke gefordert.

So ist dieser Bildschirm mit dem Rest von DPMS verbunden

Der hier erstellte VVT-Eintrag ist der zentrale Knoten in einem Netzwerk verknüpfter Compliance-Objekte. Nach dem Speichern können Sie ihn in der Detailansicht mit Datenkategorien, Rechtsgrundlagen, Verarbeitungszwecken, betroffenen Personengruppen, Assets, externen Empfängern, Datenerhebungspunkten, DPIAs, Risikoanalysen, TOMs, Bewertungen, Aufgaben sowie Aufbewahrungs- und Löschregeln verknüpfen.

Aus Sicht des Gesamtprozesses gilt: Die VVT-Übersichtstabelle zeigt nur gespeicherte Einträge an – solange der Tab „Allgemein" nicht gespeichert wurde, ist nichts für Ihr Team sichtbar. Das DPIA-Modul benötigt einen gespeicherten VVT-Eintrag als übergeordnetes Element – ohne einen VVT-Eintrag kann keine DPIA angelegt und verknüpft werden. Risikoübersichten verwenden den hier festgelegten Risikoziel-Wert als Vergleichsgröße. Die KI-gestützte Verknüpfungsgenerierung auf den nachgelagerten Tabs nutzt die hier gespeicherte Kurzbeschreibung und die ausgewählten Vorschriften als Kontext. Bewertungen als Datenmapping werden ebenfalls über die Detailansicht mit VVT-Einträgen verknüpft.

Nach dem Speichern empfehlen sich folgende nächste Schritte: Öffnen Sie den Tab Rechtsgrundlage, um die formale Rechtsgrundlage zu dokumentieren. Wechseln Sie zum Tab Personenbezogene Daten, um die betroffenen Datenkategorien festzulegen. Öffnen Sie den Tab Verarbeitungszweck, um den Zweck der Verarbeitung formal zu erfassen. Wenn die Tätigkeit mit hohen Risiken verbunden ist, sollten Sie über den Tab DPIAs eine Datenschutz-Folgenabschätzung einleiten.

Tipps & häufige Stolpersteine

Achtung: Sie können auf die Tabs für Personenbezogene Daten, Rechtsgrundlage oder andere verknüpfte Daten erst zugreifen, nachdem Sie den Tab „Allgemein" gespeichert haben. Die Tabs werden erst nach dem ersten Speichern aktiv. Falls Tabs ausgegraut sind, speichern Sie zuerst.

Tipp: Wenn Sie einen Auftragsverarbeiter-Eintrag anlegen, wählen Sie zuerst Auftragsverarbeiter im VVT-Typ aus, bevor Sie nach dem Feld für Auftraggeber suchen. Das Feld erscheint erst, wenn dieser Typ ausgewählt ist.

• Das Entfernen einer Vorschrift nach dem Verknüpfen einer Rechtsgrundlage blockiert das Speichern. Die Konflikterkennung läuft beim Speichern, nicht beim Abwählen. Falls eine Speichern-Warnung erscheint, fügen Sie die Vorschrift wieder hinzu oder entfernen Sie zuerst die betroffene Rechtsgrundlage.
• Die Schaltfläche „KI generieren" verschwindet nach dem ersten Speichern. Die vollständige KI-Generierung für das gesamte Formular steht nur beim ersten Erstellen zur Verfügung. Nutzen Sie danach die feldspezifischen KI-Schaltflächen in der Detailansicht.
• Der Standardwert für das Risikoziel ist Mittel, nicht leer. Wenn Ihre Governance-Richtlinien eine bewusste Auswahl verlangen, prüfen Sie dieses Feld vor dem Speichern. Es hebt sich nicht automatisch hervor.
• Untergeordnete/freigegebene VVT-Einträge haben die meisten Felder gesperrt. Wenn dieser Eintrag von einer übergeordneten Organisation geteilt wurde (etwa einer Konzernzentrale), sind die meisten Felder schreibgeschützt. Sie können nur Verantwortliche Personen und die Organisationseinheit bearbeiten. Änderungen am Inhalt muss die übergeordnete Organisation vornehmen.
• Das direkte Anlegen eines Vendors ist dauerhaft. Wenn Sie im Feld „Auftraggeber" einen neuen Namen eingeben und auf Erstellen klicken, legt DPMS sofort einen echten Vendor-Datensatz an. Sollten Sie den VVT-Eintrag danach nicht speichern, bleibt der Vendor-Datensatz dennoch bestehen. Bereinigen Sie ihn bei Bedarf im Vendor-Modul.