VVT-Detailseite

VVT-Detailseite

Die VVT-Detailseite ist Ihre zentrale Arbeitsumgebung für einen einzelnen Eintrag im Verzeichnis von Verarbeitungstätigkeiten (VVT). Ob Sie als Datenschutzbeauftragter (DSB) prüfen, ob eine neue Verarbeitung korrekt dokumentiert ist, als Compliance-Beauftragter personenbezogene Datenkategorien und Rechtsgrundlagen verknüpfen oder als Risikomanager die Schwere eines Risikoszenarios bewerten – all das erledigen Sie hier. Jeder Tab auf dieser Seite zeigt eine andere Dimension derselben Verarbeitungstätigkeit, und jede Änderung, jede Verknüpfung und jede Risikobewertung, die Sie hier vornehmen, fließt direkt in das Gesamtbild der Compliance Ihrer Organisation nach Art. 30 DSGVO und weiteren anwendbaren Rechtsvorschriften ein.

So öffnen Sie die Seite

Navigieren Sie in der linken Seitenleiste zu Verzeichnis von Verarbeitungstätigkeiten. Klicken Sie in der Übersichtstabelle auf den Namen eines beliebigen VVT-Eintrags. Sie landen auf der Detailseite dieses Eintrags mit aktivem Tab Allgemein.

Es gibt keinen direkten Menüeintrag für einen bestimmten Eintrag – die Übersichtsliste ist immer der Einstiegspunkt. Direkte URLs (z. B. aus Benachrichtigungs-E-Mails oder Workflow-Freigabe-Links) führen Sie ebenfalls hierher.

Sie benötigen die VVT-Leseberechtigung, um diese Seite aufzurufen. Fehlt Ihnen diese Berechtigung, erscheint der Menüpunkt „Verzeichnis von Verarbeitungstätigkeiten" in der Seitenleiste gar nicht – ein direkter Aufruf der URL leitet Sie stattdessen zum Dashboard weiter.

Aufbau der Seite

Die Seite gliedert sich in zwei Hauptbereiche. Auf der linken Seite befindet sich ein vertikales Tab-Menü – eine Liste beschrifteter Abschnitte wie Allgemein, Personenbezogene Daten, Verarbeitungszweck, Betroffene Personen, Rechtsgrundlage und viele weitere. Ein Klick auf einen Tab lädt nur den rechten Inhaltsbereich neu, sodass die Navigation unmittelbar reagiert. Ein kleines Kreissymbol ganz links ermöglicht es, dieses Menü vollständig einzuklappen – praktisch, wenn Sie mit breiten Tabellen wie der Externe-Empfänger-Liste arbeiten.

Der rechte Inhaltsbereich hat oben zwei fest verankerte Zonen, die beim Wechsel zwischen Tabs sichtbar bleiben:

• Eine Breadcrumb-Leiste mit „Verzeichnis von Verarbeitungstätigkeiten" (als klickbarer Link zurück zur Übersicht), dem Namen des aktuellen Eintrags und dem Namen des aktiven Tabs. Wenn Sie aus einer gefilterten Liste hierher gelangt sind, erscheinen Pfeilsymbole in der Breadcrumb-Leiste, mit denen Sie zum vorherigen oder nächsten Eintrag navigieren können, ohne zur Liste zurückzukehren.
• Einen fixierten Header mit der oder den verantwortlichen Person(en), dem aktuellen Workflow-Status-Badge (z. B. „Entwurf" oder „Aktiv") und dem Datum der letzten Aktualisierung.

Unterhalb dieser fixen Zonen ändert sich der Inhalt je nach aktivem Tab vollständig. Im Tab Allgemein sehen Sie eine schreibgeschützte Übersichtskarte mit den zentralen Metadatenfeldern. In allen anderen Tabs sehen Sie eine durchsuchbare, sortierbare Tabelle verknüpfter Elemente – Datenkategorien, Zwecke, Anbieter, Risikoszenarien usw. – mit Aktionsschaltflächen zum Hinzufügen und Entfernen von Einträgen.

Arbeiten mit dieser Seite

Einen neuen VVT-Eintrag prüfen und aktivieren

Wenn ein Kollege einen neuen VVT-Eintrag als Entwurf einreicht, erhalten Sie in der Regel eine Benachrichtigung mit einem direkten Link. Durch Klick auf diesen Link gelangen Sie direkt zur Detailseite.

Starten Sie im Tab Allgemein. Lesen Sie den Namen des Eintrags, die Kurzbeschreibung der Verarbeitung, die anwendbaren Vorschriften, die rechtliche Rolle (Verantwortlicher, Auftragsverarbeiter oder beides) und die verantwortliche Person. Wenn die Angaben vollständig und korrekt sind, klicken Sie auf das Status-Badge im fixierten Header – es öffnet ein kleines Dropdown. Wählen Sie Aktiv, um zu bestätigen, dass die Verarbeitungstätigkeit geprüft wurde und nun in Ihrem Verzeichnis aktiv ist. Das Badge aktualisiert sich sofort ohne Neuladen der Seite.

Wenn mehrere VVT-Einträge zu prüfen sind, nutzen Sie die Pfeilsymbole in der Breadcrumb-Leiste, um zum nächsten Eintrag in der aktuellen gefilterten Liste zu wechseln.

Datenelemente mit einem bestehenden VVT-Eintrag verknüpfen

Wenn ein VVT-Eintrag z. B. aus einer Tabellenkalkulation migriert wurde und noch keine verknüpften Elemente enthält, müssen Sie diese nachpflegen: Datenkategorien, betroffene Personen, Rechtsgrundlagen, externe Empfänger, Assets und weiteres.

Klicken Sie im linken Menü auf den Tab Personenbezogene Daten. Ist noch nichts verknüpft, ist die Tabelle leer. Oben rechts in der Tabelle sehen Sie eine Schaltflächengruppe:

• Die primäre Schaltfläche Erstellen öffnet ein Dropdown mit Optionen wie „Personenbezogene Daten erstellen" oder „Sammlung erstellen". Nutzen Sie diese, wenn das Element noch nicht in Ihrer DPMS-Bibliothek existiert – Sie werden zur Erstellungsmaske weitergeleitet und nach dem Speichern automatisch hierher zurückgeleitet.
• Die Schaltfläche Verknüpfen öffnet ein Such- und Auswahlfeld, das alle vorhandenen Datenkategorien im System anzeigt. Nutzen Sie diese, wenn das Element bereits existiert (z. B. „E-Mail-Adresse", die wahrscheinlich in vielen anderen VVT-Einträgen schon verwendet wird). Wählen Sie die gewünschten Elemente aus und klicken Sie auf Speichern.
• Die KI-Generierungsschaltfläche (Stern-/Funkelsymbol) fragt den DPMS-KI-Assistenten nach Vorschlägen für Datenkategorien auf Basis der Kurzbeschreibung und der anwendbaren Vorschriften des VVT-Eintrags. Diese Schaltfläche ist nur verfügbar, wenn Ihre Organisation KI-Funktionen aktiviert hat und Sie die entsprechende Berechtigung besitzen.

Wiederholen Sie den Vorgang im Tab Betroffene Personen. Dort enthält jede Zeile zusätzlich eine Spalte Anzahl betroffener Personen, in der Sie einen Bereich auswählen können (z. B. „1.000–10.000") – eine Anforderung gemäß Art. 30 DSGVO.

Im Tab Externe Empfänger enthält jede verknüpfte Anbieterzeile zwei zusätzliche Auswahlfelder:

• Anbietertyp – Klassifizierung der Rolle des Empfängers (Auftragsverarbeiter, gemeinsam Verantwortlicher, Dritter).
• Rechtsgrundlage / Internationale Übermittlung – sofern der Empfänger sich in einem Drittland befindet, legen Sie hier die Schutzmaßnahme fest (z. B. Standardvertragsklauseln, Angemessenheitsbeschluss).

Im Tab DSFA enthält jede verknüpfte DSFA-Zeile eine Auswahl Anwendbare Vorschrift, um klarzustellen, welche Regulierung die DSFA-Pflicht für diese Verarbeitungstätigkeit auslöst.

Nach dem Verknüpfen von Elementen können Sie über das Verknüpfung-aufheben-Symbol (Kettensymbol mit Trennlinie) in jeder Zeile eine Verbindung lösen, ohne das zugrundeliegende Element aus der Bibliothek zu löschen.

Ein Risikoszenario bewerten und aktualisieren

Klicken Sie auf den Tab Risikoszenarien. Sie sehen eine Liste der mit diesem VVT-Eintrag verknüpften Prozessrisikoszenarien, jeweils mit aktuellem Risikoscore und farbkodiertem Prioritätsindikator (von Sehr Niedrig bis Sehr Hoch).

Klicken Sie auf eine Risikoszenario-Zeile, um das Detailformular zu öffnen. Das Formular zeigt:

• Eine Risikotabelle – Zeilen für jeden Wahrscheinlichkeitsfaktor und jeden Schadensausmaßfaktor, die in Ihrem Prozessrisikomodell definiert sind. Für jeden Faktor können Sie über Optionsfelder zwischen Sehr Niedrig, Niedrig, Mittel, Hoch und Sehr Hoch wählen. Der Aktuelle Risikoscore und der farbkodierte Risikoindikator aktualisieren sich in Echtzeit.
• Eine Auswahl für Maßnahmen / TOMs – ein durchsuchbares Mehrfachauswahlfeld, um technische und organisatorische Maßnahmen mit diesem Risikoszenario zu verknüpfen. Durch die Verknüpfung einer TOM dokumentieren Sie, dass eine bestimmte Sicherheitsmaßnahme zur Risikominderung vorhanden ist.
• Ein Textfeld „Begründung der Risikoeinstufung" – ein Freitextfeld (mit Mehrsprachunterstützung), in dem Sie die Begründung für die gewählte Risikostufe festhalten. Bei aktivierter KI erscheint hier eine Assistenzschaltfläche.

Klicken Sie abschließend auf Speichern. Ihre Bewertung wird übermittelt und Sie kehren zur VVT-Detailseite zurück.

Achtung: Wenn Ihre Organisation in den Risikoeinstellungen noch kein Prozessrisikomodell konfiguriert hat, wird der Speichervorgang blockiert und eine Meldung mit einem direkten Link zur Risikoeinstellungsmaske erscheint. Richten Sie zunächst das Risikomodell ein.

Das Änderungsprotokoll bei einer Prüfung einsehen

Klicken Sie auf das Uhr-Symbol (Aktivitätsprotokoll-Schaltfläche) oben rechts im Inhaltsbereich. Ein Schiebebereich öffnet sich und zeigt die vollständige Änderungshistorie dieses VVT-Eintrags: wer was wann geändert hat. Das ist der Nachweis, den Sie bei einer behördlichen Überprüfung benötigen, um zu belegen, dass das VVT aktiv gepflegt wurde.

Die Aktivitätsprotokoll-Schaltfläche ist nur für Benutzer sichtbar, die die Leseberechtigung für das Änderungsprotokoll des VVTs besitzen.

Zugriff auf einen sensiblen VVT-Eintrag einschränken

Einige Verarbeitungstätigkeiten – etwa Gehaltsabrechnungen oder Mitarbeiterüberwachung – sollten nur für bestimmte Teams oder namentlich benannte Personen sichtbar sein.

Klicken Sie im linken Menü auf den Tab Zugriff verwalten. Sie sehen zwei Felder:

• Zielgruppen – ein Mehrfachauswahlfeld für vordefinierte Zielgruppengruppen (z. B. „HR-Abteilung Zielgruppe"). Alle Mitglieder der ausgewählten Gruppe können diesen VVT-Eintrag einsehen.
• Benutzer – ein Benutzersuchfeld, um einzelne Personen unabhängig von ihrer Zielgruppengruppe mit Zugriff zu versehen.

Wählen Sie die passenden Zielgruppen und Benutzer aus und klicken Sie auf Speichern. Nur die ausgewählten Zielgruppen und Benutzer können diesen VVT-Eintrag in geteilten Ansichten und im Datenschutzportal einsehen.

Zwischen der Sammlungs- und Einzelelementansicht wechseln

In den Tabs Personenbezogene Daten und Verarbeitungszweck erscheint oben rechts in der Tabelle ein Umschalter. Er wechselt zwischen zwei Ansichten:

• Sammlungen – zeigt verknüpfte Attributvorlagensammlungen (z. B. „Kontaktdaten" als Sammlung, die Name, E-Mail und Telefon zusammenfasst).
• Personenbezogene Daten / Verarbeitungszweck – zeigt einzeln verknüpfte Elemente in einer flachen Liste.

Verwenden Sie die Sammlungsansicht, wenn Ihre Organisation Datenkategorien in wiederverwendbaren Vorlagen gruppiert. Die Einstellung wird im Browser gespeichert und bleibt beim nächsten Aufruf erhalten.

Die verantwortliche Person neu zuweisen

Wenn der DSB oder Compliance-Beauftragte wechselt, klicken Sie auf das Namens-Chip oder Avatar im fixierten Header. Es öffnet sich ein Mehrfachauswahlfeld. Suchen Sie nach der neuen verantwortlichen Person, wählen Sie sie aus und schließen Sie das Dropdown – die Änderung wird sofort gespeichert, ohne die Bearbeitungsmaske öffnen zu müssen.

Feldreferenz

Der Tab Allgemein zeigt folgende schreibgeschützte Felder. Um sie zu bearbeiten, klicken Sie auf die Schaltfläche Bearbeiten (Bleistiftsymbol) in der Kopfzeile der Allgemein-Karte.

Verknüpfung mit dem Rest von DPMS

Die VVT-Detailseite steht im Mittelpunkt des DPMS-Compliance-Ökosystems. Fast jedes andere Modul speist Daten ein oder nutzt diese Seite:

• Einstiegspunkte in diese Seite: Ein Klick auf eine VVT-Zeile in der Übersichtsliste, das Speichern einer Bearbeitung aus dem Bearbeitungsformular eines Tabs, ein direkter Link aus einer Benachrichtigungs-E-Mail oder Workflow-Freigabe sowie der VVT-Tab auf einer DSFA-Detailseite führen Sie hierher.
• Ausgehende Links: Jeder Tab enthält klickbare Zeilen, die zur Detailseite des jeweiligen Elements führen – Assets, Anbieter, DSFAs, Aufgaben, Dokumente und mehr. Die Schaltfläche Bearbeiten in der Allgemein-Karte öffnet das Bearbeitungsformular für diesen Tab. Die Schaltfläche Erstellen auf jedem Tab führt zur Erstellungsmaske des jeweiligen Elementtyps mit automatischer Rückleitung hierher.

Wichtige Downstream-Abhängigkeiten:

• Das Feld Anwendbare Vorschriften im Tab Allgemein bestimmt, welche Rechtsgrundlagen und besonderen Kategorien in den entsprechenden Tabs als Optionen erscheinen. Setzen Sie Vorschriften immer zuerst.
• Das Feld Kurzbeschreibung der Verarbeitung ist die wichtigste Eingabe des KI-Assistenten für Vorschläge in anderen Tabs. Eine vage Beschreibung liefert vage Vorschläge.
• Die hier verknüpften externen Empfänger (und deren Länder) befüllen den „Datenübermittlung"-Indikator in der VVT-Übersichtsliste.
• Die unter Zugriff verwalten konfigurierten Einstellungen bestimmen, welche Zielgruppen und Benutzer diesen VVT-Eintrag im Datenschutzportal oder in geteilten Ansichten sehen können.
• Nach der Ersteinrichtung eines VVT-Eintrags empfiehlt es sich, einen KI-Generierungsdurchlauf auf den noch leeren Tabs durchzuführen und die Vorschläge anschließend zu prüfen, bevor Sie sie bestätigen.

Tipps und häufige Fallstricke

Achtung: Legen Sie im Tab Allgemein zunächst die Anwendbaren Vorschriften fest, bevor Sie die Tabs Rechtsgrundlage und Besondere Kategorien bearbeiten. Ohne gesetzte Vorschriften sind die verfügbaren Optionen ungefiltert oder beim Speichern erscheint eine Warnung.

Tipp: Nutzen Sie die Breadcrumb-Pfeile, um während eines Review-Zyklus durch mehrere VVT-Einträge zu navigieren. Das geht deutlich schneller als das wiederholte Zurückkehren zur Übersichtsliste.

• Der Umschalter zwischen Sammlungen und Einzelelementen wird im Browser gespeichert, nicht auf dem Server. Bei einem anderen Browser oder nach dem Löschen des Browser-Speichers kehrt der Umschalter zur Standardposition zurück. Das kann verwirren, wenn ein Kollege denselben Tab anders dargestellt sieht.
• Alle Bearbeitungsschaltflächen aller Tabs sind deaktiviert, während ein KI-Generierungsauftrag läuft. Es gibt keinen Echtzeit-Fortschrittsbalken auf der Detailseite – ein Tooltip erklärt, dass der Eintrag durch KI verarbeitet wird. Warten Sie auf die Abschluss-Meldung und laden Sie die Seite anschließend neu.
• Untergeordnete VVT-Einträge erben die meisten Felder vom übergeordneten Eintrag und können nicht eigenständig bearbeitet werden. Wenn Sie einen VVT-Eintrag öffnen und feststellen, dass Name, Beschreibung, anwendbare Vorschriften und Typ ausgegraut sind, handelt es sich um einen untergeordneten Eintrag. Sie können nur die verantwortliche Person, die Organisationseinheit und den Organisationseinheitsnamen ändern. Wenden Sie sich an Ihren DPMS-Administrator, wenn die übergeordneten Daten geändert werden müssen.
• Das Feld „Verantwortlicher" verhält sich je nach rechtlicher Rolle unterschiedlich. Wenn die rechtliche Rolle „Auftragsverarbeiter" enthält, erscheint ein zusätzliches Feld „Anbieter-Verantwortliche", um zu dokumentieren, in wessen Auftrag die Verarbeitung erfolgt. Ist die Rolle ausschließlich „Verantwortlicher", ist dieses Feld ausgeblendet. Der angezeigte Wert fällt auf Ihren Unternehmensnamen zurück, wenn kein Anbieter-Verantwortlicher explizit verknüpft wurde – das ist erwartetes Verhalten, keine Datenlücke.
• In den Risikoeinstellungen muss ein Prozessrisikomodell konfiguriert sein, bevor Risikobewertungen gespeichert werden können. Wenn Sie im Tab Risikoszenarien Faktoren bewerten und auf Speichern klicken, aber Ihre Organisation noch kein Risikomodell eingerichtet hat, schlägt der Speichervorgang fehl – mit einer Meldung und einem direkten Link zur Risikoeinstellungsmaske.