Das Verarbeitungsverzeichnis ist das Dokument, nach dem eine Aufsichtsbehörde als Erstes fragt. Es ist zugleich das Bindeglied zwischen Datenschutz und AI Act: Jeder Eintrag lässt sich mit einem KI-System verknüpfen, und damit wird aus zwei getrennten Listen eine Sicht, in der Sie zu jedem System die Datenverarbeitung sehen – und zu jeder Verarbeitung das System.

Auf einen Blick

Enthalten ab: Professional
Wo in der App: Datenschutz → Verarbeitungsverzeichnis
Ergebnis: Vollständiges VVT, exportierbar als CSV und Teil des DSGVO-Gesamtexports
Rechtsbezug: Art. 30 DSGVO
API: /api/v1/processing-records

Was ein Eintrag enthält

Bereich	Felder
Zweck und Rechtsgrundlage	Bezeichnung, Zweck, Rechtsgrundlage und ergänzende Erläuterung. Die Erläuterung ist bei berechtigtem Interesse faktisch Pflicht – dort erwartet die Behörde die Abwägung.
Betroffene und Daten	Kategorien betroffener Personen, Datenkategorien und – getrennt geführt – besondere Kategorien nach Art. 9. Dazu die Datenquelle.
Empfänger und Transfer	Empfängerkategorien, Kennzeichen für Drittlandtransfer samt Garantien sowie die Liste der beteiligten Auftragsverarbeiter aus dem Vendor Register.
Aufbewahrung	Aufbewahrungsfrist als Text und zusätzlich in Tagen, dazu das Löschkonzept. Die Angabe in Tagen ist die Grundlage der Löschfristenübersicht.
Verantwortlichkeit	Rolle (Verantwortlicher, gemeinsam Verantwortlicher, Auftragsverarbeiter), Name und Anschrift des Verantwortlichen, zuständige Aufsichtsbehörde, verantwortliche Person mit E-Mail.
Automatisierte Entscheidungen	Kennzeichen plus Beschreibung. Das ist das Feld, an dem sich Art. 22 DSGVO und der AI Act treffen – wenn hier „ja" steht, hat das System fast immer erhöhte Anforderungen.
Sicherheit und Prüfung	Zusammenfassung der TOMs, verknüpftes KI-System, nächster Prüftermin und Datum der letzten Prüfung.

Rechtsgrundlagen

Sechs feste Werte: dieselben wie in Art. 6 Abs. 1 DSGVO, kein Freitext. Eine Verarbeitung kann auf mehreren Grundlagen beruhen; die App führt sie als Liste.

Wert	Bedeutung
CONSENT	Einwilligung der betroffenen Person.
CONTRACT	Vertragserfüllung oder vorvertragliche Maßnahmen.
LEGAL_OBLIGATION	Erfüllung einer rechtlichen Verpflichtung.
VITAL_INTERESTS	Schutz lebenswichtiger Interessen.
PUBLIC_INTEREST	Wahrnehmung einer Aufgabe im öffentlichen Interesse.
LEGITIMATE_INTERESTS	Berechtigtes Interesse. Hier gehört die Interessenabwägung in die Erläuterung – ohne sie ist der Eintrag unvollständig.

Status-Modell

Status	Bedeutung
DRAFT	In Arbeit – noch nicht Teil des vorzeigbaren Verzeichnisses.
IN_REVIEW	Zur Prüfung beim Datenschutzbeauftragten oder der Fachabteilung.
APPROVED	Freigegeben und gültig. Das ist der Zustand, in dem ein Eintrag sein sollte.
ARCHIVED	Verarbeitung eingestellt. Der Eintrag bleibt erhalten – die Rechenschaftspflicht endet nicht mit der Verarbeitung.

Die Lückenliste

Eine eigene Ansicht zeigt Ihnen alle KI-Systeme, zu denen es noch keinen VVT-Eintrag gibt. Das ist der schnellste Weg, das Verzeichnis vollständig zu bekommen: Sie arbeiten eine Liste ab, statt zu raten, was fehlt.

Verknüpfungen werden geprüft

Verweise auf ein KI-System oder auf Auftragsverarbeiter müssen zu Ihrer Organisation gehören. Eine ID, die es nicht gibt oder die einer anderen Organisation gehört, lässt den Speichervorgang scheitern – der Eintrag wird nicht mit einem toten Verweis gespeichert.

Weitere Art.-30-Angaben

Neben den Grundfeldern hält ein Eintrag fest, was eine Behörde bei näherem Hinsehen fragt:

Mehrere Rechtsgrundlagen je Verarbeitung, bei besonderen Kategorien die Ausnahme nach Art. 9 Abs. 2 lit. a–j, bei Straftatendaten die Grundlage nach Art. 10.
Nationale Grundlagen (§ 22, § 24, § 26 Abs. 1 und 3 BDSG) und die konkrete Norm bei rechtlicher Verpflichtung.
Interessenabwägung bei berechtigtem Interesse, mit einem eigenen Text für die Datenschutzhinweise.
Endgerätezugriff nach § 25 TDDDG (Einwilligung oder unbedingt erforderlich), Minderjährige mit Altersprüfung.
Empfängerarten, Übermittlungsmechanismus, Modul der Standardvertragsklauseln und Fall nach Art. 49 bei Drittlandtransfer.
Ergebnis des DSFA-Screenings: es fließt in die DSB-Pflichtprüfung ein.
Stammdaten des Verantwortlichen und gegebenenfalls des EU-Vertreters kommen aus dem Profil im Bereich Datenschutzbeauftragter.

Vorlagen

Für typische Verarbeitungen gibt es 18 Vorlagen, die einen Eintrag mit Zweck, Kategorien, Rechtsgrundlagen und Fristen vorbefüllen: Lohnabrechnung, Personalakte, Zeiterfassung, Bewerbermanagement, Dienstreisen, CRM und Vertrieb, Kundenbuchhaltung, Kunden-App, Fernwartung und IoT, Kundenschulungen, Website-Hosting, Website-Analyse, eingebettete Website-Inhalte, Kontaktformular, Newsletter, IT-Betrieb, Videoüberwachung und konzernweite Shared Services. Prüfen und passen Sie jede Vorlage an Ihre tatsächliche Verarbeitung an.

Löschfristen-Bibliothek

Für die Aufbewahrungsfrist bietet die App eine Bibliothek gesetzlicher Fristen (Stand 01.01.2025). „Aus Bibliothek übernehmen“ setzt Text und Tage; prüfen Sie die Frist für Ihre Unterlagen. Die Normen sind deutsches Recht.

Eintrag	Norm
Buchungsbelege	§ 147 Abs. 1 Nr. 4, Abs. 3 AO; § 257 Abs. 1 Nr. 4, Abs. 4 HGB
Bücher und Jahresabschlüsse	§ 147 Abs. 1 Nr. 1, Abs. 3 AO; § 257 Abs. 1 Nr. 1, Abs. 4 HGB
Handels- und Geschäftsbriefe	§ 147 Abs. 1 Nr. 2, 3, Abs. 3 AO; § 257 Abs. 1 Nr. 2, 3, Abs. 4 HGB
Lohnkonto	§ 41 Abs. 1 S. 9 EStG; § 147 Abs. 3 AO
Bewerbungsunterlagen	§ 15 Abs. 4 AGG; § 61b Abs. 1 ArbGG
Arbeitszeitnachweise	§ 16 Abs. 2 ArbZG
Personalakte	§§ 195, 199 BGB (Regelverjährung)
Server-Logs mit IP-Adressen	Art. 5 Abs. 1 lit. c, e DSGVO
Videoaufzeichnungen	Art. 5 Abs. 1 lit. c, e, Art. 17 DSGVO; DSK-Orientierungshilfe
Double-Opt-in-Nachweis	Art. 7 Abs. 1 DSGVO; § 7 Abs. 2 Nr. 2 UWG; § 195 BGB