Dennis A. Winkler
Themenseite · Art. 30 DSGVO

Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Das Verzeichnis von Verarbeitungstätigkeiten (kurz: VVT, gelegentlich Verarbeitungsverzeichnis) ist das methodische Rückgrat jedes datenschutzrechtlichen Managementsystems. Es ist zugleich Pflichtdokument nach Art. 30 DSGVO, Beleg für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO und zentrale Bezugsgröße für nahezu alle weiteren datenschutzrechtlichen Aufgaben: Schwellwertprüfung der Datenschutz-Folgenabschätzung, Auftragsverarbeitungsübersicht, Drittlandtransfer-Inventur, Löschkonzept, technisch-organisatorische Maßnahmen und Datenpannenrisikobewertung knüpfen jeweils am VVT-Eintrag an. Diese Seite ordnet die Norm im Detail, beschreibt die Pflichtinhalte für Verantwortliche und Auftragsverarbeiter, klärt die in der Praxis schwierige Frage der Granularität einer Verarbeitungstätigkeit und zeigt die hochschultypischen Besonderheiten auf. Sie ist als methodische Orientierung für Datenschutzkolleginnen und -kollegen sowie für Fachbereiche öffentlicher Hochschulen gedacht.

Keine Rechtsberatung, kein Ersatz für Einzelfallprüfung: Diese Seite dient der fachlichen Orientierung und kann eine rechtsverbindliche Einzelfallbewertung nicht ersetzen. Sie stellt keine individuelle Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG) dar. Für konkrete Fragen wenden Sie sich bitte an die Landesbeauftragte für den Datenschutz Sachsen-Anhalt oder an eine auf Datenschutzrecht spezialisierte Rechtsanwaltskanzlei.

Persönliche fachliche Auffassung: Ich bin hauptberuflich als Datenschutzmanager an einer öffentlichen Hochschule in Sachsen-Anhalt tätig. Die hier veröffentlichten Inhalte geben ausschließlich meine persönliche fachliche Auffassung wieder und stellen keine offizielle Position meines Arbeitgebers dar.

Praxisbeispiele als didaktische Fallgruppen: Die auf dieser Seite enthaltenen Praxisbeispiele sind didaktische Fallgruppen zur Veranschaulichung typischer Konstellationen. Sie ersetzen keine Bewertung des konkreten Einzelfalls; abweichende Sachverhaltsmerkmale können zu einer anderen rechtlichen Würdigung führen.

01

Funktion und Bedeutung des VVT

Das Verzeichnis von Verarbeitungstätigkeiten erfüllt vier in der Praxis miteinander verzahnte Funktionen. Erstens ist es das primäre Nachweisinstrument der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO: Der Verantwortliche muss die Einhaltung der Grundsätze der Datenverarbeitung dokumentieren und auf Verlangen der Aufsichtsbehörde darlegen können. Zweitens ist es das methodische Inventar der Verarbeitungslandschaft einer Hochschule: Welche Daten werden zu welchem Zweck, durch welche Stelle, auf welcher Rechtsgrundlage, in welchem System verarbeitet? Drittens ist es Anknüpfungspunkt für nahezu alle weiteren Datenschutzaufgaben – Schwellwertprüfung der DSFA, AVV-Übersicht, TOM-Dokumentation, Löschkonzept, Datenpannenrisikobewertung, Drittlandtransfer-Inventur. Viertens ist es Steuerungs- und Kommunikationsmittel gegenüber Fachbereichen, IT und Leitung: Wer keine saubere Verarbeitungstätigkeiten-Beschreibung hat, kann weder Risiken einschätzen noch Verantwortlichkeiten zuordnen.

In Erwägungsgrund 82 DSGVO ist der gesetzgeberische Zweck ausdrücklich benannt: „Zum Nachweis der Einhaltung dieser Verordnung sollte der Verantwortliche oder der Auftragsverarbeiter ein Verzeichnis der Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen, führen." Das VVT ist damit primär ein internes Steuerungs- und Dokumentationsinstrument; eine Veröffentlichung wird durch Art. 30 DSGVO nicht verlangt, im Einzelfall aber durch Transparenzpflichten (Art. 13/14 DSGVO) oder Informationszugangsrechte (IZG LSA) zumindest hinsichtlich einzelner Angaben mitgesteuert.

Für öffentliche Stellen wie die Hochschulen Sachsen-Anhalts kommt eine besondere Bedeutung hinzu: Bußgelder sind nach Art. 83 Abs. 7 DSGVO i. V. m. § 31 Abs. 2 Satz 1 DSAG LSA gegenüber öffentlichen Stellen Sachsen-Anhalts grundsätzlich ausgeschlossen. Die Vorschrift kennt allerdings eine ausdrückliche Rückausnahme: Nach § 31 Abs. 2 Satz 2 DSAG LSA gilt der Bußgeldausschluss nicht, „soweit öffentliche Stellen als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen". Für Hochschulen wird diese Rückausnahme in Konstellationen relevant, in denen sie wirtschaftlich am Markt agieren – etwa bei entgeltlicher wissenschaftlicher Weiterbildung, kommerziell ausgerichteten Drittmittelprojekten, Ausgründungen oder universitätsmedizinischen Wettbewerbsangeboten. Unabhängig vom Bußgeldrisiko bleiben die Aufsichtsbefugnisse der Landesbeauftragten für den Datenschutz nach Art. 58 DSGVO in jedem Fall bestehen: Beanstandungen, Anordnungen und – im Extremfall – die Untersagung einzelner Verarbeitungen sind weiterhin möglich. Ein lückenhaftes oder veraltetes VVT ist regelmäßig der erste Anlass, an dem eine Aufsicht aufmerksam wird, weil ein fehlendes VVT-Eintragmuster auf strukturelle Versäumnisse hinweist.

Art. 5 Abs. 2 DSGVO; Art. 30 DSGVO; Erwägungsgrund 82 DSGVO; Art. 58 DSGVO (Aufsichtsbefugnisse); Art. 83 Abs. 7 DSGVO; § 31 Abs. 2 Satz 1 und 2 DSAG LSA (Bußgeldausschluss mit Rückausnahme für am Wettbewerb teilnehmende öffentlich-rechtliche Unternehmen).

02

Rechtsgrundlage und Geltungsbereich

Die Pflicht zur Führung eines Verzeichnisses ergibt sich unmittelbar und ausschließlich aus Art. 30 DSGVO. Die Norm ist als EU-Verordnung in jedem Mitgliedstaat unmittelbar anwendbar (Art. 288 Abs. 2 AEUV) und bedarf keiner ausfüllenden landesrechtlichen Umsetzung. Das DSAG LSA enthält folgerichtig keine eigene VVT-Norm; die hochschul- und beschäftigtenrechtlichen Aufgabennormen (HSG LSA, LBG LSA, PersVG LSA) sind Rechtsgrundlagen einzelner Verarbeitungstätigkeiten und fließen damit in einzelne VVT-Einträge ein, begründen aber nicht die VVT-Pflicht selbst.

Adressat der Pflicht ist nach Art. 30 Abs. 1 DSGVO der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO und – falls bestellt – sein Vertreter. Verantwortlicher ist diejenige Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet. Für die öffentlichen Hochschulen in Sachsen-Anhalt ist das die jeweilige Hochschule selbst als Körperschaft des öffentlichen Rechts (§ 54 HSG LSA), vertreten durch ihr Rektorat. Daneben verpflichtet Art. 30 Abs. 2 DSGVO den Auftragsverarbeiter zur Führung eines eigenen Verzeichnisses; das ist im Hochschulkontext insbesondere für Dienstleister relevant, die im Auftrag der Hochschule personenbezogene Daten verarbeiten (Rechenzentren externer Anbieter, Cloud-Dienste mit AVV, Druck- und Versanddienstleister, externe Telefon- und IT-Support-Dienste u. ä.).

Gemeinsam Verantwortliche (Art. 26 DSGVO)

Bei gemeinsam Verantwortlichen führt jeder Beteiligte ein eigenes VVT für seinen Anteil der Verarbeitung. Wer die Zwecke und Mittel der Verarbeitung gemeinsam festlegt, ist jeweils Verantwortlicher und damit nach Art. 30 Abs. 1 DSGVO pflichtig. In der Praxis empfiehlt sich, den jeweiligen Anteil aus der Joint-Controller-Vereinbarung (Art. 26 Abs. 1 Satz 2 DSGVO) in den jeweiligen VVT-Eintrag zu spiegeln. Vertiefend siehe Themenseite Gemeinsame Verantwortlichkeit.

Art. 4 Nr. 7, Nr. 8 DSGVO; Art. 26 DSGVO; Art. 30 Abs. 1, Abs. 2 DSGVO; Erwägungsgrund 82 DSGVO; § 54 HSG LSA (Rechtsstellung der Hochschulen).

03

Pflichtinhalte des Verantwortlichen (Art. 30 Abs. 1)

Art. 30 Abs. 1 DSGVO listet sieben Pflichtangaben auf (lit. a–g). Jeder einzelne VVT-Eintrag muss diese Angaben enthalten; eine pauschale, behördenweite Beschreibung ohne tatsächliche Einzelfallanknüpfung erfüllt die Pflicht nicht. Die nachfolgenden Erläuterungen geben den Normtext wieder und ordnen ihn für die Hochschulpraxis ein.

Lit. Pflichtangabe Hochschultypische Inhalte
a Name und Kontaktdaten des Verantwortlichen, eines etwaigen gemeinsam Verantwortlichen, eines Vertreters sowie des Datenschutzbeauftragten Hochschule als K. ö. R. (§ 54 HSG LSA), vertreten durch das Rektorat; Datenschutzbeauftragte (Art. 37 DSGVO) mit Funktionsadresse; bei Joint Controllership zusätzlich der Mitverantwortliche.
b Zwecke der Verarbeitung Aufgabenbezogen formulieren – z. B. „Durchführung des Studienbewerbungsverfahrens", „Personalaktenführung der Beschäftigten", „Durchführung eines Drittmittelprojekts XY". Pauschalformeln wie „Verwaltung" sind nicht hinreichend.
c Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten Betroffenenkategorien: Studierende, Bewerberinnen und Bewerber, Beschäftigte, Lehrbeauftragte, Gäste, Probandinnen und Probanden, Dritte (z. B. Gutachterinnen und Gutachter). Datenkategorien: Stammdaten, Kontaktdaten, Studienverlaufsdaten, Beschäftigungsdaten, Gesundheitsdaten (Art. 9), ggf. besondere Kategorien.
d Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch werden, einschließlich Empfänger in Drittländern oder internationalen Organisationen Innerorganisatorische Stellen (Fakultäten, Dezernate, Hochschulgremien), externe Empfänger (statistische Landesämter nach HStatG, Kooperationspartner, Bibliotheksverbund), Auftragsverarbeiter (Cloud-Anbieter, Versanddienstleister), Aufsichts- und Prüfbehörden.
e Gegebenenfalls Übermittlungen in ein Drittland oder an eine internationale Organisation, einschließlich Angabe des betreffenden Drittlands und der Dokumentierung geeigneter Garantien (Art. 49 Abs. 1 Unterabs. 2) Bei US-Cloud-Diensten (z. B. Microsoft 365, Zoom, US-KI-APIs): Drittland (USA), Garantie (Angemessenheitsbeschluss DPF und/oder Standardvertragsklauseln), Transfer Impact Assessment. Vertiefend Drittlandstransfer.
f Wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien Pro Datenkategorie eine konkrete oder kriterienbasierte Frist – z. B. Bewerbungsunterlagen 6 Monate nach Verfahrensabschluss, Personalakten 10–30 Jahre nach Beendigung (LBG LSA, Beihilfen), Forschungsdaten nach DFG-Leitlinie 17 mindestens 10 Jahre. Verweis auf das Löschkonzept zulässig.
g Wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß Art. 32 Abs. 1 TOM-Kategorien Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit, Wiederherstellbarkeit, regelmäßige Wirksamkeitsüberprüfung. Verweis auf das zentrale TOM-Dokument der Hochschule zulässig, soweit der Einzelfall in dieses eingeordnet ist. Vertiefend TOMs.

Die Wendung „wenn möglich" in lit. f und lit. g ist nach herrschender Aufsichtspraxis nicht als allgemeine Verzichtsklausel zu lesen. Sie bezieht sich auf seltene Konstellationen, in denen eine Frist oder eine TOM-Beschreibung im Einzelfall noch nicht festgelegt werden kann (z. B. weil das Verfahren neu ist und sich in der Pilotierung befindet). In allen anderen Fällen muss die Angabe erfolgen; ein bloßes Auslassen mit Verweis auf „wenn möglich" ist keine DSGVO-konforme Pflichterfüllung.

Optionale Felder mit hohem Praxisnutzen

Auch wenn Art. 30 DSGVO sie nicht zwingend verlangt, erweist sich die Aufnahme der folgenden Felder in das VVT als nachhaltig hilfreich für DSFA-Schwellwertprüfung, Datenpannenmanagement und Aufsichtskommunikation:

  • Rechtsgrundlage pro Verarbeitungstätigkeit (Art. 6, Art. 9 DSGVO; für öffentliche Hochschulen in Sachsen-Anhalt regelmäßig Art. 6 Abs. 1 lit. e DSGVO i. V. m. der einschlägigen Aufgabennorm – z. B. §§ 3, 6 ff., 27 ff. HSG LSA für Lehre, Studium und Studierende; § 27 DSAG LSA i. V. m. Art. 9 Abs. 2 lit. j DSGVO für Forschung; § 26 DSAG LSA für Personalakten; ergänzt durch die jeweilige Hochschulsatzung).
  • Verantwortliche Organisationseinheit (Dezernat, Fachbereich, Lehrstuhl, Projektleitung) – wichtig für Zuständigkeitsklärung im Datenpannenfall.
  • Eingesetzte IT-Verfahren als technisches Hilfsmittel (z. B. M365, Campus-Management-System, ELN) – ermöglicht die Verbindung zur IT-Schutzbedarfsfeststellung der Informationssicherheit (BSI 200-2).
  • Schwellwertprüfungsergebnis für die DSFA (Art. 35 DSGVO) mit Datum und Prüfer – verhindert Doppelarbeit.
  • Verweis auf relevante AVV-Verträge und gemeinsame Verantwortlichkeitsvereinbarungen.
  • Letzte Aktualisierung mit Datum und Bearbeiter – Voraussetzung für eine sinnvolle Aufsichtsbereitstellung.

Diese erweiterten Felder erscheinen im DSK-Kurzpapier Nr. 1 als Empfehlung. Sie sind keine zusätzliche Pflicht, erhöhen aber die methodische Nutzbarkeit des VVT für alle nachgelagerten Prozesse erheblich.

Art. 30 Abs. 1 lit. a–g DSGVO; Art. 6 Abs. 1 lit. e DSGVO; §§ 3, 6 ff., 27 ff. HSG LSA; §§ 26, 27 DSAG LSA; DSK, Kurzpapier Nr. 1 „Verzeichnis von Verarbeitungstätigkeiten", Stand 17.12.2018.

04

Pflichtinhalte des Auftragsverarbeiters (Art. 30 Abs. 2)

Der Auftragsverarbeiter führt ein eigenes Verzeichnis aller Verarbeitungstätigkeiten, die er im Auftrag eines Verantwortlichen erbringt. Die Pflicht ist von der VVT-Pflicht des Verantwortlichen unabhängig: Beide Rollen unterliegen unterschiedlichen Pflichtinhalten (Art. 30 Abs. 1 vs. Abs. 2 DSGVO) und müssen ihre Verzeichnisse jeweils eigenständig und nachprüfbar führen. Eine technische Abbildung beider Verzeichnisse in einem gemeinsamen IT-System ist zulässig, sofern die Rollen sauber getrennt, die jeweiligen Pflichtinhalte rollenspezifisch abgebildet und die Datensätze einer Rolle klar zuordenbar sind. Eine unspezifische Vermengung beider Verzeichnisse in einem einheitlichen, rollenneutralen Datensatz dürfte den Anforderungen aus Art. 30 Abs. 1 und Abs. 2 DSGVO dagegen nicht genügen.

Pflichtinhalte nach Art. 30 Abs. 2 DSGVO

  • Name und Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, in dessen Auftrag verarbeitet wird, sowie gegebenenfalls eines Vertreters und des Datenschutzbeauftragten (lit. a);
  • Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden (lit. b);
  • gegebenenfalls Übermittlungen in ein Drittland oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands und der Dokumentierung geeigneter Garantien gemäß Art. 49 Abs. 1 Unterabsatz 2 DSGVO (lit. c);
  • wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß Art. 32 Abs. 1 (lit. d).

Für die Hochschule als Verantwortliche ergeben sich daraus zwei praktische Konsequenzen. Erstens: Bei jeder Auftragsverarbeitung sollte im AVV (Art. 28 DSGVO) die Pflicht des Auftragsverarbeiters zur Führung eines eigenen VVT ausdrücklich aufgegriffen werden – ohnehin Bestandteil der gängigen AVV-Muster. Zweitens: In Auditsituationen kann die Hochschule vom Auftragsverarbeiter die Vorlage seines VVT-Auszuges zum sie betreffenden Auftrag verlangen (Art. 28 Abs. 3 lit. h DSGVO als Prüfunterstützungspflicht). Wer in der Hochschule selbst in seltenen Konstellationen als Auftragsverarbeiter nach außen auftritt (z. B. Hochschulambulanz, die für das Universitätsklinikum eine bestimmte Verarbeitung erbringt), unterliegt ergänzend Art. 30 Abs. 2 DSGVO und muss ein entsprechendes Teilverzeichnis führen.

Art. 28, Art. 30 Abs. 2 DSGVO; AVV-Muster der DSK und der LfDI-Behörden; vertiefend Themenseite AVV.

05

Ausnahme nach Art. 30 Abs. 5 DSGVO

Die VVT-Pflicht entfällt nach Art. 30 Abs. 5 DSGVO für Unternehmen oder Einrichtungen, die weniger als 250 Beschäftigte haben – mit drei alternativen Rückausnahmen: Die Pflicht besteht weiter, sobald

  • die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt,
  • die Verarbeitung nicht nur gelegentlich erfolgt oder
  • besondere Datenkategorien (Art. 9 Abs. 1 DSGVO) oder Daten zu strafrechtlichen Verurteilungen und Straftaten (Art. 10 DSGVO) verarbeitet werden.

Für Hochschulen praktisch keine Ausnahmewirkung

Für die öffentlichen Hochschulen in Sachsen-Anhalt ist Art. 30 Abs. 5 DSGVO regelmäßig ohne praktische Relevanz. Bereits die Beschäftigtenzahl liegt regelmäßig deutlich oberhalb der 250er-Schwelle. Selbst bei einer hypothetischen Schwellenunterschreitung greifen alle drei Rückausnahmen parallel: Hochschulen verarbeiten dauerhaft und nicht gelegentlich; sie verarbeiten in vielen Bereichen besondere Datenkategorien (Gesundheits- und Beihilfedaten, Forschungsdaten zu Probandinnen und Probanden, Beschäftigtendaten mit Schwerbehindertenmerkmal, Eignungsuntersuchungen); zahlreiche Verarbeitungen weisen ein erhöhtes Risiko auf (KI-gestützte Verfahren, hybride Lehre, Berufungs- und Bewerbungsverfahren, Beschäftigten-Tracking). Art. 30 DSGVO differenziert seinem Wortlaut nach nicht nach „öffentlicher Stelle", sondern nach Verantwortlichen, Auftragsverarbeitern und der Ausnahme in Abs. 5. Da Hochschulen jedoch sowohl die 250er-Schwelle überschreiten als auch flächendeckend mindestens eine der drei Rückausnahmen verwirklichen, wirkt sich die Ausnahme in der Sache nicht entlastend aus; ein vollständiges, alle Verarbeitungstätigkeiten umfassendes VVT ist daher der praktische Regelfall.

Bereits im April 2018 hat die damalige Artikel-29-Gruppe in ihrer Position on the derogations from the obligation to maintain records of processing activities pursuant to Article 30(5) GDPR ausdrücklich klargestellt, dass die drei Rückausnahmen alternativ zu verstehen sind: Bereits das Vorliegen einer einzigen löst die Aufzeichnungspflicht aus – nach dem Positionspapier zunächst begrenzt auf die jeweils betroffene Verarbeitungstätigkeit. Das DSK-Kurzpapier Nr. 1 (Stand 17.12.2018) folgt dieser Linie. Für die öffentlichen Hochschulen folgt das Fehlen eines Ausnahmespielraums daher nicht aus einer Gesamtwirkung der einzelnen Rückausnahme, sondern aus der bereits überschrittenen 250er-Schwelle und dem flächendeckenden Vorliegen aller drei Rückausnahmen (siehe oben).

Art. 30 Abs. 5 DSGVO; WP 29 (jetzt EDSA), Position on Article 30(5), 19.04.2018; DSK, Kurzpapier Nr. 1, Stand 17.12.2018.

06

Granularität: Was ist eine „Verarbeitungstätigkeit"?

Der schwierigste methodische Punkt der VVT-Praxis ist die Granularität: Wann ist ein Vorgang eine Verarbeitungstätigkeit, wann sind es mehrere, wann ist eine Bündelung sinnvoll? Art. 30 DSGVO selbst gibt keinen Granularitätsbegriff vor. Maßgeblich ist die zweckorientierte Betrachtung: Eine Verarbeitungstätigkeit ist regelmäßig ein zweckgebundenes, in sich geschlossenes Verarbeitungsbündel. Sie wird durch den Zweck definiert, nicht durch das eingesetzte IT-System und nicht durch die handelnde Organisationseinheit.

Drei methodische Leitlinien

  • Zweckhomogenität: Alles, was demselben Zweck dient und sich nur in technischen Hilfsmitteln unterscheidet, gehört zur selben Verarbeitungstätigkeit. Werden verschiedene Zwecke verfolgt (z. B. Studienbewerbungsverfahren und alumni-Kommunikation), sind das mehrere Verarbeitungstätigkeiten.
  • Betroffenenkreise: Sind unterschiedliche Betroffenenkreise mit unterschiedlichen Schutzbedarfen betroffen (z. B. Studierende vs. Probandinnen und Probanden klinischer Forschung), spricht das eher für eine Trennung in separate VVT-Einträge.
  • Rechtsgrundlagen: Wechselt die Rechtsgrundlage innerhalb eines Vorgangs (z. B. von gesetzlicher Aufgabenwahrnehmung zu Einwilligung), ist regelmäßig ein eigener VVT-Eintrag sinnvoll.

Ein häufiger Fehler in der Praxis ist die Verwechslung von Verarbeitungstätigkeit und technischem Hilfsmittel: „Microsoft 365" ist keine Verarbeitungstätigkeit, sondern eine IT-Plattform, über die zahlreiche unterschiedliche Verarbeitungstätigkeiten ablaufen (E-Mail-Kommunikation in der Verwaltung, Dokumentenablage in Fakultäten, Lehrveranstaltungsorganisation, Personalaktenführung usw.). Das VVT führt die Verarbeitungstätigkeit; das technische Hilfsmittel wird mit einer eigenen Beschreibung referenziert. Diese Logik entspricht der koordinierten Aufsichtspraxis der deutschen Datenschutzbehörden (DSK, Kurzpapier Nr. 1) und wird in der jüngeren Aufsichtspraxis bekräftigt, etwa im HBDI-Bericht zu Microsoft 365 vom 15.11.2025; vertiefend siehe Microsoft 365 an öffentlichen Hochschulen.

Beispielzweck Verarbeitungstätigkeit Technische Hilfsmittel
Studierendenbewerbung „Durchführung des Studienbewerbungsverfahrens" HISinOne / DoSV / E-Mail / Druck- und Versanddienstleister (AVV)
Berufungsverfahren „Durchführung eines Berufungsverfahrens nach §§ 35 f. HSG LSA" SharePoint-Bibliothek / Sichere Filesharing-Plattform / E-Mail-Kommunikation mit externen Gutachterinnen und Gutachtern
Personalaktenführung „Personalaktenführung der Beschäftigten" (§ 26 DSAG LSA i. V. m. §§ 84 ff. LBG LSA) Personalverwaltungssystem / Beihilfeabrechnungssystem / Archivierungssystem
Forschungsprojekt mit personenbezogenen Daten „Durchführung des Drittmittelprojekts XY" (§ 27 DSAG LSA i. V. m. Art. 9 Abs. 2 lit. j DSGVO) ELN (eLabFTW), statistische Software, Archivierungssystem für Forschungsdaten
Lehrveranstaltungsorganisation „Organisation und Durchführung von Lehrveranstaltungen" LMS Moodle / HISinOne / Teams / Video-Streaming-Dienst (mit AVV)

Forschungsprojekte: ein VVT-Eintrag pro Projekt?

In der Hochschulpraxis ist die Frage besonders umstritten, ob jedes Forschungsprojekt einen eigenen VVT-Eintrag benötigt oder ob ein Sammeleintrag pro Forschungsgebiet bzw. Methodik genügt. Art. 30 DSGVO gibt – wie oben dargestellt – keinen festen Granularitätsbegriff vor; die Antwort folgt daher der allgemeinen Zweck-Kriterien-Logik. Als Regelmodell ist in der überwiegenden Aufsichtspraxis ein projektbezogener Zuschnitt anerkannt: Jedes Forschungsprojekt mit personenbezogenen Daten verfolgt regelmäßig einen eigenen Zweck, beruht auf einer eigenen Rechtsgrundlage (z. B. spezifische Einwilligung der Studienteilnehmer, Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO) und arbeitet mit eigenen Datenkategorien – das spricht für einen eigenen VVT-Eintrag. Zwingend ist diese Granularität allerdings nicht: Lassen sich mehrere Projekte über identische Zwecksetzung, gleiche Rechtsgrundlage, vergleichbare Datenkategorien und identische technisch-organisatorische Maßnahmen sauber bündeln (etwa wiederkehrende standardisierte anonymisierte Beobachtungsstudien einer Arbeitsgruppe), kommt auch ein Mustereintrag mit projektspezifischer Ergänzungsschicht in Betracht. Maßgeblich bleibt, ob die einzelnen Projekt-Verarbeitungen im Verzeichnis nachvollziehbar identifizierbar sind und die Pflichtangaben aus Art. 30 Abs. 1 DSGVO je Projekt belegen lassen.

Vertiefend zur Rechtsgrundlage und zum Forschungsprivileg siehe Themenseite Forschungszweck als Rechtsgrundlage sowie Elektronisches Laborbuch (ELN).

Art. 30 Abs. 1 DSGVO; DSK, Kurzpapier Nr. 1 (17.12.2018); HBDI, Bericht zum datenschutzkonformen Einsatz von Microsoft 365 (Stand: 15.11.2025, Version 1.0); § 27 DSAG LSA; §§ 3, 6 ff., 27 ff., 35 f. HSG LSA.

07

Hochschulspezifische Konstellationen

Hochschulen verarbeiten in einer ausgeprägt heterogenen Aufgabenstruktur: Lehre und Studium, Forschung, Wissenstransfer, Personal- und Haushaltsverwaltung, Gremien, Mitbestimmung, Gleichstellung, Sicherheitsorganisation und Schutz vor wissenschaftlichem Fehlverhalten. Daraus ergeben sich fünf wiederkehrende VVT-typische Konstellationen, die hier exemplarisch dargestellt sind.

07.1 Lehre und Studium

Studienbewerbung, Immatrikulation, Studienverlaufsverwaltung, Prüfungsverwaltung, Abschlusszeugnis – jede dieser Stufen ist eine eigenständige Verarbeitungstätigkeit mit spezifischer Rechtsgrundlage (Zulassung und Immatrikulation: §§ 27, 29 f.; Prüfungen: §§ 12 f. HSG LSA – jeweils i. V. m. § 119 HSG LSA und der Studien- und Prüfungsordnung), spezifischen Aufbewahrungs- und Löschfristen, spezifischen Empfängerkreisen (z. B. statistisches Landesamt nach HStatG) und eigenen TOMs. Eine pauschale „Studierendenverwaltung" als ein einziger VVT-Eintrag verschleiert die unterschiedlichen Rechtsgrundlagen und Fristen und ist nicht hinreichend.

07.2 Forschung

Forschung mit personenbezogenen Daten gehört zu den VVT-anspruchsvollsten Bereichen. Pro Projekt ein eigener Eintrag (siehe Sektion 06); Rechtsgrundlage regelmäßig § 27 DSAG LSA i. V. m. Art. 6 Abs. 1 lit. e und Art. 9 Abs. 2 lit. j DSGVO. Besondere Beachtung verdienen: Anonymisierungs- und Pseudonymisierungskonzepte (Art. 5 Abs. 1 lit. c DSGVO), Datenzugriffsrechte nach Projektende, Archivierungspflichten (DFG-Leitlinie 17, regelmäßig mindestens 10 Jahre), Beteiligung der Ethikkommission und Schnittstelle zur DSFA. Die Themenseiten Forschungszweck und Anonymisierung vs. Pseudonymisierung vertiefen.

07.3 Beschäftigtendatenschutz

Personalaktenführung (§ 26 DSAG LSA i. V. m. §§ 84 ff. LBG LSA), Bewerbungsmanagement, Eignungsuntersuchungen, Berufungsverfahren, Beihilfen, Reisekostenmanagement, betriebliches Eingliederungsmanagement (BEM), Schwerbehindertenmanagement und Hinweisgeberschutz sind jeweils eigenständige Verarbeitungstätigkeiten mit jeweils eigener Mitbestimmungsdimension nach PersVG LSA. Vertiefend Beschäftigtendatenschutz an Hochschulen.

07.4 Microsoft 365 und andere Cloud-Verfahren

Microsoft 365 ist eine technische Plattform mit über 300 Diensten, die im VVT nicht als eigene Verarbeitungstätigkeit, sondern als technisches Hilfsmittel mit eigener Beschreibung geführt wird (HBDI-Bericht vom 15.11.2025, Microsoft Interpretationshilfe und M365-Kit als Anlagen). Jeder einzelne Zweck, der über M365 abgewickelt wird – Lehrveranstaltungsorganisation, Personalkommunikation, Berufungsverfahren-Aktenführung – führt zu einem eigenen VVT-Eintrag, der M365 als technisches Hilfsmittel referenziert. Vertiefend Microsoft 365 an öffentlichen Hochschulen.

07.5 KI-gestützte Verfahren

Wo KI-Systeme zum Einsatz kommen – KI-gestützte Bewerberauswahl, KI-Transkription, generative KI in Standardsoftware (Copilot, Adobe Firefly u. a.) – ist im VVT-Eintrag explizit zu vermerken: Art des KI-Systems, Anbieter, Rolle (Anbieter/Betreiber im Sinne der KI-VO), Risikoklassifikation nach KI-VO, Datenflüsse einschließlich Drittlandtransfer und Verhältnis zur DSGVO. Die Themenseiten KI-Governance an Hochschulen, KI-Transkription und Generative KI in Standard-Software vertiefen die methodische und rechtliche Einordnung.

§§ 3, 6 ff., 12 f., 27 ff., 35 f. HSG LSA; §§ 26, 27 DSAG LSA; §§ 84 ff. LBG LSA; PersVG LSA; HStatG; HBDI, Bericht zum datenschutzkonformen Einsatz von Microsoft 365 (Stand: 15.11.2025, Version 1.0); KI-VO (Verordnung (EU) 2024/1689).

08

Schnittstellen zu anderen Datenschutzpflichten

Das VVT ist kein isoliertes Dokument, sondern das Bezugsobjekt fast aller weiteren datenschutzrechtlichen Pflichten. Eine saubere Pflege des VVT vereinfacht die Erfüllung dieser Pflichten erheblich; ein veraltetes oder unvollständiges VVT macht sie strukturell schwierig.

Pflicht / Aufgabe Rechtsgrundlage Verknüpfung zum VVT
Datenschutz-Folgenabschätzung Art. 35 DSGVO Schwellwertprüfung am VVT-Eintrag; bei „hohes Risiko" → DSFA erforderlich. Ergebnis zurück ins VVT (Datum, Ergebnis). Vertiefend DSFA.
Auftragsverarbeitung Art. 28 DSGVO Empfängerangabe nach Art. 30 Abs. 1 lit. d DSGVO weist auf Auftragsverarbeiter hin; AVV-Verweis im VVT-Eintrag. Vertiefend AVV.
Drittlandtransfer Kap. V DSGVO Art. 30 Abs. 1 lit. e DSGVO; Garantien dokumentieren (DPF, SCC, BCR, Art. 49). TIA als Anlage. Vertiefend Drittlandstransfer.
TOMs nach Art. 32 Art. 32 DSGVO Art. 30 Abs. 1 lit. g DSGVO; Verweis auf zentrales TOM-Dokument zulässig, soweit die einzelne Verarbeitungstätigkeit dort einsortiert ist. Vertiefend TOMs.
Datenpannenmanagement Art. 33, 34 DSGVO VVT liefert in der 72-Stunden-Frist die Daten- und Betroffenenkategorien, Risikoindikatoren und die Empfängerkette für die Erstbewertung. Vertiefend Datenpannen.
Löschkonzept Art. 5 Abs. 1 lit. e, Art. 17 DSGVO; DIN 66398 Art. 30 Abs. 1 lit. f DSGVO; Fristen und Rechtsgrundlage je Datenkategorie speisen das Löschkonzept.
Datenschutzhinweise Art. 13, 14 DSGVO VVT als Quelle für Zwecke, Rechtsgrundlagen, Empfänger und Fristen; Konsistenz zwischen VVT und Datenschutzhinweis verhindert Widersprüche.
Betroffenenrechte Art. 15–22 DSGVO VVT erleichtert insbesondere die Auskunft (Empfänger, Speicherdauer, Rechtsgrundlagen). Vertiefend Auskunftsrecht.

Die Schnittstellenpflege ist methodisch zentral: Wer eine DSFA erstellt, vermerkt das Ergebnis im VVT; wer einen AVV abschließt, dokumentiert den Anbieter im VVT; wer ein Drittlandtransferproblem identifiziert, hält die Garantie im VVT fest. So entsteht aus dem VVT mittelfristig ein integriertes Datenschutzregister.

Art. 5 Abs. 1 lit. e, Art. 13–14, Art. 15–22, Art. 28, Art. 30, Art. 32, Art. 33–34, Art. 35, Kap. V DSGVO.

09

Format, Pflege und Aktualität

Art. 30 Abs. 3 DSGVO regelt das Format: Das Verzeichnis ist schriftlich – einschließlich in elektronischer Form – zu führen. Eine reine Mündlichkeit oder ein verteiltes Wissen einzelner Beschäftigter genügt nicht. In der Praxis dominieren drei Werkzeugkategorien:

  • Tabellenbasierte Lösungen (Excel, Calc, strukturierte SharePoint-Listen): einfach, kostengünstig, aber bei mehreren hundert Einträgen schwer pflegbar und schlecht versionierbar.
  • Spezialisierte VVT-Software (etwa OneTrust, audatis MANAGER, otris privacy oder DSMS-Module aus integrierten ISMS-Suiten): zentrale Pflege, Versionierung, Workflow-Unterstützung, Schnittstellen zu DSFA und AVV. Empfehlenswert ab einer dreistelligen Eintragszahl.
  • Eigenentwicklungen auf Datenbankbasis: an Hochschulen gelegentlich anzutreffen, hoher Pflegeaufwand, aber maximale Anpassbarkeit.

Unabhängig vom Werkzeug ist das zentrale Qualitätsmerkmal die Aktualität: Jede neue Verarbeitungstätigkeit, jede wesentliche Änderung einer bestehenden Verarbeitung und jede Beendigung muss zeitnah im VVT abgebildet werden. Eine jährliche „Frühjahrsbereinigung" ersetzt nicht die laufende Pflege. In Aufsichtsprüfungen wird regelmäßig nach dem Bearbeitungsdatum einzelner Einträge gefragt; ein jahrelang unveränderter Eintrag eines erkennbar dynamischen Verfahrens (Personalwesen, Lehre, Forschung) wirft Glaubwürdigkeitsfragen auf.

Pflegeprozess in vier Schritten

  1. Erfassung: Neuanlage durch die fachlich verantwortliche Stelle (Dezernat, Fachbereich, Projektleitung), unterstützt durch das Datenschutzmanagement.
  2. Plausibilitätsprüfung: Vier-Augen-Prüfung durch das Datenschutzmanagement; Klärung der Rechtsgrundlage, Schwellwertprüfung der DSFA, AVV- und Drittlandtransfer-Check.
  3. Freigabe und Versionierung: Datierte Freigabe; Änderungen werden als neue Version dokumentiert, alte Versionen archiviert (Rechenschaftspflicht Art. 5 Abs. 2 DSGVO).
  4. Periodische Revision: Mindestens jährliche Vollrevision der Einträge mit Bestätigung der fachlich verantwortlichen Stelle.

Art. 30 Abs. 3 DSGVO; Art. 5 Abs. 2 DSGVO; DSK, Kurzpapier Nr. 1 (17.12.2018).

10

Vorlagepflicht gegenüber der Aufsichtsbehörde

Nach Art. 30 Abs. 4 DSGVO stellen Verantwortliche und Auftragsverarbeiter das Verzeichnis der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung. Eine proaktive Übermittlung ist nicht verlangt; das Verzeichnis ist primär für den internen Gebrauch und für den Nachweis im Anfragefall bestimmt. Aufsichtsbehörden haben in der Praxis unterschiedliche Anfragepraktiken entwickelt – von Stichprobenanforderungen einzelner VVT-Einträge bis zu vollständigen Verzeichnis-Anforderungen in einer Verdachtssituation.

Worauf in einer Aufsichtsanfrage geachtet wird

  • Vollständigkeit: Sind alle Pflichtangaben nach Art. 30 Abs. 1 (oder Abs. 2) enthalten?
  • Granularität: Werden Verarbeitungstätigkeiten zweckorientiert und nicht systemorientiert geführt?
  • Aktualität: Wann wurde der Eintrag zuletzt aktualisiert? Spiegeln die Angaben den realen Verarbeitungszustand wider?
  • Konsistenz: Stimmen Datenschutzhinweise (Art. 13/14), Löschkonzept, AVV-Übersicht und VVT überein?
  • Nachweisbarkeit: Sind DSFA-Prüfungen, AVV-Verträge, TIAs und sonstige Belegdokumente referenziert?

Für die öffentlichen Hochschulen in Sachsen-Anhalt ist die Landesbeauftragte für den Datenschutz Sachsen-Anhalt zuständig (§§ 21 ff. DSAG LSA). Bei einer Anfrage empfiehlt sich, das Verzeichnis im ursprünglichen Pflegeformat zu übermitteln und nicht im Nachhinein zu schönen; jede nachträgliche „Bereinigung" kann den Eindruck struktureller Mängel verstärken.

Art. 30 Abs. 4 DSGVO; Art. 58 Abs. 1 lit. a, e DSGVO; §§ 21–24 DSAG LSA (Landesbeauftragte für den Datenschutz Sachsen-Anhalt).

11

Häufige Mängel und Stolperfallen

Aus aufsichtsbehördlichen Tätigkeitsberichten und aus der beruflichen Praxis lassen sich wiederkehrende Mängelmuster beobachten. Die nachfolgende Liste ist als Selbstkontroll-Raster gedacht.

  • System statt Zweck: Verarbeitungstätigkeiten werden nach IT-System geführt („Microsoft 365", „HISinOne") statt nach Zweck. Das verletzt die zweckorientierte Logik des Art. 30 DSGVO und macht die Schwellwertprüfung der DSFA unmöglich.
  • Pauschalzwecke ohne Substanz: Einträge mit Zweckangabe „Verwaltung", „Allgemeine Verwaltung", „Personalwesen" sind nicht hinreichend. Der Zweck muss eine konkrete Aufgabe benennen.
  • Veraltete Empfängerangaben: Wechsel von Dienstleistern, neue Aufsichtspflichten oder neue Schnittstellen werden im VVT nicht nachgezogen.
  • Fehlende Drittlandangaben: US-Cloud-Dienste werden ohne Hinweis auf Drittlandtransfer und Garantien geführt. Das verschleiert ein zentrales Compliance-Risiko und führt im Datenpannen- oder Aufsichtsfall zu Eskalation.
  • Fehlende Löschfristen: Verweis auf „wenn möglich" ohne sachliche Begründung; Pauschalformulierungen wie „nach gesetzlichen Aufbewahrungsfristen".
  • TOM-Sammelverweis ohne Anschluss: Verweis auf ein zentrales TOM-Dokument, ohne dass die einzelne Verarbeitungstätigkeit dort tatsächlich eingeordnet ist – der Verweis läuft leer.
  • Fehlende Schwellwertprüfung der DSFA: Riskante Verarbeitungen (KI-gestützte Verfahren, Beschäftigten-Tracking, Forschung mit sensiblen Daten) werden im VVT geführt, ohne dass die DSFA-Schwellwertprüfung dokumentiert wäre.
  • Forschungsprojekte als pauschaler Sammeleintrag: Ein einziger VVT-Eintrag „Forschungstätigkeit" pro Lehrstuhl ist regelmäßig zu grob, weil Zwecke, Rechtsgrundlagen und Datenkategorien zwischen den Projekten variieren. Eine Bündelung kommt allenfalls in Betracht, wenn sich mehrere Projekte über identische Zwecksetzung, gleiche Rechtsgrundlage und vergleichbare TOMs sauber zusammenfassen lassen und die einzelnen Projekte im Verzeichnis nachvollziehbar identifizierbar bleiben (vgl. Abschnitt 06).
  • Joint-Controller-Übersicht fehlt: Bei gemeinsamer Verantwortlichkeit (Art. 26 DSGVO) fehlt der Verweis auf die jeweilige Vereinbarung; die Rolle der Hochschule wird nicht ausgewiesen.
  • Keine periodische Revision: Einträge tragen ein Erstellungsdatum, aber kein letztes Revisionsdatum; in der Aufsichtsanfrage wirkt das wie ein „Karteileichen-Verzeichnis".

Tätigkeitsberichte der Landesdatenschutzaufsichtsbehörden 2023–2025 (insbesondere LfD LSA, BayLDA, LfDI BW, LDI NRW); DSK, Kurzpapier Nr. 1 (17.12.2018); eigene Verfasserpraxis.

12

Vertiefende Quellen

Rechtsquellen

Aufsichtspraxis und Leitlinien

Querverweise auf eigene Themenseiten

Stand: Q2/2026 · letzte inhaltliche Pflege; rechtsprechungsbezogene Aussagen sind dynamisch und vor produktiver Nutzung an aktuellen Primärquellen zu prüfen.

Weitere Themenseiten zu Datenschutz, KI-Verordnung und Informationssicherheit.

Zur Themenübersicht

Fragen zu dieser Seite?

Hinweise, Fehlerkorrekturen oder Anregungen zur Erweiterung dieser Seite nehme ich gerne entgegen.

kontakt@dennisawinkler.de