Was ist ein Verarbeitungsverzeichnis (VVT)?
Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO dokumentiert, welche personenbezogenen Daten Ihr Unternehmen zu welchem Zweck verarbeitet, auf welcher Rechtsgrundlage und mit welchen Schutzmaßnahmen. Es ist für die meisten Unternehmen verpflichtend und muss der Aufsichtsbehörde auf Anfrage vorgelegt werden können.
Wer braucht einen Datenschutzbeauftragten?
Nach DSGVO Art. 37 und § 38 BDSG benötigen Unternehmen einen Datenschutzbeauftragten, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind — oder wenn besonders risikoreiche Verarbeitungen wie umfangreiche Gesundheitsdaten stattfinden.
Wie lange dauert die Einrichtung?
Nach Ihrer Anmeldung erhalten Sie innerhalb von 24 Stunden Zugang zur Plattform. Die automatische VVT-Erstellung dauert Minuten; die begleitete Erstberatung durch DATUREX findet in der Regel innerhalb einer Woche statt.
Ist die Plattform DSGVO-konform?
Ja. Die Plattform wird in der EU auf eigener Infrastruktur betrieben, mit Mandanten-Isolation auf Datenbankebene, Verschlüsselung und Audit-Logging. KI-Funktionen laufen standardmäßig auf EU-gehosteten Modellen — Mandantendaten verlassen die EU nicht.
Was kostet der externe DSB?
DATUREX Professional kostet 149 € pro Monat zzgl. MwSt. — als Flatrate inklusive VVT, DSMS-Plattform, Schulungen, Datenpannen-Support und persönlicher Beratung. Monatlich kündbar, keine Einrichtungsgebühren.
Kann ich ohne PayPal-Zahlung starten?
Ja. Neben dem Self-Service-Abo per PayPal richtet DATUREX Mandanten auch manuell ein — mit klassischer Rechnungsstellung. Nutzen Sie dafür das Kontaktformular „Von DATUREX einrichten lassen".
Wie schützen Sie meine Mandantendaten?
Hosting ausschließlich in der EU (Hetzner, Deutschland), Tenant-Isolation per Postgres Row-Level-Security, verschlüsselte Backups und ein lückenloses Audit-Log. Datenschutz ist nicht nur unser Produkt, sondern unsere eigene Arbeitsgrundlage.
Bin ich als kleines Unternehmen VVT-pflichtig?
Fast immer: ja. Art. 30 Abs. 1 DSGVO verpflichtet grundsätzlich jede verantwortliche Stelle zur Führung eines Verarbeitungsverzeichnisses. Zwar sieht Art. 30 Abs. 5 DSGVO eine Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern vor — diese greift jedoch nur, wenn gleichzeitig keine nicht-gelegentliche Verarbeitung stattfindet, kein Risiko für die Rechte Betroffener besteht und keine besonderen Datenkategorien (z. B. Gesundheitsdaten) verarbeitet werden. Die Datenschutzkonferenz (DSK) stellt ausdrücklich fest, dass diese Ausnahme in der Praxis selten greift — ein Unternehmen mit 10 Beschäftigten, das einen Newsletter versendet oder Kundendaten speichert, unterliegt bereits der VVT-Pflicht.
Was droht bei fehlendem oder unvollständigem VVT?
Bei fehlendem oder unvollständigem Verarbeitungsverzeichnis drohen Bußgelder von bis zu 10 Mio. Euro bzw. 2 % des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO). Bei schwerwiegenderen Verstößen gegen Verarbeitungsgrundsätze oder Betroffenenrechte kann der höhere Rahmen nach Art. 83 Abs. 5 DSGVO greifen (bis zu 20 Mio. Euro bzw. 4 %). Zusätzlich kann die Aufsichtsbehörde die Vorlage des VVT jederzeit verlangen (Art. 30 Abs. 4 DSGVO).
Was bedeutet die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO)?
Art. 5 Abs. 2 DSGVO verpflichtet Ihr Unternehmen nicht nur zur Einhaltung der Datenschutzgrundsätze, sondern auch dazu, diese Einhaltung jederzeit gegenüber Aufsichtsbehörden nachweisen zu können. Das VVT ist das zentrale Nachweisdokument dieser Rechenschaftspflicht — es belegt, welche Verarbeitungen stattfinden, auf welcher Rechtsgrundlage und mit welchen Schutzmaßnahmen.
Brauche ich einen Datenschutzbeauftragten (DSB)?
Nach Art. 37 DSGVO ist ein DSB in bestimmten Fällen EU-weit verpflichtend — insbesondere bei umfangreicher Verarbeitung besonderer Datenkategorien oder bei systematischer Beobachtung betroffener Personen. Nach aktueller Rechtslage ergänzt § 38 BDSG dies für Deutschland: Unternehmen, bei denen in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind, müssen einen DSB benennen. Die Pflicht gilt auch bei DSFA-pflichtigen Verarbeitungen oder bei geschäftsmäßiger Weitergabe personenbezogener Daten.
Können Mitbewerber mich wegen Datenschutzmängeln abmahnen?
Seit dem BGH-Urteil vom 27. März 2025 können Mitbewerber und Verbraucherschutzverbände Datenschutzverstöße wettbewerbsrechtlich verfolgen — Datenschutzverstöße gelten seither als Marktverhaltensregeln im Sinne von § 3a UWG. Eine fehlende oder fehlerhafte Datenschutzerklärung kann daher zu kostenpflichtigen Unterlassungsverfahren führen. Ob ein konkreter Verstoß abgemahnt wird, hängt von den Umständen des Einzelfalls ab — insbesondere von der Marktrelevanz des Verstoßes.
Ist dieser Inhalt Rechtsberatung?
Nein. Die Inhalte dieser Seite sind allgemeine Informationen zu gesetzlichen Anforderungen und stellen keine Rechtsberatung im Einzelfall dar. Für eine auf Ihre Situation zugeschnittene rechtliche Beratung wenden Sie sich bitte an einen Rechtsanwalt oder einen qualifizierten Datenschutzbeauftragten.
Die Inhalte dieser Seite sind allgemeine Informationen und stellen keine Rechtsberatung im Einzelfall dar. Für rechtliche Beratung wenden Sie sich bitte an einen Rechtsanwalt oder Ihren Datenschutzbeauftragten.