Es beginnt fast immer gleich. Jemand im Unternehmen braucht ein Verzeichnis von Verarbeitungstätigkeiten, eine Kollegin lädt eine VVT-Vorlage von der Website einer Aufsichtsbehörde herunter, und zwei Stunden später existiert eine Excel-Datei mit fünfzehn Spalten und drei ausgefüllten Zeilen. Sie heißt “VVT_final_v2.xlsx” und wird in den nächsten achtzehn Monaten genau zweimal geöffnet. Beide Male kurz vor einem Audit.
Wer diese Datei kennt, stellt sich irgendwann die Frage: Reicht die Vorlage, oder braucht es eine Software? Die ehrliche Antwort ist unbequemer, als die meisten Vergleichsartikel zugeben. Sie lautet: Es kommt darauf an, wie viel sich in Ihren Systemen bewegt – und wie viel davon Sie tatsächlich überblicken.
Was Art. 30 DSGVO wirklich verlangt
Bevor wir über Werkzeuge reden, lohnt ein nüchterner Blick auf die Pflicht selbst. Art. 30 Abs. 1 DSGVO verlangt von jedem Verantwortlichen ein Verzeichnis aller Verarbeitungstätigkeiten – mit Zwecken, Kategorien betroffener Personen und Daten, Empfängerkategorien, Drittlandübermittlungen, den vorgesehenen Löschfristen und, soweit möglich, einer Beschreibung der technischen und organisatorischen Maßnahmen. Nach Abs. 3 muss das Verzeichnis schriftlich vorliegen, ein elektronisches Format ist ausdrücklich erlaubt. Excel erfüllt diese Formvorgabe also problemlos. Das Formproblem ist nie das Problem.
Viele Mittelständler hoffen auf die Ausnahme in Art. 30 Abs. 5 DSGVO für Unternehmen mit weniger als 250 Mitarbeitern. Die Hoffnung trügt: Die Ausnahme greift nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt – und Lohnabrechnung, Kundenverwaltung oder ein CRM laufen nun einmal dauerhaft. In der Praxis braucht deshalb praktisch jedes Unternehmen ein VVT, unabhängig von der Größe.
Und die Fallhöhe ist real: Verstöße gegen Art. 30 können nach Art. 83 Abs. 4 DSGVO mit Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. Dazu kommt Art. 30 Abs. 4: Auf Anfrage der Aufsichtsbehörde müssen Sie das Verzeichnis vorlegen. Nicht “innerhalb angemessener Frist nach interner Abstimmung”. Auf Anfrage.
Wo die Excel-Vorlage systematisch scheitert
Excel scheitert nicht an der DSGVO. Excel scheitert an Ihrem Unternehmen. Vier Muster tauchen dabei immer wieder auf.
1. Das Verzeichnis veraltet schneller, als Sie es pflegen
Ein VVT ist eine Momentaufnahme. Ihre IT-Landschaft ist es nicht. Die Marketingabteilung führt ein neues Newsletter-Tool ein, der Vertrieb exportiert Kundenlisten in ein Analyse-Tool, die Personalabteilung testet eine Bewerbermanagement-Software. Jede dieser Änderungen macht Ihr Verzeichnis unvollständig – und niemand sagt der Excel-Datei Bescheid. Die Tabelle dokumentiert den Stand vom Tag ihrer Erstellung, nicht den Stand Ihrer Verarbeitungen. Nach einem Jahr ist sie keine Dokumentation mehr, sondern eine historische Quelle.
2. Excel weiß nicht, was in Ihren Systemen liegt
Die Vorlage fragt: “Welche Datenkategorien verarbeiten Sie?” Und dann sitzt jemand da und rät. Stehen in der Kundendatenbank Geburtsdaten? Liegen in dem alten Export-Ordner noch Bankverbindungen? Enthält die Freitextspalte im Ticketsystem Gesundheitsdaten, weil Kunden dort hineinschreiben, was sie wollen? Eine Tabelle kann nur abbilden, was Menschen wissen – und Menschen wissen erstaunlich wenig darüber, wo personenbezogene Daten tatsächlich liegen. Genau an dieser Stelle trennt sich die Vorlage von der Software: Werkzeuge wie datamastr scannen die angebundenen Datenquellen selbst, erkennen personenbezogene Felder automatisch und schlagen sie für das Verzeichnis vor. Das Raten entfällt.
📷 BILD-PLATZHALTER: Gegenüberstellung auf einem Bildschirm: links eine unübersichtliche Excel-Tabelle mit leeren Zellen und Kommentar-Markierungen, rechts eine Software-Ansicht mit automatisch erkannten PII-Feldern, die farblich markiert und einer Verarbeitungstätigkeit zugeordnet sind.
3. Versionschaos statt Verantwortung
“VVT_final_v2.xlsx” liegt im Teams-Ordner. “VVT_final_v2_Kopie_HR.xlsx” liegt im Postfach der Personalleiterin. Welche gilt? Wer hat die Löschfrist für die Bewerberdaten zuletzt geändert, und warum? Excel kennt keine Verantwortlichkeiten, keine Freigaben, keine Historie, die diesen Namen verdient. Bei einer Prüfung zählt aber genau das: Nach Art. 5 Abs. 2 DSGVO müssen Sie die Einhaltung der Grundsätze nachweisen können – die Rechenschaftspflicht. Ein Verzeichnis, dessen eigene Entstehung niemand nachvollziehen kann, ist ein schwacher Nachweis.
4. Die Löschfristen stehen im VVT – und sonst nirgends
Das ist der leiseste, aber teuerste Fehler. In der Vorlage steht brav: “Löschung nach 6 Monaten”. Nur: Wer löscht? Die Tabelle löst nichts aus, erinnert niemanden, prüft nichts nach. Die dokumentierte Löschfrist und die gelebte Realität entkoppeln sich vollständig. Bei einer Prüfung ist das die unangenehmste Frage überhaupt: “Hier steht, Sie löschen nach sechs Monaten. Zeigen Sie mir bitte, dass Sie das tun.” Was antworten Sie dann?
Wann Excel trotzdem die richtige Wahl ist
Ehrlichkeit gehört dazu: Es gibt Konstellationen, in denen die Vorlage genügt. Wenn Sie ein kleines Unternehmen mit einer Handvoll stabiler Verarbeitungen sind – Lohnabrechnung beim Steuerberater, ein Kundenstamm, ein E-Mail-Postfach – und sich daran seit Jahren nichts ändert, dann ist eine sauber gepflegte Excel-Tabelle ein völlig legitimes VVT. Die Aufsichtsbehörden stellen ihre Vorlagen nicht aus Bosheit bereit.
Die Frage ist nicht, ob Excel ein VVT abbilden kann. Die Frage ist, ab welchem Punkt die Pflege der Tabelle mehr kostet als ein Werkzeug. Drei Indikatoren, die in der Praxis den Ausschlag geben:
Erstens: die Zahl der Datenquellen. Ab etwa einem Dutzend Systemen – CRM, ERP, HR-Tool, Ticketsystem, Cloud-Speicher, Marketing-Stack – kennt kein einzelner Mensch mehr den Gesamtbestand. Ab hier wird jede manuelle Bestandsaufnahme zur Schätzung.
Zweitens: die Änderungsfrequenz. Wenn pro Quartal neue Tools eingeführt oder Prozesse umgebaut werden, veraltet die Tabelle schneller, als Sie Pflegetermine ansetzen können.
Drittens: die Zahl der Beteiligten. Sobald mehrere Abteilungen zuliefern müssen, wird aus dem VVT ein Koordinationsproblem. Excel hat dafür keine Antwort außer “Bitte bis Freitag zurücksenden”.
Treffen zwei dieser drei Punkte auf Sie zu? Dann rechnet sich die Tabelle bereits nicht mehr – Sie merken es nur noch nicht.
Was eine Software konkret anders macht
Der Unterschied liegt nicht in schöneren Formularen. Er liegt in der Richtung des Informationsflusses. Bei Excel tragen Menschen zusammen, was sie zu wissen glauben. Eine gute Software liest aus den Systemen aus, was tatsächlich da ist.
Konkret heißt das: Die Software verbindet sich mit Ihren Datenquellen, katalogisiert Tabellen und Felder, erkennt personenbezogene Daten – Namen, IBANs, Gesundheitsangaben in Freitextfeldern – automatisch und ordnet sie Verarbeitungstätigkeiten zu. Ändert sich eine Quelle, fällt das auf, statt zwei Jahre unbemerkt zu bleiben. Das Verzeichnis wird aus dem tatsächlichen Datenbestand heraus aktuell gehalten, nicht aus dem Gedächtnis der Fachabteilungen. Bei datamastr führt ein geführter Assistent zusätzlich durch die Pflichtangaben des Art. 30 – Zwecke, Empfänger, Löschfristen – und schlägt auf Basis der gescannten Daten bereits Einträge vor. Aus einem Nachmittag Recherche pro Verarbeitungstätigkeit werden ein paar Minuten Prüfung.
📷 BILD-PLATZHALTER: Screenshot eines geführten ROPA-Assistenten, der Schritt für Schritt die Pflichtfelder nach Art. 30 DSGVO abfragt und rechts eine Vorschau des fertigen Verzeichniseintrags anzeigt.
Und der Prüfungsfall? Statt hektisch die aktuellste Dateiversion zu suchen, exportieren Sie das Verzeichnis auf Knopfdruck – vollständig, konsistent, mit nachvollziehbarem Stand. Art. 30 Abs. 4 verliert seinen Schrecken, wenn “auf Anfrage” nur noch “ein Klick” bedeutet.
Die eigentliche Rechnung
Die Excel-Vorlage ist gratis. Die Arbeit daran nicht. Rechnen Sie einmal ehrlich: Erstbefüllung über mehrere Abteilungen hinweg, halbjährliche Pflegerunden, die Nachforschungen bei jeder Prüfungsvorbereitung, die Abstimmungsschleifen per E-Mail. Bei einem mittelständischen Unternehmen mit 20 oder 30 Verarbeitungstätigkeiten kommen da schnell mehrere Personentage pro Jahr zusammen – erledigt von Leuten, deren Zeit teuer ist. Eine Vorlage, die niemand aktuell hält, ist keine Ersparnis. Sie ist ein aufgeschobenes Risiko mit Bußgeldrahmen.
Die Entscheidung “Excel oder Software” ist am Ende keine Werkzeugfrage, sondern eine Aufrichtigkeitsfrage: Wollen Sie dokumentieren, was Sie zu tun glauben – oder was Sie tatsächlich tun?
Wenn Sie den Unterschied sehen wollen, bevor Sie irgendetwas entscheiden: Legen Sie bei datamastr einen kostenlosen Account an und starten Sie mit dem mitgelieferten Demo-Datensatz. Sie sehen innerhalb weniger Minuten, wie automatische PII-Erkennung und der geführte VVT-Assistent arbeiten – ohne eigene Daten anzubinden und ohne Risiko. Danach wissen Sie, ob Ihre Excel-Tabelle noch eine Zukunft hat.