VVT (Verzeichnis von Verarbeitungstätigkeiten)
Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist eine nach Art. 30 DSGVO verpflichtende Dokumentation aller Prozesse, bei denen personenbezogene Daten verarbeitet werden. Für Cannabis Social Clubs ist das VVT Pflicht und bildet die Grundlage für Datenschutzprüfungen durch Aufsichtsbehörden.
Warum muss ein CSC ein VVT führen?
Die Pflicht trifft grundsätzlich alle Organisationen, die nicht nur gelegentlich personenbezogene Daten verarbeiten. Da Anbauvereinigungen kontinuierlich Mitgliederdaten, Abgabeprotokolle und Finanzdaten verarbeiten – darunter sensible Gesundheitsdaten –, besteht hier keine Ausnahme.
Ein fehlendes VVT ist ein Verstoß gegen die DSGVO, der mit Bußgeldern geahndet werden kann.
Welche Angaben enthält ein VVT?
Art. 30 Abs. 1 DSGVO definiert die Pflichtangaben pro Verarbeitungstätigkeit:
- Name und Kontaktdaten des Verantwortlichen (Verein/Vorstand)
- Zweck der Verarbeitung (z. B. Mitgliederverwaltung, Beitragsabrechnung, Abgabedokumentation)
- Kategorien betroffener Personen (Mitglieder, Beschäftigte, Lieferanten)
- Kategorien personenbezogener Daten (Stammdaten, Abgabedaten, Bankdaten)
- Empfänger der Daten (z. B. Steuerberater, Softwareanbieter, Behörden)
- Übermittlung in Drittländer (falls zutreffend)
- Löschfristen für die jeweiligen Datenkategorien
- Technische und organisatorische Maßnahmen (Verweis auf TOMs-Dokumentation)
Welche Verarbeitungstätigkeiten hat ein typischer CSC?
Häufige Verarbeitungstätigkeiten in einem Cannabis Social Club:
- Mitgliederverwaltung und Aufnahmeverfahren
- Beitragsabrechnung und SEPA-Lastschrifteinzug
- Abgabedokumentation nach §26 KCanG
- Mitgliederkommunikation per E-Mail und Portal
- Website-Betrieb und Kontaktformular
- Buchhaltung und Lohnabrechnung
Wie wird das VVT praktisch umgesetzt?
Das VVT kann als Tabelle, Dokument oder direkt in der Vereinssoftware geführt werden. Wichtig ist die regelmäßige Aktualisierung – insbesondere wenn neue Dienstleister (AVV) hinzukommen oder Verarbeitungszwecke sich ändern.
Häufige Fragen zu VVT (Verzeichnis von Verarbeitungstätigkeiten)
Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) dokumentiert alle Datenverarbeitungen. Jeder CSC muss es führen – es listet Zwecke, Datenkategorien, Empfänger und Löschfristen.
Typische Einträge: Mitgliederverwaltung, Abgabe-Dokumentation, Beitragsverwaltung, Kommunikation, Website-Analyse. Jeder Eintrag enthält Zweck, Rechtsgrundlage, Speicherdauer und TOMs.