Verarbeitungsverzeichnis (VVT) für Online-Shops erstellen

Ein Verzeichnis von Verarbeitungstätigkeiten (VVT) ist die nach Artikel 30 DSGVO vorgeschriebene interne Dokumentation aller Vorgänge, bei denen ein Online-Shop personenbezogene Daten verarbeitet, von der Bestellabwicklung bis zum Newsletter-Versand. Fast jeder Shop braucht eines, unabhängig von der Betriebsgröße, weil die Kundendatenverarbeitung nicht nur gelegentlich erfolgt. Dieser Artikel zeigt, welche sieben Pflichtangaben jeder Eintrag braucht und wie eine fertige VVT-Vorlage für einen typischen Shopify-Shop mit sechs Verarbeitungstätigkeiten aussieht. Theme-Code brauchst du dafür nicht. Es geht um interne Dokumentation, nicht um Anpassungen im Shop selbst.

Was ist ein Verzeichnis von Verarbeitungstätigkeiten?

Ein Verzeichnis von Verarbeitungstätigkeiten ist eine strukturierte Liste aller Vorgänge, bei denen ein Unternehmen personenbezogene Daten verarbeitet. Kurz gesagt: ein Inventar der eigenen Datenverarbeitung. Die Pflicht dazu steht in Artikel 30 der Datenschutz-Grundverordnung. Sie gilt seit dem 25. Mai 2018 EU-weit und hat das frühere deutsche Verfahrensverzeichnis abgelöst.

Für jede einzelne Verarbeitung, etwa Bestellabwicklung, Newsletter-Versand oder Kundensupport, hält das VVT fest, warum die Daten verarbeitet werden, welche Daten betroffen sind, wer sie erhält und wie lange sie gespeichert bleiben. Das Dokument selbst wird nicht veröffentlicht. Es liegt intern vor und muss der Aufsichtsbehörde auf Anfrage vorgelegt werden können, etwa bei einer Prüfung oder nach einer Beschwerde.

Ein Excel-Sheet reicht dafür aus. Wichtig ist nicht das Format, sondern dass jede Verarbeitung vollständig dokumentiert ist und das Dokument aktuell bleibt.

Muss mein Online-Shop ein Verzeichnis von Verarbeitungstätigkeiten führen?

Ja, ein Online-Shop muss so gut wie immer ein Verzeichnis von Verarbeitungstätigkeiten führen. Die bekannte Ausnahme für kleine Unternehmen unter 250 Mitarbeitern nach Artikel 30 Absatz 5 DSGVO greift im E-Commerce praktisch nie, weil sie an drei Bedingungen geknüpft ist und schon eine davon die Pflicht auslöst.

Die Ausnahme gilt nur, wenn keine der folgenden drei Situationen vorliegt:

• Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen.
• Die Verarbeitung erfolgt nicht nur gelegentlich.
• Es werden besondere Datenkategorien nach Artikel 9 oder Daten zu strafrechtlichen Verurteilungen nach Artikel 10 DSGVO verarbeitet.

Die folgende Übersicht fasst diese drei Bedingungen noch einmal zusammen.

Ein Shop verarbeitet mit jeder Bestellung Namen, Lieferadressen und Zahlungsdaten. Das passiert nicht gelegentlich. Es passiert fortlaufend und systematisch, jeden Tag, mit jedem neuen Kunden. Schon dieser eine Punkt reicht aus, um die Ausnahme zu kippen, ein Shop mit fünf Mitarbeitern ist deshalb genauso verpflichtet wie ein Konzern mit tausend.

Die EU-Kommission hat im Rahmen des sogenannten Digital Omnibus im November 2025 vorgeschlagen, die Schwelle auf 750 Mitarbeiter anzuheben. Die Konsultationsfrist dazu endete im März 2026. Bis Mitte 2026 ist dieser Vorschlag noch nicht verabschiedet und damit kein geltendes Recht. Für die tägliche Praxis gilt weiterhin die aktuelle 250-Mitarbeiter-Grenze mit denselben drei Ausnahmebedingungen, und an der Kernaussage für Shops ändert ein höherer Schwellenwert ohnehin nichts, da die Verarbeitung weiterhin nicht nur gelegentlich erfolgt.

Welche Angaben muss jeder Eintrag im Verarbeitungsverzeichnis enthalten?

Sieben Pflichtangaben, mehr braucht jeder Eintrag im VVT nicht, so schreibt es Artikel 30 Absatz 1 DSGVO vor. Die folgende Tabelle zeigt sie mit einem Beispiel, wie sie in einem Shop typischerweise ausgefüllt werden.

Pflichtfeld	Was hier steht	Beispiel für einen Shop
Verantwortlicher	Name und Kontaktdaten des Shop-Betreibers, ggf. des Datenschutzbeauftragten	Musterfirma GmbH, info@shop.de
Zweck der Verarbeitung	Warum die Daten verarbeitet werden	Abwicklung von Kaufverträgen
Kategorien betroffener Personen	Wer von der Verarbeitung betroffen ist	Kunden, Website-Besucher, Newsletter-Abonnenten
Kategorien personenbezogener Daten	Welche Daten konkret verarbeitet werden	Name, Adresse, E-Mail, Zahlungsdaten, Bestellhistorie
Empfänger	Wer die Daten erhält	Zahlungsdienstleister, Versanddienstleister, Hosting-Anbieter
Drittlandtransfer	Ob und wohin Daten außerhalb der EU übermittelt werden, mit welcher Garantie	Keine, oder z. B. USA über Standardvertragsklauseln
Löschfristen	Wie lange die Daten gespeichert bleiben	10 Jahre für Rechnungsdaten nach handels- und steuerrechtlichen Fristen

Zusätzlich gehört eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOMs) in jeden Eintrag oder als Verweis auf ein separates TOM-Dokument. Dazu zählen zum Beispiel Verschlüsselung, Zugriffsbeschränkungen und regelmäßige Backups.

Bei den Empfängern lohnt sich ein genauer Blick: Zahlungsdienstleister, Versanddienstleister und viele Tracking-Tools verarbeiten die Daten oft im Auftrag des Shops und brauchen zusätzlich einen Auftragsverarbeitungsvertrag. Das VVT dokumentiert diese Empfänger, ersetzt den AVV aber nicht. Die folgende Grafik fasst alle sieben Pflichtfelder noch einmal visuell zusammen.

VVT-Vorlage für einen typischen Online-Shop: die sechs wichtigsten Verarbeitungstätigkeiten

Die meisten Shopify-Shops lassen sich mit sechs wiederkehrenden Verarbeitungstätigkeiten vollständig abbilden. Für jede reicht ein eigener Eintrag im VVT, aufgebaut nach dem Feldschema aus dem vorherigen Abschnitt. Die folgende Übersicht zeigt alle sechs Kategorien auf einen Blick.

Bestellabwicklung

Zweck: Abwicklung von Kaufverträgen, Rechnungsstellung, Kundenkonto. Betroffene Personen sind Käufer und angemeldete Kunden. Verarbeitete Daten umfassen Name, Lieferadresse, Rechnungsadresse, bestellte Artikel und Zahlungsdaten. Empfänger sind der Zahlungsdienstleister und der Versanddienstleister. Löschfrist: in der Regel 10 Jahre für Rechnungsunterlagen, kürzer für reine Bestelldaten ohne steuerliche Relevanz.

Newsletter und Marketing

Zweck: Versand von Produktinformationen und Angeboten per E-Mail. Betroffene Personen sind Abonnenten, die per Double-Opt-in zugestimmt haben. Verarbeitete Daten sind E-Mail-Adresse, Anmeldezeitpunkt und IP-Adresse als Einwilligungsnachweis. Empfänger ist in der Regel ein externer Newsletter-Dienstleister. Löschfrist: bis zum Widerruf der Einwilligung, danach zeitnahe Löschung.

Tracking und Analytics

Zweck: Reichweitenmessung und Optimierung des Shops. Betroffene Personen sind alle Website-Besucher. Verarbeitete Daten sind meist pseudonymisierte Nutzungsdaten, IP-Adresse und Geräteinformationen. Empfänger ist der jeweilige Analytics- oder Werbeanbieter, häufig mit Sitz außerhalb der EU, was einen Drittlandtransfer-Vermerk nötig macht. Löschfrist richtet sich nach den Cookie-Laufzeiten des jeweiligen Tools.

Zahlungsdienstleister

Zweck: Abwicklung von Zahlungen. Betroffene Personen sind zahlende Kunden. Verarbeitete Daten sind Zahlungsdaten und Transaktionsdetails, je nach Anbieter auch Bonitätsdaten bei Rechnungskauf. Empfänger ist der jeweilige Zahlungsdienstleister wie ein Kartenprozessor, PayPal oder ein vergleichbarer Anbieter, meist auf Basis eines eigenen Auftragsverarbeitungsvertrags. Löschfrist folgt den steuerrechtlichen Aufbewahrungspflichten.

Kundensupport

Zweck: Beantwortung von Anfragen, Reklamationen und Rücksendungen. Betroffene Personen sind Kunden, die Kontakt aufnehmen. Verarbeitete Daten sind Kontaktdaten, Bestellnummer und der Inhalt der Anfrage. Empfänger ist meist ein Support-Tool oder Ticketsystem als Auftragsverarbeiter. Löschfrist: üblich sind sechs Monate bis wenige Jahre nach Abschluss des Vorgangs, abhängig von möglichen Gewährleistungsfristen.

Fulfillment und Logistik

Zweck: Versand und Zustellung bestellter Waren. Betroffene Personen sind Empfänger von Lieferungen. Verarbeitete Daten sind Name, Lieferadresse und Kontaktdaten für die Zustellung. Empfänger ist der beauftragte Logistik- oder Fulfillment-Partner. Löschfrist orientiert sich an der Aufbewahrungspflicht für Versandnachweise, meist einige Jahre nach Zustellung.

So erstellst und pflegst du dein Verarbeitungsverzeichnis in der Praxis

Ein VVT lässt sich ohne Software und ohne externe Hilfe aufbauen, wenn die Reihenfolge stimmt.

1. Liste zunächst alle Tools und Dienstleister auf, die im Shop Daten verarbeiten: Shop-System, Zahlungsdienstleister, Versanddienstleister, Newsletter-Tool, Tracking-Tools, Support-Software.
2. Ordne jedem Tool eine der sechs Verarbeitungstätigkeiten aus dem vorherigen Abschnitt zu, oder lege eine neue Kategorie an, falls ein Prozess nicht dazu passt.
3. Fülle für jede Tätigkeit die sieben Pflichtfelder aus der Tabelle weiter oben aus.
4. Prüfe für jeden externen Empfänger, ob ein Auftragsverarbeitungsvertrag vorliegt, und vermerke das im VVT.
5. Speichere das Dokument zentral, zum Beispiel als geteilte Tabelle, und benenne eine Person, die für die Pflege verantwortlich ist.

Die folgende Grafik zeigt diese fünf Schritte noch einmal im Überblick.

Das VVT ist kein einmaliges Projekt. Sobald ein neues Tool, eine neue App oder ein neuer Dienstleister dazukommt, etwa ein zusätzliches Marketing-Plugin oder ein neuer Zahlungsanbieter, muss der entsprechende Eintrag ergänzt oder angepasst werden. In der Praxis reicht eine kurze Prüfung alle paar Monate oder direkt bei jeder größeren Änderung an den eingesetzten Tools.

Was droht ohne Verzeichnis von Verarbeitungstätigkeiten?

Fehlt ein VVT oder ist es unvollständig, drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Aufsichtsbehörden können das Verzeichnis jederzeit anfordern, etwa im Rahmen einer Prüfung oder nach einer Kundenbeschwerde. Ein fehlendes oder lückenhaftes VVT fällt dabei besonders schnell auf, weil es das erste Dokument ist, das eine Behörde in der Regel verlangt.

Über das Bußgeldrisiko hinaus zeigt ein sauber geführtes VVT auch, dass ein Shop seine Datenverarbeitung tatsächlich im Griff hat, was bei der Zusammenarbeit mit Zahlungsdienstleistern, Werbepartnern oder im Fall einer Anfrage von Kunden nach Artikel 15 DSGVO hilft.

Häufige Fragen zum Verzeichnis von Verarbeitungstätigkeiten

Reicht ein einfaches Excel-Dokument für das VVT?

Ja, ein Excel- oder Google-Sheets-Dokument reicht rechtlich vollkommen aus. Artikel 30 Absatz 3 DSGVO verlangt lediglich die schriftliche Form, die auch elektronisch erfolgen kann, ohne bestimmte Software vorzuschreiben.

Muss ich das VVT veröffentlichen?

Nein, das Verzeichnis von Verarbeitungstätigkeiten ist ein internes Dokument und muss nicht auf der Website oder anderswo öffentlich zugänglich sein. Es muss lediglich der zuständigen Aufsichtsbehörde auf Anfrage vorgelegt werden können.

Wie oft muss ich das VVT aktualisieren?

Ein VVT sollte immer dann aktualisiert werden, wenn sich eine bestehende Verarbeitung ändert oder ein neuer Dienstleister dazukommt, zum Beispiel ein neues Tracking-Tool oder ein zusätzlicher Zahlungsanbieter. Zusätzlich empfiehlt sich eine regelmäßige Prüfung alle paar Monate, um vergessene Änderungen nachzuholen.

Was ist der Unterschied zwischen Verantwortlichem und Auftragsverarbeiter im VVT?

Ein Shop-Betreiber ist in fast allen Fällen der Verantwortliche, weil er über Zweck und Mittel der Datenverarbeitung entscheidet. Dienstleister wie Zahlungsanbieter, Versanddienstleister oder Newsletter-Tools sind meist Auftragsverarbeiter, die im Auftrag des Shops handeln und dafür einen eigenen Auftragsverarbeitungsvertrag benötigen, der im VVT als Empfänger vermerkt wird.

Gilt die 250-Mitarbeiter-Ausnahme wirklich nie für Online-Shops?

Fast nie. Die Ausnahme entfällt bereits, wenn nur eine der drei gesetzlichen Bedingungen zutrifft, und die Bestellabwicklung eines Shops erfolgt praktisch immer nicht nur gelegentlich, sondern fortlaufend. Damit greift die Ausnahme selbst bei sehr kleinen Shops in aller Regel nicht.