VVT-Software für Unternehmensgruppen: 9 Auswahlkriterien

Inhalt in Kürze

• Jede Gesellschaft führt ihr eigenes Verzeichnis. Ein Konzernprivileg kennt die DSGVO nicht. Eine zentrale IT- oder Service-Tochter braucht zusätzlich ein Verzeichnis als Auftragsverarbeiter (Art. 30 Abs. 2).
• VVT-Software lohnt sich ab mehreren Gesellschaften, weil Verarbeitungen sich wiederholen und mit TOM, Dienstleistern und Löschfristen verknüpft sein müssen. In Excel geht genau das verloren.
• Die 9 Kriterien reichen von Mehrgesellschaftsfähigkeit über Freigabe-Workflow bis zum Export für die Aufsichtsbehörde.
• Faustregel: Für Mittelstandsgruppen mit zwei bis sechs Gesellschaften reicht ein Mittelstands-Tool. Ein Konzern mit eigenem Datenschutzteam und Gesamtbericht über alle Töchter braucht eine Enterprise-Suite.

Stand: November 2026 · Autor: Jens Hagel · Lesezeit: 9 Minuten

Eine Holding, drei operative Gesellschaften, eine IT-Tochter, die für alle den E-Mail-Server betreibt. So sehen viele Mittelständler aus. Beim Verarbeitungsverzeichnis wird daraus schnell ein Ordner mit fünf Excel-Dateien, die sich zu 80 % gleichen und an keiner Stelle zusammenpassen.

Wir zeigen, was eine VVT-Software für eine Unternehmensgruppe können muss, und wo die Grenze zwischen Mittelstands-Tool und Enterprise-Suite verläuft.

VVT-Software: Was das Gesetz verlangt

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) steht in Art. 30 DSGVO. Jede Verarbeitung personenbezogener Daten wird dort mit festen Pflichtangaben beschrieben:

• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des gemeinsam Verantwortlichen und des Datenschutzbeauftragten
• Zwecke der Verarbeitung
• Kategorien betroffener Personen und Kategorien personenbezogener Daten
• Empfänger, auch in Drittländern, und die Garantien bei Drittlandübermittlungen
• vorgesehene Löschfristen, wenn möglich
• eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM), wenn möglich

Die Datenschutzkonferenz stellt in ihrem Kurzpapier Nr. 1 klar: Jeder Verantwortliche ist verpflichtet, und seit der DSGVO auch jeder Auftragsverarbeiter. Auf Anfrage müssen Sie das Verzeichnis der Aufsichtsbehörde vorlegen (Art. 30 Abs. 4). Fehlt es oder ist es unvollständig, droht ein Bußgeld nach Art. 83 Abs. 4 lit. a DSGVO, bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.

Warum die Unternehmensgruppe es schwerer hat

Die DSGVO behandelt jede GmbH als eigenen Verantwortlichen. Daraus folgen drei Dinge, die eine Einzelfirma nicht kennt:

1. Ein Verzeichnis je Gesellschaft. Die Lohnabrechnung der Holding und die der Tochter sind zwei Einträge in zwei Verzeichnissen.
2. Konzerninterne Auftragsverarbeitung. Betreibt die IT-Tochter den Mailserver für alle, verarbeitet sie im Auftrag. Sie braucht ein Verzeichnis nach Art. 30 Abs. 2, und zwischen den Gesellschaften braucht es Auftragsverarbeitungsverträge.
3. Gemeinsame Verantwortung. Legen zwei Gesellschaften gemeinsam Zwecke und Mittel fest, etwa bei einem gruppenweiten Bewerberportal, gilt Art. 26 DSGVO. Der Partner wird im Verzeichnis genannt.

9 Kriterien für die Auswahl einer VVT-Software

1. Mehrere Gesellschaften: Jede Gesellschaft braucht ihr eigenes Verzeichnis mit eigenen Stammdaten. Fragen Sie, ob Verarbeitungen aus einer Gesellschaft in die nächste übernommen werden können, statt sie neu zu tippen.
2. Auftragsverarbeitung und gemeinsame Verantwortung: Das Tool muss Verzeichnisse nach Art. 30 Abs. 2 führen und gemeinsam Verantwortliche abbilden können.
3. Vorlagen: Gute Vorlagen sparen die Hälfte der Arbeit. Achten Sie auf Vorlagen für einzelne Dienste wie Microsoft 365 oder Google Workspace, nicht nur auf „E-Mail“ als Sammelbegriff.
4. Verknüpfungen: Jede Verarbeitung hängt an TOM, Dienstleistern samt AVV, Löschfristen und gegebenenfalls einer Datenschutz-Folgenabschätzung. Ändert sich ein Dienstleister, sollen Sie sehen, welche Einträge betroffen sind.
5. Freigabe und Historie: Wer hat was geändert, und hat der Datenschutzbeauftragte es geprüft? Ohne Änderungsverlauf ist das Verzeichnis bei einer Prüfung wenig wert.
6. Export für die Aufsicht: Das Verzeichnis muss sich auf Anfrage als lesbares Dokument ausgeben lassen, pro Gesellschaft.
7. Übersicht über die Gruppe: Wie viele Verarbeitungen sind vollständig, wie viele offen? Für Geschäftsführung und Jahresbericht brauchen Sie Zahlen, keine Ordner.
8. Rollen und Rechte: Die Personalabteilung der Tochter soll ihre Einträge pflegen, aber nicht die der Holding ändern.
9. Bestandsdaten, Hosting, KI: Lässt sich Ihr bisheriges Verzeichnis einlesen? Wo stehen die Server? Und wenn das Tool KI nutzt: bei welchem Anbieter?

Excel, Mittelstands-Tool oder Enterprise-Suite?

Ein Detailvergleich der Vorlagen-Bibliotheken von Hugo, audatis, ProDataMan und Proliance steht im VVT-Vorlagen-Vergleich 2026.

Aus der Praxis

Es kam wirklich häufig vor, dass es dann ein Aha-Erlebnis war. Die Geschäftsleitung sagte: Das war mir so gar nicht bewusst. Ich dachte, Datenschutz ist dafür da, um mich zu ärgern.

Nils OehmichenDatenschutzberater bei frag.hugo

Dieses Aha-Erlebnis kommt in Gruppen oft beim Verzeichnis der IT-Tochter. Dass sie für ihre Schwestern Auftragsverarbeiter ist und dafür Verträge und ein eigenes Verzeichnis braucht, hat vorher selten jemand aufgeschrieben.

Was Hugo DSB beim Verarbeitungsverzeichnis kann, und was nicht

Wir bauen Hugo DSB selbst. Deshalb hier ohne Werbesprache, was drin ist und was fehlt.

• In allen Tarifen ab Lite (79 € im Monat, zuzüglich 290 € Start-Einrichtung): Das VVT ist immer enthalten, zusammen mit Ihrem externen Datenschutzbeauftragten Nils Oehmichen.
• 297 Vorlagen, davon 83 sofort einsatzbereit und 214 zu 90 % vorausgefüllt, filterbar nach Branche und Thema.
• KI-Eintrag aus einem Satz: Sie beschreiben die Verarbeitung, die KI (OpenAI GPT-4.1) füllt alle Felder mit Begründung je Feld. Eine regelbasierte Prüfung markiert DSFA-Pflicht, Gesundheits- und andere besondere Daten sowie Drittlandübermittlungen.
• Verknüpfungen in beide Richtungen zu TOM, Auftragsverarbeitern samt AVV-Status, Löschregeln und Folgenabschätzungen.
• Freigabe-Workflow und Änderungsverlauf: Entwurf, Prüfung durch den DSB, Freigabe; jede Änderung wird als Stand gespeichert.
• Export als PDF, Word und CSV, dazu ein eigenes PDF für das Verzeichnis als Auftragsverarbeiter.
• Tochtergesellschaften als eigene Mandanten mit eigenem VVT, eigener AVV- und TOM-Sicht und gemeinsamem DSB: 49 € im Monat je Tochter, 199 € für fünf.

Was fehlt: Ein bestehendes Verzeichnis aus Excel wird nicht eingelesen, nur als Dokument abgelegt. Eine Gesamtansicht über alle Gesellschaften sieht Ihr Datenschutzbeauftragter, nicht Ihre eigenen Mitarbeitenden. Und für das VVT gibt es ein Prüfdatum je Eintrag, aber keine automatische Erinnerung, anders als bei TOM und AVV.

So wählen Sie in 5 Schritten

1. Gesellschaften zählen und für jede notieren, ob sie für andere im Auftrag verarbeitet.
2. Verarbeitungen schätzen. Unsere Anleitung zum Verarbeitungsverzeichnis hilft beim ersten Überblick.
3. Die 9 Kriterien gewichten. Für die meisten Gruppen zählen Mehrgesellschaftsfähigkeit, Verknüpfungen und Export am meisten.
4. Zwei Tools mit echten Daten testen, am besten mit einer Verarbeitung, die alle Gesellschaften betrifft, etwa der Lohnabrechnung.
5. Löschfristen und Dienstleister gleich mit erfassen. Wie das geht, zeigen die Artikel zum Löschkonzept und zum Auftragsverarbeitungsvertrag.

Fazit: Ihr nächster Schritt

Die beste VVT-Software ist die, die Ihre Gesellschaftsstruktur abbildet, ohne dass Sie Einträge fünfmal pflegen. Für die meisten Mittelständler heißt das: ein Tool mit Mandanten je Gesellschaft, Vorlagen und einem Datenschutzbeauftragten, der das Verzeichnis prüft. Was in Hugo DSB enthalten ist, sehen Sie auf der Seite zu Hugo DSB.

Häufige Fragen (FAQ)

Braucht jede Tochtergesellschaft ein eigenes Verarbeitungsverzeichnis?

Ja. Die DSGVO kennt kein Konzernprivileg. Jede rechtlich selbstständige Gesellschaft ist eigener Verantwortlicher und führt ein eigenes Verzeichnis nach Art. 30 DSGVO. Erbringt eine Gesellschaft Leistungen für die anderen, etwa eine zentrale IT-Tochter, braucht sie zusätzlich ein Verzeichnis als Auftragsverarbeiter nach Art. 30 Abs. 2.

Was muss eine VVT-Software können?

Sie muss die Pflichtangaben aus Art. 30 Abs. 1 DSGVO vollständig abbilden, jede Gesellschaft getrennt führen, Verarbeitungen mit TOM, Auftragsverarbeitern und Löschfristen verknüpfen, Änderungen nachvollziehbar speichern und das Verzeichnis auf Anfrage der Aufsichtsbehörde als Dokument ausgeben.

Reicht Excel für ein Verarbeitungsverzeichnis?

Rechtlich ja: Art. 30 Abs. 3 DSGVO verlangt nur Schriftform, elektronisch ist erlaubt. Praktisch wird Excel ab mehreren Gesellschaften und einigen Dutzend Verarbeitungen schwer zu pflegen, weil Verknüpfungen zu TOM, Dienstleistern und Löschfristen fehlen und niemand sieht, wer was wann geändert hat.

Was kostet eine VVT-Software?

Mittelstands-Tools liegen laut Preisseiten bei etwa 80 bis 500 Euro im Monat. Hugo DSB beginnt bei 79 Euro im Monat (zuzüglich 290 Euro Start-Einrichtung) mit VVT und externem Datenschutzbeauftragten, jede weitere Tochtergesellschaft kostet 49 Euro im Monat. Enterprise-Suiten wie OneTrust veröffentlichen keine Preise; laut einer Marktanalyse von Enzuzo liegt das Mindestvolumen bei 10.000 US-Dollar im Jahr.

Wird die Pflicht zum Verarbeitungsverzeichnis 2026 gelockert?

Geplant, aber noch nicht beschlossen. Mit dem Omnibus-IV-Paket (Verfahren 2025/0130(COD)) soll die Ausnahme für kleinere Unternehmen ausgeweitet werden. Der Text ist im Trilog geeinigt, die Abstimmung im Europäischen Parlament ist für den 23.11.2026 angesetzt. Bis zur Veröffentlichung im Amtsblatt gilt Art. 30 Abs. 5 DSGVO unverändert.