Das Verzeichnis von Verarbeitungstätigkeiten (VVT) entwickelt sich zunehmend vom Pflichtdokument zur zentralen Grundlage für Datenschutzprüfungen. Aufsichtsbehörden erwarten heute nicht nur eine vorhandene Dokumentation, sondern eine realistische und aktuelle Abbildung der tatsächlichen Datenverarbeitung im Unternehmen.

In der Praxis zeigt sich jedoch häufig ein anderes Bild: Das VVT ist veraltet, unvollständig oder bildet neue Tools, Prozesse oder den Einsatz von KI nicht korrekt ab. Zuständigkeiten sind nicht klar geregelt, Angaben zu Empfängern oder Löschfristen bleiben ungenau. Genau diese Abweichungen zwischen Dokumentation und Realität geraten bei Prüfungen immer stärker in den Fokus.