Was ist Verarbeitung personenbezogener Daten?
Verarbeitung personenbezogener Daten ist jeder automatisiert oder nichtautomatisiert ausgeführte Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, etwa Erheben, Speichern, Nutzen oder Löschen.
Auslegung: Entscheidend sind der tatsächliche Vorgang und sein Zusammenhang mit personenbezogenen Daten. Die Beispiele in Artikel 4 Nummer 2 DSGVO sind wegen des Wortes „wie“ nicht abschließend; auch Erfassen, Ordnen, Verändern, Auslesen, Abfragen, Offenlegen, Abgleichen, Verknüpfen, Einschränken und Vernichten können Verarbeitung sein. Automatisierung ist keine Voraussetzung für die Definition.
Der Normwortlaut
„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
Artikel 4 Nummer 2 DSGVO, amtlicher Wortlaut: Verordnung (EU) 2016/679.
Wann gilt die DSGVO für eine Verarbeitung?
Die DSGVO erfasst nach Artikel 2 Absatz 1 ganz oder teilweise automatisierte Verarbeitung. Nichtautomatisierte Verarbeitung ist erfasst, wenn die personenbezogenen Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Zusätzlich muss der räumliche Anwendungsbereich des Artikels 3 erfüllt sein. Er umfasst insbesondere Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder Auftragsverarbeiters in der Union. Bei nicht in der Union niedergelassenen Stellen greift Artikel 3 Absatz 2 unter anderem, wenn die Verarbeitung mit dem Angebot von Waren oder Dienstleistungen an betroffene Personen in der Union oder mit der Beobachtung ihres Verhaltens zusammenhängt, soweit dieses Verhalten in der Union erfolgt.
Abgrenzung: Für Organe, Einrichtungen, Ämter und Agenturen der Union gilt nach Artikel 2 Absatz 3 nicht die DSGVO, sondern das dafür vorgesehene Unionsdatenschutzrecht.
Macht die Definition eine Verarbeitung bereits zulässig?
Nein. Der weite Begriff beschreibt, welche Vorgänge Verarbeitung sind; er ist keine Erlaubnis. Der Verantwortliche muss die konkrete Verarbeitung rechtmäßig gestalten. Nach Artikel 5 Absatz 1 Buchstabe a und Artikel 6 Absatz 1 muss mindestens eine der dort genannten Rechtsgrundlagen vorliegen. Wird eine Einwilligung genutzt, gelten zusätzlich die Bedingungen des Artikels 7. Behörden dürfen sich bei der Erfüllung ihrer Aufgaben nicht auf Artikel 6 Absatz 1 Buchstabe f stützen.
Welche Ausnahmen und Spezialregime gelten?
Artikel 2 Absatz 2 nimmt bestimmte Tätigkeiten aus dem Anwendungsbereich aus: Tätigkeiten außerhalb des Anwendungsbereichs des Unionsrechts, mitgliedstaatliche Tätigkeiten nach Titel V Kapitel 2 EUV, Verarbeitungen durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten sowie Verarbeitungen durch zuständige Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit. Für die letztgenannten Behörden kann die Richtlinie (EU) 2016/680 gelten; sie schafft keine allgemeine Unternehmensausnahme.
Innerhalb des DSGVO-Anwendungsbereichs gelten zusätzliche Spezialregeln. Besondere Kategorien personenbezogener Daten unterliegen grundsätzlich dem Verbot des Artikels 9 Absatz 1, sofern keine Voraussetzung des Absatzes 2 greift. Personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln dürfen aufgrund von Artikel 6 Absatz 1 nur unter behördlicher Aufsicht verarbeitet werden oder wenn Unionsrecht oder das Recht eines Mitgliedstaats die Verarbeitung zulässt und geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorsieht; ein umfassendes Register strafrechtlicher Verurteilungen darf nur unter behördlicher Aufsicht geführt werden.
Wie ist der Begriff technisch einzuordnen?
Technische Einordnung: Verarbeitung umfasst Operationen über den gesamten Datenlebenszyklus, von Erhebung und Erfassung über Speicherung, Abruf, Nutzung und Übermittlung bis zu Einschränkung, Löschung oder Vernichtung. Produktname und Systemkategorie entscheiden nicht über die Einordnung. Nichtautomatisierte Vorgänge ohne vorhandenen oder vorgesehenen Dateisystembezug fallen jedoch nicht in den sachlichen Anwendungsbereich nach Artikel 2 Absatz 1.
Gelten allgemeine Fristen oder Mengenschwellen?
Für den Begriff oder die Aufnahme einer Verarbeitung gibt es keine allgemeine Frist und keine quantitative Schwelle. Eigenständige Folgepflichten können aber Fristen oder Risikoschwellen enthalten: Der Verantwortliche muss eine nach Artikel 35 Absatz 1 erforderliche Datenschutz-Folgenabschätzung vor der Verarbeitung durchführen, wenn die Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Eine meldepflichtige Datenschutzverletzung muss er nach Artikel 33 Absatz 1 unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde melden, es sei denn, dass die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt; erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen.
Ist Auftragsverarbeitung mit Verarbeitung gleichzusetzen?
Nein. Auftragsverarbeitung ist eine besondere Konstellation, in der ein Auftragsverarbeiter personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Nach Artikel 28 Absatz 3 Buchstabe a darf der Auftragsverarbeiter grundsätzlich nur auf dokumentierte Weisung verarbeiten, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. Ist eine solche Verarbeitung rechtlich vorgeschrieben, muss der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese rechtliche Anforderung informieren, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Der allgemeine Verarbeitungsbegriff reicht deutlich weiter.
Häufige Fehlannahmen
- „Nur automatisierte Vorgänge zählen.“ Falsch: Die Definition umfasst auch nichtautomatisierte Vorgänge; für den sachlichen DSGVO-Anwendungsbereich benötigen diese allerdings den Dateisystembezug aus Artikel 2 Absatz 1.
- „Speichern ist Verarbeitung, Löschen aber nicht.“ Falsch: Artikel 4 Nummer 2 nennt sowohl Speicherung als auch Löschung und Vernichtung.
- „Was als Verarbeitung gilt, ist automatisch erlaubt.“ Falsch: Für die konkrete Verarbeitung muss insbesondere eine Rechtsgrundlage nach Artikel 6 Absatz 1 vorliegen; weitere Regeln können hinzukommen.
- „Jeder private Umgang mit personenbezogenen Daten fällt unter die DSGVO.“ Falsch: Verarbeitungen durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten können unter die Bereichsausnahme des Artikels 2 Absatz 2 Buchstabe c fallen.
- „Auftragsverarbeitung ist ein anderes Wort für jede Datenverarbeitung.“ Falsch: Sie ist nur eine besondere Verarbeitung im Auftrag eines Verantwortlichen.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die Geschäftsleitung sollte eine nachvollziehbare Governance veranlassen:
- Zwecke, Rechtsgrundlagen, Verantwortlichkeiten und tatsächliche Verarbeitungsvorgänge bestimmen und regelmäßig überprüfen.
- Löschregeln und risikogerechte Sicherheitsmaßnahmen festlegen, umsetzen und auf Wirksamkeit prüfen.
- Prüfen, welche Verzeichnisse nach Artikel 30 zu führen sind. Die Ausnahme für Unternehmen oder Einrichtungen mit weniger als 250 Beschäftigten greift nicht, wenn die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, nicht nur gelegentlich erfolgt oder Daten nach Artikel 9 Absatz 1 beziehungsweise Artikel 10 einschließt.
- Auftragsverhältnisse und dokumentierte Weisungen klar regeln sowie bei gesetzlich verlangten Verarbeitungen die vorherige Information des Verantwortlichen und ein mögliches gesetzliches Informationsverbot aus wichtigen Gründen des öffentlichen Interesses berücksichtigen.
- Prozesse für Datenschutz-Folgenabschätzungen sowie für die unverzügliche und möglichst binnen 72 Stunden vorzunehmende Meldung von Datenschutzverletzungen einschließlich einer Begründung bei späterer Meldung mit eindeutigen Zuständigkeiten vorhalten.
Gesetzliche Pflichten: Der Verantwortliche muss die nach Artikel 24 erforderlichen risikogerechten Maßnahmen umsetzen und die Einhaltung nachweisen können. Verantwortliche und Auftragsverarbeiter müssen nach Artikel 32 die jeweils erforderlichen, dem Risiko angemessenen technischen und organisatorischen Maßnahmen treffen. Diese Pflichten sind von den vorstehenden Managementempfehlungen zu unterscheiden.
Für die Geschäftsleitung
Der Begriff erfasst nahezu jeden tatsächlichen Umgang mit personenbezogenen Daten, entscheidet aber weder allein über den DSGVO-Anwendungsbereich noch über die Zulässigkeit. Für jede Verarbeitung sind Anwendungsbereich, Zweck, Rechtsgrundlage, mögliche Spezialregime und Folgepflichten getrennt zu prüfen. Die entscheidenden Nachweise sind eine nachvollziehbare Zuordnung von Verantwortlichkeiten und Rechtsgrundlagen sowie dokumentierte, risikogerechte Organisations- und Sicherheitsmaßnahmen.
Quellen
Amtliche Quellen:
