Datenverarbeitung bezeichnet im Sinne der DSGVO einen mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder eine solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, wie das Erheben, die Speicherung, die Verwendung oder das Löschen.
Auf einen Blick
Eine Verarbeitung kann mit oder ohne Hilfe automatisierter Verfahren erfolgen.
Die Vorgänge im Gesetz stehen beispielhaft („wie“ das Erheben oder das Löschen); der Bezugspunkt ist der Zusammenhang mit personenbezogenen Daten.
Art. 2 Abs. 1 DSGVO erfasst die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie nichtautomatisierte Verarbeitung, wenn die Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Was ist Datenverarbeitung?
Der Begriff der Verarbeitung ist nach Art. 4 Nr. 2 DSGVO nicht auf bestimmte Technik beschränkt, denn erfasst sind Vorgänge mit oder ohne Hilfe automatisierter Verfahren im Zusammenhang mit personenbezogenen Daten. Zu den Vorgängen zählen unter anderem das Erheben, das Erfassen, die Speicherung, die Anpassung oder Veränderung, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, der Abgleich oder die Verknüpfung sowie das Löschen oder die Vernichtung. Art. 2 Abs. 1 DSGVO gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Erfasst, speichert, ändert oder löscht ein Versicherer Antragsdaten seiner Kunden, ist jeder dieser Vorgänge eine Verarbeitung im Sinne von Art. 4 Nr. 2 DSGVO, weil er im Zusammenhang mit personenbezogenen Daten steht. Eine solche Verarbeitung ist nach Art. 6 Abs. 1 DSGVO nur rechtmäßig, wenn mindestens eine der dort genannten Bedingungen erfüllt ist. Nach dem Datenschutzhinweis der IHK Wiesbaden ist der Begriff der Verarbeitung sehr weit zu verstehen und umfasst eigentlich alles vom Erheben bis zum Löschen.
Wie funktioniert Datenverarbeitung?
Die DSGVO misst eine Verarbeitung unter anderem an den Anforderungen des Art. 5 Abs. 1 DSGVO. Danach müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet sowie für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; sie müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Zu den Anforderungen zählt außerdem die Verarbeitung in einer Weise, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet.
Verantwortlicher ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Die Verarbeitung durch einen Auftragsverarbeiter erfolgt nach Art. 28 Abs. 3 DSGVO auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten.
Datenverarbeitung im Vergleich
| Kriterium | Datenverarbeitung nach DSGVO | Datenverarbeitung im allgemeinen IT-Sinn |
|---|---|---|
| Bezugspunkt | Vorgang oder Vorgangsreihe im Zusammenhang mit personenbezogenen Daten (Art. 4 Nr. 2 DSGVO). | Daten in Datensätzen; eine systematische Datenverarbeitung ist die Grundlage für Statistik, Handel, Technik, Wirtschaft, Wissenschaft und Verwaltung. |
| Technik | Mit oder ohne Hilfe automatisierter Verfahren. | Daten werden nach einem vorgegebenen Verfahren durch Menschen oder Maschinen (Datenverarbeitungssysteme) verarbeitet. |
| Ablauf | Beispielhaft genannt: Erheben, Speicherung, Anpassung oder Veränderung, Abfragen, Verwendung, Löschen. | Daten werden erfasst, verarbeitet und als Ergebnis ausgegeben. |
Woran erkenne ich eine Datenverarbeitung im Sinne der DSGVO?
| Merkmal | Worauf es ankommt |
|---|---|
| Vorgang oder Vorgangsreihe | Gemeint ist ein Vorgang oder eine solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten. |
| Mit oder ohne Automatisierung | Der Vorgang kann mit oder ohne Hilfe automatisierter Verfahren ausgeführt werden. |
| Personenbezug | Der Zusammenhang besteht mit Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. |
| Beispielhafte Operationen | Genannt werden („wie“) unter anderem das Erheben, die Speicherung, das Abfragen, die Verwendung und das Löschen. |
| Nichtautomatisierte Verarbeitung | Hier erfasst die DSGVO personenbezogene Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen (Art. 2 Abs. 1 DSGVO). |
Beispiele aus der Praxis
- Memory-Parser-Schadsoftware zielt auf Zahlungskartendaten, die unverschlüsselt im Arbeitsspeicher eines Systems verarbeitet werden.
- Ein Unternehmen lässt Kundendaten durch einen Dienstleister verarbeiten; ist der Dienstleister Auftragsverarbeiter, erfolgt die Verarbeitung nach Art. 28 Abs. 3 DSGVO auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments.
- Ein Versicherer erfasst, speichert, ändert und löscht die Antragsdaten seiner Kunden; jeder dieser Vorgänge steht im Zusammenhang mit personenbezogenen Daten und ist damit eine Verarbeitung.
