DSGVO - BDSG - TTDSG

63

Die zweite Voraussetzung einer Verarbeitung i.S.d. Art. 4 Nr. 2 DSGVO besteht darin, dass der Vorgang bzw. die Vorgangsreihe mit oder ohne Hilfe automatisierter Verfahren erfolgt. Ein automatisierter Vorgang liegt vor, wenn er mit Hilfe von Datenverarbeitungsanlagen, wie z.B. Computern, Servern, Smartphones, Tablets oder auch Wearables erfolgt.151 Demgegenüber liegt ein nichtautomatisierter Vorgang vor, wenn er ohne die Hilfe von Datenverarbeitungsanlagen, also i.d.R. manuell erfolgt.152 Der Sinn und Zweck dieser Voraussetzung erschließt sich vor diesem Hintergrund nicht unmittelbar, da es mit anderen Worten unerheblich ist, ob die Daten mit Hilfe einer Datenverarbeitungsanlage verarbeitet werden oder nicht. Daher kann diese Voraussetzung nur eine klarstellende Funktion haben.153

64

Sofern der Vorgang automatisiert erfolgt, ist es nach hier vertretener Ansicht nicht zwingend erforderlich – wenngleich in der Praxis die Regel –, dass diese Handlung durch einen Menschen initiiertwurde.154 Für ein solches Erfordernis bietet der Wortlaut der Definition keinen Anhaltspunkt. Insbesondere folgt eine solche Anforderung nach hier vertretener Meinung nicht aus dem in Art. 4 Nr. 2 DSGVO verwendeten Begriff „ausführen“, da auch eine Maschine einen Vorgang ausführen kann.155 Auch die systematische Auslegung der DSGVO, insbesondere die Definition des Verantwortlichen in Art. 4 Nr. 7 DSGVO, erfordert es nach hier vertretener Ansicht nicht, dass ein Mensch den jeweiligen Vorgang initiiert. So ist es zwar zutreffend, dass ein Verantwortlicher (nur) derjenige ist, der über die Zwecke und Mittel der Datenverarbeitung entscheidet. Hieraus lässt sich jedoch nicht ableiten, dass ein Vorgang i.S.d. Art. 4 Nr. 2 DSGVO nicht autonom durch eine Maschine initiiert werden kann bzw. eine Verarbeitung i.S.d. Art. 4 Nr. 2 DSGVO nur dann vorliegt, wenn ein Mensch den jeweiligen Vorgang initiiert hat.156 So kann die Definition des Verantwortlichen nicht die Definition der Verarbeitung beschränken. Vielmehr muss auf Basis des feststehenden Sachverhalts (also des stattfindenden Vorgangs) untersucht werden, wer für die jeweilige Datenverarbeitung verantwortlich ist. Die Definition der Verarbeitung ist mit anderen Worten die Basis, die nicht durch die Definition des Verantwortlichen eingeschränkt werden kann.

65

Soweit der Vorgang nicht automatisiert erfolgt, ist aber darauf zu achten, dass der Anwendungsbereich der DSGVO bei der nichtautomatisierten Verarbeitunggem. Art. 2 Abs. 1 DSGVO nur dann eröffnet ist, wenn personenbezogene Daten verarbeitet werden, die in einem Dateisystem i.S.d. Art. 4 Nr. 6 DSGVO gespeichert sind oder gespeichert werden sollen (siehe hierzu ausführlich Art. 2 Rn. 10ff.).

66

Schließlich muss der (nicht) automatisierte Vorgang bzw. die (nicht) automatisierte Vorgangsreihe noch im Zusammenhang mit personenbezogenen Daten erfolgen. Dies ist der Fall, wenn die (nicht) automatisierte Handlung personenbezogene Daten i.S.d. Art. 4 Nr. 1 DSGVO(siehe hierzu ausführlich Rn. 2ff.) betrifft. Die englischsprachige Fassung von Art. 4 Nr. 2 DSGVO spricht insoweit auch präziser von „any operation or set of operations which is performed on personal data or on sets of personal data“.157

67

Das Vorliegen einer Verarbeitung ist objektiv zu bestimmen. Der subjektive Verarbeitungswille der verarbeitenden Stelle ist bei der Bestimmung, ob eine Verarbeitung i.S.d. Art. 4 Nr. 2 DSGVO vorliegt, daher grundsätzlich unbeachtlich(siehe auch oben Rn. 64).158 Allerdings kann der (fehlende) Verarbeitungswille unter Umständen bei der Bestimmung des „Verantwortlichen“ gem. Art. 4 Nr. 7 DSGVO eine Rolle spielen.

68

Im Anschluss an diese „eigentliche“ Definition der Verarbeitung listet der Verordnungsgeber in Art. 4 Nr. 2 DSGVO insgesamt 16 Beispiele für Verarbeitungsformen auf. Diese Liste mit Verarbeitungsformen ist aber nicht abschließend, wie aus dem Wortlaut von Art. 4 Nr. 2 DSGVO eindeutig hervorgeht („wie das Erheben, das Erfassen, die...“). Somit können also auch andere in Art. 4 Nr. 2 DSGVO nicht ausdrücklich genannte Verarbeitungsformen eine Verarbeitung i.S.d. Art. 4 Nr. 2 DSGVO darstellen, sofern sie die Voraussetzungen der gerade erläuterten „eigentlichen“ Definition der Verarbeitung erfüllen.

69

Die in Art. 4 Nr. 2 DSGVO genannte Liste mit Beispielenbeinhaltet 1. das Erheben, 2. das Erfassen, 3. die Organisation, 4. das Ordnen, 5. die Speicherung, 6. die Anpassung, 7. die Veränderung, 8. das Auslesen, 9. das Abfragen, 10. die Verwendung, 11. die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, 12. den Abgleich, 13. die Verknüpfung, 14. die Einschränkung, 15. das Löschen und 16. die Vernichtung.

70

Das Erheben personenbezogener Daten bezeichnet – in Anlehnung an § 3 Abs. 4 BDSG a.F. – das Beschaffen von Datenüber die betroffene Person. Erhoben werden können die Daten entweder direkt von der betroffenen Person oder von einem Dritten i.S.d. Art. 4 Nr. 10 DSGVO.159

71

Unerheblich ist dabei, ob die Daten dem Verantwortlichen zuvor bereits bekannt waren bzw. ob er schon zuvor über diese Daten verfügte oder nicht.160 Es spielt ebenfalls keine Rolle, ob der Verantwortliche die Daten zur Kenntnis nimmt/genommen hat oder nicht. Es reicht aus, dass der Verantwortliche über die Daten verfügtund die Möglichkeit hat, diese zur Kenntnis zu nehmen.161

72

Erforderlich ist hingegen ein aktives Tun des Verantwortlichen, also ein vom Willen des Verantwortlichen getragener Vorgang, die Daten zu erhalten. Dies ergibt sich aus der Bedeutung des Wortes „beschaffen“.162 Werden die Daten dem Verantwortlichen „aufgezwängt“ oder ihm ohne seinen Willen zugesendet, liegt kein Erheben i.S.d. Art. 4 Nr. 2 DSGVO vor.163 Sofern z.B. auf einer Webseite nur Kontaktdaten, wie die E-Mail-Adresse, angegeben werden und eine Person daraufhin ohne Aufforderung personenbezogene Daten an den Betreiber dieser Webseite sendet, liegt kein Erheben i.S.d. Art. 4 Nr. 2 DSGVO vor.164 Allerdings muss der Verantwortliche die ihm ohne seinen Willen zugesendeten Daten dann auch löschen. Verarbeitet der Verantwortliche diese Daten hingegen weiter, kann dies als Erheben gewertet werden.165

73

Ein Erfassen personenbezogener Daten liegt vor, wenn diese auf einem Datenträger fixiert, z.B. aufgeschrieben, aufgenommen oder auf andere Weise verkörpert werden.166 Das Erfassen unterscheidet sich damit von der Speicherung insoweit, als dass sich der Begriff „Erfassen“ auf den Vorgang der Fixierung bezieht, wohingegen sich die Speicherung auf die ggf. anschließende Aufbewahrung bezieht (siehe unten Rn. 76).167

74

Die Organisation von Daten beschreibt die Strukturierung von gespeicherten Daten.168 Hierbei ist es unerheblich, auf welche Art und Weise die Organisation erfolgt. In der Regel erfolgt diese – ebenso wie das Ordnen personenbezogener Daten, mit dem sich die Organisation von Daten überschneidet – zu dem Zweck, Daten schneller aufzufinden.169 Zudem ist die Organisation der Daten (eine) Voraussetzung dafür, dass aus unstrukturierten Daten ein Dateisystem i.S.d. Art. 4 Nr. 6 DSGVO wird (siehe hierzu unten Rn. 157ff.).170 Erfolgt die Verarbeitung nichtautomatisiert, ist dies nach Art. 2 Abs. 1 DSGVO Voraussetzung dafür, dass die DSGVO sachlich anwendbar ist.