David Klein - DS-GVO/BDSG

56

Da der Begriff der Verarbeitung nicht nach der Dauer des Vorgangs differenziert fällt auch die nur kurzzeitige Verwendung weniger, scheinbar unbedeutender personenbezogener Daten grundsätzlich in den Anwendungsbereich der DS-GVO.[133] Beispielhaft kann hier die Zwischenspeicherung personenbezogener Daten im Cache eines Browsers genannt werden.[134]

57

Der Begriff der Verarbeitung der DS-GVO umfasst sowohl die automatisierte, als auch die nichtautomatisierte Verarbeitung personenbezogener Daten. Automatisiert ist eine Verarbeitung personenbezogener Daten durch eine Maschine, wenn sie ohne menschliche Einwirkung stattfindet.[135] So zum Beispiel, die kontinuierliche Videoüberwachung und Aufzeichnung der Aufnahmen auf einer Festplatte.[136] Ausweislich ErwG 15 S. 2 fällt auch eine nichtautomatisierte Verarbeitung, die manuell ohne jedes technische Hilfsmittel erfolgt, in den Anwendungsbereich der DS-GVO. Voraussetzung dafür ist zusätzlich, dass die personenbezogenen Daten in einem Dateisystem[137] gesichert werden oder gespeichert werden sollen.[138]

58

Aufgrund des weiten Verarbeitungsbegriffs ist es aus Sicht des Rechtsanwenders ratsam, bei jedem Umgang mit personenbezogenen Daten von einer Verarbeitung i.S.d. DS-GVO auszugehen.[139] Andernfalls drohen erhebliche Sanktionen nach Art. 82 ff.Die Verarbeitung bedarf immer einer Legitimierung. Zu beachten ist daneben, dass Auftragsverarbeitungen unter der DS-GVO nicht mehr privilegiert sind. Nach aktueller Rechtslage bedarf jede Auftragsverarbeitung einer gesetzlichen Erlaubnis. Bestehende Auftragsverarbeitungen sollten daher auf ihre Rechtmäßigkeit hin überprüft werden.

59

Die Einschränkung der Verarbeitung nach Art. 4 Nr. 3ist die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken. Die Verarbeitungseinschränkung ist ein zulässiges „Minus“ zum Löschen, wenn die personenbezogenen Daten für bestimmte Zwecke nach wie vor rechtmäßig verarbeitet werden dürfen.[140] Inhaltlich entspricht die Einschränkung der Verarbeitung dem bisher gebräuchlichen „Sperren“ von Daten.[141] Das Sperren war auch der DSRL nicht fremd. Zwar wurde der Begriff dort nicht definiert. Als eine Form der Verarbeitung personenbezogener Daten wurde das Sperren aber in Art. 2 lit. bausdrücklich erwähnt. Im deutschen Datenschutzrecht definierte § 3 Abs. 4 Nr. 4 BDSG a.F. das Sperren als das Kennzeichnen gespeicherter personenbezogener Daten, um ihre weitere Verarbeitung oder Nutzung einzuschränken. Diese Definition ist zwar nicht deckungsgleich mit der der DS-GVO. Sie ist aber bereits nah an der Definition der Einschränkung der Verarbeitung nach Art. 4 Nr. 3. Mit § 35 Abs. 1und 2 BDSG n.F. hält auch der nationale Gesetzgeber an der Berechtigung des Verantwortlichen fest, anstelle einer Löschung eine Verarbeitungseinschränkung (früher: Sperrung) vorzunehmen.[142]

60

Eine Einschränkung der Verarbeitung kommt immer dann in Betracht, wenn personenbezogene Daten für ihren eigentlichen Zweck nicht mehr benötigt werden, es aber notwendig ist, sie temporär aufzubewahren. Dies kann beispielweise dann der Fall sein, wenn gesetzliche Aufbewahrungspflichten die Aufbewahrung auch nach Wegfall des Zwecks notwendig machen. Dabei gilt es zu beachten, dass die schlichte Archivierung von Datensätzen keine Einschränkung nach den Vorgaben der DS-GVO ist, denn sie erhält die Verfügungsbefugnis des Verantwortlichen und trennt die Datensätze lediglich vom operativen Geschäft.[143]

61

Die Einschränkung der Verarbeitung ist eine der in Art. 4 Nr. 2ausdrücklich aufgezählten Verarbeitungsformen. Damit bedarf es zur Einschränkung der Verarbeitung, wie für alle Verarbeitungsvorgänge im Zusammenhang mit personenbezogenen Daten, einer Rechtsgrundlage, die die Norm nicht benennt. In der Regel dürfte die Einschränkung der Verarbeitung personenbezogener Daten bei Vorliegen der sonstigen Voraussetzungen von der ursprünglichen Rechtsgrundlage der Erhebung gedeckt oder als kompatible Weiterverarbeitung nach Art. 6 Abs. 4einzuordnen sein.[144]

62

Das Recht des Betroffenenauf Einschränkung der Verarbeitung ist in Art. 18normiert. Hier wird der Anspruch des Betroffenen auf Verarbeitungseinschränkung geregelt. Wie die Einschränkung der Verarbeitung tatsächlich zu erfolgen hat, regelt die DS-GVO nicht. Vielmehr regelt Art. 18 Abs. 2, dass im Falle der Einschränkung nur unter besonderen einzeln aufgeführten Bedingungen auf die Daten zugegriffen werden darf.[145] Daneben können auch die Aufsichtsbehörden im Rahmen ihrer Abhilfebefugnisse die Einschränkung anordnen, Art. 58 Abs. 2 lit. g.[146]

63

Mit der Einschränkung der Verarbeitung in Zusammenhang stehende Mitteilungspflichtenfinden sich in Art. 19, Art. 13 Abs. 2 lit. b, Art. 14 Abs. 2 lit. c und in Art. 15 Abs. 1 lit. e.[147]

64

Der Definition des Art. 4 Nr. 3lässt sich entnehmen, dass jedes einzelne Datum, das einer Verarbeitungseinschränkung unterworfen wird, zu markieren ist. Dies kann textlich oder technisch erfolgen.[148]

65

ErwG 67 erläutert Methoden zur Einschränkung der Verarbeitung. Sie können zur Beschränkung der Verarbeitung personenbezogener Daten unter anderem darin bestehen, dass ausgewählte personenbezogene Daten vorübergehend auf ein anderes Verarbeitungssystem so übertragen werden, dass sie für Nutzer gesperrt werden oder dass veröffentlichte Daten vorübergehend von einer Website entfernt werden. In automatisierten Dateisystemen soll die Verarbeitungseinschränkung durch technische Mittel erfolgen.[149] In dem System ist darauf hinzuweisen, dass die Daten einer Verarbeitungseinschränkung unterliegen.[150]

66

Eine Beschränkung der Verarbeitung auf einzelne Verarbeitungszwecke ist möglich. So kann ein Widerspruch gegen die werbliche Verwendung von Adressdaten dazu führen, dass die Daten zwar weiterhin gespeichert und auch für Vertragserfüllungszwecke genutzt werden, aber nicht mehr für Zwecke der Werbung verwendet werden dürfen.[151]

67

Eine Verarbeitungseinschränkung nach Art. 4 Nr. 3dürfte das Delistingvon Suchergebnissen aus der Ergebnisliste einer Suchmaschine sein. Dabei wird die URL einer Website, die nicht mehr in den Ergebnissen der Suchmaschine auftauchen soll, dergestalt gekennzeichnet, dass bei Eingabe einer bestimmten Suchanfrage die Anzeige dieser URL verhindert wird.[152]

68

Eine weitere Form der Einschränkung der Verarbeitung stellt der Sache nach die Aufbewahrung von Archivgutin staatlichen Archiven nach den Archivgesetzen des Bundes und der Länder dar. Aus Sicht der abgebenden Stelle ist das Archivgut nach Abgabe an das Archiv gelöscht, während es im Archiv sicher aufbewahrt wird und für bestimmte Zeit Nutzungsbeschränkungen unterliegt.[153]

69

Art. 4 Nr. 4definiert „Profiling“ als jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen. Es sind also Vorgänge gemeint, bei denen in der Regel größere Datenmengen zusammengeführt und automatisiert ausgewertet werden, wodurch bspw. besondere Vorlieben und Interessen oder Aufenthaltsorte einzelner betroffener Personen ermittelt werden können.[154] Unerheblich ist nach dem Wortlaut der Norm, ob die personenbezogenen Daten aus einer oder aus verschiedenen Quellen stammen. Ob der Verantwortliche einen oder mehrere Zwecke verfolgt oder ob die Bewertung der natürlichen Peron der Vorbereitung einer automatisierten Einzelfallentscheidung dient ist ebenfalls nicht von Bedeutung.[155]