Ein bewusst weiter Begriff
Die DSGVO definiert Verarbeitung als „jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe“ mit personenbezogenen Daten. Dann folgt eine lange Beispielliste: Erheben, Erfassen, Organisation, Ordnen, Speicherung, Anpassung oder Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung oder Verbreitung, Abgleich oder Verknüpfung, Einschränkung, Löschen oder Vernichtung.
Das Wort „wie“ vor der Liste zeigt, dass sie nicht abschließend ist. In der Praxis gibt es kaum einen Umgang mit Daten, der keine Verarbeitung wäre. Auch das bloße Ansehen eines Datensatzes am Bildschirm („Auslesen“, „Abfragen“) und das Löschen selbst zählen dazu.
Warum das wichtig ist: An den Begriff knüpft praktisch die ganze DSGVO an. Für jede Verarbeitung gelten die Grundsätze aus Art. 5, für jede braucht es eine Rechtsgrundlage, und für jede muss jemand die Rolle des Verantwortlichen tragen. Auch eine Sicherungskopie, die niemand je öffnet, ist gespeichert und damit verarbeitet – sie gehört deshalb in das Löschkonzept genauso hinein wie das Original.
Automatisiert oder auf Papier
Der Begriff ist technikneutral, der Anwendungsbereich der DSGVO aber nicht ganz. Nach Art. 2 Abs. 1 gilt sie für jede ganz oder teilweise automatisierte Verarbeitung – also praktisch alles, was über einen Computer, ein Smartphone oder eine Cloud läuft. Für Papier gilt sie nur, wenn die Daten in einem „Dateisystem“ gespeichert sind oder werden sollen, also in einer nach bestimmten Kriterien geordneten Sammlung (Art. 4 Nr. 6).
Der handschriftliche Notizzettel, der nach dem Telefonat im Papierkorb landet, fällt daher eher nicht darunter. Der Ordner „Mandanten A–Z“ mit abgehefteten Gesprächsnotizen dagegen schon.
Eine Besprechung, viele Verarbeitungen
Wie fein sich ein alltäglicher Ablauf in einzelne Verarbeitungsschritte zerlegen lässt, zeigt ein aufgezeichnetes Kundengespräch:
| Schritt | Verarbeitungsvorgang laut Art. 4 Nr. 2 |
|---|---|
| Gespräch wird aufgenommen | Erheben, Erfassen |
| Audio wird in Text umgewandelt | Anpassung oder Veränderung |
| Transkript wird in einer Datenbank abgelegt | Speicherung, Organisation |
| Jemand sucht später nach „Lieferfrist“ | Abfragen, Auslesen |
| Protokoll geht per Mail an das Team | Offenlegung durch Übermittlung |
| Meeting wird einem Kunden-Ordner zugeordnet | Ordnen, Verknüpfung |
| Aufnahme wird nach der Transkription entfernt | Löschen |
Jeder dieser Schritte muss vom Zweck gedeckt sein, für den die Daten erhoben wurden, und auf einer Rechtsgrundlage beruhen. Wer etwa Gesprächsinhalte später für Werbung auswertet, verarbeitet zu einem neuen Zweck – das ist eine Frage der Zweckbindung.
Verwandte Begriffe, die oft verwechselt werden
Verarbeitungstätigkeit meint im Verarbeitungsverzeichnis die zusammengehörige Gruppe von Vorgängen für einen Zweck, etwa „Dokumentation von Kundengesprächen“. Eine Tätigkeit umfasst also viele einzelne Verarbeitungen.
Auftragsverarbeitung beschreibt, dass ein Dienstleister Daten im Auftrag und nach Weisung eines anderen verarbeitet – siehe Auftragsverarbeiter. Einschränkung der Verarbeitung schließlich ist selbst ein Verarbeitungsvorgang: Daten werden markiert, damit sie vorerst nur noch gespeichert, aber nicht mehr anders genutzt werden (Art. 4 Nr. 3, Art. 18).
Tischlermeisterin Gruber notiert beim Vor-Ort-Termin Wünsche, Maße und Telefonnummer von Familie Steiner in einer Tablet-App. Später kopiert sie die Maße ins Angebot, schickt das Angebot per Mail und archiviert das Projekt nach Abschluss.
Erfassen, Speichern, Verwenden, Übermitteln, Archivieren: Das sind fünf Verarbeitungen, alle für denselben Zweck – Angebot und Auftrag. Will sie die Telefonnummer zwei Jahre später für eine Rabattaktion nutzen, beginnt eine neue Verarbeitung zu einem anderen Zweck, die eigens zu prüfen ist.
Dieser Eintrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung.