Automatisierte Verarbeitung

Moderner Wachdienst ist ohne Technik kaum denkbar. Kameras zeichnen auf, Zutrittssysteme protokollieren jede Tür, Wächterkontrollsysteme speichern deine Rundgänge, Revierfahrzeuge senden ihren Standort an die Leitstelle. All das ist automatisierte Verarbeitung. Für die Prüfung musst du wissen, warum dieser Begriff so wichtig ist: Er entscheidet mit darüber, ob die DSGVO überhaupt anwendbar ist.

Was im Gesetz steht

Art. 2 Abs. 1 DSGVO legt den sachlichen Anwendungsbereich fest. Die Verordnung gilt für:

1. die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten und
2. die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Für private Stellen übernimmt Paragraf 1 Absatz 1 Satz 2 BDSG dieselbe Abgrenzung. Der Unterschied ist entscheidend: Bei automatisierter Verarbeitung gilt die DSGVO immer, abgesehen von den Ausnahmen in Art. 2 Abs. 2, etwa für rein private Tätigkeiten. Bei Papier gilt sie nur, wenn die Daten geordnet in einem Dateisystem stehen oder dort landen sollen. Dazu gibt es eine eigene Seite zu nichtautomatisierten Dateisystemen.

Was automatisiert bedeutet

Automatisiert ist eine Verarbeitung, wenn sie mit Hilfe von Datenverarbeitungstechnik geschieht. Es kommt nicht darauf an, ob ein großes Rechenzentrum dahintersteht. Ein einzelnes Foto auf dem Diensthandy, eine Excel-Tabelle oder eine E-Mail reicht. Der Begriff ist technikneutral: Er gilt für heutige und künftige Geräte gleichermaßen.

Ganz automatisiert

Die Technik erledigt die Verarbeitung von Anfang bis Ende selbst. Beispiele aus dem Dienst:

• Eine Videokamera zeichnet den Parkplatz auf und überschreibt die Bilder nach einer festen Frist.
• Das Zutrittssystem speichert bei jeder Buchung Transpondernummer, Tür und Uhrzeit.
• Eine Schranke mit Kennzeichenerkennung öffnet nur für hinterlegte Fahrzeuge.
• Das GPS im Revierfahrzeug meldet die Position laufend an die Leitstelle.

Teilweise automatisiert

Ein Teil passiert von Hand, ein Teil mit Technik. Du trägst Besucherdaten per Hand in eine Maske ein, du scannst ein handschriftliches Übergabeprotokoll ein, oder du tippst dein Wachbuch am Abend in eine Tabelle ab. Auch das fällt voll unter die DSGVO.

Warum Technik besondere Sorgfalt verlangt

Automatisierte Daten lassen sich in Sekunden durchsuchen, kopieren, verknüpfen und weiterleiten. Was auf Papier im Ordner verschwindet, ist im System mit zwei Klicks auswertbar. Deshalb verlangt die DSGVO vom Verantwortlichen technische und organisatorische Maßnahmen nach Art. 32, etwa Zugriffsrechte, Passwörter, Verschlüsselung und Protokollierung. Für dich bedeutet das: eigene Zugangsdaten, kein Teilen von Passwörtern, keine Kopien auf private Geräte.

Leistungs- und Verhaltenskontrolle

Viele Systeme im Wachdienst erfassen nicht nur Fremde, sondern auch dich. Das Wächterkontrollsystem zeigt, wann du welchen Kontrollpunkt erreicht hast. Das GPS zeigt, wo dein Fahrzeug stand. Das ist für den Nachweis gegenüber dem Kunden sinnvoll und in der Regel zulässig. Eine lückenlose heimliche Totalüberwachung der Beschäftigten ist es nicht. Gibt es einen Betriebsrat, hat er bei der Einführung solcher technischen Einrichtungen nach Paragraf 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz mitzubestimmen.

Abgrenzung: automatisierte Einzelentscheidung

Nicht verwechseln darfst du die automatisierte Verarbeitung mit der automatisierten Entscheidung im Einzelfall nach Art. 22 DSGVO. Dort geht es um einen engeren Fall: Ein System trifft allein, ohne menschliche Prüfung, eine Entscheidung, die für die Person rechtliche Wirkung hat oder sie ähnlich erheblich beeinträchtigt. Ein Beispiel wäre eine Software, die Bewerber ohne jeden menschlichen Blick aussortiert. Solche Entscheidungen sind grundsätzlich unzulässig, es sei denn, eine der Ausnahmen in Art. 22 Abs. 2 greift. Fast jede Verarbeitung im Wachdienst ist automatisiert, aber nur sehr wenige sind automatisierte Einzelentscheidungen.

Eng damit verbunden ist das Profiling nach Art. 4 Nr. 4 DSGVO: die automatisierte Auswertung von Daten, um persönliche Aspekte wie Verhalten, Zuverlässigkeit oder Aufenthaltsorte einer Person zu analysieren oder vorherzusagen.

Ein Fall aus dem Dienst

Dein Objektleiter erzählt, der Kunde wolle die Daten aus dem Wächterkontrollsystem künftig auch nutzen, um die Pausen jeder einzelnen Wachperson auf die Minute auszuwerten und daraus eine Rangliste der "langsamsten Rundgänger" zu erstellen.

Hier wird aus einem Nachweissystem ein Werkzeug zur Leistungsbewertung. Das ist eine neue Verarbeitung mit neuem Zweck und automatisierter Auswertung von Verhalten. Die Zweckbindung setzt hier klare Grenzen. Sie muss rechtlich eigens begründet sein, in der Regel abgestimmt mit dem Betriebsrat und dem Datenschutzbeauftragten. Für dich heißt das nicht, den Rundgang zu verweigern. Du kannst aber deine Bedenken über den Vorgesetzten oder den Datenschutzbeauftragten deines Arbeitgebers ansprechen.

Typische Prüfungsfallen

• Bei automatisierter Verarbeitung gilt die DSGVO immer, ein Dateisystem ist nicht nötig.
• Teilweise automatisiert reicht, zum Beispiel das Abtippen oder Einscannen von Papier.
• Schon ein einzelnes Foto auf dem Diensthandy ist automatisierte Verarbeitung.
• Automatisierte Verarbeitung ist nicht dasselbe wie eine automatisierte Einzelentscheidung nach Art. 22.
• Systeme wie GPS oder Wächterkontrolle verarbeiten auch Daten der eigenen Beschäftigten.

Art. 2 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.