Kurz gesagt: Verarbeitung ist nach Art. 4 Nr. 2 DSGVO jeder Vorgang im Zusammenhang mit personenbezogenen Daten, vom Erheben über das Speichern, Abfragen und Übermitteln bis zum Löschen und Vernichten. Jeder dieser Schritte braucht eine Rechtsgrundlage.
Die DSGVO regelt nicht "das Speichern" oder "das Weitergeben" einzeln, sondern fasst alles unter einen Oberbegriff: Verarbeitung. Das ist bewusst so weit gefasst. Es soll keine Lücke geben, in der jemand mit Daten hantiert, ohne an die Regeln gebunden zu sein. In der Prüfung wird gern gefragt, ob ein bestimmter Vorgang schon eine Verarbeitung ist. Die Antwort lautet fast immer: ja. Ob die DSGVO dann auch anwendbar ist, hängt zusätzlich davon ab, ob die Verarbeitung automatisiert geschieht oder die Daten in einem Dateisystem stehen.
Was im Gesetz steht
Art. 4 Nr. 2 DSGVO beschreibt Verarbeitung als jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten. Danach zählt das Gesetz mit dem Wort "wie" Beispiele auf: das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
Das kleine Wort "wie" zeigt: Die Aufzählung ist nicht abschließend. Entscheidend ist der Oberbegriff "jeder Vorgang". Auch Vorgänge, die nicht ausdrücklich genannt sind, können Verarbeitung sein.
Die Schritte an einem Beispiel
Am einfachsten verstehst du den Begriff, wenn du einem Besucher durch das Objekt folgst:
| Vorgang | Begriff der DSGVO |
|---|---|
| Du fragst den Besucher nach Namen und Firma. | Erheben |
| Du trägst die Angaben ins Besucherbuch oder in die Software ein. | Erfassen, Speichern |
| Die Software sortiert die Einträge nach Firmen. | Ordnen, Organisation |
| Bei einem Feueralarm rufst du ab, wer noch im Haus ist. | Abfragen, Auslesen |
| Du gleichst den Namen mit der Hausverbotsliste ab. | Abgleich |
| Du schickst die Wochenliste an den Auftraggeber. | Offenlegung durch Übermittlung |
| Du korrigierst einen falsch geschriebenen Namen. | Veränderung |
| Nach Ablauf der Frist wird die Liste geschreddert. | Vernichtung |
Einzelne Begriffe genauer
Erheben
Erheben heißt, Daten gezielt zu beschaffen, etwa durch Fragen, Ablesen oder Fotografieren. Wer Daten erhebt, muss die betroffene Person nach Art. 13 DSGVO grundsätzlich informieren, wer verantwortlich ist und wozu die Daten dienen. Im Wachdienst geschieht das meist über einen Aushang oder ein Infoblatt des Auftraggebers.
Offenlegung und Übermittlung
Offenlegung ist jedes Zugänglichmachen an andere. Dazu zählt nicht nur das Verschicken. Auch wer eine Liste offen auf dem Tresen liegen lässt, sodass Besucher sie lesen können, stellt Daten bereit. Das ist dann eine unzulässige Offenlegung.
Einschränkung
Einschränkung bedeutet nach Art. 4 Nr. 3 DSGVO, gespeicherte Daten zu markieren, damit sie künftig nur noch eingeschränkt verarbeitet werden. Das ist zum Beispiel nötig, wenn jemand die Richtigkeit seiner Daten bestreitet und das noch geprüft wird. Die Daten bleiben gespeichert, werden aber gesperrt.
Löschen und Vernichten
Auch das Löschen ist eine Verarbeitung. Das klingt seltsam, hat aber einen Grund: Es muss richtig und sicher geschehen. Gelöscht ist ein Datum erst, wenn es nicht mehr mit vertretbarem Aufwand wiederhergestellt werden kann. Durchstreichen mit Kugelschreiber, das Verschieben in den Papierkorb des PCs oder das Zerreißen eines Zettels reichen nicht. Für Papier gibt es Aktenvernichter, deren Sicherheitsstufen in der Norm DIN 66399 festgelegt sind. Welche Stufe für welche Unterlagen nötig ist, regelt dein Unternehmen. Wann Betroffene selbst die Löschung verlangen können, erklärt die Seite Recht auf Löschung.
Früher und heute
Das alte BDSG vor 2018 unterschied zwischen Erheben, Verarbeiten und Nutzen. Verarbeiten war dort ein engerer Begriff. Heute ist das alles Verarbeitung. Wenn du in alten Unterlagen auf diese Dreiteilung stößt, weißt du, dass sie überholt ist.
Ein Fall aus dem Dienst
Im Revierdienst fährst du nachts mehrere Objekte an. In einem Lager stellst du fest, dass ein Fenster aufgehebelt wurde. Neben dem Fenster steht ein Auto mit laufendem Motor. Du notierst das Kennzeichen, fotografierst das Fahrzeug, meldest beides per Funk an die Leitstelle, und die Leitstelle gibt die Daten an die Polizei weiter.
In diesen wenigen Minuten sind mehrere Verarbeitungen passiert: Erheben durch Notieren und Fotografieren, Speichern auf dem Diensthandy, Übermittlung an die Leitstelle und dann an die Polizei. Alle sind hier gut begründbar, weil es um die Aufklärung einer Straftat und den Schutz des Objekts geht. Später gehört auch das Löschen dazu: Die Fotos bleiben nicht auf Dauer auf dem Handy, sondern werden nach Anweisung in den Vorfallbericht übernommen und auf dem Gerät gelöscht.
Typische Prüfungsfallen
- Auch Löschen und Vernichten sind Verarbeitungen im Sinne der DSGVO.
- Schon das Abfragen oder Auslesen ist Verarbeitung, nicht erst das Speichern.
- Die Liste in Art. 4 Nr. 2 ist nicht abschließend.
- Verarbeitung kann mit oder ohne Technik passieren. Ob die DSGVO greift, hängt bei Papier aber davon ab, ob die Daten in einem Dateisystem stehen.
- Durchstreichen ist kein Löschen.
Teste dich: Übungsfragen zu diesem Thema
Wie in der IHK-Prüfung können eine oder zwei Antworten richtig sein. Kreuze an und prüfe dann.
Welche Vorgänge sind eine Verarbeitung im Sinne von Art. 4 Nr. 2 DSGVO?
Du lässt die Besucherliste offen auf dem Empfangstresen liegen, sodass wartende Besucher die Einträge lesen können. Wie ist das einzuordnen?
Was bedeutet Einschränkung der Verarbeitung?
Wann ist ein personenbezogenes Datum wirksam gelöscht?
Welche Aussagen zum Begriff Verarbeitung treffen zu?
Im Revierdienst fotografierst du das Kennzeichen eines verdächtigen Fahrzeugs und funkst es an die Leitstelle. Welche Verarbeitungsschritte liegen mindestens vor?
Mehr Fragen aus diesem Sachgebiet gibt es in der Prüfungssimulation und gesammelt auf der Seite Prüfungsfragen Datenschutzrecht.
Art. 4 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.