§ 2 Zentrale Begriffe / D. Umgang mit Daten

I. Verarbeitung

Rz. 39

Anders als die bisherige Datenschutzgesetzgebung in einigen Mitgliedstaaten,^[83] die den Umgang mit Daten in der nationalstaatlichen Umsetzung der Datenschutzrichtlinie in verschiedene Formen eingeteilt und insoweit jedenfalls die Stadien der Erhebung, der Verarbeitung und – als Auffangtatbestand – der Nutzung unterschieden haben, greift der europäische Gesetzgeber in der DSGVO lediglich auf den Einheitsbegriff der "Verarbeitung" zurück (Art. 4 Nr. 2 DSGVO) und orientiert sich damit an den bereits in der Datenschutzrichtlinie enthaltenen Vorgaben.^[84] Der in Art. 4 Nr. 2 DSGVO benutzte Begriff der Verarbeitung stellt einen Oberbegriff für die verschiedenen "Nutzungsmöglichkeiten" personenbezogener Daten dar.

Rz. 40

Insoweit gleicht die Terminologie der DSGVO der unionsrechtlichen Vorgabe aus Art. 2 lit. b RiL 95/46/EG. Auch dort wird die Datenerhebung als erste Stufe der Datenverarbeitung definiert. Der unionsrechtliche Begriff der Datenverarbeitung wurde unter Geltung der RiL 95/46/EG weit verstanden^[85] und erfasste auch die in zahlreichen nationalen Umsetzungen der RiL 95/46/EG als eigenständig eingestufte Nutzung von Daten. Nach Art. 4 Nr. 2 DSGVO erfasst der Begriff der "Verarbeitung"

Zitat

"jeden mit oder ohne Hilfe automatisierter Verfahren^[86] ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung."

Rz. 41

Auch wenn die Legaldefinition auf den ersten Blick wörtlich aus der RiL 95/46/EG übernommen scheint, zeigen sich bei näherem Hinsehen feine Unterschiede in der gewählten Terminologie, die nachfolgend entsprechend dargestellt werden:

Zitat

"… jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Speichern Erfassen, die Organisation, das Ordnen, die Aufbewahrung Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Benutzung Verwendung, die Weitergabe Offenlegung durch Übermittlung, Verbreitung oder jede eine andere Form der Bereitstellung, die Kombination den Abgleich oder die Verknüpfung sowie, die Einschränkung, das Löschen oder Vernichten die Vernichtung; …"

Rz. 42

So sind die Verarbeitungsstadien des "Erfassens", des "Ordnens" und "des Abgleichs" neu in die DSGVO aufgenommen worden. Überraschend mag scheinen, dass die "Sperrung" auf den ersten Blick entfallen ist. Sie ist jedoch als "Einschränkung der Verarbeitung" in Art. 4 Nr. 3 DSGVO lediglich eigenständig definiert und wird in Art. 4 N. 5 DSGVO im Zusammenhang mit dem dort legal definierten Begriff der "Pseudonymisierung" weiter konkretisiert. Die etwas "sperrige" Formulierung der "Einschränkung der Verarbeitung" zeigt sich damit jedenfalls inhaltlich und vom Regelungsumfang her mit dem aus der RiL 95/46/EG bekannten Begriff des "Sperrens" als gleichbedeutend. Man wird sich insoweit an die neue Terminologie gewöhnen müssen; ob sie sich durchzusetzen vermag oder vielmehr weiterhin einfach vom "Sperren" gesprochen werden wird, bleibt abzuwarten.

Rz. 43

Auch, wenn die Aufzählung der Verarbeitungsstadien in Art. 4 Nr. 2 DSGVO nicht abschließend ist,^[87] sollen die dort explizit benannten Verarbeitungsvorgänge nachfolgend näher beleuchtet werden.

[83] Bspw. Bundesrepublik Deutschland: § 3 Abs. 3, 4 und 5 BDSG; Österreich: § 4 Nr. 4, 8, 9 und 12 Bundesgesetz über den Schutz personenbezogener Daten (Datenschutzgesetz 2000.

[84] Art. 2b) Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, Amtsblatt Nr. L 281 vom 23/11/1995 S. 0031 – 0050 ("Datenschutzrichtlinie"):

Verarbeitung personenbezogener Daten“ ( Verarbeitung ) : jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben , das Speichern , die Organisation , die Aufbewahrung , die Anpassung oder Veränderung , das Auslesen , das Abfragen , die Benutzung , die Weitergabe durch Übermittlung , Verbreitung oder jede andere Form der Bereitstellung , die Kombination oder die Verknüpfung sowie das Sperren , Löschen oder Vernichten .

[85] Wank, in: Müller-Glöge/Preis/Schmidt (Hrsg.), Erfurter Kommentar zum Arbeitsrecht, 11. Aufl. 2011, § 3 BDSG Rn 2; zu dessen Inhalt vgl. auch Brühann, in: Roßnagel (Hrsg.), Hdb. Datenschutzrecht, 2003, Kap. 2.4. Rn 18 f.

[86] Zum Begriff sogleich unter Rdn 66.

[87] Es heißt hier "wie" [z.B.]. Die DSGVO verwendet darüber hinaus auch selbst nicht nur diese Begriffe. So wird bspw. von "Weiterverarbeitung" (hierzu § 3 Rdn 24 ff.) gesprochen, die hier ebe...