§ 2 Zentrale Begriffe / II. Automatisierte Verarbeitung

Rz. 66

Nach Art. 2 Abs. 1 DSGVO soll die Verordnung nur insoweit Anwendung finden, als dass eine ganz oder teilweise automatisierte oder eine nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, betroffen ist. Wie bereits die Datenschutzrichtlinie verzichtet auch die DSGVO darauf, diese, für die Anwendung der Verordnung maßgeblichen, Begriffe legal zu definieren. Der deutsche Gesetzgeber hatte diese "Lücke" bislang über eine Legaldefinition in § 3 Abs. 2 Satz 1 BDSG geschlossen und die automatisierte Verarbeitung als die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unter Einsatz von Datenverarbeitungsanlagen definiert. Nach allgemeiner Meinung im bundesdeutschen Schrifttum war diese Definition weit auszulegen^[161] und unter einer Datenverarbeitungsanlage nicht nur der einzelne PC, sondern auch ganze Bürokommunikations- und Netzwerksysteme unabhängig von ihrer Größe und Speicherkapazität zu verstehen. Des Weiteren sollten auch Videoüberwachungssysteme und PDAs und selbst der althergebrachte Fotokopierer als Datenverarbeitungsanlage i.S.d. § 3 Abs. 2 Satz 1 BDSG anzusehen sein,^[162] solange nur eine – wie auch immer geartete – technische Auswertungsmöglichkeit bestand.^[163]

Rz. 67

Die vom deutschen Gesetzgeber gewählte Legaldefinition der "automatisierten Verarbeitung" wird – offensichtlich mangels hierauf bezogener Öffnungsklausel, soweit zum Stand der Erstellung dieses Werkes ersichtlich – nicht in die Neufassung des BDSG^[164] übernommen, sodass zukünftig auch auf Bundesebene nicht mehr auf diese Konkretisierungsnorm zurückgegriffen werden kann. Gleichwohl spricht – unter Beachtung der Zielsetzungen der DSGVO und der bisherigen Rechtsprechung des EuGH^[165] – nichts Grundsätzliches dagegen, sich hinsichtlich des Begriffsverständnisses der "automatisierten Verarbeitung" auch unter Geltung der DSGVO an den Ausführungen des § 3 Abs. 2 Satz 1 BDSG zu orientieren.

Rz. 68

Eine automatisierte Verarbeitung ist hiernach immer dann gegebenen, wenn personenbezogene Daten unter Einsatz von Datenverarbeitungsanlagen^[166] verarbeitet werden.

[161] Weichert, in: Däubler/Klebe/Wedde/Weichert (Hrsg.), BDSG, 3. Aufl. 2010, § 3 Rn 25; Buchner, in: Taeger/Gabel (Hrsg.), BDSG, 2010, § 3 Rn 22.

[162] Kazemi/Leopold, Datenschutzrecht in der anwaltlichen Beratung, § 2 Rn 2, 50.

[163] Im europäischen Kontext auch EuGH, Urt. v. 11.12.2014, C-212/13, Rn 25, Überwachung mittels einer Videoaufzeichnung von Personen auf einer kontinuierlichen Speichervorrichtung ist "automatisierte Verarbeitung"; EuGH, Urt. v. 6.11.2003 – C-101/01, Bodil Lindqvist, das Veröffentlichen von Hinweisen auf natürliche Personen im Internet stellt eine automatisierte Verarbeitung personenbezogener Daten dar;

[164] Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und Umsetzungsgesetz EU – DSAnpUG-EU), BT-Drucks 18/11325.

[165] Hierzu bereits § 1 Rdn 45 ff.

[166] Im Sinne eines elektronischen Systems, welches Daten annimmt, speichert, verarbeitet und abgibt.