Verarbeitung

Verarbeitung ist nach Art. 4 Z 2 DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang und jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten. Dazu gehören etwa das Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Bereitstellen, Einschränken, Löschen oder Vernichten. Auch ein einzelner Zugriff auf personenbezogene Daten kann eine Verarbeitung sein.

Für Unternehmen erfasst der Begriff deshalb weit mehr als die dauerhafte Speicherung. Wenn ein Unternehmen Kundendaten in ein CRM übernimmt, Beschäftigtendaten verwaltet, eine Website mit Cookies betreibt, eine Anfrage abruft oder Daten an einen Dienstleister übermittelt, verarbeitet es personenbezogene Daten. Die Definition sagt noch nicht, ob die Verarbeitung zulässig ist. Dafür braucht jeder Vorgang eine passende Rechtsgrundlage, bei besonderen Kategorien personenbezogener Daten zusätzlich die Voraussetzungen des Art. 9 DSGVO.

Bei der Datenschutzorganisation sollte das Unternehmen jeden Verarbeitungsvorgang nach Zweck, Datenkategorien, betroffenen Personen, Empfängern, Speicherorten und Löschkonzept erfassen. Ebenso wichtig ist die Rollenklärung: Entscheidet das Unternehmen selbst über Zweck und wesentliche Mittel, ist es regelmäßig Verantwortlicher. Verarbeitet ein Dienstleister Daten im Auftrag, kommt eine Auftragsverarbeitung in Betracht. Der Bereich Compliance und Datenschutz-Governance und der Bereich Auftragsverarbeitung und Dienstleister ordnen diese Fragen ein.

Für eine erste Einordnung hilft eine konkrete Beschreibung des Ablaufs: Welche Daten werden für welchen Zweck erhoben, wer kann darauf zugreifen, an wen werden sie übermittelt und wann endet die Verarbeitung? Der Rollen-Check unterstützt bei der Abgrenzung der beteiligten Stellen. Bei Cookies und Tracking ist der Schwerpunkt Marketing, Cookies und Tracking passend, bei Beschäftigtendaten der Schwerpunkt Beschäftigtendatenschutz. Für einen beauftragten Dienstleister bietet die Checkliste zur Prüfung von Auftragsverarbeitern eine praktische Struktur.