Definition
Der Begriff Verarbeitungstätigkeit bezeichnet jede spezifische Handlung oder Reihe von Handlungen, die mit personenbezogenen Daten durchgeführt werden. Dazu zählen beispielsweise das Erheben, Speichern, Ändern, Übermitteln oder Löschen von Daten. Die Verarbeitungstätigkeit umfasst somit sämtliche Operationen, die auf personenbezogene Daten angewendet werden, unabhängig davon, ob diese automatisiert oder manuell erfolgen.
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Die Verarbeitungstätigkeit ist daher ein zentraler Begriff im Datenschutzrecht, insbesondere in der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union, die den Schutz solcher Daten regelt. Die Definition ist bewusst weit gefasst, um alle möglichen Datenverarbeitungen abzudecken.
Was bedeutet das für Ihr Unternehmen?
Jede Verarbeitungstätigkeit, etwa Newsletterversand, Lohnabrechnung oder Kundenportal, gehört mit Zweck, Datenarten und Löschfristen in Ihr Verarbeitungsverzeichnis. Diese Liste verlangt die Aufsichtsbehörde bei einer Prüfung zuerst, und sie hilft bei Auskunftsanfragen, schnell zu sehen, wo Daten einer Person liegen. Kommt ein neues Tool oder eine neue Funktion dazu, sollte der Eintrag gleich mit angelegt werden, statt später alles nachzutragen.
Rechtlicher Hintergrund
Die Verarbeitungstätigkeit ist im Datenschutzrecht verankert, vor allem in Artikel 4 Nummer 2 der DSGVO, die den Begriff der Verarbeitung definiert. Die DSGVO trat im Mai 2018 in Kraft und stellt seitdem den einheitlichen Rechtsrahmen für den Umgang mit personenbezogenen Daten in der EU dar. Die Vorschriften gelten für alle Organisationen, die personenbezogene Daten verarbeiten, unabhängig von deren Sitz.
Im Rahmen der DSGVO sind Verantwortliche verpflichtet, Verarbeitungstätigkeiten zu dokumentieren und transparent zu gestalten. Dies dient dazu, die Einhaltung der Datenschutzprinzipien wie Zweckbindung, Datenminimierung und Transparenz zu gewährleisten. Die Dokumentation umfasst Angaben zu Art, Zweck und Umfang der Verarbeitungstätigkeiten.
Arten von Verarbeitungstätigkeiten
Verarbeitungstätigkeiten können vielfältig sein und reichen von der einfachen Erhebung personenbezogener Daten bis hin zu komplexen Vorgängen wie Profiling oder automatisierten Entscheidungsfindungen. Beispiele sind das Anlegen von Kundenprofilen, das Versenden von Newslettern oder die Speicherung von Mitarbeiterdaten in einer Personalakte.
Darüber hinaus können Verarbeitungstätigkeiten auch die Übermittlung von Daten an Dritte oder die Kombination verschiedener Datenbestände umfassen. Jede dieser Tätigkeiten unterliegt den datenschutzrechtlichen Anforderungen und muss entsprechend legitimiert sein, etwa durch Einwilligung der betroffenen Person oder eine gesetzliche Grundlage.
Dokumentation und Nachweis
Die DSGVO fordert von Verantwortlichen, ein Verzeichnis der Verarbeitungstätigkeiten zu führen, das detaillierte Informationen über alle durchgeführten Datenverarbeitungen enthält. Dieses Verzeichnis dient als Nachweis für die Einhaltung der Datenschutzvorschriften und ist insbesondere bei Kontrollen durch Datenschutzbehörden von Bedeutung.
Das Verzeichnis muss Angaben enthalten wie den Zweck der Verarbeitung, die Kategorien betroffener Personen und Daten, die Empfänger der Daten sowie die vorgesehenen Fristen für die Löschung. Die Pflicht zur Dokumentation gilt nicht für alle Organisationen gleichermaßen, sondern richtet sich unter anderem nach der Größe und Art der Datenverarbeitung.
Abgrenzung zu verwandten Begriffen
Verarbeitungstätigkeit ist nicht mit dem Begriff der Datenerhebung gleichzusetzen, obwohl die Erhebung eine Form der Verarbeitung darstellt. Während die Erhebung den erstmaligen Vorgang des Sammelns von Daten beschreibt, umfasst die Verarbeitungstätigkeit sämtliche darauf folgenden Handlungen mit diesen Daten.
Ein weiterer verwandter Begriff ist die Datenverarbeitung im technischen Sinne, die sich auf die IT-technische Umsetzung von Verarbeitungstätigkeiten bezieht. Verarbeitungstätigkeit ist hingegen ein rechtlicher Begriff, der alle Arten von Handlungen mit personenbezogenen Daten umfasst, unabhängig von der technischen Umsetzung.