Die DSGVO hilft nicht wirklich weiter
Schauen Sie in die Datenschutz-Grundverordnung (DSGVO), finden Sie weder in Art. 30 noch in Art. 4 DSGVO eine Erklärung, was mit „Verarbeitungstätigkeit“ gemeint ist. Auch die Erwägungsgründe bieten nichts Erhellendes.
Nur in Art. 4 Nr. 2 DSGVO wird der Begriff „Verarbeitung“ definiert. Hierbei handelt es sich um jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten.
Weil in der Verarbeitungsdefinition auch Vorgangsreihen erwähnt sind, wird jedoch deutlich, dass mit Verarbeitung eben nicht jeder einzelne Verarbeitungsschritt gemeint sein dürfte.
Vielmehr ist auch eine Aneinanderreihung von Teilschritten erfasst. Also können Sie die Ansicht vertreten, dass ebenso die „Verarbeitungstätigkeit“ als weiter Begriff zu verstehen ist, der auch Vorgangsreihen der Datenverarbeitung umfasst.
Im Ergebnis wäre die Verarbeitungstätigkeit mit dem Begriff der Verarbeitung identisch.
Werden Sie zum „Historiker“
Die DSGVO ist die Fortführung und Weiterentwicklung der EU-Datenschutzrichtlinie (Richtlinie 95/46/EG). Auf der Richtlinie basierte beispielsweise das frühere Bundesdatenschutzgesetz. Schon damals gab es Diskussionen zum ehemals erforderlichen Verfahrensverzeichnis. Hier war nämlich auch nicht so ganz klar, was mit einem „Verfahren“ gemeint ist.
Schließlich konnte man dabei auch an Verarbeitungen auf Dateiebene denken, sodass etwa jede Datei als einzelne Verarbeitung im Verzeichnis hätte aufgeführt werden müssen. Allerdings leuchtete auch damals jedem pragmatischen Datenschutzbeauftragten ein, dass ein Verzeichnis auf Dateiebene nicht gemeint sein konnte. Die Begründung lief folgendermaßen: Nach Art. 18 EU-Datenschutzrichtlinie und dessen Begründung ließ sich der Begriff „Verfahren“ als ein Bündel von Verarbeitungen interpretieren.
In einem Verfahren waren also mehrere Verarbeitungen zusammengefasst, bei denen es über eine gemeinsame Zweckbestimmung und einen einheitlichen Sachverhalt zu einer Verarbeitung personenbezogener Daten kommt. Diese Sichtweise lässt sich auch auf die heutige Zeit und damit den Begriff „Verarbeitungstätigkeit“ übertragen.
Sprechen Sie lieber von Prozessen, Abläufen oder Vorgängen
Damit es mit den Inhalten für das Verzeichnis klappt, müssen Sie den Mitarbeitern und zuständigen Personen erklären, was in das Verzeichnis aufzunehmen ist. Machen Sie es hier nicht zu kompliziert. Anstatt von Verarbeitungstätigkeiten können Sie auch von einem Verarbeitungs- oder Geschäftsprozess, von einem Ablauf oder Vorgang sprechen.
Das ist für viele leichter verständlich, nachvollziehbar und abgrenzbar. Dabei ist wichtig: Zeigen Sie auf, was Sie im Verzeichnis haben wollen. Das sind Verarbeitungstätigkeiten, sprich Verarbeitungsprozesse, die
- sich unter einen sinnvollen Oberbegriff zusammenfassen lassen,
- die von einem gemeinsamen Zweck getragen sind bzw. miteinander zusammenhängen und
- die sich nicht aufgrund ihrer Prägung als etwas Eigenständiges darstellen.
Machen Sie es passend
Bei der Abgrenzung einer Verarbeitungstätigkeit sollten Sie mit gesundem Menschenverstand vorgehen und Ihr Know-how als Datenschutzspezialist einfließen lassen. Sind Sie sich unsicher, wie „grob“ eine Verarbeitungstätigkeit zu einer anderen Verarbeitungstätigkeit abgegrenzt werden kann, können Sie mit anderen Datenschutzbeauftragten darüber sprechen, ob das aus deren Sicht noch passt.
Dabei ist wichtig: Eine Abgrenzung, die für alle Unternehmen und für jeden Fall gilt, gibt es nicht. Schließlich kann es auch auf die Unternehmensgröße ankommen, ob in einem Bereich noch von einer Verarbeitungstätigkeit gesprochen werden kann oder mehrere Verarbeitungstätigkeiten vorliegen.
Im Kleinunternehmen kann es eine Verarbeitungstätigkeit „Kundenkommunikation“ geben, weil man nur einen Newsletter anbietet. Im Konzern können viele Formen des Kundenmarketings existieren, die so unterschiedlich sind, dass man von grundlegend anderen Verarbeitungsprozessen ausgehen kann.
Fürs Verständnis: Beispiele sind wichtig
Damit die Sache für die Kollegen greifbarer wird, sollten Sie auf Beispiele setzen. Wie wäre es beispielsweise mit Folgendem: Verkauft Ihr Unternehmen über einen Onlineshop Produkte, wird es hierfür eines Eintrags im Verzeichnis bedürfen.
Eine Registrierung im Shop und das Abwickeln der Bestellung können als Prozessschritte Teil dieser Verarbeitungstätigkeit sein. Wird daneben auch ein Onlineshop auf einer Verkaufsplattform (z. B. Amazon Marketplace oder eBay) betrieben, bedarf es eines weiteren Eintrags.
Es handelt sich hier um einen eigenständigen Vertriebskanal, für den andere Rahmenbedingungen gelten, etwa auch hinsichtlich Zwecke oder eingesetzter Technik.
