Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 118

63

Die zweite Voraussetzung einer Verarbeitung i.S.d. Art. 4 Nr. 2 DSGVO besteht darin, dass der Vorgang bzw. die Vorgangsreihe mit oder ohne Hilfe automatisierter Verfahren erfolgt. Ein automatisierter Vorgang liegt vor, wenn er mit Hilfe von Datenverarbeitungsanlagen, wie z.B. Computern, Servern, Smartphones, Tablets oder auch Wearables erfolgt.151 Demgegenüber liegt ein nichtautomatisierter Vorgang vor, wenn er ohne die Hilfe von Datenverarbeitungsanlagen, also i.d.R. manuell erfolgt.152 Der Sinn und Zweck dieser Voraussetzung erschließt sich vor diesem Hintergrund nicht unmittelbar, da es mit anderen Worten unerheblich ist, ob die Daten mit Hilfe einer Datenverarbeitungsanlage verarbeitet werden oder nicht. Daher kann diese Voraussetzung nur eine klarstellende Funktion haben.153

64

Sofern der Vorgang automatisiert erfolgt, ist es nach hier vertretener Ansicht nicht zwingend erforderlich – wenngleich in der Praxis die Regel –, dass diese Handlung durch einen Menschen initiiert wurde.154 Für ein solches Erfordernis bietet der Wortlaut der Definition keinen Anhaltspunkt. Insbesondere folgt eine solche Anforderung nach hier vertretener Meinung nicht aus dem in Art. 4 Nr. 2 DSGVO verwendeten Begriff „ausführen“, da auch eine Maschine einen Vorgang ausführen kann.155 Auch die systematische Auslegung der DSGVO, insbesondere die Definition des Verantwortlichen in Art. 4 Nr. 7 DSGVO, erfordert es nach hier vertretener Ansicht nicht, dass ein Mensch den jeweiligen Vorgang initiiert. So ist es zwar zutreffend, dass ein Verantwortlicher (nur) derjenige ist, der über die Zwecke und Mittel der Datenverarbeitung entscheidet. Hieraus lässt sich jedoch nicht ableiten, dass ein Vorgang i.S.d. Art. 4 Nr. 2 DSGVO nicht autonom durch eine Maschine initiiert werden kann bzw. eine Verarbeitung i.S.d. Art. 4 Nr. 2 DSGVO nur dann vorliegt, wenn ein Mensch den jeweiligen Vorgang initiiert hat.156 So kann die Definition des Verantwortlichen nicht die Definition der Verarbeitung beschränken. Vielmehr muss auf Basis des feststehenden Sachverhalts (also des stattfindenden Vorgangs) untersucht werden, wer für die jeweilige Datenverarbeitung verantwortlich ist. Die Definition der Verarbeitung ist mit anderen Worten die Basis, die nicht durch die Definition des Verantwortlichen eingeschränkt werden kann.

65

Soweit der Vorgang nicht automatisiert erfolgt, ist aber darauf zu achten, dass der Anwendungsbereich der DSGVO bei der nichtautomatisierten Verarbeitung gem. Art. 2 Abs. 1 DSGVO nur dann eröffnet ist, wenn personenbezogene Daten verarbeitet werden, die in einem Dateisystem i.S.d. Art. 4 Nr. 6 DSGVO gespeichert sind oder gespeichert werden sollen (siehe hierzu ausführlich Art. 2 Rn. 10ff.).