Читать книгу Datenschutz für Unternehmen - Ricarda Kreindl - Страница 13

Grundsätzlich gilt die DSGVO für die

1.ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie

2.nichtautomatisierte Verarbeitung personenbezogener Daten,

die in einem Dateisystem gespeichert sind oder gespeichert werden sollen (Art 2 Abs 1 DSGVO).

Die DSGVO bietet keine klaren Anhaltspunkte darüber, was unter „automatisierter Verarbeitung“ zu verstehen ist. Eine solche wird jedoch anzunehmen sein, wenn automatisierte Mittel zur Datenverarbeitung verwendet werden. Unter dem Begriff „automatisierte Verarbeitung“ dürften daher „sämtliche heute gebräuchlichen rechnergestützten Verarbeitungen personenbezogener Daten zu verstehen sein“.[5] Von einer Definition wurde seitens des Gesetzgebers bewusst abgesehen, um auch zukünftige technologische Entwicklungen abzudecken. Der Begriff ist daher sehr weit auszulegen und umfasst zB auch die Videoüberwachung.[6] Werden einzelne Verarbeitungsschritte durch menschlich-manuelle Interaktion durchgeführt, zB wenn bei der Erhebung der Daten die Eingabe manuell durch eine Person erfolgt, liegt eine teilweise automatisierte Verarbeitung personenbezogener Daten vor.[7]

Nichtautomatisierte, d. h. rein manuelle Datenverarbeitungen sind nur dann vom Anwendungsbereich der DSGVO erfasst, wenn diese in einem Dateisystem gespeichert sind oder gespeichert werden sollen[8]. Unter einem Dateisystem ist „jede strukturierte Sammlung personenbezogener Daten [zu verstehen], die nach bestimmten Kriterien zugänglich ist, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geführt wird“ (Art 4 Z 6 DSGVO). Werden daher beispielsweise Akten oder Aktensammlungen sowie deren Deckblätter nicht nach bestimmten Kriterien geordnet, ist der Anwendungsbereich der DSGVO nicht gegeben (ErwGr 15 DSGVO). Als solche Kriterien können u. a. eine Anordnung nach Jahr, Aktenzeichen oder Namen, beispielsweise in alphabetischen Reihenfolgen, in Betracht kommen.[9] Auch mündlich, akustisch oder visuell erlangte Daten sind vom Anwendungsbereich ausgenommen, soweit diese nicht gespeichert werden sollen.[10]