Automatisierte Verarbeitung bezeichnet die Verarbeitung personenbezogener Daten mithilfe technischer Systeme, insbesondere durch Computer, Software oder digitale Anwendungen. Dazu gehören beispielsweise das automatische Speichern, Ordnen, Auswerten oder Übermitteln personenbezogener Daten. Die Datenschutz-Grundverordnung (DS-GVO) erfasst solche Vorgänge nach Art. 2 Abs. 1 und Art. 4 Nr. 2 DS-GVO. Unternehmen müssen dabei insbesondere die Grundsätze der Datenverarbeitung, die Anforderungen an die Rechtmäßigkeit und die Datensicherheit beachten.
Wann liegt eine automatisierte Verarbeitung personenbezogener Daten vor?
Eine automatisierte Verarbeitung liegt vor, wenn personenbezogene Daten mithilfe technischer Systeme ganz oder teilweise automatisiert verarbeitet werden.
Nach Art. 4 Nr. 2 DS-GVO umfasst der Begriff der Verarbeitung unter anderem das Erheben, Erfassen, Ordnen, Speichern, Verändern, Auslesen, Verwenden, Übermitteln und Löschen personenbezogener Daten.
Typische Beispiele sind:
- Automatische Speicherung von Kundendaten in einem Onlineshop
- Elektronische Verarbeitung von Beschäftigtendaten in einer Personalsoftware
- Automatisierte Erfassung und Auswertung von Website-Nutzungsdaten
- Speicherung und Synchronisierung personenbezogener Daten in Cloud-Systemen
- Automatischer Versand personalisierter E-Mails anhand gespeicherter Kundendaten
Eine vollständig selbstständige Verarbeitung ist nicht erforderlich. Auch Vorgänge, bei denen Beschäftigte einzelne Arbeitsschritte auslösen oder überwachen, können unter den Begriff der automatisierten Verarbeitung fallen.
Die DS-GVO gilt daneben auch für bestimmte nichtautomatisierte Verarbeitungen, wenn personenbezogene Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Welche datenschutzrechtlichen Anforderungen gelten für die automatisierte Verarbeitung?
Auch bei einer automatisierten Verarbeitung müssen Unternehmen die allgemeinen Anforderungen der DS-GVO einhalten.
Nach Art. 5 DS-GVO gelten insbesondere folgende Grundsätze:
- Rechtmäßigkeit: Die Verarbeitung benötigt eine geeignete Rechtsgrundlage nach Art. 6 DS-GVO.
- Zweckbindung: Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden.
- Datenminimierung: Es dürfen nur die für den jeweiligen Zweck erforderlichen personenbezogenen Daten verarbeitet werden.
- Richtigkeit: Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls aktuell sein.
- Speicherbegrenzung: Personenbezogene Daten dürfen grundsätzlich nicht länger als notwendig gespeichert werden.
- Integrität und Vertraulichkeit: Die Daten müssen durch geeignete Sicherheitsmaßnahmen geschützt werden.
Darüber hinaus müssen Verantwortliche insbesondere die Informationspflichten nach Art. 13 und 14 DS-GVO sowie die Betroffenenrechte nach Art. 15 ff. DS-GVO berücksichtigen.
Die Verwendung einer automatisierten Software stellt für sich genommen keine Rechtsgrundlage für die Verarbeitung personenbezogener Daten dar.
Welche Sicherheitsmaßnahmen sind bei automatisierter Verarbeitung erforderlich?
Nach Art. 32 DS-GVO müssen Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Zu den möglichen Sicherheitsmaßnahmen gehören insbesondere:
- Verschlüsselung personenbezogener Daten
- Zugriffsbeschränkungen und Berechtigungskonzepte
- Regelmäßige Datensicherungen
- Maßnahmen zur Sicherstellung der Verfügbarkeit und Belastbarkeit der Systeme
- Regelmäßige Überprüfung und Bewertung der eingesetzten Sicherheitsmaßnahmen
Welche Maßnahmen erforderlich sind, hängt insbesondere von der Art der Verarbeitung, dem Stand der Technik und den Risiken für die Rechte und Freiheiten betroffener Personen ab.
Nach Art. 25 DS-GVO müssen Unternehmen außerdem die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen berücksichtigen.
Was unterscheidet automatisierte Verarbeitung von automatisierter Entscheidungsfindung?
Automatisierte Verarbeitung und automatisierte Entscheidungsfindung sind rechtlich nicht gleichzusetzen.
Bei einer automatisierten Verarbeitung werden personenbezogene Daten mithilfe technischer Systeme verarbeitet. Dies kann beispielsweise die automatische Speicherung einer Kundenbestellung sein.
Eine automatisierte Entscheidungsfindung liegt dagegen vor, wenn ein technisches System auf Grundlage verarbeiteter Daten eine Entscheidung trifft.
Art. 22 DS-GVO enthält besondere Regelungen für Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung einschließlich Profiling beruhen und gegenüber betroffenen Personen rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen.
Solche Entscheidungen sind grundsätzlich nur unter den in Art. 22 Abs. 2 DS-GVO genannten Voraussetzungen zulässig. Je nach Fall müssen zusätzliche Schutzmaßnahmen vorgesehen werden, insbesondere Möglichkeiten zur Anfechtung der Entscheidung und zur Darlegung des eigenen Standpunkts.
Nicht jede automatisierte Datenverarbeitung unterliegt daher den besonderen Anforderungen des Art. 22 DS-GVO.
Wann ist eine Datenschutz-Folgenabschätzung erforderlich?
Nach Art. 35 Abs. 1 DS-GVO ist eine Datenschutz-Folgenabschätzung erforderlich, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
Dies kann insbesondere bei einer systematischen und umfassenden Bewertung persönlicher Aspekte der Fall sein, die auf automatisierter Verarbeitung einschließlich Profiling beruht und als Grundlage für Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung dient.
Eine Datenschutz-Folgenabschätzung ist jedoch nicht bei jeder automatisierten Verarbeitung erforderlich.
Entscheidend sind insbesondere Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die damit verbundenen Risiken.
Unternehmen müssen deshalb vor dem Einsatz entsprechender Systeme prüfen, ob die Voraussetzungen des Art. 35 DS-GVO vorliegen.
Praxisbeispiel: Automatisierte Verarbeitung in einem Onlineshop
Ein Onlinehändler verwendet ein digitales Kundenverwaltungssystem. Sobald ein Kunde eine Bestellung aufgibt, werden seine Kontaktdaten, die Lieferadresse und die Bestellinformationen automatisch im System gespeichert.
Die Software übermittelt die erforderlichen Informationen anschließend an die zuständigen internen Abteilungen und unterstützt die weitere Bestellabwicklung.
Dabei handelt es sich um eine automatisierte Verarbeitung personenbezogener Daten im Sinne der DS-GVO.
Der Onlinehändler muss sicherstellen, dass für die Verarbeitung eine geeignete Rechtsgrundlage besteht. Für die zur Vertragsabwicklung erforderlichen Daten kommt insbesondere Art. 6 Abs. 1 lit. b DS-GVO in Betracht.
Darüber hinaus muss das Unternehmen angemessene Sicherheitsmaßnahmen treffen und die gesetzlichen Informationspflichten erfüllen.
legal data Einschätzung: Unternehmen sollten automatisierte Verarbeitungsvorgänge bereits bei der Einführung neuer Software auf ihre datenschutzrechtliche Zulässigkeit prüfen. Neben einer geeigneten Rechtsgrundlage sind insbesondere die Datenminimierung, klare Zugriffsberechtigungen und angemessene Sicherheitsmaßnahmen wichtig. Bei Systemen, die personenbezogene Daten zur Bewertung oder Entscheidung über einzelne Personen verwenden, sollten zusätzlich die Anforderungen an automatisierte Entscheidungen und mögliche Datenschutz-Folgenabschätzungen geprüft werden.
Rechtsgrundlagen
- Art. 2 Abs. 1 DS-GVO
- Art. 4 Nr. 2 DS-GVO
- Art. 5 DS-GVO
- Art. 6 DS-GVO
- Art. 13-15 DS-GVO
- Art. 22 DS-GVO
- Art. 25 DS-GVO
- Art. 32 DS-GVO
- Art. 35 DS-GVO
Häufige Fragen zur automatisierten Verarbeitung
Was bedeutet automatisierte Verarbeitung?
Automatisierte Verarbeitung bezeichnet die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten mithilfe technischer Systeme. Dazu gehören beispielsweise die elektronische Speicherung, Auswertung und Übermittlung personenbezogener Daten.
Ist jede elektronische Datenverarbeitung eine automatisierte Verarbeitung?
Die Verarbeitung personenbezogener Daten mithilfe elektronischer Systeme fällt regelmäßig unter den Begriff der automatisierten Verarbeitung. Dabei ist es nicht erforderlich, dass sämtliche Verarbeitungsschritte ohne menschliche Beteiligung erfolgen.
Ist automatisierte Verarbeitung nach der DS-GVO erlaubt?
Ja. Automatisierte Verarbeitung ist grundsätzlich zulässig, wenn die gesetzlichen Datenschutzanforderungen eingehalten werden. Dazu gehören insbesondere eine geeignete Rechtsgrundlage nach Art. 6 DS-GVO und die Grundsätze des Art. 5 DS-GVO.
Was ist der Unterschied zwischen automatisierter Verarbeitung und Profiling?
Automatisierte Verarbeitung umfasst unterschiedliche technische Verarbeitungsvorgänge. Profiling ist nach Art. 4 Nr. 4 DS-GVO eine besondere Form automatisierter Verarbeitung, bei der personenbezogene Daten verwendet werden, um bestimmte persönliche Aspekte einer Person zu bewerten oder vorherzusagen.
Muss bei automatisierter Verarbeitung immer eine Datenschutz-Folgenabschätzung durchgeführt werden?
Nein. Eine Datenschutz-Folgenabschätzung ist nach Art. 35 DS-GVO insbesondere dann erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt.
Verwandte Begriffe.
Künstliche Intelligenz und Datenschutz Beim Einsatz künstlicher Intelligenz gilt die DSGVO immer dann, wenn beim Training, bei der Eingabe oder bei der Ausgabe personenbezogene Daten verarbeitet werden. Art. 6 DSGVO Datenschutz-Folgenabschätzung (DSFA) Die Datenschutz-Folgenabschätzung (DSFA) ist ein gesetzlich vorgeschriebenes Verfahren zur Bewertung und Verringerung von Risiken bei der Verarbeitung personenbezogener Daten. Nach Art. 35 der Datenschutz-Grundverordnung (DS-GVO) muss der Verantwortliche eine DSFA durchführen, wenn eine geplante Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Ziel ist es, Datenschutzrisiken frühzeitig zu erkennen und geeignete Schutzmaßnahmen festzulegen. 