Datenverarbeitung: Wie personenbezogene Daten DSGVO-gerecht genutzt werden

Datenverarbeitung

Was bedeutet Datenverarbeitung?

Datenverarbeitung umfasst alle Vorgänge, bei denen personenbezogene Daten erhoben, gespeichert, genutzt, übermittelt, verändert oder gelöscht werden. Im Kontext der DSGVO (Datenschutz-Grundverordnung) bezieht sich die Datenverarbeitung auf jede Aktivität, die mit Daten durchgeführt wird, unabhängig davon, ob sie automatisiert oder manuell erfolgt.

Arten der Datenverarbeitung

Erhebung:
- Daten werden gesammelt, z. B. durch Online-Formulare, Cookies oder Kundenanfragen.
Speicherung:
- Daten werden in einer Datenbank, Cloud oder auf Servern gespeichert.
Nutzung:
- Daten werden verwendet, z. B. für Marketingzwecke, Analyse oder Vertragserfüllung.
Übermittlung:
- Daten werden an Dritte weitergegeben, z. B. an Dienstleister, Behörden oder Partner.
Veränderung:
- Daten werden aktualisiert, ergänzt oder korrigiert.
Löschung oder Vernichtung:
- Daten werden gelöscht oder physisch vernichtet, wenn sie nicht mehr benötigt werden.

Gesetzliche Grundlagen der Datenverarbeitung

Die DSGVO definiert die Rechtmäßigkeit der Datenverarbeitung in Artikel 6. Daten dürfen nur verarbeitet werden, wenn mindestens eine der folgenden Rechtsgrundlagen vorliegt:

Einwilligung (Art. 6 Abs. 1 lit. a):
- Die betroffene Person hat ihre Zustimmung zur Verarbeitung für einen bestimmten Zweck gegeben.
Vertragserfüllung (Art. 6 Abs. 1 lit. b):
- Die Verarbeitung ist notwendig, um einen Vertrag zu erfüllen (z. B. Kaufvertrag).
Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c):
- Die Verarbeitung ist erforderlich, um einer gesetzlichen Verpflichtung nachzukommen (z. B. Steuerrecht).
Schutz lebenswichtiger Interessen (Art. 6 Abs. 1 lit. d):
- Die Verarbeitung ist notwendig, um lebenswichtige Interessen zu schützen.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f):
- Die Verarbeitung dient berechtigten Interessen des Verantwortlichen, sofern keine überwiegenden Interessen der betroffenen Person entgegenstehen.

Arten personenbezogener Daten

Allgemeine personenbezogene Daten:
- Name, Adresse, Telefonnummer, E-Mail-Adresse, Geburtsdatum.
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO):
- Gesundheitsdaten, ethnische Herkunft, religiöse oder politische Überzeugungen, genetische Daten.
Anonyme Daten:
- Daten, die keinen Rückschluss auf eine Person zulassen. Diese unterliegen nicht der DSGVO.

Pflichten bei der Datenverarbeitung

Transparenz:
- Personen müssen darüber informiert werden, welche Daten erhoben werden und zu welchem Zweck (z. B. in der Datenschutzerklärung).
Rechtmäßigkeit:
- Die Verarbeitung muss auf einer der gesetzlichen Grundlagen basieren.
Zweckbindung:
- Daten dürfen nur für den vorher definierten Zweck verwendet werden.
Datenminimierung:
- Es dürfen nur die Daten erhoben werden, die für den Zweck notwendig sind.
Speicherbegrenzung:
- Daten dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist.
Integrität und Vertraulichkeit:
- Daten müssen durch technische und organisatorische Maßnahmen geschützt werden.
Rechenschaftspflicht:
- Unternehmen müssen nachweisen können, dass sie die Vorschriften der DSGVO einhalten.

Rechte der betroffenen Personen

Recht auf Auskunft (Art. 15 DSGVO):
- Personen können erfahren, welche Daten über sie gespeichert sind und wie sie verarbeitet werden.
Recht auf Berichtigung (Art. 16 DSGVO):
- Personen können die Korrektur unrichtiger Daten verlangen.
Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO):
- Personen können die Löschung ihrer Daten fordern, wenn diese nicht mehr benötigt werden.
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO):
- Die Verarbeitung kann eingeschränkt werden, wenn z. B. die Richtigkeit der Daten bestritten wird.
Recht auf Datenübertragbarkeit (Art. 20 DSGVO):
- Personen können ihre Daten in einem maschinenlesbaren Format anfordern.
Widerspruchsrecht (Art. 21 DSGVO):
- Personen können der Verarbeitung ihrer Daten widersprechen, insbesondere bei Direktwerbung.

Beispiele für Datenverarbeitung

Im Marketing:
- Nutzung von E-Mail-Adressen für den Versand von Newslettern.
- Analyse des Nutzerverhaltens auf Websites (z. B. durch Google Analytics).
Im Gesundheitswesen:
- Speicherung von Patientenakten in einer digitalen Datenbank.
In E-Commerce:
- Verarbeitung von Bestell- und Zahlungsdaten zur Abwicklung von Online-Bestellungen.
In Unternehmen:
- Speicherung von Mitarbeiterdaten (z. B. für Gehaltsabrechnungen oder Arbeitszeitnachweise).

Auftragsverarbeitung (Art. 28 DSGVO)

Wenn ein Unternehmen einen Dienstleister beauftragt, Daten in seinem Namen zu verarbeiten (z. B. Cloud-Dienste, Marketingtools), handelt es sich um eine Auftragsverarbeitung. In diesem Fall müssen folgende Anforderungen erfüllt sein:

Vertrag zur Auftragsverarbeitung:
- Ein schriftlicher Vertrag, der die Pflichten und Verantwortlichkeiten des Dienstleisters regelt.
Überwachung der Einhaltung:
- Das beauftragende Unternehmen muss sicherstellen, dass der Dienstleister die DSGVO einhält.
Verantwortung bleibt beim Auftraggeber:
- Das Unternehmen bleibt für die Daten verantwortlich, auch wenn die Verarbeitung ausgelagert wird.

Datenverarbeitung und Datenschutzverletzungen

Bei einer Datenschutzverletzung (z. B. Datenleak) müssen folgende Schritte unternommen werden:

Meldung an die Aufsichtsbehörde:
- Innerhalb von 72 Stunden nach Entdeckung der Verletzung.
Benachrichtigung der betroffenen Personen:
- Falls die Verletzung ein hohes Risiko für die Rechte und Freiheiten der Betroffenen darstellt.
Dokumentation:
- Alle Vorfälle müssen dokumentiert und Maßnahmen zur Verhinderung zukünftiger Verletzungen ergriffen werden.

Fazit

Die Datenverarbeitung ist ein zentraler Bestandteil moderner Geschäftsprozesse, erfordert jedoch die Einhaltung strenger Datenschutzrichtlinien, insbesondere der DSGVO. Unternehmen müssen sicherstellen, dass die Verarbeitung rechtmäßig, transparent und sicher erfolgt. Eine sorgfältige Umsetzung der Datenschutzanforderungen schützt nicht nur die Rechte der betroffenen Personen, sondern auch das Unternehmen vor rechtlichen Konsequenzen.