„Wir entscheiden alles selbst und nutzen keine künstliche Intelligenz“ beantwortet noch nicht, ob ein Unternehmen personenbezogene Daten automatisiert verarbeitet. Schon eine elektronisch gespeicherte Kontaktliste kann unter den sachlichen Anwendungsbereich der DSGVO fallen. Die Schwelle ist deutlich niedriger als bei einer ausschließlich automatisierten Entscheidung über einen Kredit oder eine Bewerbung.
Für die Praxis sind drei Fragen getrennt zu beantworten: Werden personenbezogene Daten verarbeitet? Erfolgt dies ganz oder teilweise automatisiert oder in einem erfassten manuellen Dateisystem? Welche besonderen Anforderungen ergeben sich anschließend aus dem konkreten Zweck und Ablauf? Diese Reihenfolge verhindert, dass ein kleiner Betrieb seine normalen Verwaltungsdaten aus der Bestandsaufnahme ausschließt oder umgekehrt jede Tabellenkalkulation als verbotene Entscheidungsautomatisierung behandelt.
Artikel 2 betrifft die Verarbeitung, Artikel 22 die Entscheidung
Artikel 2 Absatz 1 DSGVO erfasst die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten. Daneben erfasst er die nicht automatisierte Verarbeitung personenbezogener Daten, die Teil eines Dateisystems sind oder werden sollen. Artikel 4 Nummer 2 nennt zahlreiche Verarbeitungsvorgänge, darunter Erheben, Speichern, Abrufen, Verwenden, Übermitteln und Löschen.
Eine Mitarbeiterin kann eine Tabelle Zeile für Zeile manuell ausfüllen. Trotzdem wird der darin enthaltene Personenbezug anschließend elektronisch gespeichert und verarbeitet. Es braucht dafür weder ein lernendes Modell noch eine automatische Bewertung. Auch ein einfaches E-Mail-System oder eine gewöhnliche Kundendatenbank nutzt technische Verarbeitungsschritte.
Artikel 22 zu automatisierten Entscheidungen stellt eine andere Frage. Dort geht es um eine Entscheidung, die ausschließlich auf automatisierter Verarbeitung beruht und gegenüber der betroffenen Person rechtliche oder ähnlich erhebliche Wirkung entfaltet. Dass eine Fachkraft eine E-Mail liest und danach selbst entscheidet, nimmt die vorherige elektronische Datenverarbeitung nicht aus Artikel 2 heraus.
Die Begriffe sollten daher in internen Formularen getrennte Felder erhalten. „Automatisierte Verarbeitung vorhanden“ kann bei einem Vorgang zutreffen, während „ausschließlich automatisierte Entscheidung mit erheblicher Wirkung“ verneint wird. Ein einziges Feld „Automatisierung: ja/nein“ verleitet zu einer falschen Schlussfolgerung über den gesamten Prozess.
Einen fiktiven Handwerksbetrieb vollständig erfassen
Ein Reparaturbetrieb nimmt Anfragen telefonisch entgegen, trägt Termine in einen Onlinekalender ein und bewahrt unterschriebene Auftragszettel nach Kundennummer geordnet auf. Die Inhaberin entscheidet selbst, welcher Auftrag angenommen wird. Für die datenschutzrechtliche Bestandsaufnahme werden die einzelnen Vorgänge betrachtet.
| Vorgang | Einordnung der Verarbeitungsweise | Konsequenz für die Bestandsaufnahme |
|---|---|---|
| Onlinekalender mit Kundenname und Anschrift | Elektronische, damit jedenfalls teilweise automatisierte Verarbeitung | In die Terminorganisation aufnehmen |
| E-Mail mit Reparaturbeschreibung und Rückrufnummer | Elektronische Verarbeitung auch ohne Analysefunktion | Postfach, Zugriffe und Fristen berücksichtigen |
| Nach Kundennummer sortierte Papieraufträge | Strukturierte manuelle Sammlung mit gezieltem Zugriff | Dateisystem nach Artikel 4 Nummer 6 prüfen; im Beispiel erfasst |
| Handschriftliche Notiz, die anschließend dem Kundenauftrag zugeordnet werden soll | Für ein Dateisystem bestimmte Information | Nicht erst nach dem tatsächlichen Abheften berücksichtigen |
| Ausschließlich mündliche, nicht aufgezeichnete Wegbeschreibung | Keine automatische Verarbeitung und für sich kein strukturiertes Dateisystem | Konkreten Zusammenhang mit anderen Verarbeitungsschritten und andere Rechtsregeln prüfen |
| Auswertung der durchschnittlichen Reparaturdauer nach Beschäftigten | Automatisierte Verarbeitung; möglicherweise Bewertung persönlicher Aspekte | Profiling und Beschäftigungskontext gesondert prüfen |
Diese Tabelle ist keine Freigabe für die genannten Tätigkeiten. Sie beschreibt zunächst, welche Vorgänge bei der weiteren Prüfung nicht übersehen werden dürfen. Die Rechtsgrundlage für eine Terminverwaltung und die für eine personenbezogene Leistungsauswertung können unterschiedlich zu beurteilen sein, obwohl beide dieselbe Software verwenden.
Papier ist weder automatisch erfasst noch automatisch ausgenommen
Artikel 4 Nummer 6 beschreibt ein Dateisystem als strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind. Die Sammlung kann zentral oder dezentral organisiert sein. Ein alphabetischer Kundenordner oder nach Personalnummern geordnete Akten können deshalb auch ohne Computer unter die DSGVO fallen.
Es kommt nicht darauf an, ob der Betrieb seine Ablage ausdrücklich „Dateisystem“ nennt. Wichtig ist, wie die Informationen tatsächlich auffindbar sind und wofür sie bestimmt sind. Im Beispiel ermöglichen Kundennummer und Auftragsdatum einen gezielten Zugriff auf Papierunterlagen. Ein Ausdruck aus dem Kundenprogramm verliert seinen Personenbezug nicht durch den Wechsel des Mediums.
Ein sektorspezifisches Beispiel ist der Hotelmeldeschein für ausländische Gäste: Auch bei einer geordneten Papierablage sind die Verarbeitung und ihre Schutzmaßnahmen zu erfassen. Welche Gäste und Angaben das Bundesmeldegesetz tatsächlich erfasst, muss dabei gesondert geprüft werden.
Ein unstrukturierter einzelner Zettel muss dagegen im konkreten Zusammenhang geprüft werden. Wird er als Zwischenschritt erhoben, um anschließend in die Kundenakte oder das elektronische System einzugehen, ist die beabsichtigte Aufnahme relevant. Die bloße Behauptung, der Zettel sei noch nicht einsortiert, beantwortet den gesetzlichen Tatbestand nicht.
Eine Prüfung außerhalb des sachlichen Anwendungsbereichs bedeutet außerdem nicht, dass keinerlei Schutzpflichten bestehen. Vertraulichkeit, Arbeitsrecht oder besondere nationale Regeln können weiterhin relevant sein. Der Vermerk sollte deshalb präzise lauten, welcher konkrete Verarbeitungsschritt aus welchem Grund unter Artikel 2 Absatz 1 fällt oder nicht fällt. „Papier ist datenschutzfrei“ wäre keine tragfähige Arbeitsanweisung.
Personenbezug und Ausnahmen vor einer pauschalen Schlussfolgerung prüfen
Nicht jede elektronische Zahl ist ein personenbezogenes Datum. Eine tatsächlich anonyme Gesamtzahl abgeschlossener Aufträge unterscheidet sich von einer Auswertung nach Mitarbeiterkennung. Bei kleinen Gruppen oder zusätzlichen Informationen können auch scheinbar namenlose Angaben zuordenbar bleiben. Der Beitrag zur Pseudonymisierung erklärt, weshalb eine ersetzte Kennung nicht automatisch Anonymität schafft.
Artikel 2 enthält zudem Ausnahmen, etwa für die Verarbeitung durch natürliche Personen im Rahmen ausschließlich persönlicher oder familiärer Tätigkeiten. Eine private Geburtstagsliste hat daher einen anderen Kontext als die Kundenliste eines Einzelunternehmens. Die Rechtsform oder geringe Mitarbeiterzahl macht eine geschäftliche Verarbeitung nicht zu einer Haushaltstätigkeit.
Auch die räumliche Anwendbarkeit nach Artikel 3 ist gesondert zu prüfen. Ein außereuropäischer Anbieter kann nicht allein auf seinen Sitz verweisen, wenn er einschlägige Leistungen an Personen in der Union richtet oder deren Verhalten dort beobachtet. Die mögliche Vertreterpflicht nach Artikel 27 ist eine anschließende Prüfung mit eigenen Voraussetzungen und Ausnahmen. Sie ersetzt die vorangehende Prüfung des Anwendungsbereichs nicht.
Profiling ist ein weiterer, eigenständiger Begriff
Artikel 4 Nummer 4 betrifft die automatisierte Verarbeitung zur Bewertung bestimmter persönlicher Aspekte. Dazu können beispielsweise Arbeitsleistung, wirtschaftliche Lage, Interessen oder Verhalten gehören. Eine bloße alphabetische Sortierung von Kundenkontakten bewertet diese Aspekte nicht schon deshalb, weil sie automatisch erfolgt.
Im Reparaturbetrieb berechnet ein neues Modul dagegen einen Zuverlässigkeitswert pro Beschäftigtem aus Pünktlichkeit, Auftragsdauer und Reklamationen. Hier muss das Team die Bewertungsfunktion ausdrücklich prüfen. Anschließend untersucht es, wie der Wert tatsächlich verwendet wird. Eine interne Darstellung und eine ausschließlich automatisiert ausgelöste erhebliche Konsequenz sind rechtlich nicht dasselbe.
Sind die drei Voraussetzungen des Artikels 22 Absatz 1 erfüllt, gilt ein grundsätzliches Verbot. Es greift nicht erst, wenn die betroffene Person widerspricht. Die drei abschließenden Ausnahmewege sind die erforderliche Vertragsentscheidung, eine gesetzliche Zulassung mit Schutzmaßnahmen und ausdrückliche Einwilligung. Für Vertrags- und Einwilligungsfälle nennt Absatz 3 mindestens menschliches Eingreifen, Darlegung des Standpunkts und Anfechtung; gesetzlich zugelassene Entscheidungen brauchen geeignete Garantien im Gesetz. Bei besonderen Datenkategorien kommen nach Absatz 4 nur Artikel 9 Absatz 2 Buchstabe a oder g mit Schutzmaßnahmen in Betracht.
Damit ist noch nicht jede Personalbewertung zulässig. Die eigenständige Rechtsgrundlage, Transparenz und Erforderlichkeit bleiben zu prüfen. Bei einer systematischen und umfassenden Bewertung mit erheblichen Entscheidungsfolgen kann zudem eine Datenschutz-Folgenabschätzung erforderlich sein. Die bloße Verwendung eines Computers löst eine solche Folgenabschätzung jedoch nicht automatisch aus.
Bei einer externen Bonitätsbewertung ist zusätzlich die tatsächliche Wirkung beim empfangenden Unternehmen zu klären. Der Ablauf zur Prüfung einer SCHUFA-bezogenen Entscheidung trennt dafür die Anfrage an die Auskunftei von der Anfrage an den entscheidenden Vertragspartner.
Für die Datenübertragbarkeit die richtige Schwelle verwenden
Artikel 20 verlangt ebenfalls automatisierte Verarbeitung, daneben aber weitere Voraussetzungen. Insbesondere müssen die einschlägige Einwilligungs- oder Vertragsgrundlage und der Umfang der von der Person bereitgestellten Daten geprüft werden. Ein papiergebundener Vorgang kann unter Artikel 2 als Dateisystem erfasst sein, ohne allein deshalb dem Portabilitätsrecht zu unterliegen.
Im Beispiel verlangt ein Kunde die Übertragung seiner digital erfassten Kontaktdaten und Auftragshistorie. Das Team prüft die einzelnen Daten und ihre Verarbeitungsgrundlagen. Es lehnt die Anfrage nicht mit der Begründung ab, dass ein Mensch die Daten eingegeben habe. Den passenden Bearbeitungsablauf beschreibt die Datenübertragbarkeit nach Artikel 20.
Den Befund als nutzbaren Arbeitsauftrag festhalten
Die Bestandsaufnahme des Betriebs endet mit einem konkreten Eintrag: „Terminorganisation umfasst Telefonannahme, Erfassung im Onlinekalender, Rückfragen per E-Mail und geordnete Papieraufträge. Elektronische und strukturierte manuelle Verarbeitung sind erfasst. Die Auftragsannahme erfolgt durch eine inhaltlich entscheidende Person. Das neu vorgeschlagene Personalbewertungsmodul ist von dieser Freigabe nicht umfasst und wird getrennt geprüft.“
Dieser Eintrag liefert dem Verzeichnis der Verarbeitungstätigkeiten einen verständlichen Umfang. Der Verantwortliche ergänzt Zwecke, Kategorien, Empfänger und Fristen, statt lediglich Programmnamen aufzulisten. Die IT prüft Kalender- und Postfachrechte; die Fachabteilung organisiert die Papierablage und die Information der Kunden. Ausdrucke, Exporte und mobile Zugriffe werden dem tatsächlichen Ablauf zugeordnet.
Bei einer Änderung wird genau der betroffene Befund erneut betrachtet. Führt der Betrieb automatische Annahmeentscheidungen, personenbezogene Ranglisten oder eine neue externe Verarbeitung ein, reicht der alte Hinweis auf die manuelle Auftragsannahme nicht mehr. Die dokumentierte Trennung zwischen Anwendungsbereich, Profiling und Entscheidung sorgt dafür, dass die nächste Prüfung an der richtigen Stelle beginnt.