Source: https://externer-datenschutzbeauftragter-bdsg.de/nachricht-anzeigen/automatisierte-verarbeitung-was-ist-das-eigentlich.html
Timestamp: 2020-02-25 23:44:45+00:00

Document:
"Automatisierte Verarbeitung" - Was ist das eigentlich? - RA Thomas Engelhardt
"Automatisierte Verarbeitung" - Was ist das eigentlich?
16.07.2018 06:58 von Thomas Engelhardt
Pflicht zur Benennung eines DSB oder nicht?
Im Rahmen meiner Vorträge zur Datenschutzgrundverordnung (DS-GVO) - insbesondere vor Vereinsvertretern - bleiben wir immer bei einer Frage besonders lange hängen: Ist der Verein verpflichtet einen Datenschutzbeauftragten zu benennen oder nicht? Aus diesem Grund möchte ich mich mit der Frage einmal genauer befassen, wobei dies selbstverständlich im Einzelfall immer einer konkreten Überprüfung bedarf.
Welche Vereine benötigen nach der DS-GVO einen Datenschutzbeauftragten (DSB)?
Vorliegend geht es nur um das Erfordernis der Bestellung eines Datenschutzbeauftragten für nicht-öffentliche Stellen, also Unternehmen, Vereine, etc.
a) Regelung nach dem alten BDSG
Im "alten" Bundesdatenschutzgesetz in fand sich in § 4f Abs.1 folgende Regelung hierzu:
Man konnte also davon ausgehen, dass ab der zehnten Person, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt ist ein Datenschutzbeuftragter zu bestellen ist bzw. ab der zwanzigsten Person, die in der Regel mit einer anderen Weise mit der Verarbeitung oder Nutzung beschäftigt ist.
b) Regelung in der Datenschutzgrundverordnung
In der DSGVO ist der maßgebliche Artikel insoweit Artikel 37. Dort heißt es in Absatz 1:
Verantwortliche und der Auftragsverarbeiter benennen auf jeden Fall einen Datenschutzbeauftragten, wenn
Absatz 4 erweitert dies wie folgt:
Hier ist also die Möglichkeit für die Mitgliedsstaaten normiert eine gesonderte Regelung vorzunehmen, welche allerdings nicht im Widerspruch zur DSGVO stehen darf. Von dieser so genannten Öffnungsklausel hat die Bundesrepublik Deutschland Gebrauch gemacht.
c) Bundesdatenschutzgesetz neu
Im neuen Bundesdatenschutzgesetz findet sich in § 38 die konkretisierende Regelung zur DSGVO zu Datenschutzbeauftragten nicht-öffentlicher Stellen. Dort heißt es:
(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutz-beauftragte oder einen Datenschutzbeauftragten zu benennen.
(2) § 6 Absatz 4, Absatz 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.
Man sieht, dass auch zukünftig die Benennungspflicht ab einer Beschäftigung von ständig mindestens zehn Personen mit der automatisierten Verarbeitung besteht. Allerdings besteht nach § 38 Abs.1 S. 2 eine weitergehende Benennungspflicht.
d) Wichtig: Art 37 Abs. 7 DSGVO
Neu und sehr wichtig ist, dass nach Art. 37 Abs. 7 der DSGVO der Verantwortliche oder der Auftragsverarbeiter die Kontaktdaten des Datenschutzbeauftragten zu veröffentlichen hat und diese Daten der Aufsichtsbehörde mitzuteilen hat.
Was ist aber nun eine automatisierte Verarbeitung?
Der Begriff "automatisierte Verarbeitung" ist in der DS-GVO und auch im neuen BDSG nicht definiert. Im "alten" BDSG fand sich eine Definition in § 3 Abs. 2 Satz 1. Demnach ist automatisierte Verarbeitung die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unter Einsatz von Datenverarbeitungsanlagen. Eine nicht automatisierte Datei ist jede nicht automatisierte Sammlung personenbezogener Daten, die gleichartig aufgebaut ist und nach bestimmten Merkmalen zugänglich ist und ausgewertet werden kann.
Diese Definition wurde weit ausgelegt und unter einer Datenverarbeitungsanlage nicht nur ein einzelner PC, sondern auch ganze Bürokommunikations- und Netzwerksysteme unabhängig von ihrer Größe und Speicherkapazität verstanden. Weiter sollten auch Videoüberwachungssysteme und PDAs und selbst der althergebrachte Fotokopierer als Datenverarbeitungsanlage i.S.d. § 3 Abs. 2 Satz 1 BDSG anzusehen sein, solange nur eine – wie auch immer geartete – technische Auswertungsmöglichkeit bestand.
Und was heißt "ständig" und "in der Regel"?
"In der Regel" bedeutet, dass es sich um eine Dauerbeschäftigung handelt. Unter dem alten BDSG verstand man hier, dass eine entsprechende Anzahl von Dienstposten ausgewiesen ist, wobei diese nicht auf unbegrenzte Dauer bestehen bleiben müssen, aber für einen längeren Zeitraum. Man ging hier von einem Zeitraum von wohl mindestens einem Jahr aus. Außergewöhnliche Arbeitsanhäufungen oder zeitweiser Arbeitsrückgang blieben außer Betracht.
"Ständig" beschäftigt ist eine Person, wenn sie für diese Aufgabe, die nicht Hauptaufgabe zu sein braucht, auf unbestimmte, zumindest aber längere Zeit vorgesehen ist und sie entsprechend wahrnimmt. Das ist auch gegeben, wenn die Aufgabe selbst nur gelegentlich (z.B. einmal im Monat) anfällt, aber stets wahrzunehmen ist.
Gilt das so auch im neuen BDSG?
Eine schwierige Frage. Nachdem der maßgebliche Wortlaut von "altem" und "neuem" BDSG nahezu identisch ist, sollte man eigentlich davon ausgehen, aber aktuell (Stand 16. Juli 2018) befindet sich beispielsweise auf der Homepage des Bayerisches Landesamts für Datenschutzaufsicht folgende Antwort aufi die Frage "Muss mein Verein einen Datenschutzbeauftragten benennen?":
Nicht zwangsläufig: Nur dann, wenn im Verein mindestens zehn Personen ständig, d. h. die überwiegende Zeit, die sie für den Verein aufbringen, mit der Verarbeitung von personenbezogenen Daten zu tun haben. Häufige gelegentliche Anlässe lösen noch keine Benennungspflicht aus. Im Verein können daher ohne Weiteres auch mehr als 10 Personen regelmäßig Zugriff auf die Datenbestände der Vereinsmitglieder nehmen (beispielsweise zur Organisation von wöchentlichen Proben, Trainingseinheiten, Spielen oder Veranstaltungen), ohne dass deshalb ein Datenschutzbeauftragter bestellt werden müsste, da hier zwar eine wiederkehrende und häufige, aber keine ständige Datenverarbeitung vorliegt.
Quelle: https://www.lda.bayern.de/de/faq.html
Nach meiner Meinung wäre hier - ausgehend von der Defintition zum "alten" BDSG - sehr wohl eine ständige Verarbeitung gegeben.

References: § 4
 § 38
 § 6
 § 6
 § 38
 Art. 37
 § 3
 § 3