Die Datenschutz-Grundverordnung gilt seit dem 25. Mai 2018 unmittelbar in allen Mitgliedstaaten. Dieses Kapitel zeigt, wie sie aufgebaut ist, was ein personenbezogenes Datum ist und was eine Verarbeitung.
Warum das wichtig ist
Zwei Begriffe entscheiden darüber, ob die Verordnung überhaupt greift: „personenbezogene Daten" und „Verarbeitung". Beide sind im Gesetz weiter gefasst, als die meisten vermuten — eine Verarbeitung ist schon das Erheben, das Ansehen und das Löschen.
Was das Gesetz sagt
Art. 4 Nr. 1 DSGVO
„alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen"
Art. 4 Nr. 2 DSGVO
„jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang … wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung … das Auslesen, das Abfragen, die Verwendung"
So macht man es richtig
Bei jeder Information prüfen: Lässt sich daraus eine Person erkennen — auch über Umwege?
Nicht fragen „ist das gespeichert", sondern „wird das verarbeitet". Ansehen genügt.
Im Zweifel von Personenbezug ausgehen. Die Ausnahme ist echte Anonymität, und die ist selten.
Was bei Missachtung droht
Die Einordnung selbst ist nicht sanktioniert. Sie entscheidet aber darüber, ob die Pflichten greifen, deren Verletzung nach Art. 83 Abs. 5 DSGVO mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden kann.
