sind somit Daten, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind. Die Begrifflichkeit nach Art. 4 Nr. 1 orientiert sich insoweit ihrerseits am Wortlaut von Art. 2 lit. a DSRL, der aber für sich genommen bereits umstritten war.[4]
2. Verarbeitung
26
Als Verarbeitung wird – in Abweichung zum Wortlaut des § 1 BDSG a.F., wo von „Umgang mit personenbezogenen Daten“ gesprochen wurde – gem. der Begrifflichkeit des Art. 4 Nr. 2 jeder Vorgang, der personenbezogene Daten betrifft, angesehen.[5]
3. Automatisierte Datenverarbeitung
27
Vom Vorliegen einer automatisierten Datenverarbeitung ist immer dann auszugehen, wenn die Verarbeitung in einer Datenverarbeitungsanlage geschieht. Dass hierfür keine Beispiele benannt werden, kann im Zusammenhang mit ErwG 15 gesehen werden, dem zufolge der Schutz natürlicher Personen technologieneutral sein und nicht von den verwendeten Techniken abhängen soll. Folge ist zugleich eine weite Auslegung des Begriffs der automatisierten Datenverarbeitung[6], der dann alle technischen Einrichtungen erfasst, die im Zuge der Benutzung personenbezogene Daten – ggf. auch nur in geringem Umfang und kurzfristig – speichern, verarbeiten oder vermitteln. Dies können somit auch Computer, digitale Kopierer, Videoüberwachungssysteme, jedenfalls bei kontinuierlicher Speicherung von Informationen,[7] oder Smart-Home-Anwendungen sein.
28
Erfasst vom Begriff der automatisierten Datenverarbeitung sind auch teilautomatisierte Vorgänge, etwa bei manueller Eingabe von Daten in ein System, das diese dann automatisiert weiterverarbeitet. Eine teilautomatisierte Datenverarbeitung liegt auch vor, sofern bezüglich einer analogen Datensammlung eine automatisierte Indizierung mit dem Ziel leichterer Auffindbarkeit von Daten erzeugt wird.[8] Auch hier gilt wieder, dass entsprechend des ErwG 15 eine Umgehung der DS-GVO möglichst ausgeschlossen sein soll.
4. Manuelle Datenverarbeitung
29
Gemäß dem Grundsatz der Technologieneutralität nach ErwG 15 wird auch die manuelle Datenvereinbarung erfasst, sofern die manuell erhobenen Daten in einem Dateisystem gespeichert werden oder gespeichert werden sollen. Der Begriff des Dateisystems ist wiederum unter Rückgriff auf Art. 4 zu bestimmen. Hier wird der Begriff unter Nr. 6 beschrieben wird als „strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich ist, unabhängig davon, ob sie zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird“.[9] Die Formulierung stimmt insoweit mit Art. 2 lit. c DSRL überein, der als Ausgangspunkt aber noch den Begriff der Datei zugrunde legte; entsprechend war auch eine Vorfassung im Gesetzgebungsverfahren formuliert. Der Begriff „Dateisystem“ entspricht dem des „filing system“ in der englischen Fassung.
30
Damit fällt eine manuelle Datenerhebung, die nicht im weitesten Sinne darauf ausgerichtet ist, die Daten in ein entsprechendes System zu überführen, trotz ihrer persönlichkeitsrechtsrelevanten Auswirkungen nicht in den Anwendungsbereich der DS-GVO.[10] Eine Weiterverarbeitung von Daten auf dem Papier wäre so jedenfalls nicht erfasst, wenn sie bspw. in einer unsortierten Akte zusammengefasst werden. Sobald aber Daten in einer nach bestimmten Kriterien sortierten – wenn auch analogen – Ablage zusammengefasst werden, etwa in Karteikartensystemen oder in nach festgelegten Gesichtspunkten geführten Personal- oder Krankenakten, liegt eine Speicherung i.S.d. Art. 2 Abs. 1 vor.[11] Die Anforderungen an den Umstand, dass Daten „gespeichert werden sollen“, sind nicht zu hoch anzusetzen. Hierzu ist insbesondere keine zielgerichtete Absicht im Moment der manuellen Datenerhebung vonnöten. Es reicht aus, dass die Möglichkeit in Betracht gezogen wird; ebenso schadet nicht, dass die Entscheidung über die Speicherung erst noch von einer übergeordneten Stelle getroffen werden muss.
III. Ausnahmenkatalog nach Abs. 2
31
Art. 2 Abs. 2 führt vier Fälle der Verarbeitung personenbezogener Daten auf, auf die die DS-GVO keine Anwendung findet.
1. Tätigkeit außerhalb der Anwendbarkeit des Unionsrechts
32
Nach Art. 2 Abs. 2 lit. a findet die Verordnung keine Anwendung auf Tätigkeiten, die nicht in den Anwendungsbereich des Unionsrechts fallen. Unter Zugrundelegen des ErwG 16 sind dies Tätigkeiten etwa im Rahmen der nationalen Sicherheit.
33
Die Vorschrift korrespondiert mit der begrenzten Rechtsetzungsbefugnis der Union, wie sie sich aus Art. 16 Abs. 2 AEUV ergibt. Nach Art. 16 Abs. 2 AEUV erlassen das Parlament und der Rat Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, sofern diese durch die Organe, Einrichtungen und sonstigen Stellen der Union erfolgt, sowie durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen. Im Umkehrschluss ist diejenige Tätigkeit der Nationalstaaten, die nicht von der Rechtsetzungsbefugnis der Union erfasst ist, zugleich von der Geltung des DS-GVO ausgenommen.
34
Unter Zugrundelegung des ErwG 16 können dies Tätigkeiten sein, die mit der Verarbeitung personenbezogener Daten einhergehen, etwa im Rahmen der nationalen Sicherheit. Erfasst von der Geltung der DS-GVO ist dagegen der Bereich der polizeilich-justiziellen Zusammenarbeit nach Art. 81–86 AEUV.
35
Ausgenommen von der Geltung der Verordnung sind über die in ErwG 16 genannten Fragen der nationalen Sicherheit hinaus aber alle Tätigkeiten, die ein Mitgliedstaat in denjenigen Bereichen entfaltet, die nach den üblichen Abgrenzungskriterien, dem Prinzip der begrenzten Einzelermächtigung, der Verhältnismäßigkeit und der Subsidiarität den Nationalstaaten zustehen.[12]
2. Datenverarbeitung seitens der Mitgliedstaaten im Bereich der GASP
36
Ausgenommen ist weiter eine Verarbeitung personenbezogener Daten durch die Mitgliedstaaten im Rahmen des auswärtigen Handelns und der Gemeinsamen Außen- und Sicherheitspolitik (GASP) gem. Titel V Kapitel 2 EUV (Art. 23–46 EUV). Die Ausnahme liegt darin begründet, dass Art. 39 EUV eine eigene Ermächtigungsgrundlage enthält, aufgrund derer der Rat Vorschriften erlassen kann über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Titel V Kapitel 2 fallen.[13] Insoweit ist zweifelhaft, ob der Datenschutz – jedenfalls nach Erlass derartiger Vorschriften – unmittelbar an Art. 7 und 8 GRCh zu messen ist.
3. Persönliche und private Datenverarbeitung
