Glossar

Die Verarbeitung persönlicher Daten auf eine Art und Weise, die ohne zusätz­liche Informationen keinerlei Rückschlüsse mehr auf das jeweilige Datensubjekt zulässt; vorausgesetzt, diese zusätzlichen Informationen werden getrennt vorgehalten, und es ist und durch technische und organisatorische Maßnahmen sichergestellt, dass sich die persönlichen Daten keiner bekannten oder identifizierbaren Person zuordnen lassen.

Natürliche oder juristische Person, Behörde, Organisationseinheit oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich nach dessen Vorgaben verarbeitet.

Jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird.

Abschätzung der Folgen für den Schutz personenbezogener Daten, um die Risiken für das Datensubjekt zu minimieren. Sie muss immer durchgeführt werden, wenn die Datenverarbeitung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten für die Betroffenen birgt. (>>)

Ein Sicherheitsproblem, das versehentlich oder gesetzwidrig zur Zerstörung, zum Verlust, zur Änderung oder zur nicht autorisierten Offenlegung von gespeicherten, übermittelten oder anderweitig verarbeiteten persönlichen Daten führt oder den Zugriff auf sie ermöglicht.

Jede Art von Handlung, die an persönlichen Daten (einzeln oder in Gruppen, automatisiert oder manuell) durchgeführt wird. Das bezieht sich auf die Erfassung, Aufzeichnung, Organisation, Strukturierung und Speicherung ebenso wie auf die Anpassung, Änderung, Abrufung, Zurateziehung, Nutzung, Offenlegung durch Übermittlung, Verbreitung oder Bereitstellung, Harmoni­sierung und Integration, Beschränkung, Löschung und Vernichtung.

Natürliche oder juristische Person, Behörde, Organisationseinheit oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger. Die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung.

Verschlüsselung, bei der Nachrichten beim Sender verschlüsselt und erst beim Empfänger wieder entschlüsselt werden, wodurch keine andere Person Zugang zum Nachrichteninhalt hat.

Daten die Informationen über Merkmale anderer Daten enthalten. Hier z.B.: Wer wann bzw. wie häufig und in welchem Umfang mit wem Kontakt hat.

Ein öffentlich zugänglicher Raum ist jeder Bereich, der ohne besondere Voraussetzungen betreten werden kann, beispielsweise Bahnsteige, Ausstellungsräume eines Museums, Verkaufsräume oder Schalterhallen. Hierunter sind auch alle Räume zu fassen, die nach dem Willen des oder der Berechtigten für jedermann zugänglich sind beziehungsweise von jedermann (gegebenenfalls nach dem Kauf einer Eintrittskarte) betreten werden können. Der zu beobachtende Bereich kann innerhalb oder außerhalb von Gebäuden liegen. In diesem Zusammenhang kommt es auch nicht auf die Eigentumsverhältnisse an, es kann sich also um öffentliche oder private Grundstücke handeln.

Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.

Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden.

Datenschutzverantwortliche haben auf Anforderung die Einhaltung aller Datenschutzkriterien nachzuweisen. Um die Einhaltung nachzuweisen, müssen geeignete technische und organisatorische Maßnahmen umgesetzt werden. Best-Practice-Tools wie Datenschutz-Folgenabschätzungen und eingebauter Datenschutz sind nun unter bestimmten Umständen gesetzlich vorgeschrieben.

Der Begriff der regelmäßigen und systematischen Überwachung erstreckt sich auf jede Form der Verfolgung und Profilerstellung im Internet (auch zu Zwecken der verhaltensbasierten Werbung). Gleichwohl beschränkt sich der Begriff der Überwachung nicht auf die Online-Umgebung.

Die WP29 interpretiert den Begriff „regelmäßig“ als mindestens eine der folgenden Eigenschaften:

• fortlaufend oder in bestimmten Abständen während eines bestimmten Zeitraums vorkommend
• immer wieder oder wiederholt zu bestimmten Zeitpunkten auftretend
• ständig oder regelmäßig stattfindend

Die WP29 interpretiert den Begriff „systematisch“ als mindestens eine der folgenden Eigenschaften:

• systematisch vorkommend
• vereinbart, organisiert oder methodisch
• im Rahmen eines allgemeinen Datenerfassungsplans erfolgend
• im Rahmen einer Strategie erfolgend 

Folgende Tätigkeiten können eine regelmäßige und systematische Überwachung von betroffenen Personen darstellen:

Betrieb eines Telekommunikationsnetzes, Anbieten von Telekommunikationsdienstleistungen, verfolgende E-Mail-Werbung, datengesteuerte Marketingtätigkeiten, Typisierung und Scoring zu Zwecken der Risikobewertung (zum Beispiel zu Zwecken der Kreditvergabe, zur Festlegung von Versicherungsprämien, zur Verhinderung von betrügerischen Handlungen oder zur Aufdeckung von Geldwäsche), Standortverfolgung (beispielsweise durch Mobilfunkanwendungen), Treueprogramme, verhaltensbasierte Werbung, Überwachung von Wellness-, Fitness- und gesundheitsbezogenen Daten über in Kleidung integrierte Geräte (Wearables), Überwachungskameras oder vernetzte Geräte (zum Beispiel intelligente Stromzähler, intelligente Autos, Haustechnik usw.)

Zu diesen besonderen Datenkategorien gehören rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Ansichten, Gewerkschaftszugehörigkeit, sexuelle Orientierung sowie Gesundheit, genetische und biometrische Daten, die verarbeitet wurden, um eine Person eindeutig zu identifizieren.

Die Verarbeitung personenbezogener Daten verpflichtet zum Ergreifen von angemessenen Maßnahmen zum Schutz der Daten, im Verhältnis zum Risiko und nach dem Stand der Technik. Diese sind regelmäßig, bei Änderungen von Risiken sogar unverzüglich zu überprüfen und erforderlichenfalls anzupassen. In der Regel handelt es sich um eine Kombination aus organisatorischen Maßnahmen (z. B. Datenschutzschulung von Mitarbeitern, Notfallkonzept) und technischen Maßnahmen (z. B. Einsatz von Firewall und Virenscanner und deren zeitgemäßer Updates). Andere technische und organisatorische Maßnahmen können folgendes einschließen (siehe auch TOMs):

• die Pseudonymisierung und Verschlüsselung personenbezogener Daten;
• die Fähigkeit, die Vertraulichkeit (Zutritts-, Zugangs-, Zugriffskontrolle), Integrität (Eingabe-, Weitergabekontrolle), Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;
• die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
• ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung,

Umfangreiche technische- und organsiatorische Maßnahmen finden sie unter §64 BDSG und in Maßnahmenkatalogen wie denen der folgenden Auflistung:

• ISO/IEC 27001:2013 - Information security management systems - Requirements, Annex A
• ISO/IEC 27002:2013 - Code of practice for information security controls
• BSI IT-Grundschutz - IT-Grundschutz-Kompendium
• Maßnahmenkatalog der CNIL
• ISO/IEC 29151:2017 - Code of practice for personally identifiable information protection

Die folgende Auflistung soll weitere typische Maßnahmen sortiert nach den entsprechenden Gewährleistungszielen vorstellen:

Verfügbarkeit

• Anfertigung von Sicherheitskopien von Daten, Prozesszuständen, Konfigurationen, Datenstrukturen, Transaktionshistorien u.ä. gemäß eines getesteten Konzepts
• Schutz vor äußeren Einflüssen (Schadsoftware, Sabotage, höhere Gewalt)
• Dokumentation der Syntax der Daten
• Redundanz von Hard- und Software sowie Infrastruktur
• Umsetzung von Reparaturstrategien und Ausweichprozessen
• Erstellung eines Notfallkonzepts zur Wiederherstellung einer Verarbeitungstätigkeit
• Vertretungsregelungen für abwesende Mitarbeitende

Integrität

• Einschränkung von Schreib- und Änderungsrechten
• Einsatz von Prüfsummen, elektronischen Siegeln und Signaturen in Datenverarbeitungsprozessen gemäß eines Kryptokonzepts
• dokumentierte Zuweisung von Berechtigungen und Rollen
• Härten von IT-Systemen, so dass diese keine oder möglichst wenige Nebenfunktionalitäten aufweisen
• Prozesse zur Aufrechterhaltung der Aktualität von Daten
• Prozesse zur Identifizierung und Authentifizierung von Personen und Gerätschaften
• Festlegung des Sollverhaltens von Prozessen und regelmäßiges Durchführen von Tests zur Feststellung und Dokumentation der Funktionalität, von Risiken sowie Sicherheitslücken und Nebenwirkungen von Prozessen
• Schutz vor äußeren Einflüssen (Spionage, Hacking)

Vertraulichkeit

• Festlegung eines Berechtigungs- und Rollenkonzeptes nach dem Erforderlichkeitsprinzip auf der Basis eines Identitätsmanagements durch die verantwortliche Stelle
• Implementierung eines sicheren Authentifizierungsverfahrens
• Eingrenzung der zulässigen Personalkräfte auf solche, die nachprüfbar zuständig (örtlich, fachlich), fachlich befähigt, zuverlässig (ggf. sicherheitsüberprüft) und formal zugelassen sind sowie keine Interessenskonflikte bei der Ausübung aufweisen
• Festlegung und Kontrolle der Nutzung zugelassener Ressourcen insbesondere Kommunikationskanäle
• spezifizierte, für die Verarbeitungstätigkeit ausgestattete Umgebungen (Gebäude, Räume)
• Festlegung und Kontrolle organisatorischer Abläufe, interner Regelungen und vertraglicher Verpflichtungen (Verpflichtung auf Datengeheimnis, Verschwiegenheitsvereinbarungen usw.)
• Verschlüsselung von gespeicherten oder transferierten Daten sowie Prozesse zur Verwaltung und zum Schutz der kryptografischen Informationen (Kryptokonzept)

Nichtverkettung

• Einschränkung von Verarbeitungs-, Nutzungs- und Übermittlungsrechten
• programmtechnische Unterlassung bzw. Schließung von Schnittstellen bei Verarbeitungsverfahren und Komponenten
• regelnde Maßgaben zum Verbot von Backdoors sowie qualitätssichernde Revisionen zur Compliance bei der Softwareentwicklung
• Trennung nach Organisations-/Abteilungsgrenzen
• Trennung mittels Rollenkonzepten mit abgestuften Zugriffsrechten auf der Basis eines Identitätsmanagements durch die verantwortliche Stelle und eines sicheren Authentifizierungsverfahrens
• Zulassung von nutzerkontrolliertem Identitätsmanagement durch die verarbeitende Stelle
• Einsatz von zweckspezifischen Pseudonymen, Anonymisierungsdiensten, anonymen Credentials, Verarbeitung pseudonymer bzw. anonymisierter Daten
• geregelte Zweckänderungsverfahren

Transparenz

• Dokumentation der Bestandteile von Verarbeitungstätigkeiten insbesondere der Geschäftsprozesse, Datenbestände, Datenflüsse und Netzpläne, dafür genutzte IT-Systeme, Betriebsabläufe, Beschreibungen von Verarbeitungstätigkeiten, Zusammenspiel mit anderen Verarbeitungstätigkeiten
• Dokumentation von Tests, der Freigabe und ggf. der Datenschutz-Folgenabschätzung von neuen oder geänderten Verarbeitungstätigkeiten
• Dokumentation der Verträge mit den internen Mitarbeitenden, Verträge mit externen Dienstleistern und Dritten, von denen Daten erhoben bzw. an die Daten übermittelt werden, Geschäftsverteilungspläne, Zuständigkeitsregelungen
• Protokollierung von Zugriffen und Änderungen, Versionierung
• Nachverfolgbarkeit der Aktivitäten der verantwortlichen Stelle zur Gewährung der Betroffenenrechte
• Berücksichtigung der Auskunftsrechte von Betroffenen im Protokollierungs- und Auswertungskonzept

Intervenierbarkeit

• Schaffung notwendiger Datenfelder z.B. für Sperrkennzeichen, Benachrichtigungen, Einwilligungen, Widersprüche, Gegendarstellungen
• dokumentierte Bearbeitung von Störungen, Problembearbeitungen und Änderungen an Verarbeitungstätigkeiten sowie an den technischen und organisatorischen Maßnahmen
• Deaktivierungsmöglichkeit einzelner Funktionalitäten ohne Mitleidenschaft für das Gesamtsystem
• operative Möglichkeit zur Zusammenstellung, konsistenten Berichtigung, Sperrung und Löschung aller zu einer Person gespeicherten Daten
• Bereitstellen von Optionen für Betroffene, um Programme datenschutzgerecht einstellen zu können

Datenminimierung

• Reduzierung von erfassten Attributen der betroffenen Personen
• Reduzierung der Verarbeitungsoptionen in Verarbeitungsprozessschritten
• Reduzierung von Möglichkeiten der Kenntnisnahme vorhandener Daten
• Festlegung von Voreinstellungen für betroffene Personen, die die Verarbeitung ihrer Daten auf das für den Verarbeitungszweck erforderliche Maß beschränken
• Bevorzugung von automatisierten Verarbeitungsprozessen (nicht Entscheidungsprozessen), die eine Kenntnisnahme verarbeiteter Daten entbehrlich machen und die Einflussnahme begrenzen, gegenüber im Dialog gesteuerten Prozessen
• Implementierung von Datenmasken, die Datenfelder unterdrücken, sowie automatischer Sperr- und Löschroutinen, Pseudonymisierungs- und Anonymisierungsverfahren
• Festlegung und Umsetzung eines Löschkonzepts
• Regelungen zur Kontrolle von Prozessen zur Änderung von Verarbeitungstätigkeiten

Eine genaue, auf jeden Einzelfall anwendbare Zahlenangabe bezüglich der Menge an verarbeiteten Daten, oder der Zahl an betroffenen natürlichen Personen zu machen, ist nicht möglich. Dies schließt indes nicht aus, dass sich im Laufe der Zeit eine Standard-Praxis dafür entwickeln wird, wie sich der Begriff „umfangreiche Verarbeitung“ in Bezug auf bestimmte Formen gängiger Datenverarbeitungsvorgänge spezifischer und quantitativer definieren lässt.

Bei der Beurteilung ob ein großer Umfang erreicht wird, sollten folgende Faktoren berücksichtigt werden:

• die Zahl der betroffenen Personen (entweder als bestimmte Zahl oder als Anteil an der maßgeblichen Bevölkerung)
• das Datenvolumen und/oder das Spektrum an in Bearbeitung befindlichen Daten
• die Dauer oder Permanenz der Datenverarbeitungstätigkeit
• die geografische Ausdehnung der Verarbeitungstätigkeit 

Beispiele für eine umfangreiche Verarbeitung stellen dar:

• die Verarbeitung von Patientendaten im gewöhnlichen Geschäftsbetrieb eines Krankenhauses („Die Verarbeitung personenbezogener Daten sollte nicht als umfangreich gelten, wenn die Verarbeitung personenbezogene Daten von Patienten oder von Mandanten betrifft und durch einen einzelnen Arzt, sonstigen Angehörigen eines Gesundheitsberufes oder Rechtsanwalt erfolgt.“)
• die Verarbeitung von Reisedaten natürlicher Personen, die ein Verkehrsmittel des kommunalen ÖPNV nutzen (z. B. Nachverfolgung über Netzkarten)
• die Verarbeitung von Geolokalisierungsdaten von Kunden einer internationalen Fast-food Kette in Echtzeit zu statistischen Zwecken durch einen auf Dienstleistungen dieser Art spezialisierten Auftragsverarbeiter
• die Verarbeitung von Kundendaten im gewöhnlichen Geschäftsbetrieb eines Versicherungsunternehmens oder einer Bank
• die Verarbeitung personenbezogener Daten durch eine Suchmaschine zu Zwecken der verhaltensbasierten Werbung
• die Verarbeitung von Daten (Inhalte, Datenverkehrsaufkommen, Standort) durch Telefon- oder Internetdienstleister

Keine umfangreiche Verarbeitung stellen die folgenden Beispiele dar:

• die Verarbeitung von Patientendaten durch einen einzelnen Arzt
• die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten durch einen einzelnen Rechtsanwalt

Die natürliche oder juristische Person, Behörde, Organisationseinheit oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführter Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.