Data Processing
Definition: Data Processing bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang im Umgang mit personenbezogenen Daten, etwa das Erheben, Speichern, Verändern oder Löschen. Die Legaldefinition findet sich in Art. 4 Nr. 2 DSGVO und bildet das zentrale Anwendungsfeld für Compliance-Pflichten, Auftragsverarbeitungsverträge und das Verarbeitungsverzeichnis.
Data Processing: Rechtliche Definition und Reichweite
Der Begriff Data Processing ist im Datenschutzrecht präzise normiert. Die DSGVO definiert ihn als jeden Vorgang im Zusammenhang mit personenbezogenen Daten. Das umfasst eine erstaunliche Bandbreite: vom simplen Erheben über das Ordnen, Auslesen, Abgleichen, Übermitteln bis hin zum endgültigen Löschen. Entscheidend ist die Weite dieser Definition. Bereits das bloße Anzeigen einer Kundendatei auf einem Monitor ist technisch gesehen ein Verarbeitungsvorgang. Diese bewusst breite Auslegung stellt sicher, dass kein wie auch immer gearteter Umgang mit personenbezogenen Daten der rechtlichen Kontrolle entgeht.
Die Legaldefinition ist abschließend und technologieneutral formuliert. Ob ein Konzern eine Cloud-basierte KI-Plattform betreibt oder ein Einzelhändler eine Papierkartei führt – die rechtlichen Anforderungen an die Rechtmäßigkeit der Verarbeitung bleiben strukturell identisch.
Die sechs Rechtmäßigkeitsgrundlagen als Fundament
Jede Verarbeitung personenbezogener Daten benötigt eine tragfähige Rechtsgrundlage. Die DSGVO kennt hierfür sechs distinkte Säulen. Die Einwilligung der betroffenen Person stellt die bekannteste dar, ist in der B2B-Praxis jedoch oft nachrangig. Weitaus relevanter sind die Vertragserfüllung und das berechtigte Interesse des Verantwortlichen. Letzteres erfordert stets eine dokumentierte Abwägung mit den Grundrechten der Betroffenen. Hinzu kommen rechtliche Verpflichtungen, lebenswichtige Interessen sowie öffentliche Aufgaben. Die Wahl der richtigen Grundlage ist kein Selbstzweck, sondern determiniert nachgelagerte Pflichten wie Informationspflichten und Widerspruchsrechte.
| Rechtsgrundlage | Typisches B2B-Szenario | Dokumentationspflicht |
|---|---|---|
| Einwilligung | Marketing-Newsletter an Bestandskontakte | Nachweisbarer Opt-in, Protokollierung |
| Vertragserfüllung | CRM-Pflege zur Auftragsabwicklung | Vertragsunterlagen, Auftragsbestätigung |
| Berechtigtes Interesse | Betrugsprävention im Zahlungsverkehr | Interessenabwägung in Textform |
| Rechtliche Verpflichtung | Steuerliche Aufbewahrung von Rechnungen | Referenz auf konkrete Norm |
Auftragsverarbeitung und die Verantwortungskette
Kaum ein Unternehmen verarbeitet Daten ausschließlich mit eigenen Ressourcen. Cloud-Dienste, Zahlungsdienstleister oder Marketing-Agenturen agieren als Auftragsverarbeiter. Diese Konstellation erzeugt eine spezifische Compliance-Dynamik. Der Verantwortliche bleibt gegenüber der betroffenen Person vollumfänglich haftbar, auch wenn ein externer Dienstleister einen Fehler begeht. Ein wirksamer Auftragsverarbeitungsvertrag (AVV) ist daher keine bloße Formalie, sondern das zentrale Steuerungsinstrument. Er muss Weisungsgebundenheit, technisch-organisatorische Maßnahmen und die Löschpflichten nach Vertragsende regeln. Die Praxis zeigt: Unzureichende AVVs sind einer der häufigsten Beanstandungspunkte in Betriebsprüfungen.
Abgrenzung: Data Processing im Sales- und Tech-Kontext
Der Begriff Data Processing ist nicht auf die juristische Domäne beschränkt. Im Vertriebskontext bezeichnet er die systematische Anreicherung und Qualifizierung von Lead-Daten, etwa durch Scoring-Modelle oder Anreicherungsdienste. Hier steht die operative Wertschöpfung im Vordergrund. In der Software-Architektur wiederum meint Data Processing die Transformation von Rohdaten in nutzbare Informationen, häufig als ETL-Pipeline (Extract, Transform, Load) realisiert. Diese technische Bedeutung fokussiert auf Latenzzeiten, Durchsatz und Datenqualität. Die Schnittmenge zur Legal-Perspektive entsteht dort, wo diese technischen Prozesse personenbezogene Daten berühren. Ein Sales-Scoring, das auf DSGVO-widrig erhobenen Daten basiert, ist rechtlich unverwertbar – unabhängig von seiner algorithmischen Eleganz.
Praktische Compliance-Pflichten im operativen Betrieb
Die abstrakte Definition entfaltet erst im operativen Betrieb ihre konkrete Wirkung. Drei Pflichten dominieren die tägliche Arbeit. Erstens: Das Verarbeitungsverzeichnis nach Art. 30 DSGVO muss sämtliche Verarbeitungstätigkeiten lückenlos abbilden. Zweitens: Technisch-organisatorische Maßnahmen müssen dem Stand der Technik entsprechen, was Verschlüsselung, Zugriffskontrollen und Pseudonymisierung umfasst. Drittens: Betroffenenanfragen auf Auskunft oder Löschung müssen innerhalb eines Monats beantwortet werden. Diese Pflichten sind keine statischen Anforderungen, sondern verlangen eine kontinuierliche Überprüfung und Anpassung an neue Verarbeitungsszenarien. Ein agiles Compliance-Management, das Data Processing als Prozess und nicht als einmaliges Projekt begreift, ist der entscheidende Wettbewerbsfaktor im regulierten B2B-Umfeld.
« Back to Glossary Index