Verarbeitungsaktivitäten

Verarbeitungsaktivitäten bezeichnet im Datenschutz die Gesamtheit der Handlungen, die an personenbezogenen Daten vorgenommen werden: Erheben, Erfassen, Strukturieren, Speichern, Nutzen, Übermitteln, Abgleichen, Löschen und Sperren. Sie umfassen den gesamten Lebenszyklus von Daten – von der Beschaffung bis zur Löschung – und betreffen automatisierte Prozesse ebenso wie manuelle Tätigkeiten. Organisationen handeln dabei als Verantwortliche oder Auftragsverarbeiter.

Der Begriff deckt alle Bereiche ab, in denen personenbezogene Daten verarbeitet werden, etwa Personalverwaltung, Kundendaten, Marketing oder IT-Dienstleistungen. Verarbeitungsaktivitäten können innerhalb eines Unternehmens erfolgen oder grenzüberschreitend mit Partnern.

Rechtlicher Rahmen: Die Verarbeitung muss auf einer Rechtsgrundlage beruhen (z. B. Einwilligung, Vertrag, gesetzliche Pflicht, berechtigtes Interesse). Nach Art. 30 DSGVO müssen Verantwortliche und Auftragsverarbeiter ein Verzeichnis von Verarbeitungstätigkeiten führen, das Zweck, Datenkategorien, Empfänger, Speicherfristen, Übermittlungen in Drittländer und technische/organisatorische Maßnahmen dokumentiert. In risikoreichen Fällen ist eine Datenschutz-Folgenabschätzung (DSFA) vorzunehmen.

Dokumentation: Das Verzeichnis dient der Rechenschaftspflicht. Es soll aktuell gehalten und der Aufsichtsbehörde auf Anfrage zugänglich sein. Zu den Inhalten gehören Name und Kontaktdaten des Verantwortlichen, Zwecke der Verarbeitung, Kategorien betroffener Personen, Kategorien personenbezogener Daten, Empfänger, Übermittlungen, Löschfristen sowie angewandte TOMs (technische und organisatorische Maßnahmen).

Praxis und Herausforderungen: Unternehmen sollten Datenflüsse kartieren, Verantwortlichkeiten festlegen, regelmäßige Audits durchführen, Minderungsmaßnahmen anwenden und Schulungen anbieten. Ein kontinuierlicher Verbesserungsprozess hilft, Rechtskonformität und Datenschutz zu gewährleisten.