Datenspeicherung und Datenverarbeitung

Die Datenschutz-Grundverordnung definiert die Verarbeitung in Artikel 4 als jeden Vorgang im Zusammenhang mit personenbezogenen Daten (die Begrifflichkeit erstreckt sich jedoch auf jede Art von Daten, die DSGVO regelt nur speziell den Umgang mit personenbezogenen), mit oder ohne Hilfe automatisierter Verfahren. Aufgezählt sind danach das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, der Abgleich, die Einschränkung, das Löschen und die Vernichtung. Die Aufzählung ist ausdrücklich nicht abschließend. Sie beginnt nicht zufällig mit dem Erheben: Der erste Vorgang, der unter den Begriff fällt, ist die Entgegennahme der Daten selbst.

In die Irre führt dabei der Alltagsbegriff. Wer im Betrieb sagt, man verarbeite diese Daten nicht, meint fast immer, man wertet sie nicht aus, man baut nichts daraus, man macht nichts damit. Rechtlich ist aber schon das Ansehen eine Verarbeitung, ebenso das Weiterleiten, selbst das Löschen. Der letzte Punkt überrascht gerne, ergibt aber Sinn, sobald man den Begriff so versteht, wie er ist: eine Klammer um alles, was mit den Daten geschieht, von dem Moment an, in dem sie in den Verantwortungsbereich von "jemandem" geraten.

Praktisch kehrt das die Prüfrichtung um. Die Frage lautet also, wessen Daten hier in wessen Hände gelangen, auf welchem Weg, und auf welcher Grundlage.

Personenbezogen ist dabei mehr, als die meisten annehmen: Es genügt, dass sich eine Person mit vertretbarem Aufwand bestimmen lässt. Ein Aufnahmebogen ohne Namen, aber mit Geburtsdatum und Diagnose gehört dazu, ebenfalls ein Lieferschein mit Anschrift und Ansprechpartner.

Ein Beispiel aus einem tatsächlichen Gespräch: Ein Übersetzungswerkzeug auf dem Smartphone erfasst Text über die Kamera und zeigt ihn unmittelbar übersetzt an. Es speichert ja nichts, ist die Aussage. Trotzdem ist das aufgenommene Bild, unter Umständen ein Aufnahmebogen mit Patientendaten oder ein Lieferschein mit Kundennamen, dafür an den Dienst des Anbieters übertragen, dort gelesen, ausgewertet und beantwortet worden.

Der ganze Vorgang ist vorbei, bevor ihn jemand als Datenverarbeitung wahrgenommen hat, und darin liegt die eigentliche Schwierigkeit. Sichtbar ist nur das Ergebnis auf dem Bildschirm; der Weg dorthin ist es nicht. Vom Papier unterscheidet sich das an genau einem Punkt: Ein Formular, das auf dem Schreibtisch liegt, kann man noch schreddern. Eine abgeschickte Eingabe nicht. Es gibt keinen Zustand dazwischen, in dem man es sich noch einmal überlegen kann.

Dass die Lücke zwischen Werbeaussage und technischem Vorgang keine Erfindung des KI-Zeitalters ist, zeigt ein älterer Fall. Die DE-Mail startete 2011 mit dem Versprechen einer Ende-zu-Ende-Verschlüsselung und zugleich mit einem serverseitigen Virenscanner. Beides zusammen kann nicht funktionieren: Damit gescannt werden konnte, wurden die Nachrichten auf den Servern des Anbieters entschlüsselt. Dass das nur kurz geschah, ändert nichts daran, dass sie dort im Klartext vorlagen (Auch wenn dieses technische Problem schnell juristisch "gelöst" wurde: Eine kurze Entschlüsselung und Speicherung breche die Verschlüsselung nicht, sagen die Anwälte).

Dass eine Verarbeitung nicht auffällt, heißt nicht, dass sie nicht stattgefunden hat. Es heißt nur, dass niemand sie geprüft hat.

Gegenüber klassischer Software verschieben sich bei KI-Diensten vier Details. Neu ist an ihnen wenig; sie fallen nur deshalb stärker ins Gewicht, weil diese Werkzeuge von einzelnen Personen und ohne Beschaffungsvorgang in den Arbeitsalltag kommen.

Der Weg von der Begriffsklärung in die Praxis ist kurz, und er führt über drei Festlegungen, die selbst getroffen werden.

Wo daraus eine echte Rechtsfrage wird, bspw. ob eine bestimmte Verarbeitung zulässig ist, ist das eine juristische Entscheidung und keine technische. Diese Seite hilft, sie präzise zu stellen; beantworten muss sie jemand, der dazu befugt ist.