von der betroffenen Person oder von einem Dritten i.S.d. Art. 4 Nr. 10 DSGVO.159
71
Unerheblich ist dabei, ob die Daten dem Verantwortlichen zuvor bereits bekannt waren bzw. ob er schon zuvor über diese Daten verfügte oder nicht.160 Es spielt ebenfalls keine Rolle, ob der Verantwortliche die Daten zur Kenntnis nimmt/genommen hat oder nicht. Es reicht aus, dass der Verantwortliche über die Daten verfügt und die Möglichkeit hat, diese zur Kenntnis zu nehmen.161
72
Erforderlich ist hingegen ein aktives Tun des Verantwortlichen, also ein vom Willen des Verantwortlichen getragener Vorgang, die Daten zu erhalten. Dies ergibt sich aus der Bedeutung des Wortes „beschaffen“.162 Werden die Daten dem Verantwortlichen „aufgezwängt“ oder ihm ohne seinen Willen zugesendet, liegt kein Erheben i.S.d. Art. 4 Nr. 2 DSGVO vor.163 Sofern z.B. auf einer Webseite nur Kontaktdaten, wie die E-Mail-Adresse, angegeben werden und eine Person daraufhin ohne Aufforderung personenbezogene Daten an den Betreiber dieser Webseite sendet, liegt kein Erheben i.S.d. Art. 4 Nr. 2 DSGVO vor.164 Allerdings muss der Verantwortliche die ihm ohne seinen Willen zugesendeten Daten dann auch löschen. Verarbeitet der Verantwortliche diese Daten hingegen weiter, kann dies als Erheben gewertet werden.165
b) Das Erfassen personenbezogener Daten (2. Alt.)
73
Ein Erfassen personenbezogener Daten liegt vor, wenn diese auf einem Datenträger fixiert, z.B. aufgeschrieben, aufgenommen oder auf andere Weise verkörpert werden.166 Das Erfassen unterscheidet sich damit von der Speicherung insoweit, als dass sich der Begriff „Erfassen“ auf den Vorgang der Fixierung bezieht, wohingegen sich die Speicherung auf die ggf. anschließende Aufbewahrung bezieht (siehe unten Rn. 76).167
c) Die Organisation personenbezogener Daten (3. Alt.)
74
Die Organisation von Daten beschreibt die Strukturierung von gespeicherten Daten.168 Hierbei ist es unerheblich, auf welche Art und Weise die Organisation erfolgt. In der Regel erfolgt diese – ebenso wie das Ordnen personenbezogener Daten, mit dem sich die Organisation von Daten überschneidet – zu dem Zweck, Daten schneller aufzufinden.169 Zudem ist die Organisation der Daten (eine) Voraussetzung dafür, dass aus unstrukturierten Daten ein Dateisystem i.S.d. Art. 4 Nr. 6 DSGVO wird (siehe hierzu unten Rn. 157ff.).170 Erfolgt die Verarbeitung nichtautomatisiert, ist dies nach Art. 2 Abs. 1 DSGVO Voraussetzung dafür, dass die DSGVO sachlich anwendbar ist.
d) Das Ordnen personenbezogener Daten (4. Alt.)
75
Das Ordnen von personenbezogenen Daten erfordert, dass diese nach bestimmten Gesichtspunkten, Überlegungen, Vorstellungen oder Ähnlichem, wie z.B. der Chronologie oder dem Alphabet, systematisiert werden.171 Mithin erfordert das Ordnen von Daten eine feinere Strukturierung als der Oberbegriff des Organisierens, wovon das Ordnen ein Unterfall ist.172
e) Die Speicherung personenbezogener Daten (5. Alt.)
76
Die Speicherung umfasst die Aufbewahrung personenbezogener Daten in verkörperter Form auf einem Datenträger (wie z.B. einer Festplatte, einem Server, USB-Stick etc.) mit dem Ziel, die Daten zu einem späteren Zeitpunkt weiterverarbeiten zu können.173 Unerheblich ist dabei, ob sich der Datenträger im Eigentum, Besitz oder unter der Verfügungsgewalt des Verantwortlichen befindet. Entscheidend ist, dass er auf die gespeicherten Daten zugreifen kann, sodass auch auf Cloud-Servern verkörperte Daten „gespeichert“ sind.174 Ein Gebäudeeigentümer, der Akten bloß in seinem Gebäude lagert, ohne sie zuvor dort selbst eingelagert zu haben, und der mit ihnen nicht anderweitig „umgeht“, sie also z.B. auch nicht sichtet, umlagert oder sortiert, speichert nach Auffassung des OVG Hamburg keine personenbezogenen Daten.175
f) Die Anpassung personenbezogener Daten (6. Alt.)
77
Die Anpassung personenbezogener Daten ist ein Unterfall der Veränderung (siehe unten Rn. 78) und bezeichnet die Umgestaltung des Inhalts der in einem personenbezogenen Datum enthaltenen Information in einer Art und Weise, dass er im Hinblick auf ein anderes personenbezogenes Datum hin adaptiert wird, z.B. im Hinblick auf den neuen Familienstand der betroffenen Person oder eine neue Bankverbindung.176 Gegebenenfalls kann die Adaptierung auch im Hinblick auf einen anderen Verarbeitungszweck oder einen anderen Verarbeitungsvorgang hin erfolgen.177
g) Die Veränderung personenbezogener Daten (7. Alt.)
78
Die Veränderung bezieht sich auf den Inhalt der in einem personenbezogenen Datum enthaltenen Information. Eine Veränderung i.S.d. Art. 4 Nr. 2 DSGVO liegt vor, wenn dieser Informationsinhalt umgestaltet wird.178 Der Informationsgehalt muss sich also ändern. Eine reine Reduktion des Informationsgehalts stellt grundsätzlich keine Veränderung i.S.d. Art. 4 Nr. 2 DSGVO dar, weil sich hierdurch i.d.R. der Informationsgehalt des personenbezogenen Datums nicht ändert.179 Aus diesem Grunde stellen die Löschung und die Anonymisierung i.d.R. keine Veränderung dar.180 Beim Hinzuspeichern von Daten kommt es darauf an, ob die bereits vorhandenen Daten durch die hinzugespeicherten Daten einen anderen Inhalt bekommen.181
h) Das Auslesen personenbezogener Daten (8. Alt.)
79
Das Auslesen umfasst die Wiederherstellung gespeicherter personenbezogener Daten zu Zwecken der weiteren Verarbeitung oder um diese zur Kenntnis zu nehmen.182
i) Das Abfragen personenbezogener Daten (9. Alt.)
80
Das Abfragen von personenbezogenen Daten bedeutet, einen Datenträger gezielt anhand bestimmter Kriterien, wie z.B. bestimmten (Such-)Begriffen, zu durchsuchen.183 Hierbei ist es unerheblich, ob der durchsuchte Datenträger unter der Verfügungsgewalt des Verantwortlichen steht oder ob es sich hierbei um eine externe Datenbank handelt.184 Für eine solche Einschränkung findet sich weder im Wortlaut noch in der Systematik der Vorschrift bzw. der DSGVO ein Hinweis.
j) Die Verwendung personenbezogener Daten (10. Alt.)
81
Die Verwendung personenbezogener Daten erfasst jeden Umgang mit personenbezogenen Daten – mit Ausnahme der Erhebung –185 und stellt somit einen Auffangtatbestand für Verarbeitungsformen dar, die nicht ausdrücklich in Art. 4 Nr. 2 DSGVO genannt werden.186 Wenn man insoweit nicht von einem redaktionellen Fehler ausgeht, verdeutlicht sich der Auffangcharakter dieses Begriffs insbesondere auch in ErwG 50 zur Zweckänderung, in dem der Begriff als Sammelbegriff für (sämtliche) Verarbeitungsformen verwendet wird.187
82
In Abhängigkeit vom jeweiligen Zusammenhang kann auch die Anonymisierung als Verwendung zu qualifizieren sein,188 vorausgesetzt, dass dabei mit personenbezogenen Daten umgegangen wird.
k) Die Offenlegung personenbezogener Daten (11. Alt.)
83
Die Offenlegung bezeichnet ganz grundlegend den Vorgang, anderen personenbezogene Daten zugänglich zu machen, sodass diese die