Dateisystem (Art. 4 Nr. 6 DSGVO)

Art. 4 Nr. 6 DSGVO definiert das Dateisystem als jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich ist, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geführt wird. Der Begriff ist für die Praxis vor allem bei manueller, nicht automatisierter Verarbeitung relevant: Nur wenn die Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen, unterfällt eine solche Verarbeitung überhaupt dem Anwendungsbereich der DSGVO (Art. 2 Abs. 1 DSGVO).

1. Überblick

1.1 Bedeutung des Begriffs

Das Dateisystem ist einer der zentralen Anknüpfungspunkte für den sachlichen Anwendungsbereich der DSGVO. Bei vollautomatisierter Verarbeitung greift die Verordnung stets, ohne dass es auf das Vorliegen eines Dateisystems ankäme. Bei nicht-automatisierter, also manueller Verarbeitung ist das Dateisystem dagegen die maßgebliche Hürde: Fehlt eine strukturierte Sammlung im Sinne des Art. 4 Nr. 6 DSGVO, unterfällt die Verarbeitung dem Datenschutzrecht nicht.

Praktisch bedeutet das: Unstrukturierte handschriftliche Notizen, unsortierte Papierstapel oder nach keinem nachvollziehbaren Kriterium angelegte Ablagesammlungen sind vom Schutzbereich ausgenommen. Sobald jedoch eine systematische Struktur erkennbar ist, die das Auffinden bestimmter Daten erlaubt, ist die Schwelle überschritten.

1.2 Entstehungsgeschichte und Vorgängerrecht

Der Begriff knüpft inhaltlich an Art. 2 lit. c der früheren Datenschutz-Richtlinie 95/46/EG an, wo noch von „Datei" die Rede war. Die DSGVO hat die Begrifflichkeit leicht angepasst, den sachlichen Gehalt aber im Wesentlichen beibehalten.

2. Voraussetzungen des Dateisystems

2.1 Strukturierte Sammlung

Das Kernmerkmal ist die Struktur: Die Daten müssen nach Kriterien geordnet sein, die einen gezielten Zugriff auf einzelne Datensätze oder bestimmte Kategorien von Daten ermöglichen. Das Ordnungskriterium kann personenbezogen sein (Name, Geburtsdatum, Personalnummer, Adresse) oder sachbezogen, sofern es letztlich die Erschließung von Daten zu bestimmten Personen erlaubt (z.B. Aktenzeichen, Kfz-Kennzeichen, Berufsbezeichnung, Region).

Rein sachbezogene Merkmale, die keinen Bezug zu einer natürlichen Person herstellen, genügen dagegen nicht.

2.2 Gleichartiger Aufbau als Indiz

Bei Aktensammlungen ist die einheitliche Gestaltung das entscheidende Indiz. Sind Akten nach ihrer äußeren Beschriftung gleichartig aufgebaut, z.B. nach dem Muster Name, Vorname, Personalnummer, liegt in der Regel bereits ein Dateisystem vor. Entscheidend ist, dass die einheitliche Struktur das Erschließen und Auffinden von Daten erleichtert.

Das gilt auch für Akten, die nach Sachgebieten, Personen oder Kunden gegliedert sind, ebenso für gleichartig aufgebaute Formulare und Vorgänge.

2.3 Keine Mindestzahl erforderlich

Für das Vorliegen eines Dateisystems ist keine Mindestanzahl von Betroffenen, Akten oder Datensätzen erforderlich. Schon zwei strukturiert abgelegte Vorgänge können genügen. Ausschlaggebend ist allein die Art der Organisation, nicht der Umfang der Sammlung.

3. Abgrenzung: Dateisystem oder nicht?

Die folgende Tabelle fasst typische Beispiele zusammen:

4. Reichweite: auch manuelle und handschriftliche Sammlungen

Der Begriff erfasst ausdrücklich beide Erscheinungsformen: analoge Sammlungen auf Papier und digitale Sammlungen. Karteien, z.B. für Patienten oder Kunden, sind stets ein Dateisystem.

Auch handschriftliche Aufzeichnungen können in den Anwendungsbereich fallen. Maßgeblich ist, ob sich der Inhalt leicht erschließen lässt und die einzelnen Daten ohne unverhältnismäßigen Aufwand auffindbar sind. Der EuGH hat dazu klargestellt, dass weder ein besonderes Registersystem noch ein formalisiertes Ablagesystem erforderlich sind; es genügt, wenn die Daten anhand bestimmter Kriterien wiederauffindbar sind (EuGH, Urt. v. 10.07.2018, C-25/17, Zeugen Jehovas).

5. Bezug zur manuellen Verarbeitung und Anwendungsbereich der DSGVO

Der praktische Hauptanwendungsfall des Begriffs liegt in der Abgrenzung: Auf manuelle Verarbeitungsvorgänge findet die DSGVO nur Anwendung, wenn die Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen (Art. 2 Abs. 1 DSGVO). Fehlt diese Voraussetzung, liegt das Geschehen rechtlich außerhalb des datenschutzrechtlichen Regelungsbereichs.

Das Dateisystem ist damit zugleich eine Schutzlücke und eine Systemgrenze: Der Gesetzgeber hat bewusst entschieden, rein unstrukturierte manuelle Tätigkeiten nicht zu erfassen, weil der mit der DSGVO verbundene Aufwand für solche Konstellationen unverhältnismäßig wäre. Wer personenbezogene Daten aber auch nur mit dem Ziel erfasst, sie später in einer geordneten Sammlung zugänglich zu machen, unterfällt bereits dem Anwendungsbereich.