Die eigentliche Verarbeitung wird durch die Startschussdes Verantwortlichen an die Ressourcen eingeleitet, mit der Ausführung der erteilten Anweisungen zu beginnen.Von diesem Zeitpunkt an beginnt die eigentliche Verarbeitung der personenbezogenen Daten.Sie wird nämlich von den benannten Ressourcen ausgeführt, die den Anweisungen des Verantwortlichen folgen.

Die eigentliche Verarbeitungendet, wenn keine personenbezogenen Daten mehr verarbeitet werden.In Anbetracht der Tatsache, dass gemäß Art. 4 Absatz 2 DSGVO die Speicherung personenbezogener Daten eine Verarbeitung darstellt, geht die Beendigung der eigentlichen Verarbeitungüber die bloße Anweisung an die Ressourcen hinaus, die Ausführung der erteilten Anweisungen einzustellen.Vielmehr bedarf es zusätzlicher Anweisungen, um sicherzustellen, dass personenbezogene Daten nicht länger gespeichert werden.Wir nennen dies die Beendigung der Verarbeitung.Die Beendigung umfasst die Löschung und die Vernichtung personenbezogener Daten, die beide immer noch eine Verarbeitung gemäß Art. 4 Absatz 2 darstellen.

Art. 25 Absatz 1 verpflichtet die Verantwortlichen, auch bei der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen zu treffen.In Analogie zur Festlegung der Mittelwird die für die eigentliche Verarbeitungermittelte Struktur als Richtschnur für die Diskussion der Maßnahmen herangezogen.