Art. 25 Absatz 1 DSGVO spricht in Bezug auf eine Verarbeitungstätigkeit von zwei Phasen, nämlich „dem Zeitpunkt der Festlegung der Mittel für die Verarbeitung“ und „dem Zeitpunkt der eigentlichen Verarbeitung“.Es liegt auf der Hand, dass es sich bei diesen beiden Zeitpunkten um Zeiträume von bestimmter Dauer und nicht um einzelne Zeitpunkte handeln muss.Es ist auch klar, dass der Zeitpunkt der Festlegung der Mittel vor dem Zeitpunkt der eigentlichen Verarbeitung liegen muss.Wir bezeichnen diese Zeiträume daher auch als Phasen.

Art. 4 Absatz 7 besagt, dass der Verantwortliche neben den Mitteln auch über„die Zwecke entscheidet“.Auch dies nimmt offensichtlich Zeit in Anspruch und geht der Festlegung der Mittel voraus.Der Vollständigkeit halber und für den Fall, dass es Maßnahmen gibt, die in dieser Phase umgesetzt werden können, erscheint es sinnvoll, Entscheidungen über die Zwecke zu treffen.

Folglich impliziert die Datenschutz-Grundverordnung das folgende Phasenmodell für eine Verarbeitungstätigkeit:

Phase 1: Entscheidugn über die Zwecke Phase 2: Festlegung der Mittel Phase 3: Die eigentliche Verarbeitung

Um besser zu verstehen, was genau in den einzelnen Phasen geschieht, ist es notwendig, genauer zu analysieren, welche Vorstellung die Datenschutz-Grundverordnung von einem Verarbeitungsvorgang hat.