Der Begriff der Datei ist nicht legal definiert. Früher war der Begriff im § 3 Abs. 2 BDSG (alt) definiert als „jede Sammlung personenbezogener Daten, die gleichartig aufgebaut ist und ausgewertet werden kann“. Die Vorschrift unterschied dabei, sprachlich nicht ganz korrekt, zwischen „automatisierter Verarbeitung“ und „nicht automatisierter Datei“. In der Praxis haben sich die, etwas vereinfachenden, Begriffe der automatisierten und der nicht automatisierten Datei etabliert.

Automatisiert ist eine Datei (Verarbeitung) immer dann, wenn Datenverarbeitungsanlagen zum Einsatz kommen. Hier finden keine weiteren Untergliederungen statt, sodass die Art und Herkunft der verwendeten Soft- und Hardware, auch der Betriebssysteme nicht von Bedeutung sind.

Nicht automatisiert sind die Dateien dann, wenn sie zwar ohne den Einsatz von Datenverarbeitungsanlagen auskommen, aufgrund ihrer Beschaffenheit aber strukturiertes Suchen ermöglichen. Hier sind in erster Linie, aber nicht abschließend zu nennen:

• Karteikartensammlungen, sortiert nach Namen, Kunden- oder Personalnummern,
• herkömmliche Registraturen oder Ablagesysteme, etc.

Diese etwas willkürliche, aber vor dem Hintergrund der von dem Verantwortlichen mitunter sehr differenziert zu treffenden technischen und organisatorischen Maßnahmen.

Erkennbar ist aber auch, dass der Gesetzgeber durchaus berücksichtigt hat, dass auch von nicht EDV-gestützten Prozessen erhebliche Risiken für die Persönlichkeitsrechte von Betroffenen ausgehen können und diese, wenn nicht automatisierte Dateien zum Einsatz kommen, in des Datenschutzmanagement einbezieht.