DE Amtsblatt der Europäischen Union C 164/2

Zusammenfassung der Stellungnahme des EDSB zu dem Vorschlag für eine Verordnung über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG

(Der vollständige Text dieser Stellungnahme ist in englischer, französischer und deutscher Sprache auf der Internetpräsenz des EDSB unter www.edps.europa.eu erhältlich.)

(2017/C 164/02)

Derzeit wird in der Europäischen Union eine neue Generation von Datenschutzstandards erlassen. Vor fast einem Jahr wurden die Datenschutz-Grundverordnung und die Richtlinie für die Bereiche Polizei und Justiz angenommen, und sie sind das Ergebnis der bisher ehrgeizigsten Bemühungen des EU-Gesetzgebers um die Gewährleistung der Grundrechte des Menschen im digitalen Zeitalter. Nun ist es an der Zeit, dass die Organe und Einrichtungen der EU selber mit den Vorschriften mit guten Beispiel vorangehen, die sie auf sich selber als für die Verarbeitung Verantwortliche und als Daten verarbeitende Stellen anwenden. In den vergangenen 18 Monaten hat der EDSB immer wieder Gespräche mit der höchsten Ebene von Organen und Einrichtungen der EU geführt, um sie auf die neuen Herausforderungen bei der Einhaltung des Datenschutzes vorzubereiten, und hat dabei den neuen Grundsatz der Rechenschaftspflicht bezüglich der Art und Weise unterstrichen, in der Daten verarbeitet werden. Mit dieser Stellungnahme möchte der EDSB zwölf Jahre Erfahrung mit unabhängiger Aufsicht, politischer Beratung und Engagement einbringen und Verbesserungen an der vorgeschlagenen Verordnung über die Verarbeitung personenbezogener Daten durch Organe und Einrichtungen der EU anregen.

Die Verordnung (EG) Nr. 45/2001 hatte mit unmittelbar anzuwendenden Verpflichtungen für für die Verarbeitung Verantwortliche, mit ihren Bestimmungen über die Rechte betroffener Personen und eine ganz klar unabhängige Aufsichtsbehörde die Funktion eines Trendsetters. Nunmehr hat die EU mit größerem Gewicht auf Rechenschaftspflicht und Garantien für natürliche Personen denn mit Verfahren für Stimmigkeit mit der DSGVO zu sorgen. Ein gewisses Abweichen der für die Verarbeitung von Daten durch EU-Einrichtungen geltenden Vorschriften ist durchaus gerechtfertigt, so wie ja auch in die DSGVO Ausnahmen für den öffentlichen Sektor aufgenommen wurden, doch sollte dies auf ein Mindestmaß beschränkt bleiben.

Aus dem Blickwinkel der natürlichen Person ist jedoch wesentlich, dass die gemeinsamen Grundsätze des gesamten Datenschutzregelwerks der EU kohärent angewandt werden, und dies unabhängig davon, wer nun der für die Verarbeitung Verantwortliche ist. Von entscheidender Bedeutung ist ferner, dass das Regelwerk in seiner Gesamtheit ab dem gleichen Zeitpunkt anwendbar ist, also ab Mai 2018, wenn die DSGVO in vollem Umfang Geltung haben wird.

Einer seit langem bestehenden Vereinbarung zwischen den beiden Einrichtungen entsprechend wurde der EDSB von der Kommission zum Entwurf des Vorschlags angehört. Unserer Auffassung nach ist es der Kommission insgesamt gelungen, die verschiedenen Interessen sorgfältig abzuwägen. In der Stellungnahme geht es um einige Bereiche, in denen der Vorschlag weiter verbessert werden könnte. Wir plädieren für Verbesserungen an der vorgeschlagenen Verordnung insbesondere im Hinblick auf die Einschränkungen der Rechte der betroffenen Person und die Möglichkeit für EU-Einrichtungen, in bestimmten Situationen Zertifizierungsverfahren zu nutzen. Was unsere eigenen Aufgaben und Befugnisse als unabhängige Aufsichtsbehörde angeht, scheint der Vorschlag recht ausgewogen gestaltet zu sein und die normalen Funktionen einer unabhängigen Datenschutzbehörde vorzusehen, wie sie in der Charta der Grundrechte niedergelegt sind und in der neueren Rechtsprechung des Gerichtshofs bekräftigt wurden, und zwar gleichermaßen in den Bereichen Durchsetzung, Bearbeitung von Beschwerden und Beratung des Gesetzgebers zu Maßnahmen, die den Datenschutz und den Schutz der Privatsphäre berühren.

Wir fordern den EU-Gesetzgeber auf, so rasch wie möglich eine Einigung über den Vorschlag herbeizuführen, damit den Organen und Einrichtungen der EU vor dem Inkrafttreten der neuen Verordnung noch ein angemessener Übergangszeitraum zur Verfügung steht.

1. EINLEITUNG UND HINTERGRUND

1.1. Hintergrund

1. Am 10. Januar 2017 nahm die Europäische Kommission einen Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (1) („Vorschlag“) an.

2. Das Grundrecht auf den Schutz personenbezogener Daten ist in Artikel 8 der Charta der Grundrechte der Europäischen Union („Charta“) und in Artikel 16 des Vertrags über die Arbeitsweise der Europäischen Union („AEUV“) verankert.

3. Der Europäische Datenschutzbeauftragte („EDSB“) ist die unabhängige Aufsichtsbehörde, die zu gewährleisten hat, dass Organe, Einrichtungen und sonstige Stellen der EU („Einrichtungen der EU“) bei der Verarbeitung personenbezogener Daten das Datenschutzrecht einhalten (2). Das Erfordernis einer unabhängigen Kontrolle im System der EU für den Datenschutz ist im Primärrecht verankert, und zwar sowohl in Artikel 16 Absatz 2 AEUV als auch in Artikel 8 Absatz 3 der Charta. Der Gerichtshof hat stets betont, dass die Kontrolle durch eine unabhängige Behörde ein unabdingbarer Bestandteil des Rechts auf Datenschutz ist, und hat die Kriterien für diese Unabhängigkeit festgelegt (3). Die Aufsichtsbehörde muss vor allem völlig unabhängig handeln, also unabhängig von jedem direkten oder indirekten Einfluss von außen entscheiden können (4), und sie muss frei von jedem Verdacht der Parteilichkeit sein (5).

4. Das Hauptrechtsinstrument, das die Verarbeitung personenbezogener Daten durch Einrichtungen der EU regelt, ist die Verordnung (EG) Nr. 45/2001 (6) („Verordnung (EG) Nr. 45/2001“), ergänzt durch den Beschluss Nr. 1247/2002/EG (7).

5. Nachdem am 27. April 2016 die langwierigen Verhandlungen über den neuen Datenschutzrahmen der EU - die Datenschutz-Grundverordnung („DSGVO“) und die Richtlinie für die Bereiche Polizei und Justiz - abgeschlossen werden konnten, markiert dieser Vorschlag (neben dem Vorschlag der Kommission für eine Verordnung über Privatsphäre und elektronische Kommunikation („e-Datenschutz-Verordnung“ (8)) den Beginn einer entscheidenden Phase des Prozesses der Vervollständigung dieses EU-Datenschutzrahmens. Sein Ziel ist es, die Bestimmungen der Verordnung (EG) Nr. 45/2001 an die Vorschriften der DSGVO anzugleichen, um in der Union einen stärkeren und kohärenteren Datenschutzrahmen zu schaffen und eine gleichzeitige Anwendbarkeit der beiden Instrumente zu ermöglichen (9). Darüber hinaus integriert der Vorschlag auch die neuen Vorschriften für den Schutz von Endeinrichtungen von Endnutzern, wie sie im Vorschlag der Kommission für die neue e-Datenschutz-Verordnung formuliert sind.

6. In seiner Strategie 2015-2019 verpflichtete sich der EDSB zur Zusammenarbeit mit dem Europäischen Parlament, dem Rat und der Kommission, um sicherzustellen, dass die derzeit geltenden Bestimmungen der Verordnung (EG) Nr. 45/2001 an die DSGVO angeglichen werden und spätestens Anfang 2018 ein geänderter Rechtsrahmen in Kraft tritt. Der EDSB begrüßt, dass er vor der Annahme des Vorschlags informell von der Kommission konsultiert wurde und dass offenbar viele Punkte, die er in seinen bisherigen informellen Beiträgen vorgebracht hat, in den Vorschlag übernommen wurden. Nach seiner Ansicht ist der derzeitige Vorschlag im Hinblick auf die größtmögliche Angleichung an die DSGVO, abgesehen von den eng definierten Besonderheiten des öffentlichen Sektors in der EU, mehr als zufrieden stellend, und er weiß insbesondere das von der Kommission erzielte Gleichgewicht zwischen den verschiedenen Interessen zu schätzen.

7. In dieser Stellungnahme wird zwar auf eine Reihe von Bereichen eingegangen, in denen der Vorschlag noch weiter verbessert werden könnte, doch fordert der EDSB den EU-Gesetzgeber auf, so rasch wie möglich eine Einigung über den Vorschlag herbeizuführen, damit den Organen und Einrichtungen der EU vor dem Inkrafttreten der neuen Verordnung noch ein angemessener Übergangszeitraum zur Verfügung steht.

1.2. Ziele des Vorschlags und Zeitplan

8. In der Vergangenheit empfahl der EDSB, die wesentlichen Vorschriften für EU-Einrichtungen in die DSGVO (damals noch ein Entwurf) aufzunehmen (10). Der EU-Gesetzgeber entschied sich jedoch für eine andere Möglichkeit, nämlich ein eigenes, auf EU-Einrichtungen anzuwendendes Rechtsinstrument, das an die DSGVO angeglichen ist und ab dem gleichen Zeitpunkt gilt wie diese. Der EDSB unterstützt diese Vorgehensweise, denn es wäre nicht hinnehmbar, dass die Europäische Kommission und die anderen Organe und Einrichtungen der EU nicht Vorschriften unterliegen würden, die den demnächst in den Mitgliedstaaten anzuwendenden gleichwertig wären. Es wäre ferner für den EDSB nicht erstrebenswert, die Einhaltung materieller Vorschriften durch EU-Einrichtungen zu überwachen, die weniger streng wären als die, deren Einhaltung seine Kollegen auf nationaler Ebene beaufsichtigen, zumal der EDSB ja Mitglied des künftigen Europäischen Datenschutzausschusses sein wird (11).

9. Die in Zukunft für die Verarbeitung personenbezogener Daten durch EU-Einrichtungen geltenden Vorschriften sollten daher an die Bestimmungen der DSGVO angeglichen werden, sofern nicht eng ausgelegte Besonderheiten des öffentlichen Sektors ein anderes Vorgehen rechtfertigen. Diesbezüglich begrüßt der EDSB Erwägungsgrund 5 des Vorschlags, in dem die Notwendigkeit einer größtmöglichen Angleichung unterstrichen wird und es heißt: „Soweit die Bestimmungen dieser Verordnung auf demselben Konzept beruhen wie die der (DSGVO), sollten beide Bestimmungen einheitlich ausgelegt werden, insbesondere da der Rahmen der vorliegenden Verordnung als dem Rahmen der (DSGVO) gleichwertig verstanden werden sollte.“

10. Allerdings kann die Angleichung an die DSGVO weder vollständig noch automatisch sein. Die DSGVO enthält zahlreiche Bestimmungen, die den Mitgliedstaaten die Möglichkeit einräumen, spezifische Rechtsvorschriften in bestimmten Bereichen, darunter für Behörden, beizubehalten oder einzuführen (12). In den Fällen, in denen die DSGVO spezifische Vorschriften für Behörden vorsieht (13) oder Spielraum für die Umsetzung ihrer Bestimmungen durch die Mitgliedstaaten gewährt, kann dem Vorschlag eine Funktion zugesprochen werden, die der eines einzelstaatlichen Gesetzes zur „Umsetzung“ der DSGVO entspricht, wie beispielsweise in Artikel 9 Übermittlungen personenbezogener Daten an in der Union niedergelassene Empfänger, die nicht Organe oder Einrichtungen der Union sind oder Artikel 66 Geldbußen des Vorschlags (siehe weiter unten Abschnitt 2.8.1). Ferner ist unbedingt zu gewährleisten, dass das derzeit für EU-Einrichtungen geltende hohe Schutzniveau beibehalten wird. Daher ist es erforderlich, bestimmte Besonderheiten der Verordnung (EG) Nr. 45/2001 aufrechtzuerhalten, wie in Artikel 25 Beschränkungen (siehe weiter unten Abschnitt 2.3.1) und in Artikel 44 Benennung des Datenschutzbeauftragten (siehe weiter unten Abschnitt 2.4.5.1).

11. Genauso wichtig wie die inhaltliche Angleichung an die DSGVO ist die Sorge dafür, dass die überarbeiteten Vorschriften zeitgleich mit der DGSVO in vollem Umfang anwendbar werden, also am 25. Mai 2018. Das bestehende Netz der behördlichen Datenschutzbeauftragten („DSB“) bietet effiziente Kanäle für Informationsaustausch und Zusammenarbeit. Der EDSB ist daher zuversichtlich, dass sich Konformität schon nach einem relativ kurzen Übergangszeitraum von beispielsweise drei Monaten erreichen lässt.

12. Der der DSGVO - sowie dem vorliegenden Vorschlag - zugrunde liegende Grundsatz der Rechenschaftspflicht geht allerdings über die einfache Einhaltung der Vorschriften hinaus und beinhaltet einen kulturellen Wandel. Zur Erleichterung des Übergangs hat der EDSB ein „Projekt Rechenschaftspflicht“ ins Leben gerufen. In diesem Zusammenhang stand der EDSB in den Jahren 2016 und 2017 in Kontakt mit sieben zentralen Organen und Einrichtungen der EU, um dort bei der rechtzeitigen Vorbereitung auf die Anwendung der DSGVO behilflich zu sein.

1.3. Anwendungsbereich und Beziehung zu anderen Rechtsinstrumenten

13. Der EDSB hat die Kommission in der Vergangenheit wiederholt aufgefordert, ein robustes und umfassendes System vorzuschlagen, das ehrgeizige Ziele verfolgt und die Wirksamkeit und Kohärenz des Datenschutzes in der EU stärken und damit ein solides Umfeld für weitere Entwicklungen in den kommenden Jahren schaffen würde (14). Die Kommission hat sich für einen anderen Ansatz entschieden und ein eigenes Rechtsinstrument für den Datenschutz im Bereich der Strafverfolgung vorgeschlagen (15). Daran schlossen sich mehrere Vorschläge für Rechtsakte an, mit denen jeweils „eigenständige“ Datenschutzregelungen eingeführt wurden (16).

14. Der EDSB räumt ein, dass der derzeitige Rechtsrahmen für den Schutz personenbezogener Daten, auch wenn er fragmentiert ist, das beste Ergebnis ist, das momentan erreicht werden kann (17). Nach dem Verständnis des EDSB gilt der vorliegende Vorschlag künftig weiterhin für die EU-Einrichtungen, die heute in den Anwendungsbereich der Verordnung (EG) Nr. 45/2001 fallen (18) (im Wesentlichen alle früheren Organe, Einrichtungen und sonstigen Stellen des ersten und zweiten „Pfeilers“ (19)), berührt jedoch nicht bestehende oder kommende „eigenständige“ Regelungen (20). Solche Regelungen werden von diesem Vorschlag nur dann und insofern betroffen sein, als dies in dem einschlägigen Rechtsinstrument ausdrücklich vorgesehen ist. Der EDSB nimmt diesen Ansatz zur Kenntnis, regt jedoch an, ihn in der Präambel des Vorschlags und, sofern möglich, auch in Artikel 2 Anwendungsbereich ausdrücklicher zu erwähnen. Gleichzeitig unterstreicht der EDSB, dass die Fragmentierung und zunehmende Komplexität des Rechtsrahmens für die Datenverarbeitung durch die verschiedenen im früheren ersten und dritten „Pfeiler“ tätigen EU-Einrichtungen kein vollkommen befriedigendes Ergebnis ist und mittelfristig Gegenstand von Überlegungen des EU-Gesetzgebers werden sollte.

15. Die Verordnung (EG) Nr. 45/2001 enthält Maßnahmen, die auf den Schutz der Privatsphäre und der Vertraulichkeit der Kommunikation in Fällen abheben, in denen die Kontrolle der für die Kommunikation genutzten Infrastruktur bei den EU-Einrichtungen liegt. Für diesen Zweck enthält sie einige Bestimmungen, die Teile des Geltungsbereichs der Richtlinie 2002/58/EG („Datenschutzrichtlinie für elektronische Kommunikation“) (21) abdecken, und legt den Grundsatz fest, dem zufolge Vorschriften über den Schutz von Grundrechten auf kohärente und einheitliche Weise überall in der Union angewandt werden sollten; dabei wird auf einschlägige Instrumente wie die Richtlinie über Datenschutz und elektronische Kommunikation verwiesen (22). An der Notwendigkeit, das gleiche Niveau an Schutz und Vertraulichkeit der Kommunikation mit EU-Einrichtungen aufrechtzuerhalten, ändert sich nichts, und daher sollte auch der Grundsatz einer kohärenten und einheitlichen Anwendung beibehalten werden. Nach Auffassung des EDSB sollte der Vorschlag daher gewährleisten, dass die einschlägigen Vorschriften der DSGVO und der künftigen e-Datenschutz-Verordnung sinngemäß für EU-Einrichtungen gelten werden. Sie betreffen sowohl die Wahrung der Vertraulichkeit und des Schutzes der Privatsphäre bei von EU-Einrichtungen kontrollierten Kommunikationsdiensten als auch andere Grundsätze der künftigen e-Datenschutz-Verordnung, wie den Schutz von Endausrüstungen und andere Vorschriften, z. B. über Tracking und Spam.

16. Schließlich gilt zwar, dass das EU-Datenschutzrecht auch für den Europäischen Wirtschaftsraum gilt und die teilnehmenden EFTA-Länder gemäß der DSGVO zur Einrichtung unabhängiger Aufsichtsbehörden verpflichtet sind, doch unterliegen die EFTA-Einrichtungen keinen spezifischen Datenschutzvorschriften und keiner spezifischen Aufsicht, auch wenn sie mit EU-Einrichtungen personenbezogene Daten austauschen. Nach Auffassung des EDSB könnte der vorliegende Vorschlag eine Gelegenheit bieten, sich mit dieser Frage zu befassen.

3. SCHLUSSFOLGERUNGEN

90. Alles in allem ist der EDSB der Auffassung, dass der Vorschlag unter Berücksichtigung der Besonderheiten des öffentlichen Sektors in der EU die Vorschriften für EU-Einrichtungen erfolgreich an die DSGVO angleicht. Generell wird im Vorschlag das hohe Schutzniveau bei Datenverarbeitungen durch EU-Einrichtungen gewahrt. Der EDSB würdigt insbesondere den von der Kommission erzielten Ausgleich der Interessen.

91. Nach Auffassung des EDSB sollte der Vorschlag noch weiter verbessert werden, vor allem im Hinblick auf die Modalitäten für Beschränkungen nach Artikel 25. Zur Gewährleistung der Erfüllung der vorstehend genannten Anforderungen an die Qualität des Rechts sollte Artikel 25 Absatz 1 des Vorschlags dahingehend geändert werden, dass eine Beschneidung von Grundrechten nur in Anwendung von Rechtsvorschriften möglich ist, die auf der Grundlage der Verträge angenommen wurden; auf diese Weise würden für die Organe und Einrichtungen der EU die gleichen Normen gelten wie sie die DSGVO für die Mitgliedstaaten vorsieht. Sofern Beschränkungen von Artikel 34 Vertraulichkeit der elektronischen Kommunikation in Erwägung gezogen werden, fordert der EDSB den EU-Gesetzgeber auf, zu gewährleisten, dass für mögliche Beschneidungen des Grundrechts auf Privatsphäre in der Kommunikation durch EU-Einrichtungen in ihrem eigenen Tätigkeitsbereich die gleichen Normen gelten, wie sie diesbezüglich im Unionsrecht niedergelegt sind und vom Gerichtshof ausgelegt werden.

92. Der EDSB begrüßt die Tatsache, dass der Vorschlag einen eigenen Artikel über die Aufgabe des EDSB als Berater von EU-Einrichtungen enthält (Artikel 42 des Vorschlags). Er befürchtet jedoch, dass die verwendete Formulierung „[n]ach der Annahme von Vorschlägen“ (im Gegensatz zu „[w]enn die Kommission einen Vorschlag […] annimmt“ in Artikel 28 Absatz 2 der Verordnung (EG) Nr. 45/2001) die seit langem bestehende Zusage der Europäischen Kommission in Frage stellt, den EDSB zu Entwürfen von Vorschlägen informell zu konsultieren, normalerweise in der Phase der dienststellenübergreifenden Konsultation. In Anbetracht der Bedeutung der informellen Konsultation würde der EDSB einen Erwägungsgrund begrüßen, in dem die Kommission die Fortsetzung dieser langjährigen Praxis bekräftigt. Ferner würde er unterstützen, dass im Vorschlag die Formulierung aus Artikel 28 Absatz 2 der Verordnung (EG) Nr. 45/2001 („wenn die Kommission einen Vorschlag annimmt)“ beibehalten wird, denn sie bietet ihm gegenüber einen größeren Spielraum. Es ist der Auffassung, dass Artikel 42 im Hinblick auf die jeweiligen Aufgaben des EDSB und des Europäischen Datenschutzausschusses hinreichend klar formuliert ist, um in Zukunft unnötige Doppelarbeit zu vermeiden.

93. Der EDSB doch der Ansicht, dass die Möglichkeit einer Auslagerung der Funktion eines DSB keinen Platz in einer Verordnung für EU-Einrichtungen hat, die im öffentlichen Auftrag handeln. Folglich sollte in Artikel 44 Absatz 4 die zweite Möglichkeit („oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen“) gestrichen werden.

94. Der EDSB begrüßt Artikel 66 des Vorschlags, der den EDSB zur Verhängung von Geldbußen befugt. Würde der EU-Aufsichtsbehörde die Möglichkeit genommen, gegebenenfalls Geldbußen zu verhängen, liefe dies nach seiner Auffassung darauf hinaus, dass sich EU-Einrichtungen im Vergleich zu öffentlichen Einrichtungen in vielen Mitgliedstaaten in einer privilegierten Lage befänden.

95. Nach Ansicht des EDSB können Zertifizierungsverfahren für EU-Einrichtungen ein durchaus sinnvolles Instrument sein, die heute schon in bestimmten Kontexten eingesetzt werden, z. B. die Zertifizierung der Einhaltung allgemein akzeptierter Standards. Die Nutzung der Zertifizierung (nicht jedoch von Verhaltensregeln) sollte daher in Artikel 26 Verantwortung des Verantwortlichen, Artikel 27 Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen sowie Artikel 33 Sicherheit aufgenommen werden.

96. In dieser Stellungnahme wird zwar auf eine Reihe von Bereichen eingegangen, in denen der Vorschlag noch weiter verbessert werden könnte, doch möchte der EDSB den EU-Gesetzgeber auffordern, so rasch wie möglich eine Einigung über den Vorschlag herbeizuführen, damit den Organen und Einrichtungen der EU ein angemessener Übergangszeitraum zur Verfügung steht, bevor die neue Verordnung zeitgleich mit der DSGVO im Mai 2018 in Kraft treten kann.

Brüssel, den 15. März 2017 Giovanni BUTTARELLI Europäischer Datenschutzbeauftragter

(1) COM(2017) 8 final; 2017/0002 (COD) (nachstehend „der Vorschlag“).

(2) Artikel 286 EGV machte die Datenschutzvorschriften der (damaligen) Gemeinschaft auch auf die Organe und Einrichtungen der EU anwendbar und enthielt den Auftrag, eine eigenständige unabhängige Aufsichtsbehörde (den späteren EDSB) einzurichten.

(3) Rechtssache C-518/07 Kommission gegen Deutschland, EU:C:2010:125; Rechtssache C-614/10 Kommission gegen Österreich, EU:C:2012:631; Rechtssache C-288/12 Kommission gegen Ungarn, EU:C:2014:237; Rechtssache C-362/14 Maximilian Schrems gegen Data Protection Commissioner, ECLI:EU:C:2015:650.

(4) Rechtssache C-518/07, Kommission gegen Deutschland, Rn. 19.

(5) Rechtssache C-288/12, Kommission gegen Ungarn, Rn. 53.

(6) Siehe weiter oben Anmerkung 3.

(7) Beschluss Nr. 1247/2002/EG des Europäischen Parlaments, des Rates und der Kommission vom 1. Juli 2002 über die Regelungen und allgemeinen Bedingungen für die Ausübung der Aufgaben des Europäischen Datenschutzbeauftragten (ABl. L 183 vom 12.7.2002, S. 1).

(8) Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation und zur Aufhebung der Richtlinie 2002/58/EG (Verordnung über Privatsphäre und elektronische Kommunikation), COM(2017) 10 final, 2017/0003 (COD).

(9) Siehe auch Artikel 98 und Erwägungsgrund 17 DSGVO.

(10) Siehe z. B. die Stellungnahme des EDSB vom 7. März 2012 zum Datenschutzreformpaket (ABl. C 192 vom 30.6.2012, S. 7).

(11) Stellungnahme des EDSB vom 7. März 2012 zum Datenschutzreformpaket, S. 6.

(12) Siehe insbesondere Artikel 6 Absatz 3 und Erwägungsgrund 10 DSGVO: „Hinsichtlich der Verarbeitung personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, sollten die Mitgliedstaaten die Möglichkeit haben, nationale Bestimmungen, mit denen die Anwendung der Vorschriften dieser Verordnung genauer festgelegt wird, beizubehalten oder einzuführen. In Verbindung mit den allgemeinen und horizontalen Rechtsvorschriften über den Datenschutz zur Umsetzung der Richtlinie 95/46/EG gibt es in den Mitgliedstaaten mehrere sektorspezifische Rechtsvorschriften in Bereichen, die spezifischere Bestimmungen erfordern. Diese Verordnung bietet den Mitgliedstaaten zudem einen Spielraum für die Spezifizierung ihrer Vorschriften, auch für die Verarbeitung besonderer Kategorien von personenbezogenen Daten (im Folgenden ‚sensible Daten‘). Diesbezüglich schließt diese Verordnung nicht Rechtsvorschriften der Mitgliedstaaten aus, in denen die Umstände besonderer Verarbeitungssituationen festgelegt werden, einschließlich einer genaueren Bestimmung der Voraussetzungen, unter denen die Verarbeitung personenbezogener Daten rechtmäßig ist.“

(13) Z. B. letzter Satz von Artikel 6 Absatz 1, Artikel 20 Absatz 5, Artikel 27, Artikel 37, Artikel 41 oder Artikel 46 Absatz 2 Buchstabe a DSGVO.

(14) Siehe insbesondere die Stellungnahme des EDSB vom 14. Januar 2011 zur Mitteilung „Gesamtkonzept für den Datenschutz in der Europäischen Union“ (ABl. L 181 vom 22.6.2011, S. 1).

(15) Siehe weiter oben Anmerkung 5.

(16) Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über die Agentur der Europäischen Union für die Zusammenarbeit und die Aus- und Fortbildung auf dem Gebiet der Strafverfolgung (Europol) und zur Aufhebung der Beschlüsse 2009/371/JI und 2005/681/JI des Rates, COM(2013) 173 final, nunmehr angenommen als Verordnung 2016/794 und veröffentlicht im ABl. L 135 vom 24.5.2016, S. 53; Vorschlag für eine Verordnung des Rates über die Errichtung der Europäischen Staatsanwaltschaft, COM(2013) 534 final. Siehe ebenfalls die allgemeine Ausrichtung des Rates [erste Lesung] zu dem Vorschlag für eine Verordnung betreffend die Agentur der Europäischen Union für justizielle Zusammenarbeit in Strafsachen (Eurojust), abrufbar unter: http://data.consilium.europa.eu/doc/document/ST-6643-2015-INIT/de/pdf.

(17) Stellungnahme 3/2015 des EDSB „Eine große Chance für Europa – Empfehlungen des EDSB zu den Optionen der EU für die Datenschutzreform“, abrufbar unter: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-10-09_GDPR_with_addendum_DE.pdf.

(18) Siehe die Liste von Organen und Einrichtungen der EU unter: http://publications.europa.eu/code/de/de-390500.htm.

(19) Die Verordnung (EG) Nr. 45/2001 gilt bereits heute unter anderem für die Europäische Verteidigungsagentur, das Institut der Europäischen Union für Sicherheitsstudien und das Satellitenzentrum der Europäischen Union.

(20) Europol, Eurojust, EPPO, weiter oben Anmerkung 21.

(21) Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) (ABl. L 201 vom 31.7.2002, S. 37), in der geänderten Fassung (nachstehend „e-Datenschutz-Richtlinie“).

(22) Erwägungsgründe 10-12 der e-Datenschutz-Richtlinie.