DE Amtsblatt der Europäischen Union C 301/1

Empfehlungen des EDSB zu den Optionen der EU für die Datenschutzreform

(Der vollständige Text ist in englischer, französischer und deutscher Sprache auf der Internetpräsenz des EDSB unter www.edps.europa.eu erhältlich.)

(2015/C 301/01)

Am 24. Juni 2015 nahmen die drei wichtigsten Organe der EU, das Europäische Parlament, der Rat und die Europäische Kommission, Mitentscheidungsverhandlungen über die vorgeschlagene Datenschutz-Grundverordnung auf, ein Verfahren, das unter der Bezeichnung informeller „Trilog“ bekannt ist (1). Grundlage des Trilogs sind der Vorschlag der Kommission vom Januar 2012, die legislative Entschließung des Parlaments vom 12. März 2014 und die Allgemeine Ausrichtung des Rates von 15. Juni 2015 (2). Die drei Organe sind bestrebt, die Datenschutz-Grundverordnung im Rahmen eines größeren Datenschutzreformpakets zu verhandeln, das auch die vorgeschlagene Richtlinie für Aktivitäten der Polizei- und Justizbehörden mit einschließt. Das Verfahren soll Ende 2015 abgeschlossen werden, sodass beide Rechtsakte Anfang 2016 formal angenommen werden können; daran schließt sich eine zweijährige Übergangszeit an (3).

Der Europäische Datenschutzbeauftragte (EDSB) ist eine unabhängige Einrichtung der EU. Der Datenschutzbeauftragte ist zwar nicht am Trilog beteiligt, doch hat er nach Artikel 41 Absatz 2 der Verordnung (EG) Nr. 45/2001 „im Hinblick auf die Verarbeitung personenbezogener Daten … sicherzustellen, dass die Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere ihr Recht auf Privatsphäre, von den Organen und Einrichtungen der Gemeinschaft geachtet werden“, und ist „für die Beratung der Organe und Einrichtungen der Gemeinschaft und der betroffenen Personen in allen die Verarbeitung personenbezogener Daten betreffenden Angelegenheiten“ zuständig. Der Datenschutzbeauftragte und der Stellvertretende Datenschutzbeauftragte wurden im Dezember 2014 mit dem konkreten Auftrag ernannt, konstruktiver und proaktiver vorzugehen, und haben im März 2015 eine Fünfjahresstrategie veröffentlicht, in der sie darlegten, wie sie diesen Auftrag umzusetzen und darüber Rechenschaft abzulegen gedenken (4).

Die vorliegende Stellungnahme ist der erste Meilenstein in der Strategie des EDSB. Aufgrund der Gespräche mit den EU-Organen, Mitgliedstaaten, der Zivilgesellschaft, der Industrie und anderen Interessenträgern wollen wir im Rahmen unserer Beratung die Teilnehmer am Trilog dabei unterstützen, rechtzeitig den richtigen Konsens zu erzielen. Darin wird auf die Datenschutz-Grundverordnung in zwei Teilen eingegangen:

— die Sicht des EDSB in Bezug auf zukunftsorientierte Datenschutzvorschriften mit Beispielen zur Veranschaulichung unserer Empfehlungen; und

— ein Anhang („Anhang zur Stellungnahme 3/2015: Vergleichstabelle von Texten der Datenschutz-Grundverordnung und der Empfehlung des EDSB“) mit einer vierspaltigen Tabelle für den Vergleich der einzelnen Artikel des Textes der Datenschutz-Grundverordnung, wie sie von der Kommission, vom Parlament bzw. vom Rat angenommen wurden, zusammen mit der Empfehlung des EDSB.

Die Stellungnahme wird auf unserer Website sowie über eine mobile App veröffentlicht. Sie wird im Herbst 2015 durch Empfehlungen sowohl für die Erwägungsgründe der Datenschutz-Grundverordnung als auch für den Datenschutz, wie er im Bereich der Aktivitäten der Polizei- und Justizbehörden Anwendung finden soll, ergänzt, sobald der Rat seine Allgemeine Position zur Richtlinie verabschiedet hat.

Die umfassende Stellungnahme des EDSP zu dem von der Kommission vorgeschlagenen Reformpaket vom März 2012 bleibt weiterhin gültig. Drei Jahre später mussten wir allerdings unsere Empfehlung auf den neuesten Stand bringen, um uns unmittelbarer mit den Positionen der Mitgesetzgeber auseinandersetzen und konkrete Empfehlungen abgeben zu können (5). Wie die Stellungnahme 2012 steht auch diese Stellungnahme in Einklang mit den Stellungnahmen und Erklärungen der Artikel-29-Datenschutzgruppe einschließlich der „Anlage“ zu den „Kernthemen für den Trilog“, die am 17. Juni verabschiedet wurde und zu der der EDSB als ordentliches Mitglied der Arbeitsgruppe einen Beitrag geleistet hat (6).

Eine seltene Chance: Weshalb diese Reform so wichtig ist

Die EU befindet sich auf der letzten Meile eines Marathons zur Reformierung ihrer Datenschutzvorschriften. Die Datenschutz-Grundverordnung wird sich in den kommenden Jahrzehnten potenziell auf alle natürlichen Personen in der EU, auf alle Organisationen in der EU, die personenbezogene Daten verarbeiten, sowie auf Organisationen außerhalb der EU, die personenbezogene Daten von natürlichen Personen in der EU verarbeiten, auswirken (7). Es ist jetzt an der Zeit, die Grundrechte und Grundfreiheiten der Menschen in der datengestützten Gesellschaft der Zukunft zu wahren.

Ein wirksamer Datenschutz stärkt die Handlungskompetenz des Einzelnen und mobilisiert verantwortungsbewusste Unternehmen und staatliche Behörden. Die Rechtsvorschriften in diesem Bereich sind komplex und fachspezifisch und erfordern eine kompetente, fachkundige Beratung, insbesondere seitens unabhängiger Datenschutzbehörden, die verstehen, welche Herausforderungen mit der Compliance verbunden sind. Die Datenschutz-Grundverordnung dürfte eine der längsten Verordnungen in der Gesetzessammlung der Union werden, und deshalb muss die EU jetzt selektiv vorgehen und sich auf die Bestimmungen konzentrieren, die wirklich notwendig sind, und dabei eine Detailtiefe vermeiden, die künftige Technologien versehentlich über Gebühr störend beeinflussen könnte. Jedes der Organe predigt in seinem Text Klarheit und Verständlichkeit bei der Verarbeitung personenbezogener Daten; die Datenschutz-Grundverordnung muss also den Worten Taten folgen lassen und so präzise und leicht verständlich wie möglich ausfallen.

Als Mitgesetzgeber ist es Aufgabe des Parlaments und des Rates, den endgültigen Rechtstext festzulegen; dabei werden sie von der Kommission als Initiatorin von Rechtsetzungsakten und als Hüterin der Verträge unterstützt. Der EDSB nimmt zwar nicht an den „Trilog“-Verhandlungen teil, doch sind wir kraft Gesetzes dafür zuständig, Beratung anzubieten, und zwar proaktiv, in Einklang mit dem Auftrag des Datenschutzbeauftragten und des Stellvertretenden Datenschutzbeauftragten, mit dem sie bei ihrer Ernennung betraut wurden, sowie mit der jüngsten Strategie des EDSB. Die vorliegende Stellungnahme baut auf einer über zehnjährigen Erfahrung im Bereich der Beaufsichtigung der Einhaltung der Datenschutzbestimmungen und auf politischen Empfehlungen auf mit dem Ziel, die Organe zu beraten und ihnen Orientierungshilfe zu bieten, damit sie zu einem Ergebnis gelangen, das im Interesse des Einzelnen steht.

Gesetzgebung ist die Kunst des Machbaren. Jede der Optionen, die in Form der von der Kommission, vom Parlament bzw. vom Rat jeweils bevorzugten Texte auf dem Tisch liegt, enthält viele wertvolle Bestimmungen, von denen jedoch jeder noch weiter verbessert werden kann. Das Ergebnis wird unseres Erachtens nicht perfekt sein, doch werden wir die Organe dabei unterstützen, das bestmögliche Ergebnis zu erzielen. Deshalb halten wir uns mit unseren Empfehlungen an die Vorgaben der drei Texte. Dabei lassen wir uns von drei besonderen Anliegen leiten:

— ein besseres Ergebnis für die Bürger,

— Bestimmungen, die in der Praxis funktionieren,

— Bestimmungen, die eine Generation lang Bestand haben.

Diese Stellungnahme ist eine Übung in Sachen Transparenz und Rechenschaftspflicht, duale Grundsätze, die die vielleicht auffallendste Neuerung in der Datenschutz-Grundverordnung darstellen. Das Trilogverfahren wird kritischer auf den Prüfstand gestellt als jemals zuvor. Unsere Empfehlungen sind öffentlich, und wir möchten alle EU-Organe dringend auffordern, die Initiative zu ergreifen und mit gutem Beispiel voranzugehen, damit diese Gesetzesreform das Ergebnis eines transparenten Verfahrens wird und kein geheimer Kompromiss.

Die EU braucht einen neuen Deal zum Datenschutz, ein neues Kapitel. Die übrige Welt blickt gespannt auf uns. Die Qualität des neuen EU-Datenschutzrechts und die Art und Weise, wie dieses mit den weltweiten Rechtssystemen und rechtlichen Entwicklungen zusammenwirkt, sind von überragender Bedeutung. Mit dieser Stellungnahme signalisiert der EDSB seine Bereitschaft und Verfügbarkeit, dafür zu sorgen, dass die EU diese historische Chance bestmöglich nutzt.

1. Ein besseres Ergebnis für die Bürger

Mit den EU-Rechtsvorschriften wurde stets versucht, Datenströme innerhalb der EU sowie mit ihren Handelspartnern zu erleichtern, wobei die Rechte und Freiheiten des Einzelnen jedoch oberstes Gebot waren. Das Internet hat ein beispielloses Maß an Konnektivität, Selbstverwirklichung und Spielraum für die Schaffung von Mehrwert für Unternehmen und Verbraucher möglich gemacht. Trotzdem ist der Schutz der Privatsphäre für die Europäer wichtiger denn je. Der Eurobarometer-Umfrage zum Datenschutz vom Juni 2015 (8) zufolge hat mehr als jeder sechste Bürger kein Vertrauen in Online-Anbieter, und zwei Drittel aller Bürger sind besorgt, dass sie über die online zur Verfügung gestellten Daten nicht die volle Kontrolle haben.

Der reformierte Rechtsrahmen muss die Standards für den einzelnen Bürger beibehalten und wenn möglich noch anheben. Das Datenschutzreformpaket wurde zunächst als Instrument zur „Stärkung der Persönlichkeitsrechte online“ vorgeschlagen, das gewährleisten sollte, dass die Menschen „besser über ihre Rechte aufgeklärt und eine stärkere Kontrolle der sie betreffenden Informationen haben“ (9). Vertreter von zivilgesellschaftlichen Organisationen wandten sich im April 2015 schriftlich an die Europäische Kommission, die die Organe nachdrücklich auffordern sollte, diesen Absichten treu zu bleiben (10).

Die bestehenden, in der Charta verankerten Grundsätze, das Primärrecht der EU, sollte durchgängig, dynamisch und innovativ angewandt werden, damit diese Grundsätze für den Bürger ihre Wirkung in der Praxis entfalten. Die Reform muss umfassend sein; daraus resultiert auch die Verpflichtung, ein komplettes Paket umzusetzen, doch da die Datenverarbeitung unter verschiedene Rechtsinstrumente fallen dürfte, muss hinsichtlich ihres genauen Anwendungsbereichs sowie der Frage, wie diese Rechtsinstrumente zusammenwirken, Klarheit bestehen, und zwar ohne Regelungslücken, die zu Kompromissen hinsichtlich der Garantien führen könnten (11).

Dreh- und Angelpunkt für den EDSB ist die Würde des Menschen, die über Fragen der reinen Einhaltung der Rechtsvorschriften weit hinausreichen (12). Unsere Empfehlungen stützen sich daher auf eine Bewertung jedes einzelnen Artikels der Datenschutz-Grundverordnung sowohl einzeln als auch kumuliert, je nachdem, ob der betreffende Artikel die Position des Einzelnen im Vergleich zum derzeitigen rechtlichen Rahmen stärkt oder nicht. Als Bezugspunkt dienen dabei die Grundsätze, die den Kern des Datenschutzes ausmachen, nämlich Artikel 8 der Charta der Grundrechte (13).

1.1. Begriffsbestimmungen: Lassen Sie uns ganz deutlich sagen, was personenbezogene Daten sind

Menschen sollten in der Lage sein, ihre Rechte in Bezug auf Informationen, mit denen sie bestimmt oder ausgemacht werden können, wirksamer wahrzunehmen, selbst wenn die Informationen als „pseudonymisiert“ gelten (14).

1.2. Jede Datenverarbeitung muss sowohl rechtmäßig als auch begründet sein

— Die Anforderungen an jeden Datenverarbeitungsvorgang, der nur zu bestimmten Zwecken und auf gesetzlicher Grundlage erfolgen darf, sind keine Alternativen, sondern kumulativ. Wir empfehlen, jede Zusammenführung und damit Schwächung dieser Grundsätze zu vermeiden. Stattdessen sollte die EU die gut etablierte Vorstellung, wonach personenbezogene Daten nur so verwendet werden sollten, dass es mit den ursprünglichen Zwecken ihrer Erhebung vereinbar ist, beibehalten, vereinfachen und umsetzbar machen (15).

— Die Einholung der Einwilligung ist eine mögliche Rechtsgrundlage für die Verarbeitung, doch müssen wir vermeiden, dass Menschen zwangsweise Kästchen ankreuzen müssen, bei denen sie keine sinnvolle Wahl haben und auch überhaupt kein Bedarf an einer Verarbeitung von Daten besteht. Wir empfehlen, den Menschen die Möglichkeit zu geben, ihre Einwilligung im engen oder weiten Sinne zu erteilen, etwa zu klinischer Forschung; diese Einwilligung muss beachtet werden und auch widerrufen werden können (16).

— Der EDSB befürwortet tragfähige, innovative Lösungen für internationale Übermittlungen personenbezogener Daten, die den Datenaustausch erleichtern und in Einklang mit den Grundsätzen des Datenschutzes und der Datenkontrolle stehen. Wir raten dringend davon ab, Datenübermittlungen aufgrund der berechtigten Interessen der für die Verarbeitung Verantwortlichen zuzulassen, da der Einzelne dabei nicht ausreichend geschützt ist; die EU sollte auch nicht die Tür für den direkten Zugriff von Behörden in Drittländern auf in der EU befindliche Daten öffnen. Anträgen von Behörden in einem Drittland auf Übermittlung von Daten sollte nur dann stattgegeben werden, wenn dabei die in bilateralen Rechtshilfeverträgen, internationalen Abkommen oder anderen legalen Kanälen für die internationale Zusammenarbeit üblichen Normen eingehalten werden (17).

1.3. Unabhängigere und verbindlichere Überwachung

— Die Datenschutzbehörden in der EU sollten zum Zeitpunkt des Inkrafttretens der Datenschutz-Grundverordnung bereit sein, ihren Aufgaben nachzukommen, wobei der Europäische Datenschutzausschuss zu dem Zeitpunkt, an dem die Verordnung wirksam wird, voll einsatzfähig sein sollte (18).

— Die Behörden sollten in der Lage sein, Beschwerden und Ansprüche von betroffenen Personen oder Organen, Organisationen oder Verbänden entgegenzunehmen und zu prüfen.

— Für die Durchsetzung persönlicher Rechte ist ein wirksames System der Haftung und des Schadenersatzes für Schäden erforderlich, die durch eine unrechtmäßige Datenverarbeitung verursacht werden. Angesichts der deutlichen Hindernisse, in der Praxis einen Ausgleich für Schäden zu erlangen, sollten natürliche Personen die Möglichkeit erhalten, sich bei Gerichtsverfahren von Einrichtungen, Organisationen und Verbänden vertreten zu lassen (19).

2. Bestimmungen, die auch in der Praxis funktionieren

Garantien sollten nicht mit Formalitäten verwechselt werden. Allzu detaillierte Regelungen oder Versuche einer Feinsteuerung von Geschäftsprozessen dürften in Zukunft nicht mehr zeitgemäß sein. Hier können wir uns ein Beispiel am Handbuch zum EU-Wettbewerbsrecht nehmen, wo ein relativ beschränkter Besitzstand an Sekundärrecht konsequent umgesetzt wird und bei Unternehmen eine Kultur der Rechenschaftspflicht und des Risikobewusstseins fördert (20).

Jeder der drei Texte fordert von den für die Verarbeitung personenbezogener Informationen Verantwortlichen mehr Klarheit und Einfachheit (21). Ebenso müssen die technischen/fachlichen Verpflichtungen präzise und leicht verständlich sein, wenn die für die Verarbeitung Verantwortlichen ihnen sachgerecht nachkommen sollen (22).

Die bestehenden Verfahren sind nicht sakrosankt: Mit unseren Empfehlungen sollen Möglichkeiten gefunden werden, um Bürokratie abzubauen und Dokumentationsvorschriften und bedeutungslose Formalitäten auf ein Mindestmaß zu reduzieren. Wir empfehlen den Erlass von Gesetzen nur dann, wenn dies auch wirklich notwendig ist. Damit bleibt Spielraum für Unternehmen, staatliche Stellen oder Datenschutzbehörden: ein Raum, der durch die Rechenschaftspflicht und Orientierungshilfe seitens der Datenschutzbehörden gefüllt werden muss. Alles in allem würden unsere Empfehlungen einen Text für eine Datenschutz-Grundverordnung ergeben, der 30 % kürzer wäre als die durchschnittliche Länge der Texte der drei Organe (23).

2.1. Wirksame Garantien, keine Verfahren

— Die Dokumentation sollte ein Mittel für die Einhaltung der Vorschriften (Compliance) sein, kein Selbstzweck; die Reform muss ergebnisorientiert sein. Wir empfehlen einen skalierbaren Ansatz, bei dem die Dokumentationspflichten für die für die Verarbeitung Verantwortlichen zu einer einheitlichen Strategie zu der Frage reduziert werden, wie die für die Datenverarbeitung Verantwortlichen der Verordnung unter Berücksichtigung der Risiken nachkommen, wobei die Compliance — sei es bei Datenübermittlungen, Verträgen mit Auftragsverarbeitern oder der Meldung von Datenschutzverletzungen — auf transparente Art und Weise darzulegen ist (24).

— Aufgrund genau definierter Kriterien für die Risikobewertung und entsprechend unserer Erfahrung mit der Beaufsichtigung der EU-Organe empfehlen wir, die Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde sowie Datenschutz-Folgenabschätzungen nur dann zu verlangen, wenn die Rechte und Freiheiten der betroffenen Personen gefährdet sind (25).

— Marktseitige Initiativen in Form verbindlicher unternehmensinterner Vorschriften oder von Datenschutzsiegeln sollten aktiv gefördert werden (26).

2.2. Bessere Ausgewogenheit zwischen öffentlichen Interessen und dem Schutz personenbezogener Daten

— Die Datenschutzvorschriften sollten die Forschung zu historischen, statistischen und wissenschaftlichen Zwecken, die im ureigenen öffentlichen Interesse liegt, nicht behindern. Die Verantwortlichen müssen die erforderlichen Vorkehrungen treffen, um zu verhindern, dass personenbezogene Daten entgegen den Interessen des Einzelnen verwendet werden, und dabei den Vorschriften über sensible Daten, etwa im Bereich Gesundheit, besondere Beachtung schenken (27).

— Forscher und Archivare sollten in der Lage sein, vorbehaltlich dieser Garantien Daten so lange zu speichern, wie diese benötigt werden (28).

2.3. Vertrauen in Aufsichtsbehörden und Stärkung ihrer Handlungskompetenz

— Wir empfehlen, Aufsichtsbehörden die Möglichkeit zu geben, Leitlinien für die für die Datenverarbeitung Verantwortlichen herauszugeben und ihre eigenen internen Verfahrensvorschriften im Geiste einer vereinfachten, einfacheren Anwendung der Datenschutz-Grundverordnung durch eine einzige Aufsichtsbehörde (eine „zentrale Anlaufstelle“) bürgernah („Nähe“) zu erlassen (29).

— Die Behörden sollten in der Lage sein, wirksame, verhältnismäßige und abschreckende Abhilfemaßnahmen und verwaltungsrechtliche Sanktionen aufgrund aller relevanten Umstände festzulegen (30).

3. Bestimmungen, die eine Generation lang Bestand haben

Die wichtigste Säule des derzeitigen rechtlichen Rahmens, die Richtlinie 95/46/EG, hat für die weiteren Rechtsvorschriften zur Datenverarbeitung in der EU und weltweit Vorbildfunktion und lieferte sogar die Grundlage für die Formulierung des Rechts auf Schutz personenbezogener Daten in Artikel 8 der Charta der Grundrechte. Diese Reform wird die Datenverarbeitung für eine ganze Generation prägen, für die ein Leben ohne das Internet nicht vorstellbar ist. Die EU muss daher die Auswirkungen dieses Rechtsaktes auf natürliche Personen sowie seine Nachhaltigkeit angesichts der technologischen Entwicklung genau verstehen.

In den letzten Jahren sind die Erzeugung, Erfassung, Auswertung und der Austausch personenbezogener Daten infolge technologischer Neuerungen wie dem Internet der Dinge, Cloud-Computing, großer Datenmengen (Big Data) und offener Daten (Open Data), deren Verwertung von der EU als für ihre Wettbewerbsfähigkeit entscheidend angesehen wird, exponentiell angestiegen (31). Der Langlebigkeit der Richtlinie 95/46/EG nach zu urteilen, ist es realistisch, von einem ähnlichen zeitlichen Rahmen vor der nächsten größeren Überarbeitung der Datenschutzvorschriften auszugehen, die möglicherweise nicht vor Ende der 2030er-Jahre stattfinden wird. Doch schon lange vor diesem Zeitpunkt kann von einer Annäherung der datengesteuerten Technologien mit künstlicher Intelligenz, natürlicher Sprachverarbeitung und biometrischen Systemen ausgegangen werden, wodurch Anwendungen möglich werden, die die Fähigkeit des maschinellen Lernens für eine fortgeschrittene Intelligenz besitzen.

Diese Technologien stellen die Grundsätze des Datenschutzes vor enorme Herausforderungen. Eine zukunftsorientierte Reform muss sich daher an der Würde des Menschen orientieren und ethische Gesichtspunkte berücksichtigen. Sie muss das Ungleichgewicht zwischen Neuerungen beim Schutz personenbezogener Daten und deren Verwertung beheben und Garantien in unserer digitalisierten Gesellschaft dazu verhelfen, ihre volle Wirkung zu entfalten.

3.1. Verantwortungsvolles Geschäftsgebaren und innovative Technik

— Die Reform sollte den gegenwärtigen Trend der geheimen Verfolgung und Entscheidungsfindung aufgrund von Profilen, die dem Nutzer verborgen bleiben, umkehren. Das Problem ist nicht gezielte Werbung oder die Praxis des Profiling, sondern vielmehr der Mangel an aussagekräftigen Informationen über die algorithmische Logik, die bei der Erstellung dieser Profile zugrunde gelegt wird und sich auf die betroffene Person auswirkt (32). Wir empfehlen mehr Transparenz seitens der für die Verarbeitung Verantwortlichen.

— Wir unterstützen nachdrücklich die Einführung der Grundsätze des Datenschutzes durch Technik und datenschutzfreundliche Voreinstellungen, damit marktgerechte Lösungen in der digitalen Wirtschaft vorangetrieben werden können. Wir empfehlen eine einfachere Formulierung bei der Forderung, die Rechte und Interessen des Einzelnen bei der Produktentwicklung und bei Standardeinstellungen zu berücksichtigen (33).

3.2. Menschen mit gestärkter Handlungskompetenz

Die Datenübertragbarkeit ist im digitalen Umfeld das Einfallstor für die Benutzerkontrolle, die, wie die Menschen jetzt feststellen, fehlt. Wir empfehlen, eine direkte Übertragung von Daten von einem für die Verarbeitung Verantwortlichen auf einen anderen auf Wunsch der betroffenen Person zu ermöglichen und diesen betroffenen Personen das Recht einzuräumen, eine Kopie der Daten zu erhalten, die sie selbst auf einen anderen für die Verarbeitung Verantwortlichen übertragen können (34).

3.3. Zukunftssichere Regelungen

Wir empfehlen, eine Sprache und Vorgehensweisen zu vermeiden, die überholt sein oder fragwürdig werden dürften (35).

4. Ein unvollendetes Unterfangen

Die Verabschiedung eines zukunftsorientierten EU-Datenreformpakets ist ein beeindruckendes, jedoch gleichwohl unvollendetes Unterfangen.

Alle Organe sind sich darin einig, dass die Grundsätze der Datenschutz-Grundverordnung einheitlich auf die EU-Organe anwendbar sein sollten. Wir haben Rechtssicherheit und Einheitlichkeit des rechtlichen Rahmens befürwortet und dabei zugleich anerkannt, dass der öffentliche Sektor in der EU einzigartig ist und eine Schwächung des derzeitigen Umfangs der Verpflichtungen vermieden (und die rechtliche und organisatorische Grundlage für den EDSB gelegt) werden müssen. Daher sollte die Kommission möglichst bald nach Abschluss der Verhandlungen zur Datenschutz-Grundverordnung einen Vorschlag in Einklang mit der Datenschutz-Grundverordnung zur Überarbeitung der Verordnung (EG) Nr. 45/2001 unterbreiten, damit beide Texte gleichzeitig wirksam werden können (36).

Zweitens ist klar, dass eine Änderung der Richtlinie 2002/58/EG (die „Datenschutzrichtlinie für elektronische Kommunikation“) ansteht. Viel wichtiger ist jedoch, dass die EU einen eindeutigen Rahmen für die Vertraulichkeit der Kommunikation verlangt, ein fester Bestandteil des Rechts auf Schutz der Privatsphäre, der alle Dienste regelt, die Kommunikation ermöglichen, und nicht nur Anbieter öffentlicher elektronischer Kommunikation. Dies muss mithilfe einer rechtssicheren und auf Harmonisierung ausgelegten Verordnung geschehen, die mindestens dieselben Schutzmaßstäbe wie die Datenschutzrichtlinie für elektronische Kommunikation anlegt.

Daher wird in dieser Stellungnahme empfohlen, so bald wie möglich die Verpflichtung zur raschen Annahme von Vorschlägen in diesen beiden Bereichen einzufordern.

5. Ein entscheidender Augenblick für digitale Rechte in und außerhalb von Europa

Zum ersten Mal in einer Generation hat die EU die Möglichkeit, die Vorschriften darüber, wie mit personenbezogenen Daten umgegangen wird, zu modernisieren und zu harmonisieren. Der Schutz der Privatsphäre und von personenbezogenen Daten steht nicht mit Wirtschaftswachstum und internationalem Handel und auch nicht mit hervorragenden Dienstleistungen und Produkten im Wettbewerb — er ist Teil des Qualitäts- und Leistungsversprechens. Der Europäische Rat erkennt an, dass Vertrauen die notwendige Voraussetzung für innovative Produkte und Dienstleistungen ist, die auf die Verarbeitung personenbezogener Daten angewiesen sind.

1995 war die EU Wegbereiter für den Datenschutz. Inzwischen haben mehr als 100 Länder weltweit Datenschutzgesetze erlassen, davon sind weniger als die Hälfte europäische Länder (37). Gleichwohl verlangt die EU nach wie vor von Ländern, die in Betracht ziehen, einen Rechtsrahmen einzurichten oder ihren bestehenden Rechtsrahmen zu überarbeiten, ein besonderes Augenmerk. In einer Zeit, in der das Vertrauen der Menschen in Unternehmen und Regierungen aufgrund der Enthüllungen über die Massenüberwachung („der gläserne Mensch“) und Datenschutzverletzungen erschüttert wurde, wird den EU-Gesetzgebern, deren Entscheidungen in diesem Jahr Auswirkungen haben werden, die, wie zu erwarten ist, über die Grenzen Europas hinausgehen, eine erhebliche Verantwortung aufgebürdet.

Nach Auffassung des EDSB sind die Texte der Datenschutz-Grundverordnung auf dem richtigen Weg, allerdings bleiben Bedenken bestehen, auch sehr ernsthafte. Bei einem Mitentscheidungsverfahren besteht immer das Risiko, dass bestimmte Bestimmungen durch Verhandlungsführer, die es gut meinen, auf der Suche nach einem politischen Kompromiss geschwächt werden. Bei der Datenschutzreform verhält es sich allerdings anders, denn wir haben es hier mit Grundrechten zu tun und damit, wie diese eine Generation lang geschützt werden sollen.

Auf dieser Grundlage wird mit dieser Stellungnahme versucht, die wichtigsten Organe der EU bei der Problemlösung zu unterstützen. Wir wollen nicht nur stärkere Rechte für die einzelne betroffene Person und eine verstärkte Rechenschaftspflicht für den für die Datenverarbeitung Verantwortlichen; wir wollen auch Innovation durch einen Rechtsrahmen fördern, der technologisch neutral, jedoch gegenüber den Vorteilen, die die Technologie der Gesellschaft bieten kann, positiv ausfällt.

Angesichts der Verhandlungen, die sich auf der letzten Meile befinden, hoffen wir, dass unsere Empfehlungen der EU helfen, mit einer Reform über die Ziellinie zu laufen, die in den kommenden Jahren und Jahrzehnten zweckmäßig bleiben wird: ein neues Kapitel für den Datenschutz mit einer globalen Perspektive, bei der die EU eine Leitbildfunktion übernimmt.

Brüssel, den 27. Juli 2015 Giovanni BUTTARELLI Europäischer Datenschutzbeauftragter

(1) Gemeinsame Erklärung des Europäischen Parlaments, des Rates und der Kommission Gemeinsame Erklärung zu den praktischen Modalitäten des neuen Mitentscheidungsverfahrens (Artikel 251 EG-Vertrag) (2007/C 145/02) (ABl. C 145 vom 30.6.2007).

(2) KOM(2012)11 endgültig; legislative Entschließung des Europäischen Parlaments vom 12. März 2014 zu dem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung), P7_TA(2014)0212; Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz- Grundverordnung) — Vorbereitung einer allgemeinen Ausrichtung, Ratsdokument 9565/15, 11.6.2015.

(3) Der lange Titel lautet: Vorschlag für eine Richtlinie zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder zur Vollstreckung strafrechtlicher Sanktionen durch die zuständigen Behörden oder der Strafvollstreckung sowie zum freien Datenverkehr, KOM(2012) 10 endgültig; legislative Entschließung des Europäischen Parlaments vom 12. März 2014 zu dem Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung und zum freien Datenverkehr, P7_TA(2014)0219. Zum Zeitplan und Umfang des Trilogs siehe Schlussfolgerungen des Europäischen Rates vom 25. und 26. Juni 2015, EUCO 22/15; für den Trilog wurde auf der gemeinsamen Pressekonferenz von Parlament, Rat und Kommission auf einen „Fahrplan“ verwiesen http://audiovisual.europarl.europa.eu/-AssetDetail.aspx?id=690e8d8d-682d-4755-bfb6-a4c100eda4ed [zuletzt abgerufen am 20.7.2015], der jedoch noch nicht offiziell veröffentlicht wurde. Die Datenschutz-Grundverordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt in Kraft und wird voraussichtlich zwei Jahre nach ihrem Inkrafttreten uneingeschränkt anwendbar sein (Artikel 91).

(4) Stellenausschreibung für den Europäischen Datenschutzbeauftragten COM/2014/10354 (2014/C 163 A/02), ABl. C 163 A/6 vom 28.5.2014. In der Strategie des EDSP für 2015-2019 wurde die „Suche nach tragfähigen Lösungen, bei denen Verwaltungsaufwand vermieden wird, die mit Blick auf technologische Innovationen und grenzüberschreitende Datenströme flexibel sind und es natürlichen Personen ermöglichen, ihre Rechte online und offline wirksamer durchzusetzen“ versprochen. Mit gutem Beispiel vorangehen: Strategie des EDSP für 2015-2019, März 2015.

(5) Stellungnahme des EDSB zum Datenschutzreformpaket, 7.3.2015.

(6) Siehe Anhang zum Schreiben der Artikel-29-Datenschutzgruppe an Vĕra Jourová, Kommissarin für Justiz, Verbraucherschutz und Gleichstellung, 17.6.2015.

(7) Es ist schwierig, den sachlichen und räumlichen Anwendungsbereich der Datenschutz-Grundverordnung kurz zusammenzufassen. Offenbar sind sich die Organe zumindest darin einig, dass sich der Anwendungsbereich auf Organisationen mit Sitz in der EU erstreckt, die für die Verarbeitung personenbezogener Daten entweder innerhalb oder außerhalb der EU zuständig sind, ferner auf Organisationen mit Sitz außerhalb der EU, die beim Angebot von Waren und Dienstleistungen oder der Überwachung natürlicher Personen in der EU personenbezogene Daten von natürlichen Personen in der EU verarbeiten (siehe Artikel 2 zum sachlichen Anwendungsbereich und Artikel 3 zum räumlichen Anwendungsbereich).

(8) Zu den weiteren Ergebnissen gehörte auch, dass sieben von zehn Menschen befürchten, dass ihre Informationen für andere Zwecke als für diejenigen verwendet werden, für die sie erhoben werden, ferner, dass jeder Siebte angab, dass vor der Erhebung und Verarbeitung seiner Daten seine ausdrückliche Zustimmung eingeholt werden sollte, und zwei Drittel halten es für wichtig, die Möglichkeit zu haben, personenbezogene Daten von einem alten Dienstleister auf einen neuen zu übertragen; Eurobarometer Spezial 431 zum Datenschutz, Juni 2015. Vergleichbaren Ergebnissen der Pew Research 2014 zufolge wurde festgestellt, dass 91 % der Amerikaner das Gefühl haben, die Kontrolle darüber verloren zu haben, wie Unternehmen personenbezogene Informationen sammeln und verwenden, dass 80 % der Nutzer sozialer Netzwerke besorgt sind, dass Dritte wie Werbeagenturen oder Unternehmen Zugriff auf ihre Daten erhalten, und 64 % angeben, dass die Regierung mehr unternehmen müsste, um Werbeagenturen zu regulieren; Pew Research Privacy Panel Survey, Januar 2014.

(9) Die Kommission schlägt eine umfassende Reform der Datenschutzbestimmungen vor, damit die Nutzer ihre Daten besser kontrollieren können und die Kosten für Unternehmen verringert werden.

(10) Schreiben der NRO an Präsident Juncker, 21.4.2015 https://edri.org/files/DP_letter_Juncker_20150421.pdf und Antwort des Kabinettchefs von Vizepräsident Timmermans vom 17.7.2015 https://edri.org/files/eudatap/Re_EC_EDRi-GDPR.pdf [abgerufen am 23.7.2015]. Der EDSB traf im Mai 2015 mit Vertretern mehrerer dieser NRO zusammen, um über ihre Anliegen zu sprechen; PRESSEMITTEILUNG EDPS/2015/04, 1.6.2015, EU Data Protection Reform: the EDPS meets international civil liberties groups (EU-Datenschutzreform: der EDSB trifft mit internationalen Bürgerrechtsgruppen zusammen — nur Englisch); die Aufzeichnung des Gesprächs ist auf der EDSB-Website in voller Länge abrufbar unter: (https://secure.edps.europa.eu/EDPSWEB/edps/EDPS/Pressnews/Videos/GDPR_civil_soc).

(11) Artikel 2 Absatz 2 Buchstabe e.

(12) Artikel 1.

(13) Artikel 8 der Charta besagt [Hervorhebung hinzugefügt]

„1. Jede Person hat das Recht auf Schutz der sie betreffenden personenbezogenen Daten.

2. Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. Jede Person hat das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken.

3. Die Einhaltung dieser Vorschriften wird von einer unabhängigen Stelle überwacht.“.

(14) Artikel 10. Solange es keine eindeutige und rechtsverbindliche Definition des Begriffs „pseudonymisierte Daten“ in Abgrenzung von „personenbezogenen Daten“ gibt, muss diese Art von Daten in den Geltungsbereich der Datenschutzvorschriften fallen.

(15) Artikel 6 Absatz 2 und 6 Absatz 4. Angesichts der Unsicherheit hinsichtlich der Bedeutung des Begriffs „Vereinbarkeit“ empfehlen wir entsprechend der Stellungnahme der Artikel-29-Datenschutzgruppe zur Zweckbindung, allgemeine Kriterien bei der Bewertung der Frage zugrunde zu legen, ob die Verarbeitung vereinbar ist (siehe Artikel 5 Absatz 2).

(16) Eine wirksame funktionale Trennung ist eine Möglichkeit, bei einer nicht erfolgten Einwilligung eine rechtmäßige Verarbeitung zu gewährleisten, allerdings sollten die berechtigten Interessen nicht überzogen ausgelegt werden. Auch ein bedingungsloses Widerspruchsrecht könnte in bestimmten Situationen eine geeignete Alternative darstellen. Die Bewertung der Frage, ob die Einwilligung freiwillig erteilt wurde, hängt teilweise davon ab, (a) ob zwischen der betroffenen Person und dem für die Verarbeitung Verantwortlichen ein erhebliches Ungleichgewicht besteht und (b) im Fall der Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe b, ob die Erfüllung eines Vertrags oder die Erbringung einer Dienstleistung von der Einwilligung zur Verarbeitung von Daten abhängig gemacht wird, die für diese Zwecke nicht notwendig sind. (siehe Artikel 7 Absatz 4) Dies trägt der Bestimmung des EU-Verbraucherrechts Rechnung: Nach Artikel 3 Absatz 1 der Richtlinie 93/13/EWG vom 5. April 1993 über missbräuchliche Klauseln für Verbraucher heißt es: „Eine Vertragsklausel, die nicht im einzelnen ausgehandelt wurde, ist als mißbräuchlich anzusehen, wenn sie entgegen dem Gebot von Treu und Glauben zum Nachteil des Verbrauchers ein erhebliches und ungerechtfertigtes Mißverhältnis der vertraglichen Rechte und Pflichten der Vertragspartner verursacht.“

(17) Diese Vorschriften enthalten Angemessenheitsbeschlüsse für bestimmte Sektoren und Hoheitsgebiete, regelmäßige Überprüfungen dieser Angemessenheitsbeschlüsse und verbindliche unternehmensinterne Vorschriften. Siehe Artikel 40-45.

(18) Artikel 73.

(19) Artikel 76. Bei Schwierigkeiten, Schadenersatz bei Verletzungen der Datenschutzvorschriften zu erhalten, siehe Bericht der Agentur für Grundrechte, Zugang zu Datenschutzrechtsbehelfen in EU-Mitgliedstaaten, 2013.

(20) In den EU-Vorschriften wird das Schwergewicht auf die Selbstbewertung von Unternehmen im Hinblick auf die Einhaltung von Artikel 101 AEUV über das Verbot wettbewerbswidriger Vereinbarungen gelegt, während Unternehmen in marktbeherrschender Stellung eine „besondere Verantwortung“ haben, Maßnahmen zu vermeiden, die einen wirksamen Wettbewerb beeinträchtigen könnten (Absatz 9 der Erläuterungen der Kommission 2009/C 45/02); siehe Vorläufige Stellungnahme des EDSB: Privatsphäre und Wettbewerbsfähigkeit im Zeitalter von „Big Data“, 14.3.2014.

(21) Die drei Texte beziehen sich in unterschiedlicher Art und Weise auf „in verständlicher Art und Form unter Verwendung einer klaren und einfachen Sprache“ (Erwägungsgrund (57), EP; Artikel 19, KOM und Rat), „klar und eindeutig“ sein (Erwägungsgrund (99), EP; Artikel 10a EP) und Bereitstellung „klarer und leicht verständlicher Informationen“ (Artikel 10 EP, Artikel 11 EP) und Informationen, die „prägnant, nachvollziehbar, klar und für jedermann leicht zugänglich“ sind (Erwägungsgrund (25), EP, KOM und Rat; Artikel 11 EP).

(22) Die Bestimmungen für delegierte Rechtsakte wurden in den Fassungen des Parlaments und des Rates weitgehend gestrichen. Wir sind der Auffassung, dass die EU einen Schritt weiter gehen und diese technischen Fragen dem Sachverstand unabhängiger Behörden überlassen könnte.

(23) Unsere Empfehlungen würden einen Text von rund 20 000 Wörtern ergeben; die durchschnittliche Länge der Texte der drei Organe liegt bei rund 28 000 Wörtern.

(24) Artikel 22.

(25) Artikel 31 und 33.

(26) Artikel 39.

(27) Artikel 83. Forschung und Archivierung bieten an sich keine rechtliche Grundlage für die Verarbeitung; deshalb empfehlen wir, Artikel 6 Absatz 2 zu streichen.

(28) Artikel 83a.

(29) Die Artikel-29-Datenschutzgruppe hat eine Vision für Governance, den Konsistenzmechanismus sowie die zentrale Anlaufstelle auf der Grundlage des Vertrauens in unabhängige Datenschutzbehörden dargelegt und auf drei Ebenen formuliert:

— die einzelne Datenschutzbehörde, die stark ist und mit allen notwendigen Ressourcen für die Bearbeitung von Fällen, die in ihren Zuständigkeitsbereich fallen, ausgestattet wird;

— wirksame Zusammenarbeit zwischen der Datenschutzbehörde, die eindeutig für grenzübergreifende Fälle zuständig ist,

— und dem EDSB, der eigenständig und mit einer eigenen Rechtspersönlichkeit sowie mit ausreichenden Mitteln ausgestattet ist; ihr gehören gleichberechtigte Datenschutzbehörden an, die solidarisch zusammenarbeiten und befugt sind, rechtsverbindliche Entscheidungen zu treffen und von einem Sekretariat unterstützt werden, das über seinen Vorsitzenden für den Ausschuss tätig ist.

(30) Wir empfehlen außerdem, die Zuständigkeit der Aufsichtsbehörden sowie die Einsetzung einer federführenden Behörde in Fällen einer länderübergreifenden Verarbeitung zu klären und dabei die Fähigkeit der Aufsichtsbehörden, rein lokale Fälle zu bearbeiten, beizubehalten. Wir empfehlen eine vereinfachte Version des Konsistenzmechanismus mit mehr Klarheit in der Frage, wie Fälle ermittelt werden können, in denen die Aufsichtsbehörden den Europäischen Datenschutzausschuss konsultieren müssen und in denen der Ausschuss eine verbindliche Entscheidung erlassen muss, damit die Verordnung einheitlich angewandt wird.

(31) Mitteilung der Kommission „Strategie für einen digitalen Binnenmarkt für Europa“, COM(2015) 192 final; Schlussfolgerungen des Europäischen Rates, Juni 2015, EUCO 22/15; Schlussfolgerungen des Rates zum digitalen Wandel der europäischen Industrie, 8993/15.

(32) Artikel 14 Buchstabe h

(33) Artikel 23.

(34) Artikel 18. Wir empfehlen ferner einen weit gefassten Anwendungsbereich, wenn das Recht auf Datenübertragbarkeit wirksam sein soll, und wir empfehlen, dieses Recht nicht nur auf Verarbeitungsvorgänge anzuwenden, bei denen die von der betroffenen Person zur Verfügung gestellten Daten verwendet werden.

(35) Wir empfehlen beispielsweise, Begriffe wie „online“, „schriftlich“ und „die Informationsgesellschaft“ wegzulassen.

(36) Eine Option, die wir bevorzugen würden, lautet, dies in Form einer Bestimmung in der Datenschutz-Grundverordnung selbst zu tun.

(37) Greenleaf, Graham, Global Data Privacy Laws 2015: 109 Countries, with European Laws Now a Minority (30. Januar 2015); (2015) 133 Privacy Laws & Business International Report, Februar 2015; UNSW Law Research Paper No. 2015-21.