Mitteilung der Kommission an das Europäische Parlament und den Rat

Datenschutzvorschriften als Voraussetzung für Vertrauen in der EU und darüber hinaus – eine Bilanz

I.Einleitung

Die Datenschutz-Grundverordnung (im Folgenden „Verordnung“) gilt seit nunmehr über einem Jahr in der gesamten Europäischen Union. Sie bildet das Kernstück einer einheitlichen und modernisierten EU-Datenschutzlandschaft, zu der auch die Richtlinie zum Datenschutz bei der Strafverfolgung sowie die Verordnung über den Datenschutz in den Organen und Einrichtungen der Union gehören. Die derzeit im Gesetzgebungsverfahren befindliche e-Datenschutz-Verordnung soll diesen Rahmen künftig ergänzen.

Wirksame Datenschutzvorschriften sind für die Wahrung des Grundrechts auf Schutz personenbezogener Daten von wesentlicher Bedeutung. Sie spielen in einer demokratischen Gesellschaft eine zentrale Rolle und sind ein wichtiger Bestandteil einer zunehmend datengestützten Wirtschaft. Die EU will die zahlreichen Chancen des digitalen Wandels im Hinblick auf Dienstleistungen, Arbeitsplätze und Innovation nutzen und gleichzeitig die damit verbundenen Herausforderungen in Angriff nehmen. Identitätsdiebstahl, das Durchsickern sensibler Daten, die Diskriminierung des Einzelnen, eingebaute Vorurteile, die Weitergabe illegaler Inhalte und die Entwicklung intrusiver Überwachungsverfahren sind nur einige Beispiele für Themen, die im öffentlichen Diskurs immer häufiger zutage treten. Dass die Bürgerinnen und Bürger erwarten, dass ihre Daten geschützt werden, ist dabei deutlich zu spüren.

Datenschutz ist inzwischen ein weltweites Phänomen: Immer mehr Menschen schätzen den Schutz und die Sicherheit ihrer Daten. Zahlreiche Länder haben in Anlehnung an die Grundsätze der Verordnung bereits umfassende Datenschutzvorschriften erlassen oder sind dabei, das zu tun. Dadurch gleichen sich die Datenschutzvorschriften weltweit immer weiter an. Daraus ergeben sich neue Möglichkeiten für die Vereinfachung des Datenverkehrs zwischen gewerblichen Akteuren oder Behörden, gleichzeitig jedoch verbessert sich dadurch das Schutzniveau für personenbezogene Daten in der EU und rund um den Globus.

Nie zuvor wurde Datenschutz so ernst genommen wie heute. Seine Wirkung auf verschiedene Interessengruppen und Wirtschaftszweige ist bedeutend. Die Kommission ist entschlossen, die EU zu einer erfolgreichen Umsetzung der neuen Datenschutzregelung zu führen und alle Schritte, die für ihre uneingeschränkte Anwendung notwendig sind, zu unterstützen. Mit der vorliegenden Mitteilung zieht die Kommission die Bilanz der bislang erreichten Ergebnisse, und zwar in Bezug auf die einheitliche Umsetzung der Datenschutzvorschriften in der EU, die Funktionsfähigkeit des neuen Verwaltungssystems, die Auswirkungen für die Bürgerinnen und Bürger und Unternehmen sowie die Anstrengungen der EU in Verbindung mit der weltweiten Angleichung der Datenschutzregelungen. Diese Mitteilung knüpft an die Mitteilung der Kommission vom Januar 2018 zur Anwendbarkeit der Verordnung an und beruht inhaltlich auf den Ausführungen der Multi-Stakeholder-Gruppe, insbesondere deren Beitrag zur Ein-Jahres-Bilanz, sowie auf den Diskussionen, die am 13. Juni 2019 im Rahmen der von der Kommission organisierten Bestandsaufnahme geführt wurden. Darüber hinaus versteht sich die Mitteilung als ein Beitrag zur Überprüfung, die die Kommission bis Mai 2020 durchführen will.

Der EU-Datenschutzrahmen ist ein Grundpfeiler des europäischen Innovationsansatzes, der den Menschen in den Mittelpunkt stellt. Er entwickelt sich immer mehr zu einem festen Bestandteil des Regelwerks für ein wachsendes Spektrum von Politikbereichen, darunter Gesundheit und Forschung, künstliche Intelligenz, Verkehr, Energie, Wettbewerb und Strafverfolgung. Die Kommission hat – beispielsweise in ihrer Mitteilung zur Anwendbarkeit der Verordnung vom Januar 2018 sowie in ihrem Leitfaden zur Verwendung personenbezogener Daten im Zusammenhang mit Wahlen vom September 2018 – immer wieder hervorgehoben, wie wichtig es ist, dass die neuen Datenschutzvorschriften ordnungsgemäß um- und durchgesetzt werden. Zwar konnten bis dato bereits erhebliche Fortschritte beim Erreichen dieses Ziels verzeichnet werden, doch die uneingeschränkte Anwendung der Verordnung erfordert weitere Anstrengungen.

II.Ein Kontinent, ein Recht: der Datenschutzrahmen gilt in allen Mitgliedstaaten

Ein Kernziel der Verordnung war es, die fragmentierte Landschaft aus 28 unterschiedlichen nationalen Regelungen, die unter der alten Datenschutzrichtlinie galten, hinter sich zu lassen und für Einzelpersonen und Unternehmen EU-weit für Rechtssicherheit zu sorgen. Dieses Ziel wurde weitgehend erreicht.

Harmonisierung des Rechtsrahmens

Obwohl die Verordnung unmittelbar in allen Mitgliedstaaten gilt, verpflichtete sie diese zum Erlass einiger rechtlicher Maßnahmen auf nationaler Ebene. Hier seien insbesondere die Einrichtung nationaler Datenschutzbehörden und die Zuweisung von Befugnissen an diese, die Festlegung von Vorschriften zu spezifischen Themen wie der Vereinbarkeit des Schutzes personenbezogener Daten mit der Meinungs- und Informationsfreiheit sowie die Änderung oder Aufhebung sektorspezifischer Vorschriften mit datenschutzrelevanten Inhalten genannt. Bis zur Veröffentlichung dieser Mitteilung hatten alle Mitgliedstaaten bis auf drei ihr allgemeines nationales Datenschutzrecht aktualisiert. Die Anpassung sektorspezifischer Vorschriften auf mitgliedstaatlicher Ebene ist noch im Gange. Im Zuge ihrer Aufnahme in das Abkommen über den Europäischen Wirtschaftsraum wurde die Geltung der Verordnung auf Norwegen, Island und Liechtenstein ausgeweitet, welche ebenfalls nationale Datenschutzvorschriften erließen.

Die betroffenen Interessengruppen fordern für bestimmte Bereiche allerdings einen noch höheren Harmonisierungsgrad. Die Verordnung lässt den Mitgliedstaaten einen gewissen Spielraum für die nähere Präzisierung ihrer Anwendung in bestimmten Bereichen, etwa beim Mindestalter von Kindern für die Einwilligung bei Online-Diensten oder bei der Verarbeitung personenbezogener Daten in Bereichen wie der Medizin oder der öffentlichen Gesundheit. Die Mitgliedstaaten müssen sich in diesem Fall an diese beiden Kriterien halten:

I)nationale präzisierende Vorschriften müssen den Anforderungen der Charta der Grundrechte entsprechen (und dürfen die Grenzen der Verordnung, welche auf der Charta aufbaut, nicht überschreiten);

II)sie dürfen den freien Verkehr personenbezogener Daten in der EU nicht beeinträchtigen.

Teilweise haben die Mitgliedstaaten zusätzlich zur Verordnung Anforderungen auf nationaler Ebene festgelegt, und zwar insbesondere durch zahlreiche sektorspezifische Vorschriften, was zu einer Fragmentierung und zu unnötigen Belastungen führt. Ein Beispiel für eine Anforderung, die von den Mitgliedstaaten zusätzlich zur Verordnung festgelegt wurde, ist die Verpflichtung nach deutschem Recht, für Unternehmen mit mindestens 20 Mitarbeitern oder solche, die dauerhaft personenbezogene Daten automatisiert verarbeiten, einen Datenschutzbeauftragten zu bestellen.

Weitere Anstrengungen für eine stärkere Harmonisierung

Die Kommission führt bilaterale Gespräche mit nationalen Behörden, wobei sie in Bezug auf einzelstaatliche Vorschriften insbesondere auf folgende Punkte achtet:

·die wirksame Unabhängigkeit von Datenschutzbehörden, u. a. im Sinne ihrer angemessenen finanziellen, personellen und technischen Ausstattung;