Vorschlag für VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) /* KOM/2012/011 endgültig - 2012/0011 (COD) */





BEGRÜNDUNG 1. KONTEXT Der in der Mitteilung KOM(2012) 9[1] skizzierte Vorschlag der Kommission für einen neuen Rechtsrahmen zum Schutz personenbezogener Daten in der EU wird im Folgenden näher erläutert. Die vorgeschlagene neue Datenschutzregelung besteht aus zwei Teilen: – einem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) und – einem Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr[2]. Diese Begründung bezieht sich auf den Legislativvorschlag für die Datenschutz-Grundverordnung. Kernstück der EU-Vorschriften zum Schutz personenbezogener Daten ist die Richtlinie 95/46/EG[3] aus dem Jahr 1995, die auf zweierlei abzielt: Schutz des Grundrechts auf Datenschutz und Garantie des freien Verkehrs personenbezogener Daten zwischen den Mitgliedstaaten. Ergänzt wurde die Richtlinie durch den Rahmenbeschluss 2008/977/JI, der den Schutz personenbezogener Daten im Bereich der polizeilichen und justiziellen Zusammenarbeit in Strafsachen regelt.[4] Der rasche technologische Fortschritt stellt den Datenschutz vor neue Herausforderungen. Das Ausmaß, in dem Daten ausgetauscht und erhoben werden, hat rasant zugenommen. Die Technik macht es möglich, dass Privatwirtschaft und Staat im Rahmen ihrer Tätigkeiten in einem noch nie dagewesenen Umfang auf personenbezogene Daten zurückgreifen. Zunehmend werden auch private Informationen ins weltweite Netz gestellt und damit öffentlich zugänglich gemacht. Die Informationstechnologie hat das wirtschaftliche und gesellschaftliche Leben gründlich verändert. Die wirtschaftliche Entwicklung setzt Vertrauen in die Online-Umgebung voraus. Verbraucher, denen es an Vertrauen mangelt, scheuen Online-Einkäufe und neue Dienste. Hierdurch könnte sich die Entwicklung innovativer Anwendungen neuer Technologien verlangsamen. Der Schutz personenbezogener Daten spielt daher eine zentrale Rolle in der Digitalen Agenda für Europa[5] und allgemein in der Strategie Europa 2020[6]. In Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV), der mit dem Vertrag von Lissabon eingeführt wurde, ist der Grundsatz verankert, wonach jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten hat. Seit dem Vertrag von Lissabon verfügt die Union mit Artikel 16 Absatz 2 AEUV überdies über eine besondere Rechtsgrundlage für den Erlass von Datenschutzvorschriften. Der Schutz personenbezogener Daten ist in Artikel 8 der EU-Grundrechtecharta als Grundrecht ausgestaltet. Der Europäische Rat hat die Kommission ersucht, die Funktionsweise der verschiedenen Rechtsinstrumente zum Datenschutz zu bewerten und erforderlichenfalls weitere Initiativen legislativer und nicht-legislativer Art vorzulegen.[7] In seiner Entschließung zum Stockholmer Programm begrüßte das Europäische Parlament[8] den Vorschlag, eine umfassende Regelung für den Schutz personenbezogener Daten innerhalb der Europäischen Union zu schaffen, und forderte unter anderem eine Überarbeitung des Rahmenbeschlusses 2008/977/JI. In ihrem Aktionsplan zur Umsetzung des Stockholmer Programms[9] betonte die Kommission die Notwendigkeit, in allen Bereichen der EU-Politik für eine konsequente Anwendung des Grundrechts auf Datenschutz zu sorgen. Die EU braucht, wie die Kommission in ihrer Mitteilung über ein Gesamtkonzept für den Datenschutz in der Europäischen Union[10] feststellte, ein umfassenderes, kohärenteres Konzept für das Grundrecht auf Schutz personenbezogener Daten. Die Ziele und Grundsätze der derzeitigen Datenschutzregelung bleiben gültig, aber sie hat eine unterschiedliche Handhabung des Datenschutzes in der Union, Rechtsunsicherheit sowie die weit verbreitete öffentliche Meinung, dass speziell im Internet der Datenschutz nicht immer gewährleistet ist, nicht verhindern können.[11] Deshalb ist es jetzt an der Zeit, eine konsequentere, kohärentere Datenschutzregelung in der EU zu schaffen, die durchsetzbar ist und die Voraussetzungen dafür bietet, dass die digitale Wirtschaft im Binnenmarkt weiter Fuß fasst, die Bürger Kontrolle über ihre eigenen Daten erhalten und die Sicherheit für Wirtschaft und Staat in rechtlicher wie praktischer Hinsicht erhöht wird. 2. ERGEBNISSE DER ANHÖRUNGEN UND FOLGENABSCHÄTZUNGEN Diese Initiative zur Überarbeitung der derzeitigen Datenschutzbestimmungen ist das Ergebnis umfassender Konsultationen, die über zwei Jahre andauerten und an denen die wichtigsten Interessengruppen beteiligt waren. Im Mai 2009[12] wurde eine Konferenz abgehalten, an der hochrangige Vertreter aus den Mitgliedstaaten teilnahmen. Die öffentliche Konsultation fand in zwei Phasen statt: – 9. Juli bis 31. Dezember 2009 – Konsultation zum Rechtsrahmen für das Grundrecht auf Schutz personenbezogener Daten: Bei der Kommission gingen 168 Antworten ein: 127 von Einzelpersonen, Vereinigungen, Wirtschafts- und Fachverbänden sowie 12 von öffentlicher Seite.[13] – 4. November 2010 bis 15. Januar 2011 – Konsultation zum Gesamtkonzept der Kommission für den Datenschutz in der Europäischen Union. Die Kommission erhielt 305 Antworten: 54 von Bürgern, 31 von staatlicher Seite und 220 von privaten Organisationen, insbesondere von Unternehmensverbänden und Nichtregierungsorganisationen.[14] Daneben fanden Anhörungen mit wichtigen Interessenträgern zu speziellen Themen statt. Im Juni und Juli 2010 wurden Veranstaltungen für die Behörden der Mitgliedstaaten und private Interessengruppen sowie für Datenschutz- und Verbraucherverbände organisiert.[15] Im November 2010 veranstaltete die Vizepräsidentin der Europäischen Kommission Reding einen Runden Tisch zur Datenschutzreform. Am 28. Januar 2011 (Tag des Datenschutzes) veranstaltete die Europäische Kommission gemeinsam mit dem Europarat eine Konferenz mit hochrangigen Vertretern, auf der Themen im Zusammenhang mit der Datenschutzreform der EU sowie die Notwendigkeit gemeinsamer weltweiter Datenschutzstandards erörtert wurden.[16] Zwei weitere Konferenzen fanden am 16./17. Juni 2011 und 21. September 2011 auf Betreiben der ungarischen bzw. der polnischen Ratspräsidentschaft statt. Daneben wurden 2011 im Laufe des Jahres Fachseminare und Workshops zu einzelnen Themenschwerpunkten abgehalten. Im Januar veranstaltete die Europäische Agentur für Netz- und Informationssicherheit (ENISA)[17] einen Workshop, der sich mit der Meldung von Datenschutzverstößen in Europa befasste[18]. Im Februar fand ein Workshop der Kommission mit Behörden der Mitgliedstaaten statt, auf dem über Datenschutz bei der polizeilichen und justiziellen Zusammenarbeit in Strafsachen und über die Umsetzung des Rahmenbeschlusses gesprochen wurde. Gleichzeitig veranstaltete die Grundrechte-Agentur eine Konsultationssitzung zum Thema „Datenschutz und Schutz der Privatsphäre“. Eine Diskussion mit nationalen Datenschutzbehörden über Kernpunkte der Reform fand am 13. Juli 2011 statt. Die EU-Bürger konnten sich bei einer Eurobarometer-Umfrage äußern, die von November bis Dezember 2010 durchgeführt wurde[19]. Darüber hinaus sind auch eine Reihe von Studien in Auftrag gegeben worden.[20] Von der Artikel-29-Datenschutzgruppe,[21] die mehrere Stellungnahmen abgab, erhielt die Kommission sachdienliche Beiträge[22]. Zu den Fragen, die die Kommission in ihrer Mitteilung vom November 2010 aufgeworfen hatte, nahm auch der Europäische Datenschutzbeauftragte umfassend Stellung.[23] Mit seiner Entschließung vom 6. Juli 2011 billigte das Europäische Parlament einen Bericht, der das Konzept der Kommission für die Reform des Datenschutzrechts unterstützte.[24] Am 24. Februar 2011 nahm der Rat der Europäischen Union Schlussfolgerungen an, in denen er das Reformvorhaben der Kommission generell befürwortete und der Vorgehensweise der Kommission in vielen Punkten zustimmte. Auch der Europäische Wirtschafts- und Sozialausschuss unterstützte das Ziel der Kommission, durch eine angemessene Überarbeitung der Richtlinie 95/46/EG für eine kohärente Anwendung der EU-Datenschutzregeln in allen Mitgliedstaaten zu sorgen.[25] Im Zuge der Konsultationen zum Datenschutz-Gesamtkonzept stellte eine breite Mehrheit der Teilnehmer fest, dass die allgemeinen Grundsätze zwar nach wie vor gültig sind, die derzeitige Regelung aber angepasst werden muss, um besser auf die rasante Entwicklung neuer Technologien (vor allem von Online-Technologien) und die zunehmende Globalisierung reagieren zu können. Die Datenschutzregelung sollte allerdings technologieneutral bleiben. Die unterschiedliche Handhabung des Datenschutzes in der Union wurde vor allem von der Wirtschaft stark kritisiert. Gefordert wurde mehr Rechtssicherheit und eine stärkere Angleichung der Datenschutzvorschriften. Die komplexen Vorschriften für den internationalen Transfer personenbezogener Daten werden von den Unternehmen, die regelmäßig personenbezogene Daten aus der EU ins Ausland transferieren müssen, als beträchtliches Hemmnis für ihre Tätigkeit angesehen. Entsprechend ihrer Strategie für eine bessere Rechtsetzung hat die Kommission eine Folgenabschätzung der in Frage kommenden Optionen vorgenommen[26]. Grundlage der Folgenabschätzung waren drei Zielsetzungen: Stärkung der Binnenmarktdimension beim Datenschutz, wirksamere Ausübung der Datenschutzrechte durch den Einzelnen und Schaffung einer umfassenden, kohärenten Regelung für alle Zuständigkeitsbereiche der Union einschließlich der polizeilichen und justiziellen Zusammenarbeit in Strafsachen. Drei Optionen mit unterschiedlicher Eingriffswirkung wurden geprüft: Die erste Option sieht minimale legislative Änderungen und Mitteilungen zu Auslegungsfragen sowie unterstützende Maßnahmen wie Finanzierungsprogramme und technische Hilfsmittel vor. Die zweite Option besteht aus einer punktuellen Regelung der in der Analyse festgestellten Problemstellungen, während die dritte Option eine Verankerung des Datenschutzes auf EU-Ebene durch präzise, detaillierte Vorschriften für alle Sektoren und die Gründung einer EU-Agentur für die Überwachung und Durchsetzung der Vorschriften vorsieht. Bei jeder Option wurde entsprechend der üblichen Vorgehensweise der Kommission mithilfe einer Lenkungsgruppe mit Vertretern aus den beteiligten Generaldirektionen der Kommission geprüft, inwieweit mit der Option die Zielvorgaben erreicht werden, wie sich die Option wirtschaftlich auswirkt (auch auf den Haushalt der EU-Organe), welche sozialen Auswirkungen mit ihr verbunden sind und welche Auswirkungen auf die Grundrechte zu erwarten sind. Auswirkungen auf die Umwelt wurden nicht festgestellt. Nach Betrachtung der einzelnen Optionen in ihrer Gesamtwirkung wurde die hier favorisierte Option ausgearbeitet, die auf der zweiten Option basiert mit Elementen aus den anderen beiden Optionen. Diese Option wird der Folgenabschätzung zufolge erhebliche Verbesserungen bringen unter anderem durch mehr Rechtssicherheit für die Bürger und für die für die Datenverarbeitung Verantwortlichen, durch einen geringeren Verwaltungsaufwand, eine einheitlichere Anwendung des Datenschutzrechts in der Union, durch die konkrete Möglichkeit für den Einzelnen, seine Rechte auf Schutz seiner personenbezogenen Daten innerhalb der EU wahrzunehmen, und durch eine wirksame Überwachung und Durchsetzung des Datenschutzes. Es wird erwartet, dass die hier bevorzugte Option auch dazu beitragen wird, die Ziele, die sich die Kommission in Bezug auf Verwaltungsvereinfachung und Verringerung des Verwaltungsaufwands gesteckt hat, sowie die Zielvorgaben der Digitalen Agenda für Europa, des Stockholmer Aktionsplans und der Strategie Europa 2020 zu erreichen. Der Ausschuss für Folgenabschätzung nahm am 9. September 2011 zum Entwurf der Folgenabschätzung Stellung. Die Folgenabschätzung wurde daraufhin wie folgt abgeändert: – Präzisiert wurde, inwieweit die Ziele der derzeitigen Datenschutzregelung erreicht oder nicht erreicht worden sind. Die Reformziele wurden klarer formuliert. – Die Dokumentation im Abschnitt „Problemstellung“ wurde ergänzt und es wurden zusätzliche Erläuterungen eingefügt. – Zum Thema „Verhältnismäßigkeit“ wurde ein neuer Abschnitt aufgenommen. – Alle Berechnungen und Schätzungen, die den Verwaltungsaufwand im Ausgangsszenario und in der bevorzugten Option betrafen, wurden vollständig überprüft und korrigiert. Das Verhältnis zwischen den Meldekosten und den durch die unterschiedliche Rechtslage bedingten Gesamtkosten wurde präzisiert (einschließlich Anhang 10). – Die Auswirkungen auf Kleinst-, Klein- und Mittelunternehmen, insbesondere in Bezug auf den Datenschutzbeauftragten und die Datenschutz-Folgenabschätzung, wurden detaillierter beschrieben. Die Folgenabschätzung und deren Kurzfassung werden zusammen mit den Vorschlägen veröffentlicht. 3. RECHTLICHE ASPEKTE 3.1. Rechtsgrundlage Dieser Vorschlag ist auf Artikel 16 AEUV, der neuen durch den Vertrag von Lissabon eingeführten Rechtsgrundlage für den Erlass von Datenschutzvorschriften, gestützt. Danach kann die Union den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Mitgliedstaaten regeln, wenn die Verarbeitung im Rahmen der Ausübung von Tätigkeiten erfolgt, die in den Anwendungsbereich des Unionsrechts fallen. Auch Vorschriften für den freien Verkehr personenbezogener Daten – auch solcher, die von den Mitgliedstaaten oder von nicht-öffentlichen Stellen verarbeitet werden – können auf dieser Grundlage erlassen werden. Zur Regelung des Schutzes personenbezogener Daten in der Union ist eine Verordnung als Rechtsinstrument am besten geeignet. Aufgrund ihrer unmittelbaren Anwendbarkeit nach Artikel 288 AEUV trägt sie zur Rechtsvereinheitlichung bei und erhöht die Rechtssicherheit durch die Einführung harmonisierter Kernbestimmungen und durch einen besseren Grundrechtsschutz. Auf diese Weise sorgt sie gleichzeitig für einen besser funktionierenden Binnenmarkt. Die Bezugnahme auf Artikel 114 Absatz 1 AEUV ist für die Änderung der Richtlinie 2002/58/EG nur insoweit notwendig, als diese Richtlinie auch den Schutz der berechtigten Interessen von Teilnehmern vorsieht, bei denen es sich um juristische Personen handelt. 3.2. Subsidiarität und Verhältnismäßigkeit Nach dem Subsidiaritätsprinzip (Artikel 5 Absatz 3 EUV) wird die Union nur tätig, sofern und soweit die Ziele der in Betracht gezogenen Maßnahmen von den Mitgliedstaaten allein nicht ausreichend verwirklicht werden können, sondern vielmehr wegen ihres Umfangs oder ihrer Wirkungen auf Unionsebene besser zu verwirklichen sind. Im Hinblick auf die beschriebene Problematik zeigt die Subsidiaritätsanalyse, dass aus folgenden Gründen Maßnahmen auf EU-Ebene notwendig sind: – Das Recht auf Schutz personenbezogener Daten, das in Artikel 8 der Grundrechtecharta verankert ist, verlangt ein unionsweit einheitliches Datenschutzniveau. Ohne gemeinsame EU-Vorschriften bestünde die Gefahr, dass der Datenschutz in den Mitgliedstaaten nicht in gleichem Maße gewährleistet ist, was den grenzüberschreitenden Verkehr personenbezogener Daten zwischen Mitgliedstaaten mit unterschiedlichen Datenschutzanforderungen behindern würde. – Der Transfer personenbezogener Daten sowohl in andere EU-Staaten als auch in Drittstaaten nimmt rasant zu. Die praktischen Schwierigkeiten bei der Durchsetzung der Datenschutzvorschriften und die hierzu notwendige Zusammenarbeit zwischen den Mitgliedstaaten und ihren Behörden erfordern eine Organisation auf EU-Ebene, um die einheitliche Anwendung des Unionsrechts zu gewährleisten. Die EU ist auch die geeignete Ebene, um sicherzustellen, dass alle Betroffenen bei der Übermittlung personenbezogener Daten in Drittländer effektiv in gleichem Maße geschützt sind. – Die Mitgliedstaaten können die derzeitigen Probleme – vor allem die durch die Uneinheitlichkeit der nationalen Vorschriften bedingten Probleme – nicht allein überwinden. Es besteht daher ein besonderer Bedarf an einer harmonisierten, kohärenten Regelung, die einen reibungslosen Transfer personenbezogener Daten innerhalb der EU ermöglicht und gleichzeitig EU-weit allen Betroffenen einen wirksamen Datenschutz garantiert. – Wegen Art und Umfang der Probleme, die nicht auf einen oder mehrere Mitgliedstaaten beschränkt sind, werden die vorgeschlagenen Legislativmaßnahmen der EU eine größere Wirkung entfalten als vergleichbare Maßnahmen auf Ebene der Mitgliedstaaten. Nach dem Verhältnismäßigkeitsprinzip muss jedes Handeln zielgerichtet sein und darf nicht über das hinausgehen, was für die Erreichung der angestrebten Ziele notwendig ist. An diesem Grundsatz hat sich die Ausarbeitung dieses Vorschlags von der Feststellung und Analyse der möglichen Optionen bis hin zu seiner Formulierung orientiert. 3.3. Zusammenfassung der Grundrechtsaspekte Das Recht auf Schutz personenbezogener Daten ist in Artikel 8 der Grundrechtecharta, Artikel 16 AEUV und in Artikel 8 der EMRK verankert. Wie der Gerichtshof der EU betont hat,[27] kann das Recht auf Schutz der personenbezogenen Daten jedoch keine uneingeschränkte Geltung beanspruchen, sondern muss im Hinblick auf seine gesellschaftliche Funktion gesehen werden.[28] Datenschutz und Achtung des Privat- und Familienlebens, das durch Artikel 7 der Charta geschützt ist, hängen eng zusammen. Dies geht aus Artikel 1 Absatz 1 der Richtlinie 95/46/EG hervor, wonach die Mitgliedstaaten nach den Bestimmungen dieser Richtlinie den Schutz der Grundrechte und Grundfreiheiten und insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten gewährleisten. Auch andere in der Charta verankerte Grundrechte können betroffen sein: z. B. die Freiheit der Meinungsäußerung (Artikel 11 der Charta), die unternehmerische Freiheit (Artikel 16), das Recht auf Eigentum, insbesondere der Schutz des geistigen Eigentums (Artikel 17 Absatz 2), das Verbot einer Diskriminierung unter anderem wegen der Rasse, der ethnischen Herkunft, der genetischen Merkmale, der Religion oder der Weltanschauung, der politischen oder sonstigen Anschauung, einer Behinderung oder der sexuellen Ausrichtung (Artikel 21), die Rechte des Kindes (Artikel 24), das Recht auf ein hohes Gesundheitsschutzniveau (Artikel 35), das Recht auf Zugang zu Dokumenten (Artikel 42) und das Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren (Artikel 47). 3.4. Erläuterung des Vorschlags im Einzelnen 3.4.1. KAPITEL I – ALLGEMEINE BESTIMMUNGEN Artikel 1 bestimmt den Gegenstand der Verordnung und – wie Artikel 1 der Richtlinie 95/46/EG – ihre beiden Zielsetzungen. Artikel 2 bestimmt den sachlichen Anwendungsbereich der Verordnung. Artikel 3 bestimmt den räumlichen Anwendungsbereich der Verordnung. Artikel 4 enthält die Begriffsbestimmungen. Einige Definitionen stammen aus der Richtlinie 95/46/EG, andere wurden abgeändert, ergänzt oder neu eingeführt („Verletzung des Schutzes personenbezogener Daten“ auf der Grundlage von Artikel 2 Buchstabe h der Datenschutzrichtlinie für elektronische Kommunikation 2002/58/EG[29] in der durch die Richtlinie 2009/136/EG[30] geänderten Fassung, „genetische Daten“, „biometrische Daten“, „Gesundheitsdaten“, „Hauptniederlassung“, „Vertreter“, „Unternehmen“, „Unternehmensgruppe“, „verbindliche unternehmensinterne Vorschriften“, „Kind“ im Sinne der UN-Kinderrechtskonvention[31] und „Aufsichtsbehörde“). Bei der Definition des Begriffs „Einwilligung“ wurde das Kriterium „explizit“ eingefügt, um eine Verwechslung mit einer „ohne jeden Zweifel“ erteilten Einwilligung zu vermeiden und sicherzustellen, dass der betroffenen Person bewusst ist, dass sie eine Einwilligung erteilt hat und worin sie eingewilligt hat. 3.4.2. KAPITEL II – GRUNDSÄTZE In Artikel 5 sind die Grundsätze für die Verarbeitung personenbezogener Daten niedergelegt, die denen in Artikel 6 der Richtlinie 95/46/EG entsprechen. Neu hinzugekommen ist unter anderem das Transparenzprinzip, der Grundsatz der Datenminimierung wurde klarer gefasst, und es wurde eine umfassende Verantwortung und Haftung des für die Datenverarbeitung Verantwortlichen eingeführt. Artikel 6, der auf Artikel 7 der Richtlinie 95/46/EG gestützt ist, enthält die Kriterien für eine rechtmäßige Verarbeitung, die weiter konkretisiert werden in Bezug auf die Interessenabwägung und die Erfüllung rechtlicher Verpflichtungen und Aufgaben im öffentlichen Interesse. Artikel 7 bestimmt, unter welchen Voraussetzung eine Einwilligung eine rechtswirksame Grundlage für eine rechtmäßige Verarbeitung darstellt. Artikel 8 enthält weitere Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten von Kindern im Zusammenhang mit Diensten der Informationsgesellschaft, die Kindern direkt angeboten werden. Artikel 9 enthält in Anlehnung an Artikel 8 der Richtlinie 95/46/EG das allgemeine Verbot für die Verarbeitung besonderer Kategorien personenbezogener Daten sowie die Ausnahmen von diesem Verbot. Artikel 10 stellt klar, dass ein für die Verarbeitung Verantwortlicher allein zur Einhaltung einer Vorschrift dieser Verordnung keine zusätzlichen Informationen einholen muss, um die betroffene Person zu identifizieren. 3.4.3. KAPITEL III – RECHTE DER BETROFFENEN PERSON 3.4.3.1. Abschnitt 1 – Transparenz und Modalitäten Artikel 11 führt eine Verpflichtung zur Bereitstellung transparenter, leicht zugänglicher und verständlicher Informationen ein, die sich insbesondere an die Madrider Entschließung zu Internationalen Standards zum Schutz der Privatsphäre[32] anlehnt. Artikel 12 verpflichtet den für die Verarbeitung Verantwortlichen, Verfahren und Vorkehrungen für die Ausübung der Rechte der betroffenen Personen einschließlich Möglichkeiten für die Antragstellung auf elektronischem Weg vorzusehen, innerhalb einer bestimmten Frist auf den Antrag einer betroffenen Person zu reagieren und eine Ablehnung des Antrags zu begründen. Artikel 13 erstreckt die auf der Grundlage von Artikel 12 Buchstabe c der Richtlinie 95/46/EG in Bezug auf die Empfänger vorgesehenen Rechte auf alle Empfänger, d. h. auch auf die gemeinsam für die Verarbeitung Verantwortlichen und die Auftragsverarbeiter. 3.4.3.2. Abschnitt 2 – Information und Auskunftsrecht In Artikel 14 werden die Informationspflichten des für die Verarbeitung Verantwortlichen gegenüber der betroffenen Person weiter ausgeführt, die über die Artikel 10 und 11 der Richtlinie 95/46/EG hinaus über die Speicherfrist, das Beschwerderecht, die Datenübermittlung ins Ausland und die Quelle, aus der die Daten stammen, zu unterrichten ist. Die Ausnahmebestimmungen der Richtlinie 95/46/EG werden beibehalten, d. h. die Informationspflicht besteht nicht, wenn die Erfassung oder Weitergabe der Daten per Gesetz ausdrücklich vorgesehen ist. Beispiele hierfür sind Verfahren der Wettbewerbs-, Steuer- oder Zollbehörden oder von Diensten, die für Angelegenheiten der sozialen Sicherheit zuständig sind. Artikel 15, der auf Artikel 12 Buchstabe a der Richtlinie 95/46/EG gestützt ist, regelt das Recht der betroffenen Person auf Auskunft über ihre personenbezogenen Daten und darüber hinaus das Recht, über die Speicherfrist informiert zu werden, das Recht auf Berichtigung, das Recht auf Löschung sowie das Beschwerderecht. 3.4.3.3. Abschnitt 3 – Berichtigung und Löschung In Artikel 16 ist das Recht der betroffenen Person auf Berichtigung ihrer Daten in Anlehnung an Artikel 12 Buchstabe b der Richtlinie 95/46/EG festgeschrieben. Artikel 17 garantiert dem Betroffenen das Recht, vergessen zu werden, sowie das Recht auf Löschung. Das in Artikel 12 b der Richtlinie 95/46/EG geregelte Recht auf Löschung wird weiter ausgeführt und präzisiert einschließlich der Bedingungen für das Recht auf Vergessenwerden. Hierzu zählt auch die Pflicht des für die Verarbeitung Verantwortlichen, der die personenbezogenen Daten veröffentlicht hat, Dritte über den Antrag der betroffenen Person auf Löschung aller Verbindungen zu diesen personenbezogenen Daten oder auf Löschung von Kopien oder Replikationen dieser Daten zu informieren. Darüber hinaus wird ein Recht auf Beschränkung der Datenverarbeitung in bestimmten Fällen eingeführt. Der mehrdeutige Ausdruck „Sperrung“ wird dabei vermieden. In Artikel 18 wird das Recht des Betroffenen auf Datenportabilität eingeführt, d. h. das Recht, seine Daten aus einem automatisierten Datenverarbeitungssystem auf ein anderes System zu übertragen, ohne dass der für die Verarbeitung Verantwortliche ihn daran hindern kann. Als Voraussetzung für die Ausübung dieses Rechts und um den Zugang natürlicher Personen zu ihren Daten weiter zu verbessern, ist vorgesehen, dass der für die Verarbeitung Verantwortliche diese Daten in einem strukturierten, gängigen elektronischen Format zur Verfügung stellen muss. 3.4.3.4. Abschnitt 4 – Widerspruchsrecht und Profiling Artikel 19 gewährleistet das Widerspruchsrecht der betroffenen Person. Der Artikel ist auf Artikel 14 der Richtlinie 95/46/EG gestützt mit einigen Änderungen unter anderem hinsichtlich der Beweislastregelung und deren Anwendung im Fall der Direktwerbung. In Artikel 20 geht es um das Recht des Betroffenen, keiner Maßnahme unterworfen zu werden, die auf Profiling basiert. Grundlage dieser Bestimmung ist – mit einigen Änderungen und zusätzlichen Garantien – Artikel 15 Absatz 1 der Richtlinie 95/46/EG über automatisierte Einzelentscheidungen. Berücksichtigt wurde auch die Empfehlung des Europarats zum Profiling[33]. 3.4.3.5. Abschnitt 5 – Beschränkungen Artikel 21 präzisiert das Recht der EU und ihrer Mitgliedstaaten, Einschränkungen der Grundsätze in Artikel 5 sowie Beschränkungen von Datenschutzrechten im Sinne der Artikel 11 bis 20 und Artikel 32 beizubehalten oder einzuführen. Diese Bestimmung ist auf Artikel 13 der Richtlinie 95/46/EG sowie auf die Anforderungen aus der Grundrechtecharta und der Europäischen Menschenrechtskonvention im Sinne der Auslegung des Gerichtshofs der EU und des Europäischen Menschenrechtsgerichtshofs gestützt. 3.4.4. KAPITEL IV - FÜR DIE VERARBEITUNG VERANTWORTLICHER UND AUFTRAGSVERARBEITER 3.4.4.1. Abschnitt 1 – Allgemeine Pflichten Artikel 22, in den die Diskussion über den Grundsatz der Rechenschaftspflicht eingeflossen ist, enthält eine detaillierte Beschreibung der dem für die Verarbeitung Verantwortlichen obliegenden Verpflichtung, für die Einhaltung der Verordnung zu sorgen und dies nachzuweisen, unter anderem durch die Einführung hierzu geeigneter interner Maßnahmen und Verfahren. Artikel 23 regelt die Pflichten, die dem für die Verarbeitung Verantwortlichen aus dem Grundsatz des Datenschutzes durch Technik und dem Gebot datenschutzfreundlicher Voreinstellungen erwachsen. Artikel 24 präzisiert die Verantwortung der gemeinsam für die Verarbeitung Verantwortlichen in Bezug auf ihr Verhältnis untereinander sowie gegenüber der betroffenen Person. Artikel 25 schreibt vor, dass jeder für die Verarbeitung Verantwortliche, der keine Niederlassung in der Europäischen Union besitzt und auf dessen Verarbeitungstätigkeit die Verordnung Anwendung findet, in bestimmten Fällen einen Vertreter in der Europäischen Union benennen muss. Artikel 26, der zum Teil auf Artikel 17 Absatz 2 der Richtlinie 95/46/EG gestützt ist, präzisiert Stellung und Pflichten des Auftragsverarbeiters und bestimmt unter anderem, dass ein Auftragsverarbeiter, der über die Anweisungen des für die Verarbeitung Verantwortlichen hinaus Daten verarbeitet, gemeinsam mit diesem für die Verarbeitung verantwortlich ist. Artikel 27, der die Verarbeitung unter der Aufsicht des für die Verarbeitung Verantwortlichen und des Auftragsverarbeiters regelt, ist auf Artikel 16 der Richtlinie 95/46/EG gestützt. Artikel 28 führt anstelle der allgemeinen Meldepflicht gegenüber der Aufsichtsbehörde gemäß Artikel 18 Absatz 1 und Artikel 19 der Richtlinie 95/46/EG für den für die Verarbeitung Verantwortlichen und für den Auftragsverarbeiter die Pflicht ein, die unter ihrer Verantwortung vollzogenen Verarbeitungsvorgänge zu dokumentieren. Artikel 29 regelt die Pflicht des für die Verarbeitung Verantwortlichen und des Auftragsverarbeiters zur Zusammenarbeit mit der Aufsichtsbehörde. 3.4.4.2. Abschnitt 2 – Datensicherheit Artikel 30 verpflichtet den für die Verarbeitung Verantwortlichen und den Auftragsverarbeiter, geeignete Maßnahmen zur Gewährleistung der Sicherheit der Datenverarbeitung zu ergreifen. Ausgehend von Artikel 17 Absatz 1 der Richtlinie 95/46/EG wird diese Pflicht jetzt auf Auftragsverarbeiter ausgedehnt ungeachtet ihres Vertragsverhältnisses mit dem für die Verarbeitung Verantwortlichen. Artikel 31 und 32 führen ausgehend von Artikel 4 Absatz 3 der Datenschutzrichtlinie für elektronische Kommunikation 2002/58/EG eine entsprechende Meldepflicht für Verstöße gegen den Schutz personenbezogener Daten ein. 3.4.4.3. Abschnitt 3 – Datenschutz-Folgenabschätzung und vorherige Genehmigung Artikel 33 verpflichtet den für die Verarbeitung Verantwortlichen und den Auftragsverarbeiter, vor einer risikobehafteten Datenverarbeitung eine datenschutzspezifische Folgenabschätzung durchzuführen. Artikel 34 betrifft Fälle, in denen vor der Verarbeitung der Daten die Aufsichtsbehörde zurate zu ziehen und deren Genehmigung einzuholen ist. Diese Bestimmung fußt auf dem Prinzip der Vorabkontrolle gemäß Artikel 20 der Richtlinie 95/46/EG. 3.4.4.4. Abschnitt 4 – Datenschutzbeauftragter Artikel 35 schreibt die Einsetzung eines Datenschutzbeauftragten für den öffentlichen Sektor sowie im privaten Sektor für Großunternehmen und in Fällen vor, in denen die Kerntätigkeit des für die Verarbeitung Verantwortlichen oder des Auftragverarbeiters aus Verarbeitungsvorgängen besteht, die einer regelmäßigen, systematischen Überwachung bedürfen. Gestützt ist diese Bestimmung auf Artikel 18 Absatz 2 der Richtlinie 95/46/EG, der den Mitgliedstaaten die Möglichkeit bietet, als Ersatz für die allgemeine Meldepflicht die Bestellung eines Datenschutzbeauftragten vorzusehen. Artikel 36 regelt die Stellung des Datenschutzbeauftragten. Artikel 37 regelt die Kernaufgaben des Datenschutzbeauftragten. 3.4.4.5. Abschnitt 5 – Verhaltensregeln und Zertifizierung Artikel 38, der auf Artikel 27 Absatz 1 der Richtlinie 95/46/EG gestützt ist, regelt den Inhalt von Verhaltensregeln und Verfahren und ermächtigt die Kommission, über die allgemeine Gültigkeit der Verhaltensregeln zu entscheiden. Artikel 39 sieht die Möglichkeit zur Einführung von Zertifizierungsverfahren sowie von Datenschutzsiegeln und -prüfzeichen vor. 3.4.5. KAPITEL V – ÜBERMITTLUNG PERSONENBEZOGENER DATEN IN DRITTLÄNDER ODER AN INTERNATIONALE ORGANISATIONEN Artikel 40 bestimmt als allgemeinen Grundsatz, dass personenbezogene Daten nur dann in Drittländer oder an internationale Organisationen übermittelt oder weitergegeben werden dürfen, wenn die in diesem Kapitel festgelegten Bedingungen erfüllt sind. Artikel 41, der auf Artikel 25 der Richtlinie 95/46/EG gestützt ist, enthält die Kriterien, Bedingungen und Verfahren für den Erlass eines Angemessenheitsbeschlusses der Kommission. Danach beurteilt die Kommission die Angemessenheit des Schutzniveaus unter anderem in Bezug auf die Rechtsstaatlichkeit, den gerichtlichen Rechtsschutz und die Existenz einer unabhängigen Aufsicht. Bestätigt wird in diesem Artikel jetzt ausdrücklich die Möglichkeit für die Kommission, das Schutzniveau zu beurteilen, das in einem Gebiet oder einem Verarbeitungssektor eines Drittlands geboten wird. Nach Artikel 42 sind für die Übermittlung von Daten in Drittländer in Fällen, in denen die Kommission keinen Angemessenheitsbeschluss erlassen hat, ausreichende Garantien erforderlich, insbesondere in Form von Standard-Datenschutzklauseln, verbindlichen unternehmensinternen Vorschriften und Vertragsklauseln. Die Möglichkeit, auf die Standard-Datenschutzklauseln der Kommission zurückzugreifen, basiert auf Artikel 26 Absatz 4 der Richtlinie 95/46/EG. Neu ist, dass solche Standard-Datenschutzklauseln jetzt auch von einer Aufsichtsbehörde festgelegt und von der Kommission als allgemein gültig erklärt werden können. Als Garantie ausdrücklich genannt werden zudem verbindliche unternehmensinterne Datenschutzregelungen. Die Möglichkeit, auf Vertragsklauseln zurückzugreifen, lässt dem für die Verarbeitung Verantwortlichen bzw. dem Auftragsverarbeiter einen gewissen Spielraum, muss aber von der Aufsichtsbehörde zuvor genehmigt werden. In Artikel 43 werden die Bedingungen für den Datentransfer auf der Grundlage verbindlicher unternehmensinterner Datenschutzregelungen weiter ausgeführt. Die Bestimmung ist auf die derzeitigen Praktiken und Anforderungen der Aufsichtsbehörden gestützt. In Artikel 44, der Artikel 26 der Richtlinie 95/46/EG folgt, sind die Ausnahmen für den Datentransfer in ein Drittland festgeschrieben. Zulässig ist der Datentransfer danach, wenn er zur Wahrung eines wichtigen öffentlichen Interesses erforderlich ist, wie zum Beispiel für den internationalen Datenaustausch zwischen Wettbewerbsbehörden, Steuer- oder Zollverwaltungen oder zwischen Diensten, die für Angelegenheiten der sozialen Sicherheit oder für die Fischerei zuständig sind. Der Datentransfer kann darüber hinaus unter bestimmten, eng umrissenen Umständen mit einem berechtigten Interesse des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters gerechtfertigt werden. Zuvor müssen die Umstände des Übermittlungsvorgangs allerdings geprüft und dokumentiert worden sein. In Artikel 45 ist ausdrücklich vorgesehen, dass die Kommission und die Aufsichtsbehörden von Drittländern, insbesondere der Länder, deren Datenschutzniveau als angemessen angesehen wird, ein Verfahren für die internationale Zusammenarbeit zum Schutz personenbezogener Daten unter Berücksichtigung der Empfehlung der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD) vom 12. Juni 2007 zur grenzübergreifenden Zusammenarbeit bei der Durchsetzung des Datenschutzrechts (cross-border co-operation in the enforcement of laws protecting privacy) entwickeln. 3.4.6. KAPITEL VI – UNABHÄNGIGKEIT DER AUFSICHTSBEHÖRDEN 3.4.6.1. Abschnitt 1 – Unabhängigkeit Artikel 46 verpflichtet die Mitgliedstaaten in Anlehnung an Artikel 28 Absatz 1 der Richtlinie 95/46/EG, Aufsichtsbehörden einzurichten, zu deren Aufgaben auch die Zusammenarbeit untereinander sowie mit der Kommission gehört. Artikel 47 präzisiert die Kriterien für die Unabhängigkeit der Aufsichtsbehörden im Einklang mit der Rechtsprechung des Gerichtshofs der Europäischen Union[34] und in Anlehnung an Artikel 44 der Verordnung (EG) Nr. 45/2001[35]. Artikel 48 regelt in Anlehnung an die einschlägige Rechtsprechung[36] und Artikel 42 Absätze 2 bis 6 der Verordnung (EG) Nr. 45/2001 die allgemeinen Anforderungen an die Mitglieder der Aufsichtsbehörde. Artikel 49 bestimmt, welche Aspekte in Bezug auf die Aufsichtsbehörden von den Mitgliedstaaten gesetzlich zu regeln sind. Artikel 50 regelt in Anlehnung an Artikel 28 Absatz 7 der Richtlinie 95/46/EG das Berufsgeheimnis der Mitglieder und Bediensteten der Aufsichtsbehörde. 3.4.6.2. Abschnitt 2 – Aufgaben und Befugnisse Artikel 51 regelt die örtliche Zuständigkeit der Aufsichtsbehörden. Die allgemeine Zuständigkeit im Hoheitsgebiet des eigenen Mitgliedstaats nach dem Vorbild des Artikels 28 Absatz 6 der Richtlinie 95/46/EG wird ergänzt durch die Zuständigkeit als federführende Behörde, wenn ein für die Verarbeitung Verantwortlicher oder ein Auftragsverarbeiter Niederlassungen in mehreren Mitgliedstaaten hat. Auf diese Weise soll eine einheitliche Rechtsanwendung gewährleistet werden (Prinzip einer zentralen Anlaufstelle für den Datenschutz). Gerichte unterliegen dem materiellen Datenschutzrecht, sind aber von der Überwachung durch die Aufsichtsbehörde ausgenommen, wenn sie in ihrer Eigenschaft als Rechtsprechungsorgan tätig sind. In Artikel 52 sind die Aufgaben der Aufsichtsbehörde aufgeführt, darunter die Untersuchung und Verhandlung von Beschwerden sowie die Aufklärung der Öffentlichkeit über die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung personenbezogener Daten. Artikel 53 regelt – zum Teil gestützt auf Artikel 28 Absatz 3 der Richtlinie 95/46/EG und Artikel 47 der Verordnung (EG) Nr. 45/2001 – die Befugnisse der Aufsichtsbehörde mit einigen neuen Aspekten, darunter die Befugnis zur Verhängung verwaltungsrechtlicher Sanktionen. Artikel 54 verpflichtet die Aufsichtsbehörden nach dem Vorbild des Artikels 28 Absatz 5 der Richtlinie 95/46/EG zur jährlichen Berichterstattung über ihre Tätigkeit. 3.4.7. KAPITEL VII – ZUSAMMENARBEIT UND KOHÄRENZ 3.4.7.1. Abschnitt 1 – Zusammenarbeit Artikel 55, der auf Artikel 28 Absatz 6 Unterabsatz 2 der Richtlinie 95/46/EG gestützt ist, verpflichtet die Aufsichtsbehörden ausdrücklich, einander Amtshilfe zu leisten, und regelt die Folgen, die sich aus der Nichtbeachtung des Ersuchens einer anderen Aufsichtsbehörde ergeben. Artikel 56 führt in Anlehnung an Artikel 17 des Ratsbeschlusses 2008/615/JI[37] Vorschriften für gemeinsame Maßnahmen sowie das Recht der Aufsichtsbehörden auf Teilnahme an solchen Maßnahmen ein. 3.4.7.2. Abschnitt 2 – Kohärenz Artikel 57 führt ein Verfahren zur Gewährleistung einer einheitlichen Rechtsanwendung (Kohärenzverfahren) in Bezug auf Verarbeitungsvorgänge ein, die Personen in mehreren Mitgliedstaaten betreffen können. Artikel 58 legt die Modalitäten für Stellungnahmen des Europäischen Datenschutzausschusses fest. Artikel 59 betrifft die Stellungnahmen der Kommission zu Angelegenheiten, die im Rahmen des Kohärenzverfahrens behandelt werden, wobei diese Stellungnahmen die Stellungnahmen des Europäischen Datenschutzausschusses entweder bestätigen oder davon abweichen können, sowie die geplante Maßnahme der Aufsichtsbehörde. Wurde die Angelegenheit vom Europäischen Datenschutzausschuss nach Artikel 58 Absatz 3 aufgeworfen, ist zu erwarten, dass die Kommission von ihrem Ermessen Gebrauch macht und gegebenenfalls eine Stellungnahme abgibt. Artikel 60 regelt die Aussetzung der Annahme der geplanten Maßnahme auf Beschluss der Kommission, soweit dies für die korrekte Anwendung der Verordnung erforderlich ist. Artikel 61 sieht die Möglichkeit vor, in einem Dringlichkeitsverfahren einstweilige Maßnahmen zu erlassen. In Artikel 62 sind die Modalitäten festgelegt, nach denen die Kommission Durchführungsrechtsakte im Rahmen des Kohärenzverfahrens erlassen kann. Artikel 63 schreibt vor, dass Maßnahmen einer Aufsichtsbehörde in allen betroffenen Mitgliedstaaten zu vollstrecken sind. Diese Maßnahmen sind allerdings nur bei Anwendung des Kohärenzverfahrens rechtsgültig und vollstreckbar. 3.4.7.3. Abschnitt 3 – Der Europäische Datenschutzausschuss Artikel 64 sieht die Einsetzung eines Europäischen Datenschutzausschusses vor, dem die Leiter der Aufsichtsbehörden der Mitgliedstaaten und der Europäische Datenschutzbeauftragte angehören. Der Europäische Datenschutzausschuss tritt an die Stelle der durch Artikel 29 der Richtlinie 95/46/EG eingesetzten Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten. Die Kommission ist nicht Mitglied des Europäischen Datenschutzausschusses, hat aber ein Recht auf Mitwirkung an seinen Arbeiten und auf Teilnahme an den Sitzungen. Artikel 65 schreibt die Unabhängigkeit des Europäischen Datenschutzausschusses fest. Artikel 66 listet in Anlehnung an Artikel 30 Absatz 1 der Richtlinie 95/46/EG die Aufgaben des Europäischen Datenschutzausschusses auf, die den erweiterten Tätigkeitsbereich dieses Gremiums innerhalb der Union und darüber hinaus widerspiegeln. Um in dringenden Fällen rasch reagieren zu können, erhält die Kommission die Möglichkeit, dem Datenschutzausschuss eine Frist für seine Stellungnahme zu setzen. Artikel 67 verpflichtet den Europäischen Datenschutzausschuss nach dem Vorbild des Artikels 30 Absatz 6 der Richtlinie 95/46/EG zur jährlichen Berichterstattung über seine Tätigkeit. Artikel 68 regelt das Beschlussfassungsverfahren des Europäischen Datenschutzausschusses und schreibt vor, dass sich der Ausschuss eine Geschäftsordnung gibt, in der er auch seine Arbeitsweise festlegt. Artikel 69 enthält Bestimmungen zum Vorsitz des Europäischen Datenschutzausschusses und zu dessen Stellvertretung. Artikel 70 präzisiert die Aufgaben des Vorsitzenden. Artikel 71 bestimmt, dass das Sekretariat des Europäischen Datenschutzausschusses beim Europäischen Datenschutzbeauftragten eingerichtet wird, und legt die Aufgaben des Sekretariats fest. Artikel 72 regelt die Vertraulichkeit der Arbeiten des Europäischen Datenschutzausschusses. 3.4.8. KAPITEL VIII – RECHTSBEHELFE, HAFTUNG UND SANKTIONEN In Artikel 73 ist das Recht des Betroffenen auf Beschwerde bei einer Aufsichtsbehörde in Anlehnung an Artikel 28 Absatz 4 der Richtlinie 95/46/EG festgeschrieben. Darüber hinaus können auch bestimmte Einrichtungen, Organisationen oder Verbände im Namen der betroffenen Person Beschwerde führen. Im Fall einer Verletzung des Schutzes personenbezogener Daten ist hierzu keine Beschwerde der betroffenen Person erforderlich. Artikel 74 schreibt das Recht auf einen gerichtlichen Rechtsbehelf gegen eine Aufsichtsbehörde fest. Er ist auf die allgemeine Regelung in Artikel 28 Absatz 3 der Richtlinie 95/46/EG gestützt. In Artikel 74 ist ausdrücklich ein gerichtlicher Rechtsbehelf vorgesehen, um eine Aufsichtsbehörde zu zwingen, im Fall einer Beschwerde tätig zu werden. Zuständig sind in diesem Fall die Gerichte des Mitgliedstaats, in dem die Aufsichtsbehörde ihren Sitz hat. Zudem wird der Aufsichtsbehörde des Mitgliedstaats, in dem die betroffene Person ansässig ist, die Möglichkeit eingeräumt, im Namen der betroffenen Person Klage im Sitzmitgliedstaat der zuständigen Aufsichtsbehörde zu erheben. Artikel 75 betrifft das Recht auf einen gerichtlichen Rechtsbehelf gegen einen für die Verarbeitung Verantwortlichen oder einen Auftragsverarbeiter in Anlehnung an Artikel 22 der Richtlinie 95/46/EG, wobei der Rechtsweg wahlweise in dem Mitgliedstaat eröffnet ist, in dem der Beklagte niedergelassen bzw. die betroffene Person ansässig ist. Ist dieselbe Angelegenheit Gegenstand des Kohärenzverfahrens, kann das Gericht sein Verfahren aussetzen, es sei denn, es ist Eile geboten. Artikel 76 legt gemeinsame Vorschriften für Gerichtsverfahren fest einschließlich des Rechts von Datenschutzeinrichtungen, -organisationen oder -verbänden, betroffene Personen vor Gericht zu vertreten, des Klagerechts der Aufsichtsbehörden, der Unterrichtung der Gerichte über Parallelverfahren in einem anderen Mitgliedstaat und der Möglichkeit für die Gerichte, bei einem solchen Parallelverfahren das eigene Verfahren auszusetzen.[38] Die Mitgliedstaaten müssen ihrerseits dafür sorgen, dass die Gerichtsverfahren zügig vonstatten gehen.[39] Artikel 77 regelt die Haftung und das Recht auf Schadenersatz. Das Recht auf Schadenersatz, das auf Artikel 23 der Richtlinie 95/46/EG gestützt ist, wird auf Schäden erweitert, die der Auftragsverarbeiter verursacht hat. Näher geregelt wird auch die Haftung in Fällen, in denen an der Datenverarbeitung mehrere Verantwortliche und Auftragsverarbeiter beteiligt sind. Artikel 78 verpflichtet die Mitgliedstaaten, Vorschriften für Sanktionen einzuführen, Verstöße gegen die Verordnung zu ahnden und dafür zu sorgen, dass diese Vorschriften angewandt werden. Nach Artikel 79 ist jede Aufsichtsbehörde verpflichtet, die dort aufgelisteten verwaltungsrechtlichen Vergehen unter Beachtung der Umstände des Einzelfalls mit einer Geldbuße bis in Höhe der angegebenen Höchstbeträge zu ahnden. 3.4.9. KAPITEL IX – VORSCHRIFTEN FÜR BESONDERE DATENVERARBEITUNGSSITUATIONEN Artikel 81 verpflichtet die Mitgliedstaaten, Freistellungen und Ausnahmen von bestimmten Vorschriften der Verordnung einzuführen, wenn dies erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit dem Recht auf freie Meinungsäußerung in Einklang zu bringen. Dieser Artikel ist auf Artikel 9 der Richtlinie 95/46/EG im Sinne der Auslegung des Gerichtshofs der Europäischen Union gestützt.[40] Artikel 81 verpflichtet die Mitgliedstaaten, über die Verarbeitungsbedingungen für bestimmte Datenkategorien hinaus besondere Garantien für die Verarbeitung zu Gesundheitszwecken vorzusehen. Artikel 82 bietet den Mitgliedstaaten die Möglichkeit, die Verarbeitung personenbezogener Daten im Beschäftigungskontext gesetzlich zu regeln. Artikel 83 enthält besondere Vorschriften für die Verarbeitung personenbezogener Daten zu historischen oder statistischen Zwecken sowie zum Zwecke der wissenschaftlichen Forschung. Artikel 84 gestattet den Mitgliedstaaten in den Fällen, in denen der für die Verarbeitung Verantwortliche der Geheimhaltung unterliegt, den Zugang der Aufsichtsbehörden zu personenbezogenen Daten und zu Räumlichkeiten gesondert zu regeln. Artikel 85 gestattet den Kirchen und religiösen Vereinigungen oder Gemeinschaften, die über umfassende Datenschutzregeln verfügen, mit Blick auf Artikel 17 AEUV diese Regeln weiter anzuwenden, sofern sie mit der Verordnung in Einklang gebracht werden. 3.4.10. KAPITEL X – DELEGIERTE RECHTSAKTE UND DURCHFÜHRUNGSRECHTSAKTE Artikel 86 enthält die Standardbestimmung für die Übertragung der Befugnis zum Erlass delegierter Rechtsakte gemäß Artikel 290 AEUV. Der Gesetzgeber kann der Kommission danach die Befugnis übertragen, Rechtsakte ohne Gesetzescharakter mit allgemeiner Geltung zur Ergänzung oder Änderung bestimmter nicht wesentlicher Vorschriften eines Gesetzgebungsakts zu erlassen („quasi-legislative Rechtsakte“). Artikel 87 regelt das Ausschussverfahren für die Übertragung von Durchführungsbefugnissen auf die Kommission in Fällen, in denen es nach Artikel 291 AEUV einheitlicher Bedingungen für die Durchführung der verbindlichen Rechtsakte der Union bedarf. Es gilt das Prüfverfahren. 3.4.11. KAPITEL XI – SCHLUSSBESTIMMUNGEN Die Richtlinie 95/46/EG wird gemäß Artikel 88 aufgehoben. Artikel 89 regelt das Verhältnis zur Datenschutzrichtlinie für elektronische Kommunikation 2002/58/EG und enthält Änderungsvorschriften für diese Richtlinie. Artikel 90 verpflichtet die Kommission zur Bewertung der Verordnung und zur Vorlage entsprechender Berichte. Artikel 91 bestimmt den Zeitpunkt des Inkrafttretens der Verordnung und sieht für den Beginn ihrer Anwendbarkeit eine zweijährige Übergangsphase vor. 4. AUSWIRKUNGEN AUF DEN HAUSHALT Wie aus dem Finanzbogen zu diesem Vorschlag hervorgeht, ergeben sich die Auswirkungen auf den Haushalt aus den Aufgaben, die dem Europäischen Datenschutzbeauftragten übertragen werden. Dies erfordert eine Anpassung von Rubrik 5 der Finanziellen Vorausschau. Der Vorschlag hat keine Auswirkungen auf die operativen Ausgaben. Der Finanzbogen zu diesem Verordnungsvorschlag gibt Aufschluss über die budgetären Auswirkungen nicht nur der Verordnung, sondern auch der Richtlinie über den Datenschutz bei der polizeilichen und justiziellen Zusammenarbeit. 2012/0011 (COD) Vorschlag für VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) (Text von Bedeutung für den EWR) DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION – gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 16 Absatz 2 und Artikel 114 Absatz 1, auf Vorschlag der Europäischen Kommission, nach Zuleitung des Entwurfs des Gesetzgebungsakts an die nationalen Parlamente, nach Stellungnahme des Europäischen Wirtschafts- und Sozialausschusses[41], nach Anhörung des Europäischen Datenschutzbeauftragten[42], gemäß dem ordentlichen Gesetzgebungsverfahren, in Erwägung nachstehender Gründe: (1) Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht. Gemäß Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union sowie Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten. (2) Die Verarbeitung personenbezogener Daten steht im Dienste des Menschen; die Grundsätze und Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten sollten gewährleisten, dass ungeachtet der Staatsangehörigkeit oder des gewöhnlichen Aufenthaltsorts der natürlichen Personen deren Grundrechte und Grundfreiheiten und insbesondere deren Recht auf Schutz personenbezogener Daten gewahrt bleiben. Die Datenverarbeitung sollte zur Vollendung eines Raums der Freiheit, der Sicherheit und des Rechts und einer Wirtschaftsunion, zum wirtschaftlichen und sozialen Fortschritt, zur Stärkung und zum Zusammenwachsen der Volkswirtschaften innerhalb des Binnenmarktes sowie zum Wohlergehen der Menschen beitragen. (3) Zweck der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr[43] ist die Harmonisierung der Vorschriften zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen bei der Datenverarbeitung sowie die Gewährleistung des freien Verkehrs personenbezogener Daten zwischen den Mitgliedstaaten. (4) Die wirtschaftliche und soziale Integration als Folge eines funktionierenden Binnenmarktes hat zu einem deutlichen Anstieg des grenzüberschreitenden Verkehrs geführt. Der unionsweite Datenaustausch zwischen wirtschaftlichen und sozialen Akteuren, staatlichen Stellen und Privatpersonen hat zugenommen. Das Unionsrecht verpflichtet die Verwaltungen der Mitgliedstaaten zur Zusammenarbeit und zum Austausch personenbezogener Daten, um ihren Pflichten nachkommen oder für eine Behörde eines anderen Mitgliedstaats Aufgaben durchführen zu können. (5) Der rasche technologische Fortschritt und die Globalisierung stellen den Datenschutz vor neue Herausforderungen. Das Ausmaß, in dem Daten ausgetauscht und erhoben werden, ist dramatisch gestiegen. Die Technik macht es möglich, dass Privatwirtschaft und Staat zur Ausübung ihrer Tätigkeiten in einem noch nie dagewesenen Umfang auf personenbezogene Daten zugreifen können. Zunehmend werden auch private Informationen ins weltweite Netz gestellt und damit öffentlich zugänglich gemacht. Die Technik hat das wirtschaftliche und gesellschaftliche Leben verändert, weshalb der Datenverkehr innerhalb der Union sowie die Datenübermittlung an Drittländer und internationale Organisationen noch weiter erleichtert werden muss, wobei gleichzeitig ein hohes Maß an Datenschutz zu gewährleisten ist. (6) Diese Entwicklungen erfordern einen soliden, kohärenteren und durchsetzbaren Rechtsrahmen im Bereich des Datenschutzes in der Union, um eine Vertrauensbasis zu schaffen, die die digitale Wirtschaft dringend benötigt, um im Binnenmarkt weiter wachsen zu können. Jede Person sollte die Kontrolle über ihre eigenen Daten besitzen, und private Nutzer, Wirtschaft und Staat sollten in rechtlicher und praktischer Hinsicht über mehr Sicherheit verfügen. (7) Die Ziele und Grundsätze der Richtlinie 95/46/EG besitzen nach wie vor Gültigkeit, doch hat die Richtlinie eine unterschiedliche Handhabung des Datenschutzes in der Union, Rechtsunsicherheit sowie die weit verbreitete öffentliche Meinung, dass speziell im Internet der Datenschutz nicht immer gewährleistet ist, nicht verhindern können. Unterschiede beim Schutz der Rechte und Grundfreiheiten von Personen im Zusammenhang mit der Verarbeitung personenbezogener Daten in den Mitgliedstaaten, vor allem beim Recht auf Schutz dieser Daten, kann den freien Verkehr solcher Daten in der gesamten Union behindern. Diese Unterschiede im Schutzniveau können ein Hemmnis für die unionsweite Ausübung von Wirtschaftstätigkeiten darstellen, den Wettbewerb verzerren und die Behörden an der Erfüllung der ihnen nach dem Unionsrecht obliegenden Pflichten hindern. Sie erklären sich aus den Unterschieden bei der Umsetzung und Anwendung der Richtlinie 95/46/EG. (8) Um ein hohes Maß an Datenschutz für den Einzelnen zu gewährleisten und die Hemmnisse für den Verkehr personenbezogener Daten zu beseitigen, sollte der Schutz der Rechte und Freiheiten von Personen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten gleichwertig sein. Die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten sollten unionsweit kohärent und einheitlich angewandt werden. (9) Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert eine Stärkung und Präzisierung der Rechte der betroffenen Personen sowie eine Verschärfung der Auflagen für diejenigen, die personenbezogene Daten verarbeiten und darüber entscheiden, aber ebenso gleiche Befugnisse der Mitgliedstaaten bei der Überwachung und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten sowie gleiche Sanktionen im Falle ihrer Verletzung. (10) Artikel 16 Absatz 2 des Vertrags über die Arbeitsweise der Europäischen Union ermächtigt das Europäische Parlament und den Rat, Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten festzulegen. (11) Damit jeder in der Union das gleiche Maß an Datenschutz genießt und Unterschiede, die den freien Datenverkehr im Binnenmarkt behindern könnten, beseitigt werden, ist eine Verordnung erforderlich, die überall in der Union für Wirtschaftsteilnehmer einschließlich Kleinstunternehmen sowie kleiner und mittlerer Unternehmen Rechtsicherheit und Transparenz schafft, den Einzelnen mit denselben durchsetzbaren Rechten ausstattet, dieselben Pflichten und Zuständigkeiten für die für die Verarbeitung Verantwortlichen und Auftragsverarbeiter vorsieht und eine einheitliche Kontrolle der Verarbeitung personenbezogener Daten in allen Mitgliedstaaten sowie gleiche Sanktionen und eine wirksame Zusammenarbeit zwischen den Aufsichtsbehörden der einzelnen Mitgliedstaaten gewährleistet. Um der besonderen Situation von Kleinstunternehmen sowie kleinen und mittleren Unternehmen Rechnung zu tragen, enthält diese Verordnung eine Reihe von abweichenden Regelungen. Außerdem werden die Organe und Einrichtungen der Union sowie die Mitgliedstaaten und deren Aufsichtsbehörden dazu angehalten, bei der Anwendung dieser Verordnung die besonderen Bedürfnisse von Kleinstunternehmen sowie kleinen und mittleren Unternehmen zu berücksichtigen. Für die Definition des Begriffs des Kleinstunternehmens sowie kleiner und mittlerer Unternehmen sollte die Empfehlung 2003/361/EG der Kommission vom 6. Mai 2003 maßgebend sein. (12) Der durch diese Verordnung gewährte Schutz betrifft die Verarbeitung personenbezogener Daten natürlicher Personen ungeachtet ihrer Staatsangehörigkeit oder ihres Wohnorts. Im Falle juristischer Personen und insbesondere von als juristische Person gegründeten Unternehmen, deren Daten, zum Beispiel deren Name, Rechtsform oder Kontaktdaten, verarbeitet werden, sollte eine Berufung auf diese Verordnung nicht möglich sein. Dies sollte auch dann gelten, wenn der Name der juristischen Person die Namen einer oder mehrerer natürlichen Personen enthält. (13) Der Schutz natürlicher Personen sollte technologieneutral sein und nicht von den verwendeten Verfahren abhängen, da andernfalls das Risiko einer Umgehung der Vorschriften groß wäre. Er sollte für die automatisierte Verarbeitung personenbezogener Daten ebenso gelten wie für die manuelle Verarbeitung von personenbezogenen Daten, die in einem Ablagesystem gespeichert sind oder gespeichert werden sollen. Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind, sollten vom Anwendungsbereich der Verordnung ausgenommen werden. (14) Die Verordnung behandelt weder Fragen des Schutzes von Grundrechten und Grundfreiheiten und des freien Datenverkehrs im Zusammenhang mit Tätigkeiten, die nicht in den Anwendungsbereich des Unionsrechts fallen, noch die Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen, Ämter und Agenturen der Union, für die die Verordnung (EG) Nr. 45/2001[44] maßgeblich ist, noch die von den Mitgliedstaaten im Rahmen der Gemeinsamen Außen- und Sicherheitspolitik der Union durchgeführte Verarbeitung personenbezogener Daten. (15) Die Verordnung sollte nicht für die von einer natürlichen Person vorgenommene Verarbeitung von personenbezogenen Daten rein persönlicher oder familiärer Natur zu nichtgewerblichen Zwecken und somit ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit gelten, wie zum Beispiel das Führen eines Schriftverkehrs oder von Anschriftenverzeichnissen. Ebenfalls nicht ausgenommen werden sollten für die Verarbeitung Verantwortliche oder Auftragsverarbeiter, die die Instrumente für die Verarbeitung personenbezogener Daten für solche persönlichen oder familiären Tätigkeiten bereitstellen. (16) Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, die der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder Vollstreckung strafrechtlicher Sanktionen durch die zuständigen Behörden dienen, sowie der freie Verkehr solcher Daten sind in einem eigenen EU-Rechtsinstrument geregelt. Deshalb sollte diese Verordnung auf Verarbeitungstätigkeiten dieser Art keine Anwendung finden. Personenbezogene Daten, die von Behörden nach dieser Verordnung verarbeitet werden, sollten jedoch, wenn sie zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder strafrechtlichen Verfolgung von Straftaten oder der Vollstreckung von Strafurteilen verwendet werden, dem spezifischeren EU-Instrument (Richtlinie XX/YYYY) unterliegen. (17) Die vorliegende Verordnung sollte die Anwendung der Richtlinie 2000/31/EG und speziell die Vorschriften der Artikel 12 bis 15 zur Verantwortlichkeit von Anbietern reiner Vermittlungsdienste nicht berühren. (18) Diese Verordnung ermöglicht es, dass bei der Anwendung ihrer Vorschriften der Grundsatz des Zugangs der Öffentlichkeit zu amtlichen Dokumenten berücksichtigt wird. (19) Jede Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer Niederlassung eines für die Verarbeitung Verantwortlichen oder eines Auftragsverarbeiters in der Union sollte gemäß dieser Verordnung erfolgen, gleich, ob die Verarbeitung in oder außerhalb der Union stattfindet. Eine Niederlassung setzt die effektive und tatsächliche Ausübung einer Tätigkeit durch eine feste Einrichtung voraus. Die Rechtsform einer solchen Einrichtung, gleich, ob es sich um eine Zweigstelle oder eine Tochtergesellschaft mit eigener Rechtspersönlichkeit handelt, ist dabei unerheblich. (20) Um sicherzugehen, dass Personen nicht des Schutzes beraubt werden, auf den sie nach dieser Verordnung ein Anrecht haben, sollte die Verarbeitung personenbezogener Daten von in der Union ansässigen betroffenen Personen durch einen nicht in der Union niedergelassenen für die Verarbeitung Verantwortlichen dieser Verordnung unterliegen, wenn die Verarbeitung dazu dient, diesen Personen Produkte und Dienstleistungen anzubieten oder das Verhalten dieser Personen zu beobachten. (21) Ob eine Verarbeitungstätigkeit der Beobachtung des Verhaltens von Personen gilt, sollte daran festgemacht werden, ob ihre Internetaktivitäten mit Hilfe von Datenverarbeitungstechniken nachvollzogen werden, durch die einer Person ein Profil zugeordnet wird, das die Grundlage für sie betreffende Entscheidungen bildet oder anhand dessen ihre persönliche Vorlieben, Verhaltensweisen oder Gepflogenheiten analysiert oder vorausgesagt werden sollen. (22) Ist nach internationalem Recht das innerstaatliche Recht eines Mitgliedstaats anwendbar, z. B. in einer diplomatischen oder konsularischen Vertretung eines Mitgliedstaats, sollte die Verordnung auch auf einen nicht in der EU niedergelassenen für die Verarbeitung Verantwortlichen Anwendung finden. (23) Die Schutzprinzipien sollten für alle Informationen gelten, die sich auf eine bestimmte oder bestimmbare Person beziehen. Um festzustellen, ob eine Person bestimmbar ist, sind alle Mittel zu berücksichtigen, die von dem für die Verarbeitung Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen aller Voraussicht nach zur Identifizierung der Person genutzt werden. Die Grundsätze des Datenschutzes sollten nicht für Daten gelten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht mehr identifiziert werden kann. (24) Bei der Inanspruchnahme von Online-Diensten werden dem Nutzer unter Umständen Online-Kennungen wie IP-Adressen oder Cookie-Kennungen, die sein Gerät oder Software-Anwendungen und -Tools oder Protokolle liefern, zugeordnet. Dies kann Spuren hinterlassen, die zusammen mit eindeutigen Kennungen und anderen beim Server eingehenden Informationen dazu benutzt werden können, um Profile der betroffenen Personen zu erstellen und sie zu identifizieren. Hieraus folgt, dass Kennnummern, Standortdaten, Online-Kennungen oder sonstige Elemente als solche nicht zwangsläufig und unter allen Umständen als personenbezogene Daten zu betrachten sind. (25) Die Einwilligung sollte explizit mittels einer geeigneten Methode erfolgen, die eine ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage abgegebene Willensbekundung der betroffenen Person in Form einer Erklärung oder einer eindeutigen Handlung ermöglicht, die sicherstellt, dass der betreffenden Person bewusst ist, dass sie ihre Einwilligung in die Verarbeitung personenbezogener Daten gibt, etwa durch Anklicken eines Kästchens beim Besuch einer Internetseite und durch jede sonstige Erklärung oder Verhaltensweise, mit der die betroffene Person in dem jeweiligen Kontext klar und deutlich ihr Einverständnis mit der beabsichtigten Verarbeitung ihrer personenbezogenen Daten signalisiert. Eine stillschweigende Einwilligung ohne Zutun der betroffenen Person stellt daher keine Einwilligung dar. Die Einwilligung sollte sich auf alle zu demselben Zweck oder denselben Zwecken vorgenommene Verarbeitungsvorgänge beziehen. Wird die betroffene Person auf elektronischem Weg zur Einwilligung aufgefordert, muss die Aufforderung in klarer und knapper Form und ohne unnötige Unterbrechung des Dienstes, in dessen Bereitstellung eingewilligt wird, erfolgen. (26) Zu den personenbezogenen Gesundheitsdaten sollten alle Daten gezählt werden, die sich auf den Gesundheitszustand eines von der Verarbeitung Betroffenen beziehen, außerdem Informationen über die Vormerkung der betreffenden Person zur Erbringung medizinischer Leistungen, Angaben über Zahlungen oder die Berechtigung zum Empfang medizinischer Dienstleistungen, Nummern, Symbole oder Kennzeichen, die einer bestimmten Person zugeteilt wurden, um diese für medizinische Zwecke eindeutig zu identifizieren, jede Art von Informationen über die betreffende Person, die im Rahmen der Erbringung von medizinischen Dienstleistungen erhoben wurden, Informationen, die von der Prüfung oder Untersuchung eines Körperteils oder einer körpereigenen Substanz, darunter biologischer Proben, abgeleitet wurden, die Identifizierung einer Person als Erbringer einer Gesundheitsleistung für die betroffene Person sowie Informationen etwa über Krankheiten, Behinderungen, Krankheitsrisiken, Vorerkrankungen, klinische Beahndlungen oder den physiologischen oder biomedizinischen Zustand der betroffenen Person unabhängig von der Herkunft der Daten, gleich, ob sie von einem Arzt oder sonstigem medizinischen Personal, einem Krankenhaus, einem medizinischen Gerät oder einem In-Vitro-Diagnose-Test stammen. (27) Zur Bestimmung der Hauptniederlassung eines für die Verarbeitung Verantwortlichen in der Union sollten objektive Kriterien herangezogen werden; ein Kriterium sollte dabei die effektive und tatsächliche Ausübung von Managementtätigkeiten durch eine feste Einrichtung sein, in deren Rahmen die Grundsatzentscheidungen zur Festlegung der Zwecke, Bedingungen und Mittel der Verarbeitung getroffen werden. Dabei sollte nicht ausschlaggebend sein, ob die Verarbeitung der personenbezogenen Daten tatsächlich an diesem Ort ausgeführt wird; das Vorhandensein und die Verwendung technischer Mittel und Verfahren zur Verarbeitung personenbezogener Daten begründet an sich noch keine Hauptniederlassung und ist daher kein ausschlaggebender Faktor für das Bestehen einer solchen Niederlassung. Die Hauptniederlassung des Auftragsverarbeiters sollte der Ort sein, an dem sich seine Hauptverwaltung in der Union befindet. (28) Eine Unternehmensgruppe sollte aus einem herrschenden Unternehmen und den von diesem abhängigen Unternehmen bestehen, wobei das herrschende Unternehmen dasjenige sein sollte, das zum Beispiel aufgrund von Eigentümerschaft, finanzieller Beteiligung oder sonstiger Bestimmungen, die die Tätigkeit des Unternehmens regeln, oder der Befugnis, Datenschutzvorschriften einzuführen, einen beherrschenden Einfluss auf die übrigen Unternehmen ausüben kann. (29) Die personenbezogenen Daten von Kindern müssen besonderen Schutz genießen, da Kinder sich der Risiken, Folgen, Vorsichtsmaßnahmen und ihrer Rechte bei der Verarbeitung personenbezogener Daten weniger bewusst sein dürften. Bei der Definition, wann eine Person als Kind gilt, sollte die Definition in der UN-Konvention über die Rechte des Kindes zugrunde gelegt werden. (30) Jede Verarbeitung personenbezogener Daten sollte gegenüber den betroffenen Personen nach Recht und Gesetz sowie nach Treu und Glauben und in transparenter Form erfolgen. Insbesondere sollten die besonderen Zwecke, zu denen die Daten verarbeitet werden, eindeutig und rechtmäßig sein und zum Zeitpunkt der Datenerfassung feststehen. Die erfassten Daten sollten dem Zweck angemessen und sachlich relevant sowie auf das für die Zwecke der Datenverarbeitung notwendige Minimum beschränkt sein; dies heißt vor allem, dass nicht unverhältnismäßig viele Daten erfasst werden und die Speicherfrist auf das unbedingt erforderliche Mindestmaß beschränkt bleibt. Personenbezogene Daten sollten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht durch andere Mittel erreicht werden kann. Es sollten alle vertretbaren Schritte unternommen werden, damit unzutreffende oder unvollständige personenbezogene Daten gelöscht oder berichtigt werden. Um sicherzustellen, dass die Daten nicht länger als nötig gespeichert werden, sollte der für die Verarbeitung Verantwortliche Fristen für deren Löschung oder regelmäßige Überprüfung vorsehen. (31) Damit die Verarbeitung rechtmäßig ist, müssen personenbezogene Daten mit Einwilligung der betroffenen Person oder auf einer sonstigen zulässigen Rechtsgrundlage verarbeitet werden, die sich aus dieser Verordnung oder – wann immer in dieser Verordnung darauf Bezug genommen wird – aus dem sonstigen Unionsrecht oder dem Recht der Mitgliedstaaten ergibt. (32) Erfolgt die Verarbeitung mit Einwilligung der betroffenen Person, sollte die Beweislast, dass die betroffene Person ihre Einwilligung zu dem Verarbeitungsvorgang gegeben hat, bei dem für die Verarbeitung Verantwortlichen liegen. Vor allem bei Abgabe einer schriftlichen Erklärung in anderem Zusammenhang sollten Vorkehrungen getroffen werden, die sicherstellen, dass die betroffene Person weiß, dass und wozu sie ihre Einwilligung erteilt. (33) Um sicherzugehen, dass die Einwilligung ohne Zwang erfolgt, sollte klargestellt werden, dass die Einwilligung keine rechtswirksame Grundlage für die Verarbeitung liefert, wenn die betreffende Person keine echte Wahlfreiheit hat und somit nicht in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne dadurch Nachteile zu erleiden. (34) Die Einwilligung liefert keine rechtliche Handhabe für die Verarbeitung personenbezogener Daten, wenn zwischen der Position der betroffenen Person und des für die Verarbeitung Verantwortlichen ein klares Ungleichgewicht besteht. Dies ist vor allem dann der Fall, wenn sich die betroffene Person in einem Abhängigkeitsverhältnis von dem für die Verarbeitung Verantwortlichen befindet, zum Beispiel dann, wenn personenbezogene Daten von Arbeitnehmern durch den Arbeitgeber im Rahmen von Beschäftigungsverhältnissen verarbeitet werden. Handelt es sich bei dem für die Verarbeitung Verantwortlichen um eine Behörde, bestünde ein Ungleichgewicht nur bei Verarbeitungsvorgängen, bei denen die Behörde aufgrund ihrer jeweiligen obrigkeitlichen Befugnisse eine Verpflichtung auferlegen kann und deshalb die Einwilligung nicht als ohne Zwang abgegeben gelten kann, wobei die Interessen der betroffenen Person zu berücksichtigen sind. (35) Die Verarbeitung von Daten sollte rechtmäßig sein, wenn sie für die Erfüllung oder den geplanten Abschluss eines Vertrags erforderlich ist. (36) Erfolgt die Verarbeitung durch den für die Verarbeitung Verantwortlichen aufgrund einer ihm obliegenden gesetzlichen Verpflichtung oder ist die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung hoheitlicher Gewalt erforderlich, muss hierfür eine Rechtsgrundlage im Unionsrecht oder im nationalen Recht bestehen, die im Falle einer Beschneidung von Rechten und Freiheiten den Anforderungen der Charta der Grundrechte der Europäischen Union genügt. Desgleichen muss im Unionsrecht oder im nationalen Recht geregelt werden, ob es sich bei dem für die Verarbeitung Verantwortlichen, der mit der Wahrnehmung einer Aufgabe betraut wurde, die im öffentlichen Interesse liegt oder in Ausübung hoheitlicher Gewalt erfolgt, um eine Behörde oder um eine andere unter das öffentliche Recht fallende natürliche oder juristische Person oder eine natürliche oder juristische Person des Privatrechts, wie beispielsweise eine Berufsvereinigung, handeln soll. (37) Die Verarbeitung personenbezogener Daten sollte ebenfalls als rechtmäßig angesehen werden, wenn sie erforderlich ist, um ein lebenswichtiges Interesse der betroffenen Person zu schützen. (38) Die Rechtmäßigkeit der Verarbeitung kann durch die berechtigten Interessen eines für die Verarbeitung Verantwortlichen begründet sein, sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen. Diese Interessen sind besonders sorgfältig abzuwägen, wenn es sich bei der betroffenen Person um ein Kind handelt, da Kinder besonders schutzwürdig sind. Die betroffene Person sollte das Recht haben, aus Gründen, die sich aus ihrer besonderen Situation ergeben, der Verarbeitung zu widersprechen, ohne dass ihr dadurch Kosten entstehen. Aus Transparenzgründen sollte der für die Verarbeitung Verantwortliche verpflichtet werden, seine berechtigten Interessen gegenüber der betroffenen Person ausdrücklich darzulegen und diese außerdem zu dokumentieren und die betroffene Person über ihr Widerspruchsrecht zu belehren. Da es dem Gesetzgeber obliegt, per Gesetz die Rechtsgrundlage für die Verarbeitung von Daten durch Behörden zu schaffen, greift dieser Rechtfertigungsgrund nicht bei Verarbeitungen durch Behörden, die diese in Erfüllung ihrer Aufgaben vornehmen. (39) Die Verarbeitung von Daten durch Behörden, Computer-Notdienste (Computer Emergency Response Teams – CERT beziehungsweise Computer Security Incident Response Teams - CSIRT), Betreiber von elektronischen Kommunikationsnetzen und –diensten sowie durch Anbieter von Sicherheitstechnologien und -diensten stellt in dem Maße ein berechtigtes Interesse des jeweiligen für die Verarbeitung Verantwortlichen dar, wie dies für die Gewährleistung der Netz- und Informationssicherheit unbedingt notwendig ist, d. h. soweit dadurch die Fähigkeit eines Netzes oder Informationssystems gewährleistet wird, mit einem vorgegebenen Grad der Zuverlässigkeit Störungen oder widerrechtliche mutwillige Eingriffe abzuwehren, die die Verfügbarkeit, Authentizität, Vollständigkeit und Vertraulichkeit von gespeicherten oder übermittelten Daten sowie die Sicherheit damit zusammenhängender Dienste, die über diese Netze oder Informationssysteme angeboten werden bzw. zugänglich sind, beeinträchtigen. Ein solches berechtigtes Interesse könnte beispielsweise darin bestehen, den unberechtigten Zugang zu elektronischen Kommunikationsnetzen, die Verbreitung schädlicher Programmcodes, die Abwehr von Angriffen in Form der gezielten Überlastung von Servern („Denial of access“-Angriffe) sowie Schädigungen von Computer- und elektronischen Kommunikationssystemen zu verhindern. (40) Die Verarbeitung personenbezogener Daten für andere Zwecke sollte nur zulässig sein, wenn diese mit den Zwecken, für die sie ursprünglich erhoben wurden, vereinbar sind, beispielsweise dann, wenn die Verarbeitung für historische oder statistische Zwecke oder zum Zwecke der wissenschaftlichen Forschung erforderlich ist. Ist der andere Zweck nicht mit dem ursprünglichen Zweck, für den die Daten erhoben wurden, vereinbar, muss der für die Verarbeitung Verantwortliche hierfür die Einwilligung der betroffenen Person einholen oder die Verarbeitung auf einen anderen Rechtmäßigkeitsgrund stützen, der sich beispielsweise aus dem Unionsrecht oder dem Recht des Mitgliedstaats, dem der für die Verarbeitung Verantwortliche unterliegt, ergibt. In jedem Fall sollte gewährleistet sein, dass die in dieser Verordnung niedergelegten Grundsätze angewandt werden und die betroffene Person über diese anderen Zwecke unterrichtet wird. (41) Personenbezogene Daten, die ihrem Wesen nach besonders sensibel und anfällig für eine Verletzung von Grundrechten oder der Privatsphäre sind, bedürfen eines besonderen Schutzes. Derartige Daten dürfen nicht ohne ausdrückliche Einwilligung der betroffenen Person verarbeitet werden. Ausnahmen von diesem Verbot sollten im Bedarfsfall jedoch ausdrücklich vorgesehen werden, insbesondere wenn die Verarbeitung im Rahmen rechtmäßiger Tätigkeiten bestimmter Vereinigungen oder Stiftungen vorgenommen wird, die sich für die Ausübung von Grundfreiheiten einsetzen. (42) Ausnahmen vom Verbot der Verarbeitung sensibler Datenkategorien sollten auch dann erlaubt sein, wenn es dafür eine gesetzliche Grundlage gibt, und – vorbehaltlich bestimmter Garantien zum Schutz der personenbezogenen Daten und anderer Grundrechte – wenn dies durch ein öffentliches Interesse gerechtfertigt ist, speziell wenn es um gesundheitliche Belange geht, wie die Gewährleistung der öffentlichen Gesundheit oder der sozialen Sicherheit oder die Verwaltung von Leistungen der Gesundheitsfürsorge, vor allem wenn dadurch die Qualität und Wirtschaftlichkeit der Verfahren zur Abrechnung von Krankenversicherungsleistungen sichergestellt werden soll, oder wenn die Verarbeitung historischen oder statistischen Zwecke oder wissenschaftliche Forschungszwecken dient. (43) Auch die Verarbeitung personenbezogener Daten durch staatliche Stellen für verfassungsrechtlich oder im internationalen Recht verankerte Ziele von staatlich anerkannten Religionsgemeinschaften erfolgt aus Gründen des öffentlichen Interesses. (44) Wenn es in einem Mitgliedstaat zum Funktionieren des demokratischen Systems gehört, dass die politischen Parteien im Zusammenhang mit Wahlen Daten über die politische Einstellung von Personen sammeln, kann die Verarbeitung derartiger Daten aus Gründen des öffentlichen Interesses zugelassen werden, sofern angemessene Garantien vorgesehen werden. (45) Kann der für die Verarbeitung Verantwortliche anhand der von ihm verarbeiteten Daten eine natürliche Person nicht bestimmen, sollte er nicht verpflichtet sein, zur bloßen Einhaltung einer Vorschrift dieser Verordnung zusätzliche Daten einzuholen, um die betroffene Person zu bestimmen. Macht die betroffene Person von ihrem Auskunftsrecht Gebrauch, sollte der für die Verarbeitung Verantwortliche das Recht haben, bei der betroffenen Person weitere Informationen einzuholen, die ihn in die Lage versetzen, die von der betreffenden Person gesuchten personenbezogenen Daten zu lokalisieren. (46) Der Grundsatz der Transparenz setzt voraus, dass eine für die Öffentlichkeit oder die betroffene Person bestimmte Information leicht zugänglich sowie in einfacher und verständlicher Sprache abgefasst ist. Dies gilt ganz besonders für bestimmte Situationen wie etwa Werbung im Internet, wo die große Zahl der Beteiligten und die Komplexität der dazu benötigten Technik es der betroffenen Person schwer machen zu erkennen und nachzuvollziehen, ob, von wem und zu welchem Zweck seine Daten erfasst werden. Wenn sich die Verarbeitung speziell an Kinder richtet, sollten aufgrund der besonderen Schutzwürdigkeit von Kindern Informationen und Hinweise in einer kindgerechten Sprache erfolgen. (47) Es gilt, die Modalitäten festzulegen, die es einer betroffenen Person ermöglichen, die ihr nach diese Verordnung zustehenden Rechte wahrzunehmen, etwa dass sie ein kostenfreies Auskunftsrecht oder ein Recht auf Berichtigung oder Löschung von Daten besitzt oder von ihrem Widerspruchsrecht Gebrauch machen kann. Der für die Verarbeitung Verantwortliche sollte verpflichtet werden, innerhalb einer bestimmten Frist auf das Ansuchen der betroffenen Person zu antworten und eine etwaige Ablehnung des Ansuchens zu begründen. (48) Die Grundsätze von Treu und Glauben und Transparenz bei der Verarbeitung setzen voraus, dass die betroffene Person insbesondere über die Existenz des Verarbeitungsvorgangs und seine Zwecke, die Speicherfrist, das Recht auf Auskunft sowie das Recht auf Berichtigung und Löschung der Daten und das Beschwerderecht informiert wird. Werden die Daten bei der betroffenen Person erhoben, sollte dieser darüber hinaus mitgeteilt werden, ob sie verpflichtet ist, die Daten bereitzustellen, und welche Folgen eine Zurückhaltung der Daten nach sich ziehen würde. (49) Die Unterrichtung einer betroffenen Person, dass sie betreffende personenbezogene Daten verarbeitet werden, sollte zum Zeitpunkt der Erhebung erfolgen oder für den Fall, dass die Daten nicht bei ihr erhoben werden, innerhalb einer angemessenen Frist, die sich nach dem konkreten Einzelfall richtet. Wenn die Daten rechtmäßig an einen anderen Empfänger weitergegeben werden dürfen, sollte die betroffene Person bei der erstmaligen Weitergabe der Daten an diesen Empfänger darüber aufgeklärt werden. (50) Diese Pflicht erübrigt sich jedoch, wenn die betroffene Person bereits informiert ist oder wenn die Speicherung oder Weitergabe ausdrücklich gesetzlich geregelt ist oder wenn sich die Unterrichtung der betroffenen Person als unmöglich erweist oder mit unverhältnismäßig hohem Aufwand verbunden ist. Letzteres könnte insbesondere bei Verarbeitungen für historische oder statistische Zwecke oder zum Zwecke der wissenschaftlichen Forschung der Fall sein; als Anhaltspunkt können dabei die Zahl der betroffenen Personen, das Alter der Daten oder etwaige Ausgleichsmaßnahmen dienen. (51) Jede Person sollte ein Auskunftsrecht hinsichtlich der Daten, die bei ihr erhoben worden sind, besitzen und dieses Recht problemlos wahrnehmen können, um sich von der Rechtmäßigkeit ihrer Verarbeitung überzeugen zu können. Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, zu welchen Zwecken die Daten verarbeitet werden, wie lange sie gespeichert werden, wer die Empfänger der Daten sind, nach welcher Logik die Daten verarbeitet werden und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling basiert. Dabei dürfen die Grundrechte und Grundfreiheiten anderer Personen, etwa das Geschäftsgeheimnis oder die Rechte an geistigem Eigentum und insbesondere das Urheberrecht an Software, nicht angetastet werden. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. (52) Der für die Verarbeitung Verantwortliche sollte alle vertretbaren Mittel nutzen, um die Identität einer Auskunft suchenden betroffenen Person zu überprüfen, insbesondere im Rahmen von Online-Diensten und im Falle von Online-Kennungen. Ein für die Verarbeitung Verantwortlicher sollte personenbezogene Daten nicht nur deshalb speichern, um auf mögliche Ansuchen reagieren zu können. (53) Jede Person sollte ein Recht auf Berichtigung der sie betreffenden personenbezogenen Daten besitzen sowie ein ‚Recht auf Vergessenwerden’, wenn die Speicherung ihrer Daten unter Verstoß gegen die Verordnung erfolgt ist. Insbesondere sollten betroffene Personen Anspruch darauf haben, dass ihre personenbezogenen Daten gelöscht und nicht weiter verarbeitet werden, wenn sich die Zwecke, für die die Daten erhoben wurden, erübrigt haben, wenn die betroffenen Personen ihre Einwilligung in die Verarbeitung widerrufen oder Widerspruch gegen die Verarbeitung der sie betreffenden personenbezogenen Daten eingelegt haben oder wenn die Verarbeitung ihrer personenbezogenen Daten aus anderen Gründen unter Verstoß gegen die Verordnung erfolgt ist. Dieses Recht ist besonders wichtig in Fällen, in denen die betroffene Person ihre Einwilligung noch im Kindesalter gegeben hat und insofern die mit der Verarbeitung verbundenen Gefahren nicht in vollem Umfang absehen konnte und die Daten – besonders die im Internet gespeicherten – später löschen möchte. Die weitere Speicherung der Daten sollte jedoch zulässig sein, wenn dies für historische oder statistische Zwecke, zum Zwecke der wissenschaftlichen Forschung, aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit oder zur Ausübung des Rechts auf freie Meinungsäußerung erforderlich ist, wenn es hierfür eine gesetzliche Grundlage gibt oder wenn eine beschränkte Verarbeitung der Daten anstatt ihrer Löschung gerechtfertigt ist. (54) Um dem ‚Recht auf Vergessenwerden’ im Netz mehr Geltung zu verschaffen, sollte das Recht auf Löschung so weit gehen, dass ein für die Verarbeitung Verantwortlicher, der die personenbezogenen Daten öffentlich gemacht hat, die Pflicht hat, Dritten, die diese Daten verarbeiten, mitzuteilen, dass eine betroffene Person die Löschung von Links zu diesen Daten oder von Kopien oder Reproduktionen dieser Daten verlangt. Der für die Verarbeitung Verantwortliche sollte im Hinblick auf Daten, für deren Veröffentlichung er die Verantwortung trägt, alle vertretbaren Schritte, auch technischer Art, unternehmen, damit diese Information die betroffenen Dritten auch tatsächlich erreicht. Werden personenbezogene Daten von Dritten veröffentlicht, sollte der für die Verarbeitung Verantwortliche für die Veröffentlichung in die Pflicht genommen werden, wenn er die Veröffentlichung gestattet hat. (55) Damit die betroffenen Personen eine bessere Kontrolle über ihre eigenen Daten haben und ihr Auskunftsrecht besser ausüben können, sollten sie im Falle einer elektronischen Verarbeitung ihrer personenbezogenen Daten in einem strukturierten gängigen Format ebenfalls Anspruch auf Erhalt einer Kopie der sie betreffenden Daten in einem gängigen elektronischen Format haben. Die betroffene Person sollte auch befugt sein, die von ihr zur Verfügung gestellten Daten von einer automatisierten Anwendung, etwa einem sozialen Netzwerk, auf eine andere Anwendung zu übertragen. Dies sollte dann möglich sein, wenn die betroffene Person die Daten dem automatisierten Verarbeitungssystem mit ihrer ausdrücklichen Einwilligung oder im Zuge der Erfüllung eines Vertrags zur Verfügung gestellt hat. (56) In Fällen, in denen die personenbezogenen Daten zum Schutz der lebenswichtigen Interessen der betroffenen Person oder im öffentlichen Interesse, in Ausübung hoheitlicher Gewalt oder aufgrund der berechtigten Interessen des für die Verarbeitung Verantwortlichen rechtmäßig verarbeitet werden dürfen, sollte jede betroffene Person trotzdem das Recht haben, Widerspruch gegen die Verarbeitung der sie betreffenden Daten einzulegen. Die Beweislast sollte bei dem für die Verarbeitung Verantwortlichen liegen, der darlegen muss, dass seine berechtigten Interessen Vorrang vor den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person haben. (57) Werden personenbezogene Daten verarbeitet, um Direktwerbung für nichtkommerzielle Zwecke zu betreiben, sollte die betroffene Person unentgeltlich, einfach und effektiv Widerspruch gegen eine solche Verarbeitung einlegen können. (58) Eine natürliche Person braucht sich keiner Maßnahme unterwerfen lassen, die auf Profiling im Wege der automatischen Datenverarbeitung basiert. Eine solche Maßnahme sollte allerdings erlaubt sein, wenn sie ausdrücklich per Gesetz genehmigt wurde, bei Abschluss oder in Erfüllung eines Vertrags durchgeführt wird oder wenn die betroffene Person ihre Einwilligung hierzu erteilt hat. In jedem Fall sollte eine solche Verarbeitung mit angemessenen Garantien verbunden werden wie der Unterrichtung der betroffenen Person oder dem Anspruch auf direkten persönlichen Kontakt sowie dem generellen Ausschluss von Kindern von einer solchen Maßnahme. (59) Im Unionsrecht oder im Recht der Mitgliedstaaten können Beschränkungen bestimmter Grundsätze sowie des Rechts auf Unterrichtung, Auskunft, Berichtigung, Löschung, Datenübertragbarkeit und Widerspruch, von Maßnahmen, die auf der Erstellung von Profilen beruhen, und von Mitteilungen über eine Verletzung des Schutzes personenbezogener Daten an eine betroffene Person sowie von bestimmten damit zusammenhängenden Pflichten der für die Verarbeitung Verantwortlichen vorgesehen werden, soweit dies in einer demokratischen Gesellschaft notwendig und verhältnismäßig ist, um die öffentliche Sicherheit aufrechtzuerhalten, wozu unter anderem der Schutz von Menschenleben bei Naturkatastrophen oder vom Menschen verursachten Katastrophen sowie die Verhütung, Aufdeckung und strafrechtliche Verfolgung von Straftaten und von Verstößen gegen Berufsstandsregeln bei reglementierten Berufen gehört, und um sonstige öffentliche Interessen der Union oder eines Mitgliedstaats, etwa wichtige wirtschaftliche oder finanzielle Interessen, oder die betroffene Person und die Rechte und Freiheiten anderer Personen zu schützen. Diese Beschränkungen müssen mit der Charta der Grundrechte der Europäischen Union und mit der Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten im Einklang stehen. (60) Die Verantwortung und Haftung des für die Verarbeitung Verantwortlichen für jedwede durch diesen oder in dessen Auftrag erfolgende Verarbeitung personenbezogener Daten sollte umfassend geregelt werden. Insbesondere sollte der für die Verarbeitung Verantwortliche dafür Sorge tragen, dass jeder Verarbeitungsvorgang im Einklang mit dieser Verordnung steht, und er sollte dies auch nachweisen müssen. (61) Zum Schutz der in Bezug auf die Verarbeitung personenbezogener Daten bestehenden Rechte und Freiheiten der betroffenen Personen ist es erforderlich, dass geeignete technische und organisatorische Maßnahmen sowohl bei der Konzipierung der Verarbeitungsvorgänge als auch zum Zeitpunkt der Verarbeitung getroffen werden, damit die Anforderungen dieser Verordnung erfüllt werden. Um die Einhaltung dieser Anforderungen sicherzustellen und nachzuweisen, sollte der für die Verarbeitung Verantwortliche interne Strategien festlegen und geeignete Maßnahmen ergreifen, die insbesondere dem Grundsatz des Datenschutzes durch Technik (data protection by design) und durch datenschutzfreundliche Voreinstellungen (data protection by default) Genüge tun. (62) Zum Schutz der Rechte und Freiheiten der betroffenen Personen sowie zur Klärung der Verantwortung und der Haftung der für die Verarbeitung Verantwortlichen und des Auftragsverarbeiters bedarf es – auch mit Blick auf die Überwachungs- und sonstigen Maßnahmen von Aufsichtsbehörden – einer klaren Zuteilung der Verantwortlichkeiten durch diese Verordnung, insbesondere für Fälle, in denen ein für die Verarbeitung Verantwortlicher die Verarbeitungszwecke, -bedingungen und ‑mittel gemeinsam mit anderen für die Verarbeitung Verantwortlichen festlegt oder ein Verarbeitungsvorgang im Auftrag eines für die Verarbeitung Verantwortlichen durchgeführt wird. (63) Jeder für die Verarbeitung Verantwortliche ohne Niederlassung in der Union, dessen Verarbeitungstätigkeiten sich auf in der Union ansässige betroffene Personen beziehen und dazu dienen, diesen Personen Waren oder Dienstleistungen anzubieten oder deren Verhalten zu beobachten, sollte einen Vertreter benennen müssen, es sei denn, dieser für die Verarbeitung Verantwortliche ist in einem Drittland niedergelassen, das einen angemessenen Schutz bietet, oder es handelt sich um ein kleines oder mittleres Unternehmen, um eine Behörde oder um eine öffentliche Einrichtung oder der betreffende für die Verarbeitung Verantwortliche bietet den betroffenen Personen nicht nur gelegentlich Waren oder Dienstleistungen an. Der Vertreter sollte im Namen des für die Verarbeitung Verantwortlichen tätig werden und den Aufsichtsbehörden als Ansprechpartner dienen. (64) Zur Klärung der Frage, ob ein für die Verarbeitung Verantwortlicher in der Union ansässigen betroffenen Personen nur gelegentlich Waren und Dienstleistungen anbietet, sollte jeweils geprüft werden, ob aus dem allgemeinen Tätigkeitsprofil des für die Verarbeitung Verantwortlichen ersichtlich ist, dass das Anbieten der betreffenden Waren und Dienstleistungen lediglich eine zusätzlich zu seinen Haupttätigkeiten hinzukommende Tätigkeit darstellt. (65) Zum Nachweis der Einhaltung der in dieser Verordnung festgelegten Bestimmungen sollte der für die Verarbeitung Verantwortliche jeden Verarbeitungsvorgang dokumentieren. Jeder für die Verarbeitung Verantwortliche und jeder Auftragsverarbeiter sollte verpflichtet sein, mit der Aufsichtsbehörde zusammenzuarbeiten und dieser auf Verlangen die entsprechende Dokumentation vorzulegen, damit die betreffenden Verarbeitungsvorgänge anhand dieser Unterlagen kontrolliert werden können. (66) Zur Aufrechterhaltung der Sicherheit und zur Vorbeugung gegen eine gegen diese Verordnung verstoßende Verarbeitung sollte der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter die mit der Verarbeitung verbundenen Risiken ermitteln und Maßnahmen zu deren Eindämmung ergreifen. Diese Maßnahmen müssen unter Berücksichtigung des Standes der Technik und der dabei anfallenden Kosten ein Schutzniveau gewährleisten, das den von der Verarbeitung ausgehenden Risiken und der Art der zu schützenden personenbezogenen Daten angemessen ist. Die Kommission sollte bei der Festlegung technischer Standards und organisatorischer Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung die technologische Neutralität, die Interoperabilität sowie Innovationen fördern und gegebenenfalls mit Drittländern zusammenarbeiten. (67) Eine Verletzung des Schutzes personenbezogener Daten kann erhebliche wirtschaftliche Schäden und soziale Nachteile einschließlich des Identitätsbetrugs für die betroffene Person nach sich ziehen, wenn nicht rechtzeitig und angemessen reagiert wird. Deshalb sollte der für die Verarbeitung Verantwortliche nach Bekanntwerden einer derartigen Verletzung die Aufsichtsbehörde ohne unangemessene Verzögerung – falls möglich binnen 24 Stunden – davon in Kenntnis setzen. Falls die Benachrichtigung nicht binnen 24 Stunden erfolgen kann, sollten in ihr die Gründe für die Verzögerung angegeben werden müssen. Natürliche Personen, für die eine derartige Verletzung des Schutzes ihrer personenbezogenen Daten nachteilige Auswirkungen haben könnte, sollten ohne unangemessene Verzögerung benachrichtigt werden, damit sie die erforderlichen Sicherheitsvorkehrungen treffen können. Die Auswirkungen einer solchen Verletzung sollten als nachteilig für den Schutz der personenbezogenen Daten oder der Privatsphäre einer natürlichen Person angesehen werden, wenn sie zum Beispiel einen Identitätsdiebstahl oder -betrug, eine physische Schädigung, eine erhebliche Demütigung oder Rufschädigung zur Folge haben. Die Benachrichtigung sollte eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten sowie an die betroffene Person gerichtete Empfehlungen zur Minderung etwaiger negativer Auswirkungen dieser Verletzung beinhalten. Die Benachrichtigung der betroffenen Person sollte stets so rasch wie nach allgemeinem Ermessen möglich, in enger Absprache mit der Aufsichtsbehörde und nach Maßgabe der von dieser oder von anderen zuständigen Behörden (z.B. Strafverfolgungsbehörden) erteilten Weisungen erfolgen. Damit eine betroffene Person das Risiko eines unmittelbaren Schadens für sich klein halten kann, bedarf es beispielsweise ihrer sofortigen Benachrichtigung, wohingegen eine längere Benachrichtigungsfrist gerechtfertigt sein kann, wenn es darum geht, geeignete Maßnahmen gegen fortlaufende oder ähnliche Verletzungen der Datensicherheit zu ergreifen. (68) Um bestimmen zu können, ob eine gegebene Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde und der betroffenen Person ohne unangemessene Verzögerung gemeldet wurde, sollte jeweils überprüft werden, ob der für die Verarbeitung Verantwortliche ausreichende technische Vorkehrungen und organisatorische Maßnahmen getroffen hat, um sofort feststellen zu können, ob eine Verletzung des Schutzes personenbezogener Daten aufgetreten ist, und um die Aufsichtsbehörde und die betroffene Person umgehend unterrichten zu können, noch bevor persönliche oder wirtschaftliche Interessen Schaden nehmen können, wobei die Art und Schwere der Verletzung des Schutzes personenbezogener Daten sowie deren negative Folgen für die betroffene Person zu berücksichtigen sind. (69) Bei der detaillierten Regelung des Formats und der Verfahren für die Meldung von Verletzungen des Schutzes personenbezogener Daten sollten die Umstände der Verletzung hinreichend berücksichtigt werden, beispielsweise ob personenbezogene Daten durch geeignete technische Sicherheitsvorkehrungen geschützt waren, die die Wahrscheinlichkeit eines Identitätsbetrugs oder anderer Formen des Datenmissbrauchs wirksam verringern. Überdies sollten solche Regeln und Verfahren den berechtigten Interessen der Strafverfolgungsbehörden in Fällen Rechnung tragen, in denen die Untersuchung der Umstände der Verletzung durch ein frühzeitiges Bekanntwerden in unnötiger Weise behindert würde. (70) Gemäß der Richtlinie 95/46/EG waren Verarbeitungen personenbezogener Daten bei den Aufsichtsbehörden generell meldepflichtig. Diese Meldepflicht ist mit einem bürokratischen und finanziellen Aufwand verbunden und hat doch keineswegs in allen Fällen zu einem besseren Schutz personenbezogener Daten geführt. Diese unterschiedslose allgemeine Meldepflicht sollte daher abgeschafft und durch wirksame Verfahren und Mechanismen ersetzt werden, die sich stattdessen vorrangig mit jenen Verarbeitungsvorgängen befassen, die aufgrund ihres Wesens, ihres Umfangs oder ihrer Zwecke konkrete Risiken für die Rechte und Freiheiten betroffener Personen bergen können. In derartigen Fällen sollte der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter vor der Verarbeitung eine Datenschutz-Folgenabschätzung durchführen, die sich insbesondere mit den Maßnahmen, Garantien und Verfahren befasst, durch die der Schutz personenbezogener Daten sichergestellt und die Einhaltung der Bestimmungen dieser Verordnung nachgewiesen werden sollen. (71) Dies sollte insbesondere für neu geschaffene umfangreiche Dateien gelten, die dazu dienen, große Mengen personenbezogener Daten auf regionaler, nationaler oder supranationaler Ebene zu verarbeiten, und die eine große Zahl von Personen betreffen könnten. (72) Unter bestimmten Umständen kann es vernünftig und unter ökonomischen Gesichtspunkten sinnvoll sein, eine Datenschutz-Folgenabschätzung nicht auf ein bestimmtes Projekt zu beziehen, sondern sie thematisch breiter anzulegen – beispielsweise wenn Behörden oder öffentliche Einrichtungen eine gemeinsame Anwendung oder Verarbeitungsplattform schaffen möchten oder wenn mehrere für die Verarbeitung Verantwortliche eine gemeinsame Anwendung oder Verarbeitungsumgebung für einen gesamten Wirtschaftssektor, für ein bestimmtes Marktsegment oder für eine weit verbreitete horizontale Tätigkeit einführen möchten. (73) Datenschutz-Folgeabschätzungen sollten von einer Behörde oder öffentlichen Einrichtung durchgeführt werden, sofern eine solche Folgenabschätzung nicht schon anlässlich des Erlasses des Gesetzes erfolgt ist, auf dessen Grundlage die Behörde oder Einrichtung ihre Aufgaben wahrnimmt und das den fraglichen Verarbeitungsvorgang oder die fraglichen Arten von Verarbeitungsvorgängen regelt. (74) In Fällen, in denen die Datenschutz-Folgenabschätzung ergibt, dass bestimmte Verarbeitungsvorgänge große konkrete Risiken für die Rechte und Freiheiten von betroffenen Personen bergen, zum Beispiel das Risiko, infolge des Rückgriffs auf neue Technologien von dem Recht auf Datenschutz nicht Gebrauch machen zu können, sollte die Aufsichtsbehörde vor Beginn dieser Vorgänge zu der Frage, ob die geplante risikobehaftete Verarbeitung gegen die Bestimmungen dieser Verordnung verstößt, zu Rate gezogen werden müssen und Abhilfevorschläge unterbreiten dürfen. Eine solche Konsultation sollte auch bei der Ausarbeitung einer gesetzgeberischen Maßnahme des nationalen Parlaments oder einer darauf basierenden Maßnahme erfolgen, die die Art der Verarbeitung und geeignete Garantien festlegt. (75) In Fällen, in denen die Verarbeitung im öffentlichen Sektor oder durch ein privates Großunternehmen erfolgt oder in denen die Kerntätigkeit eines Unternehmens ungeachtet seiner Größe Verarbeitungsvorgänge einschließt, die einer regelmäßigen und systematischen Überwachung bedürfen, sollte der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter bei der Überwachung der unternehmensinternen Einhaltung der Bestimmungen dieser Verordnung von einer weiteren Person unterstützt werden. Derartige Datenschutzbeauftragte sollten unabhängig davon, ob es sich um Angestellte des für die Verarbeitung Verantwortlichen handelt oder nicht, ihre Pflichten und Aufgaben in vollständiger Unabhängigkeit ausüben können. (76) Verbände oder andere Vertreter bestimmter Kategorien von für die Verarbeitung Verantwortlichen sollten ermutigt werden, im Einklang mit dieser Verordnung stehende Verhaltenskodizes zu erstellen, um eine wirksame Anwendung dieser Verordnung zu erleichtern, bei der den Eigenheiten der in bestimmten Sektoren erfolgenden Verarbeitungen Rechnung getragen wird. (77) Um die Transparenz zu erhöhen und die Einhaltung dieser Verordnung zu verbessern, sollte angeregt werden, dass Zertifizierungsmechanismen sowie Datenschutzsiegel und –prüfzeichen eingeführt werden, die den betroffenen Personen einen raschen Überblick über das Datenschutzniveau einschlägiger Erzeugnisse und Dienstleistungen ermöglichen. (78) Der grenzüberschreitende Verkehr von personenbezogenen Daten ist für die Entwicklung des internationalen Handels und der grenzübergreifenden Zusammenarbeit notwendig. Durch die Zunahme dieser Datenströme sind neue Herausforderungen und Anforderungen in Bezug auf den Schutz personenbezogener Daten entstanden. Der durch diese Verordnung unionsweit garantierte Schutz natürlicher Personen sollte jedoch bei der Übermittlung von personenbezogenen Daten aus der Union in Drittländer oder an internationale Organisationen nicht unterminiert werden. In jedem Fall sollten derartige Datenübermittlungen an Drittländer nur unter strikter Einhaltung dieser Verordnung zulässig sein. (79) Internationale Abkommen zwischen der Union und Drittländern über die Übermittlung von personenbezogenen Daten einschließlich geeigneter Garantien für die betroffenen Personen werden von dieser Verordnung nicht berührt. (80) Die Kommission kann mit Wirkung für die gesamte Union beschließen, dass bestimmte Drittländer oder bestimmte Gebiete oder Verarbeitungssektoren eines Drittlands oder eine internationale Organisation einen angemessenen Datenschutz bieten, und auf diese Weise in Bezug auf die Drittländer und internationalen Organisationen, die für fähig gehalten werden, einen solchen Schutz zu bieten, in der gesamten Union für Rechtssicherheit und eine einheitliche Rechtsanwendung sorgen. In derartigen