Dieses Dokument wird von der Europäischen Kommission lediglich zu Informationszwecken bereitgestellt. Es enthält keine verbindliche Auslegung der Verordnung (EU) 2018/1807 des Europäischen Parlaments und des Rates vom 14. November 2018 über einen Rahmen für den freien Verkehr nicht-personenbezogener Daten in der Europäischen Union und stellt keinen Beschluss oder Standpunkt der Europäischen Kommission dar. Das Dokument lässt jeden solchen Beschluss oder Standpunkt der Europäischen Kommission sowie die Befugnisse des Gerichtshofs der Europäischen Union zur Auslegung der Verordnung in Übereinstimmung mit den EU-Verträgen unberührt.

1.Einführung

In einer zunehmend datengesteuerten Wirtschaft stehen die Datenströme im Mittelpunkt von Geschäftsprozessen in Unternehmen jeder Größe und in allen Wirtschaftszweigen. Neue digitale Technologien eröffnen der breiten Öffentlichkeit, den Unternehmen und den öffentlichen Verwaltungen in der Europäischen Union (EU) neue Möglichkeiten.

Um den grenzüberschreitenden Austausch von Daten weiter zu verbessern und die Datenwirtschaft anzukurbeln, haben das Europäische Parlament und der Rat im November 2018 auf der Grundlage eines Vorschlags der Europäischen Kommission (im Folgenden „Kommission“) die Verordnung (EU) 2018/1807 über einen Rahmen für den freien Verkehr nicht-personenbezogener Daten in der Europäischen Union (im Folgenden „Verordnung über den freien Verkehr nicht-personenbezogener Daten“) angenommen. Die Verordnung gilt ab dem 28. Mai 2019. Der Grundsatz des freien Verkehrs personenbezogener Daten ist bereits in der Verordnung (EU) 2016/679 vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (im Folgenden „Datenschutz-Grundverordnung“) festgelegt. Daher gibt es nun einen umfassenden Rahmen für einen gemeinsamen europäischen Datenraum und den freien Verkehr aller Daten innerhalb der Europäischen Union.

Die Verordnung über den freien Verkehr nicht-personenbezogener Daten schafft Rechtssicherheit für Unternehmen, die ihre Daten nun überall in der EU verarbeiten können, erhöht das Vertrauen in Datenverarbeitungsdienste und tritt der Anbieterabhängigkeit (vendor lock-in) entgegen. Dadurch erhalten Kunden mehr Auswahl, die Effizienz wird verbessert und es werden Anreize für die Verwendung von Cloud-Technologien geboten, was zu erheblichen Einsparungen für Unternehmen in der EU führen wird. Einer Studie zufolge können Unternehmen in der EU 20‑50 % ihrer IT-Kosten durch Migration zur Cloud einsparen.

Dank der beiden Verordnungen ist der freie Datenverkehr zwischen den Mitgliedstaaten sichergestellt, sodass die Nutzer von Datenverarbeitungsdiensten mit den in verschiedenen EU-Märkten gesammelten Daten ihre Produktivität und Wettbewerbsfähigkeit verbessern können. Somit lassen sich die Größenvorteile des großen EU-Marktes vollumfänglich nutzen, was die globale Wettbewerbsfähigkeit der Nutzer und die Vernetzung der europäischen Datenwirtschaft verbessert.

Die Verordnung über den freien Verkehr nicht-personenbezogener Daten weist drei besondere Merkmale auf:

·Sie verbietet den Mitgliedstaaten grundsätzlich die Anwendung von Datenlokalisierungsauflagen. Ausnahmen hiervon sind nur aus Gründen der öffentlichen Sicherheit im Einklang mit dem Grundsatz der Verhältnismäßigkeit zulässig.

·Sie sieht einen Kooperationsmechanismus vor, der sicherstellen soll, dass die zuständigen Behörden weiterhin in der Lage sind, ihr Recht auf Zugang zu Daten, die in einem anderen Mitgliedstaat verarbeitet werden, auszuüben.

·Sie gibt den Unternehmen der Branche Anreize, mit Unterstützung der Kommission Verhaltensregeln für die Selbstregulierung im Hinblick auf den Anbieterwechsel und die Übertragung von Daten auszuarbeiten.

Zweck dieser Leitlinien

Mit diesen Leitlinien kommt die Kommission ihrer Verpflichtung aus Artikel 8 Absatz 3 der Verordnung über den freien Verkehr nicht-personenbezogener Daten nach, Leitlinien über das Zusammenwirken dieser Verordnung und der Datenschutz-Grundverordnung zu veröffentlichen‚ „insbesondere im Hinblick auf Datensätze, die sowohl aus personenbezogenen als auch aus nicht-personenbezogenen Daten bestehen“.

Die Leitlinien sollen den Nutzern – insbesondere kleinen und mittleren Unternehmen – helfen, das Verhältnis zwischen der Verordnung über den freien Verkehr nicht-personenbezogener Daten und der Datenschutz-Grundverordnung besser zu verstehen. Sie gehen daher insbesondere auf folgende Aspekte ein: i) die Begriffe „nicht-personenbezogene Daten“ und „personenbezogene Daten“, ii) die Grundsätze des freien Datenverkehrs und das Verbot von Datenlokalisierungsauflagen nach beiden Verordnungen und iii) den Begriff der Übertragung bzw. Übertragbarkeit von Daten nach der Verordnung über den freien Verkehr nicht-personenbezogener Daten. Sie decken zudem die in den beiden Verordnungen festgelegten Anforderungen an die Selbstregulierung ab.

Der Verordnung über den freien Verkehr nicht-personenbezogener Daten unterliegen nur „Daten, die keine personenbezogenen Daten“ im Sinne der Datenschutz-Grundverordnung sind. Die Datenschutz-Grundverordnung regelt die Verarbeitung personenbezogener Daten, die ein wesentlicher Bestandteil des Datenschutzrahmens der EU ist. Sie trat in den Mitgliedstaaten am 25. Mai 2018 in Kraft. In der Verordnung werden harmonisierte Vorschriften zum Schutz von Personen in der EU und im EWR im Hinblick auf die Verarbeitung ihrer personenbezogenen Daten und den freien Datenverkehr festgelegt. Die Datenschutz-Grundverordnung i) präzisiert, welche Informationen personenbezogene Daten darstellen, ii) legt die Rechtsgrundlage für ihre Verarbeitung fest und iii) definiert unter anderem die Rechte und Pflichten, die bei der Verarbeitung dieser Daten zu beachten sind. In Bezug auf den Grundsatz des freien Verkehrs personenbezogener Daten heißt es in Artikel 1 Absatz 3 der Datenschutz-Grundverordnung: „Der freie Verkehr personenbezogener Daten in der Union darf aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten weder eingeschränkt noch verboten werden.“

In den meisten realen Situationen dürfte ein Datensatz sowohl aus personenbezogenen als auch aus nicht-personenbezogenen Daten bestehen. In diesem Zusammenhang spricht man häufig von einem „gemischten Datensatz“. Im nachstehenden Abschnitt 2.2 wird das Zusammenwirken der Verordnung über den freien Verkehr nicht-personenbezogener Daten und der Datenschutz-Grundverordnung in Bezug auf gemischte Datensätze näher erläutert.

Im Interesse der Klarheit sei betont, dass keine widersprüchlichen Verpflichtungen nach der Datenschutz-Grundverordnung und der Verordnung über den freien Verkehr nicht-personenbezogener Daten bestehen.

2.Zusammenwirken der Verordnung über den freien Verkehr nicht-personenbezogener Daten und der Datenschutz-Grundverordnung hinsichtlich gemischter Datensätze

2.1Der Begriff „nicht-personenbezogene Daten“ in der Verordnung über den freien Verkehr nicht-personenbezogener Daten