DE Amtsblatt der Europäischen Union C 229/90

Stellungnahme des Europäischen Wirtschafts- und Sozialausschusses zu dem „Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung)“

COM(2012) 11 final — 2012/011 (COD)

2012/C 229/17

Hauptberichterstatter: Jorge PEGADO LIZ

Das Europäische Parlament und der Rat beschlossen am 16. Februar 2012 bzw. 1. März 2012 den Europäischen Wirtschafts- und Sozialausschuss gemäß Artikel 304 AEUV um Stellungnahme zu folgender Vorlage zu ersuchen:

„Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung)“

COM(2012) 11 final — 2012/011 (COD).

Am 21. Februar 2012 beauftragte das Präsidium des Ausschusses die Fachgruppe Beschäftigung, Sozialfragen, Unionsbürgerschaft mit der Ausarbeitung der Stellungnahme zu diesem Thema.

Angesichts der Dringlichkeit der Arbeiten bestellte der Ausschuss auf seiner 481. Plenartagung am 23./24. Mai 2012 (Sitzung vom 23. Mai) Jorge PEGADO LIZ zum Hauptberichterstatter und verabschiedete mit 165 gegen 34 Stimmen bei 12 Enthaltungen folgende Stellungnahme:

1. Schlussfolgerungen und Empfehlungen

1.1 Der Europäische Wirtschafts- und Sozialausschuss (EWSA) begrüßt die allgemeine Richtung, die die Kommission eingeschlagen hat, erklärt sich mit der Wahl der vorgeschlagenen Ermächtigungsgrundlage einverstanden, begrüßt, dass das Hauptaugenmerk auf den Schutz der Grundrechte gelegt wurde, und billigt prinzipiell die Ziele des Vorschlags, die sich eng an einer Stellungnahme des Ausschusses ausrichten. Bezüglich der Rechtsstellung des Datenschutzes ist der EWSA der Ansicht, dass die Verarbeitung und Übertragung von Daten im Rahmen des Binnenmarkts durch das Recht auf Schutz von personenbezogenen Daten im Sinne von Artikel 8 der Grundrechtecharta und von Artikel 16 Absatz 2 AEUV begrenzt werden müssen.

1.2 Der EWSA ist, was die Wahl der Verordnung als des für die angestrebten Ziele am besten geeigneten Rechtsinstruments betrifft, gespalten und fordert die Kommission auf, aufzuzeigen und zu begründen, warum dieses Instrument einer Richtlinie vorzuziehen oder sogar unerlässlich sei.

1.3 Der EWSA bedauert jedoch die allzu zahlreichen Ausnahmen und Einschränkungen, die sich auf die aufgeführten Grundsätze des Rechts auf Schutz personenbezogener Daten auswirken.

1.4 Im neuen Kontext der digitalen Wirtschaft teilt der Ausschuss die Ansicht der Kommission, dass jeder „seine persönlichen Informationen wirksam kontrollieren können“ muss, fordert jedoch auch, dieses Recht auf verschiedene Verwendungsbereiche auszuweiten, für die individuelle Profile auf der Grundlage der mit zahlreichen (legalen und manchmal illegalen) Mitteln erhobenen Daten und der Verarbeitung der erhaltenen Daten erstellt werden.

1.5 Da es sich um Grundrechte handelt, sollte die Harmonisierung in den besonderen Bereichen die Mitgliedstaaten in die Lage versetzen, im Rahmen ihres nationalen Rechts Bestimmungen, die in der Verordnung fehlen oder günstiger als die darin vorgesehenen sind, zu erlassen.

1.6 Außerdem kann der EWSA nicht alle geradezu systematischen Verweise auf delegierte Rechtsakte akzeptieren, die nicht ausdrücklich unter Artikel 290 AEUV fallen.

1.7 Der EWSA begrüßt jedoch, dass die Schaffung eines wirksamen institutionellen Rahmens angestrebt wird, um sowohl auf Ebene der Unternehmen (Datenschutzbeauftragte) als auch auf Ebene der Behörden der Mitgliedstaaten (unabhängige Aufsichtsbehörden) die Wirksamkeit der Rechtsvorschriften zu gewährleisten. Er hätte es aber bevorzugt, wenn die Kommission einen stärker an den realen Bedürfnissen und Wünschen der Bürgerinnen und Bürger ausgerichteten und systematischeren Ansatz entsprechend der Natur bestimmter wirtschaftlicher und sozialer Tätigkeitsbereiche gewählt hätte.

1.8 Der EWSA vertritt die Ansicht, dass im vorgeschlagenen Text eine ganze Reihe von Verbesserungen und Präzisierungen vorgenommen werden können, und gibt in Bezug auf mehrere Artikel konkrete Beispiele im Hinblick auf eine bessere Definition der Rechte, die Stärkung des Schutzes der Bürger im Allgemeinen und der Arbeitnehmer im Besonderen, die Art der Einwilligung, die Rechtmäßigkeit der Verarbeitung und insbesondere die Aufgaben der Datenschutzbeauftragten und die Datenverarbeitung im Beschäftigungskontext.

1.9 Der EWSA ist auch der Ansicht, dass noch weitere Aspekte berücksichtigt werden sollten, insbesondere die Ausweitung des Geltungsbereichs, die Verarbeitung sensibler Daten oder Sammelklagen.

1.10 Der EWSA ist zudem der Meinung, dass Suchmaschinen, die den Großteil ihrer Einnahmen aus gezielter, auf der Sammlung personenbezogener Daten über ihre Nutzer beruhender Werbung generieren, ausdrücklich in den Geltungsbereich der Verordnung aufgenommen werden müssen. Das Gleiche sollte für Anbieter von Speicherplatz im Internet und für einige Anbieter von Softwareprogrammen („Cloud-Computing“) gelten, die Daten über ihre Nutzer zu kommerziellen Zwecken sammeln.

1.11 Ähnliches sollte zudem für personenbezogene Daten gelten, die im Rahmen sozialer Netzwerke veröffentlicht werden, deren Anbieter im Sinne des „Rechts auf Vergessenwerden“ die Möglichkeit vorsehen sollten, dass eine betroffene Person Informationen ändern oder löschen oder auf Antrag ihre persönliche Internetseite bzw. die Links zu anderen stark frequentierten Internetseiten, auf denen diese Informationen wiedergegeben oder kommentiert werden, entfernen lassen kann. Artikel 9 sollte zu diesem Zweck abgeändert werden.

1.12 Schließlich fordert der EWSA die Kommission auf, einige sensible Themen berührende Aspekte des Vorschlags zu überdenken, die er für inakzeptabel hält. Dabei geht es um so heikle Fragen wie den Kinderschutz, das Widerspruchsrecht, das Profiling, bestimmte Beschränkungen der Rechte, den Schwellenwert von 250 Arbeitnehmern für die Ernennung eines Datenschutzbeauftragen oder die Art der Regelungen zur zentralen Anlaufstelle (one-stop-shop).

2. Einleitung

2.1 Der EWSA wurde um Stellungnahme zu dem „Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung)“ ersucht (1).

2.2 Es ist allerdings darauf hinzuweisen, dass dieser Vorschlag Teil eines „Pakets“ ist, das auch eine einleitende Mitteilung (2), einen Richtlinienvorschlag (3) und einen „Bericht der Kommission an das Europäische Parlament, den Rat, den Europäische Wirtschafts- und Sozialausschuss und den Ausschuss der Regionen auf der Grundlage von Artikel 29 Absatz 2 des Rahmenbeschlusses des Rates vom 27. November 2008“ (4) umfasst. Der EWSA wurde nicht mit allen Legislativvorschlägen befasst, sondern nur mit dem Verordnungsvorschlag - obgleich er auch mit dem Richtlinienvorschlag hätte befasst werden sollen.

2.3 Der Vorschlag, mit dem der EWSA befasst wurde, befindet sich nach Einschätzung der Kommission im Schnittbereich zweier zentraler juristisch-politischer und politisch-wirtschaftlicher Leitlinien der EU.

2.3.1 Zum einen ist in Artikel 8 der Charta der Grundrechte der Europäischen Union und in Artikel 16 Absatz 1 AEUV der Datenschutz als Grundrecht verankert, das als solches geschützt werden muss. Die Mitteilungen der Kommission zum Stockholmer Programm sowie zum Aktionsplan zu dessen Umsetzung basieren hierauf (5). Zum anderen sollen mit der Digitalen Agenda für Europa und der breiteren Strategie Europa 2020 die den Binnenmarkt betreffenden Aspekte des Datenschutzes und die Verringerung des Verwaltungsaufwands für Unternehmen gefördert werden.

2.4 Die Kommission beabsichtigt, die in der konsolidierten Richtlinie 95/46/EG festgeschriebenen Grundsätze für den Datenschutz zu aktualisieren und zu modernisieren, um in Zukunft die persönlichen Rechte auf Wahrung der Privatsphäre in der digitalen Gesellschaft und ihren Netzen zu gewährleisten. Ziel ist es, die Rechte der Bürger zu stärken, den Binnenmarkt der EU zu konsolidieren, ein hohes Datenschutzniveau in allen Bereichen (einschließlich der justiziellen Zusammenarbeit in Strafsachen) zu gewährleisten, die ordnungsgemäße Umsetzung der einschlägigen Bestimmungen sicherzustellen, die grenzüberschreitende Datenverarbeitung zu erleichtern und universelle Datenschutznormen aufzustellen.

3. Allgemeine Bemerkungen

3.1 Im neuen Kontext der digitalen Wirtschaft teilt der Ausschuss die Ansicht der Kommission, dass jeder „seine persönlichen Informationen wirksam kontrollieren können“ muss, fordert jedoch auch, dieses Recht auf verschiedene Verwendungsbereiche ausgeweitet auszuweiten, für die individuelle Profile auf der Grundlage der mit zahlreichen (legalen und manchmal illegalen) Mitteln erhobenen Daten und der Verarbeitung der erhaltenen Daten erstellt werden. Der EWSA ist auch der Ansicht, dass die Verarbeitung und Übertragung von Daten im Rahmen des Binnenmarkts durch das Recht auf Schutz im Sinne von Artikel 8 der Grundrechtecharta begrenzt werden müssen. Es handelt sich um ein im institutionellen Recht der EU und im nationalen Recht der meisten Mitgliedstaaten verankertes Grundrecht.

3.2 Jeder Bürger oder Einwohner der EU verfügt aufgrund eben dieser Tatsache über in der Charta und den Verträgen verankerte Grundrechte; diese sind im Recht der Mitgliedstaaten – mitunter sogar in ihrer Verfassung – anerkannt. Weitere Rechte wie z.B. das Recht an der eigenen Abbildung oder das Recht auf Privatsphäre ergänzen und verstärken das Recht auf den Schutz personenbezogener Daten. Es muss möglich sein, für die Wahrung dieser Rechte zu sorgen, indem der Betreiber eines Internetportals aufgefordert wird, bestimmte personenbezogene Profile oder Serverdaten zu ändern oder zu löschen; auch muss es möglich sein, bei Unterlassung eine einschlägige richterliche Anordnung zu erhalten,

3.3 Das Vorhalten von Dateien mit personenbezogenen Daten ist unabdingbar für die öffentliche Verwaltung (6), das Personalmanagement von Unternehmen, kommerzielle Dienste sowie für Verbände und Gewerkschaften, Parteien oder soziale Netzwerke und Suchmaschinen im Internet. Um die Privatsphäre der in diesen Dateien rechtmäßig erfassten Personen zu schützen, sollten jedoch diese unterschiedlichen Zwecken dienenden Dateien nur die für ihre Ziele wesentlichen Daten umfassen und nicht mittels IKT ohne Notwendigkeit und ohne rechtlichen Schutz miteinander verknüpft werden. Die Existenz einer Stelle, die uneingeschränkten Zugriff auf sämtliche Daten hat, wäre eine Gefahr für die öffentlichen Grundfreiheiten und die Privatsphäre.

3.4 Werden persönliche Daten von Einrichtungen des privaten Rechts gehalten, sollten die betroffenen Personen über ein Recht auf Zugang, Berichtigung und sogar Löschung der Daten verfügen, wenn diese für Marktforschungszwecke oder soziale Websites verwandt werden.

3.5 In Bezug auf die Dateien öffentlicher oder privater Verwaltungen, die den Vorschriften entsprechen, müssen Personen über die gesetzlichen Aufbewahrungsfristen hinaus ein Recht auf Zugang und auf Richtigstellung falscher Angaben haben – oder sogar auf Löschung, wenn der personenbezogene Eintrag nicht mehr erforderlich ist, wie z.B. im Falle eines Straferlasses in einem justiziellen Register oder im Falle des Endes eines Arbeitsvertrags.

3.6 Der EWSA begrüßt die allgemeine Richtung, die die Kommission eingeschlagen hat, und weist darauf hin, dass die Ziele der konsolidierten Richtlinie 95/46/EG aktuell bleiben, wenngleich nach 17 Jahren zahlreicher technologischer und sozialer Veränderungen im digitalen Umfeld eine tiefgreifende Überarbeitung unerlässlich geworden ist. In der Richtlinie 95/46/EG blieben z.B. bestimmte Aspekte des grenzüberschreitenden Informations- und Datenaustauschs zwischen Behörden, die für die Strafverfolgung und Urteilsvollstreckung im Rahmen der polizeilichen und justiziellen Zusammenarbeit zuständig sind, unerwähnt. Diese Frage wird im Richtlinienentwurf angegangen, der im „Datenschutz-Paket“ enthalten ist, zu dem der Ausschuss nicht angehört wird.

3.7 Der EWSA begrüßt prinzipiell die Ziele des Vorschlags, die in Zusammenhang mit dem Schutz der Grundrechte stehen und sich eng an der Stellungnahme des Ausschusses (7) orientieren, namentlich: — die Festlegung eines einheitlichen, unionsweit gültigen Regelwerks für den Datenschutz mit höchstmöglichem Schutzniveau; — die ausdrückliche Bekräftigung der Freizügigkeit personenbezogener Daten innerhalb der EU; — die Streichung mehrerer unnützer Verwaltungsauflagen, was der Kommission zufolge zu einer jährlichen Ersparnis von ca. 2,3 Mrd. EUR für die Unternehmen führt; — die Einführung der Pflicht für Unternehmen und Organisationen der unverzüglichen (wenn möglich innerhalb von 24 Stunden vorzunehmenden) Meldung schwerwiegender Verletzungen des Schutzes personenbezogener Daten bei den nationalen Aufsichtsbehörden; — die Möglichkeit für die Bürger, sich an die Datenschutzbehörde in ihrem Heimatland zu wenden – selbst dann, wenn ihre Daten von einem Unternehmen in einem Drittstaat verarbeitet werden; — die Erleichterung des Zugangs von Personen zu ihren eigenen Daten wie auch der Übertragung personenbezogener Daten von einem Dienstleistungserbringer zum anderen (Recht auf Datenübertragbarkeit); — ein „Recht auf Vergessenwerden“, um den Bürgern das beste Risikomanagement im Zusammenhang mit dem Online-Datenschutz zu garantieren, einschließlich der Möglichkeit, personenbezogene Daten löschen zu lassen, wenn kein legitimer Grund für ihre Bevorratung besteht; — im Vergleich zur jetzigen Situation die Stärkung der Rolle der unabhängigen nationalen Datenschutzbehörden, damit sie für eine bessere Anwendung und Achtung der EU-Vorschriften auf dem Hoheitsgebiet des betreffen den Staates sorgen können, indem sie insbesondere dazu befugt werden, Geldbußen gegen Unternehmen, die gegen diese Vorschriften verstoßen, zu verhängen, wobei diese Geldbußen sich auf 1 Mio. EUR oder 2 % des weltweiten Jahresumsatzes des betreffenden Unternehmens belaufen können; — die technologische Neutralität und die Anwendung auf alle Formen der Datenverarbeitung (automatisierte oder manuelle); — die Verpflichtung, Folgenanalysen bezüglich des Datenschutzes durchzuführen.

3.8 Ein Teil der Mitglieder des EWSA ist - unabhängig von ihrer Gruppenzugehörigkeit - mit der Kommission hinsichtlich der Wahl der Verordnung einverstanden und vertritt die Ansicht, dass es sich um das am besten geeignete Rechtsinstrument handelt, um eine einheitliche Anwendung und ein hohes Datenschutzniveau in allen Mitgliedstaaten sicherzustellen; ein anderer Teil ist der Meinung, dass die Richtlinie die Achtung des Subsidiaritätsprinzips und den Datenschutz am besten gewährleisten könnte, vor allem in den Mitgliedstaaten, die bereits ein höheres Schutzniveau garantieren als das im Kommissionsvorschlag festgelegte. Der EWSA ist sich auch der Tatsache bewusst, dass die Mitgliedstaaten in dieser Frage geteilter Auffassung sind. Der EWSA ersucht die Kommission deshalb darum, ihren Vorschlag besser zu fundieren, indem sie dessen Vereinbarkeit mit dem Subsidiaritätsprinzip sowie die Gründe, aus denen die Wahl einer Verordnung im Hinblick auf die angestrebten Ziele unerlässlich erscheint, expliziter formuliert.

3.8.1 Da es sich um eine Verordnung handelt, die unmittelbar und gänzlich in allen Mitgliedstaaten anwendbar ist, ohne in nationales Recht übertragen werden zu müssen, macht der EWSA die Kommission darauf aufmerksam, dass auf die Kohärenz der Übersetzungen in alle Sprachen zu achten ist - was bei dem Vorschlag nicht der Fall war.

3.9 Nach Auffassung des EWSA hätte der Vorschlag einerseits hinsichtlich des Schutzes bestimmter Rechte, die infolge zahlreicher Ausnahmen und Einschränkungen inhaltlich praktisch ausgehöhlt werden, weitergehen können. Andererseits sollten die verschiedenen Rechte besser gewichtet werden. Es besteht somit das Risiko eines Ungleichgewichts zwischen den Zielen des Grundrechts auf Datenschutz und den Zielen des Binnenmarkts, und zwar zulasten des Grundrechts. Der EWSA teilt im Wesentlichen die Auffassung des Europäischen Datenschutzbeauftragten (8).

3.10 Der EWSA hätte es begrüßt, wenn die Kommission einen stärker den realen Bedürfnissen und Wünschen der Bürgerinnen und Bürger entsprechenden und systematischeren Ansatz entsprechend der Natur bestimmter wirtschaftlicher und sozialer Tätigkeitsbereiche gewählt hätte, z.B. des Online-Handels, des Direktmarketings, der Arbeitsbeziehungen, der öffentlichen Behörden, der Überwachung und Sicherheit, der DNA usw., indem die Rechtsvorschriften entsprechend den sehr unterschiedlichen Gegebenheiten in der Datenverarbeitung angepasst werden.

3.11 In Bezug auf unterschiedliche Bestimmungen im Vorschlag (zusammengefasst in Artikel 86) hängen sehr wichtige Aspekte des Rechtsinstruments und des Funktionierens des Systems von künftigen delegierten Rechtsakten ab (26 Übertragungen von Befugnissen für unbestimmte Dauer). Der EWSA ist der Ansicht, dass dies weit über die Grenzen hinausgeht, die in Artikel 290 des Vertrags festgelegt und in der Mitteilung der Kommission bezüglich der Umsetzung von Artikel 290 des Vertrags über die Arbeitsweise der Europäischen Union (9) definiert sind, was Folgen für die Rechtsicherheit des Instruments hat. Der EWSA ist der Ansicht, dass eine bestimmte Anzahl von Befugnisübertragungen direkt vom europäischen Gesetzgeber geregelt werden könnten. Andere könnten in die Zuständigkeit der nationalen Aufsichtsbehörden bzw. ihres Zusammenschlusses auf europäischer Ebene fallen (10). Dies würde die Umsetzung der Subsidiaritätsprinzipien stärken und zu mehr Rechtssicherheit beitragen.

3.12 Der EWSA begreift, warum sich die Kommission in diesem Vorschlag angesichts seines spezifischen Rechtscharakters nur mit den Rechten natürlicher Personen beschäftigt. Er fordert die Kommission aber auf, auch den Daten über juristische Personen – insbesondere solche mit Rechtspersönlichkeit – Aufmerksamkeit zu widmen.

4. Besondere Bemerkungen

Positive Aspekte

4.1 Der Vorschlag steht weiterhin im Einklang mit dem Gegenstand und den Zielen der Richtlinie 95/46/EG, insbesondere hinsichtlich bestimmter Definitionen, der Kernpunkte der Grundsätze für die Datenqualität und die Rechtmäßigkeit der Datenverarbeitung, der Verarbeitung besonderer Datenkategorien sowie bestimmter Rechte auf Information und Zugang zu Daten.

4.2 Der Vorschlag ist im positiven Sinne innovativ in grundlegenden Bereichen im Zusammenhang mit neuen Definitionen, der Präzisierung der Einwilligungsbedingungen, vor allem im Falle von Kindern, und der Kategorisierung neuer Rechte wie der Rechte auf Berichtigung und Löschung, insbesondere des Rechts auf Vergessenwerden, dem Inhalt des Rechts auf Widerspruch und des Profilings sowie den sehr ausführlichen Pflichten der für die Verarbeitung Verantwortlichen und Auftragsarbeiter, der Datensicherheit und dem allgemeinen Rahmen für (vornehmlich administrative) Strafen.

4.3 Der Ausschuss begrüßt auch, dass im Vorschlag die Schaffung eines wirksamen institutionellen Rahmens angestrebt wird, um sowohl auf Ebene der Unternehmen (Datenschutzbeauftragte) als auch auf Ebene der Behörden der Mitgliedstaaten (unabhängige Aufsichtsbehörden) die Wirksamkeit der Rechtsvorschriften sowie eine stärkere Zusammenarbeit zwischen diesen Behörden und der Kommission (Einsetzung eines Europäischen Datenschutzausschusses) zu gewährleisten. Allerdings weist er darauf hin, dass die Kompetenzen der nationalen und zum Teil regionalen Datenschutzbeauftragten in den Mitgliedstaaten gewahrt werden müssen.

4.4 Schließlich begrüßt der Ausschuss die Anregung der Erarbeitung von Verhaltensregeln und die Rolle der Zertifizierung und der Datenschutzsiegeln und -prüfzeichen.

Verbesserungswürdige Aspekte

4.5 Artikel 3 – Räumlicher Anwendungsbereich

4.5.1 Die in Absatz 2 vorgesehenen Anwendungsbedingungen sind zu restriktiv; zu erinnern ist hier an den Fall der pharmazeutischen Unternehmen, die ihren Sitz außerhalb Europas haben und die für klinische Versuche Zugang zu klinischen Daten über entsprechende Personen, die in der EU leben, erhalten möchten.

4.6 Artikel 4 – Begriffsbestimmungen

4.6.1 Der Begriff der „Einwilligung“, der die wesentliche Grundlage für das gesamte Datenschutzkonzept ist, sollte in seinen Teilaspekten genauer definiert werden, vor allem in Bezug auf die „sonstige eindeutige Handlung“ (dies gilt insbesondere für die französische Fassung).

4.6.2 Der Begriff der „Datenübertragung“ wird nirgendwo definiert; er sollte Gegenstand einer Definition in Artikel 4 sein.

4.6.3 Der in Artikel 5 Buchstabe a) erwähnte Begriff „Treu und Glauben“ muss definiert werden.

4.6.4 Der Begriff der Daten, die „offenkundig öffentlich“ gemacht wurden (Artikel 9 Absatz 2 Buchstabe e) muss ebenfalls genau definiert werden.

4.6.5 Der im Vorschlag durchgängig verwendete Begriff „Profiling“ sollte ebenfalls definiert werden.

4.7 Artikel 6 – Rechtmäßigkeit der Verarbeitung

4.7.1 In Artikel 6 Absatz 1 Buchstabe f) ist von den „berechtigten Interessen des für die Verarbeitung Verantwortlichen“ die Rede, die noch nicht durch die vorgehenden Absätze abgedeckt sind. Dieser Begriff erscheint vage und subjektiv und sollte in diesem Text präzisiert werden und nicht einem delegierten Rechtsakt (Absatz 5) überlassen werden, zumal in Absatz 4 der Buchstabe f) nicht erwähnt wird (dies ist z.B. für Postdienste und Direktmarketing (11) von Bedeutung).

4.8 Artikel 7 - Einwilligung

4.8.1 In Absatz 3 sollte festgestellt werden, dass der Widerruf der Einwilligung jede künftige Verarbeitung verhindert und er die Rechtmäßigkeit der Verarbeitung erst ab dem Zeitpunkt des Widerrufs der Einwilligung berührt.

4.9 Artikel 14 – Information der betroffenen Person

4.9.1 In Absatz 4 Buchstabe b) ist eine Frist festzulegen.

4.10 Artikel 31 – Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde

4.10.1 Bei der Meldung von Verletzungen gleich welcher Art besteht die Gefahr, dass das Funktionieren des Systems beeinträchtigt und es letztlich erschwert wird, die Schuldigen tatsächlich zur Verantwortung zu ziehen.

4.11 Artikel 35 – Benennung eines Datenschutzbeauftragten

4.11.1 In Bezug auf die Datenschutzbeauftragen sollten die Bedingungen für diese Aufgabe präzisiert werden, insbesondere: den Schutz vor Entlassung, der klar definiert werden und über den Zeitraum, in dem die betreffende Person diese Aufgabe ausgeübt hat, hinausgehen muss; die Entbindung des Datenschutzbeauftragten von jeder Verantwortung, wenn er den Arbeitgeber oder die nationalen Datenschutzbehörden auf Unregelmäßigkeiten hingewiesen hat; ein unmittelbares Mitbestimmungsrecht der Arbeitnehmervertreter bei der Bestellung des DSB und ein Recht auf regelmäßige Information dieser Vertreter (12) über festgestellte Probleme und ihre Lösung. Es muss auch genauer auf die Frage der zu diesem Zweck bereitgestellten Mittel eingegangen werden.

4.12 Artikel 39 – Zertifizierung

4.12.1 Die Zertifizierung sollte Aufgabe der Kommission sein.

4.13 Artikel 82 und 33 Datenverarbeitung im Beschäftigungskontext

4.13.1 Es fehlt in Artikel 82 ein ausdrücklicher Verweis auf die Leistungsmessung (der auch in Artikel 20 zum „Profiling“ nicht zu finden ist). Es bleibt ferner unklar, ob sich diese Befugnis auch auf die Festlegung der Bestimmungen für DSB bezieht. Das Verbot des Profilings im Beschäftigungskontext sollte auch bei der Datenschutz-Folgenabschätzung (Artikel 33) deutlich gemacht werden.

Fehlende, noch zu berücksichtigende Aspekte

4.14 Artikel 81, 82, 83 und 84

4.14.1 Statt „nur in den Grenzen der Verordnung“ sollte die Formulierung „auf der Grundlage der Verordnung“ verwendet werden.

4.15 Geltungsbereich

4.15.1 Da es sich um Grundrechte handelt, sollte die Harmonisierung in den besonderen Bereichen die Mitgliedstaaten in die Lage versetzen, im Rahmen ihres nationalen Rechts Bestimmungen, die in der Verordnung fehlen oder günstiger als die darin vorgesehenen sind, zu erlassen, so wie dies auf die in Artikel 80 bis 85 genannten Bereiche zutrifft.

4.15.2 Persönliche IP-Adressen sollten nicht nur in den Erwägungsgründen zu den schützenswerten personenbezogenen Daten gezählt werden, sondern ausdrücklich auch im laufenden Text der Verordnung.

4.15.3 Suchmaschinen, die ihre Einnahmen hauptsächlich aus Werbung generieren und personenbezogene Daten über ihre Nutzer sammeln, um diese Daten zu kommerziellen Zwecken einzusetzen, dürfen nicht nur in die Erwägungsgründe erwähnt werden, sondern müssen auch in den Geltungsbereich der Verordnung aufgenommen werden.

4.15.4 Es sollte klargestellt werden, dass die sozialen Netzwerke in den Geltungsbereich fallen – und dies nicht nur, wenn sie Profiling zu kommerziellen Zwecken betreiben.

4.15.5 Einige Kontroll- und Filtermethoden im Internet dienen vorgeblich der Fälschungsbekämpfung; da sie zur Folge haben, dass Profile der Nutzer erstellt, die Nutzer registriert und sämtliche ihrer Schritte kontrolliert werden, und zwar ohne entsprechende gerichtliche Genehmigung, müssen diese Methoden ebenso in den Geltungsbereich der Verordnung fallen.

4.15.6 Wünschenswert wäre außerdem, dass die Einrichtungen und Organe der EU den Verpflichtungen der Verordnung unterliegen.

4.16 Artikel 9 - Verarbeitung besonderer Kategorien von personenbezogenen Daten

4.16.1 Die beste Vorgehensweise bestünde darin, besondere von den Gegebenheiten, Situationen und Datenverarbeitungszwecken abhängige Bestimmungen festzulegen. Auch sollte in diesen Bereich das „Profiling“ untersagt werden.

4.16.2 Im Bereich der Verarbeitung sensibler Daten zu statistischen Zwecken sollte der Grundsatz der Nichtdiskriminierung eingeführt werden.

4.17 Weitere (ungenutzte) Möglichkeiten sollten in folgenden Bereichen vorgesehen werden:

— Beteiligung der Personalvertreter auf allen nationalen und auf der europäischen Ebene an der Gestaltung der „verbindlichen unternehmensinternen Vorschriften“, die künftig als Voraussetzung zum internationalen Datentransfer gelten sollen (Artikel 43);

— Unterrichtung und Anhörung des europäischen Betriebsrats bei internationalen Transfers von Daten der Arbeitnehmer, insbesondere in Drittstaaten;

— Unterrichtung und Mitbestimmung der europäischen Sozialpartner und Verbraucher- und Menschenrechtsorganisationen bei der Bestellung der Mitglieder des „Europäischen Datenschutzausschusses“, der die „Artikel-29-Arbeitsgruppe“ ersetzen soll;

— Unterrichtung und Mitbestimmung dieser Partner und der vorgenannten Organisationen auf nationaler Ebene bei der Bestellung der Mitglieder der nationalen Datenschutzbehörde, was ebenso wenig vorgesehen ist.

4.18 Artikel 74 bis 77 - Sammelklagen im Bereich illegaler Datensätze und des Schadenersatzes

4.18.1 Die meisten Verstöße gegen die Datenschutzrechte sind kollektiver Natur, d.h. sie betreffen nicht eine einzige Person, sondern eine Gruppe oder alle registrierten Personen. Die herkömmlichen individuellen Klageverfahren ermöglichen keine angemessene Reaktion auf diese Art von Verstößen. Zwar ist gemäß Artikel 76 jede Einrichtung, jede Organisation und jeder Verband, die bzw. der sich für den Schutz der Recht der betroffenen Personen einsetzt, befugt, im Namen einer oder mehrerer betroffener Personen die Verfahren gemäß Artikel 74 und 75 einzuleiten, doch gilt dies nicht, wenn es um die Beantragung einer Wiedergutmachung oder Entschädigung geht, denn in diesem Fall sieht Artikel 77 nur diese Möglichkeit für Einzelpersonen vor, erlaubt aber kein Verfahren der kollektiven Vertretung oder der Sammelklage.

4.18.2 Der Ausschuss bekräftigt in diesem Zusammenhang seinen über Jahre hinweg in mehreren Stellungnahmen vorgebrachten Standpunkt, dass sich die EU dringend ein harmonisiertes Rechtsinstrument für Sammelklagen auf EU-Ebene zulegen muss, das in vielen EU-Rechtsbereichen, so wie im Falle mehrerer Mitgliedstaaten, erforderlich ist.

Inakzeptable Aspekte

4.19 Artikel 8 - Verarbeitung personenbezogener Daten eines Kindes

4.19.1 Nachdem der Begriff „Kind“ in Artikel 4 Absatz 18 entsprechend dem New Yorker Übereinkommen als jede Person unter 18 Jahren definiert wurde, ist es nicht akzeptabel, dass in Artikel 8 Absatz 1 Kindern im Alter von 13 Jahren die Möglichkeit gegeben wird, ihre „Einwilligung“ zur Verarbeitung ihrer personenbezogenen Daten zu erteilen.

4.19.2 Auch wenn nachvollziehbar ist, dass spezifische Regelungen für die KMU erlassen werden müssen, ist es nicht akzeptabel, dass die Kommission mittels eines delegierten Rechtsakts die KMU schlicht und einfach von der Verpflichtung zur Wahrung der Rechte von Kindern ausnimmt.

4.20 Artikel 9 – Verarbeitung besonderer Kategorien von personenbezogenen Daten

4.20.1 Ebenso besteht kein Grund dafür, dass gemäß Artikel 9 Absatz 2 Buchstabe a) Kinder ihre „Einwilligung“ zur Verarbeitung von Daten über Staatsangehörigkeit, politische Überzeugungen, Religions- und Glaubenszugehörigkeit, Gesundheit, Sexualleben oder Strafurteile erteilen können.

4.20.2 Die von Personen selbst bereitgestellten Informationen, z.B. auf Facebook, sollten nicht vom Schutz ausgenommen werden, wie aus Artikel 9 Buchstabe e) abgeleitet werden kann; für sie sollte zumindest das Recht auf Vergessenwerden gelten.

4.21 Artikel 13 – Rechte gegenüber Empfängern

4.21.1 Die am Ende des Satzes vorgesehene Ausnahme („es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden“) ist weder gerechtfertigt noch annehmbar.

4.22 Artikel 14 – Information der betroffenen Person

4.22.1 Die mit Absatz 5 Buchstabe 5 identische Ausnahme ist ebenfalls inakzeptabel.

4.23 Artikel 19 Absatz 1 – Widerspruchsrecht

4.23.1 Die vage formulierte Ausnahme („zwingende schutzwürdige Gründe“) ist nicht akzeptabel und höhlt das Widerspruchsrecht inhaltlich aus.

4.24 Artikel 20 - Auf Profiling basierende Maßnahmen

4.24.1 Das Verbot des Profilings sollte nicht auf eine „automatisierte“ Datenverarbeitung beschränkt werden (13).

4.24.2 In Absatz 2 Buchstabe a) sollte (in der französischen Fassung) die Formulierung „qui ont été invoquées“ durch „qui ont été mises en place“ (deutsch: „ergriffen wurden“) ersetzt werden.

4.25 Artikel 21 - Beschränkungen

4.25.1 Der Wortlaut von Absatz 1 Buchstabe c) ist gänzlich inakzeptabel, weil er vage und undefinierte Ausdrücke enthält wie wirtschaftliches oder finanzielles Interesse, Währungs-, Haushalts- und Steuerbereich sowie Marktstabilität und -integrität (diese letzte Formulierung wurde in die Richtlinie 95/46 aufgenommen).

4.26 Artikel 25, 28 und 35 – Schwellenwert von 250 Beschäftigten

4.26.1 Der Schwellenwert von 250 Beschäftigten für die Anwendbarkeit einiger Schutzbestimmungen (z.B. hinsichtlich eines Datenschutzbeauftragten (DSB)) hätte zur Folge, dass nur knapp 40 % der Beschäftigten in den Genuss dieser Regelung kämen. Dieser Schwellenwert würde im Falle der Dokumentationspflicht dazu führen, dass die weitaus meisten Beschäftigten keine Möglichkeit hätten, die Nutzung ihrer personenbezogenen Daten zu überwachen; mithin gäbe es keinerlei Kontrolle. Der Ausschuss schlägt vor, die Möglichkeit eines niedrigeren Schwellenwerts zu erwägen, z.B. die Zahl von Beschäftigten, die im Allgemeinen in den Mitgliedstaaten für die Einsetzung einer betrieblichen Interessenvertretung gilt. Es könnte auch ein anderer auf objektiven Kriterien beruhender Ansatz erwogen werden, der sich z.B. auf die Zahl der innerhalb eines bestimmten Zeitraums bearbeiteten Datenbestände bezieht, die unter den Datenschutz fallen, und zwar ungeachtet der Größe des betreffenden Unternehmens bzw. der betreffenden Dienststelle.

4.27 Artikel 51 – Zentrale Anlaufstelle

4.27.1 Auch wenn zur Erleichterung der Arbeit der Unternehmen und zur Erhöhung der Wirksamkeit der Datenschutzmechanismen auf das Prinzip einer zentralen Anlaufstelle (one-stop-shop) zurückgegriffen wird, ist damit die Gefahr einer spürbaren Aufweichung des Schutzes der Daten von Bürgern im Allgemeinen und der personenbezogenen Daten von Arbeitnehmern im Besonderen verbunden, was die gegenwärtige Verpflichtung hinfällig machen würde, der zufolge Datentransfers personenbezogener Daten Gegenstand einer Betriebsvereinbarung sein und von der nationalen Datenschutzkommission genehmigt werden müssen (14).

4.27.2 Im Übrigen steht dieses System augenscheinlich im Widerspruch zum Bemühen um eine bürgernahe Verwaltung und droht, den Bürgern die Möglichkeit zu nehmen, ihre Anträge durch die Aufsichtbehörde, die für sie am nächsten und zugänglichsten ist, prüfen zu lassen.

4.27.3 Es gibt also Gründe, die für die Beibehaltung der Zuständigkeit der Behörde des Mitgliedstaats sprechen, in dem der Antragsteller wohnhaft ist.

Brüssel, den 23. Mai 2012 Der Präsident des Europäischen Wirtschafts- und Sozialausschusses Staffan NILSSON

(1) COM(2012) 11 final.

(2) COM(2012) 9 final.

(3) COM(2012) 10 final.

(4) COM(2012) 12 final.

(5) In diesen Mitteilungen wird betont, dass „die Union (…) eine umfassende Regelung zum Schutz personenbezogener Daten schaffen (muss), die für sämtliche Zuständigkeitsbereiche der Union gleichermaßen gilt“ und dass „die Union (…) deshalb für eine konsequente Anwendung des Grundrechts auf Datenschutz sorgen“ muss, damit natürliche Personen das Recht haben, eine wirksame Kontrolle über ihre Daten auszuüben.

(6) Siehe die Stellungnahme zu dem „Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates zur Änderung der Richtlinie 2003/98/EG über die Weiterverwendung von Informationen des öffentlichen Sektors“ABl. C 191 vom 29.6.2012, S. 129.

(7) Siehe die Stellungnahme des EWSA, ABl. C 248 vom 25.8.2011, S. 123.

(8) Stellungnahme des Europäischen Datenschutzbeauftragten zum Datenschutzpaket vom 7. März 2012.

(9) COM(2009) 673 final vom 9.12.2009.

(10) Vgl. die Subsidiaritätsrüge des französischen Senats.

(11) Es bedarf weiterer Erläuterungen zur Frage der Werbung mit persönlich adressierten Briefen, das die Anwendung der Verordnung zu ihrem Verbot führen würde, obgleich es sich um eine wenig aufdringliche und gezielte Form der Neukundenakquise ist.

(12) Z.B. Übermittlung eines regelmäßigen Berichts über die Tätigkeit des DSB an die Arbeitnehmervertreter und die gewählten Vertreter der Beschäftigten im Verwaltungsrat oder Aufsichtsrat auf nationaler und/oder – falls vorhanden – auf europäischer Ebene.

(13) Vgl. die Empfehlung CM/Rec(2010) 13 des Ministerkomitees des Europarates vom 23. November 2010.

(14) Insbesondere die unabhängigen Behörden, die für die Genehmigung und Überwachung der Erstellung von Profilen zuständig sind. Deren Befugnisse sollten vielmehr im Hinblick auf die digitale Gesellschaft und die sozialen Netze ausgeweitet werden, auch aufgrund des Werts des Austauschs individueller Profile für die Marktforschung.