DE Amtsblatt der Europäischen Union C 190/2

Stellungnahme des Europäischen Datenschutzbeauftragten zum Vorschlag für einen Beschluss des Rates über den Standpunkt der EU im Gemischten Ausschuss EU-Japan für Zusammenarbeit im Zollbereich in Bezug auf die gegenseitige Anerkennung der Programme für zugelassene Wirtschaftsbeteiligte in der Europäischen Union und in Japan

2010/C 190/02

DER EUROPÄISCHE DATENSCHUTZBEAUFTRAGTE —

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 16,

gestützt auf die Charta der Grundrechte der Europäischen Union, insbesondere auf Artikel 8,

gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (1),

gestützt auf die Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates vom 18. Dezember 2000 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr (2), insbesondere auf Artikel 41 —

HAT FOLGENDE STELLUNGNAHME ANGENOMMEN:

I. EINLEITUNG

1. Am 19. Februar 2010 hat die Kommission einen Vorschlag für einen Beschluss des Rates über den Standpunkt der EU im Gemischten Ausschuss EU-Japan für Zusammenarbeit im Zollbereich in Bezug auf die gegenseitige Anerkennung der Programme für zugelassene Wirtschaftsbeteiligte in der Europäischen Union und in Japan angenommen (3).

2. Eine Konsultation des Europäischen Datenschutzbeauftragten (EDSB) im Sinne von Artikel 28 Absatz 2 der Verordnung (EG) Nr. 45/2001 fand nicht statt. Die derzeitige Stellungnahme beruht daher auf Artikel 41 Absatz 2 dieser Verordnung. Der EDSB empfiehlt, in die Präambel des Beschlusses einen Hinweis auf diese Stellungnahme aufzunehmen.

3. Der EDSB hat in Bezug auf den Schutz personenbezogener Daten eine Reihe von Mängeln und fehlende Klarheit festgestellt. Nach einer Beschreibung des Zusammenhangs und des Hintergrunds des Vorschlags in Kapitel III werden diese Anmerkungen in Kapitel IV näher ausgeführt.

II. KONSULTATION DES EDSB

4. Der EDSB hat ein Strategiepaper vorgelegt, in dem seine beratende Rolle beschrieben wird: Der Europäische Datenschutzbeauftragte als Berater der Organe und Einrichtungen der Gemeinschaft im Zusammenhang mit Vorschlägen für Rechtsvorschriften und zugehörigen Dokumenten (4). Diese beratende Rolle beruht auf Artikel 28 Absatz 2 und Artikel 41 der Verordnung (EG) Nr. 45/2001. Darüber hinaus heißt es in Erwägungsgrund 17 der Verordnung: „Voraussetzung für die Wirksamkeit des Schutzes von Personen bei der Verarbeitung personenbezogener Daten in der Union ist die Kohärenz der Regeln und Verfahren, die diesbezüglich für die Tätigkeiten innerhalb der unterschiedlichen Rechtsrahmen gelten“. Die Kohärenz muss tatsächlich als unabdingbare Voraussetzung für ein hohes Maß an Datenschutz auf europäischer Ebene angesehen werden, was auch externe Maßnahmen der Union umfasst.

5. Dieser weit gefasste Aufgabenbereich des EDSB wurde von der Europäischen Kommission anerkannt, und es ist gängige Praxis, dass der EDSB von der Kommission zu allen wichtigen Vorschlägen sowohl bei Rechtsetzungsakten als auch bei nicht-legislativen Instrumenten konsultiert wird. In den Geltungsbereich der beratenden Tätigkeit des EDSB gehören auch „Fragen, die die Verarbeitung personenbezogener Daten betreffen“. Dies bedeutet, dass er zu allen Rechtsvorschriften, die Bestimmungen über die Verarbeitung personenbezogener Daten oder Bestimmungen enthalten, die sich auf eine solche Verarbeitung auswirken (oder auswirken könnten), konsultiert werden sollte. Gleiches gilt für alle Instrumente, die in den externen Zuständigkeitsbereich der Union fallen.

6. In dem genannten Strategiepapier wird auch ein Zeitplan für die Konsultation beschrieben. Bei einer Konsultation in einer frühen Phase des Gesetzgebungsverfahrens kann der EDSB effizient handeln und Änderungsvorschläge unterbreiten. Diese informelle Konsultation zum Entwurf eines Gesetzestextes ist dem EDSB von der zuständigen Dienststelle der Kommission ggf. vor Annahme des förmlichen Vorschlags zu übermitteln. Nach Annahme des Vorschlags folgt in einem zweiten Schritt die förmliche Konsultation. In dieser Phase wird das förmliche Gutachten des EDSB im Amtsblatt (Reihe C) veröffentlicht.

7. Im Fall des vorliegenden Vorschlags wurden dem EDSB wie bereits ausgeführt weder der Vorschlagsentwurf noch der Vorschlag an sich nach dessen Annahme zur Konsultation vorgelegt. Der EDSB ist aufgrund des Gangs der Ereignisse besonders enttäuscht, da seine Einbeziehung, wie nachstehend näher ausgeführt wird, eine ideale Gelegenheit für die Schaffung eines zusätzlichen Nutzens in Bezug auf den Vorschlag gewesen wäre.

III. KONTEXT UND HINTERGRUND DES VORSCHLAGS

8. Ziel des Vorschlags ist es, gegenseitig anzuerkennen, dass die Programme für zugelassene Wirtschaftsbeteiligte (Authorised Economic Operators, AEO) in der Europäischen Union und in Japan miteinander vereinbar und gleichwertig sind und dass die dementsprechend zuerkannten Einstufungen als zugelassene Wirtschaftsbeteiligte gegenseitig anerkannt werden.

9. Die Beziehungen zwischen der EU und Japan im Zollbereich beruhen auf dem Abkommen über Zusammenarbeit und gegenseitige Amtshilfe im Zollbereich (im Folgenden „das Abkommen“) (5), das am 1. Februar 2008 in Kraft getreten ist. Die Zusammenarbeit im Zollbereich gemäß diesem Abkommen umfasst alle mit der Anwendung des Zollrechts zusammenhängenden Fragen. Des Weiteren verpflichten sich die Union und Japan laut Abkommen, die Zusammenarbeit zu verstärken, um Maßnahmen zur Erleichterung des Handels zu entwickeln, die den internationalen Normen entsprechen (6). Die gegenseitige Anerkennung von Programmen für zugelassene Wirtschaftsbeteiligte (Authorised Economic Operators, AEO) und von Sicherheitsmaßnahmen erhöhen die Sicherheit der gesamten Lieferkette und erleichtern den Handel.

10. In dem Vorschlag wird außerdem festgelegt, dass die Zollbehörden unter anderem dafür sorgen, dass die gegenseitige Vereinbarkeit der Systeme gewahrt bleibt und dass jede Zollbehörde Wirtschaftsbeteiligten, die als zugelassene Wirtschaftsbeteiligte eingestuft wurden, vergleichbare Vorteile einräumt. Es heißt dort weiter, dass die Zollbehörden die Kommunikation und den Informationsaustausch verstärken müssen. Die einzelnen Informationen, die über zugelassene Wirtschaftsbeteiligte auszutauschen sind, werden in dem Vorschlag im Einzelnen aufgeführt.

IV. ANALYSE DES VORSCHLAGS

IV.1 Anwendbarkeit des Gesetzes über den Schutz personenbezogener Daten

11. Artikel IV des Anhangs des Vorschlags bezieht sich auf Informationsaustausch und Kommunikation. Dort heißt es, dass Informationen und damit zusammenhängende Daten, insbesondere über Programmteilnehmer, systematisch auf elektronische Weise ausgetauscht werden. Es werden die genauen Angaben aufgeführt, die über Wirtschaftsbeteiligte auszutauschen sind, die eine Bewilligung im Rahmen des Programms für zugelassene Wirtschaftsbeteiligte erhalten haben. Hierzu gehören beispielsweise der Name des Wirtschaftsbeteiligten mit AEO-Status, die Anschrift des Wirtschaftsbeteiligten usw.

12. Die Regelung für Wirtschaftsbeteiligte wird in Artikel 5 Buchstabe a der Verordnung (EG) Nr. 648/2005 des Europäischen Parlaments und des Rates (7) beschrieben. Dort heißt es: „1. (…). Einem ‚zugelassenen Wirtschaftsbeteiligten‘ werden Erleichterungen bei sicherheitsrelevanten Zollkontrollen und/oder Vereinfachungen gemäß den Zollvorschriften gewährt. (…)“

13. Ein „Wirtschaftsbeteiligter“ wird in Artikel 1 Absatz 12 der Verordnung (EG) Nr. 1875/2006 der Kommission (8) beschrieben als „eine Person, die im Rahmen ihrer Geschäftstätigkeit mit unter das Zollrecht fallenden Tätigkeiten befasst ist“. Demnach könnte ein Wirtschaftsbeteiligter eine natürliche oder juristische Person sein. Der Begriff „Wirtschaftsbeteiligter“ umfasst auch den AEO im Sinne von Absatz 9. Damit könnten die Informationen über eine Reihe von zugelassenen Wirtschaftsbeteiligten als „personenbezogene Daten“ im Sinne der Definition in Artikel 2 Buchstabe a der Verordnung (EG) Nr. 45/2001 und der Richtlinie 95/46/EG angesehen werden, zumindest die Informationen über diejenigen zugelassenen Wirtschaftsbeteiligten, die natürliche Personen sind. In manchen Fällen könnten sogar Informationen über zugelassene Wirtschaftsbeteiligte, die juristische Personen sind, als personenbezogene Daten angesehen werden. In diesen Fällen ist die Frage entscheidend, ob sich die Informationen auf eine „bestimmbare“ natürliche Person „beziehen“ (9). Demzufolge besteht kein Zweifel, dass im Zusammenhang mit dem betreffenden Vorschlag personenbezogene Daten ausgetauscht werden können.

14. Personenbezogene Daten werden von den Zollbehörden verarbeitet. In Artikel I Absatz 2 des Anhangs des Vorschlags heißt es: „Für die Umsetzung dieses Beschlusses sind die in Artikel 1 Buchstabe c des Abkommens definierten Zollbehörden (…) zuständig.“ Die Definition, auf die Bezug genommen wird, lautet: „ ‚Zollbehörden‘ sind (…) im Falle der Europäischen Gemeinschaft die zuständigen Dienststellen der Kommission der Europäischen Gemeinschaften und die Zollbehörden der Mitgliedstaaten der Gemeinschaft“. Daher finden sowohl die Verordnung (EG) Nr. 45/2001 als auch die Richtlinie 95/46/EG im vorliegenden Fall Anwendung (10). Verordnung (EG) Nr. 45/2001 gilt für die Verarbeitung durch die Kommission, Richtlinie 95/46/EG für die Verarbeitung durch die nationalen Zollbehörden.

IV.2 Internationale Übermittlungen personenbezogener Daten

15. Sowohl die Richtlinie als auch die Verordnung sehen ähnliche Regelungen für den grenzüberschreitenden Verkehr personenbezogener Daten vor, und zwar in den Artikeln 25 und 26 bzw. 9. Dem dort festgelegten Grundsatz zufolge dürfen personenbezogene Daten nicht von einem Mitgliedstaat in ein Drittland übermittelt werden, es sei denn, das Drittland gewährleistet ein angemessenes Schutzniveau (oder es werden ausreichende Garantien hinsichtlich des Schutzes geboten, oder es findet eine der vorgesehenen Ausnahmen Anwendung).

Erklärung über die Angemessenheit im Vorschlag

16. Die Begründung umfasst auch einen Punkt zum Datenschutz (Punkt 5). In Punkt 5 Absatz 1 wird erklärt, dass die japanische Datenschutzregelung im Sinne von Artikel 9 der Verordnung (EG) Nr. 45/2001 angemessen ist. Artikel 9 befasst sich mit der Regelung, die im Fall der Übermittlung personenbezogener Daten an Empfänger einzuhalten ist, die nicht Organe oder Einrichtungen der Gemeinschaft sind und die nicht der Richtlinie 95/46/EG unterworfen sind, wie dies für Drittländer wie Japan der Fall ist.

17. In Artikel 9 Absatz 1 der Verordnung heißt es: „Personenbezogene Daten werden an Empfänger, die nicht Organe oder Einrichtungen der Gemeinschaft sind und die nicht den aufgrund der Richtlinie 95/46/EG erlassenen nationalen Rechtsvorschriften unterliegen, nur übermittelt, wenn ein angemessenes Schutzniveau in dem Land des Empfängers oder innerhalb der empfangenden internationalen Organisation gewährleistet ist und diese Übermittlung ausschließlich die Wahrnehmung von Aufgaben ermöglichen soll, die in die Zuständigkeit des für die Verarbeitung Verantwortlichen fallen“.

18. In Artikel 9 Absatz 2 ist geregelt, dass die Beurteilung des von dem betreffenden Drittland oder der betreffenden internationalen Organisation gebotenen Schutzniveaus anhand „aller Umstände einer Datenübermittlung oder einer Reihe von Datenübermittlungen“ zu erfolgen hat. Darüber hinaus werden einige Beispiele für Aspekte angeführt, die bei der Beurteilung zu berücksichtigen sind: „(…) Besonders zu berücksichtigen sind dabei die Art der Daten, der Zweck und die Dauer des geplanten Verarbeitungsvorgangs oder der geplanten Verarbeitungsvorgänge, das Drittland oder die internationale Organisation der Endbestimmung, die in dem betreffenden Drittland oder der betreffenden internationalen Organisation geltenden allgemeinen und sektoriellen Rechtsvorschriften sowie die in diesem Land oder in dieser internationalen Organisation geltenden Standesregeln und Sicherheitsmaßnahmen“. Diese Liste ist nicht erschöpfend; je nach Sachlage könnten noch weitere Aspekte eine Rolle spielen.

19. Artikel 9 der Verordnung ist angesichts von Artikel 25 und 26 der Richtlinie 95/46/EG auszulegen. In Artikel 25 Absatz 6 der Richtlinie heißt es: „Die Kommission kann nach dem Verfahren des Artikels 31 Absatz 2 feststellen, dass ein Drittland aufgrund seiner innerstaatlichen Rechtsvorschriften oder internationaler Verpflichtungen, die es (…) eingegangen ist (…) ein angemessenes Schutzniveau im Sinne des Absatzes 2 gewährleistet“. Das in Artikel 31 Absatz 2 der Richtlinie beschriebene Verfahren — ein Ausschussverfahren — sollte daher eingehalten werden, damit das Schutzniveau des Drittlandes für „angemessen“ erklärt werden kann.

20. Im Zusammenhang mit dem vorliegenden Vorschlag wurde dieses Verfahren nicht eingehalten; folglich verstößt die Erklärung gemäß Punkt 5 Absatz 1 in Bezug auf die Angemessenheit der japanischen Datenschutzregelung gegen Artikel 25 Absatz 6 der Richtlinie. Daher empfiehlt der EDSB nachdrücklich, diese Erklärung zu streichen.

21. Der EDSB erkennt an, dass Artikel IV Absatz 6 des Anhangs des Vorschlags besagt: „Die Zollbehörden gewährleisten den Datenschutz im Einklang mit dem Abkommen, insbesondere mit Artikel 16“. Artikel 16 befasst sich mit „Informationsaustausch und Datenschutz“, und in Absatz 2 heißt es: „Personenbezogene Daten dürfen nur ausgetauscht werden, wenn die Vertragspartei, die sie erhalten soll, zusagt, diese Daten mindestens in gleichem Maße zu schützen, wie es die Vertragspartei, die sie übermitteln soll, in dem betreffenden Fall getan hätte. Die Vertragspartei, die die Angaben übermitteln soll, darf keine strengeren Anforderungen stellen, als in ihrem Zuständigkeitsbereich für sie selbst gelten“.

22. Der EDSB möchte jedoch hervorheben, dass das System zur Analyse des Schutzniveaus des Drittlandes, wie vorstehend beschrieben, das System der „Angemessenheit“ und nicht der „Gleichwertigkeit“ ist (vgl. die derzeitigen internationalen Verpflichtungen der Union) (11) Jedenfalls scheint Artikel 16 einen deklarativen Charakter zu besitzen, da im Abkommen kein Nachweis dafür enthalten ist, dass tatsächlich eine „Gleichwertigkeit“ gegeben ist. Darüber hinaus enthält der Artikel keinen Verweis darauf, dass eine Analyse der „Gleichwertigkeit“ oder sogar der „Angemessenheit“ erfolgt wäre. Daher kann die bloße Erklärung in Artikel 16 nicht als entscheidender Faktor für die Beurteilung der Angemessenheit angesehen werden, und sie kann auch nicht als Grundlage für die Erklärung unter Punkt 5 Absatz 1 der Begründung herangezogen werden.

Eine umfassendere Perspektive in Bezug auf die Besonderheiten dieses Falles

23. Es gilt zu beachten, dass die Beurteilung des Schutzniveaus in einem bestimmten Land durch die Europäische Kommission, durch Datenschutzbehörden und durch für die Verarbeitung Verantwortliche auf unterschiedlichen Ebenen und mit unterschiedlichen rechtlichen Auswirkungen erfolgen kann. Eine Entscheidung bezüglich der Angemessenheit durch die Europäische Kommission aufgrund von Artikel 25 Absatz 6 der Richtlinie 95/46/EG ist für die Mitgliedstaaten verbindlich. Dies gilt auch für die Organe und Einrichtungen der Europäischen Union nach Maßgabe von Artikel 9 Absatz 5 der Verordnung. Falls keine solche Entscheidung vorliegt, werden in vielen Mitgliedstaaten die Datenschutzbehörden mit der Beurteilung der Angemessenheit betraut, in anderen sind es die für die Verarbeitung Verantwortlichen unter Aufsicht der Datenschutzbehörden. Letzteres gilt eindeutig für Artikel 9 der Verordnung.

24. Dies bedeutet, dass selbst dann, wenn das Schutzniveau eines Landes insgesamt bei der Einhaltung des Verfahrens gemäß Artikel 25 Absatz 6 der Richtlinie nicht für „angemessen“ erklärt wurde, die für eine spezielle Übermittlung oder eine Reihe von Übermittlungen geltende rechtliche Datenschutzregelung vom Verantwortlichen (in dem nachstehend erklärten Kontext) für „angemessen“ erachtet werden kann.

25. Angesichts von Artikel 9 Absatz 2 der Verordnung (sowie von Artikel 25 Absatz 2 der Richtlinie) sollte der Verantwortliche alle Umstände einer Datenübermittlung oder einer Reihe von Datenübermittlungen prüfen. Die Analyse muss im konkreten Fall durchgeführt werden und den spezifischen Merkmalen (Gewährleistungen und/oder Risiken) der betreffenden Übermittlung bzw. der Reihe von Übermittlungen Rechnung tragen. Diese Beurteilung kommt dann gewöhnlich zu einer Schlussfolgerung bezüglich des bestehenden Schutzniveaus für eine spezielle Übermittlung oder eine Reihe von Übermittlungen und wäre auf die Zwecke beschränkt, die vom Verantwortlichen und von den Empfängern in den Bestimmungsländern festgelegt werden. In diesem Fall wäre der Verantwortliche dafür zuständig, zu überprüfen, ob die Voraussetzungen für die Angemessenheit gegeben sind. Erfolgt die Analyse durch den Verantwortlichen, müssten die Schlussfolgerungen der Datenschutzbehörde zur Kontrolle vorgelegt werden.

26. In Punkt 5 Absatz 1 der Begründung heißt es, dass die japanische Regelung im japanischen Zollgesetz (Artikel 108-2), im Gesetz für internationale Unterstützung bei Untersuchungen und damit verbundenen Angelegenheiten (Artikel 1 und 3), im japanischen Gesetz für den öffentlichen Dienst (Artikel 100), im Gesetz über den Schutz personenbezogener Angaben, die sich im Besitz von Verwaltungsorganen befinden (Artikel 8), und im Gesetz über den Zugang zu Informationen, die sich im Besitz von Verwaltungsorganen befinden (Artikel 5), ausgeführt wird.

27. Dem EDSB liegen keine Anhaltspunkte dafür vor, dass diese Regelung angesichts der Arbeitsunterlage der Artikel-29-Datenschutzgruppe (WP12) „Übermittlungen personenbezogener Daten an Drittländer: Anwendung von Artikel 25 und 26 der Datenschutzrichtlinie der EU“ so bewertet wurde, dass die darin begründeten Grundsätze eingehalten wurden (12).

28. Es ist aber auch zu beachten, dass die Methode der Angemessenheit voraussetzt, dass sowohl der Buchstabe des Gesetzes als auch die praktische Umsetzung des Rechts berücksichtigt werden sollten (objektiver und funktioneller Ansatz). Daher ist die Prüfung dieses rechtlichen Rahmens an sich noch kein ausreichender Beleg für die Umsetzung der Rechtsvorschriften in die Praxis.

29. Dies bedeutet, dass die tatsächliche Umsetzung und Anwendung dieser Rechtsvorschriften in der Praxis überprüft werden müssen, bevor entschieden werden kann, ob für die betreffende Datenübermittlung bzw. die Reihe von Datenübermittlungen tatsächlich ein angemessenes Schutzniveau gewährleistet ist — in diesem Fall also für den Informationsaustausch im Zusammenhang mit den Programmen für zugelassene Wirtschaftsbeteiligte.

30. Angesichts dessen müssen die Verantwortlichen (in diesem Fall die für Zollangelegenheiten zuständigen Dienststellen der Europäischen Kommission und die Zollbehörden der EU-Mitgliedstaaten) eine Beurteilung vornehmen, um zu überprüfen, ob ein Bestimmungsland (in diesem Fall Japan) tatsächlich ein angemessenes Schutzniveau für die betreffenden spezifischen Übermittlungen gewährleisten kann, das auf die spezifischen Zwecke und Empfänger in diesem Land beschränkt ist (13) (d.h. den Austausch von Daten für die Umsetzung den Programme für zugelassene Wirtschaftsbeteiligte). Eine solche Beurteilung hat jedoch nicht stattgefunden.

31. Der Vorschlag hätte sich als Alternative zu dem Verfahren der „Angemessenheit“ Japans, wie vorstehend beschrieben, auch an dieser Vorgehensweise orientieren können.

Weitere Alternativen

32. Der Vorschlag hätte auch untersuchen können, ob die Verantwortlichen andere Arten von „ausreichenden Garantien“ im Sinne von Artikel 9 Absatz 7 der Verordnung und von Artikel 26 Absatz 2 der Richtlinie anführen könnten oder ob eine der in Artikel 9 Absatz 6 der Verordnung oder in Artikel 26 Absatz 1 der Richtlinie genannten Ausnahmen zur Anwendung gelangt (14).

IV.3 Zusätzliche Anforderungen des Datenschutzgesetzes

Qualität der Daten

33. Der Grundsatz in Bezug auf die Qualität der Daten wird in Artikel 4 der Verordnung beschrieben. Darin wird neben anderen Voraussetzungen festgelegt wie folgt: „Personenbezogene Daten dürfen nur: (…) c) den Zwecken entsprechen, für die sie erhoben und/oder weiterverarbeitet werden, dafür erheblich sein und nicht darüber hinausgehen; (…)“. Bei den in Artikel IV Absatz 4 genannten Datenkategorien wird dieser Grundsatz offenbar eingehalten.

34. Darüber hinaus heißt es in Artikel 4 der Verordnung: „Personenbezogene Daten dürfen nur: (…) e) so lange, wie es für die Erreichung der Zwecke, für die sie erhoben oder weiterverarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Person ermöglicht. (…)“. Daher muss ein Zeitraum für die Speicherung der zu verarbeitenden personenbezogenen Daten festgelegt werden.

Rechte der betroffenen Person

35. Die Kommission muss Mechanismen bereitstellen, um sicherzustellen, dass die betroffene Person ihre Rechte ausüben kann, etwa das Auskunftsrecht und das Recht auf Berichtigung (Artikel 13 und 14 der Verordnung).

Informationspflicht

36. In Artikel 11 und 12 der Verordnung ist geregelt, dass die betroffenen Personen Informationen erhalten, und es wird dort auch angegeben, wann dies erfolgen soll. Die Kommission muss ein Verfahren einrichten, um zu entscheiden, ob beispielsweise die Informationen zum Zeitpunkt der Datenerhebung (durch das Drittland) oder durch die Kommission selbst bereitgestellt werden.

V. SCHLUSSFOLGERUNGEN UND EMPFEHLUNGEN

37. Der EDSB ist enttäuscht darüber, dass das Konsultationsverfahren gemäß Kapitel II nicht eingehalten wurde.

38. Der EDSB empfiehlt die Streichung der Erklärung bezüglich der Angemessenheit der japanischen Regelung unter Punkt 5 Absatz 1 der Begründung, da diese Erklärung nicht im Einklang mit den Anforderungen der Verordnung (EG) Nr. 45/2001 und der Richtlinie 95/46/EG steht. Er empfiehlt außerdem, die in der Verordnung und der Richtlinie angebotenen verschiedenen Möglichkeiten zu prüfen, um sicherzustellen, dass die Vorschriften für internationale Übermittlungen eingehalten werden.

39. Darüber hinaus empfiehlt der EDSB, dass die Kommission: — einen Zeitraum für die Speicherung der zu verarbeitenden personenbezogenen Daten festlegt; — Mechanismen zur Gewährleistung der Ausübung der Rechte von betroffenen Personen bereitstellt; — ein Verfahren für die Bereitstellung von Informationen für betroffene Personen einrichtet.

Geschehen zu Brüssel, den 12. März 2010 Peter HUSTINX Europäischer Datenschutzbeauftragter

(1) ABl. L 281 vom 23.11.1995, S. 31.

(2) ABl. L 8 vom 12.1.2001, S. 1.

(3) KOM(2010) 55 endgültig.

(4) Das Strategiepapier ist abzurufen unter der Adresse: http://www.EDSB.europa.eu/EDSBWEB/webdav/site/mySite/shared/Documents/EDSB/Publications/Papers/PolicyP/05-03-18_PP_EDSBadvisor_DE.pdf

(5) ABl. L 62 vom 6.3.2008, S. 24.

(6) Artikel 4 des Abkommens.

(7) ABl. L 117 vom 4.5.2005, S. 13.

(8) ABl. L 360 vom 19.12.2006, S 64.

(9) Siehe Artikel-29-Datenschutzgruppe, Stellungnahme 4/2007 zum Begriff „personenbezogene Daten“, WP 136, zu finden unter: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2007/wp136_de.pdf insbesondere Seiten 23 und 24.

(10) Artikel 3 Absatz 1 der Verordnung (EG) Nr. 45/2001 und der Richtlinie 95/46/EG.

(11) Siehe Artikel XIV des Allgemeinen Abkommens über den Handel mit Dienstleistungen (GATS): „Unter der Voraussetzung, dass Maßnahmen nicht in einer Weise angewendet werden, die ein Mittel zu willkürlicher oder unberechtigter Diskriminierung unter Ländern, in denen gleiche Bedingungen herrschen, oder eine verdeckte Beschränkung für den Handel mit Dienstleistungen darstellen würde, darf dieses Übereinkommen nicht dahingehend ausgelegt werden, dass es die Annahme oder Durchsetzung von Maßnahmen eines Mitglieds verhindert,: (…) c) die erforderlich sind, um die Einhaltung von Gesetzen oder sonstigen Vorschriften zu gewährleisten, die nicht im Widerspruch zu diesem Übereinkommen stehen, einschließlich solcher (…) ii) zum Schutz der Persönlichkeit bei der Verarbeitung und Weitergabe personenbezogener Daten und zum Schutz der Vertraulichkeit persönlicher Aufzeichnungen und Konten; (…)“.

(12) Artikel-29-Datenschutzgruppe, Arbeitsunterlage „Übermittlungen personenbezogener Daten an Drittländer: ‚Anwendung von Artikel 25 und 26 der Datenschutzrichtlinie der EU‘“, zu finden unter: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/1998/wp12_de.pdf

(13) Eine ähnliche Auslegung durch den EDSB erfolgte im Zusammenhang mit einer Konsultation durch das Europäische Amt für Betrugsbekämpfung (OLAF) zum Thema ’Transfers of personal data to third countries: ‚adequacy‘ of signatories to Council of Europe Convention 108 (case 2009-0333)“, zu finden unter: http://www.EDSB.europa.eu/EDSBWEB/webdav/site/mySite/shared/Documents/Supervision/Adminmeasures/2009/09-07-02_OLAF_transfer_third_countries_EN.pdf

(14) Bezüglich Artikel 26 Absatz 1 der Richtlinie siehe: Artikel-29-Datenschutzgruppe, Arbeitspapier zur Auslegung des Artikels 26 Absatz 1 der Richtlinie 95/46/EG, WP114, zu finden unter: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2005/wp114_de.pdf