MITTEILUNG DER KOMMISSION AN DAS EUROPÄISCHE PARLAMENT UND DEN RAT

Datenschutz als Grundpfeiler der Teilhabe der Bürgerinnen und Bürger und des Ansatzes der EU für den digitalen Wandel – zwei Jahre Anwendung der Datenschutz-Grundverordnung

1Datenschutzvorschriften als Grundpfeiler der Teilhabe der Bürgerinnen und Bürger und des Ansatzes der EU für den digitalen Wandel

Bei diesem Bericht handelt es sich um den ersten Bericht über die Bewertung und Überprüfung der Datenschutz-Grundverordnung (im Folgenden „DSGVO“), insbesondere über die Anwendung und die Funktionsweise der Vorschriften über die Übermittlung personenbezogener Daten an Drittländer und internationale Organisationen sowie der Vorschriften über die Zusammenarbeit und Kohärenz nach Artikel 97 der DSGVO.

Die seit dem 25. Mai 2018 geltende DSGVO bildet das Kernstück des EU-Rahmens, der das in der Charta der Grundrechte der Europäischen Union (Artikel 8) und in den Verträgen (Artikel 16 des Vertrags über die Arbeitsweise der Europäischen Union, im Folgenden „AEUV“) verankerte Grundrecht auf Datenschutz garantiert. Die DSGVO stärkt die Datenschutzgarantien, gewährt dem Einzelnen zusätzliche und stärkere Rechte, erhöht die Transparenz und begründet eine erhöhte Rechenschaftspflicht und Verantwortung all derjenigen, die in ihren Anwendungsbereich fallende personenbezogene Daten verarbeiten. Sie stattet die unabhängigen Datenschutzbehörden mit stärkeren und harmonisierten Durchsetzungsbefugnissen aus und führt ein neues Verwaltungssystem ein. Zudem schafft sie gleiche Wettbewerbsbedingungen für alle im EU-Markt tätigen Unternehmen, unabhängig davon, wo sie niedergelassen sind, und gewährleistet den freien Datenverkehr innerhalb der EU, wodurch der Binnenmarkt gestärkt wird.

Die DSGVO ist ein wichtiger Bestandteil des auf den Menschen ausgerichteten technologischen Ansatzes und eine Orientierungshilfe für den Einsatz von Technologie im doppelten Übergang zu einer grünen und digitalen Wirtschaft, der für die Politikgestaltung der EU kennzeichnend ist. Dies wurde kürzlich im Weißbuch zur künstlichen Intelligenz und in der Mitteilung über eine europäische Datenstrategie (im Folgenden „Datenstrategie“) vom Februar 2020 hervorgehoben.

In einer Wirtschaft, die zunehmend auf der Verarbeitung von Daten, einschließlich personenbezogener Daten, beruht, ist die DSGVO ein wesentliches Instrument, mit dem sichergestellt werden soll, dass der Einzelne eine bessere Kontrolle über seine personenbezogenen Daten hat und dass diese Daten rechtmäßig, nach Treu und Glauben und transparent verarbeitet werden. Gleichzeitig trägt die DSGVO zur Förderung vertrauenswürdiger Innovationen bei, insbesondere durch ihren risikobasierten Ansatz und Grundsätze wie Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Die Kommission hat vorgeschlagen, den Rechtsrahmen für den Datenschutz und den Schutz der Privatsphäre durch die e-Datenschutz-Verordnung zu ergänzen‚ die die derzeitige e-Datenschutz-Richtlinie ersetzen soll. Dieser Vorschlag wird derzeit von den gesetzgebenden Organen geprüft und sollte unbedingt rasch angenommen werden.

Im Rahmen der zentralen Prioritäten der Kommission eines „Europa für das digitale Zeitalter“ und des „europäischen Grünen Deals“ können neue Initiativen entwickelt werden‚ um die Bürgerinnen und Bürger in die Lage zu versetzen, eine aktivere Rolle bei der digitalen Umstellung und bei der Nutzung digitaler Instrumente zu spielen, um eine klimaneutrale Gesellschaft und eine nachhaltigere Entwicklung zu erreichen. Die DSGVO setzt einen Rahmen für diese Initiativen und stellt sicher, dass sie so konzipiert sind, dass sie den Einzelnen wirksam befähigen.

In der Datenstrategie wird die Schaffung eines einheitlichen europäischen Datenraums, eines echten Binnenmarkts für Daten sowie zehn sektorspezifischer gemeinsamer europäischer Datenräume gefordert, die für den doppelten Übergang zu einer grünen und digitalen Wirtschaft relevant sind. Für all diese Prioritäten ist ein klarer und praktikabler Rahmen für einen sicheren Datenaustausch und eine bessere Datenverfügbarkeit von entscheidender Bedeutung. In der Datenstrategie teilte die Kommission zudem ihre Absicht mit, in künftigen Rechtsvorschriften zu prüfen, wie die Nutzung von Daten in öffentlichen Datenbanken für wissenschaftliche Forschungszwecke im Einklang mit der DSGVO ermöglicht werden kann. Die Datenräume sollen von dem europäischen Cloud-Zusammenschluss unterstützt werden, der Datenverarbeitungs- und Cloud-Infrastrukturdienste im Einklang mit der DSGVO anbietet. Die DSGVO gewährleistet ein hohes Schutzniveau für personenbezogene Daten und eine zentrale Rolle für den Einzelnen in all diesen Datenräumen und bietet gleichzeitig die notwendige Flexibilität, um unterschiedlichen Ansätzen Rechnung zu tragen.

Die Notwendigkeit, Vertrauen zu gewährleisten, und der Bedarf am Schutz personenbezogener Daten sind sicherlich nicht auf die EU beschränkt. Menschen in der ganzen Welt schätzen die Privatsphäre und die Sicherheit ihrer Daten zunehmend. Wie eine kürzlich durchgeführte weltweite Umfrage zeigt‚ empfinden sie dies als wichtigen Faktor, der ihre Kaufentscheidungen und ihr Online-Verhalten beeinflusst. Eine wachsende Zahl von Unternehmen hat auf diesen Bedarf an Privatsphäre reagiert, insbesondere indem sie freiwillig einige der in der DSGVO vorgesehenen Rechte und Garantien auf ihre nicht in der EU ansässigen Kunden ausgeweitet haben. Viele Unternehmen nutzen auch den Schutz personenbezogener Daten als Alleinstellungsmerkmal und Verkaufsargument auf dem Weltmarkt, indem sie innovative Produkte und Dienste mit neuartigen Datenschutz- oder Datensicherheitslösungen anbieten. Darüber hinaus wirft die verbesserte Fähigkeit privater und öffentlicher Akteure, Daten in großem Maßstab zu erheben und zu verarbeiten, wichtige und komplexe Fragen auf, die den Schutz der Privatsphäre zunehmend in den Mittelpunkt der öffentlichen Debatte in verschiedenen Teilen der Welt stellen.

Die Annahme der DSGVO hat andere Länder in vielen Regionen der Welt veranlasst zu erwägen, diesem Beispiel zu folgen. Dieser tatsächlich weltweite Trend ist unter anderem in Chile, Südkorea, Brasilien, Japan, Kenia, Indien, Kalifornien und Indonesien zu beobachten. Die Vorreiterrolle der EU im Bereich des Datenschutzes zeigt, dass sie weltweit Maßstäbe für die Regulierung der digitalen Wirtschaft fungieren kann. Diese Vorreiterrolle wurde von wichtigen Stimmen der internationalen Gemeinschaft wie dem Generalsekretär der Vereinten Nationen António Guterres begrüßt, dem zufolge die DSGVO als Blaupause für ähnliche Instrumente in anderen Regionen der Welt dient und der die EU und ihre Mitgliedstaaten nachdrücklich aufgefordert hat, nicht darin nachzulassen, als Vorreiter das digitale Zeitalter zu gestalten und bei technologischer Innovation und Regulierung an vorderster Front zu stehen.

Die derzeitige Krise der COVID-19-Pandemie veranschaulicht lebhaft diese Globalisierung der Datenschutzdebatte, sowohl während der Krise als auch in der anschließenden Zeit der Wiederaufbaubemühungen. In der EU haben mehrere Mitgliedstaaten Notmaßnahmen ergriffen, um die öffentliche Gesundheit zu schützen. Gemäß DSGVO muss bei jeder Beschränkung der Wesensgehalt der Grundrechte und Grundfreiheiten geachtet werden, und es muss sich dabei um eine notwendige und verhältnismäßige Maßnahme in einer demokratischen Gesellschaft zum Schutz eines öffentlichen Interesses wie der öffentlichen Gesundheit handeln. Mit der Aufhebung von Eindämmungsmaßnahmen müssen die Entscheidungsträger den Erwartungen der Bürger gerecht werden, dass ihnen vertrauenswürdige digitale Lösungen angeboten werden, die das Recht auf Privatsphäre und den Schutz personenbezogener Daten achten.

In vielen Ländern wird der integrierte Schutz der Privatsphäre, wie er beispielsweise in der freiwilligen Nutzung, Datenminimierung und -sicherheit sowie im Ausschluss der Geolokalisierung zum Ausdruck kommt, als wesentlich erachtet, um die Zuverlässigkeit und gesellschaftliche Akzeptanz datengestützter Lösungen zur Überwachung und Eindämmung der Ausbreitung des Virus, zur Kalibrierung politischer Gegenmaßnahmen, zur Unterstützung von Patienten oder zur Umsetzung von Ausstiegsstrategien zu gewährleisten. In der EU hat sich der Rechtsrahmen für den Datenschutz und den Schutz der Privatsphäre als ausreichend flexibles Instrument erwiesen, um die Entwicklung praktischer Lösungen (z. B. Nachverfolgungs-Apps) zu ermöglichen und gleichzeitig ein hohes Schutzniveau für personenbezogene Daten sicherzustellen. In diesem Zusammenhang veröffentlichte die Kommission am 16. April 2020 datenschutzrelevante Leitlinien zu Apps, die die Bekämpfung der Pandemie unterstützen.

Der Schutz personenbezogener Daten ist auch von entscheidender Bedeutung, wenn es darum geht, die Manipulation von Wählerstimmen – insbesondere durch das Mikrotargeting von Wählerinnen und Wählern auf der Grundlage der unrechtmäßigen Verarbeitung personenbezogener Daten – zu verhindern, Eingriffe in demokratische Prozesse zu vermeiden und die offene Debatte, die Fairness und die Transparenz, die für eine Demokratie von wesentlicher Bedeutung sind, zu erhalten. Aus diesem Grund veröffentlichte die Kommission im September 2018 ihren Leitfaden zur Anwendung des EU-Datenschutzrechts im Zusammenhang mit Wahlen.

Bei dieser Bewertung und Überprüfung berücksichtigte die Kommission die Beiträge des Rates‚ des Europäischen Parlaments‚ des Europäischen Datenschutzausschusses (im Folgenden der „Ausschuss“) und einzelner Datenschutzbehörden‚ der Multi-Stakeholder-Expertengruppe und anderer Interessenträger, unter anderem durch Rückmeldungen zum Fahrplan

Nach allgemeiner Auffassung hat die DSGVO zwei Jahre nach Beginn ihrer Anwendung ihre Ziele, nämlich die Stärkung des Rechts des Einzelnen auf Schutz personenbezogener Daten und die Gewährleistung des freien Verkehrs personenbezogener Daten innerhalb der EU, erreicht. Es wurde jedoch auch eine Reihe von Bereichen ermittelt, in denen weitere Verbesserungen erforderlich sind. Wie die meisten Interessenträger und Datenschutzbehörden ist die Kommission der Ansicht, dass es in diesem Stadium verfrüht wäre, endgültige Schlussfolgerungen in Bezug auf die Anwendung der DSGVO zu ziehen. Beim Umgang mit den meisten der von den Mitgliedstaaten und Interessenträgern ermittelten Probleme dürften mehr Erfahrungswerte mit Blick auf die Anwendung der DSGVO in den kommenden Jahren von Vorteil sein. Nichtsdestoweniger werden in diesem Bericht die bisher bei der Anwendung der DSGVO aufgetretenen Herausforderungen sowie Möglichkeiten zu deren Bewältigung aufgezeigt.