CORRIGENDUM This document corrects document COM(2018) 43 final of 24.1.2018. Concerns the German language version. The term "direct application" was corrected. Other minor corrections introduced. The text shall read as follows:

·Gleiche Wettbewerbsbedingungen für alle auf dem EU-Markt tätigen Unternehmen: Mit der Verordnung werden Unternehmen mit Sitz außerhalb der EU verpflichtet, dieselben Vorschriften anzuwenden wie Unternehmen mit Sitz in der EU, wenn sie Waren und Dienstleistungen anbieten oder das Verhalten von Personen in der Union überwachen. Deshalb müssen Unternehmen von außerhalb der EU, die im Binnenmarkt tätig sind, unter bestimmten Umständen einen Vertreter in der EU benennen, an den sich Bürger und Behörden neben oder anstelle der im Ausland ansässigen Gesellschaft wenden können.

·Ein harmonisierter Rechtsrahmen, der zu einer einheitlichen Anwendung der Vorschriften führt, was sich positiv auf den europäischen digitalen Binnenmarkt auswirkt: Die DS-GVO bietet ein einheitliches Regelwerk für Bürger und Unternehmen, was gegenüber der heutigen Situation, in der die EU-Mitgliedstaaten die Vorschriften der Richtlinie unterschiedlich umgesetzt haben, Abhilfe schafft. Um eine einheitliche und durchgängige Anwendung in allen Mitgliedstaaten zu gewährleisten, wird eine zentrale Anlaufstelle geschaffen.

Obwohl der neue Datenschutzrahmen auf den bestehenden Rechtsvorschriften aufbaut, wird er weitreichende Auswirkungen haben und in mancher Hinsicht erhebliche Anpassungen erfordern. Deshalb sieht die Datenschutz-Grundverordnung einen Übergangszeitraum von 2 Jahren bis zum 25. Mai 2018 vor, um den Mitgliedstaaten und den Betroffenen Zeit zu geben, sich an den neuen Rechtsrahmen anzupassen.

Am 6. April 2016 einigte sich die EU mit der Verabschiedung des Datenschutz-Reformpakets auf eine umfassende Reform ihres Datenschutzrahmens. Das Paket umfasst die Datenschutz-Grundverordnung (DS-GVO), die die zwanzig Jahre alte Richtlinie 95/46/EG (Datenschutzrichtlinie) ersetzt, und die Polizei-Richtlinie. Am 25. Mai 2018 beginnt die unmittelbare Geltung des neuen EU-weiten Datenschutzinstruments, der Datenschutz-Grundverordnung (nachstehend auch einfach „Verordnung“), zwei Jahre nach Annahme und Inkrafttreten.

·Ferner werden die Grundsätze des Datenschutzes durch Technik und durch datenschutzfreundliche Voreinstellungen eingeführt. Sie setzen Anreize für innovative Lösungen, damit Datenschutzinteressen von Anfang an berücksichtigt werden.

·Stärkung der Rechte des Einzelnen: Mit der Verordnung werden neue Transparenzanforderungen eingeführt: Stärkung der Rechte auf Information, Zugang und Löschung – das „Recht auf Vergessenwerden“. Verbot, Stillschweigen oder Untätigkeit dürfen nicht länger als Einwilligung betrachtet werden; vielmehr bedarf es einer eindeutigen bestätigenden Handlung. Kinder werden im Internet geschützt.

·Einzelpersonen erhalten mehr Kontrolle über die sie betreffenden Daten. Mit der Verordnung wird ein neues Recht auf Datenübertragbarkeit eingeführt, das es den Bürgern ermöglicht, von einem Unternehmen oder einer Organisation die Rückübertragung personenbezogener Daten zu verlangen, die sie diesem bzw. dieser auf der Grundlage einer Einwilligung oder eines Vertrags zur Verfügung gestellt haben. Dieses Recht ermöglicht es auch, dass solche personenbezogenen Daten direkt an ein anderes Unternehmen oder eine andere Organisation übermittelt werden, wenn dies technisch machbar ist. Da es die direkte Übermittlung personenbezogener Daten von einem Unternehmen oder einer Organisation auf ein anderes/eine andere erlaubt, wird dieses Recht auch den freien Verkehr personenbezogener Daten in der EU fördern, die Blockade personenbezogener Daten vermeiden und den Wettbewerb zwischen Unternehmen fördern. Die Erleichterung des Wechsels zwischen verschiedenen Diensteanbietern wird die Entwicklung neuer Dienste fördern, wie in der Strategie für den digitalen Binnenmarkt anvisiert.

·Besserer Schutz gegen Datenmissbrauch: Die Datenschutz-Grundverordnung enthält umfassende Vorschriften zu Verletzungen des Schutzes personenbezogener Daten. Dort wird die „Verletzung des Schutzes personenbezogener Daten“ definiert, und sie verpflichtet dazu, der Aufsichtsbehörde eine solche Verletzung binnen höchstens 72 Stunden zu melden, wenn diese voraussichtlich zu einem Risiko für die Rechte und Freiheiten des Einzelnen führt. Dann muss unter bestimmten Umständen die Person, deren Daten verletzt wurden, davon in Kenntnis gesetzt werden. Das bedeutet eine erhebliche Verbesserung gegenüber der heutigen Lage. Derzeit sind in der EU nur Anbieter elektronischer Kommunikationsdienste, Betreiber wesentlicher Dienste und Anbieter digitaler Dienste verpflichtet, Datenschutzverstöße gemäß der Datenschutzrichtlinie für elektronische Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) und der Richtlinie über die Sicherheit von Netz- und Informationssystemen (NIS) zu melden.

·Mit der Verordnung wird allen Datenschutzbehörden die Befugnis übertragen, Geldbußen gegen Verantwortliche und Auftragsverarbeiter zu verhängen. Derzeit haben nicht alle Datenschutzbehörden diese Befugnis inne. Dies wird eine bessere Umsetzung der Vorschriften ermöglichen. Die Geldbußen können bis zu 20 Mio. EUR oder im Falle eines Unternehmens bis zu 4 % des weltweiten Jahresumsatzes betragen.

·Mehr Flexibilität für die für die Verarbeitung Verantwortlichen und die Auftragsverarbeiter, die personenbezogene Daten verarbeiten, aufgrund einer eindeutigen Zuweisung der Verantwortung (Grundsatz der Rechenschaftspflicht): Die Meldepflicht wird vom Grundsatz der Rechenschaftspflicht abgelöst. Dieser Grundsatz schlägt sich in abgestuften Verpflichtungen in Abhängigkeit von den Risiken (z. B. Anwesenheit eines Datenschutzbeauftragten oder Verpflichtung zu Datenschutz-Folgenabschätzungen) nieder. Es wird ein neues Instrument eingeführt, um das Risiko vor einem Beginn mit der Datenverarbeitung zu bewerten: die Datenschutz-Folgenabschätzung. Sie ist erforderlich, wenn die Verarbeitung zu einem hohen Risiko für die Rechte und Freiheiten des Einzelnen führen kann. Drei Fälle sind ausdrücklich als solche in der Verordnung aufgeführt: wenn ein Unternehmen systematisch und umfassend persönliche Aspekte einer Einzelperson bewertet (einschließlich Profiling), wenn es sensible Daten in großem Umfang verarbeitet oder öffentlich zugängliche Bereiche systematisch weiträumig überwacht. Die nationalen Datenschutzbehörden müssen die Listen der Fälle veröffentlichen, in denen eine Datenschutz-Folgenabschätzung erforderlich ist.

·Mehr Klarheit hinsichtlich der Pflichten der Auftragsverarbeiter und der Verantwortung der für die Verarbeitung Verantwortlichen bei der Auswahl eines Auftragsverarbeiters,

·und eine kohärentere und konsequentere Durchsetzung der Vorschriften: Dazu zählt die Harmonisierung der Befugnisse der Datenschutzbehörden, auch in Bezug auf Geldbußen, und neue Vernetzungs- und Kooperationsmechanismen für diese Behörden.

·Der durch die Verordnung garantierte Datenschutz bleibt auch außerhalb der EU erhalten, so dass sich die Bürgerinnen und Bürger auf ein hohes Schutzniveau verlassen können: Während der Aufbau der Vorschriften für die internationale Datenübermittlung in der Verordnung im Wesentlichen derselbe ist wie die der Richtlinie von 1995, wird mit der Reform deutlicher und einfacher festgelegt, wie sie anzuwenden sind. Außerdem werden neue Instrumente für die Datenübermittlung eingeführt. In Bezug auf die Angemessenheitsbeschlüsse enthält die Verordnung einen genauen und detaillierten Katalog von Kriterien, die die Kommission bei der Beurteilung der Frage berücksichtigen muss, ob ein ausländisches System personenbezogene Daten angemessen schützt. Die Verordnung formalisiert ferner die Zahl alternativer Übermittlungsinstrumente, wie Standardvertragsklauseln und verbindliche interne Datenschutzvorschriften, und erweitert diese.

Die überarbeitete Verordnung für die Organe, Einrichtungen, Ämter und Agenturen der EU die Verordnung über Privatsphäre und elektronische Kommunikation („e-Datenschutzverordnung“), die sich derzeit im Gesetzgebungsverfahren befinden, werden sicherstellen, dass die EU über solide und umfassende Datenschutzvorschriften verfügt.

2.Bisherige Vorarbeiten auf EU-Ebene

Die erfolgreiche Anwendung der Verordnung erfordert die Zusammenarbeit zwischen allen am Datenschutz Beteiligten: Mitgliedstaaten, darunter öffentliche Verwaltungen, nationale Datenschutzbehörden, Unternehmen, Organisationen, die Daten verarbeiten, Bürgerinnen und Bürger und Kommission.

2.1 Maßnahmen der Europäischen Kommission

Kurz nach Inkrafttreten der Verordnung Mitte 2016 hat sich die Kommission mit den Behörden der Mitgliedstaaten, den Datenschutzbehörden und den Interessenträgern in Verbindung gesetzt, um die Anwendung der Verordnung vorzubereiten und mit Unterstützung und Beratung zu begleiten.

a) Unterstützung der Mitgliedstaaten und ihrer Behörden

Die Kommission arbeitet eng mit den Mitgliedstaaten zusammen, um ihre Vorbereitungstätigkeit während des Übergangszeitraums zu unterstützen. So soll größtmögliche Kohärenz gewährleistet werden. Zu diesem Zweck hat die Kommission eine Expertengruppe eingesetzt, die die Mitgliedstaaten bei ihren vorbereitenden Arbeiten begleiten soll. Die Gruppe dient als Forum, in dem die Mitgliedstaaten ihre Erfahrungen und ihr Fachwissen austauschen können. Sie ist bereits dreizehn Mal zusammengetroffen. Zudem hat die Kommission bilaterale Treffen mit den Behörden der Mitgliedstaaten abgehalten, um Fragen zu erörtern, die auf nationaler Ebene auftraten.

b) Unterstützung der Datenschutzbehörden und Einrichtung des Europäischen Datenschutzausschusses

Die Kommission unterstützt aktiv die Arbeiten der Datenschutzgruppe nach Artikel 29, auch um einen reibungslosen Übergang zum Europäischen Datenschutzausschuss zu ermöglichen.

c) Internationale Datenschutzpolitik

Die Verordnung wird die Möglichkeiten der EU verbessern, ihre Datenschutzwerte aktiv nach außen zu vertreten. Zudem erleichtert sie die Datenströme, indem sie die weltweite Konvergenz der Rechtssysteme fördert. Die Datenschutzvorschriften der EU werden auf internationaler Ebene zunehmend als Grundlage für einige der höchsten Datenschutzstandards weltweit anerkannt. Das Übereinkommen Nr. 108 des Europarates, das einzige rechtsverbindliche multilaterale Instrument im Bereich des Schutzes personenbezogener Daten, wird ebenfalls modernisiert. Die Kommission arbeitet daran, dass es die gleichen Grundsätze widerspiegelt, wie sie in den neuen EU-Datenschutzvorschriften verankert sind, und leistet damit ihren Beitrag zu einheitlich hohen Datenschutznormen. Die Kommission wird sich aktiv dafür einsetzen, dass der modernisierte Wortlaut des Übereinkommens rasch angenommen wird, damit die EU Vertragspartei werden kann. Die Kommission ermutigt Nicht-EU-Länder, das Übereinkommen Nr. 108 des Europarats und sein Zusatzprotokoll zu ratifizieren.