DE Amtsblatt der Europäischen Union C 288/107

Stellungnahme des Europäischen Wirtschafts- und Sozialausschusses zum „Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG“

(COM(2017) 8 final — 2017/0002 (COD))

(2017/C 288/15)

Berichterstatter: Jorge PEGADO LIZ

Befassung Europäische Kommission, 26.4.2017 Rechtsgrundlage Artikel 16 Absatz 2 AEUV Zuständige Fachgruppe Verkehr, Energie, Infrastrukturen, Informationsgesellschaft Annahme in der Fachgruppe 16.5.2017 Verabschiedung auf der Plenartagung 31.5.2017 Plenartagung Nr. 526 Ergebnis der Abstimmung (Ja-Stimmen/Nein-Stimmen/Enthaltungen) 161/0/2

1. Schlussfolgerungen und Empfehlungen

1.1. Aus rein technisch-rechtlicher Sicht trägt die Kommission mit dem vorliegenden Verordnungsvorschlag im Allgemeinen korrekt und angemessen der Notwendigkeit Rechnung, die geltenden Bestimmungen der Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates (1) und des Beschlusses Nr. 1247/2002/EG des Europäischen Parlaments, des Rates und der Kommission (2) zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union an die neue Datenschutz-Grundverordnung (3) anzupassen, die ab 25. Mai 2018 EU-weit gelten wird.

1.2. Der Europäische Wirtschafts- und Sozialausschuss (EWSA) bekräftigt indes den Tenor seiner Bemerkungen und Empfehlungen zu dem ursprünglichen Vorschlag für eine Datenschutz-Grundverordnung, die nunmehr angenommen wurde, und bedauert, dass diese in der endgültigen Fassung der Datenschutz-Grundverordnung nicht berücksichtigt wurden. Durch die Verzögerungen in Bezug auf ihre Annahme und ihr Inkrafttreten befürchtet der EWSA angesichts der raschen technologischen Entwicklungen in diesem Bereich, dass die Risiken einer unrechtmäßigen Aneignung der Daten sowie ihrer missbräuchlichen Verarbeitung und kommerziellen Nutzung erhöht werden und die Datenschutz-Grundverordnung bereits vor ihrer Umsetzung schon wieder überholt ist. Da der vorliegende Vorschlag eine Anpassung eben dieser Datenschutz-Grundverordnung an die Funktionsweise der europäischen Institutionen ist, gelten diese Bedenken in gleicher Weise auch für diesen Vorschlag, insbesondere in Bezug auf die undurchsichtigen Formulierungen, die für normale Bürger nur schwer verständlich sind.

1.3. Da die Abläufe in den Organen und Institutionen der EU gleichzeitig beispielgebend für die Verfahren in den Mitgliedstaaten sein müssen, sollte bei der Ausarbeitung dieses Vorschlags nach Ansicht des EWSA besondere Sorgfalt an den Tag gelegt werden.

1.4. Daher betont der EWSA, dass Aspekte wie die Zusammenhänge zwischen diesem Vorschlag und dem Statut der Beamten der Europäischen Union, der Umgang mit Situationen wie Belästigung, Cyberbullying und Whistleblowing in den Organen und Einrichtungen der EU, die Anwendung des Vorschlags in Verbindung mit dem Internet der Dinge, Massendaten und der Nutzung von Suchmaschinen für den Zugang zu sowie die Erstellung und Nutzung von personenbezogenen Daten und persönlichen Informationen, die auf den Websites der Institutionen in sozialen Netzwerken (Facebook, Twitter, Instagram, LinkedIn usw.) veröffentlicht werden, auch ausdrücklich hätten behandelt werden sollen.

1.5. Desgleichen hätte die Kommission in ihrem Vorschlag auf die Sicherheit der IT-Systeme für die Datenverarbeitung und die Garantien gegen Cyberangriffe und Verletzungen des Schutzes personenbezogener Daten bzw. den Verlust dieser Daten eingehen sollen, um ihre Technologieneutralität sicherzustellen und sie nicht internen Regelungen der einzelnen Dienststellen zu überlassen. Außerdem hätte die Verbindung zwischen Datenschutz und Verbrechens- und Terrorismusbekämpfung deutlicher aufgezeigt werden sollen, was indes nicht mit der Annahme unverhältnismäßiger oder überzogener Überwachungsmaßnahmen gleichbedeutend ist, die ohnehin der Kontrolle des Europäischen Datenschutzbeauftragten unterliegen.

1.6. Die Kommission hätte ferner die Anforderungen in punkto Kompetenzen, Ausbildung und persönliche Zuverlässigkeit festlegen sollen, die für die Ernennung zum Datenschutzbeauftragten, zum Verantwortlichen und zum Auftragsverarbeiter in sämtlichen Organen und Einrichtungen der EU erforderlich sind und auch der Kontroll- und Überwachungsbefugnis des Europäischen Datenschutzbeauftragten unterliegen sollten.

1.7. Der EWSA ist der Auffassung, dass die erhobenen Daten, die unmittelbar die Privatsphäre der betroffenen Personen berühren, insbesondere Gesundheits-, Steuer- und Sozialdaten, angesichts ihrer Spezifizität auf das für ihren Verwendungszweck unbedingt notwendige Mindestmaß beschränkt werden sollten und dass ein Höchstmaß an Sicherheit und Garantien bei der Verarbeitung dieser besonders sensiblen personenbezogenen Daten im Einklang mit internationalen Normen und den fortschrittlichsten nationalen Gesetzen sowie den am besten bewährten Verfahren einiger Mitgliedstaaten sichergestellt werden sollte.

1.8. Der EWSA betont, dass in den Vorschlag ausdrücklich die Aufstockung der Mittel für den Europäischen Datenschutzbeauftragten sowie die Bereitstellung einer ausreichenden Zahl an Mitarbeitern mit umfassenden Kenntnissen und hoher fachlicher Kompetenz im Bereich Datenschutz aufgenommen werden sollte.

1.9. Der EWSA bekräftigt erneut die Notwendigkeit, auch die Daten rechtmäßig niedergelassener juristischer Personen (Unternehmen, NGO, Handelsgesellschaften usw.) im Rahmen ihrer Erhebung und Verarbeitung zu schützen.

1.10. Abschließend empfiehlt der EWSA in seiner detaillierten Prüfung eine Reihe von Änderungen verschiedener Bestimmungen, die, sofern sie angenommen werden, einen wirksameren Schutz personenbezogener Daten innerhalb der Organe und Einrichtungen der EU nicht nur für EU-Beamte, sondern auch für die tausenden Unionsbürger bieten würden, die sich an sie wenden. Er fordert die Europäischen Kommission, das Europäische Parlament und den Rat daher auf, diese bei der Ausarbeitung der endgültigen Fassung zu berücksichtigen.

2. Gründe und Ziele des Vorschlags

2.1. Wie von der Kommission in ihrer Begründung erläutert, sollen mit diesem Vorschlag die Verordnung (EG) Nr. 45/2001 (4) und der Beschluss Nr. 1247/2002/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union mit folgenden zwei Zielen aufgehoben werden: — Schutz des Grundrechts auf Datenschutz; — Garantie des freien Verkehrs personenbezogener Daten zwischen den Mitgliedstaaten.

2.2. Nach einer langen und langwierigen Vorbereitung haben der Rat und das Europäische Parlament nun endlich die Datenschutz-Grundverordnung (5) angenommen, die ab dem 25. Mai 2018 EU-weit gelten wird. Diese Verordnung erfordert auch eine Anpassung verschiedener Rechtsinstrumente (6), u. a. der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG.

2.3. Unter Berücksichtigung der Ergebnisse von Erhebungen, der Konsultation der Interessenträger und der Studie zur Bewertung der Anwendung der Verordnung in den letzten 15 Jahren, auf die die Kommission umfassend eingeht, kommt die Kommission insbesondere zu dem Schluss, dass: — die Verordnung (EG) Nr. 45/2001 durch die Verhängung von Sanktionen durch den Europäischen Datenschutzbeauftragten besser durchgesetzt werden könnte; — eine verstärkte Nutzung seiner Aufsichtsbefugnisse die Umsetzung der Datenschutzvorschriften verbessern könnte; — eine Vereinfachung des Systems der Meldung und Vorabkontrolle notwendig ist, um die Effizienz zu erhöhen und den Verwaltungsaufwand zu verringern; — die für die Datenverarbeitung Verantwortlichen vor Verarbeitungsvorgängen zunächst ein Konzept für das Risikomanagement festlegen und Risikobewertungen vornehmen sollten, um die Anforderungen in Bezug auf Vorratsdatenspeicherung und Sicherheit besser erfüllen zu können; — die Bestimmungen über die Telekommunikation überholt sind und dieses Kapitel der Verordnung an die e-Datenschutz-Richtlinie angepasst werden muss; — einige grundlegende Begriffsbestimmungen der Verordnung präzisiert werden müssen, u. a. in Bezug auf die Definition der in den Organen, Einrichtungen und sonstigen Stellen der Union für die Datenverarbeitung Verantwortlichen und der Empfänger sowie die Ausweitung der Verpflichtung zur Vertraulichkeit auf externe Auftragsverarbeiter.

2.4. Aufgrund der Art und des Umfangs der Änderungen bestehender Rechtsinstrumente beschloss die Kommission, diese insgesamt aufzuheben und durch eine Verordnung zu ersetzen, die nun Gegenstand dieser Stellungnahme ist und in Verbindung mit den weiteren genannten Rechtsinstrumenten steht, die gemäß Artikel 98 der Verordnung (EU) 2016/679 gleichzeitig mit eben dieser Datenschutz-Grundverordnung in Kraft treten.

3. Allgemeine Bemerkungen

3.1. Aus rein rechtlich-technischer Sicht stimmt der EWSA grundsätzlich folgenden Punkten zu: — der Notwendigkeit und der Zweckdienlichkeit dieses Vorschlags; — der Wahl des Rechtsinstruments, d. h. einer Verordnung; — der Entscheidung, die geltenden Rechtsinstrumente insgesamt aufzuheben; — der für die Annahme gewählten Rechtsgrundlage; — den Nachweisen für die Einhaltung des Subsidiaritätsprinzips, des Grundsatzes der Verhältnismäßigkeit und des Grundsatzes der Rechenschaftspflicht (accountability); — der Klarheit und der Struktur der Artikel; — der besseren Begriffsbestimmung bestimmter Konzepte wie beispielsweise der ausdrücklichen Einwilligung; — der Kohärenz mit den weiteren Rechtsinstrumenten, mit denen diese Verordnung in Verbindung steht, insbesondere der Verordnung (EU) 2016/679, dem Vorschlag für eine Verordnung über Privatsphäre und elektronische Kommunikation (COM(2017) 10 final) und der Kommissionsmitteilung „Aufbau einer europäischen Datenwirtschaft“ (7); — der Entscheidung, zum ersten Mal ausdrücklich die Verhängung von Geldstrafen bei Nichtbefolgung und Verstößen vorzusehen; — der Stärkung der Befugnisse des Europäischen Datenschutzbeauftragten; — der Ausnahme dieser Initiative aus dem REFIT-Programm; — den Bemühungen um Vereinbarkeit mit anderen Grundrechten, beispielsweise insbesondere den in der Charta der Grundrechte der Europäischen Union verankerten Rechten wie die Freiheit der Meinungsäußerung (Artikel 11), das Eigentumsrecht und insbesondere der Schutz des geistigen Eigentums (Artikel 17 Absatz 2), das Verbot einer Diskriminierung unter anderem wegen der Rasse, der ethnischen Herkunft, der genetischen Merkmale, der Religion oder der Weltanschauung, der politischen oder sonstigen Anschauung, einer Behinderung oder der sexuellen Ausrichtung (Artikel 21), die Rechte des Kindes (Artikel 24), das Recht auf ein hohes Gesundheitsschutzniveau (Artikel 35), das Recht auf Zugang zu Dokumenten (Artikel 42) und das Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren (Artikel 47).

3.2. Dies ändert jedoch nichts an den Bemerkungen und Empfehlungen des EWSA zu dem Vorschlag für eine Datenschutz-Grundverordnung (8), die nunmehr angenommen wurde (9), die in der endgültigen Fassung der Datenschutz-Grundverordnung nicht umfassend berücksichtigt wurden. Durch die Verzögerungen in Bezug auf ihre Annahme und ihr Inkrafttreten befürchtet der EWSA angesichts der raschen technologischen Entwicklungen in diesem Bereich, dass die Risiken einer unrechtmäßigen Aneignung der Daten sowie ihrer missbräuchlichen Verarbeitung und kommerziellen Nutzung erhöht werden und die Datenschutz-Grundverordnung bereits vor ihrer Umsetzung schon wieder überholt ist. Da der vorliegende Vorschlag eine Anpassung eben dieser Datenschutz-Grundverordnung an die Funktionsweise der europäischen Institutionen ist, gelten diese Bedenken in gleicher Weise auch für diesen Vorschlag, insbesondere in Bezug auf die undurchsichtigen Formulierungen, die für normale Bürger nur schwer verständlich sind; dieser Vorschlag hätte besser gleichzeitig mit dem Vorschlag für die Datenschutz-Grundverordnung vorgelegt und erörtert werden sollen.

3.3. Da die Abläufe in den Organen und Institutionen der EU beispielgebend für die Verfahren in den Mitgliedstaaten sein müssen, hätten nach Ansicht des EWSA bestimmte Aspekte in diesem Vorschlag berücksichtigt werden müssen.

3.4. So ist absolut nicht klar, ob dieser Vorschlag im Einklang mit dem Statut der Beamten der Europäischen Union steht (Verordnung Nr. 31 (EWG) (10)), da spezifische Rechtsvorschriften fehlen, um einen effizienteren Schutz der personenbezogenen Daten von Beamten und Bediensteten der Organe und Einrichtungen der EU betreffend ihre Einstellung, ihre Laufbahn, die Laufzeit ihres Vertrags und etwaiger Verlängerungen sowie ihrer Beurteilung sicherzustellen.

3.4.1. In diesem oder einem anderen Rechtsakt sollten allgemeine Vorschriften mit Bestimmungen betreffend die Gesundheitsdaten der Beamten und ihrer Familienangehörigen, den Schutz der von den Beamten generierten oder genutzten Daten und der jeweiligen genetischen Daten, die Behandlung und den Schutz von E-Mail-Nachrichten, die zum einen von den Unionsbürgern an die EU-Institutionen gerichtet werden und zum anderen zwischen Beamten der Organe und Einrichtungen der EU ausgetauscht sowie von diesen nach außen geschickt werden, sowie der Webinhalte und Websites, auf die die Beamten zugreifen, vorgesehen werden (11).

3.4.2. Unbeschadet von Artikel 68 muss auch Cyberbullying und Whistleblowing innerhalb der Organe und Einrichtungen der EU besondere Aufmerksamkeit gewidmet werden.

3.4.3. Der EWSA hegt außerdem Bedenken in Bezug auf die Anwendung des vorliegenden Vorschlags und der Verordnung (EU) 2016/679 in Verbindung mit dem Internet der Dinge, Massendaten und der Nutzung von Suchmaschinen für den Zugang zu sowie die Erstellung und Nutzung von personenbezogenen Daten sowie persönlichen Informationen, die ohne ausdrückliche Einwilligung der betroffenen Personen auf den Websites der Institutionen in sozialen Netzwerken (Facebook, Twitter, Instagram, LinkedIn usw.) veröffentlicht werden.

3.5. Der EWSA empfiehlt, dass die Kommission in ihrem Verordnungsvorschlag neben dem Verweis auf die Vertraulichkeit der elektronischen Kommunikation in Artikel 34 spezifisch auf die Sicherheit der IT-Systeme für die Datenverarbeitung und die Garantien gegen Cyberangriffe und missbräuchliche Nutzung personenbezogener Daten bzw. den Verlust dieser Daten (12) eingeht, um ihre Technologieneutralität sicherzustellen und nicht internen Regelungen der einzelnen Dienststellen zu überlassen. Außerdem sollte die Verbindung zwischen Datenschutz und Verbrechens- und Terrorismusbekämpfung deutlicher aufgezeigt werden, was indes nicht mit der Annahme unverhältnismäßiger oder überzogener Überwachungsmaßnahmen gleichbedeutend ist, die ohnehin der Kontrolle des Europäischen Datenschutzbeauftragten unterliegen.

3.6. Der EWSA betont, dass die Verknüpfung personenbezogener Daten innerhalb der Organe und Einrichtungen der EU nicht einzig und allein dem in Erwägungsgrund 16 genannten Grundsatz der Rechenschaftspflicht unterliegen darf, und fordert die Kommission diesbezüglich auf, eine spezifische Bestimmung in den Vorschlag aufzunehmen, gemäß der diese Verknüpfung erst nach Genehmigung durch den Europäischen Datenschutzbeauftragten erfolgen darf, die von dem Verantwortlichen bzw. von diesem gemeinsam mit dem Auftragsverarbeiter eingeholt wird.

3.7. Unbeschadet der Bestimmungen in Erwägungsgrund 51 und Artikel 44 Absatz 3 empfiehlt der EWSA, die Anforderungen in punkto Kompetenzen, Ausbildung und persönliche Zuverlässigkeit festzulegen, die für die Ernennung zum Datenschutzbeauftragten, zum Verantwortlichen und zum Auftragsverarbeiter in sämtlichen Organen und Einrichtungen der EU erforderlich sind (13); eine etwaige Verletzung ihrer Pflichten als Beamte sollte Gegenstand wirklich abschreckender disziplinar-, zivil- und strafrechtlicher Sanktionen sein, die in dem Vorschlag aufgelistet werden und stets der Kontroll- und Überwachungsbefugnis des Europäischen Datenschutzbeauftragten unterliegen.

3.8. Der EWSA ist sich zwar bewusst, dass mit dem vorliegenden Verordnungsvorschlag das Datenschutzniveau im Vergleich zur geltenden Verordnung (EG) Nr. 45/2001 erhöht wird, ist jedoch der Auffassung, dass die Verordnung die erhobenen Daten, die sich unmittelbar auf die Privatsphäre der betroffenen Personen beziehen, insbesondere Gesundheits-, Steuer- und Sozialdaten, angesichts ihrer Spezifizität auf das unbedingt notwendige Mindestmaß für ihren Verwendungszweck beschränken und im Einklang mit den internationalen Normen und den fortschrittlichsten nationalen Gesetzen sowie den am besten bewährten Verfahren einiger Mitgliedstaaten ein Höchstmaß an Sicherheit und Garantien für die Verarbeitung personenbezogener Daten bieten sollte (14).

3.9. Der EWSA weist darauf hin, dass die Verordnung (EU) 2016/679 ebenso wie der in dieser Stellungnahme erörterte Verordnungsvorschlag nur für Daten natürlicher Personen Anwendung finden; er bekräftigt daher die Notwendigkeit, auch die Daten rechtmäßig niedergelassener juristischer Personen (Unternehmen, NGO, Handelsgesellschaften usw.) in Verbindung mit ihrer Erhebung und Verarbeitung zu schützen.

4. Besondere Bemerkungen

4.1. Aufgrund der detaillierten Prüfung des Verordnungsvorschlags hegt der EWSA einige Zweifel und Vorbehalte mit Blick auf die in der Charta der Grundrechte der Europäischen Union verankerten Grundrechte zum Schutz der Privatsphäre sowie das Subsidiaritätsprinzip und den Grundsatz der Verhältnismäßigkeit.

4.2. Artikel 3

Die Organe und Einrichtungen der Union sind in Absatz 2, Buchstabe a als die Organe, Einrichtungen und sonstigen Stellen der Union definiert, die durch den Vertrag über die Europäische Union, den Vertrag über die Arbeitsweise der Europäischen Union oder den Vertrag zur Gründung der Europäischen Atomgemeinschaft oder auf deren Grundlage geschaffen wurden. Der EWSA fragt sich, ob diese Begriffsbestimmung auch Arbeitsgruppen, beratende Ausschüsse, Beiräte, Plattformen, Ad-hoc-Gruppen usw. sowie internationale IT-Netze umfasst, an denen die Organe und Einrichtungen der EU lediglich mitwirken, ohne jedoch für sie verantwortlich zu sein.

4.3. Artikel 4

4.3.1. Da die Verordnung für Daten gilt, die innerhalb der Organe und Einrichtungen der EU verarbeitet werden, empfiehlt der EWSA die ausdrückliche Aufnahme des Grundsatzes der Nichtdiskriminierung für die Verarbeitung der Daten.

4.3.2. Die in Artikel 4 Absatz 1 Buchstabe b genannte Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke sollte Gegenstand einer Genehmigung des Europäischen Datenschutzbeauftragten sein; diese ist in Artikel 58 nicht vorgesehen.

4.3.3. Außerdem sollte die Verordnung in Bezug auf die Übermittlung personenbezogener Daten zwischen Organen oder Einrichtungen der Union eine ausdrückliche Bestimmung enthalten, die Artikel 7 der geltenden Verordnung (EG) Nr. 45/2001 entspricht.

4.4. Artikel 5

4.4.1. Es ist nicht klar, warum die in Artikel 5 Absatz 2 genannte Anforderung nicht auch auf Absatz 1 Buchstabe b des gleichen Artikels Anwendung findet, wohingegen gemäß Artikel 6 Buchstaben c und e beide Bestimmungen Artikel 3 der Datenschutz-Grundverordnung unterliegen.

4.4.2. Nach Meinung des EWSA muss Buchstabe d dahingehend ergänzt werden, dass für die Einwilligung der betroffenen Person der Grundsatz von Treu und Glauben gilt.

4.5. Artikel 6

4.5.1. Die Anwendung dieses Artikels darf erst nach Genehmigung seitens des Europäischen Datenschutzbeauftragten erfolgen.

4.5.2. In diesen Fällen muss die durch die Datenverarbeitung betroffene Person vorab zum Zeitpunkt der Datenerhebung oder zu dem Zeitpunkt, zu dem eine neue Entscheidung getroffen wird, über diese Möglichkeit unterrichtet werden, damit sie gegebenenfalls die Berichtigung oder Löschung der Daten oder eine Einschränkung ihrer Verarbeitung verlangen oder ihrer Verarbeitung insgesamt widersprechen kann.

4.6. Artikel 8

4.6.1. Der EWSA vertritt den Standpunkt, dass die Ausnahme von der Bestimmung über die Rechtmäßigkeit der Einwilligung von Kindern unter 16 Jahren (zwischen 13 und 16 Jahren), die als abwegig anzusehen ist, aufgrund nationalen Rechts in kulturellen Angelegenheiten in den Mitgliedstaaten zulässig ist (Artikel 8 der Datenschutz-Grundverordnung), nicht aber als Regel für die Organe und Einrichtungen der EU vorgesehen werden darf, in der diese Altersgrenze auf 13 Jahre festgelegt ist (Artikel 8 Absatz 1).

4.6.2. Gleichzeitig wird nicht präzisiert, wie der Europäische Datenschutzbeauftragte die in Artikel 58 Absatz 1 Buchstabe b genannte „besondere Beachtung“ eigens an Kinder gerichteter Maßnahmen wahrnehmen soll, insbesondere in Bezug auf die in Artikel 36 genannten Nutzerverzeichnisse, die der Öffentlichkeit zugänglich sind.

4.7. Artikel 10

4.7.1. In Absatz 1 sollten die Parteizugehörigkeit (die nicht gleichbedeutend mit den politischen Meinungen ist) sowie das Privatleben hinzugefügt werden.

4.7.2. In Bezug auf Absatz 2 Buchstabe b muss selbst zum Zwecke der Erfüllung von Pflichten sowie der Ausübung der besonderen Rechte der betroffenen Person diese immer vorab darüber informiert werden.

4.7.3. In Bezug auf Absatz 2 Buchstabe d darf die Verarbeitung nur nach Einwilligung der betroffenen Person erfolgen.

4.7.4. Absatz 2 Buchstabe e sollte lediglich eine Ausnahme sein, wenn aus den Erklärungen der betroffenen Person eindeutig auf ihre Einwilligung zur Datenverarbeitung zu schließen ist.

4.8. Artikel 14

Da die Organe und Einrichtungen der EU nicht berechtigt sind, Gebühren für die erbrachten Leistungen zu verlangen, darf die Weigerung, einem Ersuchen Folge zu leisten, nur als letztes Mittel eingesetzt werden.

4.9. Artikel 15, 16 und 17

4.9.1. Betreffend die in Artikel 15 Absatz 2 genannten zusätzlichen Informationen sollte die Anforderung hinzugefügt werden, dass die betroffene Person über den obligatorischen oder fakultativen Charakter der Antwort des für die Datenverarbeitung Verantwortlichen sowie mögliche Folgen einer Nichtbeantwortung zu unterrichten ist.

4.9.2. In Bezug auf die Datenerhebung aus offenen Netzen muss die betroffene Person stets darüber informiert werden, sofern ihre personenbezogenen Daten in diesen Netzen ohne Sicherheitsvorkehrungen verfügbar sind und das Risiko besteht, dass sie durch unbefugte Dritte gesehen oder genutzt werden.

4.9.3. Das in Artikel 17 Absatz 1 enthaltene Recht sollte frei und ohne Einschränkungen, in angemessenen Zeiträumen, zügig oder unverzüglich und kostenlos in Anspruch genommen werden können.

4.9.4. Der EWSA schlägt vor, dass die betroffene Person auch verpflichtend eine Bestätigung erhalten sollte, ob die sie betreffenden personenbezogenen Daten verarbeitet werden.

4.9.5. Die in Artikel 17 Absatz 1 genannten Informationen sollten in intelligenter, klarer und verständlicher Form bereitgestellt werden, insbesondere in Bezug auf die Daten, die verarbeitet werden, und ihren Ursprung.

4.10. Artikel 21

Nach Auslegung des EWSA bedeutet die Bestimmung, dass Vorschriften, die identisch mit den Bestimmungen in Artikel 21 Absatz 2 und 3 der Datenschutz-Grundverordnung sind, von der vorliegenden Verordnung ausgenommen sind, dass Daten niemals zum Zwecke der Direktwerbung verwendet werden dürfen, was zu begrüßen ist. Da er jedoch nicht sicher ist, dass diese Auslegung richtig ist, sollte dies in diesem Artikel ausdrücklich präzisiert werden.

4.11. Artikel 24

4.11.1. Nach Ansicht des EWSA sollte in Absatz 2 Buchstabe c hinzugefügt werden, dass die Einwilligung der betroffenen Person erst nach ausdrücklicher Unterrichtung über die Folgen der Entscheidung, die der betroffenen Person gegenüber rechtliche Wirkungen entfaltet, erfolgen kann, da nur auf diese Weise sichergestellt werden kann, dass die Einwilligung in gebührender Kenntnis der Fakten erfolgt ist.

4.11.2. In Bezug auf Absatz 3 betont der EWSA, dass die geeigneten Maßnahmen vom Europäischen Datenschutzbeauftragten und nicht vom für die Datenverarbeitung Verantwortlichen getroffen werden sollten.

4.12. Artikel 25

4.12.1. Der EWSA befürchtet, dass der Wortlaut von Artikel 25 des Verordnungsvorschlags eine zu weite Auslegung der Bestimmungen von Artikel 23 der Datenschutz-Grundverordnung betreffend die Einschränkungen der Anwendung der Bestimmungen ist, in denen die Grundrechte der betroffenen Person verankert sind, und empfiehlt, diesen Artikel auf der Grundlage einer sorgfältigen und ggf. restriktiven Analyse der verschiedenen Aufzählungspunkte kritisch zu überarbeiten, insbesondere in Bezug auf die Beschränkung des Rechts auf Vertraulichkeit in den elektronischen Kommunikationsnetzen gemäß Artikel 7 der Charta der Grundrechte der Europäischen Union, die auch in der geltenden e-Datenschutz-Richtlinie enthalten ist und in dem einschlägigen Verordnungsvorschlag, der Gegenstand einer weiteren Stellungnahme des Ausschusses ist, beibehalten wird.

4.12.2. Der EWSA lehnt die in Artikel 25 Absatz 2 vorgesehene Möglichkeit rundweg ab, dass die Organe und Einrichtungen der Union die Anwendung der Beschränkung in Bezug auf die Rechte der betroffenen Personen beschränken können, die sich nicht aus ausdrücklichen Rechtsakten ergeben, die sie dazu ermächtigen. Dies gilt auch für Artikel 34.

4.13. Artikel 26

Es sollte präzisiert werden, dass die Verantwortlichen für die Verarbeitung der personenbezogenen Daten, Auftragsverarbeiter und andere Personen, die bei der Ausübung ihrer Pflichten Kenntnis der verarbeiteten personenbezogenen Daten erhalten, auch nach dem Ausscheiden aus dieser Funktion und für einen angemessenen Zeitraum dem Berufsgeheimnis verpflichtet sind.

4.14. Artikel 29 und 39

Obwohl die Bestimmungen in Artikel 24 Absatz 3 und Artikel 40 ff. der Datenschutz-Grundverordnung zu Recht keinen Eingang in den Verordnungsvorschlag (Verhaltensregeln) gefunden haben, was in dem Erwägungsgrund zu Artikel 26 ausdrücklich betont wird, scheint es nicht angemessen, dass in Artikel 29 Absatz 5 und Artikel 39 Absatz 7 des Verordnungsvorschlags akzeptiert wird, dass die bloße Einhaltung von Verhaltensregeln gemäß Artikel 40 der Datenschutz-Grundverordnung als ausreichende Garantie anerkannt werden kann, dass der Auftragnehmer, der kein Organ oder keine Einrichtung der Union ist, seine Pflichten erfüllt.

4.15. Artikel 31

Nach Ansicht des EWSA sollte die in Artikel 31 Absatz 5 vorgesehene reine Kann-Bestimmung, die Listen der Verarbeitung in einem zentralen, öffentlich zugänglichen Register zu führen, in eine verpflichtende Bestimmung geändert werden.

4.16. Artikel 33

Der EWSA schlägt außerdem vor, dass der Verantwortliche und der Auftragsverarbeiter die Kontrolle über die Datenträger, die Eingabe, Nutzung und Übermittlung der Daten ausüben müssen, um:

— zu verhindern, dass Unbefugte Zugang zu den Datenverarbeitungsanlagen erhalten;

— zu verhindern, dass Datenträger unbefugt gelesen, kopiert, verändert oder entfernt werden können;

— zu verhindern, dass gespeicherte personenbezogene Daten unbefugt eingegeben, gelesen, verändert oder gelöscht werden;

— zu verhindern, dass automatisierte Datenverarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung von Unbefugten genutzt werden können;

— die Überprüfung der Stellen zu gewährleisten, an die die personenbezogenen Daten übermittelt werden können;

— sicherzustellen, dass ermächtigte Personen ausschließlich Zugang zu den Daten haben, für die zuvor eine Genehmigung erteilt wurde.

4.17. Artikel 34

Der EWSA empfiehlt, diesen Artikel an die Bestimmungen des Vorschlags für die e-Datenschutz-Richtlinie anzupassen und die Organe und Einrichtungen der Union in Bezug auf die Vertraulichkeit der elektronischen Kommunikation der Prüfung durch den Europäischen Datenschutzbeauftragten zu unterziehen.

4.18. Artikel 42

Der EWSA zeigt sich besorgt, dass der Begriff „nach“ in Absatz 1 so ausgelegt werden kann, dass der Europäische Datenschutzbeauftragten erst nach Annahme des Gesetzgebungsakt konsultiert werden muss und nicht einmal mehr auch nur informell vorab konsultiert wird.

4.19. Artikel 44

Nach Meinung des EWSA dürfen im Grunde nur Beamte als Datenschutzbeauftragte benannt werden. Sollte dies ausnahmsweise nicht möglich sein, sollten die Datenschutzbeauftragten auf der Grundlage der Vorschriften für die öffentliche Auftragsvergabe für die Erbringung von Dienstleistungen ausgewählt werden und der Beurteilung durch den Europäischen Datenschutzbeauftragten unterliegen.

4.20. Artikel 45

4.20.1. Ungeachtet der vorstehenden Bemerkungen muss der Datenschutzbeauftragte, wenn er kein Beamter ist, aufgrund der Art seiner Aufgabe jederzeit seines Amtes enthoben werden können, wofür die Zustimmung des Europäischen Datenschutzbeauftragten erforderlich ist (Artikel 45 Absatz 8 des Verordnungsvorschlags).

4.20.2. Die Amtszeit sollte auf fünf Jahre mit einmaliger Wiederernennung festgelegt werden.

4.21. Artikel 56

Aufgrund jüngster, allgemein bekannter Vorkommnisse betreffend hochrangige Beamte der Organe der EU empfiehlt der EWSA festzulegen, welche Funktionen, insbesondere in Privatunternehmen, nach Ausscheiden aus dem Amt für einen angemessenen Zeitraum nicht ausgeübt werden dürfen.

4.22. Artikel 59

In einigen Sprachfassungen, insbesondere in der englischen Sprachfassung, ist der in Absatz 5 verwendete Begriff „actions“ zu eng und sollte durch den Begriff „proceedings“ ersetzt werden (in der portugiesischen und deutschen Sprachfassung ist das Konzept bereits korrekt übersetzt worden).

4.23. Artikel 63

Mit Blick auf den sensiblen Inhalt der Bestimmung des Vorschlags unterstreicht der EWSA, dass der in Absatz 3 genannte Grundsatz der stillschweigenden Ablehnung umgekehrt und der Europäische Datenschutzbeauftragte auf diese Weise verpflichtet werden sollte, schleunig auf alle Beschwerden, die bei ihm eingelegt werden, zu antworten; im Unterlassungsfall werden diese Beschwerden als berechtigt erachtet.

4.24. Artikel 65

Wie in seiner Stellungnahme zu dem ursprünglichen Vorschlag für die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) hervorgehoben, betont der EWSA, dass in dem Vorschlag neben den Bestimmungen von Artikel 67 auch die Möglichkeit vorgesehen werden muss, auf Verletzungen des Schutzes personenbezogener Daten im Rahmen einer Sammelklage zu reagieren, d. h. ohne Einzelmandat, da im Allgemeinen im Fall derartiger Verletzungen nicht nur eine Person, sondern eine oftmals unbekannte Vielzahl von Personen betroffen ist.

4.25. Der Verordnungsvorschlag enthält zahlreiche unklare und subjektive Ausdrücke und Begriffe, die überarbeitet und ersetzt werden sollten. Dies gilt beispielsweise für die Begriffe „soweit möglich“, „wenn möglich“, „wenn machbar“, „ein hohes Risiko“, „gebührend“, „innerhalb einer angemessenen Frist“, „von besonderer Bedeutung“.

Brüssel, den 31. Mai 2017 Der Präsident des Europäischen Wirtschafts- und Sozialausschusses Georges DASSIS

(1) ABl. L 8 vom 12.1.2001, S. 1.

(2) ABl. L 183 vom 12.7.2002, S. 1.

(3) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (ABl. L 119 vom 4.5.2016, S. 1).

(4) Der EWSA hat eine Stellungnahme zu diesem Vorschlag angenommen (ABl. C 51 vom 23.2.2000, S. 48).

(5) Verordnung (EU) 2016/679 vom 27.4.2016.

(6) COM(2017) 10 final und COM(2017) 9 final.

(7) COM(2017) 9 final.

(8) ABl. C 229 vom 31.7.2012, S. 90.

(9) Verordnung (EU) 2016/679.

(10) ABl. P 45 vom 14.6.1962, S. 1385/62, und darauffolgende Änderungen.

(11) Siehe beispielsweise die Stellungnahme mit Empfehlungen der belgischen Datenschutzinstitution „Commission de la Vie privée de la Belgique“ zum Schutz der Privatsphäre am Arbeitsplatz „Avis et Recommandations sur la vie privée sur le lieu de travail“ von Januar 2013.

(12) Siehe beispielsweise die Empfehlung der belgischen Datenschutzinstitution „Commission de la Vie privée de la Belgique“ für eine Initiative zu Sicherheitsmaßnahmen zum Schutz gegen Datenverlust „Recommandation d’initiative relative aux mesures de sécurité à respecter afin de prévenir les fuites de données“ (01/2013) vom 21. Januar 2013.

(13) Siehe beispielsweise die Leitlinien zu Datenschutzbeauftragten „Guidelines on Data Protection Officers“, Artikel 29 Datenschutzgruppe, WP 243 vom 13. Dezember 2016.

(14) Siehe beispielsweise das portugiesische Datenschutzgesetz (Lei n.o 67/98 vom 26. Oktober 1998).