DE Amtsblatt der Europäischen Union C 175/1

Stellungnahme des Europäischen Datenschutzbeauftragten zu den Vorschlägen der Kommission für eine Richtlinie über den Zugang zur Tätigkeit von Kreditinstituten und die Beaufsichtigung von Kreditinstituten und Wertpapierfirmen sowie für eine Verordnung über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen

(2012/C 175/01)

DER EUROPÄISCHE DATENSCHUTZBEAUFTRAGTE —

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 16,

gestützt auf die Charta der Grundrechte der Europäischen Union, insbesondere auf Artikel 7 und 8,

gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (1),

gestützt auf die Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates vom 18. Dezember 2000 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr (2), insbesondere auf Artikel 28 Absatz 2 —

HAT FOLGENDE STELLUNGNAHME ANGENOMMEN:

1. EINLEITUNG

1.1 Konsultation des Europäischen Datenschutzbeauftragten

1. Diese Stellungnahme ist eine von insgesamt vier den Finanzsektor betreffenden Stellungnahmen des Europäischen Datenschutzbeauftragten, die alle am selben Tag angenommen wurden (3).

2. Am 20. Juli 2011 beschloss die Kommission zwei Vorschläge für eine Reform der Bankvorschriften. Der erste Vorschlag betrifft einen Vorschlag für die Richtlinie über den Zugang zur Tätigkeit von Kreditinstituten und die Beaufsichtigung von Kreditinstituten und Wertpapierfirmen (die „vorgeschlagene Richtlinie“) (4). Der zweite Vorschlag betrifft eine Verordnung über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen (die „vorgeschlagene Verordnung“) (5). Diese Vorschläge wurden dem Europäischen Datenschutzbeauftragten am selben Tag zur Stellungnahme zugeschickt. Am 18. November 2011 konsultierte der Rat der Europäischen Union den Europäischen Datenschutzbeauftragten bezüglich der vorgeschlagenen Richtlinie.

3. Der Europäische Datenschutzbeauftragte wurde bereits vor Beschluss der vorgeschlagenen Verordnung informell konsultiert. Der Europäische Datenschutzbeauftragte nimmt zur Kenntnis, dass seine Anmerkungen im Vorschlag berücksichtigt wurden.

4. Der Europäische Datenschutzbeauftragte begrüßt die Tatsache, dass er durch die Kommission und den Rat konsultiert wird, und empfiehlt, einen Verweis auf diese Stellungnahme in die Präambel der beschlossenen Rechtsakte aufzunehmen.

1.2 Ziele und Anwendungsbereich der Vorschläge

5. Der Vorschlag beinhaltet zwei Rechtsvorschriften: eine Richtlinie über den Zugang zur Tätigkeit von Kreditinstituten und die Beaufsichtigung von Kreditinstituten und Wertpapierfirmen sowie eine Verordnung über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen. Die mit der vorgeschlagenen Reform verbundenen Ziele sind, kurz gesagt, das reibungslose Funktionieren des Banksektors und die Wiederherstellung des Vertrauens der Marktbeteiligten wie auch der Allgemeinheit. Die vorgeschlagenen Rechtsvorschriften werden die Richtlinie 2006/48/EG sowie die Richtlinie 2006/49/EG ersetzen, die dementsprechend aufgehoben werden.

6. Die entscheidenden neuen Elemente der vorgeschlagenen Richtlinie sind Bestimmungen über Sanktionen, wirksame Corporate Governance sowie Bestimmungen, die dem übermäßigen Vertrauen in externe Ratings entgegenwirken. Insbesondere zielt die vorgeschlagene Richtlinie darauf ab, eine wirksame, verhältnismäßige Sanktionsregelung einzuführen, mit einem angemessenem Umfang der Sanktionsmaßnahmen, öffentlicher Bekanntmachung von Sanktionen sowie Mechanismen, die dazu ermutigen, Verstöße zu melden. Darüber hinaus soll sie der Corporate Governance einen stärkeren rechtlichen Rahmen geben und dem übermäßigen Vertrauen in externe Ratings entgegenwirken (6).

7. Die vorgeschlagene Verordnung ergänzt die vorgeschlagene Richtlinie durch Aufstellung einheitlicher und direkt anwendbarer Aufsichtsanforderungen für Kreditinstitute und Wertpapierfirmen. Laut der Begründung ist es das übergeordnete Ziel dieser Initiative, die Effektivität der für Finanzinstitute geltenden Kapitalanforderungen innerhalb der EU zu stärken und deren nachteilige Wirkung auf das Finanzsystem in Grenzen zu halten (7).

1.3 Ziel der Stellungnahme des Europäischen Datenschutzbeauftragten

8. Die meisten Bestimmungen der vorgeschlagenen Rechtsvorschriften haben die von Kreditinstituten verfolgten Tätigkeiten zum Gegenstand, die Umsetzung und Anwendung des rechtlichen Rahmens kann jedoch in gewissen Fällen die Rechte natürlicher Personen bezüglich der Verarbeitung ihrer personenbezogenen Daten berühren.

9. Etliche Bestimmungen der vorgeschlagenen Richtlinie sehen den Informationsaustausch zwischen den Behörden der Mitgliedstaaten sowie, möglicherweise, auch mit Drittländern vor (8). Diese Informationen können sich auch auf natürliche Personen beziehen, etwa auf Vorstandsmitglieder von Kreditinstituten, auf Mitarbeiter und Aktionäre. Des Weiteren sieht die vorgeschlagene Richtlinie vor, dass die zuständigen Behörden Sanktionen direkt gegen natürliche Personen verhängen können und zur Veröffentlichung der verhängten Sanktionen verpflichtet sind, wozu auch die Angabe der betroffenen natürlichen Personen gehört (9). Der Vorschlag regelt die Verpflichtung der zuständigen Behörden, wirksame Mechanismen zu schaffen, um zur Meldung von Verstößen zu ermutigen (10). Darüber hinaus verpflichtet die vorgeschlagene Verordnung Kreditinstitute und Wertpapierfirmen, Angaben über ihre Vergütungspolitik zu machen, unter anderem auch Angaben über die für verschiedene Personalkategorien und Gehaltsstufen gezahlten Beträge (11). Alle diese Bestimmungen haben unter Umständen datenschutzrechtliche Auswirkungen auf die betroffenen natürlichen Personen.

10. Vor diesem Hintergrund wird sich die vorliegende Stellungnahme auf die folgenden Aspekte konzentrieren, die das Recht auf den Schutz der Privatsphäre und Datenschutz betreffen: 1. die Anwendbarkeit der Datenschutzvorschriften; 2. Datenübermittlungen in Drittländer; 3. Berufsgeheimnis und Verwendung vertraulicher Informationen; 4. die zwingende öffentliche Bekanntmachung von Sanktionen; 5. Mechanismen für die Meldung von Verstößen; 6. die Offenlegungsanforderungen bezüglich der Vergütungspolitik.

2. ANALYSE DER VORSCHLÄGE

2.1 Anwendbarkeit der Datenschutzvorschriften

11. Erwägungsgrund 74 der vorgeschlagenen Richtlinie verweist auf die volle Anwendbarkeit der Datenschutzvorschriften. Die Bezugnahme auf die einschlägigen Datenschutzvorschriften sollte jedoch in einen der materiellrechtlichen Artikel der Vorschläge aufgenommen werden. Ein gutes Beispiel für eine solche materiellrechtliche Regelung ist in Artikel 22 des Vorschlags für eine Verordnung des Europäischen Parlaments und des Rates über Insider-Geschäfte und Marktmanipulation (Marktmissbrauch) (12) zu finden, welcher ausdrücklich die grundsätzliche Anwendbarkeit der Richtlinie 95/46/EG und der Verordnung (EG) Nr. 45/2001 auf die Verarbeitung personenbezogener Daten im Rahmen der dort vorgeschlagenen Verordnung regelt.

12. Dies ist zum Beispiel von besonderer Relevanz für die verschiedenen Regelungen bezüglich des Austauschs personenbezogener Informationen. Diese Regelungen sind völlig legitim, müssen jedoch in einer Weise angewendet werden, die mit den Datenschutzvorschriften in Einklang steht. Insbesondere gilt es, die Gefahr zu vermeiden, dass sie als allgemeine Ermächtigung zum Austausch personenbezogener Daten jeglicher Art ausgelegt werden könnten. Würde auch in den materiellrechtlichen Bestimmungen auf die Datenschutzvorschriften Bezug genommen, so würde diese Gefahr erheblich verringert.

13. Der Europäische Datenschutzbeauftragte schlägt deshalb vor, in den Vorschlag der Kommission für eine Verordnung des Europäischen Parlaments und des Rates über Insider-Geschäfte und Marktmanipulation (Marktmissbrauch) (13) eine dem Artikel 22 des oben genannten Vorschlags vergleichbare materiellrechtliche Regelung aufzunehmen, unter Berücksichtigung seiner zu diesem Vorschlag gemachten Anregungen (14), d. h. unter Hervorhebung der Anwendbarkeit der bestehenden Datenschutzvorschriften und Klarstellung der Bezugnahme auf die Richtlinie 95/46/EG durch die Angabe, dass die Bestimmungen gemäß den nationalen Vorschriften angewendet werden, durch welche die Richtlinie 95/46/EG umgesetzt wurde.

2.2 Übermittlungen in Drittländer

14. Artikel 48 der vorgeschlagenen Richtlinie sieht vor, dass die Kommission dem Rat Vorschläge für die Aushandlung von Abkommen mit Drittländern unterbreiten kann, um unter anderem sicherzustellen, dass die zuständigen Behörden von Drittländern die Informationen erhalten können, die erforderlich sind, um Muttergesellschaften mit Hauptsitz in ihrem Hoheitsgebiet, die in einem oder mehreren Mitgliedstaaten eine Tochtergesellschaft haben, zu beaufsichtigen.

15. Soweit diese Informationen personenbezogene Daten beinhalten, finden die Richtlinie 95/46/EG und die Verordnung (EG) Nr. 45/2001 volle Anwendung auf die Datenübermittlung in Drittländer. Der Europäische Datenschutzbeauftragte schlägt vor, in Artikel 48 klarzustellen, dass derartige Abkommen in diesen Fällen den Voraussetzungen genügen müssen, die in Kapitel IV der Richtlinie 95/46/EG sowie in der Verordnung (EG) Nr. 45/2001 für die Übermittlung personenbezogener Daten in Drittländer niedergelegt sind. Dasselbe sollte bezüglich Artikel 56 vorgesehen werden, welcher die Zusammenarbeit im Rahmen von Kooperationsvereinbarungen regelt, die durch Mitgliedstaaten und die Europäische Bankenaufsichtsbehörde (EBA) mit Drittländern geschlossen werden.

16. Außerdem empfiehlt der Europäische Datenschutzbeauftragte im Hinblick auf die mit solchen Übermittlungen verbundenen Risiken, spezifische Schutzklauseln aufzunehmen, so wie dies in Artikel 23 des Vorschlags für eine Verordnung des Europäischen Parlaments und des Rates über Insider-Geschäfte und Marktmanipulation (Marktmissbrauch) getan wurde. In seiner Stellungnahme zu diesem Vorschlag begrüßte der Europäische Datenschutzbeauftragte die Aufnahme einer solcher Schutzklausel, die angemessene Schutzmechanismen wie etwa die Einzelfallentscheidung, die Sicherstellung der Notwendigkeit der Übermittlungen und die Existenz eines angemessenen Schutzniveaus für personenbezogenen Daten in dem Drittland, das der Empfänger der personenbezogenen Daten ist, enthält.

2.3 Berufsgeheimnis und Verwendung vertraulicher Informationen

17. Artikel 54 der vorgeschlagenen Richtlinie besagt, dass alle Mitarbeiter der zuständigen Behörden dem Berufsgeheimnis unterliegen. Der zweite Unterabsatz von Artikel 54 untersagt die Offenlegung vertraulicher Informationen, „es sei denn, in zusammengefasster oder allgemeiner Form, so dass die einzelnen Institute nicht zu erkennen sind […]“. Bei dieser Formulierung ist nicht klar, ob sich das Verbot auch auf die Offenlegung personenbezogener Informationen erstreckt.

18. Der Europäische Datenschutzbeauftragte empfiehlt, dass unter das in Artikel 54 Absatz 1 Unterabsatz 2 enthaltene Verbot der Offenlegung vertraulicher Informationen auch die Fälle gefasst werden sollten, in denen natürliche Personen identifizierbar sind (d. h. die Anwendung sollte nicht auf „die einzelnen Institute“ beschränkt sein). Mit anderen Worten: Die Bestimmung sollte so neu gefasst werden, dass die Offenlegung vertraulicher Informationen untersagt ist, „es sei denn, in zusammengefasster oder allgemeiner Form, so dass die einzelnen Institute und natürlichen Personen nicht zu erkennen sind […]“ (Hervorhebung hinzugefügt).

2.4 Bestimmungen bezüglich der öffentlichen Bekanntmachung von Sanktionen

2.4.1 Zwingende öffentliche Bekanntmachung von Sanktionen

19. Eines der Hauptziele des vorgeschlagenen Regelungspakets ist die Verstärkung und Angleichung der rechtlichen Rahmenwerke der Mitgliedstaaten hinsichtlich der Verwaltungssanktionen und -maßnahmen. Die vorgeschlagene Richtlinie regelt die Befugnis der zuständigen Behörden zur Verhängung von Sanktionen, nicht nur gegen Kreditinstitute, sondern auch gegen die für den Verstoß hauptverantwortlichen natürlichen Personen (15). Artikel 68 verpflichtet die Mitgliedstaaten, sicherzustellen, dass die zuständigen Behörden jegliche Sanktionen oder Maßnahmen, die sie wegen eines Verstoßes gegen die Bestimmungen der Verordnung oder die zur Umsetzung dieser Richtlinie erlassenen einzelstaatlichen Vorschriften verhängen, umgehend öffentlich bekannt machen und dabei auch Angaben zu Art und Charakter des Verstoßes und zu den verantwortlichen Personen machen.

20. Die Bekanntmachung von Sanktionen würde zur verstärkten Abschreckung beitragen, da sowohl tatsächlich als auch potenziell Zuwiderhandelnde vor Verstößen zurückscheuen würden, um einen erheblichen Rufschaden zu vermeiden. Sie würde auch zu mehr Transparenz führen, da den Marktbeteiligten die Identität der zuwiderhandelnden Person bekannt würde (16). Diese Verpflichtung ist nur dann eingeschränkt, wenn eine solche Bekanntmachung den Beteiligten einen unverhältnismäßig großen Schaden zufügen würde, in welchem Falle die zuständigen Behörden die Sanktionen auf anonymer Basis bekannt geben.

21. Der Europäische Datenschutzbeauftragte ist nicht davon überzeugt, dass die zwingende öffentliche Bekanntmachung von Sanktionen, so wie sie derzeit geregelt ist, den datenschutzrechtlichen Anforderungen, so wie der Gerichtshof diese in seinem Urteil in der Rechtssache Schecke klargestellt hat, genügen würde (17). Er ist der Ansicht, dass Zweck, Notwendigkeit und Verhältnismäßigkeit der Maßnahmen nicht hinreichend dargelegt wurden; auf jeden Fall hätte angemessener Schutz für die Rechte natürlicher Personen vorgesehen werden müssen.

2.4.2 Notwendigkeit und Verhältnismäßigkeit der Bekanntmachung

22. In seiner Entscheidung in der Rechtssache Schecke hat der Gerichtshof die Bestimmungen einer Verordnung des Rates und einer Verordnung der Kommission, welche die zwingende Veröffentlichung von Informationen über die Empfänger von Mitteln aus Landwirtschaftsfonds einschließlich der Angabe der Identität der Empfänger und der ihnen gewährten Beträge vorsahen, für ungültig erklärt. Der Gerichtshof entschied, dass diese Veröffentlichung eine Verarbeitung personenbezogener Daten im Sinne von Artikel 8 Absatz 2 der Europäischen Charta der Grundrechte (die „Charta“) darstelle und daher die durch Artikel 7 und Artikel 8 der Charta anerkannten Rechte berühre.

23. Im Anschluss an die Feststellung, dass „sich die Ausnahmen und Einschränkungen in in Bezug auf den Schutz der personenbezogenen Daten auf das absolut Notwendige beschränken müssen“, untersucht der Gerichtshof den Zweck der Veröffentlichung und deren Verhältnismäßigkeit. Er kommt zu dem Schluss, dass es in dieser Rechtssache keinen Anhaltspunkt dafür gab, dass Rat und Kommission Methoden der Informationsveröffentlichung in Betracht gezogen hatten, die mit dem Ziel der Veröffentlichung in Einklang stehen und gleichzeitig die Rechte der Betroffenen weniger beeinträchtigen.

24. Artikel 68 der vorgeschlagenen Richtlinie scheint an den gleichen Versäumnissen zu kranken, die vom Gerichtshof in der Schecke-Entscheidung hervorgehoben wurden. Dabei ist zu bedenken, dass es für die Beurteilung, ob Bestimmungen, die die öffentliche Bekanntmachung personenbezogener Informationen vorsehen, die datenschutzrechtlichen Anforderungen erfüllen, von entscheidender Bedeutung ist, den Zweck, dem die beabsichtigte Veröffentlichung dient, klar und genau zu definieren. Nur wenn der Zweck klar und genau definiert ist, lässt sich feststellen, ob die vorgesehene Veröffentlichung der personenbezogenen Daten tatsächlich erforderlich und verhältnismäßig ist (18).

25. Nach der Lektüre des Vorschlags und der dazugehörigen Dokumente (d. h. der Folgenabschätzung) hat der Europäische Datenschutzbeauftragte den Eindruck, dass der Zweck (und damit auch die Erforderlichkeit) dieser Maßnahmen nicht klar angegeben ist. Die Erwägungsgründe des Vorschlags schweigen zu diesem Thema, während es in der Folgenabschätzung lediglich heißt, die Veröffentlichung der Sanktionen sei ein wichtiges Element, weil sie abschreckende Wirkung auf die Adressaten habe und erforderlich sei, um sicherzustellen, dass die Sanktionen abschreckende Wirkung auf die Allgemeinheit haben. Die Folgenabschätzung geht nicht darauf ein, ob es möglicherweise weniger belastende Methoden gegeben hätte, die dieselbe abschreckende Wirkung gehabt hätten, ohne das Recht der betroffenen natürlichen Personen auf den Schutz ihrer Privatsphäre zu verletzen. Insbesondere wird nicht erklärt, warum Geldbußen oder Sanktionen anderer Art, die die Privatsphäre unberührt lassen, nicht ausreichen würden.

26. Des Weiteren scheint die Folgenabschätzung weniger belastende Arten der Informationsveröffentlichung nicht ausreichend in Betracht zu ziehen, etwa die Beschränkung der Bekanntmachung der Identität auf Kreditinstitute oder sogar die Prüfung der Erforderlichkeit der Bekanntmachung auf Einzelfallbasis. Insbesondere die letztere Option scheint prima facie eine Lösung, bei der die Verhältnismäßigkeit eher gewährleistet ist, vor allem, wenn man bedenkt, dass die Bekanntmachung selbst eine Sanktion gemäß Artikel 67 Absatz 2 Buchstabe a darstellt und Artikel 69 vorsieht, dass die zuständigen Behörden bei der Bestimmung der Art der Verwaltungssanktionen allen maßgeblichen Umständen Rechnung tragen (d. h. eine Einzelfallprüfung vornehmen); zu berücksichtigen sind dabei etwa die Schwere des Verstoßes, der Grad der persönlichen Verantwortung, die Rückfallquote, Schäden Dritter etc. Die sich aus Artikel 68 ergebende Verpflichtung zur Bekanntmachung sämtlicher Sanktionen steht mit der in den Artikeln 67 und 69 niedergelegten Sanktionsregelung nicht in Einklang.

27. Die Folgenabschätzung verwendet nur wenige Absätze auf die Erklärung, warum die Veröffentlichung auf Einzelfallbasis nicht ausreicht. Es heißt dort, wenn man die Entscheidung, ob die Bekanntmachung angemessen ist, den zuständigen Behörden überließe, wäre die Abschreckungswirkung der Bekanntmachung geringer (19). Nach Ansicht des Europäischen Datenschutzbeauftragten ist die Verhältnismäßigkeit bei dieser Lösung gerade wegen dieses Aspekts — das heißt wegen der Möglichkeit, die konkreten Umstände des Einzelfalls zu berücksichtigen — besser gewährleistet und deshalb der zwingenden Bekanntmachung sämtlicher Fälle vorzuziehen. Räumt man der zuständigen Behörde dieses Ermessen ein, so hätte diese zum Beispiel die Möglichkeit, die Bekanntmachung im Falle weniger schwerer Verstöße zu vermeiden, vorausgesetzt, der Verstoß hat keinen schweren Schaden verursacht, die Partei hat sich kooperativ gezeigt etc.

2.4.3 Erforderlichkeit angemessener Schutzklauseln

28. Die vorgeschlagene Richtlinie hätte angemessene Schutzklauseln vorsehen sollen, um einen gerechten Ausgleich zwischen den verschiedenen betroffenen Interessen herzustellen. Erstens sind bezüglich des Rechts beschuldigter Personen, gegen Entscheidungen gerichtlich vorzugehen, sowie bezüglich der Unschuldsvermutung Schutzklauseln erforderlich. Der Wortlaut des Artikels 68 sollte diesbezüglich eine ausdrückliche Regelung enthalten, welche die zuständigen Behörden zum Ergreifen angemessener Maßnahmen verpflichtet, sowohl für den Fall, dass eine Entscheidung noch mit dem Rechtsmittel angegriffen werden kann, als auch für den Fall, dass eine Entscheidung letztendlich gerichtlich aufgehoben wird (20).

29. Zweitens sollte die vorgeschlagene Richtlinie sicherstellen, dass die Rechte der betroffenen Personen auf proaktive Weise gewahrt werden. Der Europäische Datenschutzbeauftragte begrüßt die Tatsache, dass die endgültige Fassung des Vorschlags die Möglichkeit vorsieht, die Veröffentlichung in den Fällen auszuschließen, in denen die Bekanntmachung einen unverhältnismäßig großen Schaden zufügen würde. Ein proaktiver Ansatz sollte jedoch implizieren, dass die betroffenen Personen vorab davon in Kenntnis gesetzt werden, dass die Entscheidung, durch die eine Sanktion gegen sie verhängt wird, veröffentlicht wird, und dass ihnen gemäß Artikel 14 der Richtlinie 95/46/EG das Recht gewährt wird, aus überzeugenden legitimen Gründen Widerspruch einzulegen (21).

30. Drittens: Die vorgeschlagene Richtlinie enthält keine genauen Angaben zu dem Medium, in dem die Informationen bekannt gemacht werden sollen; man kann sich jedoch vorstellen, dass in der Praxis die meisten Mitgliedstaaten die Veröffentlichung im Internet vornehmen werden. Die Veröffentlichung im Internet wirft besondere Probleme und Risiken auf, insbesondere besteht das Erfordernis, sicherzustellen, dass die Informationen nicht länger als erforderlich online verfügbar sind und die Daten weder manipuliert noch geändert werden können. Der Einsatz externer Suchmaschinen bringt die Gefahr mit sich, dass Informationen aus dem Kontext herausgelöst und durch das Internet oder außerhalb desselben in einer Weise verwendet werden könnten, die sich nicht leicht kontrollieren lässt (22).

31. Im Lichte dessen ist es erforderlich, die Mitgliedstaaten zu verpflichten, sicherzustellen, dass die personenbezogenen Daten der betroffenen Personen nur für einen angemessenen Zeitraum online verfügbar sind und danach systematisch vernichtet werden (23). Darüber hinaus sollten die Mitgliedstaaten gehalten sein, sicherzustellen, dass angemessene Sicherheitsvorkehrungen und Schutzmaßnahmen getroffen werden, insbesondere zum Schutz vor den mit der Benutzung externer Suchmaschinen verbundenen Risiken (24).

2.4.4 Schlussfolgerungen bezüglich der Bekanntmachung

32. Der Europäische Datenschutzbeauftragte ist der Auffassung, dass die Regelung der zwingenden Bekanntmachung von Sanktionen — in ihrer derzeitigen Fassung — mit dem Grundrecht auf Schutz der Privatsphäre und Datenschutz nicht vereinbar ist. Der Gesetzgeber sollte deshalb sorgfältig prüfen, ob das vorgeschlagene System erforderlich ist, sowie des Weiteren überprüfen, ob die Bekanntmachungspflicht über das zur Erreichung des verfolgten öffentlichen Ziels erforderliche Maß hinausgeht und ob sich dasselbe Ziel durch weniger belastende Maßnahmen erreichen ließe. Vorbehaltlich des Ergebnisses dieser Verhältnismäßigkeitsprüfung sollte die Bekanntmachungspflicht auf jeden Fall durch angemessene Schutzklauseln ergänzt werden, um die Wahrung der Unschuldsvermutung, des Widerspruchsrechts der betroffenen Personen, der Sicherheit/Richtigkeit der Daten sowie deren Löschung nach Ablauf einer angemessenen Frist sicherzustellen.

2.5 Meldung von Verstößen

33. Artikel 70 der vorgeschlagenen Richtlinie hat die Mechanismen zur Meldung von Verstößen („Whistleblowing-Systeme“) zum Gegenstand. Diese Systeme können durchaus als wirksames Compliance-Tool fungieren, werfen jedoch hinsichtlich des Datenschutzes erhebliche Probleme auf (25). Der Europäische Datenschutzbeauftragte begrüßt die Tatsache, dass der Vorschlag sowohl spezifische, auf einzelstaatlicher Ebene weiterzuentwickelnde Schutzklauseln für den Schutz von Personen vorsieht, die vermutete Verstöße melden, als auch allgemeine Klauseln zum Schutz personenbezogener Daten. Der Europäische Datenschutzbeauftragte ist sich bewusst, dass die vorgeschlagene Richtlinie lediglich die Hauptelemente des von den Mitgliedstaaten umzusetzenden Systems regelt. Dennoch möchte er auf die folgenden zusätzlichen Punkte aufmerksam machen.

34. Der Europäische Datenschutzbeauftragte hebt, wie schon in anderen Stellungnahmen (26), hervor, dass ausdrücklich geregelt sein sollte, dass die Geheimhaltung der Identität von Hinweisgebern (Whistleblowern) und Informanten zu respektieren ist. Der Europäische Datenschutzbeauftragte betont, dass Hinweisgeber sich in einer schwierigen Position befinden. Personen, die derartige Informationen melden, sollte die Garantie gegeben werden, dass ihre Identität und die Verarbeitung ihrer Daten der Geheimhaltung unterliegen, insbesondere gegenüber der Person, deren angeblicher Verstoß gemeldet wird (27). Die Geheimhaltung der Identität von Hinweisgebern sollte, sofern dies nicht gegen die einzelstaatliche gerichtliche Verfahrensordnung verstößt, in allen Verfahrensphasen gewährleistet sein. Insbesondere kann es vorkommen, dass die Identität im Zusammenhang mit weiteren Ermittlungen oder anschließenden Gerichtsverfahren offengelegt werden muss, die infolge der Nachforschungen eingeleitet werden (unter anderem, falls festgestellt wurde, dass böswillig Falschangaben über die betreffende Person gemacht wurden) (28). Vor diesem Hintergrund empfiehlt der Europäische Datenschutzbeauftragte, in Artikel 70 Buchstabe b die folgende Bestimmung aufzunehmen: „die Identität dieser Personen sollte in allen Verfahrensphasen gewährleistet sein, es sei denn, die Offenlegung ist nach einzelstaatlichem Recht im Zusammenhang mit weiteren Ermittlungen oder anschließenden Gerichtsverfahren erforderlich“.

35. Der Europäische Datenschutzbeauftragte weist des Weiteren darauf hin, dass es wichtig ist, angemessene Regelungen zum Schutz der Zugangsrechte Beschuldigter vorzusehen, da diese in engem Zusammenhang zum Recht auf Verteidigung stehen (29). Die in Artikel 70 Absatz 2 Buchstabe a erwähnten Verfahren für den Empfang der Meldungen über Verstöße und deren Follow-up sollten sicherstellen, dass das Recht des Beschuldigten auf Verteidigung — etwa das Recht auf Information, Recht auf Akteneinsicht in die Ermittlungsakte und die Unschuldsvermutung — angemessen gewahrt und nur im erforderlichen Umfang eingeschränkt wird (30). Der Europäische Datenschutzbeauftragte schlägt diesbezüglich vor, in die vorgeschlagene Richtlinie zusätzlich die Regelung in Artikel 29 Buchstabe d des Vorschlags der Kommission für eine Verordnung des Europäischen Parlaments und des Rates über Insider-Geschäfte und Marktmanipulation (Marktmissbrauch) aufzunehmen, welche die Mitgliedstaaten verpflichtet, Folgendes vorzusehen: „angemessene Verfahren zur Gewährleistung des Rechts der Person, auf die sich die Meldung bezieht, auf Verteidigung und Anhörung vor dem Erlass einer Entscheidung in Bezug auf diese Person und des Rechts, einen wirksamen gerichtlichen Rechtsbehelf gegen die diese Person betreffenden Entscheidungen und Maßnahmen einzulegen“.

36. Was Absatz 2 Buchstabe c angeht, so ist der Europäische Datenschutzbeauftragte erfreut zu sehen, dass diese Bestimmung die Mitgliedstaaten dazu anhält, den Schutz der personenbezogenen Daten sowohl des Beschuldigten als auch des Hinweisgebers sicherzustellen, was den in der Richtlinie 95/46/EG niedergelegten Grundsätzen entspricht. Er schlägt jedoch vor, die Formulierung „gemäß den Grundsätzen der Richtlinie“ zu streichen, um die Bezugnahme auf die Richtlinie umfassender und verbindlicher zu machen. Hinsichtlich des Erfordernisses, bei der praktischen Umsetzung der Systeme das Datenschutzrecht einzuhalten, möchte der Europäische Datenschutzbeauftragte gerne insbesondere die Empfehlungen hervorheben, die von der Artikel 29-Datenschutzgruppe in ihrer Whistleblowing-Stellungnahme von 2006 gegeben wurden. Unter anderem sollten die betroffenen Stellen bei der Umsetzung einzelstaatlicher Systeme den Verhältnismäßigkeitsgrundsatz berücksichtigen, zum Beispiel dadurch, dass sie die Kategorien von Personen, die meldeberechtigt sind, die Kategorien von Personen, die beschuldigt werden können, sowie die Verstöße, derer diese beschuldigt werden dürfen, möglichst weit einschränken; durch das Erfordernis, Meldungen namentlich bekannter Hinweisgeber, deren Identität geheim gehalten wird, gegenüber anonymen Meldungen zu fördern; durch das Erfordernis, für den Fall der böswilligen Beschuldigung die Offenlegung der Identität des Hinweisgebers vorzusehen; sowie durch das Erfordernis, die Fristen für die Datenaufbewahrung streng einzuhalten.

3. SCHLUSSFOLGERUNGEN

37. Der Europäische Datenschutzbeauftragte gibt die folgenden Empfehlungen: — In die Vorschläge sollte eine materiellrechtliche Bestimmung mit dem folgenden Wortlaut aufgenommen werden: „Hinsichtlich der Verarbeitung personenbezogener Daten, die von Mitgliedstaaten im Rahmen dieser Verordnung erfolgt, wenden die zuständigen Behörden die Bestimmungen der einzelstaatlichen Regelungen an, durch welche die Richtlinie 95/46/EG umgesetzt wurde. Hinsichtlich der Verarbeitung personenbezogener Daten, die im Rahmen dieser Verordnung durch die Europäische Bankenaufsichtsbehörde erfolgt, wendet die Europäische Bankenaufsichtsbehörde die Bestimmungen der Verordnung (EG) Nr. 45/2001 an.“ — Artikel 54 Absatz 1 Unterabsatz 2 sollte so geändert werden, dass er die Offenlegung vertraulicher Informationen nur in zusammengefasster oder allgemeiner Form gestattet, „so dass die einzelnen Institute und natürlichen Personen nicht zu erkennen sind“ (Hervorhebung hinzugefügt). — In Artikeln 48 und 56 sollte klargestellt werden, dass mit Drittländern oder Behörden von Drittländern geschlossene Abkommen über die Übermittlung personenbezogener Daten den in Kapitel IV der Richtlinie 95/46/EG und in der Verordnung (EG) Nr. 45/2001 niedergelegten Bedingungen für die Übermittlung personenbezogener Daten in Drittländer genügen müssen; eine dem Artikel 23 des Vorschlags für eine Verordnung über Insider-Geschäfte und Marktmanipulation (Marktmissbrauch) vergleichbare Bestimmung sollte in die vorgeschlagene Richtlinie aufgenommen werden (31). — Im Lichte der in der vorliegenden Stellungnahme geäußerten Zweifel sollte die Erforderlichkeit und Verhältnismäßigkeit des vorgeschlagenen Systems der zwingenden Bekanntmachung von Sanktionen beurteilt werden. Vorbehaltlich des Ergebnisses dieser Prüfung der Erforderlichkeit und Verhältnismäßigkeit sollten auf jeden Fall angemessene Schutzklauseln aufgenommen werden, um die Wahrung der Rechte der betroffenen Personen auf Widerspruch, Sicherheit/Richtigkeit der Daten sowie Datenlöschung nach Ablauf einer angemessenen Frist sicherzustellen. — In Artikel 70 sind folgende Änderungen vorzunehmen: 1. in Buchstabe b ist eine zusätzliche Bestimmung aufzunehmen, die Folgendes besagt: „die Identität dieser Personen sollte in allen Verfahrensphasen gewährleistet sein, es sei denn, die Offenlegung ist nach einzelstaatlichem Recht im Zusammenhang mit weiteren Ermittlungen oder anschließenden Gerichtsverfahren erforderlich“; 2. es ist ein Buchstabe d hinzuzufügen, welcher die Mitgliedstaaten verpflichtet, Folgendes vorzusehen: „angemessene Verfahren zur Gewährleistung des Rechts der Person, auf die sich die Meldung bezieht, auf Verteidigung und Anhörung vor dem Erlass einer Entscheidung in Bezug auf diese Person und des Rechts, einen wirksamen gerichtlichen Rechtsbehelf gegen die diese Person betreffenden Entscheidungen und Maßnahmen einzulegen“; 3. in Buchstabe c der Bestimmung sind die Worte „gemäß den Grundsätzen“ zu streichen.

Brüssel, den 10. Februar 2012 Giovanni BUTTARELLI Stellvertretender Europäischer Datenschutzbeauftragter

(1) ABl. L 281 vom 23.11.1995, S. 31.

(2) ABl. L 8 vom 12.1.2001, S. 1.

(3) Stellungnahmen des Europäischen Datenschutzbeauftragten vom 10. Februar 2012 zum Gesetzgebungspaket zur Reform der Bankrechtsvorschriften, der Verordnung über Ratingagenturen, der Richtlinie und Verordnung über Märkte für Finanzinstrumente sowie der Richtlinie und Verordnung über Insiderhandel und Marktmanipulation.

(4) KOM(2011) 453.

(5) KOM(2011) 452.

(6) Begründung zur vorgeschlagenen Richtlinie, S. 2

(7) Begründung zur vorgeschlagenen Verordnung, S. 2

(8) Siehe insbesondere Artikel 24, 48 und 51 der vorgeschlagenen Richtlinie.

(9) Artikel 65 Absatz 2 und Artikel 68 der vorgeschlagenen Richtlinie.

(10) Artikel 70 der vorgeschlagenen Richtlinie.

(11) Artikel 435 der vorgeschlagenen Verordnung.

(12) Vorschlag der Kommission für eine Verordnung des Europäischen Parlaments und des Rates über Insider-Geschäfte und Marktmanipulation (Marktmissbrauch), KOM(2011) 651.

(13) Vgl. Fußnote 12.

(14) Vgl. Stellungnahme vom 10. Februar 2012 zum Vorschlag der Kommission für eine Verordnung des Europäischen Parlaments und des Rates über Insider-Geschäfte und Marktmanipulation (Marktmissbrauch) sowie zum Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates über strafrechtliche Sanktionen für Insider-Geschäfte und Marktmanipulation KOM(2011) 651 und KOM(2011) 654.

(15) Der persönliche Anwendungsbereich der Sanktionen wird in Artikel 65 der vorgeschlagenen Richtlinie klargestellt, welcher besagt, dass die Mitgliedstaaten sicherstellen müssen, dass in Fällen, in denen Institute, Finanzholdinggesellschaften, gemischte Finanzholdinggesellschaften oder gemischte Unternehmen gegen ihre Pflichten verstoßen, Sanktionen gegen die Mitglieder des Leitungsorgans und jede andere natürliche Person, die nach innerstaatlichem Recht für den Verstoß verantwortlich ist, verhängt werden können.

(16) Vgl. die Folgenabschätzung, S. 42 ff.

(17) Verbundene Entscheidungen C-92/09 und C-93/09, Schecke, Randnummern 56-64.

(18) Vgl. diesbezüglich auch die Stellungnahme des Europäischen Datenschutzbeauftragten vom 15. April 2011 zum Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über die Haushaltsordnung für den Jahreshaushaltsplan der Europäischen Union (ABl. C 215 vom 21.7.2011, S. 13).

(19) Vgl. S. 44-45.

(20) So könnten die nationalen Behörden zum Beispiel die folgenden Maßnahmen in Erwägung ziehen: mit der Bekanntmachung so lange zu warten, bis das Rechtsmittel zurückgewiesen ist, oder, wie in der Folgenabschätzung vorgeschlagen, klar anzugeben, dass die Entscheidung noch rechtsmittelfähig ist und zugunsten der betroffenen Person bis zum Eintritt der Rechtskraft die Unschuldsvermutung gilt, und in den Fällen, in denen die Entscheidung gerichtlich aufgehoben wird, eine Berichtigung zu veröffentlichen.

(21) Vgl. Stellungnahme des Europäischen Datenschutzbeauftragten vom 10. April 2007 über die Finanzierung der Gemeinsamen Agrarpolitik (ABl. C 134 vom 16.6.2007, S. 1).

(22) Vgl. diesbezüglich das vom italienischen Datenschutzbeauftragten veröffentlichte Dokument: „DPA Personal Data As Also Contained in Records and Documents by Public Administrative Bodies: Guidelines for Their Processing by Public Bodies in Connection with Web-Based Communication and Dissemination“, das auf der Website des italienischen Datenschutzbeauftragten unter http://www.garanteprivacy.it/garante/doc.jsp?ID=1803707 zu finden ist.

(23) Diese Bedenken sind auch im Zusammenhang mit dem allgemeinen Recht, vergessen zu werden, zu sehen, dessen Aufnahme in die neue rechtliche Regelung des Schutzes personenbezogener Daten zurzeit diskutiert wird.

(24) Diese Vorkehrungen und Schutzmaßnahmen können zum Beispiel darin bestehen, dass die Datenindexierung durch externe Suchmaschinen ausgeschlossen wird.

(25) Die Artikel 29-Datenschutzgruppe hat 2006 eine Stellungnahme zu derartigen Systemen veröffentlicht, die sich mit den datenschutzrechtlichen Aspekten dieses Phänomens befasst: Stellungnahme 1/2006 zur Anwendung der EU-Datenschutzvorschriften auf interne Verfahren zur Meldung mutmaßlicher Missstände in den Bereichen Rechnungslegung, interne Rechnungslegungskontrollen, Fragen der Wirtschaftsprüfung, Bekämpfung von Korruption, Banken- und Finanzkriminalität (Whistleblowing-Stellungnahme der Artikel-29-Datenschutzgruppe). Die Stellungnahme ist auf der Webseite der Artikel-29-Datenschutzgruppe unter http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2006/wp117_de.pdf zu finden.

(26) Vgl. z. B. Stellungnahme des Europäischen Datenschutzbeauftragten vom 15. April 2011 zum Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über die Haushaltsordnung für den Jahreshaushaltsplan der Europäischen Union (ABl. C 215 vom 21.7.2011, S. 13) und Stellungnahme des Europäischen Datenschutzbeauftragten zum Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnung (EG) Nr. 1073/1999 über die Untersuchungen des Europäischen Amtes für Betrugsbekämpfung (OLAF) und zur Aufhebung der Verordnung (Euratom) Nr. 1074/1999 (ABl. C 279 vom 23.9.2011, S. 11).

(27) Die Bedeutung der Geheimhaltung der Identität des Whistleblowers wurde vom Europäischen Datenschutzbeauftragten bereits in seinem Schreiben vom 30. Juli 2010 an den Europäischen Bürgerbeauftragten in der Sache 2010-0458 hervorgehoben, welches auf der Website des Europäischen Datenschutzbeauftragten zu finden ist (http://www.edps.europa.eu). Vgl. auch die Stellungnahme des Europäischen Datenschutzbeauftragten zu einer Vorabkontrolle vom 23. Juni 2006 zu internen Ermittlungen von OLAF (Sache 2005-0418) sowie vom 4. Oktober 2007 über externe Ermittlungen von OLAF (Sachen 2007-47, 2007-48, 2007-49, 2007-50, 2007-72).

(28) Vgl. die Stellungnahme des Europäischen Datenschutzbeauftragten vom 15. April 2011 zum Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über die Haushaltsordnung für den Jahreshaushaltsplan der Europäischen Union, zu finden unter http://www.edps.europa.eu

(29) Vgl. diesbezüglich die vom Europäischen Datenschutzbeauftragten erstellten Leitlinien zur Verarbeitung personenbezogener Daten durch europäische Organe und Einrichtungen im Rahmen von Verwaltungsuntersuchungen und Disziplinarverfahren, in denen auf den engen Zusammenhang zwischen dem Zugangsrecht der betroffenen Personen und dem Recht der Beschuldigten auf Verteidigung hingewiesen wird (siehe S. 8 und 9) http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Supervision/Guidelines/10-04-23_Guidelines_inquiries_DE.pdf

(30) Vgl. Stellungnahme der Artikel 29-Datenschutzgruppe über Whistleblowing, S. 13-14.

(31) Vgl. Fußnote 12.