DE Amtsblatt der Europäischen Union C 280/16

Stellungnahme des Europäischen Datenschutzbeauftragten zum Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates über Elektro- und Elektronik-Altgeräte (WEEE-Richtlinie)

2010/C 280/02

DER EUROPÄISCHE DATENSCHUTZBEAUFTRAGTE —

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 16,

gestützt auf die Charta der Grundrechte der Europäischen Union, insbesondere auf Artikel 8,

gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, insbesondere auf Artikel 17,

gestützt auf die Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates vom 18. Dezember 2000 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr, insbesondere auf Artikel 41 —

HAT FOLGENDE STELLUNGNAHME ANGENOMMEN:

I. EINLEITUNG

1. Am 3. Dezember 2008 hat die Europäische Kommission einen Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates über Elektro- und Elektronik-Altgeräte (im Folgenden „der Vorschlag“) (1) angenommen. Der Vorschlag zielt auf die Neufassung der am 27. Januar 2003 angenommenen Richtlinie 2002/96/EG über Elektro- und Elektronik-Altgeräte (im Folgenden „die Richtlinie“) (2), ohne die Triebkräfte oder die Gründe für die Sammlung und das Recycling von Elektro- und Elektronik-Altgeräten zu ändern.

2. Der EDSB wurde nicht entsprechend der Bestimmung von Artikel 28 Absatz 2 der Verordnung (EG) Nr. 45/2001 (3) konsultiert. Der EDSB hat daher aus eigener Initiative die vorliegende Stellungnahme gestützt auf Artikel 41 Absatz 2 der genannten Verordnung angenommen. Der EDSB empfiehlt, in die Präambel des Vorschlags einen Hinweis auf diese Stellungnahme aufzunehmen.

3. Der EDSB ist sich bewusst, dass diese Empfehlung erst zu einem späten Zeitpunkt im Legislativverfahren erteilt wird, doch hält er die Veröffentlichung der vorliegenden Stellungnahme nichtsdestotrotz für angemessen und nützlich, da im Vorschlag wichtige Fragen des Datenschutzes behandelt werden, auf die im Text nicht eingegangen wird. Anliegen der vorliegenden Stellungnahme ist es nicht, die wesentliche und überwiegende Zielsetzung und den Inhalt des Vorschlags zu ändern, dessen „Schwerpunkt“ (4) nach wie vor im Bereich des Umweltschutzes liegt, sondern lediglich auf eine zusätzliche Dimension hinzuweisen, die in unserer Informationsgesellschaft immer mehr an Bedeutung gewinnt (5).

4. Der EDSB, der sich ebenfalls der begrenzten Tragweite des Neufassungsverfahrens bewusst ist, fordert dennoch den Gesetzgeber nachdrücklich auf, diesen Empfehlungen im Einklang mit Artikel 8 der Interinstitutionellen Vereinbarung über das Neufassungsverfahren Rechnung zu tragen (in dem die Möglichkeit vorgesehen ist, unveränderte Bestimmungen neu zu fassen) (6).

II. KONTEXT UND HINTERGRUND DES VORSCHLAGS UND DESSEN BEDEUTUNG FÜR DEN DATENSCHUTZ

5. Ziel des Vorschlags ist die Aktualisierung der vorhandenen Richtlinie betreffend die Entsorgung, Wiederverwendung und das Recycling von Elektro- und Elektronik-Altgeräten. Technische, juristische und verwaltungsrechtliche Probleme in den ersten Jahren der Umsetzung der Richtlinie haben zu dem Vorschlag geführt, wie in Artikel 17 Absatz 5 der Richtlinie vorgesehen.

6. Elektro- und Elektronik-Geräte gehören zu einer großen Produktgruppe, die eine Reihe von zur Speicherung personenbezogener Daten geeigneten Kommunikationsmedien wie IT- und Telekommunikationsgeräte (z. B. PCs, Laptops, elektronische Kommunikationsendgeräte) umfasst, die im gegenwärtigen technologisch-wirtschaftlichen Umfeld durch immer schnellere Innovationszyklen und aufgrund der technologischen Konvergenz durch die Verfügbarkeit von Mehrzweckgeräten gekennzeichnet sind. Die Entwicklungen im Bereich der elektronischen Speichermedien schreiten immer schneller voran, insbesondere im Hinblick auf Speicherkapazität und -größe; daher verursachen die Marktkräfte einen ähnlich rasch wachsenden Geschäftsumsatz bei den Elektro- und Elektronik-Geräten (die große Mengen an häufig sensiblen, personenbezogenen Daten enthalten). Im Ergebnis führt dies nicht nur dazu, dass die Elektro- und Elektronik-Altgeräte „der Abfallstrom in der EU (sind), der am schnellsten steigt“ (7), sondern auch dass im Fall einer unangemessenen Entsorgung ein offensichtlich erhöhtes Risiko des Verlustes und der Verbreitung der in diesem Typ von Elektro- und Elektronik-Geräten enthaltenen personenbezogenen Daten besteht.

7. Für lange Zeit zielten die Maßnahmen der Europäischen Union im Bereich des Umweltschutzes und der nachhaltigen Entwicklung darauf ab, die Abfälle von natürlichen Ressourcen zu reduzieren und Maßnahmen zur Verhinderung der Umweltverschmutzung einzuführen.

8. Die Entsorgung, Wiederverwendung und das Recycling von Elektro- und Elektronik-Altgeräten wurden in diesen Rechtsrahmen mit eingeschlossen. Mit diesen Maßnahmen soll verhindert werden, dass Elektro- und Elektronik-Geräte zusammen mit gemischten Abfällen entsorgt werden, wobei die Hersteller verpflichtet werden sollen, Vorkehrungen für die Abfallentsorgung in der in der Richtlinie beschriebenen Weise zu treffen.

9. Von den verschiedenen, in der Richtlinie vorgesehenen Maßnahmen sind insbesondere solche hervorzuheben, die für die Wiederverwendung (d. h. Maßnahmen, bei denen die Elektro- und Elektronik-Altgeräte oder deren Bauteile zu dem gleichen Zweck verwendet werden, für den sie entworfen wurden, einschließlich der weiteren Nutzung von Geräten oder ihren Bauteilen, die zu Rücknahmestellen, Vertreibern, Recyclingbetrieben oder Herstellern gebracht werden) und für das Recycling (d. h. die in einem Produktionsprozess erfolgende Wiederaufarbeitung der Abfallmaterialien für den ursprünglichen Zweck oder für andere Zwecke) bestimmt sind und die andere Formen der Verwertung von Elektro- und Elektronik-Altgeräten finden, um die zu beseitigende Abfallmenge zu reduzieren (siehe Artikel 1 und Artikel 3 Buchstaben d und e der Richtlinie).

10. Diese Maßnahmen, insbesondere die Wiederverwendung und das Recycling von Elektro- und Elektronik-Altgeräten, vor allem von IT- und Telekommunikationsgeräten, können ein größeres Risiko als früher bergen, dass diejenigen, die die Elektro- und Elektronik-Altgeräte einsammeln oder die genutzten oder recycelten Geräte verkaufen und erwerben, Kenntnis von den darin gespeicherten personenbezogenen Daten erhalten können. Dabei kann es sich in vielen Fällen um sensible Daten handeln oder um solche, die sich auf eine große Anzahl natürlicher Personen beziehen.

11. Aus all diesen Gründen erachtet es der EDSB für alle Beteiligten (Nutzer und Hersteller von Elektro- und Elektronikgeräten) als vordringlich, über die Risiken betreffend die personenbezogenen Daten aufgeklärt zu werden, vor allem in der Endphase des Lebenskreislaufes von Elektro- und Elektronik-Geräten. Obwohl diese Geräte in diesem Stadium wirtschaftlich weniger wertvoll sind, werden sie wahrscheinlich eine große Menge an personenbezogenen Daten enthalten und daher einen hohen „immanenten“ Wert für die betroffenen Personen und/oder andere haben.

III. ANALYSE DES VORSCHLAGS

III.1. Anwendbarkeit der Richtlinie 95/46/EG

12. Der EDSB hat keine Bemerkungen zur allgemeinen Zielsetzung des Vorschlags abzugeben und unterstützt vollumfänglich die ergriffene Initiative, mit der die umweltfreundlichen Maßnahmen im Bereich der Elektro- und Elektronik-Altgeräte verbessert werden sollen.

13. Allerdings zielt der Vorschlag ebenso wie die Richtlinie einzig und allein auf die mit der Entsorgung der Elektro- und Elektronik-Altgeräte verbundenen Umweltrisiken. Darin werden keine sonstigen Zusatzrisiken für natürliche Personen und/oder Einrichtungen berücksichtigt, die sich möglicherweise aus den Maßnahmen der Entsorgung, der Wiederverwendung und des Recycling von Elektro- und Elektronik-Altgeräten ergeben, insbesondere nicht solche Risiken in Verbindung mit der Wahrscheinlichkeit eines unzulässigen Erwerbs sowie einer nicht ordnungsgemäßen Weitergabe oder Verbreitung personenbezogener Daten, die in den Elektro- und Elektronikgeräten gespeichert sind.

14. Es ist wichtig festzustellen, dass die Richtlinie 95/46/EG (8) für „jeden […] Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten“ gilt, einschließlich ihres „Löschen[s] oder Vernichten[s]“ (Artikel 2 Buchstabe b). Die Entsorgung der Elektro- und Elektronik-Geräte kann Datenverarbeitungsvorgänge mit einschließen. Aus diesem Grund gibt es eine Überschneidung zwischen dem Vorschlag und der bereits genannten Richtlinie und insofern könnten Datenschutzbestimmungen auf im Vorschlag erfasste Tätigkeiten angewandt werden.

III.2. Maßnahmen betreffend die Entsorgung und Sicherheit der Elektro- und Elektronik-Altgeräte

15. Der EDSB möchte die beachtlichen Risiken hervorheben, denen natürliche Personen und/oder Einrichtungen ausgesetzt sein können, die dort als „für die Datenverarbeitung Verantwortliche“ (9) handeln, wo die Elektro- und Elektronik-Altgeräte, insbesondere die IT- und Telekommunikationsgeräte, zum Zeitpunkt ihrer Beseitigung personenbezogene Daten bezüglich der Nutzer dieser Geräte und/oder von Drittparteien enthalten. Der unerlaubte Zugang oder die unrechtmäßige Weitergabe solcher personenbezogener Daten, die zuweilen aus besonderen Datenkategorien bestehen, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie von Daten über Gesundheit oder Sexualleben (so genannte „sensible Daten“) (10), können hingegen dazu führen, dass der Schutz der Privatsphäre oder die Würde der Menschen, auf die sich diese Informationen beziehen, angetastet werden wie auch die berechtigten Interessen solcher natürlicher Personen/Einrichtungen (z. B. die wirtschaftlichen Interessen).

16. In allgemeinen Worten ausgedrückt, erachtet es der EDSB als notwendig, auf die Bedeutung der Annahme angemessener Sicherheitsmaßnahmen in jedem Stadium (vom Beginn bis zum Ende) der Verarbeitung personenbezogener Daten hinzuweisen, wie wiederholt in anderen Stellungnahmen festgestellt wurde (11). Dies gilt erst recht für die sensible Phase, in der der für die Verarbeitung Verantwortliche beabsichtigt, die Geräte, die personenbezogene Daten enthalten, zu beseitigen.

17. In der Tat ist die Beachtung der Sicherheitsmaßnahmen häufig eine Voraussetzung, um das Recht auf Schutz der personenbezogenen Daten wirksam zu garantieren.

18. Daher wäre es inkonsequent, die Pflicht zu der (zuweilen kostspieligen) Ergreifung von Sicherheitsmaßnahmen innerhalb des regulären Ablaufs der Verarbeitung personenbezogener Daten vorzusehen (falls zutreffend, wie in Artikel 17 der Richtlinie 95/46/EG festgelegt (12)) und dann schlicht und einfach zu versäumen, die Einführung angemessener Sicherheitsmaßnahmen zur Entsorgung von Elektro- und Elektronik-Altgeräten zu erwägen.

19. Gleichermaßen wäre es inkonsequent, der Frage der Datensicherheit insoweit Bedeutung beizumessen, als eine Verletzung des Datenschutzes gemäß Artikel 3 der Richtlinie 2009/136/EG (13) angezeigt werden muss, und dann bei der Entsorgung von Elektro- und Elektronik-Altgeräten wie auch im Fall der Wiederverwendung oder des Recycling der Elektro- und Elektronik-Altgeräte keine Sicherheits- oder Schutzvorkehrungen zu treffen.

20. Der EDSB bedauert, dass der Vorschlag nicht den etwaigen schädigenden Wirkungen der Entsorgung von Elektro- und Elektronik-Altgeräten auf den Schutz der personenbezogenen Daten, die in den „genutzten“ Geräten gespeichert sind, Rechnung trägt.

21. Dieser Aspekt wurde auch nicht in der von der Kommission erstellten Folgenabschätzung (14) berücksichtigt, obwohl die Erfahrung gezeigt hat, dass die Nichtergreifung geeigneter Sicherheitsmaßnahmen im Fall der Entsorgung von Elektro- und Elektronik-Altgeräten den Schutz der personenbezogenen Daten gefährden könnte (15). Wegen der Komplexität der damit verbundenen Themen (beispielsweise wegen der Vielzahl an zulässigen Methoden, Technologien und Interessenvertretern im Entsorgungszyklus der Elektro- und Elektronik-Altgeräte) ist der EDSB der Auffassung, dass es angemessen gewesen wäre, eine „Folgenabschätzung zur Wahrung der Privatsphäre und zum Datenschutz“ im Hinblick auf die Verfahren zur Entsorgung von Elektro- und Elektronik-Altgeräten auszuarbeiten.

22. Nichtsdestotrotz empfiehlt der EDSB nachdrücklich, dass die „besten verfügbaren Techniken“ zur Achtung der Privatsphäre, zum Datenschutz und zur Sicherheit in diesem Bereich entwickelt werden sollten.

23. So haben auch Interessenvertreter und insbesondere Firmen der IT- und elektronischen Kommunikationsbranche während des öffentlichen Konsultationsverfahrens im Vorfeld der Neufassung der Richtlinie gelegentlich Themen der Sicherheit und des Schutzes der personenbezogenen Daten zur Sprache gebracht (16).

24. Schließlich ist es erwähnenswert, dass einige nationale Datenschutzbehörden Leitlinien zur Minimierung der Risiken veröffentlicht haben, die durch das Versäumnis verursacht werden können, die erforderlichen Sicherheitsmaßnahmen insbesondere im Rahmen der Entsorgung von in den Geltungsbereich der Richtlinie (17) fallenden Materialien zu ergreifen.

25. Wie der EDSB bekräftigt, gilt die Richtlinie 95/46/EG für Elektro- und Elektronik-Altgeräte im Entsorgungsstadium, die personenbezogene Daten enthalten. Die für die Datenverarbeitung Verantwortlichen — insbesondere solche, die IT- und Kommunikationsgeräte verwenden — sind daher aufgefordert, die Sicherheitsauflagen zur Vorbeugung gegen die unrechtmäßige Weitergabe oder Verbreitung personenbezogener Daten zu erfüllen. Zu diesem Zweck und um nicht für die Verletzung von Sicherheitsmaßnahmen zur Verantwortung gezogen zu werden, sollte der für die Verarbeitung Verantwortliche im staatlichen oder im privaten Sektor in Zusammenarbeit mit den Datenschutzbeauftragten (sofern vorhanden) geeignete Maßnahmen für die Entsorgung der Elektro- und Elektronik-Altgeräte, die personenbezogene Daten enthalten, ergreifen.

26. Sollten die für die Verarbeitung Verantwortlichen, die die Elektro- und Elektronik-Geräte entsorgen, nicht die erforderlichen Kompetenzen und/oder das notwendige technische Know-how besitzen, um die betreffenden personenbezogenen Daten zu löschen, könnten sie diese Aufgabe zu den in Artikel 17 Absatz 2, 3 und 4 der Richtlinie 95/46/EG vorgesehenen Bedingungen qualifizierten Auftragsverarbeitern überlassen (z. B. Anlaufstellen, Geräteherstellern und Vertreibern). Diese Auftragsverarbeiter werden im Gegenzug die Ausführung der in Frage stehenden Tätigkeiten bescheinigen und/oder diese vornehmen.

27. In Anbetracht dieser Überlegungen kommt der EDSB zu dem Schluss, dass die Neufassung der Richtlinie Datenschutzgrundsätze in die dem Umweltschutz gewidmeten Vorschriften aufnehmen sollte.

28. Daher empfiehlt der EDSB dem Rat und dem Europäischen Parlament, eine besondere Bestimmung in den derzeitigen Vorschlag aufzunehmen, die besagt, dass die Richtlinie unbeschadet der Richtlinie 95/46/EG für die Entsorgung von Elektro- und Elektronik-Altgeräten gilt.

III.3. Die Wiederverwendung oder das Recycling der Elektro- und Elektronik-Altgeräte sowie Sicherheitsvorkehrungen

29. Da die mit Entsorgungsmaßnahmen befassten Personen sich in einer Situation befinden, in der es ihnen möglich ist, eigenständige Entscheidungen bezüglich der in den Elektro- und Elektronik-Geräten enthaltenen Daten zu treffen, könnten sie als „für die Verarbeitung Verantwortliche“ (18) angesehen werden. Sie sollten daher interne Verfahren annehmen, um unnötige Verarbeitungsvorgänge bei personenbezogenen Daten, die in Elektro- und Elektronik-Altgeräten gespeichert sind, zu vermeiden; gemeint sind nämlich andere Vorgänge als solche, die zur Überprüfung der tatsächlichen Beseitigung der darin enthaltenen Daten unbedingt notwendig sind.

30. Überdies dürfen sie unbefugten natürlichen Personen nicht erlauben, Kenntnis von den in den Elektro- und Elektronik-Geräten gespeicherten Daten zu erhalten oder diese zu verarbeiten. Vor allem wenn Speichermedien recycelt oder wiederverwendet werden und somit erneut auf den Markt gelangen, besteht nicht nur ein erhöhtes Risiko, dass die personenbezogenen Daten nicht ordnungsgemäß weitergegeben oder verbreitet werden, sondern auch die Notwendigkeit, den unbefugten Zugriff auf personenbezogene Daten zu unterbinden.

31. Daher empfiehlt der EDSB, dass der Rat und das Europäische Parlament eine besondere Bestimmung in den gegenwärtigen Vorschlag aufnehmen, um die Vermarktung gebrauchter Geräte zu untersagen, bei denen — in Übereinstimmung mit den Standards auf dem neuesten Stand der Technik (wie zum Beispiel Mehrfach-Überschreiben) — zuvor keine geeigneten Sicherheitsmaßnahmen ergriffen wurden, um alle eventuell darin enthaltenen personenbezogenen Daten zu löschen.

III.4. Achtung der Privatsphäre und eingebaute Sicherheit

32. Der bevorstehende Rechtsrahmen über E-Abfall sollte nicht nur eine besondere Bestimmung zum weiter gefassten „Grundsatz der umweltgerechten Gestaltung“ („eco-design principle“) der Geräte enthalten (siehe Artikel 4 des Vorschlags zur „Produktkonzeption“), sondern auch — wie zuvor in anderen Stellungnahmen des EDSB festgestellt (19) — eine bezüglich des Grundsatzes des „eingebauten Datenschutzes“ („Privacy by design“) (20) — oder spezieller für diesen Bereich — „der eingebauten Sicherheit“ („Security by design“) (21). Vorkehrungen zur Achtung der Privatsphäre und des Datenschutzes sollten soweit wie möglich standardmäßig in die Elektro- und Elektronik-Geräte eingebaut werden, um allen Nutzern zu ermöglichen, die eventuell in den Geräten bei ihrer Beseitigung vorhandenen personenbezogenen Daten — auf einfache Weise und unentgeltlich — zu löschen (22).

33. Dieser Ansatz wird eindeutig durch Artikel 3 Absatz 3 Buchstabe c der Richtlinie 1999/5/EG (23) über Funkanlagen und Telekommunikationsendeinrichtungen und durch Artikel 14 Absatz 3 der Richtlinie 2002/58/EG (24) unterstützt.

34. Daher sollten die Hersteller mittels technischer Lösungen Datenschutzmaßnahmen und Sicherheitstechniken „einbauen“ (25). In diesem Rahmen sollten auch Initiativen, die auf die Beratung von Personen abzielen, die darauf angewiesen sind, vor der Entsorgung von Elektro- und Elektronik-Altgeräten alle personenbezogenen Daten zu löschen (so auch im Fall von Herstellern, die zu diesem Zweck entsprechende unentgeltliche Software anbieten), gefördert und unterstützt werden (26).

IV. SCHLUSSFOLGERUNGEN

35. In Anbetracht der vorstehenden Ausführungen empfiehlt der EDSB, dass die Datenschutzbehörden, insbesondere über die Artikel 29-Datenschutzgruppe, und der EDSB im Rahmen einer Konsultation in einem ausreichend frühen Stadium vor der Ausarbeitung einschlägiger Maßnahmen eng in die Initiativen im Bereich der Entsorgung von Elektro- und Elektronik-Altgeräten eingebunden werden.

36. Unter Berücksichtigung des Kontextes, in dem personenbezogene Daten verarbeitet werden, empfiehlt der EDSB, dass der Vorschlag besondere Vorschriften umfassen sollte, — die besagen, dass die Richtlinie über Elektro- und Elektronik-Altgeräte unbeschadet der Richtlinie 95/46/EG gilt; — die die Vermarktung gebrauchter Geräte verbieten, bei denen zuvor keine geeigneten Sicherheitsvorkehrungen entsprechend neuesten technischen Standards vorgenommen wurden, um alle eventuell darin enthaltenen personenbezogenen Daten zu löschen; — die den Grundsatz des „eingebauten Datenschutzes“ oder der „eingebauten Sicherheit“ betreffen: soweit wie möglich sollten Vorkehrungen zur Wahrung der Privatsphäre und zum Datenschutz standardmäßig in die Gestaltung von Elektro- und Elektronikgeräten eingebaut werden, um den Nutzern — auf einfache Weise und unentgeltlich — das Löschen der personenbezogenen Daten zu erlauben, die bei der Entsorgung möglicherweise noch in den Geräten vorhanden sind.

37. Der EDSB empfiehlt daher nachdrücklich, den Vorschlag im Einklang mit der Richtlinie 95/46/EG wie folgt zu ändern: — Erwägungsgrund (11): „Darüber hinaus sollte diese Richtlinie unbeschadet der Rechtsvorschriften über Datenschutz, insbesondere der Richtlinie 95/46/EG, gelten. Da Elektro- und Elektronik-Geräte zu einer großen Produktgruppe gehören, die eine Vielzahl von zur Speicherung personenbezogener Daten geeigneten Kommunikationsmedien (wie IT- und Telekommunikationsgeräte) umfasst, können die damit verbundenen Vorgänge der Entsorgung, insbesondere der Wiederverwendung und des Recycling, Risiken eines unbefugten Zugangs zu den auf den Elektro- und Elektronik-Altgeräten gespeicherten personenbezogenen Daten bergen. Daher sollten soweit wie möglich Schutzvorkehrungen zur Achtung der Privatsphäre und zum Datenschutz standardmäßig in die zur Speicherung personenbezogener Daten geeigneten Elektro- und Elektronik-Geräte eingebaut werden, um allen Nutzern zu erlauben, sämtliche zum Zeitpunkt der Entsorgung vorhandenen Daten — auf einfache Weise und unentgeltlich — zu löschen“; — Artikel 2 Absatz 3: „Diese Richtlinie gilt unbeschadet der Rechtsvorschriften über Datenschutz, insbesondere der Richtlinie 95/46/EG“;

38. Darüber hinaus hält es der EDSB für angemessen, dass die folgenden Änderungen in Betracht gezogen werden sollten: — Artikel 4 Absatz 2: „Die Mitgliedstaaten sollen Maßnahmen unterstützen, um die Produktgestaltung und Herstellung von Elektro- und Elektronik-Geräten zu fördern, die die Löschung personenbezogener Daten erleichtern, die zum Zeitpunkt der Entsorgung in den Elektro- und Elektronik-Geräten enthalten sind“; — Artikel 8 Absatz 7: „Die Mitgliedstaaten sollen sicherstellen, dass alle eingesammelten Elektro- und Elektronik-Altgeräte, die personenbezogene Daten enthalten und Gegenstand einer Behandlung zum Zwecke des Recycling oder der Wiederverwendung sind, nicht vermarktet werden, sofern derartige Daten nicht unter Verwendung der besten verfügbaren Techniken entfernt worden sind“; — Artikel 14 Absatz 6: „Die Mitgliedstaaten können fordern, dass die Nutzer von Elektro- und Elektronik-Geräten, in denen sich personenbezogene Daten befinden, von den Herstellern und/oder Vertreibern z. B. in Bedienungsanleitungen oder Verkaufsstellen Informationen im Hinblick auf das Erfordernis erhalten, die in den Elektro- und Elektronik-Geräten vor ihrer Entsorgung ggf. enthaltenen personenbezogenen Daten zu löschen“.

Geschehen zu Brüssel am 14. April 2010. Peter HUSTINX Europäischer Datenschutzbeauftragter

(1) KOM(2008) 810 endg.

(2) ABl. L 37 vom 13.2.2003, S. 24.

(3) Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates vom 18. Dezember 2000 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr, ABl. L 8 vom 12.1.2001, S. 1.

(4) Siehe EuGH23.2.1999, C-42/97 Europäisches Parlament/Rat der Europäischen Union, Slg. 1999 I-869, Randnr. 43.

(5) Siehe auch, inter alia, EuGH30.1.2001, C-36/98 Spanien/Rat, Slg. 2001 I-779, Randnr. 59: „Ergibt die Prüfung eines gemeinschaftlichen Rechtsakts, dass er zwei Zielsetzungen hat oder zwei Komponenten umfasst, und lässt sich eine von diesen als die wesentliche oder überwiegende ausmachen, während die andere nur von untergeordneter Bedeutung ist, so ist der Rechtsakt auf nur eine Rechtsgrundlage zu stützen, und zwar auf die, die die wesentliche oder überwiegende Zielsetzung oder Komponente erfordert“.

(6) Interinstitutionelle Vereinbarung vom 28. November 2001 über die systematische Neufassung von Rechtsakten, ABl. C 77 vom 28.3.2002, S. 1.

(7) Siehe das Arbeitspapier der Dienststellen der Kommission als Begleitdokument zum Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates über Elektro- und Elektronik-Altgeräte (Neufassung). Folgenabschätzung, 3.12.2008 (KOM(2008) 810 endg.) SEK(2008) 2933, S. 17 [nur in englischer Sprache verfügbar, eine Zusammenfassung davon liegt jedoch auch auf Deutsch vor].

(8) Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, ABl. L 281 vom 23.11.1995, S. 31.

(9) Hinsichtlich der Definition des „für die Verarbeitung Verantwortlichen“ siehe Artikel 2 Buchstabe d der Richtlinie 95/46/EG.

(10) Siehe Artikel 8 der Richtlinie 95/46/EG.

(11) Siehe die Stellungnahme des EDSB zur Agentur für IT-Großsysteme (ABl. C 70 vom 19.3.2010, S. 13), Ziffern 46 und 47; Stellungnahme zu dem Vorschlag für eine Richtlinie über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung (ABl. C 128 vom 6.6.2009, S. 20), Ziffern 27-31.

(12) Siehe Artikel 3 der gleichen Richtlinie.

(13) Richtlinie 2009/136/EG des Europäischen Parlaments und des Rates vom 25. November 2009 zur Änderung der Richtlinie 2002/22/EG über den Universaldienst und Nutzerrechte bei elektronischen Kommunikationsnetzen und -diensten, der Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation und der Verordnung (EG) Nr. 2006/2004 über die Zusammenarbeit im Verbraucherschutz, ABl. L 337 vom 18.12.2009, S. 11.

(14) Arbeitspapier der Kommissionsdienststellen als Begleitdokument zum Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates über Elektro- und Elektronik-Altgeräte (Neufassung), SEK(2008) 2933, 3.12.2008; siehe jedoch United Nations University, 2008 Review of Directive 2002/96/EG on Waste Electrical and Electronic Equipment (WEEE), Europäische Kommission, Belgien, 2007, S. 273 (http://ec.europa.eu/environment/waste/weee/pdf/final_rep_unu.pdf); „Data security is also an issue — removing personal data from a hard-drive“.

(15) Siehe z. B. Online-Artikel der BBC „Children's files on eBay computer“, 4. Mai 2007, in dem berichtet wird, dass ein Computer mit personenbezogenen Daten über die Pflege und die Adoption von Kindern über eBay verkauft wurde (http://news.bbc.co.uk/2/hi/uk_news/england/6627265.stm); siehe auch den Online-Artikel der BBC „Bank customer data sold on eBay“, 26. August 2008, in dem berichtet wird, dass die Festplatte mit personenbezogenen Daten von einer Million Bankkunden über eBay verkauft wurde (http://news.bbc.co.uk/2/hi/uk_news/7581540.stm).

(16) Siehe HP, Stakeholder Consultation on the Review of Directive 2002/96/EC of the European Parliament and of the Council on Waste Electrical and Electronic Equipment (WEEE), S. 7-8; DELL (Entwurf von Bemerkungen), WEEE Review Policy Options of the stakeholder consultation on the review of directive 2002/96/EC of the European Parliament and of the Council on Waste Electrical And Electronic Equipment (WEEE), S. 2, Ziffer 1.1. und 4, Ziffer 1.3. (3.6.2008); Royal Philips Electronics Position and Proposal, Stakeholder consultation on the Revision of the WEEE Directive, S. 12 (5.6.2008) (http://circa.europa.eu/Public/irc/env/weee_2008_review/library). Siehe auch WEEE Consultation Response, Summary of responses and Government response to fourth consultation on implementation of Directives 2002/96/EC and 2003/108/EC on Waste Electrical and Electronic Equipment, Dezember 2006, S. 30: „Data protection and security. Some waste management companies would like there to be some guidance issued on data protection and security, particularly in light of the fact they will be handling sensitive data“ (Datenschutz und Sicherheit. Einige Abfallbehandlungsunternehmen würden es begrüßen, wenn einige Leitlinien über Datenschutz und Sicherheit veröffentlicht würden, insbesondere vor dem Hintergrund, dass sie mit sensiblen Daten zu tun haben werden.) (http://www.berr.gov.uk/files/file35961.pdf).

(17) Landesbeauftragter für Datenschutz und Informationsfreiheit Bremen, Entwicklung eines Konzeptes zur Löschung und Datenträgervernichtung durch Behörden und Unternehmen, 16. Mai 2007 (http://www.datenschutz-bremen.de/rtf/datenloeschung.rtf); Garante per la protezione dei dati personali, Electrical and Electronic Waste and Data Protection, 13. Oktober 2008 (http://www.garanteprivacy.it/garante/doc.jsp?ID=1583482), auch erwähnt im Zwölften Jahresbericht der Artikel 29-Datenschutzgruppe, 16. Juni 2009, S. 57; siehe ferner International Working Group on Data Protection and Telecommunications, Recommendation on Data Protection and E-Waste, Sofia, 12-13.3.2009 (http://www.datenschutz-berlin.de/attachments/650/675.38.14.pdf?1264671551).

(18) „Der Begriff ‚für die Verarbeitung Verantwortlicher‘ […] ist funktionell, da er die Verantwortung entsprechend dem tatsächlichen Einfluss und damit auf der Grundlage einer faktischen anstelle einer formalen Analyse zuweist“: siehe Artikel 29-Datenschutzgruppe, WP 169, Stellungnahme 1/2010 zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“, angenommen am 16. Februar 2010.

(19) Siehe z. B. Der EDSB und Forschung und technologische Entwicklung in der EU. Strategiepapier, 28. April 2008, S. 2; Stellungnahme des EDSB zur Einführung intelligenter Verkehrssysteme (ABl. C 47 vom 25.2.2010, S. 6); Stellungnahme des EDSB zur Pharmakovigilanz (ABl. C 229 vom 23.9.2009, S. 19).

(20) Zugunsten einer breiteren Anwendung des Grundsatzes siehe die Artikel 29-Datenschutzgruppe — Arbeitsgruppe Polizei und Justiz, Die Zukunft des Datenschutzes. Gemeinsamer Beitrag zu der Konsultation der Europäischen Kommission zu dem Rechtsrahmen für das Grundrecht auf den Schutz der personenbezogenen Daten, WP 168, angenommen am 1. Dezember 2009, S. 3 und 12; siehe auch die Empfehlung der Kommission zur Umsetzung der Grundsätze der Wahrung der Privatsphäre und des Datenschutzes in RFID-gestützten Anwendungen, K(2009) 3200 endg., S. 8.

(21) Siehe die Mitteilung der Kommission, Eine europäische Agenda für Sicherheitsforschung und Innovation — eine erste Bilanz der Kommission über die wichtigsten Ereignisse und Empfehlungen des ESRIF DEN; KOM(2009) 691 endgültig, S. 6 und 14.

(22) Siehe auch EDSB, Opinion of 18 March 2010 on promoting trust in the Information Society by fostering data protection and privacy.

(23) Artikel 3 Absatz 3 der Richtlinie 1999/5/EG des Europäischen Parlaments und des Rates vom 9. März 1999 über Funkanlagen und Telekommunikationsendeinrichtungen und die gegenseitige Anerkennung der Konformität (ABl. L 91 vom 7.4.1999, S. 10): „[…] Die Kommission kann festlegen, dass Geräte in bestimmten Geräteklassen oder bestimmte Gerätetypen so hergestellt sein müssen, dass […] sie über Sicherheitsvorrichtungen zum Schutz personenbezogener Daten und der Privatsphäre des Benutzers und des Teilnehmers verfügen“.

(24) „Erforderlichenfalls können gemäß der Richtlinie 1999/5/EG und dem Beschluss 87/95/EWG des Rates vom 22. Dezember 1986 über die Normung auf dem Gebiet der Informationstechnik und der Telekommunikation Maßnahmen getroffen werden, um sicherzustellen, dass Endgeräte in einer Weise gebaut sind, die mit dem Recht der Nutzer auf Schutz und Kontrolle der Verwendung ihrer personenbezogenen Daten vereinbar ist“. Siehe auch Erwägungsgrund 46 der gleichen Richtlinie, der in Fußnote 13 erwähnt ist.

(25) Zugunsten dieser strategischen Perspektive siehe auch V. Reding, Grundsatzrede zum Europäischen Datenschutztag am 28. Januar 2010, Europäisches Parlament, Brüssel, SPEECH/10/16: „Businesses must use their power of innovation to improve the protection of privacy and personal data from the very beginning of the development cycle. Privacy by Design is a principle that is in the interest of both citizens and businesses. Privacy by Design will lead to better protection for individuals, as well as to trust and confidence in new services and products that will in turn have a positive impact on the economy. I have seen some encouraging examples, but much more needs to be done“ [Betriebe müssen ihre Innovationskraft nutzen, um den Schutz der Privatsphäre und der personenbezogenen Daten von den ersten Anfängen des Entwicklungskreislaufes an zu verbessern. „Privacy of design“ ist ein Grundsatz, der im Interesse der Staatsbürger und der Betriebe liegt. Der eingebaute Datenschutz wird zu einem besseren Schutz natürlicher Personen führen, aber auch zu Zuversicht und Vertrauen in neue Dienstleistungen und Produkte, die ihrerseits eine positive Auswirkung auf die Wirtschaft haben werden. Ich habe einige ermutigende Beispiele gesehen, doch bleibt noch viel mehr zu tun.]

(26) Siehe z. B. Royal Canadian Mounted Police, B2-002 — IT Media Overwrite and Secure Erase Products (05/2009), in http://www.rcmp-grc.gc.ca/ts-st/pubs/it-ti-sec/index-eng.htm