Stephan Mayer (NA), 2012-11-08:
Sowohl im Europäischen Parlament und im Rat als

auch im Deutschen Bundestag und Bundesrat haben
nach der Veröffentlichung der Vorschläge der EU-Kommission zur Neuregelung des Datenschutzes in Europa
lebhafte Diskussionen begonnen. Dies liegt unter anderem daran, dass gerade in Deutschland der Schutz
personenbezogener Daten eine sehr hohe Bedeutung genießt. Es ist daher sehr wichtig, dass sich das deutsche
Parlament mit dem Instrument des Antrages nach
Art. 23 des Grundgesetzes ebenfalls in die Diskussion
einbringt.

In vielen Fällen ist es allerdings nicht der Staat, den
es als Sammler von personenbezogenen Daten zu regulieren gilt, sondern die Wirtschaft, die personenbezogene Daten als Währung für ihre Angebote und Dienstleistungen längst akzeptiert hat.

Für mich stellt sich somit die Frage nach einem roten
Faden, einer Leitlinie, die auf der einen Seite die Interessen der datenverarbeitenden Unternehmen und auf
der anderen Seite die Interessen der die Anwendungen




Stephan Mayer ({0})

nutzenden Bürgerinnen und Bürger gleichermaßen berücksichtigt.

Denn schließlich steht der Schutz personenbezogener
Daten gemäß Art. 8 in der EU-Grundrechtecharta nicht
isoliert. Auch die Berufs- und die unternehmerische
Freiheit gemäß Art. 15 und 16 sind fester Bestandteil der
EU-Grundrechtecharta.

Dem vorliegenden Entwurf der Kommission gelingt
dieser schonende Ausgleich zwischen den von mir aufgezeigten widerstrebenden Interessen allerdings nicht
vollständig. Daher haben die Koalitionsfraktionen hier
einen Antrag vorgelegt, der die wichtigsten Fragen aufgreift und die Bundesregierung auffordert, sich in den
Verhandlungen im EU-Rat für eine ausgleichende sowie
praxistaugliche Fortentwicklung des Verordnungsentwurfes einzusetzen.

Viele datenschutzrechtliche Fragestellungen werden
ausschließlich aus Sicht des Verbrauchers abgehandelt
und auch zu dessen Gunsten aufgelöst. Dies mag vielleicht in dem einen oder anderen Fall aufgrund der jüngeren Schwierigkeiten von Unternehmen mit dem Schutz
personenbezogener Daten angezeigt sein. Ergänzend
hierzu darf es natürlich zukünftig nicht mehr möglich
sein, dass Unternehmen in der Europäischen Union das
Land als Unternehmenssitz wählen, in dem ein vergleichsweise geringes Datenschutzniveau herrscht.
Grundsätzlich begrüße ich daher das Vorhaben einer
Vollharmonisierung des europäischen Datenschutzrechtes sehr.

Ich halte beispielsweise die vorgesehenen Regelungen von Privacy-by-Design und Privacy-by-Default für
zwei wichtige technikoffene Optionen zur zukünftigen
datenschutzkonformen Gestaltung von elektronischen
Diensten und Anwendungen im Internet. Insgesamt
überwiegen jedoch im Entwurf die vielen unternehmensbelastenden Regelungen.

Das von der Kommission selbst gesetzte Ziel eines
Abbaus von Bürokratie und einer Reduzierung der
Kosten der Wirtschaft wird aus meiner Sicht längst nicht
im möglichen Umfang erreicht. Zwar werden teilweise
bestehende Informationspflichten abgebaut. Es werden
zugleich aber auch insbesondere durch die Art. 14 und
15 sowie den Art. 32 eine Vielzahl von neuen Informations- und Dokumentationspflichten geschaffen. Es ist
zudem noch immer unklar, welche Informationspflichten
tatsächlich als Bringschuld des Unternehmens ausgestaltet sind.

Aus meiner Sicht sollte beispielsweise für Dinge, die
bereits allgemeiner Kenntnis entsprechen, zumindest
keine Informationspflicht durch die Unternehmen bestehen. Zudem sollten für kleinere und mittlere Unternehmen oder auch Unternehmen, die nur selten personenbezogene Daten verarbeiten, entsprechende Ausnahmen
oder Erleichterungen geschaffen werden. Lassen Sie
mich das mit einem kleinen Beispiel verdeutlichen:

Aufgrund des weiten Anwendungsbereichs der jetzigen Vorschriften wäre beispielsweise die Übertragung
von Informationen von Visitenkarten in eine elektronische Datenbank ein informations- und auskunftspflichtiger Vorgang. Dies ist schlicht unverhältnismäßig und
völlig praxisfern.

Ich teile daher die Einschätzung der deutschen Wirtschaftsverbände, die alle davon ausgehen, dass die Verordnung in der jetzigen Form zu einem erheblichen
Mehraufwand an Kosten führen wird, zu einem Mehraufwand, der letztlich auf alle Nutzerinnen und Nutzer
umgelegt werden wird.

Hinzu kommt, dass viele der neuen Pflichten vielleicht noch von großen Konzernen eingehalten werden
können. Gerade kleinere und mittelständische Unternehmen werden sich aber schwertun, beispielsweise innerhalb von 24 Stunden umfassend über eine mögliche
Datenschutzverletzung aufklären zu können.

Umso unverständlicher ist es daher für mich, dass die
Verpflichtung zur Einrichtung eines betrieblichen Datenschutzbeauftragten erst ab 250 Mitarbeiterinnen und
Mitarbeitern greifen soll ({1}). In Deutschland hat sich an dieser Stelle die Grenze von 20 Mitarbeiterinnen und Mitarbeitern in einem Unternehmen
durchaus bewährt ({2}).

Ich rate daher zu einer gründlichen Überarbeitung
der entsprechenden Vorschriften. Es sollte eine deutliche
Abstufung und Differenzierung zwischen dem Umfang
der zu verarbeitenden personenbezogenen Daten und
der jeweiligen Größe des Unternehmens und der damit
verbundenen Pflichten vorgenommen werden. Auch
wenn das neue One-Stop-Shop-Prinzip grundsätzlich
eine breite Zustimmung erfährt, sollte ein einheitlicher
europäischer Rechtsrahmen auch die Belange der kleineren und mittleren Unternehmen in gebotenem Maße
berücksichtigen.

Nachfolgend möchte ich kurz auf die möglichen Folgen der Verordnung für den Datenschutz von Beschäftigten eingehen. Auch an dieser Stelle schießt die Verordnung aus meiner Sicht deutlich über das Ziel hinaus.

In Deutschland haben sich seit vielen Jahren datenschutzrechtliche Regelungen in Betriebsvereinbarungen
bewährt. Arbeitgeber- und Arbeitnehmerseite passen die
bestehenden rechtlichen Grundlagen für den jeweiligen
Betrieb und das jeweilige Arbeitsumfeld darin an. Betriebsvereinbarungen helfen, Verfahrensabläufe rechtssicher zu handhaben und unbestimmte Rechtsbegriffe
für die Unternehmen und ihre Mitarbeiterinnen und Mitarbeiter zu konkretisieren. Sie stellen damit einen hohen
und praxisnahen Datenschutz dar.

Dieser Prozess des Gebens und Nehmens ist allerdings durch den Verordnungsvorschlag in Gefahr geraten. Denn dieser sieht in Art. 6 Abs.1 b, c vor, dass die
Verarbeitung personenbezogener Daten zur Erfüllung
eines Vertrages oder einer gesetzlichen Verpflichtung
erforderlich sein muss. Die in Deutschland und auch in
anderen europäischen Ländern geschlossenen Kollektivvereinbarungen zwischen den Tarifpartnern wären
somit hinfällig. Sie böten keine Grundlage mehr für eine
rechtmäßige Datenverarbeitung. Es sollte daher
dringend sichergestellt werden, dass auch zukünftig
Kollektivvereinbarungen wie Tarifverträge und BeZu Protokoll gegebene Reden



Stephan Mayer ({3})

triebsvereinbarungen rechtmäßige Grundlage für eine
Datenverarbeitung sein können.

Auch der Wegfall der Einwilligungsmöglichkeit im
Arbeitsverhältnis in Art. 7 Abs. 4 in Verbindung mit Erwägungsgrund 34 stellt aus meiner Sicht einen Rückschritt vom praxisnahen Datenschutz dar. Mir ist bewusst, dass viele Datenschützer und auch die
Gewerkschaften den Wegfall der Einwilligungsmöglichkeit im Arbeitsverhältnis im Entwurf der Kommission
begrüßt haben. Ich halte ihn dennoch für falsch. Denn
bereits jetzt wird die Möglichkeit der Einwilligung in der
überwiegenden Zahl der Fälle nur wahrgenommen,
wenn die damit verknüpfte Datenverarbeitung zugunsten des Arbeitnehmers oder der Arbeitnehmerin erfolgt,
beispielsweise bei zusätzlichen durch den Arbeitgeber
angebotenen Gesundheitsleistungen, kostenlosen Zeitschriften, Mitarbeiterrabatten etc. Alle diese Fälle wären dann zukünftig ausgeschlossen bzw. müssten gesondert durch den Gesetzgeber geregelt werden. Dies ist
weder aufwandsneutral noch praxistauglich. Die Einwilligung sollte daher grundsätzlich auch in Beschäftigungsverhältnissen zulässig bleiben. Einzelne kritische
Anwendungsbereiche könnten jedoch ausgeschlossen
werden.

Abschließend möchte ich noch kurz zur Anzahl der
delegierten Rechtsakte sowie dem beabsichtigten Kohärenzverfahren Stellung nehmen.

Aus meiner Sicht stellen die knapp 50 Stellen für
delegierte Rechtsakte bzw. weiterführende Ermächtigungen zur näheren Ausgestaltung der Verordnung ein
deutliches Überschreiten der in Art. 290 AEUV gesetzten Grenzen dar. Aus Art. 289 und 290 AEUV ergibt sich,
dass eine Verordnung als Basisrechtsakt die wesentlichen materiellen Festlegungen nicht auf den abgeleiteten Rechtsakt übertragen darf, sondern diese selbst
regeln muss. Der Verordnungsentwurf sieht aber an den
vorgenannten Stellen nicht nur Konkretisierungen vor,
sondern auch die Befugnis für die Kommission, den
Regelungsgehalt von einzelnen Normen eigenständig
auszufüllen. Sie kann damit eine Vielzahl von Normen,
deren Einhaltung sie überwachen soll, zuvor selbst
schaffen. Dies ruft erhebliche rechtsstaatliche Bedenken
hervor. Die Zahl der delegierten Rechtsakte muss daher
aus meiner Sicht deutlich reduziert werden. Es ist richtig, dass für Bereiche, die der rasanten technologischen
Entwicklung angepasst und fortgeschrieben werden, gewisse Spielräume und eine gewisse Flexibilität für die
EU-Kommission verbleiben müssen. Allerdings geschieht dies hier in deutlich zu großem Umfang.

Auch das im Verordnungsentwurf vorgesehene Kohärenzverfahren ist bereits aus rechtsstaatlichen Gründen
abzulehnen. Die Kommission kann bei datenschutzrechtlichen Fragestellungen ein eigenes Selbsteintrittsrecht geltend machen und Maßnahmen der nationalen
Datenschutzaufsichtsbehörden untersagen. Ein gesondertes Rechtsmittel hat die nationale Aufsichtsbehörde
gegen eine solche Entscheidung nicht. Die Kommission
erhält durch dieses Verfahren somit umfangreiche
Durchgriffsrechte bis hinunter auf die nationale Ebene.
Damit verstößt das Verfahren sowohl gegen die Unabhängigkeit der Aufsichtsbehörden ({4}) als auch
gegen das in Art. 20 Abs. 1 des Grundgesetzes verankerte Demokratieprinzip. Schließlich wäre die Datenschutzkontrolle nicht mehr der demokratischen Verantwortung der jeweiligen Mehrheit des nationalen
Parlaments unterworfen.

Bei den Diskussionen sollte weiterhin die Umsetzbarkeit und Praktikabilität der geplanten Regelungen im
Vordergrund der Debatte stehen.

Mein Fazit ist, dass es zu einer Vielzahl von einzelnen
Regelungen noch einer intensiven Diskussion unter den
Mitgliedstaaten und im Europäischen Parlament bedarf.
Die möglichen Auswirkungen der neuen Verordnung
sind für viele zentrale Lebensbereiche noch ungeklärt
und nicht endgültig abschätzbar. Es verbieten sich daher
gesetzgeberische Schnellschüsse.

Die christlich-liberale Koalition leistet mit dem vorliegenden Antrag einen praxisorientierten Beitrag dazu,
das europäische Datenschutzrecht angemessen und
sinnvoll weiterzuentwickeln. Sie finden in diesem Antrag
noch weitere grundsätzliche Forderungen, wie die angemessen Differenzierung zwischen dem öffentlichen und
dem nichtöffentlichen Bereich, die Einbeziehung der
Institutionen der Europäischen Union in den Anwendungsbereich der Verordnung, die Ablehnung von
Verbandsklagen oder auch die Forderung nach angemessene Übergangs- und Inkrafttretensregelungen.

Die Fülle der Themen und die Komplexität des
Themas verlangen auch in den kommenden Wochen und
Monaten eine intensive Beschäftigung mit diesem zentralen Reformvorhaben.