CELEX: 51992PC0422
Language: de
Date: 1992-10-15
Title: Geänderter Vorschlag für eine RICHTLINIE DES RATES zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr

KOMMISSION DER EUROPAISCHEN GEMEINSCHAFTEN
                                        KOM(92) 422 endg. - SYN 287
                                         rüssel, den 15. Oktober 1992
                                        Brusse
                  Geänderter Vorschlag für eine
                       RICHTLINIE DES RATES
       zum Schutz natürlicher Personen bei der Verarbeitung
       personenbezogener Daten und zum freien Datenverkehr
           (gemäß Artikel 149 Absatz 3 des EWG-Vertrags
                  von der Kommission vorgelegt)
 ---pagebreak---                                     - 2 -
                                 BEGRÜNDUNG
                            ALLGEMEINE EINFÜHRUNG
Am 18. Juli 1990 hat die Kommission dem Rat ein Vorschlagspaket von zwei
Richtlinien und einem Beschluß vorgelegt. Mit ihm sollen der freie Verkehr
von Daten in der Gemeinschaft erleichtert und dabei ein hohes Schutzniveau
von Personen bei Verarbeitungen personenbezogener Daten gewährleistet sowie
die Sicherheit der Verarbeitungen von Daten insbesondere im dienste­
integrierenden digitalen Telekommunikationsnetz verstärkt werden.
Der Wirtschafts- und Sozialausschuß hat seine Stellungnahme zu diesen Vor­
schlägen am 24. April 1991 abgegeben (Amtsblatt vom 17. Juni 1991).
Im Rahmen des Verfahrens der Zusammenarbeit hat das Europäische Parlament
diese Vorschläge in seinen Ausschüssen gründlich geprüft. Nach Erörterung
des Berichts des Ausschusses für Recht und Bürgerrechte (Berichterstatter
Herr Hoon) am 10. Februar 1992 hat das Parlament am 11. März 1992 fast
einstimmig eine befürwortende Stellungnahme zu den Vorschlägen in der von
ihm in zahlreichen Punkten geänderten Form angenommen.
Der Rat hat den Vorschlag für einen Beschluß auf dem Gebiet der Informa­
tionssicherheit am 31. März 1992 angenommen (Amtsblatt vom 5. Mai 1992).
Mit dem vorliegenden geänderten Vorschlag soll       die  Stellungnahme  des
Europäischen Parlaments berücksichtigt werden.
A. Wichtiqate Änderungen
1. Das Schutzkonzept
   Zwei wesent '.che Änderungen des ursprünglichen Vorschlags durch das
   Parlament, wurden in den geänderten Vorschlag aufgenommen. Sie betreffen:
   -  den Verzicht auf die formelle Unterscheidung zwischen den für den
      öffentlichen und den privaten Sektor geltenden Regeln,
   -  nähere Bestimmungen für das selektive Meldeverfahren          bei  der
      Kontrollbehörde und zu den Verhaltensregeln.
   Diese Änderungen bieten den Vorteil, daß sie verdeutlichen, daß - unab­
   hängig von dem betreffenden Sektor - überall der gleiche Schutz gelten
   muß.
Außerdem ermöglichen sie, bürokratische Abweichungen zu verhindern und zu
einer besseren Gewährleistung der Konvergenz und Gleichwertigkeit der
Methoden beizutragen, mit denen in den Mitgliedstaaten ein wirksamer Schutz
sichergestellt werden soll. Der Umfang des Meldeverfahrens und die Aufgaben
der unabhängigen Kontrollbehörden werden präsisiert entsprechend dem Grad
der Risiken, die die Verarbeitungen personenbezogener Daten für die Rechte
und Freiheiten der betroffenen Personen aufweisen.
 ---pagebreak---                                    - 3 -
2. Konzepte und Begriffsbestimmungen
   Die Überlegungen zu den Änderungen des Parlaments, die zum einen darauf
   abzielen, das überholte und im Rahmen der Entwicklung der Automatisie­
   rung und des Telekommunikationswesens nicht relevante Konzept der Datei
   aus dem Vorschlag zu streichen, zum anderen, die Datenerhebung in die
   Definition der Verarbeitung personenbezogener Daten einzubeziehen, haben
   dazu geführt, vorzuschlagen, daß der Kern der Regelung bei der Ver­
   arbeitung personenbezogener Daten liegt.
   Diese Änderung bringt zwei Vorteile mit sich: Die Grundsätze des
   Schutzes aufgrund der Richtlinie hängen nicht von einer Technologie oder
   besonderen technischen Organisation ab; das Konzept der Datenverarbei­
   tung ermöglicht die Entwicklung eines Globalansatzes, bei dem sich die
   Aufmerksamkeit auf die benutzten Daten sowie auf alle Operationen
   konzentriert, die sie im Hinblick auf die angestrebte Zweckbestimmung
   betreffen.
   Ferner hat sich herausgestellt, daß es erforderlich ist, das Konzept der
   Datei beizubehalten und zu präzisieren, um den Anwendungsbereich der
   Richtlinie - wenn die Verarbeitungen nicht automatisiert erfolgen -
   lediglich auf personenbezogene Daten zu beschränken, die in Dateien
   enthalten oder dazu bestimmt sind, in Dateien aufgenommen zu werden.
   Außerdem wird der Begriff des Dritten, dem personenbezogene Daten über­
   mittelt werden, eingeführt.
3. Anwendungsbereich und spezifische Ausnahmebestimmungen
   Die nachstehenden Änderungen werden vorgeschlagen, um den Besorgnissen
   des Parlaments Rechnung zu tragen. Sie zielen darauf ab, die betreffen­
   den Rechte und Freiheiten zu gewährleisten und miteinander zu verein­
   baren, um den freien Verkehr der entsprechenden Daten sicherzustellen.
   -  Die Kritik an der ursprünglichen Bestimmung unter bestimmten Voraus­
      setzungen Verarbeitungen durch Verbände ohne Erwerbszweck aus dem
      Bereich der Richtlinie auszuschließen, haben entsprechend bestimmten
      Änderungen des Parlaments zur Verarbeitung sensibler Daten zu dem
      Vorschlag geführt, diese Verarbeitungen unter die Richtlinie fallen
      zu lassen, wobei gleichzeitig eine besondere Ausnahme von der
      Meldepflicht vorgesehen wird. Diese ist um die Meinungsfreiheit zu
      gewährleisten.
      Bei der Verarbeitung für journalistische Zwecke wird vorgeschlagen,
      die Ermächtigung der Mitgliedstaaten durch eine Verpflichtung zu
      ersetzen, die erforderlichen Ausnahmen vorzusehen, um den Schutz des
      Privatlebens der betroffenen Person mit dem Recht der freien
      Meinungsäußerung zu vereinbaren.
      Für Verarbeitungen, • die keine besonderen Risiken darstellen und
      durchgeführt werden, um insbesondere gesetzlichen Verpflichtungen
      nachzukommen, wird eine Ausnahme von der Meldepflicht vorgeschlagen.
 ---pagebreak---                                    - 4 -
4. Drittländer
   Die Bestimmung, mit der dem Risiko eines Umgehens der Gemeinschafts­
   bestimmungen bei dem Datentransfer in Drittländer vorgebeugt werden soll
   und die ein Verbot derartiger Transfers in Länder vorsieht, die kein
   angemessenes Schutzniveau gewährleisten, wurde so formuliert, daß die
   Unklarheiten über das verfolgte Ziel beseitigt wurden. Dazu wurden
   Kriterien für eine Beurteilung der Angemessenheit hinzugefügt. Außerdem
   sind in einer beschränkten Zahl von Fällen Ausnahmen von der Regel
   vorgesehen, um gerechtfertigte besondere Umstände zu berücksichtigen.
B. Struktur und Inhalt des geänderten Vorschlags
   Der Vorschlag wurde neu strukturiert, um die Streichung der formellen
   Unterscheidung zwischen öffentlichem und privaten Sektor sowie die
   Entwicklung der Bestimmungen zu berücksichtigen, die die Meldung bei den
   Kontrollbehörden betreffen. Die neue Struktur zielt ferner darauf ab,
   die verschiedenen Bestandteile des Schutzmechanismus deutlicher aufzu­
   zeigen. Sie berücksichtigt auch die Kritik an dem zu ausführlichen
   ursprünglichen Text. Die Umstrukturierung des Vorschlags betrifft die
   Bestimmungen in den Kapiteln II bis VI des ursprünglichen Vorschlags,
   die im wesentlichen in einem neuen Kapitel II zusammengefaßt sind, das
   alle allgemeinen Bedingungen für die Zulässigkeit der Verarbeitung
   personenbezogener Daten enthält, diese aber neu ordnet. Die Struktur der
   ursprünglichen Kapitel I, VII ff wurde nicht verändert.
   Kapitel II des geänderten Vorschlags ist in Abschnitte untergliedert,
   die die Grundsätze darlegen, die für die Gestaltung und Durchführung von
   Verarbeitungen personenbezogener Daten zu gelten haben (Abschnitte 1, 2
   und 3), das Recht auf Information, Auskunft und Widerspruch der
   betroffenen Personen (Abschnitte 4, 5 und 6), die Verpflichtungen im
   Bereich der Sicherheit (Abschnitt 7) und die Meldeverfahren bei den
   Kontrollbehörden (Abschnitt 8).
   Abschnitt 1 behandelt die allen Rechtsvorschriften der Mitgliedstaaten
   gemeinen Grundsätze, die sich aus den Bestimmungen des Übereinkommens
   108 des Europarats über die Qualität der Daten ableiten, die Gegenstand
   einer Verarbeitung sind. Er entspricht dem ursprünglichen Artikel 16.
   Die auf Antrag des Parlaments erfolgte Aufnahme der Datenerhebung in den
   Begriff der Verarbeitung hat einige redaktionelle Änderungen erforder­
   lich gemacht. Außerdem wurde die Änderung des Parlaments bezüglich der
   Archivierung von Daten für die wissenschaftliche Forschung berücksich­
   tigt.
   Die berechtigte Zweckbestimmung der Verarbeitungen personenbezogener
   Daten - einer der in Abschnitt 1 genannten Grundsätze - wird in Ab-
   schnitt 2 über die Grundsätze für die Verarbeitung von Daten erläutert.
   Dieser Abschnitt greift die in den ursprünglichen Kapiteln II und III
   enthaltene einschränkende Liste der Voraussetzungen auf, unter denen die
   Verarbeitungen durchgeführt werden dürfen; er verdeutlicht diese und
   bewahrt ihren allgemeinen Charakter. Dieser Liste zufolge sind diese
   Voraussetzungen insbesondere die Einwilligung der betroffenen Person,
 ---pagebreak---                                  - 5 -
die Erfüllung eines mit der betroffenen Person geschlossenen Vertrags,
die Erfüllung einer gesetzlichen Verpflichtung oder schließlich das
Abwägen der verschiedenen Interessen, die eine Rolle spielen. Diese
"Interessenabwägung", die sehr unterschiedliche Verarbeitungen betreffen
kann, wie Verarbeitungen für die kommerzielle Werbung oder die Verarbei­
tung öffentlich zugänglicher Daten, haben die Mitgliedstaaten nach von
ihnen festgelegten Verfahren vorzunehmen und dabei vor allem die
allgemeinen Grundsätze des Abschnitts 1 und der Rechte der betroffenen
Personen zu berücksichtigen.
Abschnitt 3 betrifft die besonderen Bestimmungen für Verarbeitungen im
Zusammenhang mit den Grundfreiheiten. Dieser Abschnitt umfaßt Bestimmun­
gen, die unter Bezugnahme auf das vorgenannte Übereinkommen und die
Stellungnahme des Parlaments, die in diesem Punkt teilweise aufgegriffen
wird, einen verstärkten Schutz bei der Verarbeitung empfindlicher Daten
vorsehen, d.h. bei der Verarbeitung von Daten insbesondere im Zusammen­
hang mit der Meinungsfreiheit. Diese Bestimmungen entsprechen dem
ursprünglichen Artikel 17. Sie greifen die Vorschläge des Parlaments zu
den Verarbeitungen durch politische oder gewerkschaftliche Vereinigungen
auf. In dem geänderten Vorschlag fallen diese Veränderungen somit in den
Anwendungsbereich der Richtlinie, womit die Rechte der Personen ihnen
gegenüber garantiert und der freie Verkehr der genannten Daten
gewährleistet werden kann. Abschnitt 3 betrifft außerdem die bereits
genannten Regeln für Verarbeitungen für journalistische Zwecke, die die
Vereinbarkeit der beiden Grundfreiheiten im Hinblick auf die Privat­
sphäre und die freie Meinungsäußerung garantieren sollen.
Abschnitt 4 betrifft die Verpflichtungen des Verantwortlichen der Ver­
arbeitung im Bereich der Information der betroffenen Person über die
erfolgten Verarbeitungen. Sie sollen die Transparenz der Verarbeitungen
sicherstellen und damit zu der Anwendung der Grundsätze der loyalen
Verarbeitung der Daten gemäß dem Übereinkommen 108 des Europarats
beitragen, auf die in Abschnitt 1 hingewiesen wurde. Abschnitt 4
entspricht den Bestimmungen der ursprünglichen Kapitel II, III und IV,
die in dem geänderten Vorschlag neu formuliert wurden, um insbesondere
Auslegungsprobleme auszuräumen, die zu Informationsredundanzen führen.
Abschnitt 5 betrifft das Auskunftsrecht der Personen über sie betreffen­
de Daten sowie das Recht auf Berichtigung dieser Daten. Er entspricht
den diesbezüglichen Bestimmungen des ursprünglichen Kapitels IV und
greift die Änderungen des Parlaments auf, das die Tragweite dieses
Rechts allgemein verstärkt (insbesondere das Recht der betroffenen
Person, die Herkunft der verarbeiteten Daten zu erfahren und die bei den
automatisierten   Verarbeitungen    verwendeten Argumentationen,   deren
Ergebnisse ihr entgegengehalten werden). Die geänderten Bestimmungen
berücksichtigen auch den Vorschlag des Parlaments, demzufolge die
Möglichkeit einer Beschränkung der Wahrnehmung des Auskunftsrechts im
Privatsektor unter den Bedingungen vorgesehen wird, die ursprünglich dem
öffentlichen Sektor vorbehalten waren.
Abschnitt 6 betrifft das Widerspruchsrecht der betroffenen Person aus
berechtigten Gründen. Er entspricht den diesbezüglichen Bestimmungen der
Kapitel III und IV des ursprünglichen Vorschlags. Dieser Abschnitt
enthält die Verpflichtung, den betroffenen Personen die Möglichkeit des
Widerspruchs vor der Übermittlung von Daten an Dritte zum Zweck
schriftlicher Werbung anzubieten.
 ---pagebreak---                                 - 6 -
Abschnitt 7 greift mit einigen redaktionellen Änderungen die Bestimmun­
gen über die Sicherheit auf, die im ursprünglichen Kapitel V enthalten
waren.
Abschnitt 8 entwickelt die ursprünglichen Bestimmungen über die Meldung.
Mit dem vorgeschlagenen selektiven System, das weitgehend aus den
Änderungen des Parlaments übernommen wurde, wird das Ziel verfolgt, die
Transparenz der Verarbeitungen und insbesondere die Ermittlung ihrer
Zweckbestimmungen zu gewährleisten und dabei die Intervention der
Kontrollbehörden an den Verarbeitungen auszurichten, die besondere
Aufmerksamkeit erfordern, weil sie Risiken mit sich bringen. Er geht von
dem Grundsatz aus, daß jede Verarbeitung der Kontrollbehörde zu melden
ist, sofern sie teilweise oder vollständig automatisiert ist; präzisiert
wird, daß die Meldung ein Paket von Verarbeitungen betreffen kann, deren
Zweckbestimmungen vom Standpunkt des Verantwortlichen dieser Verarbei­
tungen aus und gegenüber den betroffenen Personen verbunden sind.
Vorgeschlagen wird, daß die Mitgliedstaaten im Lichte ihrer Erfahrung
Maßnahmen treffen, um die Verarbeitungen, deren Durchführung im Hinblick
auf die Rechte und Freiheiten der betroffenen Personen keine Risiken
birgt, von der Meldepflicht zu befreien oder diese Pflicht zu erleich­
tern. Die getroffenen Maßnahmen beschreiben die betroffenen Verarbei­
tungen und ihre möglichen Durchführungsbedingungen. Schließlich wird
vorgeschlagen, daß den Kontrollbehörden die Befugnis übertragen werden
kann, die gemeldeten Verarbeitungen vor ihrer Durchführung zu prüfen.
Kapitel III enthält die Bestimmungen der Kapitel IV und VII des
ursprünglichen Vorschlags über die Rechtsmittel der betroffenen Person,
Haftung und Sanktionen. Diese Bestimmungen wurden geändert, um die
Stellungnahme des Parlaments zu berücksichtigen.
Kapitel IV betrifft die Transfers personenbezogener Daten in Dritt­
länder. Es entspricht dem ursprünglichen Kapitel VIII. Es wurde wie
obengenannt geändert und greift die Bestimmungen auf, die der Gemein­
schaft die Entwicklung einer gemeinsamen Politik in dem Bereich ermög­
lichen sollen.
Kapitel V betrifft die Verhaltensregeln. Es entspricht den diesbezügli­
chen Bestimmungen des ursprünglichen Kapitels VI und greift die
Stellungnahme des Parlaments zu dem Verfahren der Ausarbeitung der
Verhaltensregeln auf, bei dem die unabhängigen Kontrollbehörden einbe­
zogen werden. Außerdem wird die Möglichkeit für die Mitgliedstaaten
hinzugefügt, die Berufsgruppen bei der Umsetzung der Rechtsvorschriften
durch die Ausarbeitung nationaler Verhaltensregeln zu beteiligen.
Kapitel VI behandelt die nationalen Kontrollbehörden und die Daten­
schutzgruppe, die zur einheitlichen Anwendung der nationalen Durch­
führungsbestimmungen der Richtlinie beitragen und die Kommission beraten
soll. Dem Wunsch des Parlaments gemäß wurden die Untersuchungsbefugnisse
der nationalen Behörden präzisiert. Die ursprüngliche Zusammensetzung
der Gruppe wurde beibehalten, um ihre Unabhängigkeit zu gewährleisten.
Aus diesem Grund ist auch vorgesehen, daß die Gruppe ihren Vorsitzenden
wählt. Die genauen Bedingungen, unter denen sie von der Kommission zu
konsultieren ist, werden genannt.
 ---pagebreak---                                 - 7 -
Kapitel VII betrifft die Durchführungsbefugnisse, die der Rat der
Kommission übertragen sollte. Entgegen der Stellungnahme des Parlaments
bleibt die Kommission hier bei ihrem ursprünglichen Vorschlag. Sie ist
der Ansicht, daß die Annahme technischer Anpassungsmaßnahmen aufgrund
der Tragweite und des technischen Charakters des Bereichs der Verarbei­
tung personenbezogener Daten erforderlich sein wird.
Schlußbestimmungen: Um dem Wunsch des Parlaments zu entsprechen, ist
eine Frist von drei Jahren, die zu der Frist für die Umsetzung der
Richtlinie hinzukommt, für die Anwendung der neuen nationalen Rechtsvor­
schriften vorgesehen.
 ---pagebreak---                                    - 8 -
             KOMMENTARE ZUM TITEL UND ZU DEN ERWÄGUNGSGRÜNDEN
TITEL
Der Titel wurde in zweierlei Hinsicht präzisiert:
   "Zum freien Datenverkehr" wurde hinzugefügt, um deutlich hervorzuheben,
   daß der Vorschlag auf die Errichtung und das Funktionieren des Binnen­
   markts auf der Grundlage einer Harmonisierung abzielt, die den Schutz
   der Personen gewährleistet;
-  um jede Unklarheit über den Anwendungsbereich des Vorschlags auszu­
   räumen, wurde präzisiert, daß der Schutz nur für natürliche Personen
   gilt.
ERWÄGUNGSGRÜNDE
Die Kommission hat die Erwägungsgründe geändert, um die an den Bestimmungen
des Vorschlags vorgenommenen Änderungen zu berücksichtigen.
Dazu ist insbesondere folgendes zu bemerken:
   Der Erwägungsgrund Nr. 2 greift die Stellungnahme des Parlaments auf
   (Änderung Nr. 9), die darauf abzielt, die Vorteile hervorzuheben, die
   die Systeme der automatisierten Datenverarbeitung aufweisen, sofern sie
   die Rechte der Personen und die individuellen Freiheiten achten.
-  Es schien besser, den das Übereinkommen des Europarats vom 28. Januar
   1981 betreffenden Erwägungsgrund Nr. 10 unter die Erwägungsgründe ein­
   zureihen, mit denen die Problematik einer diesbezüglichen Gemeinschafts­
   politik beschrieben werden soll, da die Richtlinie die in dem Über­
   einkommen enthaltenen Grundsätze konkretisiert. In dem ursprünglichen
   Vorschlag stand dieser Erwägungsgrund (Nr. 22), dessen Wortlaut nicht
   geändert wurde, unter den Bestimmungen über den Datentransfer in
   Drittländer.
   Ein neuer Erwägungsgrund (Nr. 14) wurde aufgenommen, der die Grundsätze
   des Schutzes, die in den nachstehenden Erwägungsgründen zum Ausdruck
   kommen, kurz zusammenfassen soll.
   Mit den Änderungen der Erwägungsgründe Nr. 4 (neu) und 5 soll die Be­
   schreibung der Sachverhalte verstärkt werden, die zu einer Gemein­
   schaftsinitiative führen müssen, deren Notwendigkeit in den Erwägungs­
   gründen 7 und 8 hervorgehoben wird.
 ---pagebreak---                                    - 9 -
                         KOMMENTARE ZU DEN ARTIKELN
KAPITEL I
ALLGEMEINE BESTIMMUNGEN
Artikel 1
Gegenstand der Richtlinie
Artikel 1 ist dem Gegenstand der Richtlinie gewidmet. Dieser Gegenstand ist
die Gewährleistung des freien Verkehrs personenbezogener Daten zwischen den
Mitgliedstaaten mittels einer Harmonisierung der einzelstaatlichen Rechts­
vorschriften:
-  gemäß Absatz 1 sind die Mitgliedstaaten verpflichtet, den Schutz der
   Rechte und Freiheiten natürlicher Personen und insbesondere den Schutz
   der Privatsphäre bei der Verarbeitung personenbezogener Daten zu ge­
   währleisten. (Diese Terminologie wurde auch in Artikel 1 des Überein­
   kommens 108 des Europarats verwendet);
   Da der Schutz aufgrund der Richtlinie in allen Mitgliedstaaten nach
   denselben Grundsätzen gewährleistet wird und somit im gesamten Gebiet
   der Gemeinschaft gleichwertig ist, können die Mitgliedstaaten aufgrund
   von Absatz 2 den Verkehr der Daten in den unter die Richtlinie fallenden
   Bereichen nicht mehr aus Gründen des Schutzes der betroffenen Person
   beschränken.
So ermöglicht der Vorschlag nach Wunsch des Parlaments (Änderung Nr. 10,
zweiter Teil), die Erfordernisse der Vollendung des Binnenmarkts mit denen
des Schutzes der Personen zu vereinbaren.
Die Änderung Nr. 10 (erster Teil) wurde in dem geänderten Vorschlag
insofern aufgenommen, als der Begriff der Verarbeitung gemäß der Definition
in Artikel 2 Buchstabe a die Erhebung einschließt.
Artikel 2
Begriffsbestimmungen
Mit diesem Artikel werden die wichtigsten in der Richtlinie verwendeten
Begriffe definiert. Die Definitionen greifen die Begriffsbestimmungen des
Übereinkommens 108 des Europarats auf, die sie allerdings in dem erforder­
lichen Maße anpassen und präzisieren, um einen hohen gleichwertigen Schutz
in der Gemeinschaft sicherzustellen.
a) "Personenbezogene Daten". Der geänderte Vorschlag erfüllt das Ziel des
   Parlaments, das eine möglichst globale Definition des Begriffs der
   "personenbezogenen Daten" wünscht, um alle Informationen abzudecken, die
   mit einer natürlichen •Person in Verbindung gebracht werden können
   (Änderung Nr. 12). Eine Person kann unmittelbar durch einen Namen oder
   mittelbar durch eine Telefonnummer, ein Kraftfahrzeugkennzeichen, eine
 ---pagebreak---                                        - 10 -
       Sozialversicherungsnummer,   eine   Paßnummer   oder   eine   Verknüpfung
       bedeutsamer Kriterien identifiziert werden, die beispielsweise ihre
       Bestimmung   innerhalb   einer   kleinen   Gruppe   ermöglichen   (Alter,
       Beschäftigung, Anschrift usw.). Die Begriffsbestimmung erlaubt auch ein
       Abdecken von Daten wie Bild und Stimme, Fingerabdrücke und genetische
       Merkmale.
       Eine Definition der anonymen Daten wird nicht gegeben, da dieser Begriff
       in der Richtlinie nicht verwendet wird. Das Anonymat einer Information
       hängt somit nicht mehr von den Kosten für die Zuordnung zu der
       Ursprungsinformation ab (Änderung Nr. 13). In dem besonderen Fall einer
       Erfassung von Daten als Statistik erschien es jedoch zweckmäßig, zu
       präzisieren, daß diese nicht mehr als "personenbezogen" angesehen werden
       können, sobald die betroffenen Personen vernünftigerweise nicht mehr
       bestimmbar sind.
    b) "Verarbeitung personenbezogener Daten" (Verarbeitung). Die zugrunde
       gelegte Definition geht in Richtung eines weiten Anwendungsbereichs, der
       die Garantie des Schutzes Einzelner ermöglicht (Änderung Nr. 15). Sie
       umfaßt die Erhebung der Daten bis zu ihrer Löschung, über ihre
       Organisation, Benutzung, Abfrage, Weitergabe - definiert als Übermitt­
       lung, Verbreitung oder jede sonstige Form der Bereitstellung (Änderung
       Nr. 16) -, die Verknüpfung und das Sperren einschließt.
    c) "Datei mit personenbezogenen Daten" (Datei). Diese Definition, unter die
       sowohl automatisierte als auch nicht automatisierte Dateien fallen,
       wurde präzisiert. In bezug auf nicht automatisierte Datenverarbeitung
       ermöglicht sie eine Beschränkung des Anwendungsbereichs der Richtlinie
       auf Daten, die so strukturiert sind, daß sie den Zugriff und die Suche
       nach Daten über natürliche Personen erleichtern. Personenbezogene Daten,
       die nicht für ihre Benutzung im Hinblick auf die betroffenen Personen
       organisiert sind, sind somit ausgeschlossen. Diese letztgenannten Daten
       weisen f"'r ^ie Personen nicht dieselben Risiken auf, und es ist
       realistischer, sje nicht denselben Verpflichtungen zu unterwerfen.
       Um den Schutz der Personen zu gewährleisten, wird präzisiert, daß das
       Ziel oder die Wirkung der Kriterien der "Zugänglichkeit" darin bestehen
       muß, die Benutzung oder die Kombination von Daten zu erleichtern, damit
       die betroffene Person nicht genötigt ist, die Absicht nachzuweisen, was
       die Anwendung der einzelstaatlichen Rechtsvorschriften in Frage stellen
       könnte.
       Der Begriff "Kombination" wurde dem Begriff "Verknüpfung" vorgezogen, um
       sowohl automatisierte Verarbeitungen als auch Dateien auf Papier
       einzubeziehen.
    d) "Verantwortlicher der Verarbeitung". Diese Definition lehnt sich an den
       Begriff "maître du fichier" des Übereinkommens 108 des Europarats an.
       Da die Richtlinie im wesentlichen auf eine Regelung der Benutzung von
       Daten im Hinblick auf die verfolgten Zwecke abzielt, ist ein Bezug auf
       das Konzept des Verantwortlichen der Verarbeitung vorzuziehen. Es
       handelt sich um die Person, die in letzter Instanz für die Entschei­
       dungen über die Definition und die Durchführung der Verarbeitungen
       verantwortlich ist (meist der Betriebsleiter) und nicht um Personen, die
       die Verarbeitung gemäß den Anweisungen des Verantwortlichen vornehmen.
.3)
 ---pagebreak---                                   - 11 -
   Deshalb ist ausgeführt, daß der Verantwortliche "die Ziele" der
   Verarbeitung definiert. Die Änderung Nr. 17 wurde in diesem Punkt
   berücksichtigt. Der Verantwortliche der Verarbeitung kann die Daten
   selbst verarbeiten oder durch Mitglieder seines Personals oder auch
   durch eine mit der Verarbeitung beauftragte Person verarbeiten lassen;
   diese Person unterscheidet sich rechtlich von dem Verantwortlichen, ist
   aber in seinem Auftrag tätig.
e) "Mit der Verarbeitung beauftragte Person": Diese nützliche Definition
   hat das Parlament vorgeschlagen (Änderung Nr. 18).
f) "Dritter". Diese Definition ist das Ergebnis einer parlamentarischen
   Änderung (Nr. 134); sie ist in dem geänderten Vorschlag überarbeitet
   worden, um klar herauszustellen, daß die betroffene Person, der
   Verantwortliche der Verarbeitung sowie die Personen, die ermächtigt
   sind, unter seiner unmittelbaren Verantwortung oder in seinem Auftrag,
   wie die mit der Verarbeitung beauftragte Person, Daten zu verarbeiten,
   nicht als Dritte angesehen werden. Personen, die in einem anderen
   Unternehmen arbeiten, auch wenn dieses demselben Konzern oder derselben
   Holding angehört, dürfen im allgemeinen als Dritte angesehen werden.
   Bankfilialen hingegen, die Verarbeitungen im Rahmen der Kundenverwaltung
   unter der unmittelbaren Verantwortung des Hauptsitzes durchführen,
   dürften nicht als Dritte angesehen werden. Dies dürfte auch für
   Versicherungsvertreter gelten; die Situation für Versicherungsmakler
   beispielsweise könnte sich hingegen anders darstellen.
g) "Einwilligung der betroffenen Person": In dem ursprünglichen Vorschlag
   stand die Definition der Einwilligung der Person in eine Verarbeitung
   sie betreffender Daten in Artikel 12 in dem Kapitel zu den Rechten der
   Person.
   Dies hat zu Problemen geführt, da gewisse Berufskreise daraus abgeleitet
   hatten, daß für jede Verarbeitung die zuvorige Einwilligung der be­
   troffenen Person erforderlich sei, während es sich nur um eine der
   Grundlagen der Zulässigkeit der Verarbeitung handelt.
   Deshalb scheint es logischer, daß die Bestimmungen über die Einwilligung
   mit einigen redaktionellen Änderungen, die ihnen die Form einer
   Definition geben, in Artikel 2 der Richtlinie aufgenommen werden.
   Der Bezug auf den ausdrücklichen Charakter der Einwilligung wurde ge­
   strichen, um zu verhindern, daß dies als Erfordernis einer schriftlichen
   Erklärung ausgelegt werden kann (den empfindlichen Daten des Artikels 8
   des geänderten Vorschlags vorbehaltenes Verfahren). Er wurde durch die
   "ausdrückliche Willensbekundung" ersetzt, die schriftlich oder mündlich
   erfolgen kann.
   In der geänderten Fassung wurde präzisiert, daß die Einwilligung in den
   Fällen, in denen möglicherweise Druck auf die betroffene Person ausgeübt
   wird (Fall des Arbeitnehmers gegenüber seinem Arbeitgeber beispiels­
   weise), "ohne Zwang" zu erfolgen hat.
 ---pagebreak---                                    - 12 -
   Um der betroffenen Person die Möglichkeit zu geben, Gefahren und
   Vorteile der Verarbeitung sie betreffender Daten zu beurteilen und ihre
   Rechte gemäß Artikel 13 des Richtlinienvorschlags wahrzunehmen (Berich­
   tigung, Löschung, Sperrung), hat die Einwilligung auf der Grundlage der
   Information zu erfolgen. Aus diesem Grunde hat der Verantwortliche der
   Verarbeitung der betroffenen Person die benötigen Informationen mitzu­
   teilen, wie Namen und Anschrift des Verantwortlichen oder gegebenenfalls
   seines Vertreters (vgl. Artikel 4 Absatz 2), den Zweck der Verarbeitung,
   die gespeicherten Daten usw.
   Die Einwilligung der betroffenen Person gilt für den konkreten Fall,
   d.h., daß sie sich auf eine konkrete Verarbeitung von Daten über die
   betroffene Person durch einen bestimmten Verantwortlichen und für
   bestimmte Zwecke handeln muß.
   Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu
   widerrufen. Der Widerruf hat allerdings keine Rückwirkung, da andern­
   falls eine Verarbeitung personenbezogener Daten, die zuvor zulässig war,
   rückwirkend unzulässig würde.
Drei in dem    ursprünglichen   Vorschlag  enthaltene  Definitionen  wurden
gestrichen:
-  Die Definition der Kontrollbehörde, die in Artikel 32 des geänderten
   Vorschlags enthalten ist.
   Die Definitionen des öffentlichen und des privaten Sektors aufgrund der
   Zusammenfassung der Bestimmungen für diese Sektoren (vgl. Kapitel II des
   geänderten Vorschlags).
Artikel 3
Anwendungsbereich
Absatz 1 des geänderten Vorschlags bringt die Standpunkte derer, die sich
im Bereich Informatik lediglich auf das Konzept der "automatisierten
Verarbeitung" beziehen wollen (weil eine automatisierte Verarbeitung nicht
notwenigerweise die Existenz einer Datei voraussetzt) sowie derer in
Übereinstimmung, die befürchten, daß die Richtlinie sich auf alle, auch auf
die nicht strukturierten Daten auf Papier ausdehnt.
Deshalb wurden in dem geänderten Vorschlag unterschiedliche Kriterien für
die Definition des Anwendungsbereichs der Richtlinie zugrundegelegt, je
nachdem, ob die Daten Gegenstand einer automatisierten Verarbeitung sind
oder nicht: sie gilt nur für die nicht automatisierte Verarbeitung von
Daten, wenn diese Daten in einer Datei enthalten sind; im Informatikbereich
hingegen geht die Definition über den Begriff der Datei hinaus; die
Richtlinie findet auf jede automatisierte Datenverarbeitung Anwendung, auch
wenn diese Daten nicht in einer Datei enthalten sind.
Die Richtlinie gilt also für personenbezogene Daten, die entweder durch
ihre Organisation in einer manuellen Datei oder mittels einer Daten­
verarbeitung strukturiert sind.
 ---pagebreak---                                   - 13 -
Es wird auf "ganz oder teilweise" automatisierte Verarbeitungen Bezug
genommen, um darauf hinzuweisen, daß eine Verarbeitung eine Einheit
darstellt, auch wenn nur ein Teil (beispielsweise der Index) informatisiert
ist.
In Absatz 2 sind zwei Ausnahmen vorgesehen:
-  Die erste betrifft die Verarbeitungen für die Ausübung von Tätigkeiten,
   die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen (wie
   Geheimdienste). Der Anwendungsbereich der Richtlinie ist im Verhältnis
   zu dem Anwendungsbereich des Gemeinschaftsrechts definiert, um ihm zu
   ermöglichen, sich mit diesem zu entwickeln.
-  Die zweite Ausnahme betrifft die Benutzung von Daten zu ausschließlich
   privaten Zwecken, wie beispielsweise ein elektronisches Notizbuch
   (Änderung Nr. 22).
-  Weitere Ausnahmen sind nicht vorgesehen. Die Rechte der Bürger wären
   nicht mehr garantiert, wenn reihenweise verschiedene Organisationen von
   jeder Verpflichtung ausgenommen würden: Es ist zwar berechtigt, das für
   bestimmte Verarbeitungen personenbezogener Daten geltende System zu
   erleichtern (vgl. Abschnitt VIII in Kapitel II über die Meldung, der
   Möglichkeiten für die Befreiung oder Vereinfachung der Formalitäten
   vorsieht); eine Globalbefreiung ist hingegen nicht erforderlich.
Das besondere Problem der Vereinigungen und Verbände wird in dem Artikel
behandelt, der Ausnahmebestimmungen für die Sammlung empfindlicher Daten
enthält (Artikel 8 des geänderten Vorschlags).
Artikel 4
Geltendes einzelstaatliches Recht
In diesem Artikel sind die Kriterien enthalten, auf deren Grundlage
bestimmt werden kann, welche einzelstaatliche Rechtsvorschrift auf die
Verarbeitungen Anwendung findet, die in den Anwendungsbereich der Richt­
linie fallen; damit soll vermieden werden:
-  zum einen, daß die betroffene Person jeden Schutz verliert, insbesondere
   aufgrund eines Umgehens der Rechtsvorschrift;
   zum anderen, daß dieselbe Verarbeitung der Anwendung mehrerer einzel­
   staatlicher Rechtsvorschriften unterworfen wird.
In dem ursprünglichen Vorschlag bestimmte der Standort der Datei die
territoriale Zuständigkeit; dieses Kriterium wurde in dem geänderten
Vorschlag nicht aufgegriffen, weil der Standort einer Datei oder einer
Verarbeitung oft unmöglich zu bestimmen sein wird: letztere können viele,
auf mehrere Mitgliedstaaten verteilte Standorte haben, vor allem im Fall
von Datenbanken und Netzen, Phänomenen in ständiger Expansion.
Deshalb wird in den geänderten Vorschlag das geltende Recht unter Be­
zugnahme auf den Ort definiert, an dem der Verantwortliche der Verarbeitung
ansässig ist.
 ---pagebreak---                                   - 14 -
Ist der Verantwortliche der Verarbeitung nicht im Hoheitsgebiet der Gemein­
schaft ansässig, benutzt aber automatisierte oder nicht automatisierte
Mittel zum Zwecke der Verarbeitung (Terminals, Fragebögen usw.) im Hoheits­
gebiet eines Mitgliedstaats, so gilt das Recht des Staates, in dessen
Hoheitsgebiet sich diese Mittel befinden. Außerdem hat der Verantwortliche
der Verarbeitung einen in diesem Hoheitsgebiet ansässigen Vertreter zu
benennen, der in seine Rechte und Pflichten eintritt.
In diesem Fall obliegt diesem Vertreter die Meldepflicht (vgl. Abschnitt
VIII in Kapitel II); jede Unterrichtung der betroffenen Personen über den
Verantwortlichen der Verarbeitung gemäß dem Richtlinienvorschlag ist durch
eine Information über dessen Vertreter zu ergänzen.
Die Änderung Nr. 24 wurde insofern aufgegriffen, als sie den Bezug auf eine
vereinzelte Abfrage streicht, einen Begriff, dem die klare Zuordnung fehlte
und der somit zu unterschiedlichen Auslegungen geführt hätte.
Aufgrund der Wahl des Kriteriums der Ansässigkeit des Verantwortlichen der
Verarbeitung ergibt sich durch eine vorübergehende Verbringung einer Datei
keine Änderung für das anwendbare Recht. Deshalb wurde Artikel 4 Absatz 3
des ursprünglichen Vorschlags nicht aufgenommen.
KAPITEL II
ALLGEMEINE BEDINGUNGEN FÜR DIE RECHTMÄSSIGKEIT DER VERARBEITUNG PERSONEN­
BEZOGENER DATEN
Der geänderte Vorschlag hat eine andere Struktur als der ursprüngliche Vor­
schlag: In dem neuen Kapital II sind alle Grundsätze, Rechte und Pflichten
zusammengefaßt, die die Zulässigkeit der Verarbeitungen bestimmen. Gemäß
der Stellungnahme des Parlaments wurden die Bestimmungen zum öffentlichen
und zum privaten Sektor zusammengefaßt.
Artikel 5
Dieser Artikel greift Artikel 6 Absatz 2 und Artikel 8 Absätze 1 und 3 des
ursprünglichen Vorschlags auf.
Ihm zufolge sehen die Mitgliedstaaten         vor, daß die Verarbeitung
personenbezogener Daten nur dann zulässig ist, wenn sie im Einklang mit
allen Bestimmungen des Kapitels II, das eine Einheit bildet, erfolgt.
Außerdem wird hervorgehoben, daß die Mitgliedstaaten in ihren Rechtsvor­
schrift die Voraussetzungen näher bestimmen können, unter denen die
Verarbeitung im Rahmen der Bestimmungen des Kapitels II zulässig sind.
Diese Präzisieenrungen können beispielsweise darin bestehen, je nach
 betrachtetem Sektor die Fälle zu definieren, in denen das Interesse der
 betroffenen Person überwiegt (Artikel 7 Buchstabe f), die Modalitäten für
die Unterrichtung der betroffenen Personen (Abschnitt IV) oder die
 Bedingungen für die Wahrnehmung des Widerspruchsrechts (Abschnit VI). Sie
dürfen den Grundsatz des freien Verkehrs der Daten innerhalb der
Gemeinschaft nicht in Frage stellen.
 ---pagebreak---                                    - 15 -
ABSCHNITT I
GRUNDSÄTZE FÜR DIE QUALITÄT DER DATEN
Artikel 6
Dieser Artikel enthält die wesentlichen     Grundsätze  aus Artikel  5  des
Übereinkommens 108 des Europarats.
Da es sich Bestimmungen über die Grundrechte von Personen bei der
Verarbeitung von Informationen handelt, stehen sie am Beginn des Kapitels
über die Rechtmäßigkeit der Verarbeitungen. Für die Auslegung der folgenden
Artikel dieses Kapitels ist es notwendig, sich darauf zu beziehen.
Die Bestimmungen des Artikels 6 greifen die des Übereinkommens 108 des
Europarats mit einigen Änderungen auf, mit denen sie an die Begriffs­
bestimmungen in Artikel 2 (insbesondere die Definition der Verarbeitung)
und den Anwendungsbereich der Richtlinie angepaßt werden sollen, die - im
Gegensatz zu dem Übereinkommen 108 - sowohl automatisierte als auch nicht
automatisierte Verarbeitung von Daten betreffen, die in Dateien enthalten
sind.
Artikel 6 Buchstabe a bestimmt, daß die Verarbeitung personenbezogener
Daten nach Treu und Glauben und auf rechtmäßige Art und Weise zu erfolgen
hat. Diese Bestimmung zielt auf die Verarbeitung in ihrer Definition nach
Artikel 2 Buchstabe e ab und schließt somit natürlich die Erhebung ein.
Die Bestimmung in Artikel 6 Buchstabe a schließt insbesondere die Verwen­
dung verborgener Geräte aus, mit denen heimlich und ohne Wissen der
betroffenen Person beispielsweise durch Abhören des Telefons und andere
Mittel Daten gesammelt werden können. Diese Bestimmung untersagt ferner den
Verantwortlichen der Verarbeitung, heimlich eine Verarbeitung personen­
bezogener Daten vorzunehmen und diese zu benutzen.
Artikel 6 Buchstabe b enthält den Grundsatz der Zweckbestimmung der Daten­
erhebung (unabhängig davon, ob sie mit automatisierten oder nicht
automatisierten Mitteln erfolgt). Diesem Grundsatz zufolge dürfen persön­
liche Daten nur für bestimmte, ausdrücklich festgelegte und rechtmäßige
Zwecke bewahrt werden.
Der Gegenstand der Erhebung persönlicher Daten muß bestimmt sein, d.h., das
Ziel der Erhebung und Benutzung der Daten muß so genau wie möglich
definiert werden. Eine allgemeine oder vage Definition oder Beschreibung
des Gegenstands einer Verarbeitung (beispielsweise "für kommerzielle
Zwecke") entspricht dem Grundsatz der Definition der Zweckbestimmung nach
Artikel 6 Buchstabe b nicht.
Die Zweckbestimmung ist vor der Erhebung der Daten zu spezifizieren. Werden
die Daten bei der betroffenen Person erhoben, so sieht Artikel 11 vor, daß
die Zweckbestimmung bereits zu dem Zeitpunkt der Datenerhebung feststehen
muß.
Eine spätere Änderung der Zweckbestimmung einer Verarbeitung ist nur dann
rechtmäßig, wenn sie mit der ursprünglichen Zweckbestimmung vereinbar ist.
 ---pagebreak---                                   - 16 -
Nach Artikel 6 Buchstabe b ist der Verantwortliche der Verarbeitung auch
verpflichtet, die Zweckbestimmung der Datenspeicherung und des Datensatzes
festzulegen.
Da die Zweckbestimmung der Speicherung und Benutzung personenbezogener
Daten rechtmäßig sein muß, sind die potentiellen Zweckbestimmungen einer
Verarbeitung beschränkt. Eine solche Verarbeitung kann nur für einen
Gegenstand gestaltet und benutzt werden, der den Bestimmungen der
Richtlinie und den einzelstaatlichen Rechtsvorschriften der Mitgliedstaaten
entspricht.
Gemäß Artikel 6 Buchstabe c) müssen die Daten den Zwecken entsprechen, für
die sie verarbeitet werden, dafür erheblich sein und nicht darüber
hinausgehen. Dieser Grundsatz setzt voraus, daß die Art der Daten der
verfolgten Zweckbestimmung entspricht.
Die Bestimmungen in Artikel 6 Buchstabe d stehen in engem Zusammenhang zu
den Bestimmungen in Artikel 6 Absatz 1 Buchstaben b und c. Die Daten müssen
richtig und, falls erforderlich, auf dem neusten Stand sein. Sind die Daten
nicht zutreffend oder unvollständig im Hinblick auf die Zweckbestimmung
der Datei, so sieht Artikel 6 Buchstabe d vor, daß sie gelöscht oder
berichtigt werden müssen.
Artikel 6 Buchstabe e bezieht sich auf die Höchstdauer der Aufbewahrung
personenbezogener Daten. Dieser Bestimmung zufolge ist die Aufbewahrung von
Daten in einer Form, die die Identifizierung der betroffenen Personen
ermöglicht, nur während des Zeitraums zulässig, der für Erreichen des Ziels
erforderlich ist , für das die Daten erhoben worden sind.
In bestimmten Fällen kann es allerdings nach einer gewissen Frist, wenn
eine Verarbeitung ihre eigentliche Zweckbestimmung verloren hat, notwendig
sein, sie zr vor allem historischen Zwecken oder für die Forschung
aufzubewahren. Artikel 6 Buchstabe e legt deshalb gemäß der Stellungnahme
des Parlaments (Änderung Nr. 60) fest, daß die Mitgliedstaaten geeignete
Garantien für Daten vorsehen können, die für historische, statistische oder
wissenschaftliche Zwecke archiviert werden, um zum einen den strikten
Grundsatz der Zweckbestimmung und das Recht auf Löschung, zum anderen die
Erfordernisse der Forschung zu verbinden.
Nach Artikel 6 Absatz 2 ist der Verantwortliche der Verarbeitung verpflich­
tet, für die Einhaltung der Bestimmungen über die Qualität der Daten in
Artikel 6 Absatz 1 zu sorgen.
ABSCHNITT II
GRUNDSÄTZE IN BEZUG AUF DIE GRUNDLAGEN DER VERARBEITUNG VON DATEN
Artikel 7
In Artikel 7 sind in einer vereinfachten und neugeordneten Form die Voraus­
setzungen für die rechtmäßige Verarbeitung personenbezogener Daten zusam­
mengefaßt, die in dem ursprünglichen Vorschlag in den Artikeln 5, 6 und 8
standen. Gemäß der Stellungnahme des Parlaments in den Änderungen Nr. 27,
28 und 29 ist die Unterscheidung zwischen öffentlichem und privatem Sektor
aufgehoben worden.
 ---pagebreak---                                   - 17 -
Auf die Verarbeitung von Daten zu einem anderen Zweck als dem, zu dem die
Verarbeitung ursprünglich vorgenommen wurde (ursprünglicher Artikel 5.1.b)
sowie auf die rechtmäßigen Kriterien für die Übermittlung personenbezogener
Daten (ursprüngliche Artikel 6 und 8.2) wird nicht speziell eingegangen.
Der allgemeine Grundsatz der Zweckbestimmung (geänderter Artikel 6.1.b) und
die in dem geänderten Artikel 7 festgelegten Voraussetzungen werden für
ausreichend gehalten.
Die in den Änderungen Nr. 30 und 32 vorgeschlagenen spezifischen Voraus­
setzungen allerdings sind nur teilweise in der geänderten Fassung auf­
gegriffen worden.
Die Einwilligung wird nicht mehr als wichtigstes Kriterium angesehen, von
dem es Ausnahmen gibt, sondern als eine von mehreren möglichen Vor­
aussetzungen (geänderter Artikel 7a).
Statt einer Bezugnahme auf ein "vertragsähnliches Verhältnis", ein von
vielen Stellen als vage eingeordneter Begriff, der auch unter den Begriff
"vertragliches   Verhältnis"  oder   den   des   "berechtigten  Interesses"
(Buchstabe f) des geänderten Artikels 7 fällt, wurde der Begriff der
"vorvertraglichen Maßnahmen, die auf Antrag der betroffenen Person
erfolgen" aufgenommen, um die Situation vor Schaffung eines vertraglichen
Verhältnisses abzudecken (geänderter Artikel 7 b).
Die Verarbeitung infolge einer durch einzelstaatliche oder gemeinschaft­
liche Rechtvorschriften auferlegten Verpflichtung (geänderter Artikel 7 c)
wurde beibehalten.
Dies gilt auch für die Buchstaben e und       f (teilweise) des geänderten
Artikels 7.
Buchstabe d wurde für Fälle hinzugefügt, in denen die betroffene Person
lebenswichtige Interessen an der Verarbeitung ihrer personenbezogenen Daten
hat, ihre Einwilligung aber nicht geben kann (beispielsweise schwere
medizinische Fälle).
Buchstabe f - der teilweise der Änderung Nr. 32 des Parlaments entspricht -
stellt eine Ausarbeitung des ursprünglichen Artikels 8.1 Buchstabe c dar,
in dem berücksichtigt wird, daß es bedeutende berechtigte Interessen neben
den Interessen des Verantwortlichen der Verarbeitung und der betroffenen
Person geben kann, die berücksichtigt werden müssen. Artikel 8.1 Buchsta­
be b des ursprünglichen Textes wurde gestrichen, weil die Kommission
festgestellt hat, daß in bestimmten Fällen allgemein zugängliche Quellen
empfindliche personenbezogene Daten enthalten können. Darüber hinaus sind
die Daten in den meisten Fällen für spezielle Zwecke verarbeitet worden und
sollten deshalb nicht für andere Zwecke benutzt werden, ohne daß die
anderen Bestimmungen der Richtlinie zugrunde gelegt würden.
 ---pagebreak---                                        - 18 -
    ABSCHNITT III
    BESONDERE KATEGORIEN DER VERARBEITUNG
    Artikel 8
    Dieser Artikel entspricht dem ursprünglichen Artikel 17.
    Allgemein wird davon ausgegangen, daß das Recht auf Privatsphäre nicht
    durch den Inhalt personenbezogener Daten, sondern durch den Kontext der
    Verarbeitung personenbezogener Daten gefährdet wird. Unter den Mitglied­
    staaten herrscht allerdings ein breiter Konsens darüber, daß es bestimmte
    Kategorien von Daten gibt, die aufgrund ihres Inhalts das Risiko mit sich
    bringen, das Recht der betroffenen Person auf Privatsphäre zu verletzen.
    Deshalb enthält Artikel 8 des Richtlinienvorschlags strikte Beschränkungen
    der Verarbeitung und Benutzung der nachstehenden Kategorien empfindlicher
    Daten: rassische Herkunft (einschließlich Informationen über die Haut­
    farbe); politische Meinung, religiöse, philosophische oder moralische
    Überzeugung, einschließlich der Tatsache, daß eine Person keiner Glaubens­
    gemeinschaft angehört (diese Kategorien umfassen Informationen über Tätig­
    keiten der betroffenen Person im Hinblick auf politische, religiöse oder
    philosophische Überzeugungen); Informationen über Gewerkschaftszugehörig­
    keit, die Gesundheit der betroffenen Person (einschließlich Informationen
    über ihre frühere, derzeitige und zukünftige physische und geistige Gesund­
    heit sowie Informationen über Drogen- und Alkoholmißbrauch) ; Informationen
    über das Sexualleben. Auch andere als religiöse oder philosophische
    Anschauungen können empfindliche Daten darstellen; deshalb wurden die
    "moralischen Überzeugungen" hinzugefügt.
    Der ursprüngliche Artikel 17 wurde verändert und neu geordnet, um bestimm­
    te, vom Parlament genannte Punkte aufzunehmen (Änderungen Nr. 63, 149, 65).
    Als allgemein. Grundsatz steht in Absatz 1, daß die Verarbeitung (auto­
    matisiert aar manuell, wie vom Parlament in Änderung Nr. 63 gefordert)
    "empfindlicher" Dacer untersagt ist.
    Absatz 2 enthält einige Ausnahmen von dieser allgemeinen Regel:
       Statt dem Erfordernis "ausdrückliche, schriftliche Einwilligung, ohne
       Zwang" als allgemeine Voraussetzung für die Verarbeitung derartiger
       Daten, von der es Ausnahmen geben kann, wurde es für sinnvoller ge­
       halten, eine derartige Einwilligung als eine von verschiedenen Ausnahme­
       möglichkeiten von dem allgemeinen Verbot der Verarbeitung derartiger
       Daten aufzunehmen.
    -  Die Verarbeitung derartiger Daten erfolgt durch Stiftungen oder Vereini­
        gungen politischer, philosophischer, religiöser oder gewerkschaftlicher
        Art als Teil ihrer berechtigten Ziele unter der Voraussetzung, daß sie
        sich nur auf die Mitglieder und Korrespondenzpartner bezieht, die ihre
        Einwilligung zu der Einbeziehung gegeben haben, und daß sie Dritten
        nicht übermittelt werden. Dies wird für eine notwendige Funktion
        demokratischer Gesellschaften gehalten. Eine solche Verarbeitung wird
        auch gemäß dem Vorschlag des Parlaments (Änderung Nr. 149) von der in
        Abschnitt VIII dieses Kapitels vorgesehenen Meldepflicht befreit.
(4)
 ---pagebreak---                                    - 19 -
   Die Verarbeitung erfolgt unter Bedingungen, die offenkundig die Privat­
   sphäre und die Grundfreiheiten der betroffenen Person nicht gefährden.
   Beispiele für eine derartige Verarbeitung sind Daten politischer Art
   über einen Politiker, Namenslisten von Personen, die für einen kurzen
   Zeitraum und unter Einhaltung strikter Sicherheitsvorkehrungen Gegen­
   stand von Meinungsumfragen sind.
Wie Artikel 17 Absatz 2 des ursprünglichen Vorschlags ermöglicht Absatz 3
Ausnahmen aus "wichtigen Gründen des öffentlichen Interesses". Derartige
Ausnahmen dürften insbesondere internationalen Menschenrechtsorganisa­
tionen, die solche Daten für ihre Arbeit benötigen, gewährt werden,
vorausgesetzt, daß sie entsprechende Sicherheitsvorkehrungen vorsehen.
Der Meinung des Parlaments (Änderung Nr. 65), demzufolge Daten über straf­
rechtliche Verurteilungen lediglich von Justizbehörden gespeichert werden
dürfen, ist in Absatz 4 dieses Artikels teilweise Rechnung getragen. Neben
den Justizbehörden können derartigen Daten auch von den unmittelbar von den
entsprechenden   Gerichtsentscheiden   betroffenen  Personen   oder   ihren
Vertretern aufbewahrt werden. Aufgrund der besonderen Empfindlichkeit
derartiger Daten wurde es für richtig gehalten, Ausnahmen nur über
gesetzliche Bestimmungen zuzulassen, die auch geeignete Garantien vorsehen
(geänderter Artikel 8.4).
Der vorgeschlagene Absatz 3.A (Änderung Nr. 65 des Parlaments, zweiter
Teil), in dem die Mitgliedstaaten aufgefordert werden, festzulegen, unter
welchen Bedingungen eine nationale Kennziffer - sofern eine solche besteht
- oder jedes andere Kennzeichen allgemeiner Bedeutung verwendet werden
darf, wurde an- und in Absatz 5 aufgenommen.
Artikel 9
Verarbeitungen durch die Presse
Dieser Artikel entspricht dem ursprünglichen Artikel 19. Die Mitglied­
staaten sind aufgefordert, Ausnahmen von den Bestimmungen der Richtlinie
für die Presse und die audiovisuellen Medien vorzusehen, soweit sie er­
forderlich sind, um die Grundrechte der Menschen, insbesondere das Recht
auf Privatsphäre, mit dem Recht auf freie Meinungsäußerung zu vereinbaren;
in diesem Bereich besteht die Gefahr eines Konflikts zwischen den beiden
Kategorien der Grundrechte. Der gewählte Ansatz hebt die Verpflichtung
hervor, bei einer Ausnahmeregelung die betroffenen Interessen abzuwägen.
Dabei kann unter anderem berücksichtigt werden, daß die betroffene Person
über Rechtsmittel oder das Recht auf eine Gegendarstellung verfügt, ein
Verhaltenskodex existiert oder durch die Europäische Menschenrechts­
konvention und die allgemeinen Rechtsgrundsätze Beschränkungen festgelegt
sind.
Im Hinblick auf den ursprünglichen Wortlaut sind aus Gründen der Harmoni­
sierung Ausnahmebestimmungen für Presseorgane, audiovisuelle Medien und
Journalisten (Hinzufügung zu dem ursprünglichen Text) für die Mitglied­
staaten zwingend vorgesehen. Spezifiziert wird, daß derartige Ausnahmen nur
Verarbeitungen für journalistische Zwecke betreffen. Unter den Begriff
Journalisten fallen sowohl Reporter/ Fotografen als auch Autoren z.B.
Biographen.
 ---pagebreak---                                    - 20 -
ABSCHNITT IV
INFORMATION DER BETROFFENEN PERSON
In Abschnitt IV sind alle Bestimmungen über die Information der betroffenen
Personen zusammengefaßt, die in dem ursprünglichen Vorschlag an verschie­
denen Stellen aufgeführt waren (ursprüngliche Artikel 9, 13, 14.3).
Artikel 10
Information über die Existenz einer Verarbeitung
Dieser Artikel entspricht dem ursprünglichen Artikel 14 Absatz 3 über das
Recht der betroffenen Person, "die Existenz einer Datei, ihre wichtigsten
Zweckbestimmungen sowie die Identität und den gewöhnlichen Aufenthalt, den
Sitz oder die Niederlassung des für die Datei Verantwortlichen zu kennen".
Der ursprüngliche Wortlaut wurde wie folgt geändert.
Das Recht auf Information kann auf Antrag wahrgenommen werden. "Name und
Anschrift des Verantwortlichen der Verarbeitung oder seines Vertreters"
sind an die Stelle von "gewöhnlicher Aufenthalt, Sitz oder Niederlassung
des für die Datei Verantwortlichen" getreten, da Name und Anschrift als
ausreichende Information für die Ausübung der Rechte der betroffenen Person
angesehen werden. Die Dritten oder die betroffenen Datenkategorien werden
ebenfalls für wichtig gehalten und wurden zu den Informationen hinzugefügt,
auf deren Kenntnis die betroffene Person Anspruch hat.
Ausnahmen von diesem Recht auf Information können die Mitgliedstaaten auf
der Grundlage und zu den Voraussetzungen des Artikels 14 Absatz 1 festlegen
(Staatssicherheit, Verteidigung, öffentliche Sicherheit usw.).
Artikel 11
Unterrichtung   bei Erhebung  personenbezogener Daten bei der   betroffenen
Person
Dieser Artikel, der der betroffenen Person, bei der personenbezogene Daten
erhoben werden, spezifische Rechte auf Information gewährt, entspricht dem
ursprünglichen Artikel 13.
Die faire rechtmäßige Erhebung personenbezogener Daten setzt voraus, daß
die betroffene Person darüber entscheidet, ob sie den Personen, die die
Daten erheben, sie betreffende Daten auf der Grundlage zuverlässiger Fakten
 bekanntgibt, die die Zweckbestimmung der Verarbeitung, die Identität des
 Verantwortlichen der Verarbeitung, die Frage, ob eine gesetzliche
 Verpflichtung für die Offenlegung der Daten besteht, ob diese Offenlegung
 freiwillig erfolgt, sowie mögliche Konsequenzen einer unterlassenen Beant­
 wortung betreffen. Damit sie ihre Rechte geltend machen und die Benutzung
 der sie betreffenden Daten tatsächlich kontrollieren kann, sollte sie auch
 über ihre Rechte auf Auskunft und Berichtigung sowie die Empfänger der
 Daten unterrichtet sein.
 ---pagebreak---                                   - 21 -
Im Hinblick auf den ursprünglichen Wortlaut wurden folgende Änderungen
vorgenommen:
   im Titel wird herausgestellt, daß dieser Artikel Anwendung findet, wenn
   personenbezogene Daten bei der betroffenen Person erhoben werden;
-  dies wird in Absatz 1 bestätigt, in dem herausgestellt wird, daß der Er­
   halt der Information nicht nur ein Recht der betroffenen Person dar­
   stellt (das auf Anfrage ausgeübt wird), sondern eine Verpflichtung des
   Verantwortlichen der Verarbeitung, wenn personenbezogene Daten bei den
   betroffenen Personen erhoben werden. Die Durchführung wird von den
   besonderen Umständen der Erhebung abhängen;
   wie in dem ursprünglichen Vorschlag (Artikel 13.2), ermächtigt Arti­
   kel 11.2 die Mitgliedstaaten, die Informationspflicht der betroffenen
   Person aufgrund überwiegender allgemeiner Interessen einzuschränken.
   Dieser Bestimmung zufolge besteht keine Pflicht auf Information gemäß
   Artikel 11 (Absatz 1) der betreffenden Person, wenn die Unterrichtung
   der betroffenen Person die Ausübung der Kontroll- und Überprüfungs­
   aufgaben einer Behörde oder die Aufrechterhaltung der öffentlichen
   Sicherheit und Ordnung verhindert.
Artikel 12
Unterrichtung bei Weitergabe an einen Dritten
Dieser Artikel entspricht Artikel 9 des ursprünglichen Textes. Damit die
betroffene Person ihre Rechte geltend machen kann, fordert Absatz 1, daß
der Verantwortliche der Datei die betroffene Person über die Übermittlung
sie betreffender Daten unterrichtet. Die betroffene Person kann dann ihr
Recht auf Auskunft wahrnehmen und Widerspruch gegen eine Fortsetzung der
betreffenden Verarbeitung einlegen.
Die Änderung Nr. 35 wurde teilweise aufgenommen, wo sie sich auf die über­
nommenen Bestimmungen der Änderung Nr. 32 bezieht. Artikel 8.2 Buchstabe a,
auf den sich die Änderung Nr. 35 bezieht, entspricht Artikel 7 Buchstabe c,
auf den sich der geänderte Artikel 13 bezieht; Artikel 8.2 Buchstabe e ent­
spricht Artikel 7 Buchstabe b, Artikel 8.2 Buchstabe g entspricht teilweise
Artikel 7 Buchstabe f.
Das Recht der betroffenen Person, gegen die Verarbeitung (einschließlich
der Übermittlung) Widerspruch einzulegen, wird in Abschnitt VI Artikel 5
und 16 des geänderten Textes behandelt. Der Inhalt der Änderung Nr. 35
Absatz 3 steht in dem geänderten Artikel 15 (ohne Bezugnahme auf das nicht
erforderliche und verwirrende Konzept der mit der Verarbeitung beauftragten
Person).
In dem geänderten Text wird nicht zwischen öffentlichem und privatem Sektor
unterschieden (die Verpflichtung, zum Zeitpunkt der Übermittlung zu infor­
mieren, galt in dem ursprünglichen Wortlaut hauptsächlich für den Privat­
sektor ).
 ---pagebreak---                                    - 22 -
Auf die "on line-Abfrage" wird nicht eingegangen, da diese im Konzept der
Übermittlung enthalten ist. Die Informationspflicht gilt nicht:
-  wenn die Übermittlung für die Wahrung lebenswichtiger Interessen der
    betroffenen Person erforderlich ist (in einem solchen Fall kann die
    Informatierung nicht möglich sein oder den Interessen der betroffenen
   Person zuwiderlaufen);
    wenn die betroffene Person bereits auf      die  Übermittlung  oder  die
    mögliche Übermittlung hingewiesen wurde;
    wenn die Übermittlung durch Gesetz vorgesehen ist, das eine Ausnahme von
    der Informationspflicht der betroffenen Person vorsieht;
    wenn die Übermittlung durch einen der Gründe nach Artikel 14 Absatz 1
    begründet wird (nationale Sicherheit, Verteidigung, öffentliche Sicher­
    heit usw.).
Neben der Zweckbestimmung der Verarbeitung, der Art der betreffenden Daten
und dem Namen und der Anschrift des Verantwortlichen der Verarbeitung (oder
seines Vertreters), wurde für erforderlich gehalten, daß die betroffene
Person auch über die Empfänger oder die Kategorien der Empfänger und das
Recht auf Auskunft, Berichtigung und Widerspruch unterrichtet wird.
Absatz 3 des geänderten Artikels 12 entspricht Artikel 10 des ursprüng­
lichen Textes über die besonderen Ausnahmen von der Pflicht zur Benach­
richtigung der betroffenen Person (wenn sich die Benachrichtigung als
unmöglich erweist oder mit unverhältnismäßigen Bemühungen verbunden ist,
ihr ein überwiegendes berechtigtes Interesse des Verantwortlichen der
Verarbeitung oder ein vergleichbares Interesse eines Dritten entgegen­
steht). Hinzugefügt wurde, daß die Kontrollbehörde bei der Genehmigung
einer Ausnahmebestimmung gegebenenfalls geeignete Garantien vorzusehen hat
(damit die Rechte und Freiheiten der betroffenen Person durch die mangelnde
Information nicht über Gebühr beeinträchtigt werden).
Bei der Gewährung von Ausnahmen von der Informationspflicht der betroffenen
Person sind insbesondere die Menschenrechts- und humanitären Organisationen
zu achten, damit die berechtigte Arbeit derartiger Organisationen nicht in
unangemessener Art und Weise behindert wird.
Artikel 13
Auskunftsrecht
Dieser Artikel enthält die Bestimmungen des ursprünglichen Artikels 14 zu
 dem Auskunftsrecht der betroffenen Person im Hinblick auf ihre personenbe­
 zogenen Daten und das damit verbundene Recht auf Berichtigung, Löschung
 oder Sperrung derartiger Daten (Ziffer 4 (und 7)). Wie in Artikel 14 Zif­
 fer 4 des ursprünglichen Textes hat die betroffene Person gemäß dem
 geänderten Artikel 13 Ziffer 1 das Recht, in angemessenen Abständen,
 unverzüglich und ohne überhöhte Kosten eine Bestätigung des Vorhandenseins
 sie betreffender personenbezogener Daten und gegebenenfalls die Übermitt­
 lung dieser Daten in verständlicher Form zu erhalten.
 ---pagebreak---                                   - 23 -
Es obliegt den Mitgliedstaaten, festzulegen, wie derartige Informationen
der betroffenen Person übermittelt werden, um beispielsweise die Bekannt­
machung der Daten an die entsprechende Person zu gewährleisten oder die
Wahrnehmung des Rechtes sowohl des Verantwortlichen der Verarbeitung als
auch der betroffenen Person zu erleichtern, wenn bestimmte Datenverarbei­
tungsvorgänge betroffen sind, insbesondere im Fall manueller Dateien. Die
Mitgliedstaaten haben ebenfalls durch einzelstaatliche Rechtsvorschriften
zu bestimmen, was "in angemessenen Abständen" bedeutet. Werden die
Interessen der betroffenen Person und des Verantwortlichen der Verarbeitung
abgewogen, so können die innerstaatlichen Rechtsvorschriften der Mitglied­
staaten vorsehen, daß der Verantwortliche der Verarbeitung einer betrof­
fenen Person, die ihr Recht auf Auskunft wahrnimmt, nicht mehr als die
tatsächlich entstandenen Kosten in Rechnung stellt. Die Kosten dürfen nicht
überhöht sein.
Artikel 13 Ziffer 1 (ursprünglicher Artikel 14 Ziffer 4) wurde geändert, um
die Änderung Nr. 48 zu berücksichtigen, die teilweise aufgenommen wurde.
Das Auskunftsrecht kann auf Antrag wahrgenommen werden. Der betroffenen
Person wird das Recht gewährt, Informationen über die Herkunft (nicht die
allgemeine Herkunft, das wäre zu vage und somit sinnlos) und die allgemeine
Verwendung (nicht die genaue Benutzung, dies könnte zu belastend und
bürokratisch sein) der betreffenden personenbezogenen Daten zu erhalten.
Darüber hinaus können die Mitgliedstaaten spezielle Vorschriften über die
Wahrnehmung des Auskunftsrechts der betroffenen Person erlassen, wenn es um
medizinische Daten geht. Aus Gründen des Schutzes der betroffenen Person
vor einem extremen psychologischen Schock kann ihr eine derartige Informa­
tion durch einen ärztlichen Sachverständigen übermittelt werden.
Artikel 13 Ziffer 2 wurde hinzugefügt, um die Änderung Nr. 132 aufzunehmen.
Er beugt dem Mißbrauch einer Wahrnehmung des Auskunftsrechts entgegen den
berechtigten Interessen der betroffenen Person vor (Beispiel des Parla­
ments: der betroffenen Person darf von keiner Person als Voraussetzung für
eine Beschäftigung oder Weiterbeschäftigung zur Auflage gemacht werden, von
ihrem Auskunftsrecht in bezug auf ihre eigenen personenbezogenen Daten
Gebrauch zu machen. Die Auskunft auf Antrag eines Dritten ist allerdings
erlaubt, sofern sie sich auf einzelstaatliche oder gemeinschaftliche
Rechtsvorschriften stützt (Beispiel: Bescheinigungen über den Familien­
status usw., die für die Feststellung der Rechte für verschiedene
Leistungen der sozialen Sicherheit erforderlich sind).
Artikel 13 Ziffer 3 (ursprünglicher Artikel 14 Ziffer 5) gibt der be­
troffenen Person das Recht auf Berichtigung, Löschung oder Sperrung von
Daten, wenn ihre Verarbeitung mit der Richtlinie unvereinbar ist. Im
Vergleich zu Ziffer 5 des ursprünglichen Textes wurden geringfügige
Änderungen vorgenommen, die darauf abzielen, den geänderten Text wie vom
Parlament gefordert (Änderung Nr. 46) klarer zu machen.
Die Änderung Nr. 49 wurde ebenfalls teilweise aufgenommen. "Ganz oder teil­
weise fehlende Informationen" wurden "unvollständige Daten" genannt und in
den geänderten Artikel 13 Ziffer 3 aufgenommen. Die Begriffe "entsprechend
den Umständen" und "Löschung" sind in diesem Zusammenhang sinnvoll und
wurden deshalb in dem geänderten Text (außer in der englischen Fassung)
beibehalten.
 ---pagebreak---                                    - 24 -
Der Wortlaut der Richtlinie ("entsprechend den Umständen") überläßt die
konkrete Form der Rechte der betroffenen Person im Hinblick auf Berich­
tigung, Löschung oder Sperrung in den verschiedenen Situationen, in denen
personenbezogene Daten in Verletzung der Richtlinie verarbeitet und benutzt
werden, den Datenschutzgesetzen der Mitgliedstaaten.
Artikel 13 Ziffer 4 entspricht dem ursprünglichen Artikel 14 Ziffer 7.
Dieser Absatz greift das Interesse der betroffenen Person auf, daß Dritten,
denen unzutreffende oder unvollständige Daten übermittelt wurden, die
Berichtigung, Löschung oder Sperrung der Daten mitgeteilt wird, damit sie
sie ebenfalls berichtigen, löschen oder sperren können.
Artikel 13 Ziffer 5 wurde als zusätzliche Sicherung im Fall von Entschei­
dungen durch automatische Mittel eingefügt, die zu Ergebnissen führen, die
den Interessen der betroffenen Person entgegenstehen. In diesem Fall hat
die betroffene Person das Recht, die bei der entsprechenden Verarbeitung
verwendeten Begründungen zu erfahren.
Artikel 14
Ausnahmen vom Auskunftsrecht
Der Artikel entspricht dem ursprünglichen Artikel 15. Er erlaubt den Mit­
gliedstaaten eine Beschränkung des Auskunftsrechts der betroffenen Person,
um ein überwiegendes öffentliches Interesse oder ein Interesse einer Person
zu schützen, das den gleichen Wert hat wie das Recht auf Privatsphäre der
betroffenen Person. Den Mitgliedstaaten obliegt die Entscheidung, inwieweit
sie in ihr inländisches Datenschutzgesetz Ausnahmen auf der Grundlage von
Artikel 14 aufnehmen, es sei denn, solche Ausnahmen sind aufgrund einer ge­
meinschaftsrechtlichen Verpflichtung (z.B. auf dem Gebiet der Bankenauf­
sicht oder der Geldwäsche) zwingend vorgeschrieben. Die in dieser
Bestimmung ^avaelegten Ausnahmen beschränken sich allerdings auf die für
die Erhaltung grundlegender Werte in einer demokratischen Gesellschaft
erforderlichen Beschränkungen, die durch Gesetz erlassen werden müssen.
Die Änderung Nr. 54 wurde aufgegriffen. Der geänderte Artikel 14 beschränkt
sich nicht nur auf die Verarbeitung durch den öffentlichen Bereich, sondern
auch auf Verarbeitung durch den Privatsektor.
Das Verzeichnis der Interessen in Absatz 1, die eine Beschränkung des Aus­
kunftsrechts gemäß Artikel 14 der Richtlinie rechtfertigen, ist er­
schöpfend.
Der Begriff "Sicherheit des Staates" ist als Schutz der           nationalen
Souveränität gegen Bedrohungen von innen und außen auszulegen.
 "Strafverfolgung" betrifft die Verfolgung von Verbrechen, die bereits be­
 gangen wurden, während das Konzept "öffentliche Sicherheit" alle politi­
 schen Funktionen staatlicher Organe einschließlich der Verbrechensverhütung
 umfaßt. Das "zwingende wirtschaftliche und finanzielle Interesse eines
 Mitgliedstaats oder der Europäischen Gemeinschaft" bezieht sich auf alle
 wirtschaftspolitischen Maßnahmen und Mittel zur Finanzierung der Politik
 eines Mitgliedstaats oder der Gemeinschaft, z.B. Devisenkontrollen,
 Kontrollen des Außenhandels und Steuererhebung. Nur ein bedeutendes Inter­
 esse dieser Art rechtfertigt allerdings eine Beschränkung des Auskunfts­
 rechts.
 ---pagebreak---                                   - 25 -
Schließlich wird ein Interesse einer anderen Person, einschließlich
gegebenenfalls dem des Verantwortlichen der Verarbeitung selbst, das dem
Auskunftsrecht der betroffenen Person oder den Rechten und Freiheiten
anderer entspricht, als ausreichender Grund für die Beschränkung des
Auskunftsrechts angesehen. Derartige Interessen sind: die Betriebs­
geheimnisse anderer; Regeln für das Berufsgeheimnis, das für die Tätigkeit
von Juristen oder Ärzten gilt; das Recht einer Person, ihre eigene
Verteidigung in einem Gerichtsverfahren vorzubereiten; der Schutz der
Menschenrechte. Ausnahmen von dem Recht der betroffenen Person auf Zugriff
zu den sie betreffenden Daten, die sich im Besitz von Menschenrechts­
organisationen befinden, sollten von den Kontrollbehörden in Fällen
gestattet werden, in denen ein unbeschränkter Zugriff andere Personen (wie
vertrauliche Informationsquellen) oder      die überwiegenden Interessen
derartiger Organisationen gefährden kann. Wird der betroffenen Person die
Auskunft über sie betreffende, in einer Datei gespeicherte Daten aufgrund
eines Interesses nach Artikel 14 Ziffer 1 verweigert, so sieht Artikel 14
Ziffer 2 vor, daß die Datenschutzbehörde auf Antrag der genannten Person
die notwendigen Überprüfungen der Datei vornehmen muß, in der die Daten
enthalten sind (wie in dem ursprünglichen Vorschlag Artikel 15 Ziffer 2).
Zweck dieser Kontrolle ist es, nachzuprüfen, ob die Verarbeitung angesichts
der in dieser Richtlinie festgelegten Kriterien zulässig ist. Bei der
Kontrolle muß die Datenschutzbehörde alles vermeiden, was den gemäß Ab­
satz 1 geschützten Interessen zuwiderläuft.
Aufgrund von Artikel 14 Ziffer 3 (ursprünglich Artikel 15 Ziffer 3) können
die Mitgliedstaaten das Auskunftsrecht für Daten einschränken, die vorüber­
gehend Gegenstand einer Verarbeitung für statistische Zwecke sind, da
derartige Vorgänge nur eine geringfügige Bedrohung der betroffenen Person
darstellen.
ABSCHNITT VI
WIDERSPRUCHSRECHT DER BETROFFENEN PERSON
Artikel 15
Widerspruch aus berechtigten Gründen
Gemäß Artikel 15 Absatz 1, der Artikel 14 Absatz 1 des ursprünglichen
Vorschlags aufgreift, hat die betroffene Person das Recht, aus berechtigten
Gründen dagegen Widerspruch einzulegen, daß sie betreffende Daten Gegen­
stand einer Verarbeitung sind. Die berechtigten Gründe können das Fehlen
einer gesetzlichen Berechtigung einer bestimmten Verarbeitung personenbe­
zogener Daten sein, beispielsweise, weil die in Kapitel II der Richtlinie
über die Rechtmäßigkeit dieser Verarbeitung vorgesehenen Voraussetzungen
nicht erfüllt sind. Eine betroffene Person wäre hingegen juristisch nicht
berechtigt, Widerspruch gegen eine zulässige Verarbeitung einzulegen, die
für die Erfüllung des sie mit dem Verantwortlichen verbindenden Vertrags
erforderlich ist.
Absatz 2 greift Artikel 9 Absatz 3 des ursprünglichen Vorschlags auf. Er
führt aus, daß der Verantwortliche der Verarbeitung im Fall des Wider­
spruchs unter den in Absatz 1 vorgesehenen Bedingungen verpflichtet ist,
die Verarbeitung einzustellen.
 ---pagebreak---                                       - 26 -
    Absatz 3 führt die Bestimmungen von Artikel 14 Absatz 6 des ursprünglichen
    Vorschlags weiter aus. Die Verpflichtungen des Verantwortlichen der
    Verarbeitung gegenüber den betroffenen Personen werden präzisiert, wenn er
    in Anwendung der übrigen Bestimmungen des Richtlinienvorschlags ermächtigt
    ist, Dritten für besondere Werbezwecke Daten zu übermitteln. Diese Ver­
    pflichtungen gelten unabhängig von der Art der Werbung, ob es sich um eine
    kommerzielle Werbung oder um eine Werbung durch oder für eine karitative
    Vereinigung oder eine politische Partei handelt. Diese Verpflichtungen
    bestehen für den Verantwortlichen der Verarbeitung darin, sich zu
    vergewissern, daß den betroffenen Personen vor der Übermittlung aus­
    drücklich die Möglichkeit angeboten wurde, die Daten unentgeltlich löschen
    zu lassen. Diese Verpflichtung gilt auch, wenn die Daten nicht übermittelt,
    sondern für dieselben Zwecke von einem Verantwortlichen der Verarbeitung im
    Auftrag eines Dritten benutzt werden. Der Verantwortliche der Verarbeitung
    kann seinen Verpflichtungen bei seinen regelmäßigen Kontakten mit den
    betroffenen Personen nachkommen, ohne notwendigerweise eine spezifische
    Korrespondenz zu führen.
    Dieser Absatz betrifft nur die schriftliche Werbung. Die Maßnahmen für den
    Schutz der Personen gegen unerwünschte, durch Telekommunikationsmittel vor­
    genommene Anfragen sind in dem geänderten Richtlinienvorschlag vorgesehen,
    mit dem Personen im Rahmen der Telekommunikationsnetze geschützt werden
    sollen.
    Artikel 16
    Automatisierte EinzelentScheidungen
    Die Gefahr einer mißbräuchlichen Verwendung der Informatik bei der Ent­
    scheidungsfindung ist eine der Hauptgefahren der Zukunft: Das von der
    Maschine gelieferte Ergebnis, die immer höher entwickelte Software und
    Expercensysteren zugrundelegt, hat einen scheinbar objektiven und unbe­
    streitbaren Ci .rakter, dem der menschliche Entscheidungsträger übermäßige
    Bedeutung „jimessen kann, wenn er seiner Verantwortung nicht nachkommt.
    Artikel 16 Absatz i legt deshalb den Grundsatz fest, demzufolge eine Person
    das Recht hat, einer Verwaltungsmaßnahme oder Entscheidung im privaten
    Bereich, die ihr vorgehalten wird, nicht unterworfen zu sein, die sich aus-
    schließich auf eine automatisierte Verarbeitung stützt, die ein Persönlich­
    keitsprofil erstellt.
    Dieser Absatz 1 ist im Vergleich zu dem ursprünglichen Vorschlag über­
    arbeitet worden, um genauer auf die Fälle einzugehen, für die seine
    Bestimmungen gelten.
    Drei Bedingungen müssen gegeben sein:
       Die Person muß einer beschwerenden Entscheidung unterworfen sein. Es muß
       sich um eine Entscheidung handeln, die ihr gegenüber wirksam ist, die
       für sie Konsequenzen hat; die Tatsache beispielsweise, daß kommerzielle
       Prospekte einer Reihe durch Computer bestimmter Personen zugeschickt
       werden, stellt keine beschwerende Entscheidung dar.
(5)
 ---pagebreak---                                   - 27 -
-  Es muß sich um eine Entscheidung handeln, die sich ausschließlich auf
   eine automatisierte Verarbeitung stützt: Verboten ist die strikte
   Anwendung der von dem System erzielten Ergebnisse durch den Benutzer.
   Die Informatik kann eine Hilfe für die Entscheidung darstellen, in
   keinem Fall aber die einzige Grundlage für diese sein; für die
   menschliche Beurteilung muß Raum sein.
   Im Widerspruch zu diesem Grundsatz stünde beispielsweise, wenn ein
   Arbeitgeber die Bewerbung eines Arbeitsuchenden lediglich aufgrund der
   Ergebnisse eines psychotechnischen Computertests ablehnen würde, oder
   auch die Produktion von Listen über derartige Beurteilungssoftware, die
   Noten zuweisen und die Bewerber in einer bestimmten Reihenfolge auf der
   Grundlage ihres Persönlichkeitstests einordnen;
   Die Verarbeitung hat auf die die Person betreffenden Daten Variable
   anzuwenden, die ein Standardprofil der Persönlichkeit bestimmen (das als
   gut oder als schlecht eingestuft wird), was alle Fälle ausschließt, in
   denen das System keine Definition des Persönlichkeitsprofils gibt: die
   Tatsache beispielsweise, daß eine Person aus einem Geldautomaten nicht
   den gewünschten Betrag erhalten kann, weil sie ihren Kredit bereits
   erschöpft hat, fällt nicht unter eine solche Definition.
In der geänderten Fassung ist aufgrund des Grundsatzes, demzufolge der
erforderliche Teil der menschlichen Beurteilung den Risiken entsprechen
muß, die eine Entscheidung für den Menschen mit sich bringt, die auf ihn
ein Persönlichkeitsprofil anwendet, das ausschließlich durch Computer
ausgearbeitet wurde.
Eine parlamentarische Änderung (Nr. 46) schlug vor, eine solche Ent­
scheidung im Falle der Einwilligung der Person oder im Rahmen eines
Vertrags oder einer vertragsähnlichen Vertrauensbeziehung zu erlauben.
Der geänderte Vorschlag nimmt die vorgeschlagenen Umstände nicht auf; wenn
ein für die betroffene Person ungünstiges Machtverhältnis besteht (bei­
spielsweise der Fall der arbeitssuchenden Person), so könnten weder ihre
Einwilligung noch die Perspektive eines Vertrags eine ausreichende Garantie
bieten.
Nach Absatz 2 kann die Person einer Unterscheidung nach Absatz 1 unter­
worfen werden, wenn diese im Rahmen eines zwischen ihr und dem Verant­
wortlichen der Verarbeitung geschlossenen Vertrages ergeht oder im Rahmen
des Abschlusses eines solchen Vertrages, sofern die Person entweder
zufriedengestellt wird oder geeignete Maßnahmen (die die Mitgliedstaaten
präzisieren können) die Wahrung ihrer berechtigten Interessen garantieren.
Diese Garantie kann aus einer Rechtsvorschrift, den Meldeverfahren oder
auch betriebsinternen Maßnahmen entstehen.
So kann beispielsweise für die Kreditvergabe an eine Einzelperson auf die
Technik des "credit scoring" zurückgegriffen werden, wenn die positiven
Kreditvergabeentscheidungen'lediglich auf der Grundlage einer automatischen
Risikobewertung ergehen; bei negativer Punktzahl muß die Wahrung der
berechtigten Interessen der betroffenen Person garantiert werden (bei­
spielsweise, wenn die endgültige Entscheidung ausgesetzt wird, bis die
Dienste eine nicht automatische Prüfung der Akte vorgenommen haben können).
 ---pagebreak---                                   - 28 -
ABSCHNITT VII
SICHERHEIT DER VERARBEITUNG
Artikel 17
Dieser Artikel entspricht•Artikel 18 des ursprünglichen Textes.
Eine Bedrohung des Rechtes auf Privatsphäre der betroffenen Person kommt
nicht nur von dem Verantwortlichen der Verarbeitung, der die personen­
bezogenen Daten für seine eigenen Zwecke erhebt, speichert, verarbeitet und
übermittelt.
Das Recht auf Privatsphäre ist auch gefährdet, wenn die Daten durch Dritte
über nicht genehmigten Zugriff zu den Daten und deren Verwendung mißbraucht
werden.
Gemäß Artikel 17 haben die Mitgliedstaaten insbesondere den Verant­
wortlichen der Verarbeitung zu verpflichten, zum Schutz der Datenver­
arbeitung gegen die Gefahr unzulässigen Zugriffs durch Dritte oder
zufälligen Datenverlusts, einschließlich zufälliger oder unrechtmäßiger
Zerstörung, nicht genehmigter Umgestaltung oder nicht genehmigtem Zugriff
zu den Daten und jede andere nicht genehmigte Verarbeitung geeignete
technische und organisatorische Maßnahmen zu treffen.
Die Änderung Nr. 67 wurde teilweise berücksichtigt. Statt "automatisierte
Dateien" wurde die "automatisierte Verarbeitung der Daten" verwendet. Der
Bezug auf die "Kosten für die Maßnahmen" wurde gestrichen. In dem
geänderten Text wird der Begriff "Verantwortlicher der Verarbeitung"
verwendet.
Aus Gründen der Klarheit wurden einige geringfügigere Änderungen vorge­
nommen. In Absatz 1 wurde die "nicht genehmigte Zerstörung" durch die
"unrechtmäßige Zerstörung" ersetzt, der "nicht genehmigte Zugriff" durch
die "nicht genehmigte Weitergabe"; im englischen Text trat "the state of
technology" an die Stelle von "the state of the art". In Absatz 2 wurde in
der englischen Fassung "adequate security" durch "appropriate security"
ersetzt. In Absatz 3 wurde der "Datenabruf in automatischem Verfahren"
durch die "Möglichkeit des Fernzugriffs" ersetzt. In Ziffer 4 wird
ausgeführt, daß die Pflichten hinsichtlich der Sicherheit auch den Personen
obliegen, die bei der Durchführung der Verarbeitung Verantwortung tragen,
insbesondere den mit der Verarbeitung beauftragten Personen.
Daneben wurden zwei wesentlichere Änderungen vorgenommen. In Absatz 3 wird
ausgeführt, daß die technischen Anlagen und Programme im Fall des Fern­
zugriffs so zu gestalten sind, daß der Zugriff im Rahmen der Rechtmäßigkeit
der Verarbeitung erfolgt (nicht im Rahmen der vom Verantwortlichen der
Verarbeitung erteilten Berechtigung; da eine derartige Genehmigung sicher
nicht über den Rahmen einer rechtmäßigen Verarbeitung hinausgehen könnte,
wäre sie für die Zwecke des Datenschutzes irrelevant).
 ---pagebreak---                                   - 29 -
In Absatz 5 wurde eine Ausnahme von der Verpflichtung aufgenommen, Dritten
nicht ohne das Einverständnis des Verantwortlichen der Verarbeitung Daten
zu übermitteln, wenn die Übermittlung aufgrund einzelstaatlicher oder
gemeinschaftlicher Rechtsvorschriften vorgesehen ist (Beispiel: für straf­
rechtliche Ermittlungszwecke).
ABSCHNITT VIII
MELDUNG
Artikel 18
Meldepflicht bei der Kontrollbehörde
Artikel 18 greift die Artikel 7 und 11 des ursprünglichen Vorschlags über
die Meldung von Dateien im öffentlichen und im privaten Sektor bei der
Kontrollbehörde auf. Gemäß dem Wunsch des Parlaments in seiner Stellung­
nahme wurden diese Bestimmungen zusammengefaßt. Diese Form hat den Vorteil,
hervorzuheben, daß bei der Meldung unabhängig von dem Sektor, in dem die
Datenverarbeitungen erfolgen, derselbe Ansatz für die Meldung zugrunde
gelegt werden muß.
Gegenstand, Tragweite und Inhalt der ursprünglichen Bestimmungen wurden
allerdings geändert, um die Stellungnahme des Parlaments zu berücksichtigen
und die Kohärenz des geänderten Vorschlags zu gewährleisten. Die Änderungen
des Parlaments (Nummern 39, 40, 41, 118 und 119) führen zu einer Ent­
wicklung der Bestimmungen über die Meldung in mehreren Artikeln. Durch die
Meldung soll neben der Transparenz der Verarbeitungen wie in dem ursprüng­
lichen Vorschlag eine selektive Kontrolle der Zulässigkeit der Ver­
arbeitungen durch die Kontrollbehörde sichergestellt werden. Je nach dem
Risikograd, den sie aufweisen, hat die Kontrolle im allgemeinen a
posteriori und in einigen beschränkten Fällen a priori zu erfolgen.
1. Artikel 18 Absatz 1 ändert die        in  dem  ursprünglichen  Vorschlag
   vorgesehene Meldepflicht wie folgt:
   a) Um die Kohärenz des in dem geänderten Vorschlag zugrundegelegten
      Ansatzes zu gewährleisten, wird vorgeschlagen, daß die Meldung die
      Verarbeitung personenbezogener Daten und nicht mehr die Datei
      betrifft. Diese Änderung richtet die Kontrolle mehr an der Benutzung
      und den Vorgängen im Zusammenhang mit den Daten im Hinblick auf die
      Realisierung bestimmter Zweckbestimmungen aus (Art der Vorgänge, der
      Verknüpfungen, der Übermittlungen an Dritte, Art der erhobenen,
      gespeicherten Daten usw.) und weniger an der speziellen technischen
      Gestaltung der Daten in Dateien, die im Hinblick auf den Schutz der
      Personen möglicherweise wenig bedeutend       ist, wenn die Daten
      automatisiert sind;
 ---pagebreak---                                     - 30 -
   b. das Kriterium der       Datenübermittlung an Dritte, das in dem
      ursprünglichen Vorschlag zugrundegelegt wurde, um die Verpflichtung
       zu begründen, wurde wegen der Kritik an seinem unangemessenen
      Charakter nicht aufgenommen, da bestimmte Übermittlungen an Dritte
       die Rechte der Personen nicht beeinträchtigen; außerdem sollte be­
      rücksichtigt werden, daß hingegen interne Verarbeitungen Risiken
       aufweisen können, insbesondere wenn ihr Ziel darin besteht, Bevölke­
       rungsgruppen   auszuwählen.   In    diesem Zusammenhang   schien   es
       zweckmäßig, die Meldepflicht auf alle Verarbeitungen personenbe­
       zogener Daten vor ihrer Durchführung auszudehnen. Dieser Ansatz soll
       die Verantwortlichen der Verarbeitung veranlassen, die erforderlichen
       Maßnahmen für die Einhaltung der ihnen obliegenden Pflichten vor der
       Realisierung ihrer Verarbeitungen zu planen. Für eine Beurteilung der
       praktischen Auswirkungen dieser Änderung müssen allerdings die
       Bestimmungen des Artikels 19 über die Vereinfachung und Befreiung von
       Meldepflicht berücksichtigt werden ;
   c. um die Berücksichtigung der globalen, bisweilen vielschichtigen
       Realität der durch einen Verantwortlichen der Verarbeitung vorge­
       nommenen Verarbeitungen zu berücksichtigen und eine übermäßige
       Häufung der Meldungen zu vermeiden, wird vorgeschlagen, daß eine
       Meldung das gesamte Paket der - repetitiven oder nichtrepetitiven -
       Verarbeitungen betrifft, mit denen eine oder mehrere vom Standpunkt
       des Verantwortlichen der Verarbeitung und der betroffenen Personen
       aus miteinander verbundene Zweckbestimmung(en) realisiert werden
       sollen. So dürfte beispielsweise nur eine Meldung für alle Verarbei­
       tungen gefordert werden, die die Kreditverwaltung betreffen und von
       einer Kreditanstalt vorgenommen werden, um die Kreditanträge zu
       berücksichtigen, zu prüfen, die Kredite zu gewähren, die geschuldeten
       Außenstände einzutreiben und strittige Fälle zu verfolgen;
   d. zur Vermeidung übermäßiger administrativer Schritte wird vorge­
       schlagen, hinzuzufügen, daß die Meldepflicht nur vollständig oder
       teilweise automatisierte Verarbeitungen betrifft, um den Mitglied­
       staaten freizustellen, ob sie die Pflicht gemäß Artikel 21 auf die
       manuellen Dateien ausdehnen wollen.
2. Artikel 18 Absatz 2 fügt Präzisionen über den Inhalt der Meldung hinzu:
   a. Die Angabe der Kategorie(n) der von der Verarbeitung betroffenen
       Personen wird hinzugefügt (ehemalige Kunden des Unternehmens,
       Personal des Unternehmens, Prospekt oder Empfänger einer Sozialhilfe
       usw.),
    b. außerdem wird hinzugefügt, daß die Information über Dritte, denen die
       Daten übermittelt werden, im Hinblick auf Kategorien von Dritten
        präzisiert werden kann (Änderung Nr. 39);
    c. zu der Beschreibung der Daten, auf die sich die Verarbeitung bezieht,
       wird die Möglichkeit hinzugefügt, nur Datenkategorien zu präzisieren;
       dies reicht aus, wenn ein zu umfassendes technisches Detail keine
        wichtigen Elemente für das Verständnis der betreffenden Verarbeitung
        hinzufügen würde;
 ---pagebreak---                                   - 31 -
   d. die Existenz von Datentransfers in Drittländer wird als Angabe
      hinzugefügt, um die Anwendung der sie betreffenden spezifischen
      Bestimmungen zu erleichtern und die Berücksichtigung ihres spezifi­
      schen Kontexts zu gewährleisten;
   e. die in dem ursprünglichen Vorschlag vorgesehene Beschreibung der
      Sicherheitsmaßnahmen wird beibehalten, weilv ihre Kontrolle vor allem
      im Rahmen der Entwicklung der über Telekommunikationsnetze im Fern­
      zugriff erfolgten Verarbeitungen von Bedeutung ist.
3. Artikel 18 Absatz 3 betrifft die Meldung von Änderungen an den
   Verarbeitungen. Die Meldepflicht der an den Verarbeitungen vorgenommenen
   Änderungen, die den Inhalt der zuvor erfolgten Meldung, die in dem
   ursprünglichen Vorschlag vorgesehen ist, betreffen, wird beibehalten, um
   die Aktualisierung der allgemein zugänglichen Verarbeitungen sowie die
   weitere Kontrolle zu gewährleisten; diese ist besonders wichtig, wenn
   die Zweckbestimmung der Verarbeitung       verändert wird oder neuen
   Kategorien von Dritten die Daten, auf die sie sich bezieht, übermittelt
   werden können.
4. In den Absätzen 4 und 5 wurde die Stellungnahme des Parlaments aufge­
   griffen (Änderungen Nr. 40, 41, 118 und 119), derzufolge bestimmte
   Verarbeitungen, die geeignet sind, besondere Risiken im Hinblick auf die
   Rechte und Freiheiten der betroffenen Personen mit sich zu bringen, vor
   ihrer Durchführung Gegenstand einer Stellungnahme oder einer Genehmigung
   der Kontrollbehörde sein müssen.
   Die verschiedenen institutionellen Ansätze in den einzelnen Mitglied­
   staaten wurden berücksichtigt; es schien jedoch besser, in Artikel 18
   Absatz 4 eine Verpflichtung der Mitgliedstaaten aufzunehmen, derartige
   Verarbeitungen vor ihrer Durchführung einer vorherigen Prüfung durch die
   Kontrollbehörde zu unterziehen. Die Mitgliedstaaten können diese nicht
   zwingende Prüfung durch eine gesetzliche Genehmigung oder eine Geneh­
   migung durch die Kontrollbehörde ersetzen.
   Diese besonderen Risiken können beispielsweise an der Art der ver­
   arbeiteten Daten liegen, insbesondere der in Artikel 8 genannten Daten,
   an der Tragweite der Verarbeitung, wenn sie eine ganze nationale
   Bevölkerung   betrifft,  oder   auch  an   den   Zweckbestimmungen,  wie
   beispielsweise dem Ausschluß der betroffenen Personen von der Begünsti­
   gung durch ein Recht, eine Leistung oder einen Vertrag (schwarze Listen,
   Verarbeitungen für die Auskunft Dritter über die Zahlungsfähigkeit
   natürlicher Personen).
   In Artikel 18 Absatz 4 wird eine Präzision hinzugefügt, mit der im
   Interesse des Verantwortlichen der Verarbeitung die Frist für die
   vorherige Prüfung seines Falls durch die Kontrollbehörde begrenzt wird.
   Dieser in demselben Artikel vorgeschlagene Ansatz dürfte die Mitglied­
   staaten nicht daran hindern, auf der Grundlage ihrer Erfahrung für
   bestimmte Kategorien der genannten Verarbeitungen Maßnahmen für die Ver­
   einfachung und Befreiung von der Meldepflicht gemäß Artikel 19 zu
   treffen.
 ---pagebreak---                                   - 32 -
5. Der Vollständigkeit der Vorstellung dieser Bestimmungen halber ist
   herauszustellen, daß die vollständig oder teilweise automatisierten
   Verarbeitungen, die weder unter das Verfahren zur Vereinfachung oder
   Befreiung von der Meldepflicht gemäß Artikel 19, noch unter dasVerfahren
   der vorherigen Prüfung fallen, und somit den Kontrollbehörden in Anwen­
   dung der Bestimmungen des Artikels 18 gemeldet werden, normalerweise wie
   die in Artikel 19 genannten Verarbeitungen nur der nachträglichen
   Kontrolle der zuständigen Behörden unterworfen sind. Die Kontrollbehörde
   vergewissert sich natürlich der Konformität des befolgten Meldever­
   fahrens im Hinblick auf die Art der Verarbeitung.
6. Die Anwendung der Gemeinschaftsverfahren gemäß den Artikeln 33 und 34,
   dürfte im Sinne der Stellungnahme des Parlaments (Änderung Nr. 39) die
   für das gute Funktionieren des Binnenmarkts insbesondere im Hinblick auf
   die Artikel 18 und 19 insbesondere erforderlichen besonderen Harmoni­
   sierungen ermöglichen.
Artikel 19
Vereinfachung und Befreiung von der Meldepflicht
Artikel 19 greift die Änderung Nr. 39 des Parlaments auf, die auf die
Vereinfachung des Verfahrens für bestimmte Verarbeitungskategorien abzielt,
und entwickelt sie weiter.
In Artikel 19 Absatz 1 wird vorgeschlagen, den Mitgliedstaaten die
Verpflichtung zu übertragen, eine derartige Maßnahme zur Vereinfachung des
Verfahrens zu treffen. Im übrigen haben sie die Möglichkeit haben, von der
Meldepflicht zu befreien.
Um eine im Hinblick auf das Ziel des Schutzes der Personen kohärente
gemeinsame Dclitik zu entwickeln, wird vorgeschlagen, ein Kriterium auf­
zunehmen, da.'. den Bereich bestimmt, in dem eine Vereinfachung oder
Befreiung von der Meldepflicht zweckmäßig ist. Dieses Kriterium zielt auf
die Verarbeitungen ab, die nicht geeignet sind, die Rechte und Freiheiten
der betroffenen Personen zu beeinträchtigen.
Erfahrungsgemäß erfüllen zahlreiche Verarbeitungen personenbezogener Daten
in großen oder kleinen staatlichen oder privaten Organisationen dieses
Kriterium und machen deshalb keine detaillierte oder allgemeine Offenlegung
erforderlich. Es kann sich um in ihrem Inhalt und ihrer Tragweite
naturgemäß rechtlich weitgehend geregelte Verarbeitungen handeln, um ein­
fache Verarbeitungen, bei denen sich die betroffenen Personen regelmäßig
der Zulässigkeit der Verarbeitung vergewissern können, um Verarbeitungen,
die die betroffenen Personen naturgemäß nicht schädigen können oder um
Verarbeitungen, die zwar aufgrund ihrer Art empfindlicher sind, deren
konkretes Umfeld aber die erforderlichen Garantien mit sich bringt.
In Artikel 19 Absatz 1 wird vorgeschlagen, in bezug auf die Änderung Nr. 23
des Parlaments zu erwägen, daß für die Verarbeitungen mit dem Ziel der
Erstellung von Schreiben oder Dokumenten durch Textverarbeitung, der
Erfüllung gesetzlicher, buchhaltungsbezogener, steuerlicher oder sozialer
Verpflichtungen oder auch der Abfrage allgemein zugänglicher dokumentari­
scher Dienste die Vereinfachung oder Befreiung von der Meldepflicht in
Betracht zu ziehen ist.
 ---pagebreak---                                   - 33 -
Die Mitgliedstaaten haben je nach ihrer Erfahrung und den einzelstaatlichen
Besonderheiten der bereits erfolgten oder neuen Verarbeitungen diese
Vereinfachungen oder auch Befreiungen schrittweise zu ermöglichen. Davon
könnten beispielsweise auch Verarbeitungen betroffen sein, die darauf
abzielen, die Lohnzettel des Personals einer Behörde oder eines Betriebs zu
erstellen, bestimmte Verarbeitungen für die wissenschaftliche Forschung
oder auch bestimmte Verarbeitungen im Zusammenhang mit der Führung medizi­
nischer Unterlagen von Patienten im Gesundheitswesen.
Artikel 19 Absatz 2 greift die Änderung Nr. 39 des Parlaments auf, der-
zufolge die Vereinfachung der Meldepflicht der Mitgliedstaaten Gegenstand
eines Rechtsakts zu sein hat. Es wird allerdings vorgeschlagen, im Geiste
dieser Änderung deutlich zu machen, daß das Verfahren für die Ausarbeitung
der Vereinfachungs- oder Befreiungsmaßnahme die unabhängige Kontrollbehörde
voraussetzt. Damit die Verantwortlichen der Verarbeitung in völliger
Sicherheit beurteilen können, ob die von ihnen geplanten Verarbeitungen im
Hinblick auf die Vereinfachungsmaßnahme konform sind, wird vorgeschlagen,
daß in der letztgenannten Maßnahme alle genannten Verarbeitungskategorien
beschrieben und insbesondere ihre Zweckbestimmung aufgeführt wird, die
Daten oder Datenkategorien, die sie betreffen, die Kategorien der
betroffenen Personen, die Dritten oder Kategorien von Dritten, denen die
Daten übermittelt werden, die Dauer der Aufbewahrung der Daten sowie die
möglichen Bedingungen für die Durchführung der genannten Verarbeitungen.
Artikel 19 Absatz 3 greift dieselbe Änderung Nr. 39 des Parlaments auf, der
zufolge der Klarheit halber darauf hingewiesen werden soll, daß die
Vereinfachung oder Befreiung von der Meldepflicht den Verantwortlichen der
Verarbeitung von keiner anderen Verpflichtung aus dieser Richtlinie
entbindet.
Artikel 20
Manuelle Verarbeitung
Den Mitgliedstaaten steht frei, die Bestimmungen des Abschnitts VIII auf
manuelle Dateien anzuwenden und diese gegebenenfalls anzupassen.
Artikel 21
Register der gemeldeten Verarbeitungen
Artikel 21 greift Artikel 7 Absatz 1 des ursprünglichen Vorschlags auf,
der die Führung des Registers der gemeldeten Dateien des öffentlichen
Sektors und die Möglichkeit ihrer Abfrage durch jede Person betrifft.
Artikel 21 erweitert diese Bestimmung im Sinne der Stellungnahme des
Parlaments {Änderungen Nr. 37 und 39) auf alle gemeldeten Verarbeitungen
unabhängig vom    Bereich der    Zugehörigkeit des Verantwortlichen der
Verarbeitung.
Die Abfrage aus dem Register kann allerdings - wie das Parlament beantragt
- unter denselben Bedingungen wie in Artikel 14 für die Beschränkung der
Ausübung des Auskunftsrechts der Personen für sie betreffende Daten
eingeschränkt werden.
 ---pagebreak---                                   - 34 -
Im Sinne der Stellungnahme des Parlaments (Änderung Nr. 39) präzisiert
Artikel 21 den Mindestinhalt des Registers, das die Informationen in
Artikel 18 Absatz 2 enthalten muß, mit Ausnahme allerdings der Informa­
tionen über die Maßnahmen, die getroffen werden, um die Sicherheit der
Verarbeitung zu gewährleisten, damit deren Wirksamkeit nicht beeinträchtigt
wird.
KAPITEL III
RECHTSBEHELFE, HAFTUNG UND SANKTIONEN
Artikel 22
Gerichtliche Rechtsbehelfe
Artikel 22 greift Artikel 14 Absatz 8 des ursprünglichen Vorschlags auf.
Die Tragweite dieser Bestimmung wurde allerdings erweitert. Vorgeschlagen
wird, daß die einzelstaatlichen Rechtsvorschriften den betroffenen Personen
Rechtsbehelfe zur Verfügung stellen, um ihnen gegebenenfalls zu ermögli­
chen, nicht nur ihre in Artikel 14 des ursprünglichen Vorschlags auf­
gelisteten Komplementärrechte zu verteidigen, sondern allgemeiner alle
Rechte, die ihnen die Richtlinie zuerkennt.
Artikel 23
Haftung
Gemäß Absatz 1 dieses Artikels wie auch gemäß Artikel 21 Absatz 1 des
ursprünglichen Vorschlags, ist der Verantwortliche der Verarbeitung
verpflichtet, Schadenersatz für jeden Schaden einer Person zu leisten, den
er aufgrund einer mit dieser Richtlinie unvereinbaren Verarbeitung oder
Maßnahme verursacht hat.
Gemäß der Stellungnahme des Parlaments (Änderung Nr. 73) wurde der Begriff
der "unzulässigen" Verarbeitung als Grundlage der Haftung eingeführt.
Außerdem wurde der Begriff "Datei" durch den Begriff "Verarbeitung"
ersetzt. Diese neue Formulierung ermöglicht ein Aufgreifen des Inhalts von
Absatz 2 dieses Artikels gemäß den Anregungen des Parlaments. Mit der
Verwendung des Begriffs Verarbeitung schließt der geänderte Vorschlag, wie
das Parlament gewünscht hat, die eigentliche Speicherung der personenbe­
zogenen Daten als mögliche Grundlage der Haftung ein.
Die Kommission behält hingegen die Möglichkeit für die Mitgliedstaaten bei,
eine Befreiung von der Haftung vorzusehen, wenn geeignete Sicherheitsvor­
kehrungen getroffen wurden. Der Wortlaut des Textes wurde allerdings
überarbeitet. Außerdem präzisiert die Kommission aufgrund der Stellungnahme
des Parlaments, daß die Befreiung von der Haftung nur teilweise oder
vollständig erfolgen kann.
 ---pagebreak---                                   - 35 -
Artikel 24
Auftragsverarbeitung
Dieser Artikel greift Artikel 22 des ursprünglichen Vorschlags auf. Er
verfolgt das Ziel, zu verhindern, daß eine Verarbeitung durch einen Dritten
im Auftrag des Verantwortlichen dazu führt, den Schutz der betroffenen
Person zu verringern.
Der Begriff "mit der Verarbeitung beauftragte Person", der nach der
Stellungnahme des Parlaments in die Liste der Begriffsbestimmungen
aufgenommen wurde, wird in dem Wortlaut des Artikels verwendet. Gemäß
Absatz 2 kann diese Person - wie vom Parlament beantragt - nur im Rahmen
des mit dem Verantwortlichen der Verarbeitung geschlossenen Vertrags
handeln. Vorgeschlagen wird, einen ausdrücklichen Bezug auf die Verpflich­
tungen aus den nationalen Durchführungsvorschriften dieser Richtlinie
beizubehalten, die die mit der Verarbeitung beauftragte Person ebenfalls
betreffen.
Artikel 25
Sanktionen
Mit den in den Vorschlag eingebrachten Änderungen soll die Stellungnahme
des Parlaments berücksichtigt werden (Änderung Nr. 77). Sie legen das Ge­
wicht auf die Personen, die möglicherweise mit Sanktionen belegt werden. Es
handelt sich ganz allgemein um jede Person, die die nationalen
Durchführungsvorschriften dieser Richtlinie nicht einhält und insbesondere
- wie das Parlament in seiner Stellungnahme hervorhebt - um Behörden und
Organisationen des öffentlichen Rechts.
KAPITEL IV
WEITERGABE PERSONENBEZOGENER DATEN IN DRITTLÄNDER
Artikel 26
Grundsätze
Dieser Artikel, der Artikel 25 des ursprünglichen Vorschlags aufgreift,
enthält den Grundsatz, demzufolge der Transfer personenbezogener Daten von
einem Mitgliedstaat in ein Drittland nur stattfinden darf, wenn dieses Land
ein angemessenes Schutzniveau gewährleistet. Ohne eine derartige Bestimmung
läge es auf der Hand, daß die Bemühung in der Gemeinschaft, den Menschen
ein hohes Schutzniveau zu garantieren, durch die Weitergabe in Drittländer
zunichte gemacht werden könnten, die keinen ausreichenden Schutz gewähr­
leisten.
Der freie Verkehr der Daten zwischen den Mitgliedstaaten, der mit dem vor­
liegenden Richtlinienvorschlag eingeführt werden soll, setzt voraus, daß
für die Weitergabe in Drittländer gemeinsame Bestimmungen angenommen
werden.
 ---pagebreak---                                    - 36 -
Die Beratungen mit den beteiligten Kreisen haben ergeben, daß in bestimmten
Fällen Ausnahmen von dem oben genannten Grur \tz erforderlich sind.
Deshalb sah sich die Kommission im Lichte der Ste. .angnahme des Parlaments
veranlaßt, den ursprünglichen Vorschlag zu überarbeiten. Sie schlägt vor,
daß das Verbot der Transfers in Drittländer, die kein angemessenes
Schutzniveau gewährleisten, von Ausnahmebestimmungen begleitet wird, die
mit dem Schutz der Personen vereinbar sind. Dem geänderten Vorschlag
zufolge kann die Weitergabe in ein Drittland, das kein angemessenes
Schutzniveau gewährleistet, erfolgen, wenn die betroffene Person ihre
Einwilligung zu der geplanten Weitergabe im Rahmen vorvertraglicher
Beziehungen gegeben hat oder wenn die Weitergabe für die Erfüllung eines
Vertrags zwischen der betroffenen Person und dem Verantwortlichen der
Verarbeitung erforderlich ist. In diesem Fall wird die betroffene Person
über die Weitergabe oder die Möglichkeit der Weitergabe in ein oder mehrere
Drittländer unterrichtet, die kein angemesses Schutzniveau gewährleisten.
Sie kann beschließen, ob sie das Risiko einer derartigen Weitergabe
eingehen will oder nicht. Diese Ausnahmebestimmungen scheinen insbesondere
für die Weitergabe von Daten im Zusammenhang mit Vorgängen von Banken und
anderen Kreditinstituten sinnvoll zu sein. Ein Transfer in ein Drittland,
das kein angemessenes Schutzniveau gewährleistet, kann außerdem berechtigt
sein, wenn er für die Wahrung eines wichtigen öffentlichen Interesses oder
die Wahrung lebenswichtiger Interessen der betroffenen Person erforderlich
ist. Mit diesen Ausnahmen soll die internationale Zusammenarbeit (zum
Beispiel bei der Bekämpfung der Geldwäsche oder im Rahmen der Überwachung
der Finanzinstitute) ermöglicht werden; auch die Weitergabe medizinischer
Daten in Fällen, in denen die betroffene Person ihren Willen nicht zum
Ausdruck bringen könnte, soll möglich gemacht werden. In Ziffer 2 werden
die Faktoren aufgeführt, die für die Beurteilung des angemessenen
Charakters zu berücksichtigen sind. Sie umfassen alle Umstände im Zusam­
menhang mit einem Transfer oder einer Kategorie von Transfers, wie die Art
der Daten, die Zweckbestimmung der Verarbeitung, die gesetzlichen Bestim­
mungen des betreffenden Landes. Dazu sind die allgemeinen und sektoriellen
gesetzlichen Vorschriften, ihre tatsächliche Anwendung sowie die in den
Verhaltenskodexen ausgedrückten berufsständischen Regeln zu prüfen. Ent­
sprechend dem Wunsch des Parlaments in seiner Stellungnahme (insbesondere
Änderung Nr. 79) wird in der neuen Ziffer 2 hervorgehoben, daß der
angemessene Charakter des Schutzes im Hinblick auf einen Transfer von Daten
oder einer Kategorie von Datentransfer zu beurteilen ist.
Absatz 3, der Artikel 24 Absatz 2 des ursprünglichen Vorschlags aufgreift,
wurde gemäß der Stellungnahme des Parlaments (Änderung Nr. 79) geändert,
derzufolge die Mitgliedstaaten den angemessenen Charakter des Schutzes
 beurteilen und auf dieser Grundlage gegebenenfalls beschließen, den
Transfer zu untersagen. Sie teilen der Kommission die Verbotsfälle mit.
 Entsprechend der Stellungnahme des Parlaments (Änderung Nr. 80) sieht der
 geänderte Vorschlag in Absatz 4 dieses Artikels, die dem ursprünglichen
 Absatz 3 entspricht, vor, daß die Kommission die Stellungnahme der in
 Artikel 32 genannten Datenschutzgruppe einzuholen hat, bevor sie Verhand­
 lungen mit einem Drittland einleitet.
 ---pagebreak---                                    - 37 -
Artikel 27
Besondere Maßnahmen
Artikel 27 greift mit einigen Änderungen den Gedanken von Artikel 25 des
ursprünglichen Vorschlags auf. Dem neuen Text zufolge kann der Mitglied­
staat einen Transfer oder eine Kategorie von Transfers personenbezogener
Daten in ein Drittland genehmigen, das kein angemessenes Schutzniveau
gewährleistet, wenn der Verantwortliche der Verarbeitung ausreichende
Nachweise erbringen kann, die garantieren, daß die Rechte der betroffenen
Personen tatsächlich wahrgenommen werden, und wenn die anderen Mitglied­
staaten oder die Kommission sich der. geplanten Maßnahme nicht nach einem in
diesem Artikel vorgesehenen Verfahren widersetzen. Im Fall des Widerspruchs
kann die Kommission die geeigneten Maßnahmen treffen; sie kann insbesondere
beschließen, den Transfer zu untersagen, ihn von weiteren Bedingungen
abhängig zu machen oder Verhandlungen mit dem Verantwortlichen der
Verarbeitung einleiten, für den die Transfers erfolgen, um Lösungen für die
gesamte Gemeinschaft herbeizuführen.
KAPITEL V
VERHALTENSREGELN
Die Verhaltensregeln, für die die in anderen Bereichen verwendete Bezeich­
nung in dem geänderten Vorschlag verwendet wird, waren Gegenstand von
Artikel 20 des ursprünglichen Vorschlags. Diese Bestimmung zielte darauf
ab, die Ausarbeitung von ausschließlich gemeinschaftlichen Verhaltensregeln
zu fördern. Der geänderte Vorschlag enthält zwei Artikel, einen zu den
nationalen Verhaltensregeln, den anderen zu den gemeinschaftlichen Verhal­
tensregeln.
Artikel 28
Nationale Verhaltensregeln
Die einschlägige Erfahrung einiger Mitgliedstaaten veranlaßt die Kommis­
sion, in ihren geänderten Vorschlag eine Bestimmung aufzunehmen, die die
Ausarbeitung von Verhaltensregeln auf einzelstaatlicher Ebene fördert. Die
Verhaltensregeln können ein günstiger Faktor für eine gute Akzeptanz der
geltenden Rechtsvorschriften sein, da die Berufsgruppen unmittelbar an der
Umsetzung der Rechtsvorschrift beteiligt sind. Gleichzeitig läßt sich somit
eine zu sehr ins Detail gehende gesetzgeberische Intervention vermeiden,
sofern ihre Lösungen zufriedenstellend sind.
Es gibt sehr unterschiedliche Verhaltensregeln, je nach ihrem Inhalt, der
Berufsgruppe, die sie ausgearbeitet hat, usw. Sie weisen allerdings alle
die nachstehenden Merkmale auf:
-  Die Initiative und die Ausarbeitung der Verhaltensregeln stehen unter
   der ausschließlichen Verantwortung der Berufsverbände, unabhängig von
   den Ermutigungen, die sie von Seiten der staatlichen Behörden in dieser
   Hinsicht erhalten können;
 ---pagebreak---                                    - 38 -
-  ihre Tragweite beschränkt sich darauf, die geltende Rechtsvorschrift
   umzusetzen oder klar auszudrücken, ohne davon abweichen zu können;
-  Sie haben weder gegenüber Dritten, noch gegenüber den Gerichten bindende
    Wirkung; diese können immer das Gesetz geltend machen, das sie anzu­
   wenden haben.
Wie die Rechtsvorschriften bestimmter Mitgliedstaaten allerdings deutlich
machen, ist es möglich, daß die staatliche Behörde und insbesondere der
Gesetzgeber die von den Wirtschaftsverbänden ausgearbeiteten Verhaltens­
regeln übernehmen und ihnen zwingenen legislativen Charakter verleihen.
Um den Verhaltensregeln eine gewisse Autorität zu verleihen, ohne damit
ihre Merkmale zu verändern, schlägt die Kommission in Anlehnung an die
Stellungnahme des Parlaments für die gemeinschaftlichen Verhaltensregeln
(Änderung Nr. 72) vor, die Ausarbeitung der Verhaltensregeln der Stellung­
nahme der zuständigen nationalen Behörde zu unterwerfen.
So wird vorgeschlagen, der Kontrollbehörde zu übertragen, die Begründetheit
der Verhaltensregeln und die Repräsentativität der Interessenverbände, die
sie vorbereitet haben, zu prüfen, eine öffentliche Verbreitung der Ver­
haltensregeln zu gewährleisten, die Stellungnahmen der betroffenen Personen
oder ihrer Vertreter einzuholen und eine Stellungnahme zu formulieren, die
mit den Verhaltensregeln veröffentlicht wird.
Artikel 29
Gemeinschaftliche Verhaltensregeln
Der geänderte Vorschlag orientiert sich an der Stellungnahme des Parlaments
(Änderung Nr. 72) und den Bestimmungen des Artikels 29, wobei präzisiert
wird, daß die der Kontrollbehörde für die nationalen Verhaltensregeln
übertragenen Befugnisse der gemeinschaftlichen Datenschutzgruppe übertragen
werden. Zur Unterrichtung der Öffentlichkeit wird es Aufgabe der Kommission
 sein, über die Veröffentlichung der Verhaltensregeln zusammen mit der
Stellungnahme der Datenschutzgruppe im Amtsblatt der EG zu entscheiden.
 KAPITEL VI
 KONTROLLBEHÖRDE UND GRUPPE FÜR DEN SCHUTZ DER RECHTE VON PERSONEN BEI DER
 VERARBEITUNG PERSONENBEZOGENER DATEN
 Artikel 30
 Kontrollbehörde
 Dieser Artikel, der Artikel 26 des ursprünglichen Vorschlags aufgreift,
 sieht die Schaffung einer Kontrollbehörde vor, deren wesentliches Merkmal
 ihre Unabhängigkeit ist.
 ---pagebreak---                                    - 39 -
Die Kommission greift in ihrem geänderten Vorschlag die Stellungnahme des
Parlaments auf (Änderungen Nr. 84, 85, 86 und 87).
a) Benennung der Kontrollbehörden: Gemäß Absatz 1 können die Mitglied­
   staaten mehrere unabhängige Kontrollbehörden benennen. Dies scheint für
   Mitgliedstaaten mit föderalistischer Struktur, wie insbesondere Deutsch­
   land, unerläßlich.
b) Befugnisse der Kontrollbehörden: Neben den Befugnissen der Kontroll­
   behörden aufgrund der obengenannten Bestimmungen insbesondere im Rahmen
   des Meldeverfahrens wird vorgeschlagen, diesen Behörden Untersuchungs­
   und Eingriffsbefugnisse gegenüber den Verantwortlichen der Verarbeitung
   - unter der Kontrolle der gerichtlichen Instanzen - zu übertragen.
Die Untersuchungsbefugnisse sollen der Kontrollbehörde die Möglichkeit
geben, bei den Verantwortlichen der Verarbeitung die für die Erfüllung
ihrer Aufgabe erforderlichen Informationen zu sammeln. Diese Befugnisse
finden insbesondere im Zugang zu den Daten, die Gegenstand der Verarbeitung
sind, Ausdruck. Um die Rechte der der Kontrolle der Behörde unterworfenen
Personen zu achten, müssen diese Befugnisse natürlich unter strikter
Einhaltung der Vertraulichkeit ausgeübt werden, die für die betreffenden
Daten nach dem innerstaatlichen Recht gilt. Eine diesbezügliche Bestimmung
steht in Absatz 6.
Zur Erfüllung ihrer Aufgabe benötigt die Kontrollbehörde auch tatsächliche
Eingriffsbefugnisse, wie das Parlament in seiner Stellungnahme ausgeführt
hat; sie wurden in den geänderten Vorschlag aufgenommen: Befugnis zur
Anordnung der Sperrung oder Löschung von Daten, Verbot einer Verarbeitung
usw. Hingegen scheint es nicht erforderlich, in dem Wortlaut der Richtlinie
auf die Rechtsform dieser Maßnahmen einzugehen, die das Parlament in seiner
Stellungnahme als Sanktionen bezeichnet.
Außerdem wird vorgeschlagen, daß die Kontrollbehörde befugt ist, die
Justizbehörde zu befassen, wenn sie Verstöße gegen die einzelstaatlichen
Bestimmungen zur Durchführung der Richtlinie feststellt. Diese Befugnis
wird in den geltenden innerstaatlichen Gesetzen im allgemeinen anerkannt.
Sie ergibt sich logischerweise zum einen aus der Untersuchungsbefugnis,
weil es nicht normal wäre, wenn eine mit dem Schutz von Personen
beauftragte Person nicht die Justizbehörde befassen würde, wenn sie einen
Verstoß gegen den Schutz der Personen feststellen sollte, zum anderen aus
dem Recht jeder Person, bei der Kontrollbehörde Beschwerde einzulegen. Die
Konsequenz aus dieser Beschwerde kann das Befassen der Justizbehörde sein.
c) Vorlage von Jahresberichten: Es ist sehr wichtig, daß die Kontroll­
   behörde in regelmäßigen Abständen einen Tätigkeitsbericht vorlegen kann,
   in dem sie die möglichen Schwierigkeiten bei der Umsetzung der Rechts­
   vorschriften hervorhebt und damit die neuen Leitlinien angibt.
 ---pagebreak---                                     - 40 -
Artikel 31
Datenschutzgruppe
Mit diesem Artikel, der Artikel 27 des ursprünglichen Vorschlags aufgreift,
wird ein Ausschuß mit beratender Funktion eingesetzt.
a) Bezeichnung der Gruppe
    Es wird vorgeschlagen, die Bezeichnung      der Datenschutzgruppe    gemäß
    Artikel 1 Absatz 1 zu harmonisieren.
b) Zusammensetzung und Vorsitz der Gruppe
    Die Änderungen des Parlaments (Änderungen Nr. 88 und 128) betreffen vor
    allem die Zusammensetzung und den Vorsitz der Gruppe. Um deren
    Unabhängigkeit zu gewährleisten, deren Notwendigkeit sie in der
    Begründung des ursprünglichen Vorschlags hervorgehoben hat, akzeptiert
    die Kommission die Lösungen der Stellungnahme des Parlaments über den
    Vorsitz der Gruppe, nicht aber die Änderungen, die die Zusammensetzung
    betreffen:
    -  Vorsitz der Gruppe: Die Kommission schlägt vor, daß die Gruppe einen
       Vorsitzenden mit einer Amtszeit von zwei Jahren wählt, der wieder­
       gewählt werden kann. Diese Zeitraum erscheint für eine gewisse
       Stabilität in der Gruppe ausreichend;
    -  Zusammensetzung der Gruppe: Die Kommission bleibt bei ihrem
       ursprünglichen Vorschlag, demzufolge sich die Gruppe aus Vertretern
       der   einzelstaatlichen   Kontrollbehörden gemäß den       vorstehenden
       Bestimmungen zusammensetzt. Sollten einige Mitgliedstaaten die ihnen
       freistehende   Möglichkeit   nutzen,   mehrere    Kontrollbehörden   zu
       benennen, so wird der Gleichbehandlung halber vorgeschlagen, daß die
       Vertretung der Behörden der betreffenden Mitgliedstaaten in der
       gemeinschaftlichen    Gruppe    über   eine    gemeinsame    Vertretung
       sichergestellt wird. Ohne eine derartige Bestimmung könnte die
       Nutzung der in den vorstehenden Artikeln vorgesehenen Möglichkeit zu
       einem Ungleichgewicht der Vertretungen in der Gruppe führen.
Die Kommission wünscht in der Gruppe vertreten zu sein; ihre Dienststellen
sollen deren Sekretariat übernehmen.
Artikel 32
Aufgaben der Datenschutzqruppe
Dieser Artikel bestimmt die Aufgaben der Gruppe. Dem Vorschlag zufolge soll
die Gruppe den beratenden Charakter, wie in dem ursprünglichen Vorschlag
vorgesehen, behalten. Die Gruppe hat die Kommission insbesondere zum
Zeitpunkt der Ausübung der Rechtsetzungsbefugnis oder der Vorlage neuer
 Vorschläge zu beraten. Sie wird zu der homogenen Anwendung der in Anwendung
 der Richtlinie erlassenen Vorschriften beizutragen haben sowie zu der
Ausarbeitung einer gemeinsamen Politik für grenzüberschreitende Bewegungen
 in Drittländer. Die Kommission wird der Gruppe jede in diesem Bereich
geplante Maßnahme zur Stellungnahme vorlegen.
 ---pagebreak---                                    - 41 -
Die Gruppe nimmt ihre Aufgaben über Stellungnahmen und Empfehlungen wahr,
die sie der Kommission und gegebenenfalls dem Beratenden Ausschuß unter­
breitet. Dazu greift der geänderte Vorschlag teilweise die Stellungnahme
des Parlaments auf (Änderungen Nr. 90, 91 und 92).
Die Kommission teilt der Gruppe mit, welche Konsequenzen sie aus ihren
Stellungnahmen gezogen hat, indem sie Berichte veröffentlicht, die dem
Parlament übermittelt werden. Die Gruppe erstellt jährlich einen Bericht
über den Stand des Schutzes in der Gemeinschaft und in den Drittländern.
Dieser der Kommission und dem Parlament übermittelte Bericht wird
veröffentlicht.
Die Kommission teilt den (in der Änderung Nr. 89 ausgedrückten) Wunsch des
Parlaments, das Sekretariat der Gruppe mit den notwendigen Mitteln auszu­
statten, die ihm die Erfüllung der von der Richtlinie übertragenen Aufgaben
ermöglichen. Insbesondere im Rahmen des Haushaltsverfahrens sorgt die
Kommission dafür, daß die Gruppe über diese Mittel verfügt. Es scheint
allerdings nicht zweckmäßig, eine diesbezügliche Bestimmung in den
geänderten Vorschlag aufzunehmen.
KAPITEL VII
RECHTSETZUNGSBEFUGNIS DER KOMMISSION
Artikel 33 und 34
Ausübung der Rechtsetzungsbefuqnis und Beratender Ausschuß
Die Kommission behält ihren ursprüngliche Vorschlag aufrecht. Technische
Modalitäten für die Anpassung der Richtlinie werden aufgrund der Tragweite
und des technischen Charakters des Bereiches der Verarbeitung personen­
bezogener Daten erforderlich sein.
SCHLUSSBESTIMMUNGEN
Artikel 35, 36 und 37
In Artikel 35 Ziffer 2 des geänderten Vorschlags ist eine Übergangsmaßnahme
vorgesehen, die - wie das Parlament in seiner Stellungnahme zu der Meldung
(Änderung Nr. 37) anregt - ein schrittweises Inkrafttreten der Bestimmungen
in Anwendung der Richtlinie im Hinblick auf Verarbeitungen ermöglicht, die
vor dem Inkrafttreten dieser Vorschriften erfolgt sind. Eine Dreijahres­
frist scheint dafür angemessen.
Gemäß dem Wunsch des Parlaments (Änderung Nr. 95) wird in Artikel 36
vorgeschlagen, daß der regelmäßige Bericht über die Anwendung der Richt­
linie, der der Kommission, dem Parlament und dem Rat vorgelegt wird, Gegen­
stand einer Veröffentlichung ist.
 ---pagebreak---                                     - 42 -
    Vorschlag für eine Richtlinie des      Geänderter Vorschlag für eine Richtlinie
    Rates zum Schutz von Personen bei      des Rates zum Schutz natürlicher
    der Verarbeitung personenbezogener     Personen bei der Verarbeitung
    Daten                                  personenbezogener Daten und zum freien
                                           Datenverkehr
    DER RAT DER EUROPÄISCHEN GEMEIN­       DER RAT DER EUROPÄISCHEN GEMEINSCHAF­
    SCHAFTEN -                             TEN -
    gestützt auf den Vertrag zur           gestützt auf den Vertrag zur Gründung
    Gründung der Europäischen Wirt­        der Europäischen Wirtschafts­
    schaftsgemeinschaft , insbesondere     gemeinschaft, insbesondere auf die
    auf die Artikel 100a und 113,          Artikel 100a und Artikel 113,
    auf Vorschlag der Kommission           auf Vorschlag der Kommission (1),
    in Zusammenarbeit mit dem              in Zusammenarbeit mit dem Europäischen
    Europäischen Parlament,                Parlament (2),
    nach Stellungnahme des Wirtschafts­    nach Stellungnahme des Wirtschafts- und
    und Sozialausschusses,                 Sozialausschusses (3),
    in Erwägung nachstehender Gründe:      in Erwägung nachstehender Gründe:
                                           (1) ABl. Nr. C 277 vom 5.11.1990, S. 3,
                                           und ABl. Nr. C ....
                                           (2) ABl. Nr. C .•. und ABl. Nr. C
                                           (3) ABl. Nr. C 159 vom 17.6.1991, S. 38
17)
 ---pagebreak---                                 - 43
(1) Die in dem durch die Einheit­    (1) Die in dem durch die Einheitliche
liche Europäische Akte geänderten    Europäische Akte geänderten Vertrag
Vertrag genannten Ziele der Gemein­  genannten Ziele der Gemeinschaft
schaft bestehen darin, einen immer   bestehen darin, einen immer engeren
engeren Zusammenschluß der           Zusammenschluß der europäischen Völker
europäischen Völker zu schaffen,     zu schaffen, engere Beziehungen zwischen
immer engere Beziehungen zwischen    den in der Gemeinschaft zusammen­
den in der Gemeinschaft zusammen­    geschlossenen Staaten herzustellen,
geschlossenen Staaten herzustellen,  durch gemeinsames Handeln den
durch gemeinsames Handeln den        wirtschaftlichen und sozialen
wirtschaftlichen und sozialen        Fortschritt zu sichern, indem die Europa
Fortschritt zu sichern, indem die    trennenden Schranken beseitigt werden,
Europa trennenden Schranken          die ständige Besserung der Lebens­
beseitigt werden, die ständige       bedingungen ihrer Völker zu fördern,
Besserung der Lebensbedingungen      Frieden und Freiheit zu wahren und zu
ihrer Völker zu fördern, Frieden     festigen und für die Demokratie
und Freiheit zu wahren und zu        einzutreten und sich dabei auf die in
festigen und für die Demokratie      den Verfassungen und Gesetzen der
einzutreten, und sich dabei auf die  Mitgliedstaaten sowie in der
in den Verfassungen und Gesetzen     Europäischen Konvention zum Schutze der
der Mitgliedstaaten sowie in der     Menschenrechte und Grundfreiheiten
Europäischen Konvention zum Schutze  anerkannten Grundrechte zu stützen.
der Menschenrechte und Grundfrei­
heiten anerkannten Grundrechte zu
stützen.
 ---pagebreak---                                 - 44 -
                                       (2) Die Datenverarbeitungssysteme stehen
                                       im Dienste des Menschen; sie haben die
                                       Grundrechte t i/i -freiheiten natürlicher
                                       Personen und insbesondere die Privat­
                                       sphäre zu achten und zum wirtschaft­
                                       lichen und sozialen Fortschritt, zur
                                       Entwicklung des Handels sowie zum
                                       Wohlergehen der Menschen beizutragen.
(2) Für die Errichtung und das         (3) Für die Errichtung und das
Funktionieren des Binnenmarkts, in     Funktionieren des Binnenmarkts, in dem
dem gemäß Artikel 8a des Vertrages     gemäß Artikel 8a des Vertrags der freie
der freie Verkehr von Waren,           Verkehr von Waren, Personen,
Personen, Dienstleistungen und         Dienstleistungen und Kapital
Kapital gewährleistet ist, ist         gewährleistet ist, ist nicht nur
nicht nur erforderlich, daß            erforderlich, daß personenbezogene Daten
personenbezogene Daten unabhängig      von einem Mitgliedstaat in einen anderen
von den Mitgliedstaaten, in denen      Mitgliedstaat übermittelt werden können,
sie verarbeitet oder in denen sie      sondern auch, daß die Grundrechte der
angefordert werden, übermittelt        Personen gewahrt werden.
werden können, sondern auch, daß in
Anbetracht der wachsenden
Inanspruchnahme der Verarbeitung
personenbezogener Daten in den
verschiedenen wirtschaftlichen und
sozialen Tätigkeitsbereichen in der
Gemeinschaft die Grundrechte
gewahrt werden.
                                       (4) Immer häufiger werden personen­
                                       bezogene Daten in der Gemeinschaft in
                                       den verschiedenen Bereichen
                                       wirtschaftlicher und sozialer
                                       Tätigkeiten verarbeitet; die Fort­
                                       schritte der Informationstechnik
                                       erleichtern die Verarbeitung und den
                                       Austausch dieser Daten beträchtlich.
 ---pagebreak---                                 - 45
(3) Der Binnenmarkt umfaßt einen     (5) Die wirtschaftliche und soziale
Raum ohne Binnengrenzen; aus diesem  Integration, die sich aus der Errichtung
Grunde sind die nationalen           und dem Funktionieren des Binnenmarktes
Verwaltungen der einzelnen           im Sinne von Artikel 8a des Vertrages
Mitgliedstaaten aufgrund der         ergibt, wird notwendigerweise zu einer
Anwendung des Gemeinschaftsrechts    spürbaren Zunahme der grenzüber­
immer häufiger aufgerufen,           schreitenden Ströme personenbezogener
zusammenzuarbeiten und unter­        Daten zwischen allen am wirtschaftlichen
einander personenbezogene Daten      und sozialen Leben der Mitgliedstaaten
auszutauschen, um ihren Auftrag      Beteiligten im öffentlichen wie im
erfüllen oder Aufgaben für die       privaten Bereich führen; der Austausch
Verwaltung eines anderen Mitglied­   personenbezogener Daten zwischen in
staats durchführen zu können.        verschiedenen Mitgliedstaaten
                                     niedergelassenen Unternehmen soll sich
                                     weiter entwickeln; die nationalen
                                     Verwaltungen der einzelnen
                                     Mitgliedstaaten sind aufgrund des
                                     Gemeinschaftsrechts aufgerufen,
                                     zusammenzuarbeiten und untereinander
                                     personenbezogene Daten auszutauschen, um
                                      im Rahmen des Raums ohne Grenzen des
                                      Binnenmarkts ihren Auftrag erfüllen
                                      oder Aufgaben für die Verwaltung eines
                                      anderen Mitgliedstaats durchführen zu
                                      können.
 ---pagebreak---                                 - 46
(4) Die verstärkte                   (6) Die verstärkte wissenschaftliche
wissenschaftliche und technische     und technische Zusammenarbeit sowie die
Zusammenarbeit sowie die             koordinierte Einführung neuer
koordinierte Einführung neuer Netze  Telekommunikationsnetze in der
im Fernmeldeverkehr in der           Gemeinschaft machen den grenz­
Gemeinschaft machen den              überschreitenden Verkehr personen­
grenzüberschreitenden Verkehr        bezogener Daten erforderlich und
personenbezogener Daten              erleichtern ihn.
erforderlich und erleichtern ihn.
(5) Das unterschiedliche Niveau des  (7) Das unterschiedliche Niveau des
Schutzes der Privatsphäre bei der    Schutzes der Rechte und Freiheiten von
Verarbeitung personenbezogener       Personen, und insbesondere der
Daten in den Mitgliedstaaten kann    Privatsphäre, bei der Verarbeitung
die Übermittlung dieser Daten aus    personenbezogener Daten in den
dem Gebiet eines Mitgliedstaats      Mitgliedstaaten kann die Übermittlung
nach dem eines anderen               dieser Daten aus dem Gebiet eines
Mitgliedstaats verhindern; mithin     Mitgliedstaates in das Gebiet eines
kann dieses unterschiedliche          anderen Mitgliedstaates verhindern;
Schutzniveau ein Hemmnis für die      dieses unterschiedliche Schutzniveau
Ausübung einer Reihe von             kann somit ein Hemmnis für die Ausübung
 Wirtschaftstätigkeiten auf           einer Reihe von Wirtschaftstätigkeiten
Gemeinschaftsebene darstellen, den    auf Gemeinschaftsebene darstellen, den
Wettbewerb verfälschen und den        Wettbewerb verfälschen und die Erfüllung
 Auftrag der sich im                  des Auftrags der im Anwendungsbereich
 Anwendungsbereich des                des Gemeinschaftsrechts tätigen
 Gemeinschaftsrechts einschaltenden   Verwaltungen behindern; dieses
 Verwaltungen behindern; dieses       unterschiedliche Schutzniveau ergibt
 unterschiedliche Schutzniveau        sich aus der Verschiedenartigkeit der
 ergibt sich aus den Unterschieden    einzelstaatlichen Rechts- und
 in den einzelstaatlichen Rechts­     Verwaltungsvorschriften.
 und Verwaltungsvorschriften.
 ---pagebreak---                                 - 47
(6) Für die Beseitigung der          (8) Für die Beseitigung der Hemmnisse
Hemmnisse für den Verkehr            für den Verkehr personenbezogener Daten
personenbezogener Daten ist ein      ist ein gleichwertiges Schutzniveau der
gleichwertiges Schutzniveau der      Rechte und Freiheiten von Personen bei
Privatsphäre bei der Verarbeitung    der Verarbeitung dieser Daten in allen
dieser Daten in allen                Mitgliedstaaten unerläßlich;
Mitgliedstaaten unerläßlich;         insbesondere unter Berücksichtigung der
dementsprechend sind die             umfassenden Unterschiede, die
einschlägigen geltenden              gegenwärtig zwischen den geltenden
Rechtsvorschriften anzugleichen.     einschlägigen einzelstaatlichen
                                     Rechtsvorschriften bestehen, und der
                                     Notwendigkeit, die Rechtsvorschriften
                                     der Mitgliedstaaten zu koordinieren,
                                     damit der grenzüberschreitende Fluß
                                     personenbezogener Daten kohärent und in
                                     Übereinstimmung mit dem Ziel des
                                     Binnenmarktes im Sinne von Artikel 8a
                                     des Vertrages geregelt wird, läßt sich
                                     dieses für den Binnenmarkt grundlegende
                                     Ziel  nicht allein durch eine Maßnahme
                                     der Mitgliedstaaten verwirklichen;
                                     deshalb ist eine Maßnahme der
                                     Gemeinschaft zur Angleichung der
                                     Rechtsvorschriften erforderlich.
 ---pagebreak---                                 - 48
(7) Gegenstand der                   (9) Gegenstand der einzelstaatlichen
einzelStaatliehen                    Rechtsvorschriften über die Verarbeitung
Rechtsvorschriften über die          personenbezogener Daten ist die
Verarbeitung personenbezogener       Gewährleistung der Achtung der
Daten ist die Gewährleistung der     Grundrechte und -freiheiten,
Achtung der Grundrechte              insbesondere des auch in Artikel 8 der
insbesondere des auch in Artikel 8   Europäischen Konvention zum Schutze der
der Konvention zum Schutze der       Menschenrechte und Grundfreiheiten und
Menschenrechte und Grundfreiheiten   in den allgemeinen Grundsätzen des
und in den allgemeinen Grundsätzen   Gemeinschaftsrechts anerkannten Rechts
des Gemeinschaftsrecht anerkannten   auf die Privatsphäre; deshalb darf die
Rechts auf die Privatsphäre;         Angleichung dieser Rechtsvorschriften
deshalb darf die Angleichung dieser  nicht zu einer Verringerung des durch
Rechtsvorschriften nicht zu einer    sie garantierten Schutzes führen,
Verringerung des durch sie           sondern muß darauf abzielen, in der
garantierten Schutzes führen,        Gemeinschaft ein hohes Schutzniveau
sondern muß darauf abzielen, in der  sicherzuste11en.
Gemeinschaft ein hohes Schutzniveau
sicherzustellen.
(22) Die in dieser Richtlinie        (10) Die in der Richtlinie enthaltenen
enthaltenen Grundsätze               Grundsätze zum Schutz der Rechte und
konkretisieren und erweitern die in  Freiheiten der Menschen, und
dem Übereinkommen des Europarats     insbesondere der Achtung der
vom 26. Januar 1981 zum Schutze des   Privatsphäre, konkretisieren und
 Menschen bei der automatischen       erweitern die in dem Übereinkommen des
 Verarbeitung personenbezogener       Europarats vom 28. Januar 1981 zum
 Daten enthaltene Grundsätze.         Schutze der Menschen bei der
                                      automatischen Verarbeitung
                                      personenbezogener Daten enthaltenen
                                      Grundsätze.
 ---pagebreak---                                   - 49
  (9) Die Grundsätze des Schutzes      (11) Die Schutzprinzipien müssen für
  müssen für alle Dateien gelten,      alle Verarbeitungen personenbezogener
  sobald die Tätigkeiten des           Daten gelten, sobald die Tätigkeiten des
  Verantwortlichen der Datei in den    Verantwortlichen der Verarbeitung in den
  Anwendungsbereich des                Anwendungsbereich des
  Gemeinschaftsrechts fallen; für die  Gemeinschaftsrechts fallen; für die
  nicht in den Anwendungsbereich des   nicht in den Anwendungsbereich des
  Gemeinschaftsrechts fallenden        Gemeinschaftsrechts fallenden
  Dateien des öffentlichen Bereichs    Tätigkeiten durch die Behörden,
  sollten die gleichen Grundsätze des  Organisationen und Stellen eines
  Schutzes gelten, die gemäß der       Mitgliedstaats sollten die gleichen
  Entschließung der im Rat             Schutzprinzipien gelten, wie sie die
  vereinigten Vertreter der            Entschließung der im Rat vereinigten
  Regierungen der Mitgliedstaaten der  Vertreter der Regierungen der
  Europäischen Gemeinschaften vom ...  Mitgliedstaaten der Europäischen
  in die einzelstaatlichen             Gemeinschaften vom ... vorsieht;
  Rechtsvorschriften aufgenommen       auszunehmen sind Verarbeitungen durch
  werden sollen; auszunehmen sind      eine natürliche Person zu ausschließlich
  allerdings Dateien wie persönliche   privaten Zwecken wie Verarbeitungen, die
  Adressendateien, die ausschließlich  die Korrespondenz oder die Führung von
  in den Bereich der Ausübung des      Adressenverzeichnissen betreffen.
  Rechtes auf die Privatsphäre einer
  natürlichen Person fallen.
  (10) Jede Verarbeitung               (12) Um zu vermeiden, daß eine Person
*
  personenbezogener Daten in der       den gemäß dieser Richtlinie
  Gemeinschaft muß die                 gewährleisteten Schutz nicht erhält, muß
  Rechtsvorschriften des               jede in der Gemeinschaft erfolgte
  Mitgliedstaates achten, in dem sich  Verarbeitung personenbezogener Daten die
  die Datei befindet, um zu            Rechtsvorschriften eines Mitgliedstaates
  vermeiden, daß eine Person den       einhalten; es ist angebracht, die
  Schutz, der ihr gemäß dieser         Verarbeitungen aller in einem
  Richtlinie gewährt werden muß,       Mitgliedstaat ansässiger Personen der
  nicht erhält; in diesem Zusammenhag  Anwendung der Rechtsvorschriften   dieses
  ist jeder Teil einer in mehreren     Staates zu unterwerfen; die
  Mitgliedstaaten befindlichen Datei   Niederlassung des Verantwortlichen der
  als eine Datei anzusehen, und die    Verarbeitung in einem Drittland
  Verbringung in ein Drittland darf
  diesen Schutz nicht verhindern.
 ---pagebreak---                                 - 50 -
                                       darf kein Hemmnis für den Schutz der
                                       Personen gemäß dieser Richtlinie
                                       darstellen; in diesem Fall sind die
                                       Verarbeitungen dem Gesetz des
                                       Mitgliedstaats zu unterwerfen, in dem
                                       sich die für die betreffenden
                                       Verarbeitungen verwendeten Mittel
                                       befinden, und Sicherheitsvorkehrungen zu
                                       treffen, damit die in dieser Richtlinie
                                       vorgesehenen Rechte und Pflichten
                                       tatsächlich geachtet und erfüllt werden.
(12) Die einzelstaatlichen             (13) Die Mitgliedstaaten können in ihren
Rechtsvorschriften können unter den    Rechtsvorschriften oder bei der
in der Richtlinie vorgesehenen         Umsetzung der Bestimmungen zur
Bedingungen die Regeln für die         Durchführung dieser Richtlinie die
Rechtsmäßigkeit der Verarbeitung       allgemeinen Bedingungen präzisieren,
festlegen; eine solche Möglichkeit     unter denen die Verarbeitungen
darf allerdings nicht als              rechtmäßig sind; derartige
Begründung für eine Kontrolle eines    Präzisierungen dürfen allerdings nicht
anderen Mitgliedstaats als des         als Grundlage für die Kontrolle eines
Staats dienen, in dem die Datei        anderen als des Mitgliedstaats dienen,
sich befindet, da letzterer            in dem der Verantwortliche der
verpflichtet ist, gemäß dieser         Verarbeitung ansässig ist, da dieser
Richtlinie zu gewährleisten, daß       letztgenannte Mitgliedstaat aufgrund
die Privatsphäre bei der               dieser Richtlinie verpflichtet ist,
Verarbeitung personenbezogener         einen im Hinblick auf das
Daten im Hinblick auf das              Gemeinschaftsrecht ausreichenden Schutz
Gemeinschaftsrecht ausreichend         der Rechte und Freiheiten bei der
geschützt wird, um den freien          Verarbeitung personenbezogener Daten zu
Verkehr der Daten zu ermöglichen.      gewährleisten, um den freien Verkehr der
                                       Daten zu ermöglichen.
 ---pagebreak--- (14) Die Schutzprinzipien finden zum
einen Ausdruck in den Pflichten, die den
Personen, Behörden, Unternehmen oder
Stellen obliegen, die Verarbeitungen
vornehmen; diese Pflichten betreffen
insbesondere die Datenqualität, die
technische Sicherheit, die Meldung bei
der Kontrollbehörde, die Grundlagen der
Verarbeitung, wobei eine Grundlage die
Einwilligung der betroffenen Person sein
kann; zum anderen finden sie Ausdruck in
dem Recht der Personen, deren Daten
Gegenstand von Verarbeitungen sind, über
diese informiert zu werden, Zugang zu
den Daten zu erhalten, ihre Berichtigung
verlangen bzw. Widerspruch gegen die
Verarbeitung einlegen zu können.
(15) Jede Verarbeitung personenbezogener
Daten hat den betroffenen Personen
gegenüber nach Treu und Glauben sowie
auf rechtmäßige Art und Weise zu
erfolgen; sie muß insbesondere für die
verfolgte Zweckbestimmung relevante und
nicht darüber hinausgehende Daten
betreffen; diese Zweckbestimmungen haben
ausdrücklich und rechtmäßig zu sein.
 ---pagebreak--- (11) Jede Verarbeitung              (16) Die Verarbeitung personenbezogener
personenbezogener Daten muß         Daten ist nur dann rechtmäßig, wenn sie
rechtmäßig sein; diese              sich stützt auf die Einwilligung der
Rechtsmäßigkeit muß sich auf das    betroffenen Person, den Abschluß oder
Einverständnis der betroffenen      die Erfüllung eines Vertrags mit der
Person, das Gemeinschaftsrecht oder betroffenen Person, das
auf die einzelstaatlichen           Gemeinschaftsrecht oder auch auf
Rechtsvorschriften stützen.         einzelstaatliches Recht, das allgemeine
                                    oder ein besonderes Interesse, sofern
                                    die betroffene Person keine berechtigten
                                    Gründe hat, Widerspruch gegen die
                                    Verarbeitung einzulegen; insbesondere,
                                    um die Ausgewogenheit der in Frage
                                    stehenden Interessen bei vollständiger
                                    Gewährleistung eines effektiven
                                    Wettbewerbs sicher zu stellen, können
                                    die Mitgliedstaaten die Bedingungen
                                    näher bestimmen, unter denen eine
                                    Weitergabe personenbezogener Daten an
                                    Dritte zum Zwecke geschäftsmäßiger
                                    Werbung oder Werbung erfolgen kann, die
                                     von einem Wohltätigkeitsverband oder
                                     anderen Vereinigungen oder Stiftungen,
                                     insbesondere mit politischer
                                     Ausrichtung, unter Berücksichtigung der
                                     Bestimmungen dieser Richtlinie, nach
                                     denen es betroffenen Personen gestattet
                                     ist, ohne Angabe von Gründen und ohne
                                     Kosten Widerspruch gegen die Weitergabe
                                     von Daten, die sie betreffen, zu
                                     erheben.
 ---pagebreak---                                - 53 -
(16) Um Gegenstand einer              (17) Außerdem sollten Daten die aufgrund
Verarbeitung zu sein, müssen die      ihrer Art geeignet sind, die Grundrechte
Daten bestimmten Anforderungen        oder die Privatsphäre zu
genügen; die Verarbeitung der         beeinträchtigen, nicht ohne schriftliche
Daten, die aufgrund ihrer Art         Einwilligung der betroffenen Person
geeignet sind, das Recht auf den      Gegenstand einer Verarbeitung sein; die
Schutz der Privatsphäre zu            Verarbeitung dieser Daten ist jedoch zu
beeinträchtigen, ist ohne             genehmigen, wenn sie durch eine
ausdrückliche Einwilligung der        Vereinigung vorgenommen wird, die das
betroffenen Person zu untersagen;     Ziel verfolgt, der Ausübung dieser
aus Gründen wichtigen öffentlichen    Freiheiten zu  dienen; ferner können aus
Interesses können allerdings          Gründen wichtigen öffentlichen
insbesondere für die medizinischen    Interesses, insbesondere für die
Berufe Ausnahmeregelungen auf der     medizinischen Berufe,
Grundlage einer Rechtsvorschrift      Ausnahmebestimmungen auf der Grundlage
vorgesehen werden, die die            einer Rechtsvorschrift oder einer
Bedingungen und Beschränkungen der    Genehmigung der Kontrollbehörde
Verarbeitung dieser Art von Daten     vorgesehen werden, die den Rahmen und
genau und strikt festlegt.            die entsprechenden Sicherheiten für die
                                      Verarbeitung dieser Datenarten
                                      festlegen.
(18) Im Medienbereich können die      (18) Für die Verarbeitung
Mitgliedstaaten Ausnahmen von den     personenbezogener Daten zu
Bestimmungen dieser Richtlinie        journalistischen Zwecken sind
vorsehen, sofern diese darauf         Ausnahmebestimmungen von den
abzielen, das Recht auf die           Bestimmungen dieser Richtlinie
Privatsphäre mit dem Recht auf        vorzusehen, die erforderlich sind, um
Information und dem Recht,            die Grundrechte der Person mit der
Informationen zu empfangen oder zu    Meinungsäußerungsfreiheit und
übermitteln, zu vereinbaren, das      insbesondere der Freiheit in Einklang zu
insbesondere in Artikel 10 der        bringen, Informationen zu erhalten oder
Konvention zum Schutze der            weiterzugeben, die unter anderem in
Menschenrechte und Grundfreiheiten    Artikel 10 der Europäischen Konvention
garantiert ist.                       zum Schutze der Menschenrechte und der
                                      Grundfreiheiten garantiert ist.
 ---pagebreak---                                 - 54
(14) Die betroffene Person muß       (19) Die rechtmäßige Datenverarbeitung
vollständig informiert werden,       setzt voraus, daß die betroffenen
damit ihre Einwilligung wirksam      Personen das Vorhandensein der
ist; dies gilt auch, wenn die sie    Verarbeitungen erfahren und eine
betreffenden Daten bei ihr erhoben   tatsächliche, vollständige Information
werden.                              erhalten können, wenn Daten bei ihnen
                                     erhoben werden, sowie spätestens bei der
                                     ersten Übermittlung sie betreffender
                                     Daten an einen Dritten, wenn die
                                     Unterrichtung bei der Datenerhebung
                                     nicht erfolgt ist.
(15) Die betroffene Person muß das   (20) Jede Person muß ein Auskunftsrecht
Recht auf Auskunft über die sie      über die sie betreffenden Daten haben,
betreffenden Daten haben, um sich    die Gegenstand einer Verarbeitung sind,
der Rechtmäßigkeit der Verarbeitung  um sich ihrer Richtigkeit und der
der Daten und ihrer Qualität         Zulässigkeit ihrer Verarbeitung zu
vergewissern zu können.              vergewissern; infolgedessen muß jeder
                                     Person ein Widerspruchsrecht aus
                                     berechtigten Gründen gegen die
                                     Verarbeitung der Daten zustehen.
(17) Für den Schutz der              (21) Für den Schutz der Rechte und
 Privatsphäre im Hinblick auf         Freiheiten der betroffenen Personen bei
 personenbezogene Daten müssen        der Verarbeitung personenbezogener
 sowohl auf der Planungs- als auch    Daten müssen geeignete technische
 auf der technischen Ebene der        Maßnahmen im Zeitpunkt der Planung der
 Verarbeitung geeignete               Techniken und der Durchführung der
 Sicherheitsmaßnahmen getroffen       Verarbeitung getroffen werden, um
 werden, um jede nicht genehmigte     insbesondere deren Sicherheit zu
 Verarbeitung zu verhindern.          gewährleisten und somit jede nicht
                                      genehmigte Verarbeitung zu verhindern.
 ---pagebreak---                                 - 55
(13) Die Meldeverfahren für die      (22) Die Meldeverfahren sollen die
Dateien des öffentlichen oder        Publizität der Zweckbestimmungen der
privaten Bereichs und die            Verarbeitungen sowie ihrer wichtigsten
Benachrichtigungsverfahren bei der   Merkmale im Hinblick auf ihre Kontrolle
ersten Übermittlung für die Dateien  gemäß den einzelstaatlichen Vorschriften
des privaten Bereichs sollen die     zur Durchführung dieser Richtlinien
Transparenz gewährleisten, die für   gewährleisten; zur Vermeidung
die Ausübung des Rechts auf Zugang   unangemessener Verwaltungsformalitäten
der betroffenen Person zu den sie    sind von den Mitgliedstaaten Befreiungen
betreffenden Daten unerläßlich ist.  oder Vereinfachungen der Meldepflicht
                                     für die Verarbeitungen vorzusehen, die
                                     die Rechte und Freiheiten der
                                     betroffenen Personen nicht
                                     beeinträchtigen, sofern diese
                                     Verarbeitungen einer Verfügung des
                                     Mitgliedstaats entsprechen, der ihre
                                     Grenzen festsetzt.
                                     (23) Die nachträgliche Kontrolle durch
                                     die zuständigen Behörden ist im
                                     allgemeinen als ausreichende Maßnahme
                                     anzusehen; die Mitgliedstaaten haben
                                     allerdings eine Prüfung durch die
                                     Kontrollbehörde vor der Durchführung von
                                     Verarbeitungen vorzusehen, die aufgrund
                                     ihrer Art, ihrer Tragweite oder ihrer
                                     Zweckbestimmung besondere Risiken im
                                     Hinblick auf die Rechte und Freiheiten
                                     der betroffenen Personen aufweisen, wie
                                     solche, die zum Ziel haben, betroffene
                                     Personen von dem Nutzen eines Rechts,
                                     einer Leistung oder eines Vertrages
                                     auszuschließen; die Mitgliedstaaten
                                     können diese vorherige Prüfung durch
                                     eine gesetzgeberische Maßnahme oder eine
                                     Entscheidung der Kontrollbehörde
                                     ersetzen, die die Verarbeitung genehmigt
                                     und die geeigneten
                                     Sicherheitsvorkehrungen festsetzt.
 ---pagebreak---                                 - 56 -
(20) Bei Nichteinhaltung der in        (24) Bei Mißachtung der Rechte der
dieser Richtlinie vorgesehenen         betroffenen Personen durch den
Vorschriften ist der                   Verantwortlichen der Verarbeitung ist
Verantwortliche der Datei bei einer    ein gerichtlicher Rechtsbehelf von den
Schadensersatzklage als                nationalen Rechtsvorschriften
Verantwortlicher anzusehen; zur        vorzusehen; mögliche Schäden, die
Abschreckung sind Sanktionen           Personen aufgrund einer unzulässigen
anzuwenden, um einen wirksamen         Verarbeitung erleiden, hat der
Schutz zu gewährleisten.               Verantwortliche der Verarbeitung
                                       auszugleichen; von seiner Haftung kann
                                       er nur befreit werden, wenn er
                                       nachweist, daß er die geeigneten
                                       Sicherheitsmaßnahmen getroffen hat;
                                       unabhängig davon, ob es sich um eine
                                       juristische Person des Privat- oder des
                                       öffentlichen Rechts handelt, müssen
                                       ausreichende Sanktionen jede Person
                                       treffen, die die einzelstaatlichen
                                       Bestimmungen zur Durchführung dieser
                                       Richtlinie nicht einhält.
(21) Personenbezogene Daten müssen     (25)
in ein Drittland mit einem             Grenzüberschreitende Bewegungen
angemessenen Schutzniveau              personenbezogener Daten sind für die
übermitelt werden können; fehlt ein    Entwicklung des internationalen Handels
solcher Schutz in Drittländern, so     erforderlich; der in der Gemeinschaft
sieht diese Richtlinie insbesondere    durch die Richtlinie gewährte Schutz von
Verhandlungsverfahren mit letzteren    Personen hindert nicht den Transfer
vor.                                   personenbezogener Daten in Drittländer,
                                       die ein angemessenes Schutzniveau
                                        aufweisen; die Angemessenheit des
                                        Schutzniveaus, das ein Drittland bietet,
                                        ist unter Berücksichtigung aller
                                        Umstände im Hinblick auf einen Transfer
                                        oder eine Kategorie von Transfers zu
                                        beurteilen.
 ---pagebreak--- (26) Bietet hingegen ein Drittland kein
angemessenes Schutzniveau, so ist der
Transfer personenbezogener Daten in
dieses Land zu untersagen; Ausnahmen von
diesem Verbot sind unter bestimmten
Voraussetzungen vorzusehen, wenn die
betroffene Person ihre Einwilligung
gegeben hat oder unterrichtet wurde oder
wenn die Wahrung des öffentlichen
Interesses den Transfer erforderlich
macht; besondere Maßnahmen können
getroffen werden, um das unzureichende
Schutzniveau in einem Drittland auszu­
gleichen, wenn der Verantwortliche der
Verarbeitung geeignete Sicherheiten
nachweist; außerdem sind Verhandlungs­
verfahren zwischen der Gemeinschaft und
den betreffenden Drittländern vorzu­
sehen.
(27) Die Mitgliedstaaten können auch den
Rückgriff auf von den
Interessenverbänden ausgearbeitete
nationale Verhaltensregeln vorsehen, die
der Kontrollbehörde zur Stellungnahme
vorgelegt wurden, um die einzel­
staatlichen Bestimmungen zur Durch­
führung dieser Richtlinie an die
 Besonderheiten der Verarbeitungen in
 bestimmten Bereichen anzupassen.
 ---pagebreak---                                      - 58
    (19) Die Mitgliedstaaten haben die    (28) Die Mitgliedstaaten haben die
    Ausarbeitung von Standesordnungen     Interessenverbände zu ermutigen,
    oder europäischen freiwilligen        gemeinschaftliche Verhaltensregeln
    Verhaltensregeln für bestimmte        auszuarbeiten, um die Durchführung
    Einzelbereiche durch die              dieser Richtlinie zu fördern; die
    Berufskreise zu fördern; die          Kommission wird derartige Initiativen
    Kommission wird derartige             unterstützen und berücksichtigen, wenn
    Initiativen unterstützen und          sie die Zweckmäßigkeit zusätzlicher
    berücksichtigen, wenn sie prüft, ob   spezifischer Maßnahmen für bestimmte
    für bestimmte Bereiche neue           Bereiche prüft.
    spezifische Maßnahmen erforderlich
    sind.
    (23) Die Existenz einer               (29) Die Einrichtung einer unabhängigen
    unabhängigen Kontrollstelle in        Kontrollbehörde in jedem Mitgliedstaat
    jedem Mitgliedstaat ist ein           ist ein wesentliches Element des
    wesentliches Element des Schutzes     Schutzes der Personen bei der
    der Personen bei der Verarbeitung     Verarbeitung personenbezogener Daten;
    personenbezogener Daten; auf          diese Behörde ist mit den notwendigen
    Gemeinschaftsebene muß eine aus       Mitteln für die Erfüllung dieser Aufgabe
     Vertretern der einzelstaatlichen      auszustatten, ob es sich um
     Kontrollbehörden zusammengesetzte     Untersuchungsbefugnisse,
     Gruppe ..ingesetzt werden und ihre    Eingriffsmöglichkeiten oder Befugnisse
     Aufgaben in völ..ger Unabhängigkeit   handelt, die ihr im Rahmen des
     wahrnehmen; in Anbetracht dieses      Meldeverfahrens übertragen werden; sie
     besonderen Charakters hat sie die     hat zur Transparenz der Verarbeitungen
     Kommission zu beraten und zu der      in dem Mitgliedstaat beizutragen, in
     einheitlichen Anwendung der zur       dessen Zuständigkeit sie liegt; die
     Durchführung dieser Richtlinie        Behörden der verschiedenen
     erlassenen einzelstaatlichen          Mitgliedstaaten sind berufen, sich
     Bestimmungen beizutragen.             gegenseitig bei der Wahrnehmung ihrer
                                           Aufgaben zu unterstützen.
(ä)
 ---pagebreak---                                   59
                                     (30) Auf Gemeinschaftsebene ist eine
                                     Gruppe für den Schutz der Rechte von
                                     Personen bei der Verarbeitung personen­
                                     bezogener Daten einzusetzen, die ihre
                                     Aufgaben in völliger Unabhängigkeit
                                     wahrzunehmen hat; in Anbetracht dieses
                                     besonderen Charakters hat sie die
                                     Kommission zu beraten und insbesondere
                                     zu der einheitlichen Anwendung der zur
                                     Durchführung dieser Richtlinie erlasse­
                                     nen einzelstaatlichen Bestimmungen
                                     beizutragen.
(24) Die Verabschiedung der          (31) Die Verabschiedung ergänzender
ergänzenden Maßnahmen für die        Maßnahmen für die Anwendung der
Anwendung der Grundsätze dieser      Grundsätze dieser Richtlinie macht es
Richtlinie macht es notwendig, der   notwendig, der Kommission Rechtsetzungs­
Kommission Befugnisse zu ihrer       befugnisse zu übertragen und gemäß den
Durchführung zu übertragen und       im Beschluß des Rates 87/373/EWG des
gemäß den in Beschluß 87/373/EWG     Rates(1) festgelegten Modalitäten einen
des Ratest) festgelegten             beratenden Ausschuß einzusetzen.
Modalitäten einen Beratenden
Ausschuß einzusetzen
(1) ABl. Nr. L 197 vom 18.8.1987,    (1) ABl. Nr. L 197 vom 18.7.1987,
    S. 33.                               S. 33.
 ---pagebreak---                                 - 60
(8) Die Grundsätze des Schutzes der  (32) Die Grundsätze des Schutzes der
Privatsphäre bei der Verarbeitung    Rechte und Freiheiten der Personen und
personenbezogener Daten, die         insbesondere der Achtung der
Gegenständ der Richtlinie sind,      Privatsphäre bei der Verarbeitung
können - insbesondere für bestimmte  personenbezogener Daten, die Gegenstand
Bereiche - durch mit diesen          dieser Richtlinie sind, können
Grundsätzen im Einklang stehenden    - insbesondere für bestimmte Bereiche -
besonderen Regeln ergänzt oder       durch mit diesen Grundsätzen im Einklang
präzisiert werden.                   stehende spezifische Regeln ergänzt oder
                                     präzisiert werden.
                                     (33) Es ist angebracht, den
                                     Mitgliedstaaten eine Frist von längstens
                                     drei Jahren ab Inkrafttreten der
                                     einzelstaatlichen Maßnahmen zur
                                     Umsetzung dieser Richtlinie einzuräumen,
                                     um ihnen zu ermöglichen, die
                                     obengenannten neuen einzelstaatlichen
                                     Bestimmungen fortschreitend auf alle
                                      bereits erfolgten Verarbeitungen
                                      anzuwenden.
                                     (34) Diese Richtlinie steht nicht im
                                      Widerspruch zu den gesetzlichen
                                      Regelungen eines Mitgliedstaates im
                                      Bereich der geschäftsmäßigen Werbung
                                      gegenüber auf seinem Hoheitsgebiet
                                      ansäßigen Verbrauchern insoweit, als
                                      sich diese gesetzlichen Regelungen nicht
                                      auf den Schutz der Person im Hinblick
                                      auf die Verarbeitung personenbezogener
                                      Daten beziehen -
 HAT FOLGENDE RICHTLINIE ERLASSEN:    HAT FOLGENDE RICHTLINIE ERLASSEN:
 ---pagebreak---                                     - 61 -
KAPITEL I                              KAPITEL I
ALLGEMEINE BESTIMMUNGEN                ALLGEMEINE BESTIMMUNGEN
Artikel 1                              Artikel 1
Gegenstand der Richtlinie              Gegenstand der Richtlinie
1. Die Mitgliedstaaten                 1. Die Mitgliedstaaten gewährleisten
gewährleisten nach den Bestimmungen    nach den Bestimmungen dieser Richtlinie
dieser Richtlinie den Schutz der       den Schutz der Rechte und Freiheiten und
Privatsphäre von Personen bei der      insbesondere den Schutz der Privatsphäre
Verarbeitung personenbezogener         natürlicher Personen bei der
Daten, die in Dateien enhalten         Verarbeitung personenbezogener Daten.
sind ;
2. Die Mitgliedstaaten beschränken     2. Die Mitgliedstaaten beschränken oder
oder untersagen nicht den freien       untersagen nicht den freien Verkehr
Verkehr personenbezogener Daten        personenbezogener Daten zwischen
zwischen Mitgliedstaaten aus           Mitgliedstaaten aus Gründen des gemäß
Gründen des gemäß Absatz 1             Absatz 1 gewährleisteten Schutzes.
gewährleisteten Schutzes.
Artikel 2                              Artikel 2
Begriffsbestimmungen                   Begriffsbestimmungen
Für die Zwecke dieser Richtlinie       Für die Zwecke dieser Richtlinie
bedeuten:                              bedeuten:
 ---pagebreak---                                     62 -
a) "personenbezogene Daten": alle    a) "personenbezogene Daten": alle
Informationen über eine bestimmte    Informationen über eine bestimmte oder
oder bestimmbare natürliche Person   bestimmbare natürliche Person
("betroffene Person"); als           ("betroffene Person"); als bestimmbar
bestimmbar wird insbesondere eine    wird eine Person angesehen, die direkt
Person angesehen, die durch die      oder indirekt, insbesondere durch
Zuordnung zu einer Kennummer oder    Zuordnung zu einer Kennnummer oder zu
einer vergleichbaren Information     einem oder mehreren spezifischen
identifiziert werden kann;           Elementen identifiziert werden kann, die
                                     Ausdruck ihrer physischen, physiologi­
                                     schen, psychischen, wirtschaftlichen,
                                     kulturellen oder sozialen Identität
                                     sind.
                                     Nicht als personenbezogen werden Daten
                                     betrachtet, die als Statistik dergestalt
                                     erfaßt sind, daß die betroffenen
                                     Personen vernünftigerweise nicht
                                     bestimmbar sind.
b) "anonymisieren": das Verändern
personenbezogener Daten derart, daß
die darin enthaltenen Angaben nicht
mehr oder nur mit einem
unverhältnismäßig großen Aufwand an
Arbeitskraft, Kosten und Zeit einer
bestimmten oder bestimmbaren
natürlichen Person zugeordnet
werden können;
 ---pagebreak---                                     - 63 -
d) "Verarbeitung": die mit oder        b) "Verarbeitung personenbezogener
ohne Hilfe automatisierter            Daten" (Verarbeitung): jeder mit oder
Verfahren vorgenommenen Vorgänge:     ohne Hilfe automatisierter Verfahren
Speichern, Aufbewahrung,              vorgenommene Vorgang oder jede
Verknüpfung von Daten, ihre            Vorgangsreihe im Zusammenhang mit
Veränderung, Benutzung und             personenbezogenen Daten wie das Erheben,
Weitergabe, insbesondere die           das Speichern, die Organisation, die
Übermittlung, Verbreitung,             Aufbewahrung, die Ausarbeitung oder
Erstellung von Auszügen sowie das      Veränderung, die Erstellung von
Sperren und Löschen;                   Auszügen, das Abfragen, die Benutzung,
                                       die Weitergabe durch Übermittlung, die
                                       Verbreitung oder jede andere Form der
                                       Bereitstellung, die Kombination oder die
                                       Verknüpfung sowie das Sperren, Löschen
                                       oder Vernichten;
c) "Datei mit personenbezogenen        c) "Datei mit personenbezogenen Daten"
Daten" (Datei): jede Sammlung          (Datei): jede strukturierte Sammlung
personenbezogener Daten, die           personenbezogener Daten, die zentral
Zentral oder an mehreren Standorten    oder an mehreren Standorten geführt wird
geführt wird, Gegenstand einer         und nach bestimmten Kriterien zugänglich
automatisierten Verarbeitung ist       ist, deren Ziel darin besteht oder die
oder, falls sie mittels nicht-         dazu führt, die Benutzung oder die
automatisierter Verfahren              Kombination von Daten über die
verarbeitet werden, geordnet und in    betreffende(n) Person(en) zu
einer Sammlung zugänglich ist, die     erleichtern;
nach bestimmten Kriterien
organisiert ist, die die Benutzung
oder Verknüpfung der Daten
erleichtern;
 ---pagebreak---                                     - 64 -
e) "Verantwortlicher der Datei":      d) "Verantwortlicher der Verarbeitung":
die natürliche oder juristische       die natürliche oder juristische Person,
Person, Behörde, Dienststelle oder     Behörde, Dienststelle oder jede andere
jede andere Einrichtung, die nach     Einrichtung, die personenbezogene Daten
dem Gemeinschaftsrecht oder den        verarbeitet oder verarbeiten läßt und
einzelstaatliehen                      über Zweck und Ziel der Verarbeitung,
Rechtsvorschriften eines               die verarbeiteten personenbezogenen
Mitgliedstaats zuständig ist,          Daten und die Verarbeitungsverfahren,
darüber zu entscheiden, welche         die auf sie angewandt werden, sowie
Zweckbestimmung die Datei verfolgt,    darüber entscheidet, welche Dritte
welche Arten personenbezogener         Kenntnis von den genannten Daten haben
Daten gespeichtert und mit welchen     dürfen;
Vorgängen sie verarbeitet werden
sollen sowie welche Dritte Zugang
zu den Dateien haben dürfen;
                                       e) "mit der Verarbeitung beauftragte
                                       Person": die natürliche oder juristische
                                       Person, die personenbezogene Daten im
                                       Auftrag des Verantwortlichen der
                                       Verarbeitung verarbeitet;
                                       f) "Dritte": die natürlichen oder
                                       juristischen Personen außer der
                                       betroffenen Person, dem Verantwortlichen
                                       für die Verarbeitung und den Personen,
                                       die ermächtigt sind, die Daten unter
                                       seiner unmittelbaren Verantwortung oder
                                       in seinem Auftrag zu verarbeiten;
 ---pagebreak---                                     - 65 -
Artikel 12                            g) "Einwilligung der betroffenen
                                      Person": jede ausdrückliche
Einwilligung nach Unterrichtung der   Willensbekundung, mit der die betroffene
betroffenen Person                    Person akzeptiert, daß sie betreffende
                                      personenbezogene Daten verarbeitet
Die Einwilligung einer betroffenen    werden, sofern sie über Informationen
Person zu einer Verarbeitung sie      über die Zweckbestimmung der
betreffender personenbezogener        Verarbeitung, die betreffenden Daten
Daten im Sinne dieser Richtlinie      oder Datenkategorien, die Empfänger der
ist nur wirksam, wenn:                 personenbezogenen Daten sowie Namen und
                                       Anschrift des Verantwortlichen der
a) die Person über die                 Verarbeitung und gegebenenfalls seines
nachstehenden Informationen            Vertreters verfügt.
verfügt:
  Zweckbestimmung der Datei und Art
  der gespeicherten Daten;
  Art der Verwendung und               Die Einwilligung gilt für den konkreten
  gegebenenfalls Empfänger der in      Fall; sie erfolgt ohne Zwang und kann
  der Datei gespeicherten              von der betroffenen Person jederzeit
  personenbezogenen Daten;             widerrufen werden. Der Widerruf hat
                                       keine Rückwirkung.
  Name und Anschrift des
  Verantwortlichen der Datei
b) Die Einwilligung muß konkret
sein und ausdrücklich erklärt
werden; sie hat die Art der Daten,
die Form der Verarbeitung und die
möglichen Empfänger, auf die sie
sich erstreckt, genau zu bestimmen.
 ---pagebreak--- c) Sie kann von der betroffenen
Person jederzeit widerrufen werden.
Der Widerruf hat keine Rückwirkung.
f) "Kontrollbehörde: die unabhängi­
ge Behörde oder jede andere
unabhängige Instanz, die von jedem
Mitgliedstaat gemäß Artikel 26
dieser Richtlinie bestimmt wird;
g) "öffentlicher Bereich": die
Gesamtheit der öffenlichrechtlichen
Verwaltungen, Organisationen und
Einrichtungen eines Mitgliedstaats,
mit Ausnahme derer, die an einer
gewerblichen oder kommerziellen
Tätigkeit teilnehmen, sowie die
privatrechtlichen Einrichtungen und
Rechtssubjekte, wenn sie an der
Ausübung der Staatsgewalt beteiligt
sind ;
 h) "privater Bereich": jede
 natürliche oder juristische Person
 oder Vereinigung, sowie die
 Behörden, Organisationen und
 Rechtssubjekte des öffentlichen
 Bereichs, sowie diese eine
 gewerbliche oder kommerzielle
 Tätigkeit ausüben.
 ---pagebreak---                                     - 67 -
Artikel 3                              Artikel 3
Anwendungsbereich                      Anwendungsbereich
1. Die Bestimmungen dieser             1. Die Mitgliedstaaten wenden die
Richtlinie gelten für Dateien des      Bestimmungen dieser Richtlinie auf die
privaten und des öffentlichen          ganz oder teilweise automatisierte
Bereichs mit Ausnahme der Dateien      Verarbeitung personenbezogener Daten
des öffentlichen Bereichs, wenn        sowie auf die nichtautomatisierte
dessen Tätigkeiten nicht in den        Verarbeitung personenbezogener Daten an,
Anwendungsbereich des                  die in Dateien gespeichert sind oder
Gemeinschaftsrechts fallen.            gespeichert werden sollen.
2. Die Bestimmungen dieser             2. Die Bestimmungen dieser Richtlinie
Richtlinie finden keine Anwendung      finden keine Anwendung auf:
auf Dateien:                              Verarbeitungen für die Ausübung von
a) einer natürlichen Person, die          Tätigkeiten, die nicht in den
   ausschließlich privaten und            Anwendungsbereich des
   persönlichen Zwecken dienen oder       Gemeinschaftsrechts fallen;
b) von gemeinnützigen, insbesondere       Verarbeitungen personenbezogener
   politischen, philosophischen,          Daten durch eine natürliche Person
   religiösen, kulturellen,               für die Ausübung ausschließlich
   gewerkschaftlichen, Sport- oder        privater und persönlicher
   Freizeitvereinigungen im Rahmen        Tätigkeiten.
   ihres zulässigen Zwecks und
   unter der Voraussetzung, daß sie
   sich nur auf die Mitglieder und
   Korrespondenzpartner der
   Vereinigung beziehen, die ihre
   Einwilligung zur Aufnahme in die
   Datei erteilt haben, und sofern
   sie nicht an Dritte
   weitergegeben werden.
 ---pagebreak---                                     68 -
Artikel 4                            Artikel 4
Anwendbares Recht                    Anwendbares einzelstaatliches Recht
1. Jeder Mitgliedstaat wendet die    1. Jeder Mitgliedstaat wendet die zur
Bestimmungen dieser Richtlinie an    Durchführung dieser Richtlinie
auf:                                 erlassenen Bestimmungen auf alle
                                     Verarbeitungen personenbezogener Daten
                                     an:
a) alle in seinem Hoheitsgebiet
befindlichen Dateien;
b) den Verantwortlichen der Datei,   a) deren Verantwortlicher in seinem
der in seinem Hoheitsgebiet          Hoheitsgebiet ansässig ist oder unter
ansässig ist, und der von diesem     seine Staatsgewalt fällt;
aus eine in einem Drittland
angesiedelte/befindliche Datei
benutzt, dessen Rechtsvorschriften
kein angemessenes Schutzniveau
garantieren, sofern diese Benutzung
nicht nur vereinzelt erfolgt.
 ---pagebreak---                                     69 -
                                     b) deren Verantwortlicher nicht im
                                     Hoheitsgebiet der Gemeinschaft ansässig
                                     ist, wenn dieser Verantwortliche für die
                                     Verarbeitung personenbezogener Daten
                                     automatisierte oder nichtautomatisierte
                                     Mittel im Hoheitsgebiet dieses
                                     Mitgliedstaats verwendet.
2. Jeder Mitgliedstaat wendet die    2. In dem in Absatz 1 Buchstabe b
Bestimmungen der Artikel 5, 6, 8?    genannten Fall hat der Verantwortliche
9, 10, 17, 18 und 21 auf den         der Verarbeitung einen im Hoheitsgebiet
Benutzer an, der von einem im        des genannten Mitgliedstaats ansässigen
Hoheitsgebiet eines Mitgliedstaats   Vertreter zu benennen, der in die Rechte
befindlichen Datenendgerät aus eine  und Pflichten des Verantwortlichen
außerhalb der Gemeinschaft           eintritt.
befindliche Datei abfragt, sofern
es sich dabei nicht um eine
vereinzelte Abfrabe handelt.
3. Wird eine Datei vorübergehend
von einem Mitgliedstaat in einen
anderen Mitgliedstaat verbracht, so
wird dies von diesem Mitgliedstaat
weder behindert noch wird
irgendeine zusätzliche Förmlichkeit
verlangt, die über die Regelungen
in dem Mitgliedstaat hinausgeht, in
dem die Datei sich ständig
befindet.
 ---pagebreak---                                     - 70 -
                                      KAPITEL II
                                      ALLGEMEINE BEDINGUNGEN FÜR DIE
                                      RECHTMÄSSIGKEIT DER VERARBEITUNG
                                      PERSONENBEZOGENER DATEN
                                       Artikel 5
                                       Die Mitgliedstaaten sehen vor, daß die
                                       Verarbeitung personenbezogener Daten nur
                                       dann rechtmäßig ist, wenn sie im
                                       Einklang mit den Bestimmungen dieses
                                       Kapitels erfolgt.
                                       Unbeschadet der Bestimmungen dieses
                                       Kapitels können die Mitgliedstaaten die
                                       Voraussetzungen näher bestimmen, unter
                                       denen die Verarbeitung personenbezogener
                                       Daten rechtmäßig ist.
KAPITEL V                              ABSCHNITT I
QUALITÄT DER DATEN                     GRUNDSATZE FUR DIE QUALITÄT DER DATEN
Artikel 6                              Artikel 6
Grundsätze
1. Die Mitgliedstaaten bestimmen       1. Die Mitgliedstaaten sehen folgendes
   wie folgt:                              vor:
a) Personenbezogene Daten sind nach     a) die Verarbeitung personenbezogener
   Treu un Glauben sowie auf               Daten hat nach Treu und Glauben sowie
   rechtmäßige Art und Weise zu            auf rechtmäßige Art und Weise zu
   erheben und zu verarbeiten;             erfolgen ;
 ---pagebreak---                                     71
b) die Daten sind für bestimmte,     b) die Daten müssen für bestimmte,
   ausdrücklich festgelegte und         ausdrücklich festgelegte und
   rechtmäßige Zwecke zu speichern      rechtmäßige Zwecke erhoben und in
   und in einer mit diesen              einer mit diesen Zweckbestimmungen zu
   Zweckbestimmungen zu                 vereinbarenden Weise verwendet
   vereinbarenden Art zu verwenden;     werden;
c) die Daten müssen den Zwecken,     c) die Daten müssen den Zwecken
   für die sie gespeichert wurden,      entsprechen, für die sie verarbeitet
   entsprechen, dafür erheblich         werden, dafür erheblich sein und
   sein und nicht darüber               nicht darüber hinausgehen;
   hinausgehen;
d) die Daten müssen richtig und      d) die Daten müssen richtig und, falls
   gegebenenfalls auf dem neuesten      erforderlich, auf dem neuesten Stand
   Stand sein; nicht zutreffende        sein; es sind alle Maßnahmen zu
   oder unvollständige Daten sind       treffen, damit im Hinblick auf die
   zu löschen oder zu berichtigen;      Zwecke, für die sie erhoben wurden,
                                        nicht zutreffende oder unvollständige
                                        Daten gelöscht oder berichtigt
                                        werden;
e) die Daten müssen so aufbewahrt    e) die Daten dürfen nicht länger in
   werden, daß die betroffene           einer .Form aufbewahrt werden, die die
   Person nicht länger                  Identifizierung der betroffenen
   identifiziert werden kann, als       Personen ermöglicht, als für die
   es die Zwecke der Speicherung        Realisierung der angestrebten Zwecke
   erfordern.                           erforderlich ist. Die Mitgliedstaaten
                                        können geeignete Garantien für
                                        personenbezogene Daten vorsehen, die
                                        für historische, statistische oder
                                        wissenschaftliche Zwecke aufbewahrt
                                        werden.
 ---pagebreak---                                      - 72 -
2. Die Verantwortliche der Datei       2. Der Verantwortliche der Verarbeitung
    hat für die Einhaltung der             hat für die Einhaltung der
    Bestimmungen des Absatzes 1 zu         Bestimmungen des Absatzes 1 zu
    sorgen.                                sorgen.
KAPITEL II                              ABSCHNITT II
RECHTMÄSSIGKEIT DER VERARBEITUNG IM    GRUNDSÄTZE IN BEZUG AUF DIE GRUNDLAGEN
ÖFFENTLICHEN BEREICH                   DER VERARBEITUNG VON DATEN
Artikel 5                               Artikel 7
Grundsätze
1. Vorbehaltlich der Bestimmungen       Die Mitgliedstaaten sehen vor, daß die
in Artikel 6 sehen die                  Verarbeitung personenbezogener Daten
Mitgliedstaaten in ihren                lediglich erfolgen darf, wenn eine der
Rechtsvorschriften für die Dateien      folgenden Voraussetzungen erfüllt ist:
des öffentlichen Bereichs folgendes
vor:
a) Die Einrichtung einer Datei und      a) Die betroffene Person hat ihre
    jede andere Verarbeitung               Einwilligung gegeben;
    personenbezogener Daten sind
    rechtmäßig, insoweit sie für die
    Wahrnehmung der Aufgaben der für
    diese Datei verantwortlichen
    Behörde erforderlich sind;
 b) die Verarbeitung von Daten zu       b) die Verarbeitung ist erforderlich für
    einem anderen Zweck als dem, zu        die Erfüllung des mit der betroffenen
    dem die Datei errichtet worden          Person geschlossenen Vertrags oder
    ist, ist rechtmäßig, wenn:              für die Durchführung vorvertraglicher
                                            Maßnahmen, die auf Antrag der
                                            betroffenen Person erfolgen;
 ---pagebreak---                                   73
die betroffene Person dafür ihre  c) die Verarbeitung ist erforderlich, um
Einwilligung erteilt oder             einer im einzelstaatlichen Recht oder
                                      in den Rechtsvorschriften der
                                      Gemeinschaft vorgesehenen
                                      Verpflichtung nachzukommen;
sie auf der Grundlage des          d) die Verarbeitung ist erforderlich für
Gemeinschaftsrechts, eines            die Wahrung lebenswichtiger
Gesetzes oder eines Rechtsakts in     Interessen der betroffenen Person;
Anwendung eines Gesetzes eines
Mitgliedstaats erfolgt, wenn
diese Rechtsgrundlage im Einklang
mit dieser Richtlinie steht, ihn
zu dieser Verarbeitung ermächtigt
und deren Grenzen festlegt oder
dieser Zweckänderung kein          e) die Verarbeitung ist erforderlich für
berechtigtes Interesse der            die Wahrnehmung einer Aufgabe in
betroffenen Person entgegensteht      öffentlichem Interesse oder in
oder                                  Ausübung der Staatsgewalt, die dem
                                      Verantwortlichen der Verarbeitung
                                      oder dem Dritten, dem die Daten
                                      übermittelt werden, übertragen wurde;
sie erforderlich ist, um einer     f) die Verarbeitung ist erforderlich für
drohenden Gefahr für die              die Wahrnehmung des
öffentliche Sicherheit und            Allgemeininteresses oder berechtigter
Ordnung oder einer                    Interessen des Verantwortlichen der
schwerwiegenden Verletzung der        Verarbeitung oder des/der Dritten,
Rechte Dritter vorzubeugen.           denen die Daten übermittelt werden,
                                      sofern nicht das Interesse der
                                      betroffenen Person überwiegt.
 ---pagebreak--- Artikel 6
Weitergabe personenbezogener Daten
bei der Datenverarbeitung im
öffentlichen Bereich
1. Die Mitgliedstaaten sehen in
ihren Rechtsvorschriften vor, daß
die Weitergabe personenbezogener
Daten aus Dateien einer
öffentlichen Stelle nur rechtmäßig
ist, wenn:
a) sie für die Wahrnehmung von
   Aufgaben der öffentlichen
   Stelle, die sie weitergibt oder
   um die Weitergabe dieser Daten
   ersucht, erforderlich ist oder
b) auf Anfrage einer natürlichen
   oder juristischen Person des
   privaten Bereichs, die ein
   berechtigtes Interesse geltend
   macht, sofern nicht das
   Interesse der betroffenen Person
   überwiegt.
2. Unbeschadet der Bestimmungen des
Absatzes 1 können die
Mitgliedstaaten die Voraussetzungen
näher bestimmen, unter denen die
Weitergabe personenbezogener Daten
rechtmäßig ist.
 ---pagebreak--- 3. Die Mitgliedstaaten sehen in
ihren Rechtsvorschriften vor, daß
der für die Datei Verantwortliche
die betroffenen Personen in den in
Absatz 1 Buchstabe b) genannten
Fällen über die Weitergabe der
personenbezogenen Daten
benachrichtigt. Die Mitgliedstaaten
können festlegen, daß diese
Information durch eine vorherige
Genehmigung der Kontrollbehörde
ersetzt wird.
KAPITEL III
ZULÄSSIGKEIT DER VERARBEITUNG IM
PRIVATEN BEREICH
Artikel 8
Grundsätze
1. Die Mitgliedstaaten sehen in
ihren Rechtsvorschriften vor, daß
ohne die Einwilligung der
betroffenen Person das Erfassen
personenbezogener Daten in einer
Datei und jede andere Verarbeitung
nur im Einklang mit den
Bestimmungen dieser Richtlinie
zulässig sind und wenn:
 ---pagebreak--- a) die Verarbeitung im Rahmen eines
   Vertrages mit oder eines ver­
   tragsähnlichen Vertrauensver­
   hältnisses zu dem Betreffenden
   erfolgt und für dessen
   Durchführung erforderlich ist
   oder
b) die Daten aus jedermann
   zugänglichen Quellen stammen und
   ihre Verarbeitung ausschließlich
   Korrespondenzzwecken dient oder
c) der für die Datei
   Verantwortliche ein berechtigtes
   Interesse verfolgt, sofern nicht
   das Interesse der betroffenen
   Person überwiegt.
2. Die Mitgliedstaaten sehen in
ihren Rechtsvorschriften vor, daß
sich der für die Datei
Verantwortliche zu vergewissen hat,
daß jede Weitergabe mit dem Zweck
der Datei vereinbar ist und die
öffentliche Sicherheit und Ordnung
nicht beeinträchtigt. Bei einem
Datenabruf im automatisierten
Verfahren obliegen dem Benutzer
dieselben Pflichten.
3. Unbeschadet der Bestimmungen in
Absatz 1 können die Mitgliedstaaten
die Bedingungen näher festlegen,
unter denen die Verarbeitung
personenbezogener Daten rechtmäßig
ist.
 ---pagebreak---                                     - 77 -
KAPITEL V                             ABSCHNITT III
QUALITÄT DER DATEN                    BESONDERE KATEGORIEN DER VERARBEITUNG
Artikel 17                            Artikel 8
Besondere Datenarten                  Verarbeitung besonderer Kategorien
                                      personenbezogener Daten
1. Die Mitgliedstaaten untersagen     1. Die Mitgliedstaaten untersagen die
die automatisierte Verarbeitung von   Verarbeitung von Daten, aus denen die
Daten, aus denen rassische und        rassische und ethnische Herkunft, die
ethnische Herkunft, politische        politische Meinung, die religiöse,
Meinung, religiöse odre               philosophische oder moralische
philosophische Überzeugungen sowie    Überzeugung oder die
Gewerkschaftszugehörigkeit            Gewerkschaftszugehörigkeit hervorgehen,
hervorgehen, sowie von                sowie von Daten über Gesundheit und
Informationen über Gesundheit und     Sexualleben.
Sexualleben, für die keine freie,
ausdrückliche und schriftliche
Einwilligung der betroffenen Person
vorliegt.
                                       2. Die Mitgliedstaaten sehen vor, daß
                                      die Verarbeitung der in Absatz 1
                                      genannten Daten unter nachstehenden
                                      Voraussetzungen erfolgen kann:
                                       a) Die betroffene Person hat schriftlic
                                          ihre Einwilligung zu einer solchen
                                          Verarbeitung gegeben, außer in den
                                          Fällen, in denen den
                                          Rechtsvorschriften des Mitgliedstaat
                                          zufolge das Verbot nach Absatz 1
                                          durch die Einwilligung der
                                          betroffenen Person nicht aufgehoben
                                          werden kann; oder
 ---pagebreak---                                     78 -
                                     b) die Verarbeitung erfolgt durch eine
                                         politisch, philosophisch, religiös
                                         oder gewerkschaftlich ausgerichtete
                                         Stiftung oder Vereinigung, die keinen
                                         Erwerbszweck verfolgt, im Rahmen
                                         ihres berechtigten Ziels und unter
                                         der Voraussetzung, daß sie sich nur
                                         auf die Mitglieder und
                                         Korrespondenzpartner der Stiftung
                                         oder der Vereinigung bezieht und die
                                         Daten Dritten nicht ohne Einwilligung
                                         der betroffenen Personen
                                         weitergegeben werden; oder
                                     c) die Verarbeitung erfolgt unter
                                         solchen Bedingungen, daß sie die
                                         Privatsphäre und die Grundfreiheiten
                                         offenkundig nicht beeinträchtigt.
                                     Die unter Buchstabe b genannte
                                     Verarbeitung ist von der in Abschnitt
                                     VIII dieses Kapitels vorgesehenen
                                     Meldepflicht befreit.
2. Die Mitgliedstaaten können aus    3. Die Mitgliedstaaten können aus
wichtigen Gründen des öffentlichen   Gründen des wichtigen öffentlichen
Interesses Ausnahmen von den          Interesses von den Bestimmungen in
Bestimmungen des Absatzes 1 auf der   Absatz 1 Ausnahmen auf der Grundlage
Grundlage eines Gesetzes vorsehen,    einer nationalen Rechtsvorschrift oder
das die speicherbaren Datenarten,     einer Entscheidung der Kontrollbehörde
die Personen, die Zugang zu der       vorsehen, in denen die Datenarten, die
Datei haben, sowie die                verarbeitet werden dürfen, die Empfänger
entsprechenden                        der Daten, die Anforderungen bezüglich
Sicherungsvorkehrungen gegen          des Verantwortlichen der Verarbeitung
mißbräuchliche Verwendung und         sowie die geeigneten Garantien näher
unzulässigen Zugang näher bestimmt.   bestimmt werden.
 ---pagebreak---                                   - 79 -
3. Daten über strafrechtliche       4. Daten über strafrechtliche
Verurteilunegn dürfen nur in        Verurteilungen dürfen nur von
Dateien des öffentlichen Bereichs   Justizbehörden und den durch die
gespeichert werden.                 betreffenden Entscheidungen unmittelbar
                                    betroffenen Personen oder ihren
                                    Vertretern aufbewahrt werden; die
                                    Mitgliedstaaten können allerdings auf
                                    der Grundlage einer nationalen
                                    gesetzlichen Bestimmung, die die
                                    geeigneten Garantien näher bestimmt,
                                    Ausnahmen zulassen.
                                    5. Die Mitgliedstaaten bestimmen, unter
                                    welchen Bedingungen eine nationale
                                    Kennziffer oder jedes andere Kennzeichen
                                    allgemeiner Bedeutung verwendet werden
                                    darf.
KAPITEL VI
SONDERBESTIMMUNGEN FÜR BESTIMMTE
BEREICHE
Artikel 19                          Artikel 9
                                    Verarbeitung personenbezogener Daten und
                                     Meinungsäußerungsfreiheit
 ---pagebreak---                                     - 80 -
Die Mitgliedstaaten können für        Um das Recht auf Privatsphäre mit den
Presseorgane und audiovisuelle        für die Meinungsäußerungsfreiheit
Medien von dieser Richtlinie          geltenden Vorschriften in Einklang zu
abweichende Bestimmungen vorsehen,    bringen, sehen die Mitgliedstaaten für
soweit diese erforderlich sind, um    die Verarbeitungen personenbezogener
das Recht auf Privatsphäre mit den    Daten, die von Presseorganen,
für die Informations- und             audiovisuellen Medien sowie von
Pressefreiheit geltenden              Journalisten zu journalistischen Zwecken
Vorschriften in Einklang zu            vorgenommen werden, von dieser
bringen.                               Richtlinie abweichende Bestimmungen vor.
KAPITEL IV                             ABSCHNITT VI
RECHTE DER BETROFFENEN PERSON          INFORMATION DER BETROFFENEN PERSON
Artikel 14                             Artikel 10
Ergänzende Rechte der betroffenen      Information über die Existenz einer
Person                                 Verarbeitung
Die Mitgliedstaaten erkennen
nachstehende Rechte der betroffenen
Person an:
3. die Existenz einer Datei, ihre      1. Die Mitgliedstaaten garantieren jeder
wichtigsten Zweckbestimmungen sowie    Person das Recht, auf Antrag zu
die Identität und den gewöhnlichen     erfahren, ob eine Verarbeitung
Aufenthalt, den Sitz oder die          existiert, ihre Zweckbestimmung, die
Niederlassung des für die Datei        betreffenden Datenkategorien sowie die
Verantwortlichen zu kennen;            Dritten oder Kategorien von Dritten,
                                       denen die Daten weitergegeben werden,
                                       den Namen und die Anschrift des
                                       Verantwortlichen der Verarbeitung und
                                       gegebenenfalls seines Vertreters.
 ---pagebreak---                                     - 81 -
                                       2. Die Mitgliedstaaten können unter den
                                       in Artikel 14 Absatz 1 vorgesehenen
                                       Bedingungen Ausnahmen von Absatz 1
                                       vorsehen.
Artikel 13                             Artikel 11
Unterrichtung bei der Datenerhebung    Unterrichtung bei Erhebung
                                       personenbezogener Daten bei der
                                       betroffenen Person
1. Die Mitgliedstaaten stellen         1. Die Mitgliedstaaten sehen vor, daß
sicher, daß die Personen, bei denen    sich der Verantwortliche der
personenbezogene Daten erhoben         Verarbeitung zu überzeugen hat, daß die
werden, das Recht haben, zumindest     Person, bei der Daten erhoben werden,
über folgendes unterrichtet zu        zumindest unterrichtet wird über:
werden:
a) Zweckbestimmung der Datei, für      a) die Zweckbestimmungen der
   die Angaben bestimmt sind;             Verarbeitung, für die die Daten
                                          bestimmt sind,
b) darüber, ob sie zur Beantwortung    b) die Tatsache, ob sie zur Beantwortung
   der Fragen, die Gegenstand der         der Fragen, die Gegenstand der
   Erhebung, verpflichtet sind oder       Erhebung sind, verpflichtet ist oder
   nicht;                                 nicht,
c) über die sie betreffenden           c) die sie betreffenden Konsequenzen
   Konsequenzen einer unterlassenen       einer unterlassenen Beantwortung,
   Beantwortung ;
d) über die Empfänger der Angaben,     d) den Empfänger oder die Kategorien der
                                          Empfänger der Daten,
 ---pagebreak---                                     - 82 -
e) über die Rechte auf Auskunft und    e) das Vorhandensein der Rechte auf
   auf Berichtigung der sie               Auskunft und Berichtigung für die sie
   betreffenden Daten und                 betreffenden Daten sowie
f) über Namen und Anschrift des        f) den Namen und die Anschrift des
   Verantwortlichen der Datei.             Verantwortlichen der Verarbeitung und
                                           gegebenenfalls seines Vertreters.
2. Die Bestimmungen des Absatzes 1     2. Die Bestimmungen des Absatzes 1
gelten nicht für die Datenerhebung,    gelten nicht für die Datenerhebung, wenn
wenn die Unterrichtung der             die Unterrichtung der betroffenen Person
betroffenen Person die Ausübung der    die Verfolgung von Kontroll- oder
Kontroll- und Überprüfungsaufgaben     Überwachungsaufgaben verhindern würde,
einer Behörde oder die                 die mit der Ausübung öffentlicher Gewalt
Aufrechterhaltung der öffentlichen     verbunden ist oder von dem
Sicherheit und Ordnung verhindert.     Zusammenwirken mit solchen Aufgaben
                                       herrührt, oder die Aufrechterhaltung
                                       der öffentlichen Ordnung gefährden
                                        würde.
 ---pagebreak---                                   - 83 -
KAPITEL III
ZULÄSSIGKEIT DER VERARBEITUNG IM
PRIATEN BEREICH
Artikel 9                           Art Lkel 12
Die Pflicht zur Benachrichtigung    Unterrichtung bei Weitergabe an einen
der Betroffenen Person              Dritten
1. Für den privaten Bereich sehen   1. Die Mitgliedstaaten sehen vor, daß
die Mitgliedstaaten in ihren        sich der Verantwortliche der
Rechtsvorschriften vor, daß der     Verarbeitung in den in Artikel 7
Verantwortliche die betroffene      Buchstaben b, c, e und f genannten
Person bei der ersten Weitergabe    Fällen davon überzeugt, daß die
oder bei der Eröffnung einer        betroffene Person zu gegebener Zeit,
Möglichkeit des automatisierten     spätestens bei der ersten Weitergabe an
Datenabrufs benachrichtigt und      einen Dritten, über diese Weitergabe
dabei die Zweckbestimmung der       unterrichtet ist sowie zumindest über:
Datei, die Arten der darin
gespeicherten Daten, seinen Namen
und seine Anschrift angibt.
                                    a) den Namen und die Anschrift des
                                        Verantwortlichen der Verarbeitung und
                                        gegebenfalls seines Vertreters,
                                    b) die Zweckbestimmungen der
                                        Verarbeitung,
                                    c) die Datenkategorien, die verarbeitet
                                        werden,
                                    d) den Empfänger oder die Kategorien der
                                        Empfänger und
 ---pagebreak---                                     - 84 -
                                      e) das Recht auf Auskunft, Berichtigung
                                          und Widerspruch.
2. Die in Absatz 1 vorgesehene         2. Die Bestimmungen in Absatz 1 finden
Benachrichtigung ist in dem in         nicht Anwendung, wenn:
Artikel 8 Absatz 1 Buchstabe b)
genannten Fall nicht zwingend. Die
Benachrichtigungspflicht besteht in
den Fällen nicht, in denen die
Übermittlung gesetzlich
vorgeschrieben ist.
                                          die betroffene Person bereits von der
                                          Weitergabe an einen Dritten oder der
                                          Möglichkeit der Weitergabe Kenntnis
                                          hat oder
                                          die Weitergabe an einen Dritten durch
                                          ein Gesetz vorgeschrieben ist, das
                                          eine Abweichung von der Pflicht, die
                                          betroffene Person zu informieren,
                                          vorsieht oder
3. Erhebt die betroffene Person           die Weitergabe an einen Dritten durch
Einwände gegen die Weitergabe oder        einen der Gründe in Artikel 14 Absatz
jede andere Form der Verarbeitung,        1 veranlaßt ist.
so hat der Verantwortliche der
Datei die strittige Verarbeitung
einzustellen, wenn nicht eine
gesetzliche Bestimmung ihm diese
erlaubt.
 ---pagebreak---                                     - 85 -
Artikel 10
Besondere Ausnahmen von der Pflicht
zur Benachrichtigung der
betroffenen Person
Erweist sich die Benachrichtigung      3. Erweist sich die Unterrichtung der
der betroffenen Person nach Artikel    betroffenen Person als unmöglich, ist
9 Absatz 1 als unmöglich oder ist      sie mit unverhältnismäßigen Bemühungen
mit unverhältnismäßigen Bemühungen     verbunden oder steht ihr ein überwiegen­
verbunden oder steht ihr ein           des berechtigtes Interesse des Verant­
überwiegendes berechtigtes             wortlichen der Verarbeitung oder ein
Interesse des Verantwortlichen der     vergleichbares Interesse eines Dritten
Datei oder ein vergleichbares          entgegen, so können die Mitgliedstaaten
Interesse eines Dritten entgegen,      vorsehen, daß die Kontrollbehörde eine
so können die Mitgliedstaaten in       Ausnahme genehmigen kann, wobei
ihren Rechtsvorschriften vorsehen,     gegebenenfalls geeignete Garantien
daß die Kontrollbehörde eine           vorzusehen sind.
Ausnahme erteilen kann.
KAPITEL IV                             ABSCHNITT V
RECHTE DER BETROFFENEN PERSON          AUSKUNFTSRECHT DER BETROFFENEN PERSON
Artikel 14                             Artikel 13
Ergänzende Rechte der betroffenen      Auskunftsrecht
Person
Die Mitgliedstaaten erkennen           Die Mitgliedstaaten erkenne., folgende
nachstehende Rechte der betroffenen    Rechte der betroffenen Personen an:
Person an:
 ---pagebreak---                                      - 86 -
4. in angemessenen Abständen,          1   auf Antrag in angemessenen Abständen,
   unverzüglich, in verständlicher         unverzüglich und ohne überhöhte
   Form und ohne überhöhte Kosten          Kosten eine Bestätigung des
   die Bestätigung des                     Vorhandenseins sie betreffender
   Vorhandenseins sie betreffender         personenbezogener Daten, eine
   personenbezogener Daten in einer        Mitteilung dieser Daten in
   Datei sowie diese Daten selbst          verständlicher Form sowie
   in einer verständlichen Form zu         Informationen über ihre Herkunft und
   erhalten.                               in allgemeiner Weise über ihre
                                           Verwendung zu erhalten.
  Die Mitgliedstaaten können               Die Mitgliedstaaten können vorsehen,
  vorsehen, daß das Auskunftsrecht         daß das Auskunftsrecht bei
  bei medizinischen Daten nur über         medizinischen Daten nur über einen
  einen Arzt wahrgenommen werden           Arzt wahrgenommen werden kann;
  kann;
                                        2. nicht durch einen Dritten genötigt
                                           werden zu können, ihr Auskunftsrecht
                                           wahrzunehmen, um ihm oder einer
                                           anderen Person die betreffenden Daten
                                            zu übermitteln, außer wenn der Antrag
                                            dieses Dritten sich auf
                                            einzelstaatliche oder
                                            gemeinschaftliche Rechtsvorschriften
                                            stützt;
    gegebenenfalls die Berichtigung     3. entsprechend den Umständen die
    dieser Daten oder ihre Löschung         Berichtigung, Löschung oder Sperrung
    oder ihre Sperrung zu erreichen,        unzutreffender oder unvollständiger
    wenn ihre Verarbeitung nicht mit        Daten zu erreichen, wenn ihre
    den Bestimmungen dieser                 Verarbeitung nicht mit den
    Richtlinie im Einklang steht;           Bestimmungen dieser Richtlinie im
                                            Einklang steht;
 ---pagebreak---                                     - 87 -
   bei Anwendung von Absatz 5          4. bei Anwendung von Nummer 3 zu
   dieses Artikels und soweit Daten       erreichen, wenn die Daten an Dritte
   an Dritte weitergegeben sind, zu       weitergegeben wurden, daß die
   erreichen, daß letzteren die           Berichtigung, Löschung oder Sperrung
   Berichtigung, Löschung oder            diesen Dritten mitgeteilt wird;
   Sperrung mitgeteilt wird;
                                       5. bei automatisierten Verarbeitungen,
                                          deren Ergebnisse der betroffenen
                                          Person entgegengehalten werden, auf
                                          Antrag die verwendeten Begründungen
                                          zu erfahren.
Artikel 15                             Artikel 14
Ausnahmen vom Auskunftsrecht der       Ausnahmen vom Auskunftsrecht
betroffenen Personen bei Dateien
des öffentlichen Bereichs
1. Die Mitgliedstaaten können die      1. Die Mitgliedstaaten können, sofern
in Artikel 14 unter den Punkten 3      nicht eine gemeinschaftsrechtliche
und 4 vorgesehenen Rechte aus          Vorschrift sie hierzu verpflichtet, die
nachstehenden Gründen durch Gesetz     Ausübung der in Artikel 10 Absatz 1 und
einschränken:                          13 Nummer 1 vorgesehenen Rechte be­
                                       schränken, wenn eine solche Einschrän­
                                       kung notwendig ist zum Schutz der:
 ---pagebreak---                                     - 88 -
a) Sicherheit des Staates,             a) Sicherheit des Staates;
b) Landesverteidigung,                 b) Landesverteidigung;
c) Strafverfolgung,                    c) Strafverfolgung;
d) öffentliche Sicherheit und          d) öffentlichen Sicherheit;
   Ordnung,
e) ordnungsgemäß begründetes,          e) ordnungsgemäß begründeten, zwingenden
   zwingendes wirtschaftliches und        wirtschaftlichen und finanziellen
   finanzielles Interesse eines           Interessen eines Mitgliedstaats oder
   Mitgliedstaats oder der                der Europäischen Gemeinschaft;
   Europäischen Gemeinschaft,
f) Notwendigkeit der Erfüllung         f) Kontroll- oder Überwachungsaufgaben,
   behördlicher Kontroll- oder            die mit der Ausübung öffentlicher
   Überwachungsaufgaben, oder             Gewalt verbunden sind oder von dem
                                          Zusammenwirken mit solchen Aufgaben
                                          herrühren;
g) ein gleichwertiges Recht einer      g) gleichwertigen Rechte einer anderen
   anderen Person und Rechte und          Person und Rechte und Freiheiten
   Freiheiten eines Dritten.              anderer.
2. In den Absatz 1 genannten Fällen    2. In den in Absatz 1 genannten Fällen
muß die Kontrollbehörde auf Antrag     muß die Kontrollbehörde auf Antrag der
der betroffenen Person die             betroffenen Person die notwendigen
notwendigen Überprüfungen der Datei    Überprüfungen vornehmen können, um die
vornehmen können.                      Rechtmäßigkeit der Verarbeitung im Sinne
                                       der vorliegenden Richtlinie unter
                                       Berücksichtigung der gemäß Absatz 1 zu
                                       schützenden Interessen zu kontrollieren.
 ---pagebreak---                                     - 89 -
3. Die Mitgliedstaaten können das      3. Die Mitgliedstaaten können das
Auskunftsrecht der betroffenen         Auskunftsrecht der betroffenen Person
Person für Daten einschränken, die     für Daten einschränken, die
nur vorübergehend zur Ermittlung       vorübergehend personenbezogen aufbewahrt
statistischer Informationen            werden, um für statistische Zwecke
gespeichert werden.                    dergestalt verarbeitet zu werden, daß
                                       die betroffenen Personen
                                       vernünftigerweise nicht mehr bestimmbar
                                       sind.
KAPITEL IV                             ABSCHNITT VI
RECHTE DER BETROFFENEN PERSON          WIDERSPRUCHSRECHT DER BETROFFENEN PERSON
Artikel 14                             Artikel 15
Ergänzende Rechte der betroffenen      Widerspruch aus berechtigten Gründen
Person
Die Mitgliedstaaten erkennen           1. Die Mitgliedstaaten erkennen das
nachstehende Rechte der betroffenen    Recht der betroffenen Person an,
Person an:                             jederzeit aus berechtigten Gründen
                                       dagegen Widerspruch einlegen zu können,
1. aus berechtigten Gründen dagegen    daß sie betreffende Daten Gegenstand
   Einspruch zu erheben, daß sie       einer Verarbeitung sind.
   betreffende personenbezogene
   Daten Gegenstand einer
   Verarbeitung sind;
 ---pagebreak---                                     - 90 -
(Artikel 9)
3. erhebt die betroffene Person
   Einwände gegen die Weitergabe
   oder jede andere Form der
   Verarbeitung, so hat der
   Verantwortliche der Datei die
   strittige Verarbeitung
   einzustellen, wenn nicht eine
   gesetzliche Bestimmung ihm diese
   erlaubt.
(Artikel 14)                           2. Im Fall eines berechtigten
                                       Widerspruchs hat der Verantwortliche
6. auf Antrag die kostenlose           der Verarbeitung diese einzustellen.
   Löschung der sie betreffenden
   Daten zu erreichen, die in
   Dateien für Zwecke der
    Marktforschung oder Werbezwecke
    gespeichert sind;
                                       3. Der Verantwortliche der Verarbeitung
                                       hat sich zu vergewissern, daß vor der
                                       Übermittlung personenbezogener Daten an
                                       Dritte  oder deren Benützung im Auftrag
                                       Dritter für schriftliche Werbezwecke die
                                       betroffenen Personen ausdrücklich auf
                                       die Möglichkeit hingewiesen wurden, ihre
                                       Daten ohne Kosten löschen lassen zu
                                       können.
 ---pagebreak---                                     - 91 -
(Artikel 14)                           Artikel 16
                                       Automatisierte EinzelentScheidungen
2. keiner Verwaltungsmaßnahme oder     1. Die Mitgliedstaaten räumen jeder
Entscheidung im privaten Bereich       Person das Recht ein, keiner sie
unterworfen zu werden, die eine        beschwerenden Verwaltungsmaßnahme oder
Beurteilung ihres Verhaltens           Entscheidung im privaten Bereich
enthält und sich dabei allein auf      unterworfen zu werden, die
eine rechnergestützte Verarbeitung     ausschließlich aufgrund einer
personenbezogener Daten stützt, die    automatisierten, Verarbeitung ergangen
ein Persönlichkeitsprofil des          ist, die ein Persönlichkeitsprofil
Betroffenen herstellt;                 erstellt.
                                       2. Die Mitgliedstaaten sehen unbeschadet
                                       der anderen Artikel dieser Richtlinie
                                       vor, daß eine Person einer Entscheidung
                                       nach Absatz 1 unterworfen werden kann,
                                       wenn:
                                       a) die Entscheidung im Rahmen eines
                                          Vertragsabschlusses oder seiner
                                          Erfüllung ergeht und das Begehren der
                                          betroffenen Person befriedigt wurde
                                          oder geeignete Maßnahmen - unter
                                          diesen die Möglichkeit, ihren
                                          Standpunkt geltend zu machen - die
                                          Wahrung ihrer berechtigten Interessen
                                          garantieren, oder
                                       b) die Entscheidung durch ein Gesetz
                                          erlaubt ist, das Garantien zur
                                          Wahrung der berechtigten Interessen
                                          der betroffenen Person beinhaltet.
 ---pagebreak---                                     - 92 -
KAPITEL V                              ABSCHNITT VII
QUALITÄT DER DATEN                     SICHERHEIT DER VERARBEITUNG
Artikel 18                             Artikel 17
Sicherheit der Daten
1. Die Mitgliedstaaten sehen in        1. Die Mitgliedstaaten sehen in ihren
ihren Rechtsvorschriften vor, daß      Rechtsvorschriften vor, daß der
der Verantwortliche der Datei          Verantwortliche der Verarbeitung die
verpflichtet ist, die angemessenen     geeigneten technischen und
technischen und organisatorischen      organisatorischen Maßnahmen zu treffen
Maßnahmen zu treffen, die für den      hat, die für den Schutz gegen die
Schutz der Datei gegen die             zufällige oder unrechtmäßige Zerstörung,
zufällige oder nicht genehmigte        den zufälligen Verlust sowie die
Zerstörung, den zufälligen Verlust     Umgestaltung, die Weitergabe und jede
sowie die nicht genehmigte             andere Form der nicht genehmigten
Veränderung, den nicht genehmigten     Verarbeitung personenbezogener Daten
Zugriff oder Zugang und jede andere    erforderlich sind.
Form der nicht genehmigten
Verarbeitung personenbezogener
Daten erforderlich sind.
 ---pagebreak---                                     93 -
Diese Maßnahmen müssen für           Diese Maßnahmen müssen für die
automatisierte Dateien unter         automatisierte Verarbeitung der Daten
Berücksichtigung des Standes der     unter Berücksichtigung des Standes der
Technik, der Kosten für ihre         Technik sowie der Art der zu schützenden
Verwirklichung, der Art der zu       Daten und der Beurteilung potentieller
schützenden Daten sowie der          Risiken ein angemessenes Sicherheits­
Beurteilung potentieller Risiken     niveau gewährleisten. Dazu hat der
ein angemessenes Sicherheitsniveau   Verantwortliche der Verarbeitung die
gewährleisten. Dazu hat der          Empfehlungen für die Sicherheit und der
Verantwortliche der Datei die        Datenverarbeitung und die Verknüpfbar­
Empfehlungen für die DV-Sicherheit   keit von Netzen zu berücksichtigen, die
und die Verknüpfbarkeit von Netzen   die Kommission nach den in Artikel 33
zu berücksichtigen, die die          vorgesehenen Modalitäten ausgearbeitet
Kommission nach dem in Artikel 29    hat.
vorgesehenen Verfahren
ausgearbeitet hat.
2. Für die Übertragung personenbe­   2. Für die Übertragung personenbezogener
zogener Daten über Netze sind Ver­   Daten über Netze sind Verfahren zu
fahren zu wählen, die eine angemes­  wählen, die eine angemessene Sicherheit
sene Sicherheit gewährleisten.       gewährleisten.
3. Bei dem Datenabruf in             3. Besteht die Möglichkeit des Fernzu­
automatischen Verfahren sind die     griffs, so hat der Verantwortliche der
Geräte und die Programme so zu       Verarbeitung die technischen Anlagen und
gestalten, daß die Abfrage sich im   Programme so zu gestalten, daß der Zu­
Rahmen der vom                       griff im Rahmen der Rechtmäßigkeit der
Dateiverantwortlichen erteilten      Verarbeitung erfolgt.
Berechtigung hält.
 ---pagebreak---                                     - 94 -
4. Die in den Absätzen 1 bis 3         4. Die in den Absätzen 1, 2 und 3
genannten Pflichten obliegen auch      genannten Pflichten obliegen auch den
den Personen, die tatsächlich oder     Personen, die bei der Verwirklichung der
aufgrund eines Vertrages die auf       Verarbeitung Verantwortung tragen,
Dateien bezogenen Verarbeitungs­       insbesondere der mit der Verarbeitung
vorgänge kontrollieren.                beauftragten Person.
5. Jede Person, die im Rahmen ihrer    5. Jeder Person, die im Rahmen ihrer
beruflichen Tätigkeit Zugang zu in     beruflichen Tätigkeit Zugang zu
den Dateien gespeicherten              personenbezogenen Daten hat, darf diese
Informationen hat, darf diese          Dritten nicht ohne das Einverständnis
Dritten nicht ohne das                 des Verantwortlichen der Verarbeitung
Einverständnis des Verantwortlichen    weitergeben, außer wenn Verpflichtungen
Datei mitteilen.                       aufgrund einzelstaatlicher oder
                                       gemeinschaftlicher Rechtsvorschriften
                                       bestehen.
KAPITEL II                             ABSCHNITT VIII
RECHTMÄSSIGKEIT DER VERARVBEITUNG      MELDUNG
IM ÖFFENTLICHEN BEREICH
Artikel 7 - Meldepflicht bei der       Artikel 18 - Meldepflicht bei der
Kontrollbehörde                        Kontrollbehörde
1. Die Mitgliedstaaten sehen in         1. Die Mitgliedstaaten sehen eine
ihren Rechtsvorschriften vor, daß       Meldung des Verantwortlichen der
die Einrichtung einer Datei des         Verarbeitung oder gegebenenfalls seines
öffentlichen Bereichs, deren            Vertreters bei der in Artikel 30
personenbezogene Daten für eine         genannten Kontrollbehörde vor, bevor
Weitergabe in Frage kommen, zuvor       eine vollständig oder teilweise
der Kontrollbehörde gemeldet werden     automatisierte Verarbeitung oder eine
muß, die dies in ein Register           Mehrzahl gleichartiger Verarbeitungen
einträgt. Das Register kann von         zur Realisierung einer oder mehrerer
 jedermann eingesehen werden.           verbundener Zweckbestimmungen
                                        durchgeführt wird.
 ---pagebreak---                                     - 95 -
2. Die Mitgliedstaaten legen fest,     2. Die Mitgliedstaaten legen fest,
welche Angaben der Kontrollbehörde     welche Informationen die Meldung zu
zu melden sind. Diese Angaben haben    enthalten hat. Sie umfassen zumindest:
mindestens Namen und Anschrift des
Verantwortlichen der Datei, ihre
Zweckbestimmung, eine Beschreibung
der Art der gespeicherten Daten,
die Dritten, denen die Daten
möglicherweise weitergegeben
werden, sowie eine Beschreibung der
in Anwendung von Artikel 18
getroffenen Maßnahmen zu umfassen.
                                       a) den Namen und die Anschrift des
                                          Verantwortlichen der Verarbeitung und
                                          gegebenenfalls seines Vertreters;
                                       b) die Zweckbestimmung(en) der
                                          Verarbeitung ;
                                       c) die Kategorie(n) der betroffenen
                                          Personen;
3. Die Mitgliedstaaten können          d) eine Beschreibung der Daten oder der
vorsehen, daß die Bestimmungen der        Datenkategorien, auf die sich die
Absätze 1 und 2 auf andere Dateien        Verarbeitung bezieht;
des öffentlichen Bereichs Anwendung
finden und die Einsicht in das
Register aus den in Artikel 15
Absatz 1 genannten Gründen
eingeschränkt werden kann.
 ---pagebreak--- - 96 -
   e) die Dritten oder die Kategorien der
       Dritten, denen die Daten
       möglicherweise mitgeteilt werden;
   f) den geplanten Datentransfer in
       Drittländer;
   g) eine Beschreibung der ergriffenen
       Maßnahmen nach Artikel 17 zur
       Gewährleistung der Sicherheit der
       Verarbeitung.
   3. Jede Änderung, die die in Absatz 2
   genannten Informationen berührt, ist der
   Kontrollbehörde zu melden.
   4. Die Kontrollbehörde prüft vor ihrer
   Durchführung die Verarbeitungen, die
   hinsichtlich der Rechte und Freiheiten
   von Personen besondere Risiken auf­
   weisen, innerhalb einer Frist von 15
   Tagen nach dem Tag ihrer Meldung; nach
   Ablauf dieser Frist gibt die Behörde das
   Ergebnis ihrer Prüfung bekannt.
    5. Die Mitgliedstaaten können vorsehen,
   daß gewisse der in Absatz 4 genannten
    Verarbeitungen einer vorherigen
    Genehmigung durch die Kontrollbehörde
    unterliegen. Die Mitgliedstaaten können
    vorsehen", daß die vorgenannte
    Genehmigung durch Gesetz erfolgt.
 ---pagebreak--- KAPITEL III
ZULÄSSIGKEIT DER VERARBEITUNG IM
PRIVATEN BEREICH
Artikel 11
Meldepflicht bei der
Kontrollbehörde
1. Die Mitgliedstaaten sehen in
ihren Rechtsvorschriften vor, daß
der Verantwortliche der Datei die
Einrichtung einer Datei mit
personenbezogenen Daten meldet,
soweit die Daten zur Weitergabe
bestimmt sind und nicht aus
jedermann zugänglichen Quellen
stammen. Die Meldung hat bei der
Kontrollbehörde des Mitgliedstaats
zu erfolgen, in dem die Datei sich
befindet, oder, falls sie sich in
keinem Mitgliedstaat befindet, bei
der Kontrollbehörde des
Mitgliedstaats, in dem der
Verantwortliche der Datei ansässig
ist. Der Verantwortliche der Datei
hat den zuständigen
einzelstaatlichen Behörden jede
Änderung seiner Anschrift oder der
Zweckbestimmung der Datei zu
melden.
 ---pagebreak---                                     - 98 -
2. Die Mitgliedstaaten legen fest,
welche Angaben der Kontrollbehörde
zu melden sind. Diese Angaben
umfassen mindestens Namen und
Anschrift des Verantwortlichen der
Datei, die Zweckbestimmung der
Datei, eine Beschreibung der Arten
der gespeicherten Daten, die
Dritten, denen die Daten
möglicherweise weitergegeben
werden, sowie eine Beschreibung der
in Anwendung von Artikel 18
getroffenen Maßnahmen.
3. die Mitgliedstaaten können
vorsehen, daß die Bestimmungen in
Absatz 1 und 2 auf andere Dateien
des privaten Bereichs Anwendung
finden und die Angaben nach Absatz
 2 der Öffentlichkeit zugänglich
 sind.
                                       Artikel 19
                                       Vereinfachung und Befreiung von der
                                       Meldepflicht
 ---pagebreak--- - 99 -
  1. Die Mitgliedstaaten sehen vor, daß
  die Meldung für bestimmte Kategorien von
  Verarbeitungen, die die Rechte und
  Freiheiten der betroffenen Personen
  nicht beeinträchtigen, vereinfacht wird
  oder entfällt. Diese
  Verarbeitungskategorien betreffen
  insbesondere das Erstellen beruflicher
  Schreiben oder Dokumente, die Erfüllung
  geset zi icher, buchhaltungsbezogener,
   steuerlicher oder sozialer
   Verpflichtungen oder auch die Abfrage
   bei allgemein zugänglichen
   dokumentarischen Diensten.
   2. Die Maßnahme zur Vereinfachung oder
   Befreiung von der Meldepflicht wird
   entweder durch die Kontrollbehörde oder
   nach Anhörung der Kontrollbehörde
   erlassen. Die obengenannte Maßnahme
   beinhaltet im einzelnen für jede
   Verarbeitungskategorie insbesondere:
   -  die Zweckbestimmung der Verarbeitung,
      eine Beschreibung der verarbeiteten
      Daten oder Datenkategorien,
      die Kategorie(n) der betroffenen
      Personen,
      die Dritten oder Kategorien der
      Dritten, denen die Daten
      weitergegeben werden,
   -  die Aufbewahrungsfrist der Daten,
      gegebenenfalls die Bedingungen, unter
      denen die Verarbeitung erfolgt.
 ---pagebreak--- - 100 -
   3. Die Vereinfachung oder die Befreiung
   von der Meldepflicht entbindet den
   Verantwortlichen der Verarbeitung von
   keiner anderen Verpflichtung aus dieser
   Richtlinie.
   Artikel 20
   Manuelle Verarbeitung
   Die Mitgliedstaaten können die Voraus­
   setzungen festlegen, unter denen die in
   den Artikeln 18 und 19 vorgesehenen
   Bestimmungen für nicht automatisierte
   Verarbeitungen personenbezogener Daten
   in Dateien gelten.
    Artikel 21
    Register der gemeldeten Verarbeitungen
    Die Mitgliedstaaten sehen vor, daß die
    Kontrollbehörde das Register der
    gemeldeten Verarbeitungen führt. Das
    Register enthält in den in den Artikeln
    18 und 19 vorgesehenen Fällen mindestens
    die Informationen, die in Artikel 18
    Absatz 2, Buchstaben a bis f,
    aufgeführt sind. Es kann von jeder
    Person eingesehen werden, vorbehaltlich
    der Beschränkungen, die die
    Mitgliedstaaten gemäß Artikel 14 Absatz
    1 vorsehen können.
 ---pagebreak---                                     - 101 -
KAPITEL IV                             KAPITEL III
RECHTE DER BETROFFENEN PERSON          RECHTSBEHELFE, HAFTUNG UND SANKTIONEN
Artikel 14                             Artikel 22
Ergänzende Rechte der betroffenen      Gerichtliche Rechtsbehelfe
Person
Die Mitgliedstaaten erkennen
nachstehende Rechte der betroffenen
Person an:
8. bei Verletzung der in diesem        Die Mitgliedstaaten sehen vor, daß jede
Artikel garantierten Rechte bei        Person bei Verletzung der in dieser
Gericht einen Rechtsbehelf einlegen    Richtlinie garantierten Rechte bei
zu können.                             Gericht einen Rechtsbehelf einlegen
                                       kann.
KAPITEL VII
HAFTUNG UND SANKTIONEN
Artikel 21                             Artikel 23
Haftung                                Haftung
1. Die Mitgliedstaaten sehen in        1. Die Mitgliedstaaten sehen vor, daß
ihren Rechtsvorschriften vor, daß      jede Person, deren personenbezogene
jede Person, deren personenbezogene    Daten Gegenstand einer Verarbeitung sind
Daten in einer Datei gespeichert       und die wegen einer rechtswidrigen
sind und die wegen der Verarbeitung    Verarbeitung oder jeder anderen mit den
oder jeder anderen mit den             nationalen Vorschriften zur Umsetzung
Bestimmungen dieser Richtlinie         dieser Richtlinie unvereinbaren Handlung
unvereinbaren Maßnahmen einen          einen Schaden erleidet, das Recht hat,
Schaden erleidet, das Recht hat,       von dem Verantwortlichen der
von dem Verantwortlichen der Datei     Verarbeitung Schadensersatz zu
Schadensersatz zu verlangen.           verlangen.
 ---pagebreak---                                     102 -
2. Die Mitgliedstaaten können        2. Die Mitgliedstaaten können vorsehen,
bestimmen, daß Schäden wegen         daß der Verantwortliche der Verarbeitung
Verlusts oder Zerstörung von Daten   teilweise oder vollständig von seiner
oder wegen unbefugtem Zugangs dem    Haftung für Schäden wegen Verlusts oder
Verantwortlichen der Datei nicht     Zerstörung von Daten oder wegen
zugerechnet werden können, wenn er   unbefugten Zugriffs befreit werden kann,
nachweist, daß er angemessene        wenn er nachweist, daß er die geeigneten
Maßnahmen getroffen hat, um den in   Maßnahmen getroffen hat, um den in
Artikel 18 und 22 genannten          Artikel 17 und 24 genannten
Anforderungen zu genügen.            Anforderungen zu genügen.
Artikel 22                           Artikel 24
Verarbeitung im Auftrag des          Auftragsverarbeitung
Dateiverantwortlichen
1. Die Mitgliedstaaten sehen in      1. Die Mitgliedstaaten sehen vor, daß
ihren Rechtsvorschriften vor, daß    sich der Verantwortliche der
sich der Verantwortliche der Datei   Verarbeitung im Fall einer Verarbeitung
im Fall einer Verarbeitung in        in seinem Auftrag vergewissern muß, daß
seinem Auftrag vergewissen muß, daß  die erforderlichen Sicherheits- und
die erforderlichen Sicherheits- un   organisatorischen Maßnahmen beachtet
organisatorischen Maßnahmen          werden; er muß eine Person für die
getroffen werden; er muß eine        Verarbeitung auswählen, die in dieser
Person oder ein Unternehmen wählen,  Hinsicht ausreichende Gewähr bietet.
die bzw. das in dieser Hinsicht
ausreichende Gewähr bietet.
 ---pagebreak---                                     103 -
2. Jede Person, die                  2. Die mit der Verarbeitung beauftragte
personenbezogene Daten im Auftrag    Person nimmt ausschließlich die
des Verantwortlichen der Datei       Verarbeitung der personenbezogenen Daten
erhebt oder verarbeitet, hat den     vor, die in dem mit dem Verantwortlichen
Pflichten nach Artide 16 und 18      der Verarbeitung geschlossenen Vertrag
dieser Richtlinie nachzukommen.      festgelegt ist; sie erhält Weisungen
                                     ausschließlich von letzterem. Sie hat
                                     die nationalen Durchführungsvorschriften
                                     dieser Richtlinie einzuhalten.
3. Der Vertrag bedarf der            3. Der Vertrag bedarf der Schriftform
Schriftform und hat insbesondere     und hat insbesondere die Bestimmung zu
die Bestimmung zu enthalten, daß     enthalten, daß die in Anwendung dieses
die personenbezogenen Daten durch    Vertrags verarbeiteten personenbezogenen
den Auftragnehmer oder seine         Daten einem Dritten durch die mit der
Beschäftigten nur mit Zustimmung     Verarbeitung beauftragte Person oder
des Verantwortlichen der Datei       ihre Beschäftigten nur mit Zustimmung
weitergegeben werden dürfen.         des Verantwortlichen der Verarbeitung
                                     weitergegeben werden dürfen.
Artikel 23                           Artikel 25
Sanktionen                           Sanktionen
Jeder Mitgliedstaat sieht in seinen  Jeder Mitgliedstaat sieht die Anwendung
Rechtsvorschriften die Anwendung     ausreichender Sanktionen für alle
von ausreichenden Sanktionen vor,    Personen vor, die die zur Durchführung
um die Einhaltung der zur            dieser Richtlinie erlassenen
Durchführung dieser Richtlinie       einzelstaatlichen Vorschriften nicht
erlassenen Bestimmungen zu           einhalten.
gewährleisten.
 ---pagebreak---                                     104 -
KAPITEL VIII                         KAPITEL IV
WEITERGABE PERSONENBEZOGENER DATEN   WEITERGABE PERSONENBEZOGENER DATEN IN
IN DRITTLÄNDER                       DRITTLÄNDER
Artikel 24                           Artikel 26
Grundsätze                           Grundsätze
1. Die Mitgliedstaaten sehen in      1. Die Mitgliedstaaten sehen vor, daß
ihren Rechtsvorschriften vor, daß    der vorübergehende oder endgültige
die vorübergehende oder endgültige   Transfer personenbezogener Daten, die
Weitergabe personenbezogener Daten,  Gegenstand einer Verarbeitung oder zu
die Gegenstand einer Verarbeitung    diesem Zweck erfaßt sind, in ein
oder zü diesem Zweck gesammelt       Drittland nur stattfinden kann, wenn
sind, in ein Drittland nur           dieses Drittland ein angemessenes
stattfinden kann, wenn dieses Land   Schutzniveau gewährleistet.
ein angemessenes Schutzniveau
gewährleistet.
 ---pagebreak--- - 105 -
   Abweichend von Absatz 1 sehen die
   Mitgliedstaaten vor, daß ein Transfer in
   ein Drittland, das kein angemessenes
   Schutzniveau gewährleistet, vorgenommen
   werden kann, sofern:
    - die betroffene Person ihre Einwilli­
      gung zu dem geplanten Transfer im
      Rahmen vorvertraglicher Beziehungen
      gegeben hat, unbeschadet gegebenen­
      falls der Bestimmungen des Artikels 8
      Absatz 2 Buchstabe a; oder
    - der Transfer für die Erfüllung eines
      Vertrags zwischen der betroffenen
      Person und dem Verantwortlichen der
      Verarbeitung erforderlich ist, unter
      der Voraussetzung, daß die betroffene
      Person davon unterrichtet wurde, daß
      der Transfer in ein Drittland, das
      kein angemessenes Schutzniveau
      gewährleistet, beabsichtigt ist oder
      beabsichtigt werden könnte; oder
    - der Transfer für die Wahrung eines
      wichtigen öffentlichen Interesses
      erforderlich ist; oder
    - der Transfer für die Wahrung
      lebenswichtiger Interessen der
      betroffenen Person erforderlich ist.
 ---pagebreak---                                    106 -
                                    2. Die Angemessenheit des Schutzniveaus,
                                    das ein Drittland bietet, wird unter
                                    Berücksichtigung aller Umstände
                                    beurteilt, die bei einem Transfer oder
                                    einer Kategorie von Datentransfers eine
                                    Rolle spielen; insbesondere werden die
                                    Art der Daten, die Zweckbestimmung sowie
                                    die Dauer der geplanten Verarbeitung,
                                    die in dem betreffenden Drittland
                                    geltenden allgemeinen oder sektoriellen
                                    gesetzlichen Bestimmungen sowie die dort
                                    beachteten Standesregeln berücksichtigt.
2. Die Mitgliedstaaten teilen der   3. Die Mitgliedstaaten teilen der
Kommission Fälle mit, in denen ein  Kommission Fälle mit, in denen ihres
Daten einführendes Drittland kein   Erachtens nach ein Drittland kein
angemessenes Schutzniveau           angemessenes Schutzniveau gewährleistet.
gewährleistet.
3. Stellt die Kommission auf der    4. Stellt die Kommission auf der
Grundlage von Informationen der     Grundlage von Informationen der
Mitgliedstaaten oder auf der        Mitgliedstaaten oder auf der Grundlage
Grundlage anderer Informationen     anderer Informationen   fest, daß ein
fest, daß ein Drittland kein         Drittland kein angemessenes Schutzniveau
angemessenes Schutzniveau aufweist   aufweist und dies für die Interessen der
und dies für die Interessen der      Gemeinschaft oder eines Mitgliedstaats
Gemeinschaft oder eines              nachteilig ist, so kann sie
Mitgliedstaats nachteilig ist, so    Verhandlungen einleiten, um eine Lösung
kann sie Verhandlungen einleiten,    für diese Situation herbeizuführen.
um eine Lösung für diese
Situationen herbeizuführen.
 ---pagebreak---                                     107 -
4. Die Kommission kann nach dem      5. Die Kommission kann nach dem
Verfahren gemäß Artikel 30 Absatz 2  Verfahren gemäß Artikel 34 Absatz 2
dieser Richtlinie feststellen, daß   feststellen, daß ein Drittland aufgrund
ein Drittland aufgrund der von ihm   der von ihm eingegangenen
eingegangenen internationalen        internationalen Verpflichtungen oder
Verpflichtungen oder seiner          seiner innerstaatlichen
innerstaatlichen Rechtsvorschriften  Rechtsvorschriften ein angemessenes
ein angemessenes Schutzniveau        Schutzniveau gewährleistet.
gewährleistet.
5. Die im Rahmen dieses Artikels     6. Die im Rahmen dieses Artikels
getroffenen Maßnahmen entsprechen    getroffenen Maßnahmen haben den
den Pflichten der Gemeinschaft       Pflichten der Gemeinschaft aufgrund
aufgrund bilateraler und             bilateraler und multilateraler
multilateraler internationaler       internationaler Abkommen zu entsprechen,
Abkommen, die den Schutz von         die den Schutz von Personen im Hinblick
Personen im Hinblick auf die         auf die automatisierte Verarbeitung
automatisierte Verarbeitung          personenbezogener Daten regeln.
personenbezogener Daten regeln.
 ---pagebreak---                                     - 108 -
Artikel 25                             Artikel 27
Ausnahmebestimmung                     Besondere Maßnahmen
1. Ein Mitgliedstaat kann von den      1. Unbeschadet des Artikels 26 Absatz 1
Bestimmungen des Artikels 24           zweiter Unterabsatz kann ein Mitglied­
Absatz 1 für eine bestimmte            staat einen Transfer oder eine Kategorie
Datenübermittlung ins Ausland          von Transfers personenbezogener Daten in
abweichen, wenn der Verantwortliche    ein Drittland genehmigen, das kein
der Datei ausreichend glaubhaft        angemessenes Schutzniveau gewährleistet,
macht, daß die Einhaltung eines        wenn der Verantwortliche der
angemessenen Schutzniveaus             Verarbeitung ausreichende Nachweise
sichergestellt ist. Der Mitglied­      erbringt, die sich vor allem aus
staat kann eine Ausnahme nur nach      geeigneten vertraglichen Bestimmungen
vorheriger Unterrichtung der           ergeben können, daß insbesondere die
Kommission und der Mitgliedstaaten     tatsächliche Wahrnehmung der Rechte der
gewähren, wenn weder ein Mitglied­     betroffenen Personen gewährleistet ist.
staat noch die Kommission innerhalb
einer Frist von zehn Tagen Wider­
spruch erheben.
2. Wird Widerspruch erhoben, so        2. Der Mitgliedstaat unterrichtet
trifft die Kommission gemäß dem        rechtzeitig die Kommission und die
Verfahren nach Artikel 30 Absatz 2     anderen Mitgliedstaaten über das
die geeigneten Maßnahmen.              Genehmigungsvorhaben.
                                       3. Legt ein Mitgliedstaat oder die
                                        Kommission vor Wirksamwerden der
                                        Genehmigung Widerspruch ein, so erläßt
                                       die Kommission die geeigneten Maßnahmen
                                       entsprechend dem Verfahren gemäß Artikel
                                       34 Absatz 2.
 ---pagebreak---                                     - 109 -
KAPITEL VI                             KAPITEL V
SONDERBESTIMMUNGEN FÜR BESTIMMTE       VERHALTENSREGELN
BEREICHE
Artikel 20                             Artikel 28
                                       Nationale Verhaltensregeln
Die Mitgliedataaten ermutigen die      1. Die Mitgliedstaaten können vorsehen,
Berufs- und Standesvertretungen auf    daß von den Interessenverbänden
der Grundlage der in dieser            ausgearbeitete Verhaltensregeln
Richtlinie enthaltenen Prinzipen an    ergänzende Maßnahmen im Hinblick auf die
der Ausarbeitung von europäischen      Besonderheiten bestimmter Bereiche
Standes- oder Verhaltensregeln für     festlegen können, unbeschadet der zur
bestimmte Bereiche mitzuwirken.        Umsetzung dieser Richtlinie erlassenen
                                       Rechtsvorschriften.
                                       2. Die Entwürfe der Verhaltensregeln
                                       werden von der einzelstaatlichen
                                       Kontrollbehörde geprüft, die sich von
                                       ihrer Begründetheit und der
                                       Repräsentativität der
                                       Interessenverbände, die sie vorbereitet
                                       haben, überzeugt. Sie holt die
                                       Stellungnahmen der betroffenen Personen
                                       oder ihrer Vertreter ein.
                                       3. Die Mitgliedstaaten sorgen für die
                                       amtliche Veröffentlichung der
                                       Verhaltensregeln, die eine positive
                                       Stellungnahme von der Kontrollbehörde
                                       erhalten haben.
                                       4. Jede Verlängerung oder Änderung der
                                       Verhaltensregeln unterliegt dem gleichen
                                       Verfahren.
 ---pagebreak--- - 110 -
   Artikel 29 - Gemeinschaftliche
   Verhaltensregeln
   1. Die Mitgliedstaaten und die
   Kommission ermutigen die Interessen­
   verbände, an der Ausarbeitung gemein­
   schaftlicher Verhaltensregeln zur
   Durchführung dieser Richtlinie im
   Hinblick auf die Besonderheiten
   mitzuwirken.
   2. Die Kommission kann Verhaltensregeln
   zur Information im Amtsblatt der Euro­
   päischen Gemeinschaften veröffentlichen,
   zusammen mit der Stellungnahme der in
   Artikel 31 genannten Gruppe, die diese
   abgegeben hat und die sich zum Inhalt
   der Verhaltensregeln und zur Repräsen-
   tativität der Verbände auf europäischer
   Ebene äußert, die sie ausgearbeitet
   haben. Die Gruppe holt die Stellung­
   nahmen der betroffenen Personen oder
   ihrer Vertreter ein.
 ---pagebreak---                                     - Ili -
KAPITEL IX                             KAPITEL VI
KONTROLLBEHÖRDEN UND GRUPPE FÜR DEN    KONTROLLBEHÖRDE UND GRUPPE FÜR DEN
SCHUTZ PERSONENBEZOGENER DATEN         SCHUTZ DER RECHTE VON PERSONEN BEI DER
                                       VERARBEITUNG PERSONENBEZOGENER DATEN
Artikel 26                             Artikel 30
Die Kontrollbehörde                    Kontrollbehörde
1. Die Mitgliedstaaten tragen dafür    1. Jeder Mitgliedstaat benennt eine
Sorge, daß eine unabhängige Behörde    unabhängige staatliche Behörde, die für
den Schutz personenbezogener Daten     die Gewährleistung des Schutzes
kontrolliert. Diese Behörde hat den    personenbezogener Daten zuständig ist.
Auftrag, die Anwendung der in          Diese Behörde hat den Auftrag, die
Durchführung dieser Richtlinie         Anwendung der in Durchführung dieser
erlassenen einzelstaatlichen           Richtlinie erlassenen einzelstaatlichen
Bestimmungen zu überwachen und alle    Bestimmungen zu überwachen und alle
Aufgaben wahrzunehmen, die ihr         Aufgaben wahrzunehmen, die ihr durch
durch diese Richtlinie zugewiesen      diese Richtlinie zugewiesen sind. Jeder
sind.                                  Mitgliedstaat kann mehrere
                                       Kontrollbehörden benennen.
2. Diese Behörde verfügt über          2. Jede Kontrollbehörde verfügt über:
Untersuchungsbefügnisse und               Untersuchungsbefugnisse, wie das
wirksame Eingriffsmöglichkeiten           Recht auf Zugriff zu Daten, die
gegen die Einrichtung und Nutzung         Gegenstand von Verarbeitungen sind,
von Dateien, die den Bestimmungen         die unter diese Richtlinie fallen,
dieser Richtlinie nicht                   und auf Einholen aller für die
entsprechen. Dazu verfügt sie             Erfüllung ihres Kontrollauftrags
insbesondere über das Zugriffsrecht       erforderlichen Informationen;
auf die Dateien, die unter diese       -  effektive Eingriffsbefugnisse, wie
Richtlinie fallen; sie muß alle für       die Anordnung der Sperrung oder
die Erfüllung ihrer Kontrollaufgabe       Löschung von Daten, des vorläufigen
erforderlichen Informationen              oder endgültigen Verbots einer
sammeln können.                           Verarbeitung, der Vernichtung eines
                                          Datenträgers oder die Befugnis, eine
                                          Verwarnung an den Verantwortlichen
                                          der Verarbeitung zu richten;
 ---pagebreak---                                     - 112 -
                                        - die Befugnis, die Justizbehörde zu
                                          befassen, wenn sie Verstöße gegen die
                                          einzelstaatlichen Bestimmungen zur
                                          Durchführung dieser Richtlinie
                                          feststellt.
3. Jedermann kann sich an diese        3. Jede Person kann sich mit einer
Behörde wenden mit einer Eingabe       Beschwerde oder Eingabe in bezug auf den
oder Beschwerde in bezug auf den       Schutz von Personen bei der Verarbeitung
Schutz von Personen im Hinblick auf    personenbezogener Daten an jede
die Verarbeitung personenbezogener     Kontrollbehörde wenden. Die Person ist
Daten.                                 darüber zu informieren, wie mit der
                                       Eingabe verfahren wurde.
                                       4. Jede Kontrollbehörde legt einen
                                       Jahresbericht über ihre Tätigkeit vor.
                                       Dieser Bericht wird veröffentlicht.
                                       5. Die Behörden der Mitgliedstaaten
                                       gewährleisten die notwendige Zusam­
                                       menarbeit für die Erfüllung ihrer
                                       Kontrollaufgaben untereinander,
                                       insbesondere durch den Austausch
                                       sachdienlicher Informationen oder die
                                       Wahrnehmung von Untersuchungs- oder
                                       Eingriffsbefugnisser.
                                       6. Die Mitgliedstaaten sehen vor, daß
                                       jede Kontrollbehörde, ihre Mitglieder
                                       und Bediensteten dem Berufsgeheimnis
                                       unterliegen.
 ---pagebreak---                                    - 113 -
Artikel 27                            Artikel 31
Gruppe für den Schutz                 Datenschutzgruppe
personenbezogener Daten
1. Es wird eine Gruppe für den        1. Es wird eine Gruppe für den Schutz
Schutz personenbezogener Daten        der Rechte von Personen bei der
eingesetzt. Diese unabhängige         Verarbeitung personenbezogener Daten
Gruppe mit beratender Funktion        eingesetzt, nachstehend "die Gruppe"
setzt sich aus Vertretern der in      genannt. Diese unabhängige Gruppe mit
Artikel 26 vorgesehenen               beratender Funktion setzt sich aus
Kontrollbehörden aus allen            Vertretern der in Artikel 30
Mitgliedstaaten zusammen; den         vorgesehenen Kontrollbehörden und einem
Vorsitz führt ein Vertreter der       Vertreter der Kommission zusammen. Hat
Kommission.                           ein Mitgliedstaat mehrere
                                      Kontrollbehörden benannt, so ernennen
                                      diese gemeinsame Vertreter, die
                                      innerhalb der Gruppe über dieselben
                                      Rechte und Pflichten verfügen wie die
                                      übrigen Vertreter der anderen Behörden.
                                      2. Die Gruppe wählt ihren Vorsitzenden.
                                      Die Dauer der Amtszeit des Vorsitzenden
                                      beträgt zwei Jahre. Die Wiederwahl ist
                                      möglich.
2. Das Sekretariat der Gruppe für     3. Das Sekretariat der Gruppe übernimmt
den Schutz personenbezogener Daten    die Kommission.
führen die Dienststellen der
Kommission.
3. Die Gruppe für den Schutz          4. Die Gruppe gibt sich ihre
personenbezogener Daten gibt sich     Geschäftsordnung.
ihre Geschäftsordnung.
 ---pagebreak---                                     - 114 -
4. Die Gruppe für den Schutz           5. Die Gruppe prüft die Fragen, die ihr
personenbezogener Daten prüft die      Vorsitzender von Amts wegen oder auf
Fragen, die ihr Vorsitzender von       begründeten Antrag eines Vertreters der
sich aus oder auf begründeten          Kontrollbehörden oder auf Antrag der
Antrag eines Vertreters der            Kommission auf die Tagesordnung gesetzt
Kontrollbehörden auf die               hat.
Tagesordnung gesetzt hat und die
sich auf die Anwendung der
gemeinschaftsrechtlichen
Bestimmungen im Bereich des
Schutzes personenbezogener Daten
beziehen.
Artikel 28                             Artikel 32
Aufgaben der Gruppe für den Schutz     Aufgaben der Datenschutzgruppe
personenbezogener Daten
1. Die Gruppe für den Schutz           1. Die Gruppe hat die Aufgabe:
personenbezogener Daten hat die
Aufgabe:
a) zur einheitlichen Anwendung der     a) zur einheitlichen Anwendung der zur
   zur Durchführung dieser                 Durchführung dieser Richtlinie
   Richtlinie erlassenen                   erlassenen einzelstaatlichen
   einzelstaatlichen Vorschriften          Vorschriften beizutragen;
   beizutragen ;
b) zum Schutzniveau in der              b) zum Schutzniveau in der Gemeinschaft
   Gemeinschaft und den                    und in Drittländern Stellung zu
   Drittländern Stellung zu nehmen;        nehmen;
 ---pagebreak---                                     115
c) die Kommission zu Vorhaben        c) die Kommission bei jeder Vorlage zur
   zusätzlicher oder besonderer         Änderung dieser Richtline, zu allen
   Maßnahmen zur Erhaltung des          Vorhaben zusätzlicher oder
   Schutzes der Privatsphäre zu         spezifischer Maßnahmen zur Wahrung
   beraten.                             der Rechte und Freiheiten natürlicher
                                        Personen sowie zu allen anderen
                                        Vorhaben zu beraten, die sich auf
                                        diese Rechte und Freiheiten
                                        auswirken;
                                     d) Stellungnahmen zu den auf
                                        Gemeinschaftsebene erarbeiteten
                                        Verhaltensregeln abzugeben.
2. Stellt die Gruppe für den Schutz  2. Stellt die Gruppe fest, daß sich im
personenbezogener Daten fest, daß    Bereich des Schutzes der Rechte von
sich im Bereich des Schutzes         Personen bei der Verarbeitung
personenbezogener Daten zwischen     personenbezogener Daten zwischen den
den Rechtsvorschriften oder der      Rechtsvorschriften oder der Praxis der
Praxis der Mitgliedstaaten           Mitgliedstaaten schwerwiegende
schwerwiegende Unterschiede          Unterschiede ergeben, die die
ergeben, die die Gleichwertigkeit    Gleichwertigkeit des Schutzes in der
des Schutzes in der Gemeinschaft zu  Gemeinschaft zu beeinträchtigen drohen,
beeinträchtigen drohen, so teilt     so teilt sie dies der Kommission mit.
sie dies der Kommission mit.
 ---pagebreak---                                    116
3. Die Gruppe für den Schutz        3. Die Gruppe kann in eigener Initiative
personenbezogener Daten kann zu     Empfehlungen zu allen Fragen, die den
allen Fragen, die den Schutz von    Schutz von Personen bei der Verarbeitung
Personen im Hinblick auf            personenbezogener Daten in der
personenbezogene Daten in der       Gemeinschaft betreffen, abgeben.
Gemeinschaft betreffen,
Empfehlungen abgeben. Diese
Empfehlungen werden in den
Sitzungsbericht aufgenommen und
können dem in Artikel 30 genannten
Beratenden Ausschuß übermittelt
werden. Die Kommission teilt der
Gruppe für den Schutz
personenbezogener Daten mit, wie
sie mit den Empfehlungen weiter
verfahren ist.
                                    4. Die Stellungnahmen und Empfehlungen
                                    der Gruppe werden im Sitzungsbericht
                                    aufgenommen und der Kommission
                                    übermittelt; sie können auch dem in
                                    Artikel 34 genannten beratenden Ausschuß
                                    mitgeteilt werden.
                                    5. Die Kommission teilt der Gruppe mit,
                                    welche Konsequenzen sie aus den
                                    Stellungnahmen und Empfehlungen gezogen
                                    hat. Sie erstellt hierzu einen Bericht,
                                    der auch dem Europäischen Parlement und
                                    dem Rat übermittelt wird. Dieser Bericht
                                    wird veröffentlicht.
 ---pagebreak---                                     - 117 -
4. Die Gruppe für den Schutz           6. Die Gruppe erstellt jährlich einen
personenbezogener Daten erstellt       Bericht über den Stand des Schutzes
einen Jahresbericht über den Stand     natürlicher Personen bei der
des Schutzes der Personen im           Verarbeitung personenbezogener Daten in
Hinblick auf die Verarbeitung          der Gemeinschaft und in Drittländern,
personenbezogener Daten in der         den sie der Kommission, dem Europäischen
Gemeinschaft und in den                Parlament und dem Rat übermittelt.
Drittländern, den sie der              Dieser Bericht wird veröffentlicht.
Kommission übermittelt.
KAPITEL X                              KAPITEL VII
RECHTSETZUNGSBEFUGNIS DER              RECHTSETZUNGSBEFUGNIS DER KOMMISSION
KOMMISSION
Artikel 29                             Artikel 33
Ausübung der Rechtsetzungsbefugnis     Ausübung der Rechtsetzungsbefugnis
Gemäß dem Verfahren nach Artikel 30    Gemäß dem Verfahren von Artikel 34
Absatz 2 trifft die Kommission die     Absatz 2 verabschiedet die Kommission
für die Anwendung dieser Richtlinie    die für die Anwendung dieser Richtlinie
auf die Besonderheiten bestimmter      auf die Besonderheiten bestimmter
Bereiche erforderlichen ergänzenden    Bereiche oder bestimmter
Maßnahmen unter Berücksichtigung       Verarbeitungskategorien erforderlichen
des einschlägigen technischen          technischen Modalitäten und die
Standes und der Verhaltensregeln.      notwendigen Maßnahmen, um die
                                       einheitliche Anwendung der Bestimmungen
                                       dieser Richtlinie zu gewährleisten.
 ---pagebreak---                                    - 118 -
Artikel 30                            Artikel 34
Beratender Ausschuß                   Beratender Ausschuß
1. Die Kommission wird durch einen    1. Die Kommission wird durch einen
Beratenden Ausschuß unterstützt,      beratenden Ausschuß unterstützt, der
der sich aus Vertretern der           sich aus Vertretern der Mitgliedstaaten
Mitgliedstaaten zusammensetzt und     zusammensetzt und dessen Vorsitz der
dessen Vorsitz der Vertreter der      Vertreter der Kommission führt.
Kommission führt.
2. Der Vertreter der Kommission       2. Der Vertreter der Kommission
unterbreitet dem Ausschuß einen       unterbreitet dem Ausschuß einen Entwurf
Entwurf der zu treffenden             der zu treffenden Maßnahmen. Der
Maßnahmen. Der Ausschuß gibt seine    Ausschuß gibt seine Stellungnahme zu
Stellungnahme zu diesem Entwurf       diesem Entwurf innerhalb einer Frist ab,
innerhalb einer Frist, die der        die der Vorsitzende unter
Vorsitzende unter Berücksichtigung    Berücksichtigung der Dringlichkeit der
der Dringlichkeit der betreffenden    betreffenden Frage - gegebenenfalls
Frage - erforderlichenfalls durch     durch eine Abstimmung - festsetzen kann.
eine Abstimmung - festsetzen kann.    Die Stellungnahme wird in das Protokoll
Die Stellungnahme wird in das         aufgenommen; darüber hinaus hat jeder
Protokoll aufgenommen; darüber        Mitgliedstaat das Recht zu verlangen,
hinaus hat jeder Mitgliedstat das     daß sein Standpunkt im Protokoll
Recht zu verlangen, daß sein          festgehalten wird. Die Kommission
Standpunkt im Protokoll               berücksichtigt soweit wie möglich die
festgehalten wird. Die Kommission     Stellungnahme des Ausschusses. Sie
berücksichtigt soweit wie möglich     unterrichtet den Ausschuß darüber,
die Stellungnahme des Ausschusses.    inwieweit sie seine Stellungnahme
Sie unterrichtet den Ausschuß         berücksichtigt hat.
darüber, inwieweit sie seine
Stellungnahme berücksichtigt hat.
 ---pagebreak---                                     - 119 -
SCHLUSSBESTIMMUNGEN                    SCHLUSSBESTIMMUNGEN
Artikel 31                             Artikel 35
1. Die Mitgliedstaaten erlassen die    1. Die Mitgliedstaaten erlassen die
erforderlichen Rechts- und Verwal­     erforderlichen Rechts- und Verwal­
tungsvorschriften, um dieser Richt­    tungsvorschriften, um dieser Richtlinie
linie spätestens am 1. Januar 1993     spätestens am 1. Juli  1994 nachzu­
nachzukommen.                          kommen.
Die aufgrund des ersten                Wenn die Mitgliedstaaten diese
Unterabsatzes erlassenen               Vorschriften erlassen, nehmen sie in
Vorschriften enthalten eine            diesen Vorschriften selbst oder durch
ausdrückliche Verweisung auf diese     einen Hinweis bei der amtlichen
Richtlinie.                            Veröffentlichung auf diese Richtlinie
                                       Bezug. Die Mitgliedstaaten regeln die
                                       Einzelheiten dieser Bezugnahme.
                                       2. Die Mitgliedstaaten bestimmen den
                                       Zeitpunkt, der vor dem 1. Juli 1997
                                       liegen muß, nach dem die Ver­
                                       arbeitungen, die vor dem 1. Juli 1994
                                       erfolgt sind, den einzelstaatlichen
                                       Vorschriften zur Durchführung dieser
                                       Richtlinie entsprechen müssen.
2. Die Mitgliedstaaten teilen der      3. Die Mitgliedstaaten teilen der
Kommission den Wortlaut der            Kommission den Wortlaut der
innerstaatlichen Rechtsvorschriften    innerstaatlichen Rechtsvorschriften mit,
mit, die sie auf dem unter dieser      die sie auf dem unter diese Richtlinie
Richtlinie fallenden Gebiet            fallenden Gebiet erlassen.
erlassen.
 ---pagebreak---                                     - 120 -
Artikel 32                             Artikel 36
Die Kommission legt dem Rat und dem    Die Kommission legt dem Rat und dem
Europäischen Parlament regelmäßig      Europäischen Parlament regelmäßig einen
einen Bericht über die Durchführung    Bericht über die Durchführung dieser
dieser Richtlinie vor, den sie         Richtlinie vor, den sie gegebenenfalls
gegebenenfalls mit geeigneten          mit geeigneten Änderungsvorschlägen
Änderungsvorschlägen verbindet.        verbindet. Dieser Bericht wird
                                       veröffentlicht.
Artikel 33                             Artikel 37
Diese Richtlinie ist an die            Diese Richtlinie ist an die
Mitgliedstaaten gerichtet.             Mitgliedstaaten gerichtet.
Geschehen zu Brüssel am                Geschehen zu Brüssel am
Im Namen des Rates                     Im Namen des Rates
Der Präsident                          Der Präsident
 ---pagebreak---                                    - 121 -
                                  FINANZBOGEN
Teil 1; Finanzielle Auswirkungen
1. Bezeichnung der Maßnahme:         Geänderter Vorschlag für eine Richtlinie
                                     des Rates zum Schutz natürlicher Personen
                                     bei der Verarbeitung personenbezogener
                                     Daten und zum freien Datenverkehr.
2. Haushaltslinien:
      A 2510: Ausgaben für Sitzungen eines Ausschusses, dessen Konsultierung
      im Rahmen des Verfahrens zur Ausarbeitung von Gemeinschaftsrechtsakten
      obligatorisch ist.
      A 2511: Ausgaben für Sitzungen eines Ausschusses, dessen Konsultierung
      kein obligatorisches Element des Verfahrens zur Ausarbeitung von
      Gemeinschaftsrechtsakten ist.
      Titel AI und A2: Personal- und Betriebskosten.
3. Rechtsgrundlage:
   Artikel 100a EWG-Vertrag.
4. Beschreibung der Maßnahme
      Ziele:   -  Ermöglichung des einwandfreien Funktionierens des Binnen­
                  marktes durch Sicherstellung des grenzüberschreitenden
                  Verkehrs personenbezogener Daten in der Gemeinschaft;
               -  Gewährleistung des Schutzes natürlicher Personen bei der
                  Verarbeitung personenbezogener Daten.
      Bildung von 2 Ausschüssen, die für den Schutz von Personen bei der
      Verarbeitung personenbezogener Daten zuständig sind (Art. 31 und Art.
      34).
   -  In Frage kommende Personen: 1. Für die Datenschutzgruppe (Art. 31):
                             Vertreter der Kontrollbehörden aller
                             Mitgliedstaaten (Gruppe 4).
                                   2. Für den Beratenden Ausschuß (Art. 34):
                             Vertreter der Mitgliedstaaten (Gruppe 3).
 ---pagebreak---                                   - 122 -
   Ein Vertreter der Kommission führt den Vorsitz des Beratenden Ausschusses.
   Den Vorsitz der Datenschutzgruppe führt ein für zwei Jahre gewähltes
   Mitglied. Das Sekretariat des Beratenden Ausschusses und der
   Datenschutzgruppe führen die Dienststellen der Kommission.
5. Einstufung der Ausgaben:
   5.1.: NOA (Nichtobligatorische Ausgaben)
   5.2.: NGM (Nichtgetrennte Mittel)
6. Art der Ausgaben:
      Ausgaben für die Beteiligung der Mitglieder an den Sitzungen der Gruppe
      und des Ausschusses;
   -  Personalkosten.
7. Finanzielle Auswirkungen auf die Interventionsmittel:
   Keine.
8. Welche Vorkehrungen sind zur Betruqsverhütunq vorgesehen?
   Keine.
Teil 2: Verwaltungsausgaben (Teil A des Haushalts)
1. Ist für die Maßnahme eine Verstärkung des Kommissionspersonals
   erforderlich? Ja: 2 zusätzliche C-Beamte.
   Diese Planstellen sollen entweder im Rahmen der von der Kommission auf der
   Grundlage der künftigen Haushaltspläne beschlossenen Mittelverteilung oder
   durch dienstinterne Neuverwendung bewilligt werden.
 ---pagebreak---                                   - 123 -
2. Höhe der entstehenden Ausgaben:
   - Sekretariat: rund 120.000 ECU pro Jahr, die in den verschiedenen
                Haushaltslinien des Titels AI und A2 verbucht werden
                (2 C-Beamte).
   - Sitzungen der Gruppen:
      *  Datenschutzgruppe:
         24 (regierungsunabhängige) Mitglieder x 4 Sitzungen an 2 Tagen:
         - Reisekosten:           526,61 ECU x 24 x 4     =  50.555 ECU
         - Anreiseentschädigung:  105,40 ECU x 24 x 4     =  10.118 ECU
         - Sekretariatskosten:    105,40 ECU x 24 x 4 x 2 =  20.236 ECU
                                                             80.909 ECU
         Beratender Ausschuß:
         24 (regierungsunabhängige) Mitglieder x 2 Sitzungen an 2 Tagen:
         - Reisekosten: 526,61 ECU x 24 x 2               =  25.277 ECU
           Abgerundeter Gesamtbetrag für ein ganzes Jahr:
              Sekretariat               120.000 ECU
              Gruppe                     81.000 ECU
           -  Ausschuß                    25.000 ECU
           INSGESAMT                    226.000 ECU
Teil 3: Kosten-Nutzen-Analyse
1. Ziele und Berücksichtigung bei der Finanzplanung
   Geplant ist die Bildung von 2 Gruppen, die ermächtigt werden sollen,
   1994 Sitzungen zu veranstalten. Es ist vorgesehen, sie bei der Finanz
   planung für 1994 in das Verzeichnis der Ausschüsse aufzunehmen.
   Fälligkeitsplan (NOA, NGM):
 ---pagebreak---                                     124
         Verpflichtunqsermächtiqunqen - Zahlungsermächtigungen
   1994           226.000 ECU
   1995           226.000 ECU
   1996           226.000 ECU
   1997           226.000 ECU
   1998           226.000 ECU
   Die Mittel sind im allgemeinen Rahmen der einzelnen Haushaltsverfahren
   für die verschiedenen Haushaltsposten des Teils A zu beantragen.
2. Begründung der Maßnahme
   a) Gruppe für den Schutz der Rechte von Personen bei der Verarbeitung
      personenbezogener Daten (Datenschutzgruppe) (Art. 31)
      Diese unabhängige beratende Gruppe wird eingesetzt; sie setzt sich
      aus Vertretern der Kontrollbehörden aller Mitgliedstaaten zusammen.
      Die Gruppe gibt sich eine Geschäftsordnung. Die Sekretariatsgeschäfte
      der Gruppe werden von den Dienststellen der Kommission wahrgenommen.
      Aufgaben der Gruppe (siehe Artikel 32): Beratung der Kommission bei
      geplanten zusätzlichen Maßnahmen durch Abgabe einer völlig
      unabhängigen Stellungnahme, was im Bereich des Schutzes der Privat­
      sphäre von wesentlicher Bedeutung ist.
3. Folgemaßnahmen und Bewertung der Maßnahme
   3.1.  Indikatoren: Prüfung des gemäß Artikel 32 Absatz 6 von der Gruppe
         vorgelegten Jahresberichts.
   3.2.  Modalitäten und Häufigkeit der Bewertungen: jährlich auf der
         Grundlage des von der Gruppe vorzulegenden obengenannten Berichts.
   3.3.  Die wichtigsten Unsicherheitsfaktoren werden mit den
         Schwierigkeiten zusammenhängen, die voneinander abweichenden
         Konzepte und Erfahrungen aufgrund unterschiedlicher kultureller
         und technischer Faktoren in den Mitgliedstaaten zu harmonisieren.
 ---pagebreak---                                   - 125 -
                             FOLGENABSCHÄTZUNG
              AUSWIRKUNGEN DES VORSCHLAGS AUF DIE UNTERNEHMEN
           UND SONSTIGEN BETROFFENEN EINRICHTUNGEN, INSBESONDERE
              AUF DIE KLEINEN UND MITTLEREN UNTERNEHMEN (KMU)
Titel des Vorschlags:       Geänderter Vorschlag für eine Richtlinie des
                            Rates zum Schutz natürlicher Personen bei der
                            Verarbeitung personenbezogener Daten und zum
                            freien Datenverkehr.
Nummer des Bezugsdokuments:
DER VORSCHLAG
1. Warum sind angesichts des Subsidiaritätsprinzips gemeinschaftliche
   Rechtsvorschriften in diesem Bereich erforderlich, und was sind ihre
   hauptsächlichen Ziele?
   Die Ströme personenbezogener Daten zwischen den in den Mitgliedstaaten
   niedergelassenen Wirtschafts- und Sozialpartnern und die Verarbeitung
   dieser Daten durch die entsprechenden Einrichtungen nehmen gerade
   aufgrund der Vollendung des Binnenmarktes ständig spürbar zu:
   -  Datenfluß zwischen privaten oder öffentlichen Unternehmen;
      Datenfluß zwischen Einheiten, die rechtlich zu ein und demselben
      Unternehmen gehören;
      Datenfluß zwischen einzelstaatlichen Verwaltungen, die sich aufgrund
      verschiedener Gemeinschaftstexte Amtshilfe zu leisten haben;
      Weitergabe von Daten an Forschungszentren, z.B. im medizinischen
      Bereich usw.
   Erhebliche Unterschiede zwischen den einzelstaatlichen
   Rechtsvorschriften (vier Mitgliedstaaten - Belgien, Griechenland,
   Italien, Spanien - besitzen noch kein spezifisches Datenschutzrecht)
   führen zu folgenden Tatbeständen:
   -  Hindernisse im freien Verkehr personenbezogener Daten, insbesondere
      für den Datenfluß in Mitgliedstaaten, die über keine spezifischen
      Rechtsvorschriften verfügen, da mit den genannten Rechtsvorschriften
      die Grundrechte und -freiheiten, insbesondere die Privatsphäre
      natürlicher Personen, geschützt werden sollen;
 ---pagebreak---                                   - 126 -
      Wettbewerbsverfälschungen zwischen den Wirtschaftsbeteiligten der
      Gemeinschaft, da je nach dem Mitgliedstaat, in dem sie niedergelassen
      sind, einige Schutzvorschriften unterliegen und andere nicht.
   Außerdem wird durch die Einführung von Datenschutzvorschriften die
   Entwicklung des Informationsmarktes durch die Rechtssicherheit
   gefördert, die die genannten Vorschriften den betroffenen Einrichtungen
   bieten.
   Eine Maßnahme der Gemeinschaft ist deshalb von wesentlicher Bedeutung.
   Sie muß in Form einer Angleichung der einzelstaatlichen
   Rechtsvorschriften erfolgen. Das Übereinkommen des Europarats vom 28.
   Januar 1981 zum Schutze der Menschen bei der automatischen Verarbeitung
   personenbezogener Daten, welches das einzige internationale
   Rechtsinstrument in diesem Bereich ist, läßt für die Durchführung der in
   ihm festgelegten Grundsätze eine große Anzahl von Wahlmöglichkeiten
   offen und erlaubt somit keine für den Binnenmarkt ausreichende
   Harmonisierung.
AUSWIRKUNGEN AUF DIE UNTERNEHMEN, DIE ÖFFENTLICHEN VERWALTUNGEN UND DIE
SONSTIGEN EINRICHTUNGEN, INSBESONDERE STIFTUNGEN UND VEREINIGUNGEN
2. Wer ist von dem Vorschlag betroffen?
   Der Vorschlag betrifft - unabhängig von ihrer Größe und von ihrem
   Tätigkeitsbereich - alle öffentlichen und privaten Unternehmen, die
   öffentlichen Verwaltungen, deren Tätigkeit unter das Gemeinschaftsrecht
   fällt, sowie die Stiftungen und Vereinigungen ohne Erwerbszweck, soweit
   diese Einrichtungen personenbezogene Daten verarbeiten (Lieferanten- und
   Kundenmanagement, Personalverwaltung, Verwaltung der Mitglieder oder
   Korrespondenzpartner der Vereinigungen und Stiftungen, Verarbeitung von
   Daten über die verwalteten Personen, Angebot von Informationsdiensten
   über natürliche Personen).
   Wie die unter Ziffer 6 genannten Anhörungen gezeigt haben, werden von
   der Durchführung dieser Richtlinie jedoch ganz besonders die Unternehmen
   und Einrichtungen des Dienstleistungsgewerbes betroffen sein, deren
   Tätigkeit sich an natürliche Personen richtet und deren Ausweitung von
   der Informationsverarbeitung abhängt, d.h. Direktmarketingunternehmen,
   Finanzinstitute, Versicherungsunternehmen und Kreditauskunfteien.
 ---pagebreak---                                    - 127 -
3. Welche Maßnahmen müssen die Unternehmen treffen, um diesem Vorschlag
   nachzukommen?
   Die Unternehmen müssen Beschlußfassungs- und Planungsverfahren
   einführen, an denen je nach Aufbau und Größe des Unternehmens der
   Verantwortliche für Datenverarbeitung und Planung, der Benutzerdienst
   dieser Techniken, der Juristische Dienst und der Leiter der Einrichtung
   beteiligt sind. Auf der Ebene der Planung der neuen
   Verarbeitungstechniken für personenbezogene Daten muß die Einrichtung,
   bevor die Investitionen vorgenommen werden,
   -   die Rechtmäßigkeit der geplanten Verarbeitungen prüfen;
   - • die Unterrichtung der von den Verarbeitungen betroffenen Personen
       vorsehen (diese Unterrichtung kann anläßlich gewöhnlich
       stattfindender Kontakte zwischen dem Verantwortlichen der
       Verarbeitung und den betroffenen Personen erfolgen);
   -   die technischen und organisatorischen Maßnahmen vorsehen, mit denen
       die Sicherheit der Daten und der Verarbeitungen gewährleistet werden
       soll;
       sich von dem geltenden Meldeverfahren vergewissern. Nach Einholung
       der erforderlichen Informationen stellt der Verantwortliche das
       Fehlen der notwendigen Meldung fest, nimmt eine vereinfachte
       Formalität vor oder legt schließlich eine Akte an.
   Der Verantwortliche der Verarbeitung muß außerdem die Einführung eines
   Verfahrens sicherstellen, um etwaigen Anträgen auf Auskunft der
   betroffenen Personen über die sie betreffenden Daten sowie gegebenen­
   falls Beschwerden zu entsprechen, und dafür sorgen, daß die einwandfreie
   Anwendung der Sicherheitsmaßnahmen überwacht wird.
   Diese Aufgaben sind nach und nach mit der Einführung der neuen Verarbei­
   tungen wahrzunehmen und lassen sich deshalb entsprechend der technischen
   Ausarbeitung der Verarbeitungen planen.
   Bei den vor Inkrafttreten der gemäß dieser Richtlinie getroffenen
   einzelstaatlichen Vorschriften vorgenommenen Verarbeitungen können die
   obengenannten Aufgaben über einen Zeitraum von 3 Jahren, der hierzu in
   der Richtlinie vorgesehen ist, geplant werden.
   Bei den in Mitgliedstaaten, die bereits über Rechtsvorschriften in
   diesem Bereich verfügen, niedergelassenen Einrichtungen unterscheiden
   sich die in der Richtlinie geforderten Maßnahmen nicht von den bereits
   angewandten Bestimmungen.
   Bei Einrichtungen in Mitgliedstaaten, die über kein Datenschutzrecht
   verfügen, müssen geeignete Verfahren eingeführt werden, wobei jedoch die
   zuständigen Kontrollbehörden in der Anlaufphase eine wertvolle Hilfe
   sein können (Beratungen, vereinfachte Meldeverfahren für bestimmte
   Verarbeitungen usw.).
 ---pagebreak---                                   - 128 -
4. Welche wirtschaftlichen Auswirkungen wird der Vorschlag voraussichtlich
   haben?
   Der Schutz der Privatsphäre natürlicher Personen wird, in der Form, in
   der er in der Richtlinie gewährleistet wird, die soziale Akzeptanz der
   Verwendung der verschiedenen Verarbeitungen personenbezogener Daten und
   damit die Billigung ihrer Ausweitung erhöhen, was ein positiver Faktor
   für das Wachstum und die Schaffung von Arbeitsplätzen im privaten und im
   öffentlichen Sektor ist.
   Im übrigen sind die genannten Schutzbestimmungen geeignet, die aufgrund
   der derzeitigen Unterschiede der einzelstaatlichen Rechtsvorschriften
   bestehenden Wettbewerbsverfälschungen zu beseitigen. Die internationale
   Wettbewerbsfähigkeit betreffend sieht die Richtlinie Verhandlungen mit
   den Drittländern vor, die noch nicht über ein angemessenes Schutzniveau
   verfügen.
5. Enthält der Vorschlag Elemente, die der besonderen Situation der kleinen
   und mittleren Unternehmen Rechnung tragen?
   Nein. Nach vernünftigem Ermessen kann jedoch davon ausgegangen werden,
   daß die meisten Verarbeitungen der KMU unter Kategorien fallen, die nach
   dem geplanten System von der Meldepflicht befreit werden oder für eine
   Vereinfachung in Frage kommen können (für diese Formalitäten dürften
   einige Arbeitsstunden ausreichen). Außerdem sieht die Richtlinie für die
   Meldeformalitäten keine Gebühr vor.
ANHÖRUNG
6. Verzeichnis der Organisationen, die zu diesem Vorschlag gehört wurden,
   und die wesentlichen Punkte ihrer Stellungnahmen
   a) Die Anhörung der beteiligten Berufsgruppen erfolgte zunächst über den
      Wirtschafts- und Sozialausschuß, der eine befürwortende Stellungnahme
      zu dem Vorschlag abgegeben hat (ABl. Nr. C 159 vom 17.6.1991, S. 38),
      sowie über den Ausschuß für Handel und Vertrieb (CCD) und den
      Beratenden Verbraucherbeirat.
   b) Die auf Initiative der Dienststellen oder der Berufsgruppen
      eingeleiteten direkten Kontakte konzentrierten sich bei dem
      geänderten Vorschlag auf die europäischen Berufsverbände. Den
      horizontalen Charakter des Vorschlags betreffend stand hierbei die
      UNICE im Vordergrund, und bei den am stärksten betroffenen Sektoren
      wurden insbesondere gehört: die Vereinigung der Banken in der EG,
      CELD, FEWITA, GEDIS, der Europäische Direktmarketingverband, EAT,
      CHANGE (Vereinigungen ohne Erwerbszweck), die Europäische
      Gesellschaft für Meinungs- und Marketing-Forschung (ESOMAR),
      ACT/EBU, EPC, ENPA, CAEJ, EBU, FAEP (betreffend den Bereich Presse
      und audiovisuelle Medien).
 ---pagebreak---                                - 129 -
In den Stellungnahmen der Berufsgruppen wurde der ursprüngliche
Vorschlag in folgenden wesentlichen Punkten bemängelt:
-  der Vorschlag ist zu ausführlich;
-  der Einwilligung der betroffenen Person als Voraussetzung für die
   Verarbeitung personenbezogener Daten wird ein zu wichtiger Platz
   eingeräumt;
-  jegliche Möglichkeit einer automatisierten Entscheidung und
   Erstellung eines Persönlichkeitsprofils ist verboten;
-  die Verpflichtungen auf dem Gebiet der Unterrichtung der betroffenen
   Person und der Meldung bei den Kontrollbehörden sind schwerfällig und
   unzureichend angepaßt;
-  die Fortsetzung des internationalen Handels mit Drittländern, die
   über kein angemessenes Schutzniveau verfügen, wird unmöglich gemacht;
-  es besteht die Gefahr einer Beeinträchtigung der freien Meinungs­
   äußerung, wenn einige Mitgliedstaaten nicht die notwendigen
   abweichenden Bestimmungen vorsehen, um die Vorschriften über die
   Ausübung der Meinungsfreiheit mit den Vorschriften über den Schutz
   der Privatsphäre in Einklang zu bringen.
Es wurde versucht, in den geänderten Vorschlag die erforderlichen Klar­
stellungen und Anpassungen einzubringen und gleichzeitig weiter das hohe
Schutzniveau anzustreben, ohne das der freie Datenverkehr nicht
gewährleistet werden kann.
 ---pagebreak---                                             - 130 -
                                                                     ISSN 0254-1467
                                                             KOM(92) 422 endg.
                                                      DOKUMENTE
  DE                                                                           06
                                 Katalognummer : CB-CO-92-437-DE-C
                                                          ISBN 92-77-47940-X
Amt für amtliche Veröffentlichungen der Europäischen Gemeinschaften
L-2985 Luxemburg