Source: http://docplayer.org/520296-1-10-6-riser-konferenz-zum-europaeischen-meldewesen-am-10-11-mai-2012-neue-eu-datenschutzverordnung.html
Timestamp: 2018-02-21 12:16:01+00:00

Document:
1/ RISER Konferenz zum Europäischen Meldewesen am 10. / 11. Mai Neue EU-Datenschutzverordnung - - PDF
1/ RISER Konferenz zum Europäischen Meldewesen am 10. / 11. Mai Neue EU-Datenschutzverordnung -
Download "1/10. 6. RISER Konferenz zum Europäischen Meldewesen am 10. / 11. Mai 2012. Neue EU-Datenschutzverordnung -"
1 1/10 6. RISER Konferenz zum Europäischen Meldewesen am 10. / 11. Mai 2012 Neue EU-Datenschutzverordnung - Was ändert sich für Unternehmen und Verwaltung Überblick - Wie ist der Datenschutz in der EU geregelt? Der allgemeine Datenschutz ist in der Europäischen Union durch die EG- Datenschutzrichtlinie 95/46/EG geregelt. Die Richtline umfasst die Datenverarbeitung durch die Wirtschaft und den öffentlichen Bereich (außer in den Bereichen Polizei und Justiz). Für den Polizei- und Justizbereich wurde im Jahr 2008 der sogenannte Rahmenbeschluss 2008/977/JI zum Datenschutz verabschiedet, der derzeit in den Mitgliedstaaten umgesetzt wird. Der Datenschutz im Bereich der Telekommunikation wird durch die sog. E- Privacy-Richtlinie 2002/58/EG geregelt. Der Datenschutz für die Institutionen der Europäischen Union durch die VO (EG) Nr. 45/2001. Was soll sich ändern? Am 25. Januar 2012 hat die Kommission zwei Vorschläge zur Reform des Datenschutzes in der Europäischen Union vorgelegt. Die EG-Datenschutzrichtlinie soll durch eine Verordnung, die sog. Datenschutz- Grundverordnung, ersetzt werden, während an die Stelle des Rahmenbeschlusses im Polizei- und Justizbereich eine Richtlinie treten soll. Die E-Privacy-Richtlinie soll im Wesentlichen unberührt bleiben, wie auch die Datenschutzvorschriften für die Institutionen der Europäischen Union, die aus dem Anwendungsbereich der Datenschutz-Grundverordnung ausgenommen werden sollen.
2 2/10 Warum jetzt die Änderungen? Anlass für die Vorschläge der Kommission ist das Inkrafttreten des Lissabonner Vertrages: Durch den Lissabonner Vertrag hat die Kommission in Artikel 16 AEUV eine erweiterte Zuständigkeit zur Regelung des Datenschutzes erhalten. Die europäische Grundrechte-Dimension wurde gestärkt, weil mit dem Lissabonner Vertrag die Grundrechtecharta Verbindlichkeit erlangt hat, in der Artikel 8 den Schutz personenbezogener Daten vorsieht. Schließlich ist mit Blick auf den Bereich Polizei und Justiz die ehemalige Säulenstruktur entfallen, so dass die Gelegenheit für ein einheitliches Datenschutzregelwerk besteht. Darüber hinaus ist anerkannt, dass die EG-Datenschutzrichtlinie aus dem Jahre 1995 veraltet ist. Die heutige Digitalisierung und informationelle Vernetzung aller Lebensbereiche war damals nicht abzusehen. Die EG-Datenschutzrichtlinie hat zudem nicht zu einem einheitlichen Datenschutzniveau in der EU geführt hat. Sowohl die nationalen Regelungen zur Umsetzung als auch ihre Kontrolle und Auslegung durch die Datenschutzaufsichtsbehörden sind uneinheitlich. Was sind die wesentlichen Neuerungen der Datenschutz-Grundverordnung? Die Datenschutz-Grundverordnung baut systematisch und inhaltlich auf der EG- Datenschutzrichtlinie auf. Neu sind unter anderem: 1. Der Übergang zum Marktortprinzip, d.h. die Regelungen der Verordnung gelten auch für außereuropäische Datenverarbeiter, wenn diese Personen in der EU Waren oder Dienstleistungen anbieten (Art. 3 Abs. 2).
3 3/10 2. Der Begriff des personenbezogenen Datums soll ausgeweitet werden. Ausreichend soll nach den Vorschlägen der KOM ein absoluter Personenbezug, d.h. von einem personenbezogenen Datum wäre auszugehen, wenn irgendeine Stelle eine Identifizierung des Betroffenen vornehmen kann, selbst wenn die verarbeitende Stelle dies nicht kann (Art. 4 Abs. 1, 2). Das Erfordernis einer Einwilligung würde dadurch auf weitere Datenverarbeitungen ausgeweitet und an Bedeutung gewinnen. 3. Einwilligungen sollen immer ausdrücklich erteilt werden. Bei erheblichen Ungleichgewicht soll eine Einwilligung nicht rechtswirksam sein. Bei Kindern bis zum 13. Lebensjahr, dem direkt Dienste der Informationsgesellschaft angeboten werden, soll es der Einwilligung der Eltern (Art. 4, Abs. 8, Art. 7, 8) bedürfen. 4. Es soll ein Recht auf Vergessenwerden eingeführt werden. Bei öffentlich gemachten Daten müsste der Verarbeiter sich um die Löschung auch aller Querverweise und Kopien bemühen (Art. 17). 5. Es soll ein Recht auf Datenübertragbarkeit eingeführt werden, damit der Betroffene seine Daten in einem gängigen Format von einem System in ein anderes System überführen kann (Art. 18). 6. Die Grundsätze des Privacy by Design und Privacy by Default, d.h. des eingebauten und voreingestellten Datenschutzes sollen gestärkt werden (Art. 23). 7. Es soll bei Datenschutzverletzungen eine Meldepflicht gegenüber der Aufsichtsbehörde und den Betroffenen eingeführt werden (Art. 31, 32). 8. Für bestimmte risikobehaftete Verarbeitungen wird eine Datenschutz- Folgenabschätzung und ein Zurateziehen der Aufsichtsbehörde vorgesehen (Art. 33, 34). 9. Die allgemeine Schwelle zur Bestellung eines betrieblichen Datenschutzbeauftragten soll auf 250 Beschäftigte angehoben werden (Art. 35).
4 4/ Es soll ein sog. One-Stop-Shop eingeführt werden; danach wäre für Unternehmen, mit Niederlassungen in mehreren Mitgliedstaaten, die Aufsichtsbehörde am Ort der Hauptniederlassung zuständig (Art. 51 Abs. 2), 11. Die Datenschutz-Aufsichtsbehörden sollen umfassende Anordnungsbefugnisse erhalten (Art. 53), 12. Ein mehrstufiges Kohärenzverfahren zur Vereinheitlichung der Aufsichtspraxis in der EU soll eingeführt werden. Dabei behält die KOM sich ein Letztentscheidungsrecht vor (Art. 57 ff.) 13. Ein Verbandsbeschwerde- und klagerecht soll eingeführt werden (Art. 73 Abs. 2, Art. 76 Abs. 1), 14. Die Sanktionen sollen sich auf bis zu 1 Mio. EUR bzw. 2 % des weltweiten Jahresumsatzes bei Unternehmen erhöhen. Was bedeutet das für Unternehmen und die Verwaltung? allgemeine Bemerkungen Zunächst zeigt die nicht abschließende Aufzählung, dass der Regelungsumfang und die Regelungsdichte erheblich zunehmen. Die EG-Datenschutzrichtlinie hat 34 Artikel. Die Datenschutz-Grundverordnung hat 91 Artikel und sieht 45 Ermächtigungen für die Kommission zu sogenannten delegierten Rechtsakten und Durchführungsbestimmungen vor. Die Kommission geht dennoch insgesamt von einer Bürokratie-Entlastung der Wirtschaft von 2,3 Milliarden EUR pro Jahr aus. Diese Zahlen sind im Einzelnen nicht nachvollziehbar. Allgemein erwartet wird aufgrund zusätzlicher und erweiterter Verpflichtungen im Bereich Organisation, Dokumentation, Information und bei Nachweisen ein deutlich erhöhter Verwaltungsaufwand für die Wirtschaft aber auch den Bereich der Verwaltung.
5 5/10 Was bedeutet das für Unternehmen und die Verwaltung? konkret im Meldewesen Das Meldewesen ist vor allem durch die Wahl der Rechtsform einer Verordnung berührt. Eine Verordnung ist in allen Teilen unmittelbar anwendbar. Ihr entgegenstehendes nationales Recht wird verdrängt. Das betrifft in erster Linie das Bundesdatenschutzgesetz und die Datenschutzgesetze der Länder, die weitgehend obsolet würden. Spezifische Regelungen im Bundesdatenschutzgesetz, die es in der Verordnung nicht gibt, würden verdrängt, z.b.: zur Videoüberwachung ( 6b), zu mobilen Speicher- und Verarbeitungsmedien( 6c), aber auch die im Jahr 2009 eingeführten Regelungen im Bereich der Auskunfteien und der Werbung, sowie viele kleinere Abweichungen im Detail. Das Melderecht wäre in gleicher Weise betroffen. Erlaubnis zur Verarbeitung von Meldedaten Die Verarbeitung personenbezogener Daten nach dem Melderecht müsste zunächst von einem der abschließenden Erlaubnistatbestände nach Artikel 6 abgedeckt sein.
6 6/10 Für die öffentliche Verwaltung sind dies vor allem die dortigen Buchstaben c und e des ersten Absatzes: Die Verarbeitung ist zur Erfüllung einer gesetzlichen Verpflichtung erforderlich, oder für die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung hoheitlicher Gewalt erfolgt und die dem für die Verarbeitung Verantwortlichen übertragen wurde. Zur Ausfüllung dieser beiden Buchstaben sieht Artikel 6 Absatz 3 vor, dass eine Rechtsgrundlage im Recht der EU oder des jeweiligen Mitgliedstaates bestehen muss. An das einzelstaatliche Recht werden dann weitere Anforderungen gestellt: Es muss ein im öffentlichen Interesse liegendes Ziel verfolgt werden oder Zum Schutz der Rechte und Freiheiten Dritter erforderlich sein und Den Wesensgehalt des Rechts auf Schutz personenbezogener Daten wahren und In einem angemessenen Verhältnis zu dem mit der Verarbeitung verfolgten legitimen Zweck stehen. Hier muss man sich vergegenwärtigen, dass es sich bei all diesen unbestimmten Begriffen um Begriffe des EU-Rechts handelt, über deren Auslegung letztlich der EuGH entscheidet und zwar vor dem verfassungsrechtlichen Hintergrund der EU-Grundrechtecharta und nicht des Grundgesetzes. Die Begriffe können einen EU-autonomen Inhalt erhalten. Das betrifft z.b. den Begriff des Wesensgehalts, der zu wahren ist oder die Verhältnismäßigkeitsprüfung. Es wäre nicht das erste Mal, dass der EuGH zu einem anderen Ergebnis gelangt, als der nationale Gesetzgeber. Hier besteht ein europäisches Einfallstor, das den nationalen Spielraum des Gesetzgebers in ungewisser Weise einengt.
7 7/10 Zu bedenken ist, dass dieser Maßstab an das mitgliedsstaatliche Recht auch für die jeweilige Ausformung der Verarbeitung also z.b. die verschiedenen Meldeauskunftsarten angelegt würde. Abweichungen von Art. 5 und den 11 bis 20 Darüber hinaus müsste das Melderecht auch den Grundsätzen der Datenverarbeitung nach Artikel 5 Rechnung tragen und den Betroffenenrechten ab Artikel 11 der Verordnung. Das kann im Einzelnen auch problematisch sein. Erwähnt wurde etwa das Recht auf Datenübertragbarkeit in Artikel 18. Werden personenbezogene Daten in einem strukturierten, gängigen elektronischen Format verarbeitet, hat die betroffene Person das Recht, von dem für die Verarbeitung Verantwortlichen eine Kopie in einem von ihr weiter verwendbaren gängigen elektronischen Format zu verlangen. Hier stellt sich die Frage, was ein gängiges elektronisches Format ist und ob die Kopie für den Betroffenen in diesem Format erfolgen kann oder ob Bezugspunkt insoweit die weitere Verwendbarkeit durch den Betroffenen ist. Probleme mit dieser Vorschrift dürften übrigens nicht nur die Meldebehörden haben, sondern auch Unternehmen, die sich als Meldedienstleister betätigen und eigene Datenbestände vorhalten. Zwar erlaubt Artikel 21 den Mitgliedstaaten auch insoweit Beschränkungen, aber die Voraussetzungen an das einzelstaatliche Recht sind wiederum sehr unbestimmt und stellen höhere Anforderungen. Ob sich damit jede Abweichung, auch in Bezug auf die erweiterten Auskunftsund Informationsrechte des Betroffenen rechtfertigt, ist zweifelhaft.
8 8/10 weitere allgemein zu beachtende Normen Unabhängig davon, kämen jedenfalls alle weiteren Regelungen der Datenschutz- Grundverordnung zum Tragen, für die das Melderecht keine spezifische Regelung enthält, z.b. die Meldepflicht bei Datenschutzverletzungen, die 42a BDSG bislang auf den Bereich der Wirtschaft beschränkt hat oder Änderungen bei der Datenschutzaufsicht. Die Anordnungsbefugnisse der unabhängigen Datenschutzaufsichtsbehörden sind z.b. nicht auf den Bereich der Wirtschaft begrenzt, wie es nach dem BDSG der Fall ist. Das heißt, dass die Aufsichtsbehörde befugt wäre, einer öffentlichen Stelle, etwa auch einer Meldebehörde, eine Verarbeitung vorübergehend oder endgültig zu verbieten oder anzuweisen Daten zu berichtigen oder zu löschen. Hier besteht ein klarer Zielkonflikt mit etwaigen Maßnahmen der Fach- und Rechtsaufsicht, zumal die Aufsichtsbehörden eine sehr weitgehende Unabhängigkeit genießen und selber keiner staatlichen Aufsicht unterliegen. Auch die verwaltungsrechtlichen Sanktionen, d.h. die Bußgelder bis zu EUR, können wie es in anderen EU-Mitgliedstaaten üblich ist gegenüber Behörden verhängt werden. Nach der derzeitigen Formulierung in Art. 79 der Verordnung müssen die Aufsichtsbehörden sogar Sanktionen verhängen, weil ihnen insoweit kein Ermessen ( kann verhängen ) eingeräumt wird. Zum Vergleich: Nach dem BDSG sind im öffentlichen Bereich nur Beanstandungen gegenüber der obersten Bundesbehörde möglich, da nach dem Vorrang des Gesetzes davon ausgegangen wird, dass diese für eine rechtmäßige Datenverarbeitung sorgt. Änderungen für Meldedienstleister - Drittinteresse
9 9/10 Änderungen ergeben sich auch für den Bereich der Meldedienstleister in der Wirtschaft. Ihre Erlaubnis zur Datenverarbeitung ergibt sich nicht aus Artikel 6 Absatz 1 Buchstabe c und e wie im öffentlichen Bereich. Auch das nationales Recht wie das Bundesmeldegesetz, einmal unterstellt es erfülle Artikel 6 Absatz 3, trifft keine Verarbeitungsregelungen für die Meldedienstleister. Ihre Verarbeitung stützt sich daher im Wesentlichen auf Artikel 6 Absatz 1 Buchstabe a, b oder f, d.h. eine Einwilligung, einen Vertrag oder eine Interessenabwägung. Im Bereich des Meldewesens ist für Meldedienstleister in der Regel die Verarbeitung auf Grund einer Interessenabwägung maßgeblich. Hier hat sich durch die Verordnung eine entscheidende Änderung ergeben, denn die Interessenabwägung ist so formuliert, dass eine Verarbeitung für Interessen Dritter nicht mehr möglich ist. Die entsprechenden Wörter sind im Verordnungsvorschlag gegenüber der EG- Datenschutzrichtlinie gestrichen worden. Gestrichen wurde auch die Definition des Dritten in Artikel 4, ehemals Artikel 2 Buchstabe f der Richtlinie 95/46/EG. Das hätte gravierende Auswirkungen, weil damit praktisch alle geschäftsmäßigen Datenverarbeitungen, die derzeit unter 29 BDSG fallen, nicht mehr gesetzlich erlaubt wären, sondern auf eine andere Erlaubnisgrundlage, vor allem die Einwilligung gestellt werden müssten. Zweckänderung Eine weitere bedeutsame Änderung sieht Artikel 6 Absatz 4 vor, der im Vergleich mit der Richtlinie 95/46/EG erstmals eine Zweckänderungsregelung vorsieht. Danach muss eine Weiterverarbeitung, die nicht dem Zweck der Erhebung entspricht, auf einen der in Artikel 6 Absatz 1 Buchstabe a bis e genannten Erlaubnistatbestände gestützt werden können.
10 10/10 Das bedeutet, dass gerade die Interessenabwägung in Buchstabe f bewusst ausgeklammert worden ist. Sie aber ist der wichtigste Erlaubnistatbestand für zweckändernde Weiterverarbeitungen und derzeit in 28 Absatz 2 Nummer 2 Buchstabe a BDSG bzw. für den Werbebereich ausführlich in Absatz 3 geregelt. Weitere Änderungen Daneben fallen die weiteren Änderungen, seien es verschärfte Einwilligungsanforderungen oder erweiterte Betroffenenrechte, verschärfte Aufsichtsbefugnisse oder Sanktionen, nicht ins Gewicht. Wie ist der Stand der Beratungen in Brüssel? Der Verordnungsvorschlag wird in erster Lesung im ordentlichen Gesetzgebungsverfahren parallel im Rat der Europäischen Union, dort der Ratsarbeitsgruppe DAPIX, und im Europäischen Parlament, dort im LIBE- Ausschuss beraten. Das Parlament hat Ende März Herrn MdEP Albrecht (GRÜNE) zum Berichterstatter ernannt. Herr Albrecht strebt eine Stellungnahme des Parlaments bis Anfang nächsten Jahres an. Die Ratsarbeitsgruppe DAPIX hat bisher zweimal für je zwei Tage getagt. Ein Treffen im Mai wurde gerade abgesagt und wird gegebenenfalls noch im Juni stattfinden. An den vier Tagen wurden 8 von 91 Artikeln behandelt, ohne in konkrete Textarbeit einzusteigen. Es zeichnet sich ab, dass ein erheblicher Erörterungsbedarf in der Ratsarbeitsgruppe besteht. Wann der Rat seine Stellungnahme fertigstellt, ist derzeit ungewiss.
11 11/10 Ab Juli übernimmt mit Zypern ein kleines Mitgliedsland die Präsidentschaft. Ihr weiterer Fahrplan steht noch nicht fest. Das BMI führt in Brüssel für die Bundesregierung die Verhandlungen und stimmt innerhalb der Bundesregierung sowie mit dem Bundesdatenschutzbeauftragten und den Ländern im Vorfeld der Ratsarbeitsgruppe jeweils eine Position ab. Da es sich am Ende um eine Mehrheitsentscheidung im Rat handelt, sucht Deutschland auch den Kontakt zu anderen Mitgliedstaaten, um Gemeinsamkeiten und letztlich Mehrheiten zu finden. Der Bundesrat hat am 30. März zu dem Verordnungsvorschlag eine Subsidiaritätsrüge erhoben und bemängelt, dass sowohl die Wahl einer Verordnung als Rechtsform, als auch der vollharmonisierende Ansatz im öffentlichen Bereich, nicht mit dem Grundsatz der Subsidiarität zu vereinbaren sei.

References: Art. 7
 Art. 76
 EuGH 
 EuGH 
 Art. 5
 Art. 79