Source: http://docplayer.org/10787466-Kapitel-ii-der-rechtliche-rahmen-des-datenschutzes-in-griechenland.html
Timestamp: 2017-12-15 10:23:35
Document Index: 386799966

Matched Legal Cases: ['Art. 8', 'Art 57', 'Art. 5', 'Art. 6', 'Art. 286', 'Art. 8', 'Art. 2', 'Art. 2', 'Art. 2', 'Art. 5', 'Art. 6', 'Art. 7', 'Art. 10', 'Art. 1', 'EuG', 'Art. 5', 'Art. 2', 'Art. 9', 'Art. 9', 'Art. 9', 'Art. 9', 'Art. 101', 'EGMR', 'Art. 8', 'Art. 14', 'EGMR', 'EGMR', 'Art. 8', 'Art. 8', 'BGH', 'Art. 5', 'Art. 5', 'Art. 5', 'Art. 8', 'BGH', 'BGH']

Kapitel II: Der rechtliche Rahmen des Datenschutzes in Griechenland - PDF
Download "Kapitel II: Der rechtliche Rahmen des Datenschutzes in Griechenland"
1 Kapitel II: Der rechtliche Rahmen des Datenschutzes in Griechenland Anders als in Deutschland, wo die weltweit früheste gesetzliche Regelung des Datenschutzes bereits im Jahre 1970 auf Initiative des Bundeslandes Hessen entstand, acht Jahre später ein Datenschutzgesetz auf Bundesebene in Kraft trat 6,7 und schließlich 1983 durch das bedeutsame Volkszählungsurteil 8 eine Bergpredigt 9 oder nach anderer Auffassung ein Meilenstein 10 des Datenschutzes geschaffen wurde, ist der Datenschutz in Griechenland noch nicht zehn Jahre alt. Gegenwärtig beruht der Datenschutz in Griechenland auf zwei Stützen: auf dem griechischen Datenschutzgesetz vom (abgekürzt: Gesetz 2472/97 oder (nach griechischer Schrift) v. 2472/97 ), 11 das die EG- Datenschutzrichtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr 12 ins griechische Recht umgesetzt hat, sowie auf den datenschutzrelevanten Bestimmungen der griechischen Verfassung. Daneben können auch die Regelungen des Art. 8 (i.v.m. 14) EMRK 13 von Bedeutung sein Vgl. Simitis, in: Simitis (Hrsg.), BDSG, Einleitung Rn. 1 ff.; Gola/ Schomerus, BDSG, Einleitung Rn. 1 ff. Das BDSG trat am 1. Januar 1978 in Kraft. BVerfGE 65, 1 ff. = NJW 1984, 419 ff. Meister, DuD 1986, 173 (175). Vogelgesang, Grundrecht auf informationelle Selbstbestimmung?, S. 52. Der Buchstabe v. steht für (nomos), das griechische Wort für Gesetz. Die Nummer vor dem Querstrich entspricht der Nummer des Gesetzes, während die Nummer nach dem Querstrich das Jahr, in dem das Gesetz erlassen wurde, darstellt. Im Internet unter abrufbar. Die Ratifizierung der Europarat-Datenschutzkonvention 108/81 durch das Gesetz 2068/92 ist für den Datenschutz in Griechenland von geringer Bedeutung, da der griechische Gesetzgeber keine datenschutzrelevanten Regelungen zur Durchführung dieser Konvention erließ. 25
2 1. Der gesetzliche Rahmen des Datenschutzes in Griechenland Der griechische Gesetzgeber hat relativ spät festgestellt, dass den Gefahrenlagen, welche die moderne Technologie für bestimmte Grundrechte der Personen bereiten kann, wie z.b. für das allgemeine Persönlichkeitsrecht, nicht effektiv mit dem bis zu diesem Zeitpunkt bestehenden gesetzlichen Rahmen begegnet werden konnte. Weder die Regelungen zur Wahrung des allgemeinen Persönlichkeitsrechts i.s.d. Art 57 ff. grbgb i.v.m. Art. 5 Abs. 1 grverf, noch die Normen, die dem Verbraucher zum Schutze seines Privatlebens (Gesetz Nr. 2251/94) zustanden, konnten ein zuverlässiges und ausreichendes rechtliches Sicherheitsniveau schaffen. 15 Die Festlegung von konkreten Voraussetzungen zur Verarbeitung personenbezogener Daten sollte nicht nur seine Privatsphäre schützen, sondern auch die Ausübung einer Vielzahl seiner Grundrechte gewähren. 16 Hervorzuheben ist aber, dass Griechenland zu den ersten EU- Mitgliedstaaten gehört, die die EG-Datenschutzrichtlinie umgesetzt haben. Dies ist auf das politische Ziel der damaligen Regierung zurückzuführen, ein Datenschutzgesetz so schnell wie möglich zu erlassen, da das Bestehen von nationalen datenschutzrechtlichen Vorschriften Voraussetzung sine qua non für die Beteiligung Griechenlands am Schengener Abkommen war Zum Datenschutz im Rahmen des Europäischen Gemeinschaftsrechts vgl. insb. die durch Art. 6 Abs. 2 EUV statuierte Verpflichtung der EU, die Grundrechte, die durch die EMRK begründet sind, zu achten. Weiterhin sind auch die Bestimmungen des Art. 286 Abs. 1 und 2 EGV zu betrachten. Nach letzterer Vorschrift wurde sogar die Verordnung Nr. 45/2001 des Europäischen Parlaments und des Rates vom zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr erlassen. (Im Internet abrufbar unter Schließlich wären die Art. 8 und 52 der EU- Grundrechte-Charta zu berücksichtigen. (Im Internet unter abrufbar.) 15 Vgl. Gesetzesentwurf zum Gesetz 2472/97, Erwägungsgrund A 4, KnoB 45 (1997), 501(502). 16 Vgl. Gesetzesentwurf zum Gesetz 2472/97, Erwägungsgrund A 1, KnoB 45 (1997), 501 (501). 17 Vgl. Chalazonitis, I eisagogi stin Ellada, in: Summeikta E.Spil., 2000, S. 761 ff. (778). 26
3 Das Gesetz Nr. 2472/97 vom zum Schutz der Person vor der Verarbeitung personenbezogener Daten (zuletzt geändert durch das Gesetz Nr. 3471/2006 am ) zielte darauf ab, die entgegenstehenden Interessen des Datensubjektes (Betroffener) und der an der Verarbeitung Interessierten zu vereinbaren. Einerseits sollten die personenbezogenen Daten vor einer unzulässigen Verarbeitung, welche die Grundrechte des Betroffenen beeinträchtigen könnte, geschützt werden. Auf der anderen Seite sollte jedoch auch der Gebrauch von Informatik und moderner TK- Technologie, sowohl durch Private als auch durch die öffentliche Hand, zur Verfolgung von ebenfalls von der Rechtsordnung geschützten Zielen gewährleistet werden. 18 Ein derartiges Ziel ist die Stärkung 19 der kreditgebenden Wirtschaft durch die Zulassung der Führung von Kreditinformationssystemen. Die wichtigsten Regelungen und Grundentscheidungen des Gesetzgebers sind: Vgl. Gesetzesentwurf zum Gesetz 2472/97, Erwägungsgrund B 2, KnoB 45 (1997), 501 (503). Im Gegensatz zum richtigen Begriff Stärkung der kreditgebenden Wirtschaft behauptet die TEIRESIAS AG, ihre Betätigung im Rahmen der Datenverarbeitung bzw. der Bonitätsprüfung leiste einen Beitrag zur Sanierung der wirtschaftlichen Transaktionen (vgl. Kapitel IV 5 B und VI 1 A). Die Berufung auf einen solchen Begriff setzt jedoch voraus, dass die griechische kreditgebende Wirtschaft sanierungsbedürftig ist. Das ist nicht der Fall. Außerdem wurde der TEIRESIAS AG eine derartige wesentliche Rolle für die griechische Wirtschaft weder von den zuständigen öffentlichen Stellen gewährt noch von der Datenschutzbehörde anerkannt. Solche Begriffsausnutzungen zielen darauf ab, eine eventuelle Kritik an der Art und Weise der Datenverarbeitung zu verhindern und den Datenumgang als dem öffentlichen Interesse der Allgemeinheit dienend vor den Augen des Publikums durchzusetzen. Deswegen müssen die griechischen öffentlichen Organe und insbesondere die Datenschutzbehörde derartige Begriffe nicht ohne weiteres adoptieren. Diesen Fehler hat jedoch z.b. die Datenschutzbehörde in ihrem Beschluss 109/ begangen. 27
4 a. Die weite Fassung 20 der Begriffe personenbezogene Daten (Art. 2 lit. a des Gesetzes 2472/97), Verarbeitung personenbezogener Daten (Art. 2 lit. d des Gesetzes 2472/97) und Archiv personenbezogener Daten. Somit erfasst der Regelungsbereich des Gesetzes 2472/97 alle möglichen Arten einer Verarbeitung (automatisierte oder nicht automatisierte Verarbeitung, von einer privaten oder einer öffentlichen Stelle durchgeführte Verarbeitung). b. Die Unterscheidung zwischen einfachen und sensitiven personenbezogenen Daten (Art. 2 lit. b des Gesetzes 2472/97) und die Statuierung des für die letzteren geltenden Verbotsprinzips (Art. 5 Abs. 1 des Gesetzes 2472/97). c. Die Aufnahme einer Meldepflicht für jegliches Datenarchiv (Art. 6 Abs. 1 des Gesetzes 2472/97) und eines Genehmigungsbedürfnisses für die Führung von Archiven für besondere Arten von Daten (Art. 7-9 des Gesetzes 2472/97). d. Die Aufnahme einer Vielzahl von Garantien zum Schutz des Betroffenen vor einer rechtswidrigen oder zumindest unzulässigen Verarbeitung seiner personenbezogener Daten (Art. 10, des Gesetzes 2472/97). e. Das Vorsehen von strengen speziellen Rechtsfolgen (Sanktionen und Haftung) im Fall eines Verstoßes gegen dieses Gesetz (Art des Gesetzes 2472/97). f. Die Gründung einer unabhängigen Verwaltungsbehörde, der Datenschutzbehörde, die mit weiten Kompetenzen befugt ist und deren Mitglieder Garantien persönlicher und funktioneller Unabhängigkeit (Art des Gesetzes 2472/97) genießen. 2. Aufbau des Gesetzes 2472/97 Das Gesetz 2472/97 teilt sich in sechs Kapitel ein. Im ersten Kapitel (Art. 1-3 des Gesetzes 2472/97) sind die allgemeinen Bestimmungen des Gesetzes enthalten. Das zweite Kapitel (Art des Gesetzes 2472/97) 20 Der Begriff Daten ist ebenso angesichts des Zweckes der RL 95/46/EG weit auszulegen; so EuGH, Urteil vom 6. November 2003, AZ: C-101/01. Im Internet unter RRET abrufbar. 28
5 umfasst die allgemeinen Zulässigkeitsvoraussetzungen zur Verarbeitung personenbezogener Daten, während das dritte Kapitel (Art des Gesetzes 2472/97) die Rechte des Betroffenen einschließt. Das vierte Kapitel (Art des Gesetzes 2472/97) bezieht sich auf das Zentralorgan, das für die Durchsetzung der Regelungen dieses Gesetzes zuständig ist, nämlich die Unabhängige Datenschutzbehörde, sowie auf deren Kompetenzen. Das fünfte Kapitel (Art des Gesetzes 2472/97) sieht die verwaltungsund die strafrechtlichen Sanktionen sowie die zivilrechtliche Haftung, welche sich aus einer eventuellen Verletzung von Normen dieses Gesetzes ergeben können, vor. Schließlich enthält das sechste Kapitel Schluss- und Übergangsbestimmungen. 3. Der verfassungsrechtliche Rahmen des Datenschutzes in Griechenland Im Zeitpunkt des Inkrafttretens des Gesetzes 2472/97 bestand in der griechischen Rechtsordnung keine spezielle Regelung verfassungsrechtlichen Ranges zur Gewährung des Datenschutzes. Die Theorie, stark von der Rechtsprechung des BVerfG sowie von der daraus erwachsenen deutschen Literatur 21 beeinflusst, stützte grundsätzlich das Recht des Einzelnen auf informationelle Selbstbestimmung auf die Vorschrift des Art. 5 Abs. 1 grverf. 22, also auf das Recht auf freie Entfaltung der Persönlichkeit. Daneben kamen Art. 2 Abs. 1 grverf., welcher die Unantastbarkeit der Menschenwürde begründet, und Art. 9 Abs. 1 grverf. zur Unverletzlichkeit des Privat- und Familienlebens in Betracht. 23 Diese Vorschriften deckten jedoch nicht alle möglichen Fälle einer Beeinträchtigung der Rechte einer Person bzw. nicht alle Gefahrenlagen, die durch einen rechtswidrigen Datenumgang verursacht werden könnten, ab Vgl. Vogelgesang, Grundrecht auf informationelle Selbstbestimmung?, S. 1 ff.; Simitis, Die informationelle Selbstbestimmung, NJW 1984, 398 ff.; Tinnefeld/ Ehmann/ Gerling, Datenschutzrecht, S. 143 ff. Vgl. Dagtoglou, Atomika dikaiomata, Rn Vgl. Gerontas, I prostasia tou politi, S. 94. Vgl. aber die deutsche Theorie und Praxis, die das informationelle Selbstbestimmungsrecht als eine der besonderen Ausprägungen des allgemeinen Persönlichkeits- 29
6 Genauso also wie im Fall der Gesetzgebung hat der Verfassungsgeber für längere Zeit die Notwendigkeit der Festlegung einer speziellen Regelung verfassungsrechtlichen Ranges zum Datenschutz verkannt. 25 Diese Lücke deckte der griechische Verfassungsgeber erst mit Inkrafttreten der geänderten Verfassung im Jahre 2001 ab. Durch Art. 9A grverf wurde ein eigenständiges Recht auf Schutz der personenbezogenen Daten eingeführt. Somit hat sich Griechenland auch im verfassungsrechtlichen Rang an die erhöhten Bedürfnisse nach neuen Sicherheitsstandards im Feld des Datenschutzes, welche von den Gefahren der rapiden Entwicklungen der modernen Technologie verursacht werden, angepasst. Durch die Bestimmung des Art. 9A grverf wird verfassungsrechtlich der Grundsatz gewährt, dass die Daten einer Person entweder nach ihrer Einwilligung oder unter gesetzlich festgelegten Voraussetzungen verarbeitet werden können. Weiterhin wird somit festgelegt, dass das durch die Verarbeitung verfolgte Ziel rechtmäßig und zulässig sein muss. 26 Schließlich wird mit dem Erlass der verfassungsrechtlichen Regelung von Art. 9A grverf. besonderer Wert auf die Rechte des Betroffenen und auf die Gründung der Datenschutzbehörde gelegt rechts ansieht und auch ohne eine spezielle verfassungsrechtliche Regelung ein sehr gutes Schutzniveau im Bereich des Datenschutzes geschaffen hat. Das griechische Bedürfnis nach einer speziellen Regelung spiegelt nicht nur den Willen zu einem erhöhten Datenschutzniveau, sondern auch ein Misstrauen der Bürger gegenüber dem Gesetzgeber wider. Zur Bedeutung einer verfassungsrechtlichen Sicherung des Rechts auf Datenschutz, die sich nicht nur im symbolischen Bereich beschränkt, sondern auch die Anpassung und die Reaktion einer Rechtsordnung auf die Gefahrenlagen, die auf die rapide Entwicklung der Technologie zurückzuführen ist, vgl. Simitis, in: Simitis u.a., BDSG (1992), 1 Rn Gerontas, I prostasia tou politi, S Vgl. auch Art. 101A grverf. 30
7 4. EMRK und Recht auf Achtung des Privat- und Familienlebens Die Rechtsprechung des EGMR und der EKMR hat sich im Anschluss an Art. 8 (i.v.m. Art. 14) EMRK mehrmals mit Verletzungen des Rechtes auf Achtung des Privatlebens befasst, die auf einen rechtswidrigen Datenumgang zurückzuführen waren. Einen Hinweis darauf können die Urteile Leander vs Sweden 28, Andersson vs Sweden 29, Amann vs Switzerland 30 und Z vs Finnland 31 geben. Somit hat die Rechtsprechung des EGMR zunächst auf die Gefahr für die demokratischen Grundlagen eines Staates, die durch eine rechtswidrige Verarbeitung von Daten entstehen könnte, hingewiesen. 32 Weiterhin wurde vom EGMR die Notwendigkeit einer innerstaatlichen Gesetzgebung anerkannt, welche die geeigneten Garantien zur Verhinderung jeder mit Art. 8 EMRK unvereinbaren Verarbeitung von personenbezogenen Daten, die die Gesundheit einer Person betreffen, vorsehen würde. 33 Die Rechtsprechung, die die EMRK anwendet, hat demnach konkludent, soweit gleichzeitig eine Verletzung des Privatlebens vorliegt, ein beschränktes Recht auf Datenschutz anerkannt. Der beschränkte Charakter dieses Rechts besteht darin, dass bisher lediglich besondere Kategorien Urteil vom Im Internet unter hlight=leander%20%7c%20vs%20%7c%20sweden&sessionid= &skin= hudoc-en abrufbar. Decision of the European Commission of Human Rights, 22 May Decisions and Reports 81-A, 15. Urteil vom , EEEurD 2001, S. 444 ff. Urteil vom , Reports of Judgements and Decisions , 323. Im Internet unter hlight=z%20%7c%20vs%20%7c%20finnland&sessionid= &skin=hudocen abrufbar. Sicilianos, International protection of personal data, in: Sicilianos & Ganouveli (eds.), S ; vgl. auch das Leander-Urteil. Urteil vom no 9/1996/627/811, European Journal of Health Law 4/1997, 303 ff. 31
8 personenbezogener Daten, wie die Gesundheitsdaten, grundsätzlich als schutzwürdig erachtet werden. Obwohl das gegenwärtig gewährte Schutzniveau im Vergleich zu den datenschutzrechtlichen, gesetzlichen und verfassungsrechtlichen Bestimmungen der griechischen (und der deutschen) Rechtsordnung niedrig scheint, könnte zukünftig unter Umständen eine dynamische Auslegung des Art. 8 EMRK auch die Tragweite der griechischen (bzw. deutschen) datenschutzrechtlichen Gesetzgebung positiv beeinflussen. Trotz dieser Schutzniveau- bzw. Wertungsdifferenz kann eine derartige dynamische Auslegung im Rahmen der EMRK dem nationalen Datenschutz eine neue Dimension geben. So könnte z.b. die Anerkennung eines immateriellen Schadensersatzanspruchs durch den BGH 34 im Falle einer Verletzung des Art. 5 EMRK (Recht auf Freiheit und Sicherheit) unter Umständen einen mittelbaren Einfluss auf 7 und 8 Abs. 1 BDSG haben. Konkreter gesagt: Die Vorschrift des Art. 5 Abs. 5 EMRK weist unter Berücksichtigung ihrer weiten gerichtlichen Auslegung einen Wertungsmaßstab auf, der nicht nur für das in Art. 5 EMRK festgesetzte Recht, sondern für alle von der EMRK vorgesehenen Rechte gilt, also auch für Art. 8 EMRK, obwohl diese keinen Schadensersatzanspruch ausdrücklich festlegen. In diesem Sinne besteht der Wert eines solchen BGH-Urteils zumindest darin, dass es den deutschen Gesetzgeber dazu auffordert, ein höheres Schutzniveau hinsichtlich des immateriellen Schadensersatzanspruchs zu gewähren. Daneben ist auch das Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (Europäische Datenschutzkonvention so genannter Straßburger Vertrag) vom zu berücksichtigen, dem Griechenland erst im Jahre 1992 beigetreten ist. Doch war bzw. ist seine Bedeutung in Griechenland gering, da der Gesetzgeber bis zur Festlegung des Gesetzes 2472/97 keine Regelungen zu seiner Durchführung erlassen hat BGH, Urteil vom 18. Mai 2006, III ZR 183/05. Im Internet unter abrufbar. Im Internet unter abrufbar. 32
... 14 ... 17 ... 10 ... 12 ... 21 ... 13 ... 26 ... 37 ... 40 ... 42 ... 11 ... 15 ... 16 ... 18 ... 19 ... 22 ... 23 ... 25 ... 33 ... 38 ...
Version 1.0 Seite 1 von 94 Stand: 10.12.2014 Version 1.0 Seite 2 von 94 Stand: 10.12.2014 Version 1.0 Seite 3 von 94 Stand: 10.12.2014 ... 2... 2... 4... 7... 10... 11... 11... 12... 12... 13... 14...
2 Grundlagen des Rechtsinstituts des Datenschutzbeauftragten
2 Grundlagen des Rechtsinstituts des Datenschutzbeauftragten 2.1 Kontrollsystem des Datenschutzes im nichtöffentlichen Bereich 2.1.1 Fremdkontrolle Fremdkontrolle im Bereich des Datenschutzes umfasst die