Source: http://docplayer.org/1937386-Eu-datenschutz-grundverordnung-1-2012.html
Timestamp: 2017-05-24 10:15:41
Document Index: 352972519

Matched Legal Cases: ['Art. 3', 'Art. 7', 'Art. 17', 'Art. 18', 'Art. 23', 'Art. 31', 'Art. 35', 'Art. 46', 'Art. 23', 'Art. 8', 'Art. 82', 'Art. 267', 'EuG', 'Art. 101', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 79', 'Art. 35', 'Art. 73', 'EuG', 'EuG', 'EuG', 'Art. 6', 'Art. 6', 'EGMR', 'Art. 20', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'BGE', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG']

EU-Datenschutz-Grundverordnung 1/ PDF
EU-Datenschutz-Grundverordnung 1/2012
Download "EU-Datenschutz-Grundverordnung 1/2012"
1 1/ Jahrgang ISSN Deutsche Vereinigung für Datenschutz e.v. 9,00 Euro EU-Datenschutz-Grundverordnung EU-Datenschutz-Grundverordnung Betriebliche und behördliche Datenschutzbeauftragte Das Recht auf Vergessen Warum wehren sich Menschen (nicht) gegen Verletzungen ihrer Datenschutzrechte? Die Reform des europäischen Datenschutzrechts im Parlament Facebook-Fanpages Nachrichten Rechtsprechung2 Seite2 Inhalt Jeannette Spary Die neue Datenschutz-Grundverordnung Überblick und Problemaufriss 4 Werner Hülsmann Der betriebliche und behördliche Datenschutzbeauftragte im Entwurf der EU-Datenschutz-Grundverordnung 7 Viktor Mayer-Schönberger Was uns Mensch sein lässt Anmerkungen zum Recht auf Vergessen 9 Eric Töpfer Warum wehren sich Menschen (nicht) gegen Verletzungen ihrer Datenschutzrechte? 11 EDRI Europäischer Datenschutz in der digitalen Gesellschaft 12 Cornelia Ernst, MdEP, und Lorenz Krämer Die Reform des europäischen Datenschutzrechts im Parlament 14 Alexander Dix Vorratsdatenspeicherung widerspricht europäischen Grundrechten 15 Thilo Weichert Verantwortlichkeit für Facebook-Fanpages 18 Datenschutznachrichten Datenschutznachrichten aus Deutschland 21 Internationale Datenschutznachrichten 27 Technik-Nachrichten 39 Rechtsprechung 42 Termine Mittwoch, 18. April 2012 Datenschutz in der Medizin: Rechtliche und technische Entwicklungen im Gesundheitsbereich und ihre Relevanz für den Datenschutz Montag Freitag, Februar & März 2012 Weiterbildung für den Betriebsrat zur zertifizierten Fachkraft für Datenschutz bei SAP-Systemen dtb Datenschutz-und Technologieberatung Kassel Freitag, 13 April 2012 DVD-Vorstandssitzung Bielefeld. Anmeldung in der Geschäftsstelle Freitag, 13. April 2012 Verleihung der BigBrotherAwards 2012 Bielefeld Dienstag Donnerstag, Mai 2012 Compliance oder Mitarbeiterkontrolle? Arbeitsrecht und Datenschutz dtb Datenschutz-und Technologieberatung Kassel Freitag, 9. November 2012 FIfF Jahrestagung 2012 Hochschule Fulda 2 DANA Datenschutz Nachrichten 4/20123 Seite3 DANA Datenschutz Nachrichten ISSN Jahrgang, Heft 1 Herausgeber Deutsche Vereinigung für Datenschutz e.v. (DVD) DVD-Geschäftstelle: Rheingasse 8-10, Bonn Tel Redaktion (ViSdP) Karsten Neumann, Sönke Hilbrans c/o Deutsche Vereinigung für Datenschutz e.v. (DVD) Rheingasse 8-10, Bonn Den Inhalt namentlich gekennzeichneter Artikel verantworten die jeweiligen Autoren. Layout und Satz Frans Jozef Valenta, Bonn Druck Wienands Printmedien GmbH Linzer Str. 140, Bad Honnef Tel Fax Bezugspreis Einzelheft 9 Euro. Jahresabonnement 32 Euro (incl. Porto) für vier Hefte im Jahr. Für DVD-Mitglieder ist der Bezug kostenlos. Das Jahresabonnement kann zum 31. Dezember eines Jahres mit einer Kündigungsfrist von sechs Wochen gekündigt werden. Die Kündigung ist schriftlich an die DVD-Geschäftsstelle in Bonn zu richten. Copyright Die Urheber- und Vervielfältigungsrechte liegen bei den Autoren. Der Nachdruck ist nach Genehmigung durch die Redaktion bei Zusendung von zwei Belegexemplaren nicht nur gestattet, sondern durchaus erwünscht, wenn auf die DANA als Quelle hingewiesen wird. Leserbriefe Leserbriefe sind erwünscht. Deren Publikation sowie eventuelle Kürzungen bleiben vorbehalten. Abbildungen Frans Jozef Valenta Ein kleiner Schritt für Deutschland ein großer Schritt für Europa so lautet der durchaus ernst gemeinte Vergleich der Datenschutzgrundverordnung mit der berühmten ersten Mondlandung. Den Vergleich zog der Europäische Datenschutzbeauftragte Peter Hustinx am 26. Januar auf einer Veranstaltung der Europäischen Akademie für Informationsfreiheit und Datenschutz in Berlin. Die am Vortag veröffentlichten Vorschläge der EU- Kommission für die Neugestaltung des europäischen Datenschutz-Rechtsrahmens wollen den Datenschutz europaweit einheitlich, verbindlich, effektiv und zukunftssicher neu regeln. Für Deutschland ist das meiste bekannt, für andere europäische Länder ein Quantensprung. Das Paket ist mit einer Mitteilung, einer verbindlichen Verordnung und einer Rahmenrichtlinie für den Datenschutz in der polizeilichen und justiziellen Zusammenarbeit umfangreich und juristisch keine leichte Kost. Deshalb fällt es leicht, zwar berechtigter Weise einen fehlenden Rechtsschutz vor einem Europäischen Verfassungsgericht zu kritisieren, aber trotzdem völlig falsch zu liegen: dieser strukturelle Mangel gilt für die gesamte europäische Gesetzgebung seit dem Vertrag von Lissabon. Entgegen den Prophezeiungen gut unterrichteter Kreise hat sich die zuständige Kommissarin offensichtlich nicht nur terminlich, sondern auch inhaltlich als stark und entschlossen erwiesen. Vorausgegangen ist eine einjährige öffentliche Konsultation mit hunderten Stellungnahmen, auch der DVD. Die Lobbyarbeit geht nun in die nächste Runde. Das Parlament wird genauso wie beim ACTA-Vertrag zwischen wirtschaftlichen und bürgerrechtlichen Argumenten abwägen wollen. Die DVD wird gemeinsam mit anderen Datenschutz- und Bürgerrechtsorganisationen den Druck erhöhen, um im Europaparlament die deutlichen bürgerrechtlichen Fortschritte, die im Kommissionsentwurf liegen, so engagiert zu verteidigen, wie den Finger in die weiterhin offenen Wunden zu legen. Aber bei aller berechtigten Kritik: die Mondlandung ist gelungen auf dem Weg zurück zur Erde sollten alle auf riskante Flug- und Bremsmanöver verzichten. Karsten Neumann Autorinnen und Autoren dieser Ausgabe: Dr. Alexander Dix Beauftragte für Datenschutz und Informationsfreiheit des Landes Berlin Cornelia Ernst Mitglied im Europäischen Parlament, Werner Hülsmann bis 2009 Vorstandsmitglied in der DVD, Mitglied des Beirats des Forum InformatikerInnen für Frieden und gesellschaftliche Verantwortung (FIfF) e.v., selbständiger Datenschutzberater, externer Datenschutzbeauftragter und Datenschutzsachverständiger, Konstanz und Berlin, Lorenz Krämer Fachreferent im Büro von Cornelia Ernst (MdEP), Prof. Dr. Viktor Mayer-Schönberger Lehrstuhlinhaber am Oxford Internet Institut, Jeannette Spary Assessorin jur., Wissenschaftliche Mitarbeiterin im Bundestagsbüro von Gerold Reichenbach, MdB, mit den Themenschwerpunkten Datenschutz und Netzpolitik, Eric Töpfer Wissenschaftlicher Mitarbeiter beim Deutschen Institut für Menschenrechte und Redakteur der Zeitschrift Bürgerrechte und Polizei/CLIP. Dr. Thilo Weichert Leiter des Unabhängigen Landeszentrums für Datenschutz Schleswig Holstein, Kiel, DANA Datenschutz Nachchrichten 4/2012 34 eu-datenschutzgrundverordnung Jeannette Spary Die neue Datenschutz-Grundverordnung Überblick und Problemaufriss Am 25. Januar 2012 hat die EU- Justizkommissarin Viviane Reding die Entwürfe zu einer Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung, DS- GVO) 1 sowie zu einer Richtlinie zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr 2 in Brüssel vorgestellt. Die DS-GVO soll an die Stelle der Datenschutz-Richtlinie 95/46/EG treten, die von den 27 Mitgliedstaaten teils sehr unterschiedlich umgesetzt wurde. Bereits im Dezember 2011 kursierten die ersten geleakten Entwürfe der DS-GVO und heizten die Diskussion an. Einen ersten Höhepunkt erreichte sie, als die Süddeutsche Zeitung einen Beitrag des Richters am Bundesverfassungsgericht Johannes Masing mit dem Titel Ein Abschied von den Grundrechten veröffentlichte. 3 Hier sollen zunächst ein Überblick und erste Bewertung der DS-GVO erfolgen. Anschließend beschäftigt sich der Artikel mit der Frage, ob die Regelung und Harmonisierung des Datenschutzrechtes durch eine Verordnung oder besser weiterhin durch eine Richtlinie erfolgen sollte. Was für Regelungen sind in der DS-GVO vorgesehen? Was ist neu? Eine DS-GVO würde, anders als eine Richtlinie, unmittelbare Anwendung finden und das Recht der Mitgliedstaaten in ihrem Anwendungsbereich verdrängen. In Deutschland betrifft dies das Bundesdatenschutzgesetz (BDSG) und bereichsspezifisches Datenschutzrecht. Aber zunächst zu den Regelungen im Einzelnen. Der räumliche Anwendungsbereich (Art. 3) des europäischen Daten schutzrechts wird ausgeweitet. Die DS-GVO findet nicht nur auf Unternehmen Anwendung, die ihre Niederlassung in einem der Mitgliedstaaten haben. Sie richtet sich auch an solche Unternehmen, die ihren Sitz außerhalb der Europäischen Union haben, sich mit ihren Diensten aber an Nutzer und Verbraucher in der Europäischen Union wenden. Diskussionen über die Anwendbarkeit nationalen Rechts, wie sie derzeit mit beziehungsweise gegen facebook geführt werden, würden dadurch beendet. Die Rechte der Bürger werden gestärkt. Beispielsweise wird das Prinzip des Einwilligungserfordernisses gestärkt. Art. 7 enthält hier insoweit ver heißungs volle Ansätze, als nun ausdrücklich geregelt wird, dass die Einwilligung keine Rechtsgrundlage für die Verarbeitung personenbezogener Daten bieten kann, wenn zwischen der Position der betroffenen Person und des für die Verarbeitung Verantwortlichen ein erhebliches Ungleichgewicht besteht. Dies dürfte positive Auswirkungen auf die beim Beschäftigtendatenschutz geführte Debatte haben, ob eine freiwillige Zustimmung zu der Verarbeitung personenbezogener Daten hier nicht denklogisch ausgeschlossen ist. Vorgesehen ist weiter ein right to be forgotten (Art. 17). Während derzeit gilt Das Internet vergisst nichts, soll der Nutzer in Zukunft die Möglichkeit haben, eine Zustimmung zurückziehen zu können und ein Recht auf Löschung haben. Nicht zuletzt soll es ein Recht auf Datenportabiliät (Art. 18) geben, das heißt, der Nutzer soll bei einem Anbieterwechsel seine Daten mitnehmen können. Dies sind innovative Vorschläge der Kommission, die zu einem Mehr an Verbraucherschutz führen würden. Die Prinzipien privacy by design/privacy by default (Art. 23) sollen gesetzlich verankert werden. Danach müssen alle Produkte und Dienstleistungen bei Auslieferung beziehungsweise bei der ersten Inanspruchnahme datenschutzfreundlich voreingestellt sein. Regelungs ziel ist, dass nur so viele Daten erfasst, verarbeitet und gespeichert werden, wie für die Nutzung tatsächlich erforderlich ist. Die Verordnung soll nicht nur zu mehr Rechtssicherheit für die für Ver arbei tung Verantwortliche, insbesondere Unternehmen, führen. Es sind auch mehr Sorgfaltspflichten (Art. 31, 79) vorgesehen. So sind sie bei einer Verletzung des Schutzes personenbezogener Daten dazu verpflichtet, die Aufsichtsbehörde unverzüglich zu benachrichtigen. Auch die betroffene Person muss benachrichtigt werden, wenn die Gefahr besteht, dass ihre Privatsphäre beeinträchtigt wird. Weiter werden die Sanktionsmöglichkeiten gegen Unternehmen verschärft. Die Aufsichtsbehörde kann eine Geldbuße bis zu EUR respektive zwei Prozent des weltweiten Jahresumsatzes eines Unternehmens verhängen. 4 Dem Bundesbeauftragten für Datenschutz, Peter Schaar, ist beizupflichten: es ist ein Entwurf mit Licht und Schatten. Neben deutlichen Verbesserungen gegenüber der derzeitigen Rechtslage gibt es Punkte, die noch nachgebessert werden müssen. Welche Punkte sind problematisch? Ein betrieblicher Datenschutz be auftragter soll erst ab einer fixen Betriebsgröße von 250 Mit arbeitern zu bestellen sein (Art. 35). Im BDSG ist die Bestellung eines Daten schutzbeauftragten schon dann vorgesehen, wenn in privaten 45 eu-datenschutzgrundverordnung Unternehmen mindestens neun Personen ständig mit der Verarbeitung personenbezogener Daten betraut sind. Es liegt auf der Hand, dass das Risikopotential für die Verletzung des Schutzes personenbezogener Daten nicht von der Größe der verantwortlichen Stelle abhängt. Diese Regelung lädt jedoch zur Flucht ins Outsourcing und in die Gründung kleiner Subunternehmen ein. Verändert werden soll auch die Struktur von und die Zusammenarbeit der nationalen Datenschutzbehörden (Art. 46 ff.). Für Organisationen und Unternehmen soll eine einzige, von den Mitgliedstaaten festzulegende Aufsichtsbehörde Ansprechpartnerin sein. EU-Bürger sollen sich künftig auch an die Datenschutzbehörde ihres Landes wenden können, wenn ihre Daten von einem außerhalb der EU niedergelassenen Unternehmen verarbeitet werden. Die Aufsichtsbehörden sollen verwaltungsrechtliche Sanktionen verhängen können, wobei sich die Höhe der Geldbuße nach Art, Schwere und Dauer des Vorstoßes sowie der Frage nach Vorsatz oder Fahrlässigkeit bemisst. Die letztinstanzliche Aufsicht liegt bei der Europäischen Kommission. Das ist nicht unproblematisch. Denn auf der einen Seite soll die Unabhängigkeit der nationalen Datenschutzbehörden gestärkt werden, auf der anderen Seite bestehen weitgehende Befugnisse der Kommission zur Kontrolle. Die Kommission erhebt sich also selbst zur letzten unabhängigen Instanz in der Datenschutzaufsicht. In dem Entwurf finden sich zahlreiche Ermächtigungsgrundlagen für delegierte Rechtsakte der Kommission. Beispielsweise wird in Art. 23 Abs. 2 das Prinzip privacy by design/by default in der Verordnung verankert, im nächsten Absatz die genaue Ausgestaltung aber der Kommission vorbehalten, ohne dass ihre konkrete Rechtsform oder der genaue Inhalt vorher feststehen. Kinder und Jugendliche sollen besser geschützt werden. Aus diesem Grund ist gemäß Art. 8 für die Verarbeitung personenbezogener Daten eines Kindes bis zum vollendeten dreizehnten Lebensjahr die Einwilligung der Eltern erforderlich. Die Zielsetzung ist natürlich zu begrüßen. Fraglich ist nur, ob die Vollendung des dreizehnten Lebensjahres als Grenze nicht zu niedrig gesetzt ist und wie das Alter im Internet wirksam verifiziert werden soll. Im Zweifel werden weitere Daten erhoben werden müssen, um das Alter des Nutzers verlässlich feststellen zu können. Die in den letzten zwei Jahren intensiv geführte Debatte um den Beschäftigten daten schutz erhält durch die Verordnung, abgesehen von der Frage der Einwilligung, leider keine neue Orientierung. In Art. 82 heißt es lediglich, dass die Regelungen zu diesem Punkt den Mitgliedstaaten überlassen bleiben, diese sich aber in den Grenzen dieser Verordnung bewegen müssen. Auch hier ist wieder viel Spielraum, wo sich die Mitgliedsstaaten, die Unternehmen und vor allem die Beschäftigten selbst mehr Klarheit und deutlichere Vorgaben gewünscht hätten. Rechtschutz? Eine europäische Harmonisierung des Datenschutzrechts ist wichtig und sinnvoll. Sowohl die einzelnen Regelungen als auch die Wahl der Rechtsform sind aber insbesondere bei einem so dynamischen Bereich wie dem Datenschutz mit all ihren Konsequenzen zu durchdenken. Die Entscheidung für eine Verord nung könnte Auswirkungen auf die Rechtsprechung des Bundes ver fassungsgerichts (BVerfG) zu dem Verhältnis Gemeinschaftsrecht und nationales Recht haben. Das BVerfG geht seit der Solange-II-Entscheidung 5 von einem sogenannten Kooperationsverhältnis aus, d.h. es übt seine Prüfungskompetenz solange nicht aus, wie es generell auf europäischer Ebene einen gleichwertigen Grundrechtsschutz als gewährleistet ansieht. Dies wurde durch den Bananenmarkt-Beschluss 6 noch bekräftigt. Danach sind Verfassungsbeschwerden und Vorlagen von Gerichten, die eine Verletzung von Grundrechten durch sekundäres Gemeinschaftsrecht geltend machen, von vornherein unzulässig, wenn nicht begründet wird, dass der europäische Grundrechtsschutz unter den erforderlichen Standard gesunken ist. Es muss also detailliert dargelegt werden, dass der Grundrechtsschutz auf europäischer Ebene generell nicht mehr gewährleistet wird, was seit Verankerung der europäischen Grundrechtecharta nicht so schnell erfüllt sein dürfte. Wird eine datenschutzrechtliche Entscheidung durch eine nationale Behörde getroffen, so gilt zu nächst auch weiterhin das innerstaatliche Rechts schutz system. Gelangen dann deutsche Fachgerichte bei der Über prüfung nationaler Umsetzungsoder Durchführungsmaßnahmen zu der Überzeugung, dass der unabdingbare Standard des Grundgesetzes verletzt wurde oder die Union ihre Kompetenzen überschritten hat, kann und muss das Gericht gem. Art. 267 AEUV diese Frage dem EuGH vorlegen und diesem Gelegenheit geben, über die Gültigkeit des Unionsrechts zu entscheiden. Kommt das Fachgericht dem nicht nach, stellt dies einen Verstoß gegen das Recht auf den gesetzlichen Richter gemäß Art. 101 Abs. 1 S. 2 GG dar, was unter zugegebenermaßen hohen Hürden eine Verfassungsbeschwerde vor dem BVerfG begründen kann. Legt das Fachgericht vor, prüft der EuGH die vorgelegte Frage unter Berücksichtigung der Rechtsauffassung des vorlegenden Gerichts und gibt die Antwort zurück. Das vorlegende Gericht ist an die Auslegung des EuGH gebunden und muss unter diesem Gesichtspunkt entscheiden. Hat es Zweifel an der Entscheidung des EuGH, kann es den Fall unter Darlegung seiner Auffassung erneut vorlegen. Verschlechtert sich also der Rechts schutz durch eine Verordnung? Entscheiden sich die Mitgliedstaaten für eine Verordnung, ist für deren Auslegung nicht primär das Bundesver fassungs gericht, sondern der Europäische Gerichtshof zuständig. Das BVerfG hat eine heraus ragende Rolle bei der Entwicklung des Daten schutzrechtes in Deutschland inne. Aber auch der EuGH hat sich bereits mehrfach mit dem Daten schutz aus einan dergesetzt und diesem ebenfalls eine große Bedeutung bei gemessen. Hier sei beispiels weise das Urteil zur Ver öffentlichung von Empfängern von Agrarsub ventionen genannt. 7 Zuge geben sei an dieser Stelle, dass der EuGH, anders als das BverfG, immer auch den Binnenmarkt im Auge haben wird. Entscheidungen wie die vorgenannte zeigen aber, dass ein Ausgleich zwischen den Interessen möglich und ge- 56 eu-datenschutzgrundverordnung wollt ist, ohne dass der Datenschutz darunter leidet. Knackpunkt bei der Diskussion scheint das Urteil des EuGH vom 24. November zu sein, in dem es um die Frage der Vereinbarkeit spanischen Rechts mit der Datenschutzrichtlinie von 1995 ging. Hier hat der EuGH entschieden, dass die Harmonisierung der nationalen Rechtsvorschriften durch die Richtlinie nicht auf eine Mindestharmonisierung beschränkt ist, über deren Schutzniveau die Mitgliedstaaten hinausgehen können, sondern vielmehr eine Voll harmonisierung darstellt. Aus diesem Grund würde sich das BVerfG sowohl bei einer umfassenden Richtlinie mit wenig Umsetzungsspielraum als auch bei einer Verordnung vor das Problem gestellt sehen, ob es an seiner Solange II- Rechtsprechung festhält. Macht das Bundesverfassungsgericht derzeit von seiner Überprüfungs kompetenz keinen Gebrauch, solange ein ausreichender Grundrechtsschutz auf europäischer Ebene gewährleistet wird, kann sich dies bei einem so grundrechtsund eingriffsrelevanten Bereich wie dem Datenschutz anders darstellen. Ist das Bundesverfassungsgericht der Ansicht, dass hier Grundrechtsstandards unterwandert würden, und die Anwendung der Unionsvorschriften in Deutschland verfassungswidrig wäre, müsste es zu dem Ergebnis kommen, dass europäisches Recht in diesem Fall in Deutschland nicht anwendbar ist. Das BVerfG hat jedoch bereits anerkannt, dass generell einer ausreichender Grundrechtsschutz auf europäischer Ebene gewährleistet wird. Die europäische Grundrechtecharta wurde mit der Verankerung der Menschenwürde und des Grundrechts auf Datenschutz insbesondere aus Deutschland geprägt. Besonders grundrechtssensible Bereiche wie der Beschäftigtendatenschutz oder der Umgang mit Gesundheitsdaten sind zudem von der DS-GVO ausgenommen. Die Regelung dieser Bereiche wird explizit den Mitgliedsstaaten überlassen. In diesen grundrechtsintensiven Bereichen würde es also nicht zu einer Veränderung des innerstaatlichen Rechtschutzes kommen. Die nationalen Gerichte, und damit auch das BVerfG, blieben zuständig. Fazit Die Frage ist nicht mehr, ob wir die europäische Harmonisierung brauchen oder nicht, sondern auf welchem Niveau die Harmonisierung in Zukunft stattfindet. Ob die Harmonisierung durch eine Verordnung oder durch eine Richtlinie erfolgt, sollte weniger abstrakt beurteilt, sondern von den konkreten Inhalten abhängig gemacht werden. Eine Verordnung kann genauso noch Spielraum für die Mitgliedstaaten lassen, wie eine Richtlinie so detaillierte Vorgaben machen kann, dass de facto kein Umsetzungsspielraum mehr bleibt. Die Richtlinie von 1995 hält für neue technische Entwicklungen keine überzeugenden Antworten mehr bereit. Zudem führen die unterschiedlichen nationalen Regelungen zu Rechtsunsicherheit sowohl bei Unternehmen als auch bei Verbrauchern. Eine in allen Mitgliedstaaten unmittelbar wirkende DS-GVO könnte nicht nur zu mehr Rechtssicherheit, sondern auch zu einer Stärkung des Binnenmarkt-Prinzips führen, indem sich Unternehmen nicht mehr in dem Mitgliedsstaat niederlassen, wo das für sie vermeintlich günstigste Datenschutz-Recht gilt. Viele der genannten Regelungen stellen bereits ein Plus an Daten- und Verbraucherschutz dar. Dies gilt sowohl für die Frage der räumlichen Anwendbarkeit, des Prinzips privacy by default als auch des Rechts auf Cartoon Datenportabilität. Nachgebessert werden kann und sollte immer, insbesondere bei den Punkten Bestellung eines betrieblichen Datenschutzbeauftragten, den delegierten Rechtsakten und der Struktur der Datenschutzaufsicht. Der Streit um die Rolle des BVerfG bei einer Richtlinie mit sehr geringem Umsetzungsspielraum für die Mitgliedstaaten nach dem EuGH- Urteil vom 24. November oder bei einer Verordnung ist dabei eher akademischer Natur. 1 KOM 2012 (11) endg. 2 KOM 2012 (10) endg. 3 Süddeutsche Zeitung v , Johannes Masing, Ein Abschied von den Grundrechten 4 Vor der Veröffentlichung des offiziellen Entwurf waren Sanktionsmöglichkeiten in Höhe von vier bis fünf Prozent des weltweiten Jahresumsatzes im Gespräch, so dass hier die Lobbyarbeit amerikanischer und europäischer Wirtschaftsunternehmen bereits erste Früchte getragen haben dürfte. 5 BVerfG, BvR 197/83 6 BverfG, BvL 1/97 7 EuGH,Urteil vom C-92/09; C-93/09 8 EuGH, Urteil vom , C-468/10 und C 469/10 9 EuGH, Urteil vom , C-468/10 und C 469/10 DIESES BILD ENTSPRICHT IN ALLEN PUNKTEN DEN RICHTLINIEN FÜR AUSWEIS-LICHTBILDER: FORMAT, SCHÄRFE UND KONTRAST, AUSLEUCHTUNG, HINTER- GRUND, FOTOQUALITÄT, GESICHTSAUSDRUCK, AUGEN UND BLICKRICHTUNG. IN DEN BESTIMMUNGEN IST VON EINEM SCHMINKVERBOT ÜBERHAUPT KEINE REDE Frans Jozef Valenta 67 eu-datenschutzgrundverordnung Werner Hülsmann Der betriebliche und behördliche Datenschutzbeauftragte im Entwurf der EU-Datenschutz-Grundverordnung Im Entwurf der Datenschutz-Grundverordnung (DS-GVO-E) ist der Abschnitt 4 mit den Artikel 35 bis 37 dem betrieblichen bzw. behördlichem Datenschutzbeauftragten (DSB) gewidmet. Die Institution des betrieblichen oder behördlichen Datenschutzbeauftragten wird mit dem Inkrafttreten der DS-GVO in den meisten Staaten erstmalig eingeführt. In Deutschland gibt es dagegen eine jahrzehntelange Praxis hierzu. Artikel 35 Benennung eines Daten schutz beauftragten Absatz 1 Für Behörden und öffentliche Einrichtungen ist die Regelung, wann ein Datenschutzbeauftragter zu bestellen ( benennen ) ist, in Art. 35 Abs. 1 Buchstabe a) einfach und eindeutig: Sobald personen bezogene Daten verarbeitet werden, ist ein Datenschutzbeauftragter zu bestellen. Für nichtöffentliche Einrichtungen ist in Art. 35 Abs. 1 Buchstaben b) und c) vorgegeben, wann ein Daten schutzbeauftragter zu bestellen ist. Gemäß Art. 35 Abs. 1 Buchstabe b) ist von Unternehmen ein Datenschutzbeauftragter zu bestellen, wenn die verantwortliche Stelle ( der für die Datenverarbeitung Verantwortliche ) oder der Datenverarbeiter im Auftrag ( Auftragsverarbeiter ) 250 oder mehr Mitarbeiter beschäftigt. Der dritte Grund ist dagegen nicht so klar und zudem in den Erläuterungen anders formuliert als im Text des Artikels 35: Während es bei der Formulierung der Erläuterungen um Verarbeitungsvorgänge geht, die einer regelmäßigen, systematischen Überwachung bedürfen, geht es bei dem Text von Art. 35, Abs. 1 Buchstabe c) um die Betroffenen, deren regelmäßige und systematische Beobachtung erforderlich für die Verarbeitungsvorgänge sein muss. Dabei müssen diese Verarbeitungsvorgänge auch noch zur Kerntätigkeit der verantwortlichen Stelle bzw. des Auftragsverarbeiters gehören. Die Formulierung der Erläuterung wäre in etwa vergleichbar mit den Anforderungen, wann eine Vorabkontrolle nach 4d Abs. 5 BDSG vorgenommen werden muss. Zur Interpretation der Formulierung im Artikel kann der Erwägungsgrund 75 herangenommen werden: In Fällen, in denen die Verarbeitung im öffentlichen Sektor oder durch ein privates Großunternehmen erfolgt oder in denen die Kerntätigkeit eines Unternehmens ungeachtet seiner Größe Verarbeitungsvorgänge einschließt, die einer regelmäßigen und systematischen Überwachung bedürfen, sollte der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter bei der Überwachung der unternehmensinternen Einhaltung der Bestimmungen dieser Verordnung von einer weiteren Person unterstützt werden. Derartige Datenschutzbeauftragte sollten unabhängig davon, ob es sich um Angestellte des für die Verarbeitung Verantwortlichen handelt oder nicht, ihre Pflichten und Aufgaben in vollständiger Unabhängigkeit ausüben können. Auch dieser Erwägungsgrund lässt die Vermutung zu, dass der Text von Art. 35 Abs. 1 Buchstabe c) fehlerhaft ist. Unter der Annahme, dass die Formulierung aus dem Erwägungsgrund 75 und der Erläuterung zu Artikel 35 das darstellt, was im Entwurf der DS-GVO zur Benennung der Datenschutzbeauftragten geregelt werden soll, und dass die Verarbeitungen, die die einer regelmäßigen und systematischen Überwachung bedürfen in etwa denen entsprechen, die nach 4d Abs. 5 BDSG einer Vorabkontrolle bedürfen, ist davon auszugehen, dass viele der Unternehmen, die derzeit nach 4f BDSG einen Datenschutzbeauftragten bestellt haben, auch künftig einen Daten schutz beauftragten benennen müssen. Allerdings wird die Anzahl der Unter nehmen in Deutschland, die nach Art. 35 Abs. 1 einen Daten schutzbeauf tragten benennen müssen, deutlich geringer sein, als die Anzahl der Unternehmen die nach 4f BDSG einen Datenschutzbeauftragten bestellen müssen. Leider zeigt die Erfahrung, dass entgegen der klaren Formulierung in 4g Abs. 2a BDSG viele Geschäftsführer und Artikel 35 Erläuterungen zu Artikel Der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter benennen einen Datenschutzbeauftragten, falls ( ) oder c) die Kerntätigkeit des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihres Wesens, ihres Umfangs und/oder ihrer Zwecke eine regelmäßige und systematische Beobachtung von betroffenen Personen erforderlich machen. Artikel 35 schreibt die Einsetzung eines Datenschutzbeauftragten für ( ) und in Fällen vor, in denen die Kerntätigkeit des für die Verarbeitung Verantwortlichen oder des Auftragverarbeiters aus Verarbeitungsvorgängen besteht, die einer regelmäßigen, systematischen Überwachung bedürfen. 78 eu-datenschutzgrundverordnung Inhaber meinen, dass sie sich nicht um den Datenschutz kümmern müssten, wenn sie keinen Datenschutzbeauftragten bestellen müssen. Wenn hier die Kapazitäten der bundesdeutschen Aufsichtsbehörden nicht deutlich erhöht werden und deutlich häufiger Datenschutzkontrollen durchgeführt wer den, wird diese eindeutig zu hoch an gesetz te Zahl von 250 Mitarbeitern, ab der ein Datenschutzbeauftragter zu bestellen ist, dazu führen, dass in vielen Unternehmen der Datenschutz noch mehr an Bedeutung verlieren wird. Absatz 2 Abs. 2 regelt ausdrücklich, dass es Konzerndatenschutzbeauftragte geben kann, indem eine Gruppe von Großunter nehmen, also eine Gruppe von Un ter nehmen mit jeweils mehr 250 Mit arbeitern, einen gemeinsamen Datenschutz beauftragten bestellen darf. Für eine Bestellung die nach Buchstabe c) zu erfolgen hat, gilt Absatz 2 nicht. In der Praxis gab und gibt es auch bisher in Deutschland Konzerndatenschutzbeauftragte, auch wenn sie formal von (fast) jedem Unternehmen des Konzerns eigenständig bestellt worden sind. Absatz 3 Absatz 3 regelt, dass mehrere Behörden und öffentliche Einrichtungen entsprechend ihrer Struktur einen Datenschutzbeauftragten für mehrere Bereiche bestellen können. Dies stellt keine Änderung gegenüber den bereits jetzt in Deutschland geltenden Regelungen auf Bundes- und Länderebene dar. Absatz 4 Absatz 4 erlaubt die Bestellung eines Datenschutzbeauftragten ausdrücklich auch dann, wenn die Bedingungen aus Absatz 1 nicht erfüllt sind. Absatz 5 Absatz 5 formuliert Mindest anforderungen an die berufliche Qualifikation und das Fachwissen, die sich ähnlich wie im BDSG vor allem nach der Art der Datenverarbeitung und dem Schutzbedarf richten. Absatz 6 In Absatz 6 wird erfreulicher Weise deutlich gemacht, dass es keine Interessen konflikte zwischen der Aufgaben erfüllung als Datenschutz be auftragter und sonstigen Tätigkeiten im Unternehmen oder der Behörde geben darf. Dies gilt bereits auch nach deutschem Datenschutzrecht. Allerdings nur über den Umweg, dass das Vorhandensein von Interessenkonflikten von den Aufsichtsbehörden als mangelnde Zuverlässigkeit ausgelegt wird. Absatz 7 Absatz 7 legt fest, dass ein Datenschutz beauftragter für mindestens zwei Jahre zu benennen ist und in seiner Amts zeit nur von seinem Amt enthoben werden kann, wenn er die Voraus setzungen für die Erfüllung seiner Pflichten nicht mehr erfüllt. Eine Benennung für weitere Amtszeiten wird ausdrücklich für zulässige erklärt. Das BDSG nennt keine Mindest fris ten für die Bestellung als Daten schutz beauftragter. Bei ex ternen Daten schutz be auf tragten er warten die Auf sichts be hör den aller dings eine Mindest be stellung von drei bis fünf Jahren. Bei inter nen Daten schutz beauf tragten, bei denen der zum 01. September 2009 ein geführte Kün digungs schutz greift, gehen einige Unter nehmen inzwischen auch dazu über, den Daten schutz beauftragten nur befristet zu bestellen. Auch wenn es hierzu keine Regelung im BDSG gibt, wird dies von den Aufsichtsbehörden toleriert, solange die Dauer der Befristung ausreichend lange ist, um die un ab hängige Aufgaben erfüllung zu gewährleisten. Bei einem Mindest zeitraum von zwei Jahren, wie ihn der aktuelle Verordnungs entwurf vorsieht, ist die unabhängige Aufgaben erfüllung nicht sicher gestellt. Die Praxis zeigt, dass auch bei Vorliegen der erforderlichen beruflichen Qualifikation und des nötigen Fachwissens, die Tätigkeit als neuer Daten schutz beauftragter in einem Unternehmen eine gewisse Einarbeitungszeit bedarf. Sollte ein Unternehmen alle zwei Jahre einen neuen Daten schutzbeauftragten bestellen, so wäre eine kontinuierliche Aufgabenerfüllung schlicht nicht möglich. Absatz 8 Absatz 8 regelt explizit, dass Datenschutzbeauftragte nicht bei der verantwortlichen Stelle oder dem Auftragsver arbeiter beschäftigt sein müssen, sondern die Tätigkeit auch auf Basis eines Dienstvertrages erbringen können. Allerdings sind hier keine Regelungen zu Berufsgeheimnisträgern, wie Ärzten und Rechtsanwälten enthalten. Im BDSG wurden 2006 solche Regelungen explizit eingeführt um klarzustellen, dass der aufgabenbedingte Zugriff auf Patienten- oder Mandantendaten keine Verletzung des Privatgeheimnisses nach 203 StGB darstellt. Ohne entsprechende Anpassungen entweder in der Verordnung oder im nationalen Recht (z.b. durch Klarstellung im 203 StGB) wäre diese Formulierung ein Rückschritt vor Absatz 9 Durch Absatz 9 wird die leider im BDSG nicht vorhandene Pflicht eingeführt, Namen und Kontaktdaten des Daten schutz beauftragten der Aufsichtsbehörde und der Öffentlichkeit mitzuteilen. Ohne die Kenntnis zumindest der Kontaktdaten ist die direkte Ansprache des Datenschutzbeauftragten durch einen Betroffenen kaum möglich. Daher ist diese Regelung sehr zu begrüßen. Absatz 10 Gemäß Absatz 10 können sich Betroffene, wie es bereits auch im 4f Abs. 5 Satz 2 BDSG geregelt ist, direkt an den Datenschutzbeauftragten wenden. Absatz 11 Mit Absatz 11 wird der Kommission das Recht gegeben, durch delegierte Rechtsakte zu erlassen um die Kriterien und Anforderungen für die in Absatz 1 Buchstabe c genannte Kerntätigkeit des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters sowie die Kriterien für die berufliche Qualifikation des in Absatz 5 genannten Datenschutzbeauftragten festzulegen. Durch diese Regelung werden wesentliche Teile der Datenschutz-Grundverordnung nicht von der Verordnung selbst geregelt und damit durch den Ministerrat und das EU-Parlament beschlossen, sondern der Kommission überlassen. Nur wenn der Ministerrat oder das EU-Parlament innerhalb von zwei Monaten nach Mitteilung eines solchen Rechtsaktes durch die Kommission Einwände erhebt, tritt ein solcher 89 eu-datenschutzgrundverordnung Rechtsakt nicht in Kraft. Daher sollten zumindest Mindestkriterien direkt in der Verordnung bestimmt werden. Artikel 36 Stellung des Datenschutzbeauftragten Die in Artikel 36 enthaltenen Regelungen zur Stellung des Datenschutz beauftragten (Unab hängig keit, Weisungs freiheit, direkter Bericht an die Leitung der Stelle, etc.) entsprechen den im BDSG enthaltenen Regelungen. Artikel 37 Aufgaben des Datenschutzbeauftragten Während die Formulierungen in 4g BDSG zu den Aufgaben des Datenschutzbeauftragten nur in einem Punkt, nämlich dem Vertrautmachen der Mitarbeiter mit den arbeitsplatzbezogenen Anforderungen des Datenschutzes, ausreichend konkret sind, stellt Artikel 37 des Entwurfs die Aufgaben deutliche konkreter dar. Insbesondere wird die Pflicht des Datenschutzbeauftragten, die verantwortliche Stelle bzw. den Auftragsverarbeiter über die Datenschutzverpflichtungen zu unterrichten und zu beraten, sowie diese Tätigkeit und die Antworten zu dokumentieren, ausdrücklich in seinen Aufgaben aufgeführt. Sanktionen Gemäß Art. 79 Abs. 6 Buchstabe j verhängt die Datenschutzaufsichtsbehörde ein Bußgeld in Höhe bis zu einer Millionen Euro oder bei Unternehmen bis zu 2% des weltweiten Jahresumsatzes gegen jeden, der vorsätzlich oder fahrlässig keinen Datenschutzbeauftragten nach Artikel 35 benennt oder nicht die Voraussetzungen für die Erfüllung seiner Aufgaben gemäß Artikel 35, 36 und 37 schafft. Im Gegensatz zur aktuell geltenden Regelung in Deutschland gehört damit die Nichtbestellung eines erforderlichen Datenschutzbeauftragten zur Gruppe der schweren Verstöße mit den höchsten Bußgeld androhungen. Dies ist aus Datenschutzsicht zu begrüßen. Fazit Die Regelungen zur Bestellung von Datenschutz beauftragten stellen zwar für weite Teile der EU eine deutliche Erhöhung des allgemeinen Datenschutzniveaus dar, bedürfen aber ungeachtet dessen einer Überarbeitung. Hierbei sollten die Erfahrungen aus der Praxis sowohl interner und externer Datenschutzbeauftragter ebenso einfließen, wie die Erkenntnisse der Datenschutzaufsichtsbehörden. So müssen nicht nur unklare (und wie in Art. 35 Abs. 1 Buchstabe c) unrichtige) Formulierungen klarer gefasst werden, sondern auch die materiellen Regelungen insbesondere bezüglich der Mitarbeiterzahlen und der Mindestbestellfrist auf praxisbezogene Werte angepasst werden. Alle Mitarbeiter eines Unternehmens zu zählen, unabhängig davon, ob sie personenbezogene Daten verarbeiten oder nicht, ist genauso wenig hilfreich, wie die Anzahl der Mitarbeiter, ab der ein Datenschutzbeauftragter zu bestellen ist, willkürlich hoch zu setzen. Alle zwei Jahre einen neuen Datenschutzbeauftragten zu bestellen führt sicher nicht zur kontinuierlichen und unabhängigen Aufgabenerfüllung. Als Grundlage für konstruktive Diskussionen ist der Entwurf geeignet, zu un- oder nur geringfügig veränderten Verabschiedung dagegen nicht. Viktor Mayer-Schönberger Was uns Mensch sein lässt Anmerkungen zum Recht auf Vergessen Die Europäische Kommission machte Ende 2011 ihren Entwurf einer Verordnung des Parlaments und des Rates zum allgemeinen Datenschutz den am Rechtswerdungsprozess Beteilig ten zugänglich. Rasch gelangte dieser Entwurf an die Öffentlichkeit und wurde seitdem von einer großen Zahl an Medien und Experten gleichermaßen analysiert und bewertet. Das Interesse ist verständlich; geht es doch um nichts weniger als eine Modernisierung des in die Jahre gekommenen allgemeinen Datenschutzes auf europäischer Ebene. Einer der fünf von der Kommission bereits davor angekündigten Säulen dieser Modernisierung soll ein Recht auf Vergessen sein. Erwartungskonform findet sich daher im Entwurf in Artikel 17 ein Recht auf Vergessen und Löschung. Um zu verstehen, warum der Kommission ein auf den ersten Blick sehr enger Aspekt des Datenschutzes das Vergessen einen Artikel wert ist, bedarf es zweierlei: 1. einen Blick auf die Rolle, die dem Vergessen und dem Erinnern in unserer Gesellschaft zukommt; und 2. ein Verständnis für die durch digitale Technologien geförderte Veränderungen im praktischen Vergessen und Erinnern. In einem weiteren, dritten Schritt gehe ich dann auf die von der Kommission vorgeschlagene Implementation des Rechts auf Vergessen ein. Dabei ist zu Beginn eine Begriffsklärung notwendig: Vergessen und Erinnern bezeichnen in der Regel menschliche Vorgänge, die aber seit Jahrtausenden durch technische Hilfsmittel (z. B. Schrift) unterstützt werden. In unserer digitalen Welt umfasst das praktische Erinnern von Vergangenem geradezu regelmäßig ein Zusammenwirken von menschlichem 910 eu-datenschutzgrundverordnung Geist und technischen Hilfsmitteln. In diesem Sinn versteht auch die Kommission die Begriffe, und ihr vorzuwerfen, sie hätte Vergessen und Erinnern semantisch falsch eingesetzt, negiert die Wirklichkeit. 1. Die Rolle von Erinnern und Vergessen: In der Diskussion wird die Gefahr des fehlenden Vergessens oft auf eine Debatte um informationelle Ungleichgewichte verengt. Natürlich: Wenn andere Informationen über uns sammeln, speichern und wiederfinden können, lange nachdem wir selbst diese Informationen schon vergessen haben oder auch ohne dass wir von deren Existenz gewusst haben, dann verschiebt sich die informationelle Macht zugunsten dieser Informationssammler und zu Lasten der Betroffenen. Das aufzuzeigen ist notwendig, und auch ein tragfähiger Grund für ein Recht auf Vergessen einzutreten. Aber das Vergessen erfüllt noch weitere Funktionen. Wir Menschen vergessen physiologisch die allermeisten Sinneseindrücke und Gedanken. Nur ein ganz kleiner Bruchteil dessen, was wir täglich erleben und denken bleibt in unserem Langzeitgedächtnis erhalten. Unser Gehirn arbeitet dabei informationsökonomisch effizient: gerade weil wir abstrahieren und zu allgemeinen Schlussfolgerungen befähigt sind, vergessen wir Details. Durch das Vergessen entledigen wir uns also zumeist jener Informationen, die unser Gehirn für unser Handeln und Sein in der Gegenwart als nicht relevant einstuft. Das mag manchmal daneben greifen (wenn wir nicht mehr erinnern, wo in einer großen Parkgarage wir unser Auto abgestellt haben), aber funktioniert im Wesentlichen erstaunlich gut. Im Gegenzug bedeutet dies: Wer sich an alles in seiner Vergangenheit erinnert, hat Schwierigkeiten im Hier und Heute zu leben und zu entscheiden; dafür ist die Vergangenheit zu präsent. Das bestätigen die einschlägigen Arbeiten führender Kognitionsforscher. Wer in der Vergangenheit verhaftet bleibt, dem fällt es nicht nur schwer in der Gegenwart zu entscheiden, sondern auch sich selbst und sein Gegenüber als Menschen wahrzunehmen, die sich über die Zeit hinweg verändern. Erinnert man Menschen, dass ihr Gegenüber sie vor zehn Jahren belogen hat, misstrauen sie plötzlich ihrem Gegenüber auch in der Gegenwart. Umfassendes, stetes Erinnern lässt uns daher vergessen, dass wir alle uns verändern, unsere Meinungen wechseln, unsere Vorlieben, und mitunter auch unsere Werte. Wir verlernen so auch zu vergeben. Stetes Erinnern erschwert es in der Gegenwart zu entscheiden, und uns selbst und unser Gegenüber als ein sich veränderndes Individuum wahrzunehmen. Es nimmt uns, wie der Schriftsteller Jorge Luis Borges formulierte, genau das, was uns Mensch sein lässt. 2. Das Vergessen in der digitalen Zeit: Weil wir das Meiste vergessen, haben Menschen seit Jahrtausenden versucht Erinnerungen festzuhalten. Sprache, Schrift, und Malerei sind eindrückliche Beispiele, zu denen sich weitere Techniken wie Fotografie, Film und Tonaufzeichnung gesellten. Aber bis zum Beginn des digitalen Zeitalters blieb das Festhalten von Erinnerungen zeitaufwändig und teuer, und wurde daher mit Bedacht eingesetzt: vermeintlich wichtige Dinge wurden festgehalten, und das Vergessen blieb die Regel. Im digitalen Zeitalter hat sich dies in zweifacher Hinsicht verändert. Zum Ersten sind digitale Speicher heute so kostengünstig, dass wir ohne Aufwand vieles oder alles in diesen Speichern festhalten können: jede Version eines Dokumentes, jedes , jedes noch so schlechte digitale Foto. Speichern ist heute kostengünstiger als Löschen: selbst fünf Sekunden unserer Zeit zu entscheiden, ob wir ein digitales Foto behalten oder löschen wollen, ist teurer, als dieses Foto zu speichern (und zu sichern). Da macht es auch ökonomisch wenig Sinn mehr, diese Speicher nicht zu nutzen. Zum Zweiten ist heute das Wiederauffinden gespeicherter Infor mationen vergleichsweise einfach und intuitiv geworden. Wir müssen uns nicht mehr verkürzte Dateinamen aus acht Stellen merken, ja nicht einmal mehr Dateinamen an sich, weil wir ganz einfach unsere digitalen Speicher im Volltext durchsuchen können. Wir haben ein Jahrzehnt und mehr unsere s zur Verfügung und die Suchfunktion findet die zehn Jahre alten nur Bruchteile von Sekunden nach denen von letzter Woche. Am Internet ist es dank Google und Bing empfunden nicht anders. Das konfrontiert uns ständig mit vergessen Geglaubtem, an das wir dann durch die digitale Krücke wieder erinnern. Im digitalen Leben lässt uns die Vergangenheit nicht mehr los. Facebook hat daraus noch eine Dienstleistung gemacht. Das aber kann genau zu den Konsequenzen eines steten Erinnerns führen, die ich oben skizziert habe. Genau deshalb lohnt es sich, darüber nachzudenken, wie man dem Vergessen auch in digitalen Zeiten wieder eine Chance geben kann nicht um des Vergessens willen, sondern um unser selbst willen. 3. Das vorgeschlagene Recht auf Vergessen: Der Kommissionsentwurf zu Artikel 17 (Recht auf Vergessen) enthält für Datenschutz-Experten jedenfalls auf den ersten Blick viel Vertrautes. Hier wird wiederholt und zusammengefasst, allenfalls ein wenig akzentuiert und konturiert, was schon in der Datenschutz-RL galt: klare Zweckbindung als Kriterium für die Speicherdauer, Verweis auf die Zustimmung der Betroffenen, Recht auf Löschung. Allenfalls mag die Kompetenz zuweisung an die Kommission zu sektoralen Sonderbestimmungen das Interesse wecken. Das ist kein automatischer Makel. Es mag für die Rechtsunterworfenen, die sich bisher in der Komplexität der Datenschutz-RL nicht zurecht gefunden haben, vielleicht sinnvoller sein, thematisch bezogen alles an einer Stelle zu finden. Interessant ist auch, wie Absatz 7 die Verarbeiter bewusst einbindet und auffordert, technische Vorkehrung für ein Vergessen bei Zeitauflauf intuitiv denkt man an ein Ablaufdatum - zu treffen. Verbunden mit den von der Kommission vorgesehenen erweiterten Möglichkeiten der Aufsichtsbehörde, kann sich hier eine durchaus interessante Dynamik entwickeln, die den Datenschutz langsam aber sicher 1011 eu-datenschutzgrundverordnung von seiner primären Bezogenheit auf Individualrechte der Zustimmung ablöst. Genau das sehe ich als den sublim versteckten, aber vielleicht strukturell größten Innovations-Schritt des Kommissionsentwurfes. Hatten wir über Jahrzehnte versucht (und mit guten theoretischen Gründen!), die Verarbeitung personenbezogener Daten an die informierte Zustimmung der Betroffenen zu koppeln, so scheint sich nunmehr auch in der Kommission die Erkenntnis etabliert zu haben, dass dies alleine nicht ausreicht. Es geht nicht mehr vor allem um den Schutz ex ante, sondern gerade weil so viel von uns auch selbst verschuldet online ist gerade auch um den Schutz ex post. Das Recht auf Vergessen kann hier helfen, weil es ganz nahe an der Rechtswirklichkeit der Betroffenen die Notwendigkeit einer Korrektur ex post vor Augen hat: es soll bildlich gesprochen helfen, nachdem die Milch vergossen ist. Das ist nur zu begrüßen. Die Praxis wird zeigen, wie gut das klappt. 4. Fazit Im Lichte der technischen Entwicklung und gesellschaftlichen Nutzung des Internets wird die Notwendigkeit verständlich, sich dem Vergessen in digitalen Zeiten auch aus legislativer Perspektive zu nähern. Das in Artikel 17 des Verordnungs-Entwurfes konkretisierte Recht auf Vergessen ist dazu ein erster evolutionärer, aber willkommener Schritt. Eine weit detailliertere und deshalb auch differenziertere Argumentation findet sich in Viktor Mayer-Schönberger, Delete: Die Tugend des Vergessens in Digitalen Zeiten (Berlin University Press 2010). Eric Töpfer Warum wehren sich Menschen (nicht) gegen Verletzungen ihrer Datenschutzrechte? Eine Studie der EU-Agentur für Grundrechte sucht Antworten In Vorausschau auf das Inkrafttreten des Vertrages von Lissabon und die absehbare Novellierung des europäischen Datenschutzrechts schrieb der Rat der Europäischen Union der neu gegründeten EU-Agentur für Grundrechte im Jahr 2007 das Thema Informationsgesellschaft und insbesondere Achtung der Privatsphäre und Schutz von personenbezogenen Daten in ihren ersten Mehrjahresplan. 1 Ziel der Grundrechteagentur, so ihr Gründungsdokument, ist es, der Gemeinschaft und ihren Mitglied staaten bei der Durchführung des Gemeinschaftsrechts in Bezug auf die Grundrechte Unterstützung zu gewähren und ihnen Fachkenntnisse bereitzustellen, um ihnen die uneingeschränkte Achtung der Grundrechte zu erleichtern. Hierzu soll sie relevante objektive, verlässliche und vergleichbare Informationen und Daten sammeln, erfassen, analysieren und verbreiten, dafür Standards entwickeln, wissenschaftliche Forschungsarbeiten und Erhebungen durchführen und Schlussfolgerungen und Gutachten zu bestimmten Themen ausarbeiten und veröffentlichen. Dies allerdings mit drei wesentlichen Einschränkungen: Den thematischen Rahmen der Tätigkeit der Agentur steckt der Rat mit Mehrjahresprogrammen ab, die auf Vorschlag der Kommission und nach Anhörung des Parlaments beschlossen werden. Zu Gesetzgebungsverfahren der EU darf die Agentur nur dann Stellung nehmen, wenn sie ausdrücklich von beteiligten Organen dazu aufgefordert wird. Auch befasst sie sich nicht mit der Frage der Rechtmäßigkeit von Handlungen der Unionsorgane oder Vertragsverletzungen durch Mitgliedstaaten. 2 Nachdem die Grundrechteagentur 2008/2009 mit einer Stellungnahme zur Speicherung von Fluggastdaten und der Beteiligung an einer Konsultation der Kommission zu Körperscannern erste Schritte im Themenfeld Datenschutz gegangen war, legte sie 2010 eine größere vergleichende Studie zur Rolle der nationalen Datenschutzbehörden vor. 3 Als zentrale Probleme wurde damals die mangelnde Unabhängigkeit der Aufsichtsbehörden in einigen Ländern, ihre oftmals unzureichende Ausstattung und mitunter mangelnde Kompetenzen genannt. Des Weiteren wurden die defizitäre Durchsetzung bestehender Gesetze und der verbreitete Fokus auf weiche Instrumente kritisiert. Nicht zuletzt wurde mit Verweis auf zwei Eurobarometer- Umfragen von 2008 betont, dass die Bevölkerung sich der Gefahren unkontrollierter Datenverarbeitung durchaus bewusst sei, aber die Rechte in diesem Bereich kaum kenne, geschweige denn einfordere. Vor dem Hintergrund dieser Ergebnisse hat die Grundrechteagentur nun eine vergleichende Studie zur Frage in Auftrag gegeben, wie den Menschen ihr Recht auf Datenschutz verschafft werden kann. 4 Mit Hinweis auf die Artikel 22 (Rechtsbehelfe), 23 (Haftung), 24 (Sanktionen) und 28 (Kontrollstelle) der EU-Datenschutzrichtlinie von 1995 stellt die Agentur fest, dass europaweit nur unzulängliche Informationen über den Zugang von Einzelpersonen zu rechtlichen und alternativen Formen der Wiedergutmachung in Datenschutzfragen verfügbar sind. Daher sollen in ausgewählten Ländern 1112 eu-datenschutzgrundverordnung die existierenden Rechtsbehelfe und Beschwerdemechanismen kartiert, Informationen zur Zahl der Beschwerden erhoben sowie Betroffene und Experten zu Erfahrungen und Zufriedenheit mit den bestehenden Möglichkeiten gehört werden. 5 Beauftragt mit der Durchführung der nationalen Teilprojekte sind die focal points des FRANET, eines 2011 ins Leben gerufenen Netzwerkes von Forschungs einrichtungen, die der Grundrechte agentur zuarbeiten. Deutscher focal point des FRANET ist in Kooperation mit dem Europäischen Forum für Migrationsstudien das Deutsche Institut für Menschenrechte in Berlin, das 2001 auf Empfehlung des Bundestages gegründet wurde, um über die Lage der Menschenrechte in In- und Ausland zu informieren und zur Prävention von Menschen rechts verletzung beizutragen. 6 Neben einer rechtlichen Bestandsaufnahme wird das Institut bis August 2012 Beschwerdeführer, aber auch Menschen, die sich trotz Verdachts auf Daten schutz verlet zungen nicht gewehrt haben, zu ihren Motiven, Erfahrungen und Meinungen interviewen. Richter sollen zu Ent scheidungen in Beschwerde verfahren befragt werden, und Anwälte, Mitarbeiter aus Datenschutz behörden sowie Vertreter von Nichtregierungsorganisationen werden gebeten, ihre Erfahrungen zu diskutieren. Im Herbst werden schließlich die Forschungsergebnisse der nationalen Teilstudie ausgewertet und verglichen. Der abschließende Bericht soll 2013 erscheinen. Die Grundrechteagentur erhofft sich, mit den Ergebnissen der Studie den laufenden Gesetzgebungsprozess zur Datenschutznovelle zu informieren und durch die Identifizierung guter Praktiken die Arbeit von Daten schutzbehörden und anderen Ak teuren zu inspirieren. Man darf gespannt sein, ob z.b. der vermutlich nicht ohne Widerspruch bleibende Kommissions vorschlag zur Einführung eines Verbands beschwerderechts (Art. 73, Abs. 2 und 3 des Vorschlags zur neuen Datenschutz- Grundverordnung) 7 durch die Studie argumentative Schützenhilfe erhält. Der Autor ist Wissenschaftlicher Mitarbeiter des Deutschen Instituts für Menschenrechte und für die sozialwissen schaftliche Forschung im deutschen Teilprojekt der Studie zuständig. Falls Sie als betroffener (Nicht-)Beschwerde führer, Rich ter, Anwalt, Mitarbeiter einer Aufsichts behörde oder einer Nichtregierungs organisation In teresse haben, an der Studie teilzunehmen, kontaktieren Sie ihn bitte telefonisch unter oder per Mail unter institut-fuer-menschenrechte.de. 1 Beschluss des Rates (2008/203/EG) vom 28. Februar 2008 zur Durchführung der Verordnung (EG) Nr. 168/2007 hinsichtlich der Annahme eines Mehrjahresrahmens für die Agentur der Europäischen Union für Grundrechte für den Zeitraum Amtsblatt der EU, L 63/14-15 v Verordnung (EG) Nr. 168/2007 des Rates vom 15. Februar 2007 zur Errichtung einer Agentur der Europäischen Union für Grundrechte. Amtsblatt der EU, L 53/1-14 v European Union Agency for Fundamental Rights: Data Protection in European Union: the Role of National Data Protection Authorities. Luxembourg Online unter: 4 Geplant sind in 2012/13 daneben auch die Edition eines Handbuchs zum Fallrecht des europäischen Datenschutzes sowie eine Studie zum Datenschutzbewusstsein von Internetnutzern. 5 European Union Agency for Fundamental Rights: Annual Work Programme Vienna, S. 25. Online unter: 6 Ausführliche Informationen zum Institut auf der Website: 7 Europäische Kommission: Vorschlag für Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz- Grundverordnung). KOM(2012) 11 endgültig v Online unter: ec.europa.eu/justice/data-protection/document/review2012/com_2012_11_de.pdf EDRI Europäischer Datenschutz in der digitalen Gesellschaft In Europa ist eine umfassende Reform des Datenschutzes mehr als überfällig. Seit der Richtlinie von 1995 führten der technische Fortschritt und die unterschiedliche Umsetzung in den Mitgliedstaaten dazu, dass wir heute dringend eine Novellierung und einheitliche europäische Datenschutzgesetze brauchen. Angesichts der immer zentraler werdenden Rolle des Internet und der wachsenden globalen Vernetzung setzt sich European Digital Rights (EDRi) dafür ein, dass Datenschutz heutzutage nicht mehr an Staatsgrenzen aufhört. Die aktuellen Probleme im Kampf für besseren Datenschutz in Europa lassen sich anhand von Facebook vs. Europe gut veranschaulichen. Im letzten Jahr erstattete ein österreichischer Student bei der irischen Datenschutzbehörde insgesamt 22 Anzeigen gegen Facebook und forderte sämtliche über ihn gespeicherte Daten an. Da Facebook seinen Sitz in Dublin hat, sind europäische Facebook-Nutzer derzeit durch den Nutzungsvertrag von der irischen Gesetzgebung abhängig. Einheitliche Datenschutzgesetze sind notwendig, denn Nutzer sozialer Netzwerke sollten endlich über ein ausreichendes Schutzniveau verfügen auch wenn Unternehmen ihren Sitz in einem anderen Mitgliedstaat haben. 1213 eu-datenschutzgrundverordnung Bild: FoeBuD Dies wirft direkt eine weitere Frage auf: Wie kann, bei einem steigenden Grad der globalen Vernetzung, mit der extraterritorialen Rechtsanwendung durch Drittländer umgegangen werden? Die USA wenden beispielsweise seit einigen Jahren den PATRIOT Act sowie den Foreign Intelligence Surveillance Act (FISA) an, um auf Daten ausländischer Personen zugreifen zu können, die in keiner Verbindung zu den USA stehen. Es ist essentiell, dieses rechtliche Vakuum endlich mit einer umfassenden Datenschutzreform zu beenden die gegenwärtigen Beschränkungen sind de facto wirkungslos. Die neue Datenschutzverordnung muss dazu beitragen, den unkontrollierten Transfer personenbezogener Daten europäischer Bürger in Drittländer einzudämmen. Auch die neue Richtlinie für den Bereich Polizei und Justiz sollte strengere Regeln für den Zugriff von Ermittlungsbehörden in anderen EU-Ländern auf personenbezogene Daten aufstellen. Weiterhin bestehen derzeit Probleme der Regulierung durch Staaten einerseits und Selbstregulierungsversuche durch Unternehmen zum angeblichen Schutz der Nutzer anderseits. Aufgrund der Anzeigen wurde Facebook von der irischen Datenschutzbehörde geprüft und musste bereits die Anschuldigung des laschen Vorgehens über sich ergehen lassen ohne Gefahr zu laufen, sanktioniert zu werden. Die Untersuchungsberichte wurden dort sogar nur im Einvernehmen mit dem US-Unternehmen veröffentlicht. Zum anderen fordert die Wirtschaft seit längerem die Einführung unternehmensinterner Datenschutzregelungen und des sogenannten Grundsatzes der Rechenschaftspflicht. Aus dem Blickwinkel einer effizienteren Umsetzung von Datenschutzgesetzen erscheint dieser Ansatz zunächst begrüßenswert allerdings darf dies unter keinen Umständen zu einer Lockerung der Verpflichtungen führen und muss vor allem auch für den Bereich der internationalen Datenübertragung gelten, wie die Artikel 29 Datenschutzgruppe bereits in einer Stellungnahme von 2010 forderte. Dann gibt es noch die zahlreichen Gesetzeslücken, die dringend gefüllt werden müssen. Viele Unternehmen erlauben sich durch ihre Allgemeinen Geschäftsbedingungen, die Daten der Nutzer frei zu verwenden und ändern die AGBs, wann immer sie möchten. Der Online-Speicherdienst Dropbox änderte beispielsweise im letzten Jahr mehrere Male die Nutzungsbedingungen. Im April 2011 kam eine Klausel dazu, mit der Nutzer einwilligten, dass US- Behörden auf Anfrage Zugriff auf ihre Daten bekommen. In der Regel gilt, dass jedenfalls solange diese Fälle nicht in der Presse bekannt werden - Nutzer meistens unbewusst ihre Rechte abgeben. Die Vorschläge der EU-Kommission für eine allgemeine Datenschutzreform sind daher wichtig und notwendig. Gleichzeitig muss aber eine effektive Implementierung sichergestellt werden. Dies kann zum Beispiel durch die Einführung von obligatorischen Datenschutz-Folgenabschätzungen gewährleistet werden. Wirklich unabhängige und angemessen ausgestattete Datenschutzbehörden sind ebenfalls eine Voraussetzung für eine Umsetzung der Regeln in die Praxis. Auch müssen datenschutzfreundliche Voreinstellungen für europäische Politikgestaltung gelten, wie bei der Ausarbeitung von Richtlinien wie z.b. zur Vorratsdatenoder Fluggastdatenspeicherung in Europa. Angesichts der zahlreichen Baustellen haben Datenschützer auf europäischer Ebene im Moment reichlich viel zu tun. Als Vernetzungsknoten für nationale Bürgerrechts- und Datenschutzorganisationen sorgt EDRi in Brüssel dafür, dass bei der Politikgestaltung die Interessen der Bürger und die EU-Grundrechtecharta nicht nur berücksichtigt, sondern konsequent zur Bedingung werden. Das Büro in Brüssel ist seit September 2011 auf drei Leute angewachsen und versucht, dort ein Gegengewicht zu den über Industrie-Lobbyisten herzustellen. EDRi ist ein Zusammenschluss von 28 Bürgerrechts- und Daten schutzorganisationen (FoeBuD, CCC, Vibe!At, Bits of Freedom, Open Rights Group...) aus insgesamt 18 verschiedenen europäischen Ländern. Damit ist EDRi die (bisher) einzige Brüsseler Stimme der Zivilgesellschaft für alle datenschutzrechtlichen und netzpolitischen Aspekte in der digitalen Gesellschaft. Kontakt: European Digital Rights Rue Montoyer 39/9 B-1000 Brussels Hinweis der Redaktion: Die Deutsche Vereinigung für Daten schutz wird im Jahr 2012 ihre Mitgliedschaft beantragen. Gala zur 12. Verleihung der BigBrotherAwards Freitag, , Uhr, Hechelei der Ravensberger Spinnerei in Bielefeld Eintrittskarten erhalten Sie im Vorverkauf über den FoeBuD-Webshop 1314 eu-datenschutzgrundverordnung Cornelia Ernst, MdEP, und Lorenz Krämer Die Reform des europäischen Datenschutzrechts im Parlament Am 25. Januar hat die Europäische Kommission ihre lange erwarteten Vorschläge zum Ausbau des europäischen Datenschutzes vorgelegt. Die Vorschläge basieren auf dem mit dem Lissabon-Vertrag neu geschaffenen Artikel 16, mit dem die EU eine eigenständige Kompetenz für den Datenschutz erhalten hat. Gleichzeitig wurde die Europäische Grundrechtecharta Teil der Verträge: EU-Recht muss damit in Zukunft dem dort in Artikel 8 festgelegten Recht auf Datenschutz genügen. Das Europaparlament hatte schon im Juni 2011 im Voss-Bericht mit breiter, überparteilicher Mehrheit eine Reihe Anforderungen für die anstehende Reform des Datenschutzes formuliert, von denen sich viele, aber längst nicht alle, in den nun vorliegenden Vorschlägen wiederfinden. Es wurde klar gestellt, dass das Parlament eine Erneuerung der Datenschutzrichtlinie 95/46/EG begrüße, solange diese auf den Prinzipien der bisher geltenden Regelung beruhe und auf keinen Fall dahinter zurückfallen dürfe. Weitere Forderungen waren unter anderem, dass in Zukunft der Datenschutz in den Mitgliedstaaten soweit als möglich harmonisiert werden sollte, dass die Verarbeitung persönlicher Daten auf einer expliziten und informierten Einwilligung beruhen müssten und die bestehenden Regeln daher präzisiert werden sollten, dass privacy by default und privacy by design als neue Grundsätze aufgenommen werden sollten und dass bei Verstößen wirkungsvolle Sanktionen vorgesehen sein müssten. Diese Forderungen finden sich in dem Vorschlag für die allgemeine Datenschutz-Grundverordnung im Großen und Ganzen wieder. Andere, durchaus zentrale Anliegen des Parlaments finden sich dagegen nicht wieder. Dazu gehört die Forderung nach einer Regelung aus einem Guss, die den Datenschutz in allen Bereichen betrifft. Auf dem Tisch liegen nun aber zwei Vorschläge. Der Datenschutz im Bereich der Strafverfolgung ist Gegenstand eines separaten Richtlinienvorschlags, den der Europäische Datenschutzbeauftragte Peter Hustinx wegen des geringen Schutzniveaus schlicht als unangemessen bezeichnet hat. Das ist besonders bedenklich, handelt es sich doch um einen Bereich, der naturgemäß tiefgreifende Folgen für die Betroffenen haben kann. Von beiden Legislativvorschlägen unberührt bleibt die Datenverarbeitung durch Organe und Institutionen der EU, ebenso im Widerspruch zu den Forderungen des Parlaments. Derzeit wird dieser Bereich durch die Verordnung 45/2001 geregelt, deren Reformbedürftigkeit durchaus unbestritten ist. Es ist auch schwer einzusehen, warum die Datenverarbeitung, die etwa von Behörden in den Mitgliedstaaten durchgeführt wird, unter den Wirkungsbereich der neuen Verordnung fallen soll, die Datenverarbeitung durch die verschiedenen EU-Agenturen dagegen nicht. Das gilt umso mehr, wenn man bedenkt, dass die EU nicht nur als Arbeitgeber mehrer Zehntausend Beamter und Angestellter fungiert, sondern in der Mehrzahl der Fälle auch als deren Kranken- und Sozialversicherung. Daneben darf auch nicht vergessen werden, dass zum Beispiel mit FRONTEX oder Europol auch EU-Agenturen bestehen, deren Aktivitäten zumindest teilweise im Bereich der Strafverfolgung oder Kriminalitätsprävention liegen und die ihre gespeicherten Daten auch untereinander austauschen. Bei allen Schwächen der beiden Vorschläge hilft es indes nicht, auf Nachbesserungen durch die Kommission zu hoffen. Der Ball liegt jetzt ganz klar beim Europaparlament, wo sich nun der Ausschuss für Bürgerliche Freiheiten, Justiz und Inneres mit den Vorlagen befassen wird. Die beiden Berichte, die der Ausschuss dann verfasst, werden im Wesentlichen eine abgeänderte Fassung der Texte enthalten, die über Änderungsanträge und Kompromissverhandlungen im Prinzip gemeinsam erarbeitet wird. Nach dieser Phase stünde dann eigentlich die Abstimmung im Ausschuss mit folgender Abstimmung im Plenum an, womit das Parlament seine erste Lesung abschließen würde. Die resultierende Fassung des Textes könnte der Rat dann akzeptieren, womit die Verordnung angenommen wäre, oder eine eigene, abweichende Position beschließen, was eine zweite Lesung notwendig machen würde. Wahrscheinlicher ist es aber, dass ein anderes Prozedere zum Tragen kommt. Statt einer endgültigen Abstimmung wird der Innenausschuss eher nur eine vorläufige Probeabstimmung abhalten. Auf Grundlage der resultierenden vorläufigen Textfassung wird dann der sogenannte Trilog eingeleitet, dabei handelt es sich um Dreiecksverhandlungen, bei denen neben Parlamentsvertretern Vertreter von Kommission und Ministerrat an einem Tisch sitzen. Der Rat wird vorher ebenso wie das Parlament eine eigene Wunschversion der Texte erarbeitet haben. Gelingt es dann, sich in diesem Trilog auf eine gemeinsame Version zu einigen, kann auf dieser Grundlage der Ausschuss dann seine eigentliche Abstimmung nachholen, Parlamentsplenum und Rat dieselbe ausgehandelte Fassung beschließen und das Verfahren folglich noch in der ersten Lesung abschließen. Vorausgesetzt, dass sowohl das Parlament als auch der Rat ein Interesse an einer Neuregelung des Datenschutzes haben, können wir davon ausgehen, dass diese Verhandlungen irgendwann zu einem erfolgreichen Abschluss führen werden. Es ist klar, dass dieser Vorgang einige Zeit in Anspruch nehmen wird. 1415 vorratsdatenspeicherung Insbesondere in den entscheidenden Phasen, nämlich wenn die Fraktionen im Innenausschuss untereinander Kompromisse verhandeln werden und dann wieder während des Trilogs, wird übermäßige Eile sicher keine Vorteile bringen. Die Vorschläge sind von viel zu weitreichender Tragweite, um ohne Not irgendwelche Positionen aufzugeben, nur damit die Verhandlungen schneller abgeschlossen werden. Für den Fall, dass die Verhandlungen einmal wegen anscheinend unüberbrückbarer Differenzen stecken bleiben sollten, gilt zu bedenken: Das Europaparlament wird alle fünf Jahre neu gewählt, die Mehrheiten im Rat dagegen sind bei weitem nicht so konstant. Alexander Dix Vorratsdatenspeicherung widerspricht europäischen Grundrechten 1 Als das Bundesverfassungsgericht am 2. März 2010 die Regelungen zur anlassunabhängigen Speicherung von Tele kommuni kations verkehrs daten mit sofortiger Wirkung für verfassungswidrig erklärte, war das für manche Politiker ein Schock. Der frühere Berliner Innen senator Körting wies dagegen darauf hin, dass das Gericht die Vorratsdatenspeicherung nicht prinzipiell für verfassungswidrig erklärt habe; vielmehr habe es dem Gesetzgeber so präzise Vorgaben gemacht, dass jetzt jeder Rechtsreferendar in der Lage wäre, ein verfassungskonformes Gesetz zur Vorratsspeicherung zu entwerfen. Trotzdem ist bisher kein solches Gesetz in Deutschland verabschiedet worden, und das aus gutem Grund. Denn auch nach der Ent scheidung des Bundes verfassungs gerichts und nach dem Inkrafttreten der europäischen Richtlinie zur Vorratsdaten speicherung 2006/24 muss die Frage gestellt werden, ob wir die Vorratsdaten speicherung in Europa einführen können/wollen, und nicht nur, wie dies zu bewerkstelligen ist. Rechtliche Maßstäbe Die Antwort auf diese Grundfrage hängt davon ab, ob die Richtlinie von 2006 mit der Europäischen Grundrechte-Charta und der Europäischen Men schen rechtskonvention vereinbar ist. Diese Frage haben weder das Bundesverfassungsgericht noch der Gerichtshof der Europäischen Union in Luxemburg noch der Europäische Gerichtshof für Menschenrechte in Straßburg beantwortet. Das Bundes verfassungsgericht ist dieser Frage ausgewichen, weil es offenbar den Konflikt mit dem EuGH scheute (auf das gleichwohl wichtige Urteil vom komme ich noch zurück). Der Berichterstatter im 1. Senat, Johannes Masing, hat kürzlich in der Süddeutschen Zeitung die Gefahr heraufbeschworen, dass durch eine künftige Europäische Datenschutz verord nung der deutsche Grund rechts schutz und die Stellung des Bundes ver fassungs gerichts aus gehöhlt werden könnte. Diese Ge fahr besteht nicht erst bei Verab schiedung einer Daten schutz verordnung, sie bestand schon früher, etwa bei der Verabschiedung der Vorratsdaten richtlinie. Denn auch eine Richtlinie hat Vorrang vor den Grundrechts garantien des Grund gesetzes. Weder die Bundesregierung noch das Bundes verfassungsgericht (das das Recht auf informationelle Selbstbestimmung 1983 erfunden und die Bedeutung dieses Rechts bis heute immer wieder hervorgehoben hat) sind dieser Gefahr der Aushöhlung von Grundrechten durch das Unionsrecht zur Vorratsdatenspeicherung entschieden genug entgegengetreten. Der EuGH selbst hat zwar schon drei Mitgliedstaaten (Griechenland, Schweden und Österreich) wegen unter lassener Umsetzung der Vorratsdatenrichtlinie verurteilt (ohne bisher Sanktionen zu verhängen), dabei ist er aber nicht darauf eingegangen, ob diese Richtlinie gegen Unionsgrundrechte verstößt. Formal hatte er dazu auch keine Veranlassung, weil die Mitgliedstaaten auch solche Richtlinien umsetzen müssen, die gegen Grundrechte verstoßen, wenn sie es versäumt haben, rechtzeitig die Nichtigkeit der Richtlinie feststellen zu lassen (schwer erträglich). Auch betroffene Bürger hätten eine solche Nichtigkeitsklage gegen die Richtlinie erheben können, haben dies aber nicht innerhalb der vom Unionsrecht vorgegebenen Zweimonatsfrist getan hat. Soeben hat allerdings der irische High Court seine schon vor zwei Jahren gemachte Ankündigung wahr gemacht und die Frage der Vereinbarkeit der Vorratsdatenrichtlinie mit der Europäischen Grundrechte-Charta dem EuGH zur Entscheidung vorgelegt 2. Der Europäische Gerichtshof für Menschenrechte wiederum konnte über die Frage noch nicht entscheiden, weil er meines Wissens noch nicht angerufen wurde. Die Menschenrechtskonvention hat zwar in Deutschland nur den Rang eines einfachen Gesetzes. Dennoch dürfte ihre Bedeutung deutlich zunehmen, wenn die Europäische Union wie es der Vertrag von Lissabon (Art. 6 Abs.2 EUV) vorsieht der Konvention beitritt, und damit auch Rechtsakte der Union vom Menschenrechtsgerichtshof kontrolliert werden können. Schon jetzt sind nach diesem Vertrag die Grundrechte, wie sie in der Menschenrechtskonvention gewährleistet sind und wie sie sich aus den gemeinsamen Verfassungsüberlieferungen der Mitgliedstaaten ergeben, als allgemeine Grundsätze Teil des Unionsrechts (Art. 6 Abs. 3 EUV). 1516 vorratsdatenspeicherung Ich erinnere daran, dass der Europäische Menschenrechts gerichts hof gerade in letzter Zeit wiederholt etwa beim Per sön lichkeits rechts schutz und bei der Sicherungs ver wahrung die Recht sprechung des Bundes verfassungsgerichts korrigiert hat. Artikel 8 der Menschenrechts konvention garantiert jeder Person das Recht auf Achtung ihres Privatlebens und zählt dazu auch die Korrespondenz. Artikel 7 der Europäischen Grundrechte-Charta ist nahezu wortgleich formuliert, spricht aber zeitgemäßer von Kommunikation. Damit sind wie beim Fernmeldegeheimnis nicht nur der Inhalt der Kommunikation, sondern auch ihre Begleitumstände gemeint, also wer mit wem von wo aus kommuniziert hat. Gerade diese Begleitumstände sollen nach der Vorratsdaten-Richtlinie anlassun abhängig und ohne Verdachtsmomente mindestens für ein halbes Jahr gespeichert werden. Auch die Europäische Menschenrechtskonvention lässt allerdings Eingriffe in den Schutz des Privatlebens und der Kommunikation ausnahmsweise dann zu, wenn sie in einer demokratischen Gesellschaft notwendig für bestimmte Zwecke sind. Der Europäische Gerichtshof für Menschenrechte hat diese Formulierung stets sehr restriktiv im Sinne eines dringenden gesellschaftlichen Bedürfnisses (pressing social need) interpretiert; zudem müssten einschränkende Maßnahmen verhältnismäßig bezogen auf das verfolgte Ziel sein. In seiner Abhörentscheidung (Fall Klass u.a. gegen Deutschland) hat der Gerichtshof 1978 formuliert: Gleichwohl unterstreicht der Gerichts hof, dass dies nicht bedeutet, die Vertragsstaaten hätten ein unbegrenztes Ermessen, Personen innerhalb ihres Hoheitsbereichs geheimer Überwachung zu unterwerfen. Im Bewusstsein der Gefahr, die ein solches Gesetz in sich birgt, nämlich die Demokratie mit der Begründung, sie zu verteidigen, zu untergraben oder sogar zu zerstören, bekräftigt der Gerichtshof, dass die Vertragsstaaten nicht im Namen des Kampfes gegen Spionage und Terrorismus zu jedweder Maßnahme greifen dürfen, die ihnen geeignet erscheint. Zwar ging es im Fall Klass anders als bei der Vorrats daten speicherung um eine heimliche Über wachung der Kommuni kations inhalte durch Abhörmaß nahmen der Nach richten dienste. Das Bun des verfassungs gericht hat aber betont, dass der Rück griff auf Verkehrs- (Rand- oder Meta-) daten der Telekommu ni kation nicht weniger schwer wiegt als eine Über wachung der Telekommu ni kations inhalte. Denn sie erlauben tief in das Privat leben ein dringende Rück schlüsse und er mög lichen unter Um ständen detaillier te Persön lichkeitsund Bewegungs profile. Anderer seits waren und sind Ab hör maß nahmen nur bei Vor liegen bestimm ter Voraussetzungen im Ein zel fall zu lässig, nicht aber routine mäßig und auf Vorrat. Die Vereinbarkeit der Vorratsdaten- Richtlinie mit der Europäischen Menschen rechts konven tion und damit auch der Grund rechte-charta der Europäischen Union hängt deshalb von der Frage ab, ob eine verdachtsunabhängige, anlass lose Speicherung sämtlicher Tele kommuni kations verkehrs daten in einer demo kratischen Gesell schaft zwingend notwendig ist. Auf ihre unbestrittene Nützlichkeit für die Kriminalitätsbekämpfung (die niemand bestreitet) kommt es in diesem Zusammenhang auch nach Auffassung des Bundesverfassungsgerichts nicht an, sie rechtfertigt keine so weitreichenden Eingriffe in die Grundrechte. Zwingend notwendig in einer demokratischen Gesellschaft? Die verdachtsunabhängige Speicherung aller Tele kommuni kations verkehrsdaten ist in einer demokratischen Gesellschaft nicht zwingend notwendig. Darüber hinaus birgt sie auch neue, zusätzliche Sicherheitsrisiken. Dass die Vorratsdatenspeicherung keine notwendige Voraussetzung für die Bekämpfung schwerer Straftaten wie Terroris mus und organi sierter Kriminalität ist, hätte dem europäischen Gesetz geber schon bei Verab schiedung der Richt linie von 2006 klar sein müssen: die überlebenden Urheber sowohl der Terroranschläge in London als auch in Madrid wurden zur Rechenschaft gezogen, obwohl es in beiden Staaten damals noch keine Vorratsspeicherpflicht gab. Es gibt zum einen gegenwärtig keine öffentlich überprüfbaren Belege dafür, dass die Bekämpfung von Straftaten seit dem 2. März 2010 erkennbar erschwert worden wäre 3. Wenig überzeugend sind auch aktuelle Versuche, die Bekämpfung des Rechtsterrorismus als Beleg für die Notwendigkeit der Vorratsdatenspeicherung anzuführen. Geradezu grotesk mutet es an, wenn vereinzelt sogar das Fehlen der Vorratsspeicherung als Erklärung oder Entschul digung für das Ver sagen der Sicherheits behörden bei der Verfol gung des Natio nal sozialistischen Unter grunds heran gezogen wird. Wenn Ver fassungsschutz und Polizei zehn Jahre lang zahlreiche Morde aus Gründen nicht aufklären können, die noch zu beleuchten sein werden, dann hätte eine sechs monatige Speicherung von Tele kommunikationsverkehrsdaten nichts genutzt. Wenn aber die Vorratsspeicherung solcher Daten generell als Mittel zur Reparatur von Versäumnissen der Sicherheitsbehörden in einer wie lange auch immer zurückliegenden Vergangenheit herhalten sollen, dann müssten alle Verkehrsdaten unbefristet gespeichert werden. Noch ist ein solcher Vorschlag nicht gemacht worden. Schließlich hat auch die Europäische Kommission selbst offenbar mittlerweile Zweifel, ob die Vorratsspeicherung zwingend notwendig ist. Im Rahmen der laufenden Konsultation zur Reform der Vorratsdaten-Richtlinie hat sie in ihrem Bericht vom Dezember 2011 festgestellt, dass es nach wie vor kaum belastbare Nachweise für die Notwendigkeit der Vorratsspeicherung gibt. Die Mitgliedstaaten würden lediglich die Wichtigkeit dieser Daten verbal betonen, ohne Alternativen wie das Quick-Freeze-Verfahren zu prüfen. Nur 11 von 27 Mitgliedstaaten hätten Daten geliefert, die einen Mehrwert der Vorratsdatenspeicherung nahelegten. Auch sei unklar, ob Verkehrsdaten nicht auch ohne Pflicht zur Bevorratung in ausreichendem Umfang vorhanden seien. Zuletzt gab es auch in Deutschland Hinweise darauf, dass Netzbetreiber schon gegenwärtig Verkehrsdaten länger vorhalten als für Abrechnungszwecke erforderlich. Dem geht gegenwärtig die Bundesnetzagentur nach. Die Kommission kritisiert, dass es keine Übersicht darüber gebe, welchen Effekt genutzte Verkehrsdaten in Ermittlungen 1617 vorratsdatenspeicherung und Verfahren gehabt hätten. Der Katalog der Straftaten werde in den Mitgliedstaaten uneinheitlich umgesetzt und es gebe bereits Forderungen, die Vorratsdaten auch zur Verfolgung von Urheberrechtsverstößen nutzbar zu machen. Die deutschen Sicherheitsbehörden (hier: das Bundeskriminalamt) haben in einer Auflistung der Beispielsfälle, in denen Mindestspeicherfristen notwendig wären, auch Trickbetrügereien am Telefon genannt. Hier wird die Gefahr der schleichenden Zweck entfremdung, des function creep, deutlich. Diese Gefahr ist wie der neueste Kommissionsbericht belegt nicht gebannt. Der ursprüngliche Anlass für den europäischen Gesetzgeber, nämlich terroristische Anschläge, gerät damit ebenso aus dem Blick wie die Aussage des Bundesverfassungsgerichts, das eine Zweckentfremdung der Vorratsdaten ausschließen wollte. Aber selbst das Verfassungsgericht hat die Nutzung von auf Vorrat gespeicherten IP- Adressen zur Verfolgung gewichtiger Ordnungswidrigkeiten für verfassungskonform gehalten. Die EU-Kommission hat angekündigt, bis Juli 2012 einen Vorschlag für eine geänderte Vorratsdaten-Richtlinie vorzulegen, der auch grundrechtsschonendere Alternativen berücksichtigen soll. Ich halte es für unwahrscheinlich, dass die Kommission vor diesem Zeitpunkt gegen die Mitgliedstaaten Sanktionen beantragen wird, die die alte Richtlinie noch nicht umgesetzt haben. Es würde dem Rechtsgrundsatz des venire contra factum proprium widersprechen. Diese Feststellungen zeigen aber zugleich, dass die gegen wärtige Richtlinie nicht die engen Voraus setzungen der Euro päischen Menschen rechtskonvention für Eingriffe in das Kommuni kations geheimnis erfüllt: die anlass un ab hängige Speicherung der Ver kehrs daten ist nicht zwingend erfor der lich in einer de mo kratischen Gesellschaft. Deshalb ist die Bundesregierung gut beraten, keinen Vorschlag zur Umsetzung der nicht grund rechtskonformen Vorratsdaten-Richtlinie zu machen, zumindest aber den Vorschlag der Kommission für eine geänderte Richtlinie abzuwarten. Diese Auffassung wird auch durch eine Entscheidung des EGMR aus dem Jahr 2008 gestützt. Darin hat der Gerichtshof die Befugnis britischer Behörden beanstandet, pauschal und unterschiedslos Fingerabdrücke, Zellproben und DNA-Profile von verdächtigen, aber noch keiner Straftat schuldig gesprochenen Personen aufzubewahren. Wenn eine solche undifferenzierte Befugnis zur Sammlung von Daten schon bei verdächtigen Personen der Menschenrechtskonvention widerspricht, gilt dies erst recht bei Telekommunikationsteilnehmern, die in der großen Mehrzahl unverdächtig sind. Neue Sicherheitsrisiken durch Vor ratsspeicherung Die Vorratsdatenspeicherung widerspricht aber nicht nur europäischen Grundrechtsstandards, sie führt auch zu neuen Sicherheitsrisiken. In der mündlichen Verhandlung zur Vorrats datenspeicherung beim Bundes verfassungsgericht hat der zu früh verstorbene Andreas Pfitzmann dies anschaulich verdeutlicht, indem er eine daumennagelgroße Micro-SD-Speicherkarte im Wasserglas des anwesenden BKA- Präsidenten versenkte. Er wollte damit dem Gericht verdeutlichen, dass die bei der Vorratsspeicherung entstehenden riesigen Mengen an Verkehrsdaten sich auch mit noch so großem Aufwand nicht zuverlässig gegen unberechtigte Zugriffe sichern lassen. Ein Insider kann große Mengen solcher Daten auf kleine Speichermedien kopieren, um sie zu verschlucken und unerkannt aus Rechenzentrum eines Providers herausbringen. Solche Speichermedien sind nicht nur wasserfest, sondern auch unempfindlich gegen Magensäure. Dieses Beispiel mag skurril anmuten, aber es illustriert, dass eine Verpflichtung zur Speicherung sämtlicher Verkehrsdaten für einen bestimmten Zeitraum unkontrollierbare Risiken für die Datensicherheit auslösen würde, die bisher nicht bestanden. Während der Sicherheitsgewinn durch Vorratsspeicherung mehr als zweifelhaft ist, müssen solche Risiken ernst genommen werden. Denn nicht jeder Hacker hat so ehrenwerte Motive wie der Chaos Computer Club bei der Enttarnung des Staatstrojaners. Ich will noch auf eine andere, weitergehende Gefahr hinweisen, die die Vorratsdatenspeicherung birgt: Wenn auf Anweisung des Staates sämtliche Verkehrsdaten zur Telekommunikation jedes Menschen für einen bestimmten Zeitraum (ganz gleich wie lang) auf Vorrat gespeichert wird, um terroristische oder andere Straftaten besser bekämpfen zu können, dann wird in der Bevölkerung die Illusion genährt, jetzt vor solchen Straftaten endgültig sicher zu sein. In dem wahrscheinlichen Fall, dass diese Erwartung enttäuscht wird und auch durch die Vorratsdatenspeicherung Terroranschläge nicht verhindert werden können (z.b. weil die Sicherheitsbehörden in dem Heuhaufen von Millionen Verkehrsdatensätzen den entscheidenden Hinweis, die Nadel nicht rechtzeitig finden, dann droht eine tiefe Legitimationskrise der Sicherheitsbehörden und des Staates insgesamt, weil die Menschen wissen wollen, warum die Vorratsdatenspeicherung, die so lange als Wunderwaffe angepriesen wurde, nicht genützt hat. Überwachungs gesamtrechnung Schließlich ist an eine Schlüsselpassage in dem Urteil des Bundesverfassungsgerichts vom 2. März 2010 zu erinnern, in der das Gericht wörtlich ausführt: Die Einführung der Telek ommunikations verkehrs daten speicherung kann damit nicht als Vorbild für die Schaffung wei terer vor sorglich anlass loser Datensammlungen dienen, sondern zwingt den Gesetz geber bei der Er wägung neuer Speiche rungs pflichten oder berechtigungen im Blick auf die Gesamt heit der verschiedenen schon vorhandenen Daten sammlungen zu größerer Zurück haltung. Dass die Freiheits wahrnehmung der Bürger nicht total erfasst und registriert werden darf, gehört zur verfassungsrechtlichen Identität der Bundesrepublik Deutschland, für deren Wahrung sich die Bundesrepublik in europäischen und internationalen Zusammenhängen einsetzen muss. Durch eine vorsorgliche Speicherung der Telekommunikationsverkehrsdaten wird der Spielraum für weitere anlasslose Datensammlungen auch über den 1718 Facebook Weg der Europäischen Union erheblich geringer (Rz. 218). Mit dem Topos der Überwachungsgesamtrechnung hat das Bundes verfassungsgericht eine rote Linie formuliert, ohne allerdings genau zu sagen, wann sie überschritten wird. Zweierlei wird man aber sagen können: Zum einen muss sich die Bundesregierung, wenn sie die bisherige Vorrats datenrichtlinie in nationales Recht umsetzen wollte, auch auf europäischer Ebene gegen weitere Vorhaben zur anlass unabhängigen Datenspeicherung aussprechen. Es reicht deshalb nicht aus, dass der Bundesinnenminister sich im Europäischen Rat der Stimme enthält, wenn über den Vorschlag der Kommission über eine Speicherung und Übermittlung von Fluggastdaten auf Vorrat in die USA abgestimmt wird. Er war verfassungsrechtlich verpflichtet, gegen eine solche Maßnahme zu stimmen. Ob dieser Vorschlag die notwendige Zustimmung des Europäischen Parlaments finden wird, ist gegenwärtig offen. Zum anderen gilt: Wenn der europäische Gesetzgeber die Fluggast datenspeicherung anordnet, ohne im Bereich der Telekommunikationsverkehrsdaten den Mitgliedstaaten mehr Spielraum (z.b. für Quick Freeze) zu eröffnen, dann spätestens ist die rote Linie endgültig überschritten, die das Bundesverfassungsgericht beschrieben hat. Aber selbst wenn das Europäische Parlament, was zu wünschen wäre, der Fluggastdatenspeicherung eine Absage erteilen würde, muss auch die anlassunabhängige Speicherung von Telekommunikationsverkehrsdaten unterbleiben. Ein Kompensationsgeschäft darf es nicht geben. Der frühere, für Inneres und Justiz zuständige EU-Kommissar Frattini (später Außenminister im Kabinett Berlusconi) sagte in einem Interview 2008, er sei verrückt nach Sicherheit. 3 Ich hoffe sehr, dass sowohl auf europäischer wie auch auf deutscher Ebene jetzt wieder Besonnenheit und Augenmaß Einzug halten, wenn es um die Balance zwischen Freiheit und Sicherheit geht. 1 Überarbeitete Fassung des beim 6. Europäischen Datenschutztag am in Berlin gehaltenen Impulsreferats 2 Vgl. 3 Das ergibt sich auch aus dem Gutachten des Max-Planck-Instituts für ausländisches und internationales Strafrecht Keine Schutzlücken durch Wegfall der Vorratsdatenspeicherung v Der Spiegel 11/2008 v Thilo Weichert Verantwortlichkeit für Facebook-Fanpages Zugleich eine parteiische Besprechung von Schulz/Schliesky (Hrsg.), Transparenz, Partizipation, Kollaboration Web 2.0 für die öffentliche Verwaltung, I. Verzweiflung Für jemanden, für den Datenschutz, demokratische Verantwortlichkeit und Rechtsstaatlichkeit ein Anliegen ist, ist die Situation fast zum Verzweifeln: Da verstößt der US-Anbieter des weltweit größten Sozialen Netzwerks gegen gesetzliche Regelungen des europäischen und deutschen Datenschutzes, und es scheint gegen dessen Nutzung in Deutschland kein rechtliches Kraut gewachsen zu sein. Wir reden hier über Facebook und die Nutzung von seinen Fanpages sowie Social Plugins wie z. B. dem Gefällt mir -Button. Facebook ist exemplarisch für die Verzweiflung; viele andere Anbieter, allen voran Google+, sind nicht viel besser; deutsche Anbieter, die sich bemühen, die Datenschutzbestimmungen zu beachten, werden vom Markt verdrängt. II. Politisch-wirtschaftliche Erwägungen Diese Verzweiflung wird dadurch gesteigert, dass fast alle politischen Kräfte gegen diesen massiven fortgesetzten Rechtsverstoß nichts unternehmen und dass private Anbieter in realistischer Abwägung der Möglichkeiten und Risiken von der Nutzung dieser Fanpages und Social Plugins nicht ablassen 1. Dass viele politische Kräfte nichts unternehmen, mag dem Umstand zuzuschreiben sein, dass viele der Menschen, Parteien und Organisationen in der Politik zwecks potenziellen Erreichens einer jugendlichen Wählerschaft solche Fanpages selbst betreiben. Dass private Anbieter selbst in Schleswig- Holstein sich bei der Nutzung von Facebook, Google+ & Co. recht entspannt zurücklehnen, ist der realistischen Einschätzung zuzuschreiben, dass das ULD noch etwas anderes zu tun hat, als hunderte Untersagungsverfügungen zu versenden 2. Dies wird auch von den Regierungsfraktionen des Landes kommuniziert in der wohl irrigen Annahme, damit den Wirtschaftsstandort zwischen den Meeren zu verteidigen 3. Nicht nur die Parlamentarier einiger Parteien verhalten sich abweisend gegenüber dem ULD-Vorgehen gegen die Facebook-Nutzung. Die Unwilligkeit, Datenschutzregeln zu beachten wird dadurch gefördert, dass die eigene Industrie- und Handelskammer (IHK) und der eigene Ministerpräsident selbst den Rechtsverstoß begehen. Nun werden keine IHK und kein deutscher Ministerpräsident öffentlich und explizit zum Rechtsverstoß aufrufen oder ermuntern. Sie wollen auch nicht als schlechtes Beispiel und Vorbild vor- 1819 Facebook angehen. Deshalb wird eine bisher eher unjuristisch vorgetragene Argumentation präsentiert, die letztlich diesen Rechtsverstoß decken soll: Dass der US-Anbieter gegen deutsches Recht verstößt, ist zwar evident, doch wäre es vermessen, von einem globalen Player zu erwarten, dass er schleswig-holsteinisches Recht beachtet (selbst wenn er Daten von Schleswig-Holsteinern verarbeitet). Weiter wird vorgetragen: Wir sind nicht für das verantwortlich, was der US-Anbieter macht, wir nutzen nur dessen Angebot. Und letztlich: Dass wir das Angebot nutzen, kann uns niemand vorwerfen, machen es doch viele andere auch. Besser noch: Das Verbieten des Nutzens eines illegalen Angebots wäre und das ist in einer Marktwirtschaft ein schwerwiegender Vorwurf eine Wettbewerbsverzerrung. III. Die juristische Argumentation Die Diskussion um Facebook in Schleswig-Holstein bringt uns eine juristische Überhöhung dieser wirtschaftlich-politischen Argumente. Das Glanzstück liefert insofern jetzt das Lorenz-von-Stein-Institut der Christian- Albrechts-Universität zu Kiel (CAU) mit seinem neuen Buch Transparenz, Partizipation, Kollaboration Web 2.0 für die öffentliche Verwaltung 4. In einer gemeinsamen Medieninformation der CAU mit der IHK zu Kiel wird darin unter der Überschrift Bahn frei für Web 2.0 in Schleswig-Holstein geworben u. a. mit folgenden Zitaten: Damit widerlegen wir die Auffassung des Unabhängigen Landeszentrums für Datenschutz, wonach der Betrieb so genannter Fanpages gegen deutsches Datenschutzrecht verstößt und Ein wichtiges Signal für Unternehmen in Schleswig-Holstein: Es geht eben doch 5. Ich habe das Lorenz-von-Stein- Institut bisher immer als eine juristisch seriös argumentierende Einrichtung angesehen. Dass der Klappentext für das neue Buch allzu sehr im Interesse des Kooperationspartners IHK ausfällt, muss wohl als medialer Ausrutscher hingenommen werden. Der Blick ins Buch selbst offenbart, dass die Autoren dem ULD in vieler Hinsicht vielleicht unfreiwillig Recht geben und nur mit einigen rechtlichen Verrenkungen zum gewünschten Ergebnis kommen. Die Hauptargumentation von Facebook ist, dass die Mitglieder mit ihrer Teilnahme der Datenverarbeitung des Unternehmens in den USA zugestimmt hätten. Die Autoren meinen nun, dass diese Einwilligung den deutschen Datenschutzvorschriften nicht gänzlich genügen mag (S. 189), so als gäbe es im Recht die Kategorie nur ein bisschen unzulässig. Dass bei dem Facebook- Angebot gegen Telemedienrecht verstoßen wird, wird zwar nicht ausführlich geprüft, aber stillschweigend konzediert (S. 180 f.). IV. Krude Verantwortungsethik Der Versuch, die Verantwortung für die illegale Datenverarbeitung von Facebook abzustreifen, erfolgt über mehrere Schritte. Zunächst wird korrekt bestätigt, dass der Fanpage-Betreiber telemedienrechtlich für sein Tun verantwortlich ist. Dies könne auf den Datenschutz nicht voll übertragen werden, denn: Er kann lediglich entscheiden, einen Facebook-Account zu eröffnen, um hierüber eine Fanseite zu erstellen, oder dies zu unterlassen. Weitergehende Entscheidungsmöglichkeiten hat er nicht (S. 182). Entsprechend könnte man auch argumentieren: Mache ich mich also zum Komplize eines bösen Buben und kann ich den bösen Buben von seinem bösen Tun nicht abbringen, dann kann ich Komplize bleiben und meine Hände in Unschuld waschen. Es kommt noch besser nach dem Motto: Wir haben von all dem nichts gewusst: Des Weiteren wird dem Fanseiten-Betreiber das Ausmaß und der Umfang der Datenerhebung und -verarbeitung nur unzureichend bekannt sein (S. 182). Der Fanseiten-Betreiber weiß grundsätzlich nur so viel über die Datenerhebung, wie Facebook ihm offenbart (S. 184). Zwar dürften die ausführlichen Geschäftsbedingungen von Facebook den Betreibern zugänglich sein; auch die umfassenden Analysen der Datenschutzbehörden und des ULD dürften zumindest den Behörden und größeren kommerziellen Anbietern in Schleswig-Holstein bekannt sein. Statt nun die Finger vom Unbekannten zu lassen, erklärt man sich bei dessen Nutzung einfach für unverantwortlich. Dies ist nicht nur rechtlich falsch, sondern Ausdruck einer in letzter Konsequenz grausamen Verantwortungsethik. Es wird noch besser: Schuld sind eigentlich die Nutzer: Letztlich haben sich alle Nutzer freiwillig angemeldet und tolerieren daher die Datenerhebung von Facebook. Dieser Einwilligung muss zumindest eine gewisse Teillegitimation, wenn auch nicht zwingend gegenüber Facebook, dann jedoch gegenüber den ebenfalls bei Facebook präsenten öffentlichen und nichtöffentlichen Stellen zukommen (S. 189). Also: Die schlecht informierten Betreiber sind nicht verantwortlich, wohl aber die in der Regel noch schlechter informierten Nutzer. Ob das so richtig sein kann? V. Verhältnismäßigkeit statt Gesetzesvorbehalt Die Autoren bestreiten nicht, dass personenbezogene Daten durch Facebook (am Maßstab deutschen Datenschutzrechts gemessen in unzulässiger Weise) erhoben und verarbeitet werden (S. 187). Geleugnet wird auch 1920 Facebook nicht die Rechtsbindung der deutschen Verwaltung aus Art. 20 Abs. 3 GG und der Schutzverpflichtung gegenüber den Persönlichkeitsrechten der Nutzer (S. 187). Doch dann behaupten sie, mangels gesetzlicher Rege lungen (S. 187) müsse eine Abwägung von Risiko und Nutzen (S. 188) erfolgen. Es gäbe auf dieser Ebene keine Schwarz-Weiß- Sicht bzw. -Lösung (im Sinne des ULD und eine (vermeintlich) klare Rechtslage (S. 187). Dies verwundert, haben wir doch in Deutschland und Europa ein umfassendes Datenschutzrecht. Doch gibt es eine Erklärung: Das deutsche Datenschutzrecht ist nicht auf derartige neue Technologien ausgerichtet und wird so der Funktionsweise des Internet nicht mehr gerecht (S. 189). Auch wenn das zutrifft, so sollte man sich die bestehenden geltenden Regelungen doch genauer anschauen und nicht gleich das ganze Recht über Bord werfen. Hat sich die Argumentation derart von einer Gesetzesbindung gelöst, muss nur noch abgewogen werden: Der immense Nutzen, den eine Facebook-Fanseite hat, darf jedoch nicht außer Betracht gelassen werden. Facebook ist das weltgrößte Internetnetzwerk und bietet deshalb eine sehr große Community Durch eine Facebook-Präsenz können daher (mit geringem Aufwand) mehr Menschen erreicht werden als mit einer herkömmlichen Internetpräsenz (S. 188). Gerade jüngere Generationen ( Digital Natives ) nutzen Facebook nahezu flächendeckend und regelmäßig, sodass diese Gruppe über Facebook besonders angesprochen werden kann (S. 189). Erstaunlich ist, dass von den Autoren die Datenschutzverstöße von Facebook nicht explizit benannt, geschweige denn analysiert werden, so dass auch die Risiken für die Betroffenen nicht seriös abgewogen werden können. Vielmehr wird die Relevanz der Facebook-Präsenz heruntergespielt: Hinzuweisen ist zudem darauf, dass es sich bei der Öffentlichkeits- und Informationstätigkeit überwiegend um eine freiwillige Aufgabe der öffentlichen Verwaltung handelt mit der Folge, dass die Verlagerung auf andere Medien weitaus unkritischer sein dürfte als z. B. ausschließlich elektronisch durchführbare Verwaltungsverfahren (S. 190). VI. Wie geht es weiter? Eine Alternative zur Nutzung von Facebook, Google+ & Co. wird von den Autoren benannt: So wäre der Staat gezwungen, eigene nationale Tools aufzubauen oder zu subventionieren (S. 185). Aber das ist nicht deren Ziel. Wohl muss Folgendes gelten: Bei allen informationstechnischen Systemen, die staatliche Stellen einsetzen, müssen diese kontrollieren und nachvollziehen können, dass das Datenschutzrecht eingehalten wird. Die Autoren erweisen ihren Auftraggebern einen Bärendienst und tun dem Datenschutz unfreiwillig einen Gefallen, indem sie ihre eigenen rechtlichen Argumente ad absurdum führen, so dass sich die Richtigkeit der Argumente der Datenschutzbehörden aufdrängt. Jedenfalls kann von einem Widerlegen der Auffassung des ULD keine Rede sein. Zu hoffen ist nun auf das von den Staatskanzleien der Länder in Auftrag gegebene und schon für den Dezember 2011 angekündigte Gutachten der Innenministerkonferenz. Nach Mit teilung des Landes innenministeriums im Innenund Rechts ausschuss des Schleswig- Holsteinischen Landtags am liegt ein Entwurf dieses Gut achtens vor und wird hoffentlich nach einer Abstimmung zwischen den Ländern zeitnah veröffentlicht. Zu hoffen ist weiterhin, dass dieses Gutachten zum gleichen Ergebnis kommt wie sämtliche Datenschutzbeauftragten des Bundes und der Länder, die die Position des ULD bestätigten 6. Sollte dies nicht der Fall sein, so besteht noch die Hoffnung auf die Verwaltungsgerichtsbarkeit. Inzwischen liegen zwei Anfechtungsklagen gegen Untersagungsverfügungen des ULD vor, eine davon der Wirtschaftsakademie der IHK; leider liegen dem ULD bis heute keine Klagebegründungen vor. Da der mehrstufige Instanzenzug im Verwaltungsrechtsweg lange dauern kann, ist eine endgültige verbindliche Entscheidung aber auch hier nicht schnell zu erwarten. Also: Die Verzweiflung hält weiter an. Doch: Die Diskussion geht in die nächsten Runden. Die europäischen Datenschutzbehörden befassen sich intensiv mit den Themen. Und die Europäische Kommission hat mit ihrem Vorschlag für eine Datenschutz- Grundordnung vom den Grundstein für ein einheitliches Datenschutzrecht in Europa gelegt, das den technischen Gegebenheiten des Internet und von Sozialen Netzwerken besser gerecht wird 7. Wäre diese Grundverordnung schon in Kraft, so gäbe es wirksame Instrumente zum Datenschutz bei Sozialen Netzwerken; die Rechtswidrigkeit der Angebote von Facebook, Google+ & Co. könnte auch durch Stellen in Schleswig-Holstein nicht mehr bestritten werden. 1 Es muss ausdrücklich darauf hingewiesen werden, dass die Landesverbände sowohl von Bündnis 90/Die Grünen als auch der Piratenpartei aus Datenschutzgründen keine Facebook-Fanpage betreiben, vgl. Wacker, grune-werden-mit-facebook-nicht-grunfacebook-fanpage-soll-geloscht-werden/. 2 Presseerklärung des ULD vom , https://www.datenschutzzentrum.de/presse/ facebook-duesseldorfer-kreis.htm. 3 Gemeinsame Pressemitteilung CDUund FDP-Landtagsfraktion vom , presseticker/ /06/ b/. 4 Hrsg. Utz Schliesky/Sönke Schulz, ISBN , 39,00 Euro. 5 Presseinformation 47/2012 der CAU vom , 6 Beschluss der obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich (Düsseldorfer Kreis) vom 08. Dezember 2011, https://www.daten- schutzzentrum.de/internet/ DK-B-Soziale-Netzwerke.html. 7 Europäische Kommission vom , KOM(2012)9 endgültig, Der Schutz der Privatsphäre in einer vernetzten Welt Ein europäischer Datenschutzrahmen für das 21. Jahrhundert. 20 Mehr anzeigen
Ein neuer EU- Datenschutzrahmen Vorschlag der Europäischen Kommission für eine Neuordnung des Datenschutzes Dr. Eckhard Riedl Wien, 6. März 2012 Beirat für Informationsgesellschaft eckhard.riedl@bka.gv.at Mehr 1 Rechtliche und steuerrechtliche Betrachtung... 2 1.1 Der Entwurf der EU-Kommission zu einer einheitlichen europäischen Datenschutzverordnung...
1 Rechtliche und steuerrechtliche Betrachtung... 2 1.1 Der Entwurf der EU-Kommission zu einer einheitlichen europäischen Datenschutzverordnung... 2 1.1.1 Rechtsnatur und Anwendungsbereich der neuer EU- Mehr Gesamtkonzept für den Datenschutz in der Europäischen Union Mitteilung der Kommission vom 04. November 2010 - KOM (2010) 609
Stellungnahme Gesamtkonzept für den Datenschutz in der Europäischen Union Mitteilung der Kommission vom 04. November 2010 - KOM (2010) 609 Die vbw Vereinigung der Bayerischen Wirtschaft e. V. ist die zentrale Mehr EU-DS-GVO: Folgen für die Wirtschaft. Die Europäische Datenschutz-Grundverordnung und ihre Folgen für die Wirtschaft
Die Europäische Datenschutz-Grundverordnung und ihre Folgen für die Wirtschaft RA Andreas Jaspers Geschäftsführer der Gesellschaft für Datenschutz und Datensicherheit (GDD) e.v. Seite 2 Inhalt: Folgen Mehr 17 HmbDSG - Übermittlung an Stellen außerhalb der Bundesrepublik Deutschland
Rechtsvorschriften im Bereich Datenschutz und Privatsphäre Auswirkungen auf Unternehmen und Verbraucher Podiumsdiskussion 1 Wie sich der Ansatz in Bezug auf die Privatsphäre entwickelt: die Visionen der Mehr Datenschutzrecht im Digitalen Binnenmarkt. 16. Salzburger Telekom-Forum 27. August 2015
Datenschutz und Datensicherheit in kleinen und mittelständischen Unternehmen Die neue EU-Datenschutzgrundverordnung Landshut 19.03.2013 Inhalt Hintergrund: Von der Datenschutz-Richtline zur Datenschutz-Verordnung Mehr Der Europäische Datenschutzbeauftragte
Der Europäische Datenschutzbeauftragte Peter Hustinx Europäischer Datenschutzbeauftragter Joaquín Bayo Delgado Stellvertretender Datenschutzbeauftragter Eine wachsende Zahl von Tätigkeiten der Europäischen Mehr Konzepte der Selbstkontrolle der Industrie
EuGH Urteil: Safe-Harbour gewährt kein angemessenes Datenschutz Niveau. Heute hat der EuGH in der Rechtssache C-362/14 (Maximillian Schrems gegen die irische Datenschutz- Aufsichtsbehörde) eine weitreichende Mehr Das Facebook Urteil des EuGH EuGH, Ut. v. 06.10.2015, Rs. C-352/14 (Schrems)
Das Facebook Urteil des EuGH EuGH, Ut. v. 06.10.2015, Rs. C-352/14 (Schrems) Vortrag zum öffentlich-rechtlichen Kolloquium der Fakultät III der Universität Bayreuth am 03.11.2015 Prof. Dr. Heinrich Amadeus Mehr Dr. Eva Souhrada-Kirchmayer. 27. Mai 2011. Status Quo
Strategie der EU-Kommission über den künftigen Datenschutz Dr. Eva Souhrada-Kirchmayer 27. Mai 2011 Status Quo Europarats-Konvention ETS 108 aus 1981 EU-Grundrechtecharta (verbindlich seit VvL) Richtlinie Mehr Vorschlag einer europäischen Datenschutzverordnung aus Sicht der Beschäftigten
Vorschlag einer europäischen Datenschutzverordnung aus Sicht der Beschäftigten Interparlamentarisches Ausschuss- Treffen zum Datenschutz im Europäischen Parlament in Brüssel, 9./10.10.2012 1 Wichtigste Mehr Inhalt. Datenschutz ist Grundrechtsschutz 4. Wessen Daten werden geschützt? 5. Wer muss den Datenschutz beachten? 6
Stabsstelle Recht / R16 05.01.2015 Datenschutzbeauftragter 42838-2957 Hamburgisches Datenschutzgesetz (HmbDSG) mit Kommentierung des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit Mehr Baden-Württemberg. INNENMINISTERIUM - Aufsichtsbehörde für den Datenschutz im nichtöffentlichen Bereich -
Dr. Thomas Petri Einführung in die Datenerfassung und in den Datenschutz Hochschule für Politik, Sommersemester 2011, Foliensatz 2-2 bis 2-4 (1.6.2011) 1 Grobübersicht 1. Einführung, europa- und verfassungsrechtliche Mehr Man kommt schlecht weg, wenn man mit einem Mächtigen ein Geheimnis zu teilen hat.
Datenschutzrechtliche Vereinbarung nach 11 BDSG zur Verarbeitung personenbezogener Daten Auftraggeber: Auftragnehmer: 1. Gegenstand der Vereinbarung Der Auftragnehmer erhebt / verarbeitet / nutzt personenbezogene Mehr ARTIKEL-29-DATENSCHUTZGRUPPE
ARTIKEL-29-DATENSCHUTZGRUPPE 12110/04/DE WP 102 Muster-Checkliste Antrag auf Genehmigung verbindlicher Unternehmensregelungen angenommen am 25. November 2004 Die Gruppe ist gemäß Artikel 29 der Richtlinie Mehr Arbeitszeit, Arbeitsschutz, Datensicherheit: Braucht unser Arbeitsrecht ein Update? Tagung KAS/Bertelsmann-Stiftung 28.9.2015
Arbeitszeit, Arbeitsschutz, Datensicherheit: Braucht unser Arbeitsrecht ein Update? Tagung KAS/Bertelsmann-Stiftung 28.9.2015 Prof. Dr. Gregor Thüsing, LL.M. (Harvard) Instituts für Arbeitsrecht und Recht Mehr Das Grundrecht auf Datenschutz im Europarecht Wirkungen und Problemfelder. Ao. Univ.-Prof. Dr. Alina-Maria Lengauer, LLM
Das Grundrecht auf Datenschutz im Europarecht Wirkungen und Problemfelder Ao. Univ.-Prof. Dr. Alina-Maria Lengauer, LLM Das Grundrecht auf Datenschutz im Europarecht 1. Zur Genese des Grundrechtes auf Mehr EUpdate #4: Datenschutz
EUpdate #4: Datenschutz Neue Datenschutzreform für Europa: Was bringt sie? Wann tritt die Datenschutz- Verordnung in Kraft? Was macht das Europaparlament? Das EUpdate fasst einige wichtige Punkte rund Mehr Der Datenschutzbeauftragte nach der Datenschutz-Grundverordnung (DS-GVO)
Der Datenschutzbeauftragte nach der Datenschutz-Grundverordnung (DS-GVO) GDD Erfa Kreis Essen, 12. Mai 2016 RAin Yvette Reif Stellv. Geschäftsführerin GDD e.v. Seite 2 Agenda Bestellpflicht / Öffnungsklausel Mehr 3. In dieser Richtlinie bezeichnet der Ausdruck "Mitgliedstaat" die Mitgliedstaaten mit Ausnahme Dänemarks.
EU-Richtlinie zur Mediation vom 28.02.2008 Artikel 1 Ziel und Anwendungsbereich 1. Ziel dieser Richtlinie ist es, den Zugang zur alternativen Streitbeilegung zu erleichtern und die gütliche Beilegung von Mehr Datenschutzrechtliche Hinweise zum Einsatz von Web-Analysediensten wie z.b. Google Analytics 1. - Stand: 1. Juli 2010 -
INNENMINISTERIUM AUFSICHTSBEHÖRDE FÜR DEN DATENSCHUTZ IM NICHTÖFFENTLICHEN BEREICH Datenschutzrechtliche Hinweise zum Einsatz von Web-Analysediensten wie z.b. Google Analytics 1 - Stand: 1. Juli 2010 - Mehr ERGÄNZENDE INTERNE BESTIMMUNGEN ZUR DURCHFÜHRUNG DER VERORDNUNG (EG) Nr. 45/2001 ÜBER DEN DATENSCHUTZBEAUFTRAGTEN
Ergänzende interne Bestimmungen zur Durchführung der Verordnung über den Datenschutzbeauftragten ERGÄNZENDE INTERNE BESTIMMUNGEN ZUR DURCHFÜHRUNG DER VERORDNUNG (EG) Nr. 45/2001 ÜBER DEN DATENSCHUTZBEAUFTRAGTEN Mehr Merkblatt zum betrieblichen Datenschutzbeauftragten nach 4f, 4g BDSG
Merkblatt zum betrieblichen Datenschutzbeauftragten nach 4f, 4g BDSG Wann ist das Bundesdatenschutzgesetz anwendbar? Das Bundesdatenschutzgesetz (BDSG) gilt gemäß 1 Abs. 2 Nr. 3 BDSG für alle nicht öffentlichen Mehr Landessportbund Berlin e. V. Datenschutz. Cornelia Köhncke, Justitiarin
Landessportbund Berlin e. V. Datenschutz Cornelia Köhncke, Justitiarin Übersicht Rechtsgrundlagen Datenschutz Datenschutz in der Praxis Aktuelles Grundlagen BVerfG: Volkszählungsurteil vom 15.12.1983 Berührt Mehr Gründe für ein Verfahrensverzeichnis
1 Wozu ein Verfahrensverzeichnis? Die Frage, wieso überhaupt ein Verfahrensverzeichnis erstellt und gepflegt werden soll, werden nicht nur Sie sich stellen. Auch die sogenannte verantwortliche Stelle in Mehr Position. Arbeitnehmerdatenschutz rechtssicher gestalten. Stand: März 2014 www.vbw-bayern.de
Position Arbeitnehmerdatenschutz rechtssicher gestalten Stand: März 2014 www.vbw-bayern.de Vorwort X Vorwort Zehn Forderungen für einen praxisgerechten Beschäftigtendatenschutz Die vbw Vereinigung der Mehr Berlin, den 13.07.2015. Transparency International Deutschland e.v. Alte Schönhauser Str. 44 D 10119 Berlin
D Dr. iur. Rainer Frank Arbeitsgruppe Hinweisgeber Geschäftsstelle D- Tel.: (49) (30) 54 98 98 0 Tel. (dienstl.): (49) (30) 31 86 853 Fax: (49) (30) 54 98 98 22 E-Mail: rfrank@transparency.de www.transparency.de Mehr (http://rsw.beck.de/rsw/upload/beck_aktuell/entwurf_bdsg_regierung.pdf)
Das Bundesdatenschutzgesetz (BDSG) in seiner derzeitigen Fassung trägt der gestiegenen und weiter steigenden Bedeutung von Auskunfteien in einer immer anonymer werdenden Geschäftswelt und ihrer Nutzung Mehr Datenschutzrecht in Österreich und Deutschland Ein Vergleich. RA Marcel Keienborg
Datenschutzrecht in Österreich und Deutschland Ein Vergleich RA Marcel Keienborg Zur Geschichte des Datenschutzes Die Wiege des Datenschutzes: In den USA (1960er/70 Jahre) Privacy Act of 1974 Debatten Mehr Datenschutzrichtlinie für die Plattform FINPOINT
Datenschutzrichtlinie für die Plattform FINPOINT Die FINPOINT GmbH ( FINPOINT ) nimmt das Thema Datenschutz und Datensicherheit sehr ernst. Diese Datenschutzrichtlinie erläutert, wie FINPOINT die personenbezogenen Mehr Änderungs- und Ergänzungsvorschläge der deutschen gesetzlichen Krankenkassen
über eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) KOM(2012) Mehr Datenschutzrecht. Grundlagen. Dr. Gregor König, LLM., Datenschutzkommission. 15. November 2012
Datenschutzrecht Grundlagen Dr. Gregor König, LLM., Datenschutzkommission 15. November 2012 Inhalt Grundlagen Datenschutzrecht Rollen und Pflichten Datenschutzrecht Betroffenenrechte Soziale Netzwerke Mehr Datenschutz im Betriebsratsbüro. Referent: Lorenz Hinrichs TBS Niedersachsen GmbH lh@tbs-niedersachsen.de
Datenschutz im Betriebsratsbüro Referent: Lorenz Hinrichs TBS Niedersachsen GmbH lh@tbs-niedersachsen.de Datenschutz im BR-Büro Seite 2 Ausgangssituation Ausgangssituation Kurz gefasst ist es Euer Job Mehr Datenschutzvereinbarung
Datenschutzvereinbarung Vereinbarung zum Datenschutz und zur Datensicherheit in Auftragsverhältnissen nach 11 BDSG zwischen dem Nutzer der Plattform 365FarmNet - nachfolgend Auftraggeber genannt - und Mehr Entwurf eines Gesetzes zur Änderung des Bundesdatenschutzgesetzes
Bundesrat Drucksache 599/05 (Beschluss) 23.09.05 Gesetzentwurf des Bundesrates Entwurf eines Gesetzes zur Änderung des Bundesdatenschutzgesetzes A. Problem und Ziel Das Bundesdatenschutzgesetz legt für Mehr 11. Fachkonferenz Datenschutz und Datensicherheit DuD 2009 Berlin, 8. Juni 2009
11. Fachkonferenz Datenschutz und Datensicherheit DuD 2009 Berlin, 8. Juni 2009 "Datenschutz im Licht des Vertrags von Lissabon und die Konsequenzen für heutige Regelungen" Peter Hustinx Europäischer Datenschutzbeauftragter Mehr Arbeitsdokument zu Häufig gestellten Fragen über verbindliche unternehmensinterne Datenschutzregelungen (BCR)
ARTIKEL-29-DATENSCHUTZGRUPPE 1271-03-02/08/DE WP 155 Rev.03 Arbeitsdokument zu Häufig gestellten Fragen über verbindliche unternehmensinterne Datenschutzregelungen (BCR) Angenommen am 24. Juni 2008 Zuletzt Mehr Secorvo. Partner und Unterstützer
Partner und Unterstützer Datenschutz Anspruch und Wirklichkeit im Unternehmen Karlsruher IT-Sicherheitsinitiative, 31.03.2004 Dirk Fox fox@secorvo.de Secorvo Security Consulting GmbH Albert-Nestler-Straße Mehr Anlage zum Schreiben des Herrn Ministers an GRC- und ITA-Vorsitz
1 Anlage zum Schreiben des Herrn Ministers an GRC- und ITA-Vorsitz Vorschlag für eine Roadmap zur Beschleunigung der Verhandlungen über die EU-Datenschutzreform 1. Rechtsform und höhere Datenschutzstandards Mehr Datenschutzrechtliche Leitlinien mit Mindestanforderungen für die Ausgestaltung und den Betrieb von Arztbewertungsportalen im Internet
Datenschutzrechtliche Leitlinien mit Mindestanforderungen für die Ausgestaltung und den Betrieb von Arztbewertungsportalen im Internet Arbeitskreis Gesundheit und Soziales der Konferenz der Datenschutzbeauftragten Mehr Inhaltsverzeichnis Abkürzungsverzeichnis... 13 Kapitel I: Gegenstand und Gang der Untersuchung... 21 A. Einführung in die besondere Problematik des Datenschutzes... 21 B. Untersuchungsgegenstand der Dissertation... Mehr DASSAULT SYSTEMES GROUP DATENSCHUTZRICHTLINIE FÜR BEWERBER
DASSAULT SYSTEMES GROUP DATENSCHUTZRICHTLINIE FÜR BEWERBER Bei ihrer Geschäftstätigkeit erheben Dassault Systèmes und seine Tochtergesellschaften (in ihrer Gesamtheit als 3DS bezeichnet) personenbezogene Mehr IV.1. Datenschutzrechte sollten in Verbraucherpolitik berücksichtigt werden
Stellungnahmen des EDSB zur Mitteilung der Kommission Eine Europäische Verbraucheragenda für mehr Vertrauen und mehr Wachstum 1 I. Einleitung Am 22. Mai 2012 gab die Kommission eine Mitteilung Eine Europäische Mehr Rechtsbehelfe im Datenschutz Die Rolle der Datenschutzbeauftragten
Rechtsbehelfe im Datenschutz Die Rolle der Datenschutzbeauftragten Thilo Weichert, Leiter des ULD Europäische Rechtsakademie Sicherung des Grundrechts auf Datenschutz in der EU Paris, 31.10.2014 Verfassungsrechtliche Mehr 4. Qualitätssicherungskonferenz des Gemeinsamen Bundesausschusses am 27. September 2012 in Berlin
DIGITALE PRIVATSPHAERE WISSEN Die enorme Ausbreitung des Internets über die letzten beiden Jahrzehnte stellt uns vor neue Herausforderungen im Hinblick auf Menschenrechte, insbesondere der Abwägung zwischen Mehr NEUES ZUM DATENSCHUTZ IM ARBEITSRECHT. Fachanwalt für Arbeitsrecht Christian Willert Berlin, 30.5.2012
1 NEUES ZUM DATENSCHUTZ IM ARBEITSRECHT Fachanwalt für Arbeitsrecht Christian Willert Berlin, 30.5.2012 2 I. BESCHÄFTIGTENDATENSCHUTZ (HEUTE) 1. Grundgesetz (GG) Allgemeines Persönlichkeitsrecht des Arbeitnehmers Mehr 3 HmbDSG - Datenverarbeitung im Auftrag
05/DE WP 107 Arbeitsdokument Festlegung eines Kooperationsverfahrens zwecks Abgabe gemeinsamer Stellungnahmen zur Angemessenheit der verbindlich festgelegten unternehmensinternen Datenschutzgarantien Angenommen Mehr Datenschutz ist Persönlichkeitsschutz
Was ist Datenschutz? Personen sollen vor unbefugter Verwendung oder Weitergabe ihrer persönlichen Daten geschützt werden. Datenschutz ist Persönlichkeitsschutz Verpflichtung auf das Datengeheimnis Was Mehr DIE EU-DATENSCHUTZ- GRUNDVERORDNUNG
DIE EU-DATENSCHUTZ- GRUNDVERORDNUNG - EIN ÜBERBLICK - OTFRIED BÜTTNER, LL.M. GDD stellvertretender ERFA-Kreisleiter Mülheim an der Ruhr/Essen/Oberhausen IHK Gesprächsforum Datenschutz migosens GmbH 1 Die Mehr BDSG - Interpretation
BDSG - Interpretation Materialien zur EU-konformen Auslegung Christoph Klug Rechtsanwalt, Köln Gesellschaft für Datenschutz und Datensicherung e. V., Bonn 2. aktualisierte und erweiterte Auflage DATAKONTEXT-FACHVERLAG Mehr Einführung in den Datenschutz Mitarbeiterschulung nach 4g BDSG (MA4g)
Einführung in den Datenschutz Mitarbeiterschulung nach 4g BDSG (MA4g) Dieter Braun IT-Sicherheit & Datenschutz Gliederung Einführung 3 Personenbezogene Daten 7 Die Pflichtenverteilung 10 Daten aktiv schützen Mehr Auf dem Weg zu einem umfassenderen Datenschutz in Europa einschließlich Biometrie eine europäische Perspektive
12. Konferenz Biometrics Institute, Australien Sydney, 26. Mai 2011 Auf dem Weg zu einem umfassenderen Datenschutz in Europa einschließlich Biometrie eine europäische Perspektive Peter Hustinx Europäischer Mehr Datenschutzbeauftragte
MEIBERS RECHTSANWÄLTE Externe Datenschutzbeauftragte für Ihr Unternehmen Stand: Juli 2014 Datenschutz im Unternehmen ist mehr als eine Forderung des Gesetzgebers Der Schutz personenbezogener Daten ist Mehr Anlage zum Vertrag vom. Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag
Anlage zum Vertrag vom Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag O durch Wartung bzw. O Fernwartung *Zutreffendes bitte ankreuzen Diese Anlage konkretisiert die datenschutzrechtlichen Mehr AUSZUG AUS DEM BUNDESDATENSCHUTZGESETZ
AUSZUG AUS DEM BUNDESDATENSCHUTZGESETZ Auszug aus dem Bundesdatenschutzgesetz in der Fassung vom 14.01.2003, zuletzt geändert am 14.08.2009 1 Allgemeine und gemeinsame Bestimmungen (1) Zweck dieses Gesetzes Mehr lassen Sie mich zunächst den Organisatoren dieser Konferenz für ihre Einladung danken. Es freut mich sehr, zu Ihren Diskussionen beitragen zu dürfen.
Mobile Personal Clouds with Silver Linings Columbia Institute for Tele Information Columbia Business School New York, 8. Juni 2012 Giovanni Buttarelli, Stellvertretender Europäischer Datenschutzbeauftragter Mehr Die Zukunft der Datenschutzaufsicht
Die Zukunft der Datenschutzaufsicht Dr. Alexander Dix, LL.M. Berliner Beauftragter für 7. eco-mmr-kongress Berlin 4. März 2014 06.03.2014 Alexander Dix 1 Status quo in Deutschland und Europa Föderales Mehr Datenschutzbeauftragter Datenschutzberatung - externer Datenschutzbeauftragter - Datenschutzaudits
Datenschutzbeauftragter Datenschutzberatung - externer Datenschutzbeauftragter - Datenschutzaudits www.ds-easy.de Seminare für Datenschutzbeauftragte Seite 2 von 5 Egal, ob Sie sich weiterqualifizieren Mehr ÜBER DIE ANWENDUNG DER GRUNDSÄTZE DER SUBSIDIARITÄT UND DER VERHÄLTNISMÄSSIGKEIT
PROTOKOLL (Nr. 2) ÜBER DIE ANWENDUNG DER GRUNDSÄTZE DER SUBSIDIARITÄT UND DER VERHÄLTNISMÄSSIGKEIT DIE HOHEN VERTRAGSPARTEIEN IN DEM WUNSCH sicherzustellen, dass die Entscheidungen in der Union so bürgernah Mehr Programm. Zertifizierte Fortbildung zum/zur behördlichen Datenschutzbeauftragten (Land)
Programm Zertifizierte Fortbildung zum/zur behördlichen Datenschutzbeauftragten (Land) Veranstaltungsnummer: 2015 Q054 MO (Prüfung) Termin: 03.12.2015 (Prüfung) Zielgruppe: Tagungsort: Künftige und bereits Mehr II 1 Verantwortung der Leitung II 1.13 Datenschutzkonzept. Gültigkeitsbereich Verantwortlich Team
Gültigkeitsbereich Verantwortlich Team Zweck AWO RV Halle Merseburg und alle Tochtergesellschaften GF Datenschutzbeauftragter ist Prozessverantwortlich Alle MA sind durchführungsverantwortlich Zweck des Mehr Der/die Datenschutzbeauftragte in der EU- Datenschutzgrundverordnung
Der/die Datenschutzbeauftragte in der EU- Datenschutzgrundverordnung Dr. Britta A. Mester Carl von Ossietzky Universität Oldenburg Folie 1 Dr. Britta A. Mester/AK-Recht Rückblick EU-DSGVO 2012: Entwurf Mehr Beschäftigtendatenschutz im Lichte der EU-Datenschutzreform. Christian Wachter #DNP 14 21. September 2014
Beschäftigtendatenschutz im Lichte der EU-Datenschutzreform Christian Wachter #DNP 14 21. September 2014 Überblick Datenermittlung im Arbeitsverhältnis Beschäftigtendatenschutz in Österreich status quo Mehr Grundbegriffe und Grundprinzipien des Datenschutzrechts Bundesdatenschutzgesetz (BDSG)
Grundbegriffe und Grundprinzipien des Datenschutzrechts Bundesdatenschutzgesetz (BDSG) Valerij Serediouk SE Designing for Privacy HU WS 09 / 10 1 Gliederung Einführung Zweck und Anwendungsbereich des BDSG Mehr Verordnung zum Schutz von Patientendaten in evangelischen Krankenhäusern
Verordnung zum Schutz von Patientendaten Krankenh-DSV-O 715 Verordnung zum Schutz von Patientendaten in evangelischen Krankenhäusern vom 29. Oktober 1991 KABl. S. 234 Aufgrund von 11 Absatz 2 des Kirchengesetzes Mehr Zertifizierungen im Datenschutz - Chancen international und Nutzen?
Zertifizierungen im Datenschutz - Chancen international und Nutzen? Sebastian Meissner Head of the EuroPriSe Certification Authority 3. Hamburger Datenschutztage Hamburg, 19.03.-20.03.2015 Grundsätzliches Mehr X. Datenvermeidung und Datensparsamkeit nach 3a BDSG
X. Datenvermeidung und Datensparsamkeit nach 3a BDSG Gestaltung und Auswahl von Datenverarbeitungssystemen haben sich nach 3a S. 1 BDSG an dem Ziel auszurichten, keine oder so wenig personenbezogene Daten Mehr Aktueller Stand der EU- Datenschutz-Grundverordnung Umsetzungsplanungen
Aktueller Stand der EU- Datenschutz-Grundverordnung Umsetzungsplanungen BvD Symposium 22. Oktober 2015 Ulrich Weinbrenner Leiter der PG Datenschutz im BMI Der Reformprozess Bedeutung der Reform Wer entscheidet Mehr Surfen am Arbeitsplatz. Ein Datenschutz-Wegweiser
Surfen am Arbeitsplatz Ein Datenschutz-Wegweiser Inhalt Allgemeine Fragen zur Wahrung der Privatsphäre 4 Grundsätzliche Anforderungen 6 Allgemeines 6 Dienstliche Nutzung 7 Private Nutzung 8 Protokollierung Mehr Gesetz zum Schutz des Rechts auf einen Gerichtsprozess innerhalb angemessener Frist ( Amtsblatt der RS, Nr. 40/2015)
Gesetz zum Schutz des Rechts auf einen ( Amtsblatt der RS, Nr. 40/2015) Das Parlament der Republik Serbien hat das Gesetz zum Schutz des Rechts auf einen Gerichtsprozess innerhalb angemessener Frist verabschiedet Mehr Systematisches Scannen von WLAN-Datennetzen durch den Google-Konzern
14. Wahlperiode 30. 04. 2010 Antrag der Abg. Andreas Stoch u. a. SPD und Stellungnahme des Innenministeriums Systematisches Scannen von WLAN-Datennetzen durch den Google-Konzern Antrag Der Landtag wolle Mehr Bestellungsvertrag für eine(n) externe(n) Datenschutzbeauftragte(n)
Bestellungsvertrag für eine(n) externe(n) Datenschutzbeauftragte(n) Vertrag über Dienstleistungen einer/eines externen Datenschutzbeauftragten nach 4f Bundesdatenschutzgesetz -"BDSG"- zwischen vertreten Mehr Schweizerisches Bundesverwaltungsrecht
Prof. Dr. Felix Uhlmann Lehrstuhl für Staats- und Verwaltungsrecht sowie Rechtsetzungslehre Universität Zürich Prof. Dr. Felix Uhlmann 1 Datenschutz Leseplan: Skript 36 BGE 138 II 346 ff. EuGH, Urteil Mehr Das neue Datenschutzgesetz 2009 - Konsequenzen für den betrieblichen Datenschutz
Das neue Datenschutzgesetz 2009 - Konsequenzen für den betrieblichen Datenschutz Eine Veranstaltung der IHK Regensburg am 27.10.2009 Referentin: Sabine Sobola, Rechtsanwältin, Lehrbeauftragte für IT-Recht Mehr Diese Website und das Leistungsangebot von www.pflegemit-herz.de werden von der. Anke Reincke - Häusliche Krankenpflege und Seniorenbetreuung
Datenschutzbestimmung 1. Verantwortliche Stelle Diese Website und das Leistungsangebot von www.pflegemit-herz.de werden von der Anke Reincke - Häusliche Krankenpflege und Seniorenbetreuung Pieskower Straße Mehr Datenschutz in der Europäischen Union: Die Rolle der nationalen Datenschutzbehörden Stärkung des Grundrechtesystems in der Europäischen Union II
Agentur der Europäischen Union für Grundrechte (FRA) MEMO / 7. Mai 2010 Datenschutz in der Europäischen Union: Die Rolle der nationalen Datenschutzbehörden Stärkung des Grundrechtesystems in der Europäischen Mehr EuGH erklärt Datentransfer in die USA für illegal 6. Oktober. Rechtsanwalt Arnd Böken
EuGH erklärt Datentransfer in die USA für illegal 6. Oktober Rechtsanwalt Arnd Böken EuGH erklärt Datentransfer in die USA für illegal Am 6. Oktober 2015 hat der Europäische Gerichtshof (EuGH) entschieden, Mehr Verpflichtungserklärung nach 5 des Bundesdatenschutzgesetzes (BDSG)
Verpflichtungserklärung nach 5 des Bundesdatenschutzgesetzes (BDSG) Mustermann GmbH Musterstr. 123 12345 Musterstadt Sehr geehrte(r) Frau/Herr, aufgrund Ihrer Aufgabenstellung in unserem Unternehmen gilt Mehr Artikel 1 Änderung des Telemediengesetzes
Formulierungshilfe für einen Änderungsantrag der Fraktionen CDU/CSU und SPD zum Gesetzentwurf der Fraktionen der CDU/CSU und der SPD Entwurf eines Gesetzes zur Bekämpfung der Kinderpornographie in Kommunikationsnetzen Mehr Reformbedarf im UWG: Zur Umsetzung der UGP-Richtlinie. 10 Jahre UGP-Richtlinie: Erfahrungen und Perspektiven
Reformbedarf im UWG: Zur Umsetzung der UGP-Richtlinie 10 Jahre UGP-Richtlinie: Erfahrungen und Perspektiven Zweites Gesetz zur Änderung des UWG Das Gesetz dient der weiteren Umsetzung der Richtlinie 2005/29/EG Mehr Berliner Beauftragter für Januar 2002 Datenschutz und Informationsfreiheit (BlnBDI)
Berliner Beauftragter für Januar 2002 Datenschutz und Informationsfreiheit (BlnBDI) Hinweise zur Vorabkontrolle nach dem Berliner Datenschutzgesetz (BlnDSG) Das am 30.7.2001 novellierte Berliner Datenschutzgesetz Mehr Datenschutz & IT. Wir unterstützen Sie bei Fragen der IT-Sicherheit und des Datenschutzes. Datenschutz & IT. Lothar Becker
Wir unterstützen Sie bei Fragen der IT-Sicherheit und des Datenschutzes Datenschutz & IT Lothar Becker Thalacker 5a D-83043 Bad Aibling Telefon: +49 (0)8061/4957-43 Fax: +49 (0)8061/4957-44 E-Mail: info@datenschutz-it.de Mehr 2.4.7 Zugriffsprotokoll und Kontrollen
2.4.7 Zugriffsprotokoll und Kontrollen Die Vermeidung der missbräuchlichen Nutzung von personenbezogenen oder personenbeziehbaren Daten ist ein Kernpunkt der Regelungen zum Einsatz von Personalinformationssystemen. Mehr Kritische Anmerkungen zur Volkszählung 2011
2010-1 www.zensus11.de Kritische Anmerkungen zur Volkszählung 2011 Dipl. Inform. Werner Hülsmann - Anerkannter Datenschutzsachverständiger - Mitglied im Beirats des Forum InformatikerInnen für Frieden Mehr SUBSIDIARITÄTSPRINZIP
SUBSIDIARITÄTSPRINZIP Im Rahmen der nicht ausschließlichen Zuständigkeiten der Union wird mit dem im Vertrag über die Europäische Union verankerten Subsidiaritätsprinzip festgelegt, unter welchen Umständen Mehr Der betriebliche Datenschutzbeauftragte
Der betriebliche Datenschutzbeauftragte Durch die fortschreitende Verbreitung der automatischen Datenverarbeitung sind die Gefahren des Datenmissbrauchs stetig gestiegen. Bei der Begrenzung dieser Gefahr Mehr Datenschutzrechtliche Kernpunkte für die Trilogverhandlungen der Datenschutz-Richtlinie im Bereich von Justiz und Inneres
29.Oktober 2015 Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder Datenschutzrechtliche Kernpunkte für die Trilogverhandlungen der Datenschutz-Richtlinie im Bereich von Justiz und Mehr Positionspapier des ULD zum Urteil des Gerichtshofs der Europäischen Union vom 6. Oktober 2015, C-362/14
POSITIONSPAPIER VOM 14.10.2015 Positionspapier des ULD zum Urteil des Gerichtshofs der Europäischen Union vom 6. Oktober 2015, C-362/14 Dieses Positionspapier richtet sich an nichtöffentliche und öffentliche Mehr EUROPÄISCHES PARLAMENT
EUROPÄISCHES PARLAMENT 2004 Petitionsausschuss 2009 17.12.2009 MITTEILUNG AN DIE MITGLIER Betrifft: Petition 0230/2006 eingereicht von Michael Reichart, österreichischer Staatsangehörigkeit, betreffend Mehr Gesetz zur Bekämpfung der Kinderpornographie in Kommunikationsnetzen