Partei: CDU/CSU
Sowohl im Europäischen Parlament und im Rat als auch im Deutschen Bundestag und Bundesrat haben nach der Veröffentlichung der Vorschläge der EU-Kommission zur Neuregelung des Datenschutzes in Europa lebhafte Diskussionen begonnen. Dies liegt unter anderem daran, dass gerade in Deutschland der Schutz personenbezogener Daten eine sehr hohe Bedeutung genießt. Es ist daher sehr wichtig, dass sich das deutsche Parlament mit dem Instrument des Antrages nach Art. 23 des Grundgesetzes ebenfalls in die Diskussion einbringt. In vielen Fällen ist es allerdings nicht der Staat, den es als Sammler von personenbezogenen Daten zu regulieren gilt, sondern die Wirtschaft, die personenbezogene Daten als Währung für ihre Angebote und Dienstleistungen längst akzeptiert hat. Für mich stellt sich somit die Frage nach einem roten Faden, einer Leitlinie, die auf der einen Seite die Interessen der datenverarbeitenden Unternehmen und auf der anderen Seite die Interessen der die Anwendungen nutzenden Bürgerinnen und Bürger gleichermaßen berücksichtigt. Denn schließlich steht der Schutz personenbezogener Daten gemäß Art. 8 in der EU-Grundrechtecharta nicht isoliert. Auch die Berufs- und die unternehmerische Freiheit gemäß Art. 15 und 16 sind fester Bestandteil der EU-Grundrechtecharta. Dem vorliegenden Entwurf der Kommission gelingt dieser schonende Ausgleich zwischen den von mir aufgezeigten widerstrebenden Interessen allerdings nicht vollständig. Daher haben die Koalitionsfraktionen hier einen Antrag vorgelegt, der die wichtigsten Fragen aufgreift und die Bundesregierung auffordert, sich in den Verhandlungen im EU-Rat für eine ausgleichende sowie praxistaugliche Fortentwicklung des Verordnungsentwurfes einzusetzen. Viele datenschutzrechtliche Fragestellungen werden ausschließlich aus Sicht des Verbrauchers abgehandelt und auch zu dessen Gunsten aufgelöst. Dies mag vielleicht in dem einen oder anderen Fall aufgrund der jüngeren Schwierigkeiten von Unternehmen mit dem Schutz personenbezogener Daten angezeigt sein. Ergänzend hierzu darf es natürlich zukünftig nicht mehr möglich sein, dass Unternehmen in der Europäischen Union das Land als Unternehmenssitz wählen, in dem ein vergleichsweise geringes Datenschutzniveau herrscht. Grundsätzlich begrüße ich daher das Vorhaben einer Vollharmonisierung des europäischen Datenschutzrechtes sehr. Ich halte beispielsweise die vorgesehenen Regelungen von Privacy-by-Design und Privacy-by-Default für zwei wichtige technikoffene Optionen zur zukünftigen datenschutzkonformen Gestaltung von elektronischen Diensten und Anwendungen im Internet. Insgesamt überwiegen jedoch im Entwurf die vielen unternehmensbelastenden Regelungen. Das von der Kommission selbst gesetzte Ziel eines Abbaus von Bürokratie und einer Reduzierung der Kosten der Wirtschaft wird aus meiner Sicht längst nicht im möglichen Umfang erreicht. Zwar werden teilweise bestehende Informationspflichten abgebaut. Es werden zugleich aber auch insbesondere durch die Art. 14 und 15 sowie den Art. 32 eine Vielzahl von neuen Informations- und Dokumentationspflichten geschaffen. Es ist zudem noch immer unklar, welche Informationspflichten tatsächlich als Bringschuld des Unternehmens ausgestaltet sind. Aus meiner Sicht sollte beispielsweise für Dinge, die bereits allgemeiner Kenntnis entsprechen, zumindest keine Informationspflicht durch die Unternehmen bestehen. Zudem sollten für kleinere und mittlere Unternehmen oder auch Unternehmen, die nur selten personenbezogene Daten verarbeiten, entsprechende Ausnahmen oder Erleichterungen geschaffen werden. Lassen Sie mich das mit einem kleinen Beispiel verdeutlichen: Aufgrund des weiten Anwendungsbereichs der jetzigen Vorschriften wäre beispielsweise die Übertragung von Informationen von Visitenkarten in eine elektronische Datenbank ein informations- und auskunftspflichtiger Vorgang. Dies ist schlicht unverhältnismäßig und völlig praxisfern. Ich teile daher die Einschätzung der deutschen Wirtschaftsverbände, die alle davon ausgehen, dass die Verordnung in der jetzigen Form zu einem erheblichen Mehraufwand an Kosten führen wird, zu einem Mehraufwand, der letztlich auf alle Nutzerinnen und Nutzer umgelegt werden wird. Hinzu kommt, dass viele der neuen Pflichten vielleicht noch von großen Konzernen eingehalten werden können. Gerade kleinere und mittelständische Unternehmen werden sich aber schwertun, beispielsweise innerhalb von 24 Stunden umfassend über eine mögliche Datenschutzverletzung aufklären zu können. Umso unverständlicher ist es daher für mich, dass die Verpflichtung zur Einrichtung eines betrieblichen Datenschutzbeauftragten erst ab 250 Mitarbeiterinnen und Mitarbeitern greifen soll. In Deutschland hat sich an dieser Stelle die Grenze von 20 Mitarbeiterinnen und Mitarbeitern in einem Unternehmen durchaus bewährt. Ich rate daher zu einer gründlichen Überarbeitung der entsprechenden Vorschriften. Es sollte eine deutliche Abstufung und Differenzierung zwischen dem Umfang der zu verarbeitenden personenbezogenen Daten und der jeweiligen Größe des Unternehmens und der damit verbundenen Pflichten vorgenommen werden. Auch wenn das neue One-Stop-Shop-Prinzip grundsätzlich eine breite Zustimmung erfährt, sollte ein einheitlicher europäischer Rechtsrahmen auch die Belange der kleineren und mittleren Unternehmen in gebotenem Maße berücksichtigen. Nachfolgend möchte ich kurz auf die möglichen Folgen der Verordnung für den Datenschutz von Beschäftigten eingehen. Auch an dieser Stelle schießt die Verordnung aus meiner Sicht deutlich über das Ziel hinaus. In Deutschland haben sich seit vielen Jahren datenschutzrechtliche Regelungen in Betriebsvereinbarungen bewährt. Arbeitgeber- und Arbeitnehmerseite passen die bestehenden rechtlichen Grundlagen für den jeweiligen Betrieb und das jeweilige Arbeitsumfeld darin an. Betriebsvereinbarungen helfen, Verfahrensabläufe rechtssicher zu handhaben und unbestimmte Rechtsbegriffe für die Unternehmen und ihre Mitarbeiterinnen und Mitarbeiter zu konkretisieren. Sie stellen damit einen hohen und praxisnahen Datenschutz dar. Dieser Prozess des Gebens und Nehmens ist allerdings durch den Verordnungsvorschlag in Gefahr geraten. Denn dieser sieht in Art. 6 Abs.1 b, c vor, dass die Verarbeitung personenbezogener Daten zur Erfüllung eines Vertrages oder einer gesetzlichen Verpflichtung erforderlich sein muss. Die in Deutschland und auch in anderen europäischen Ländern geschlossenen Kollektivvereinbarungen zwischen den Tarifpartnern wären somit hinfällig. Sie böten keine Grundlage mehr für eine rechtmäßige Datenverarbeitung. Es sollte daher dringend sichergestellt werden, dass auch zukünftig Kollektivvereinbarungen wie Tarifverträge und BeZu Protokoll gegebene Reden triebsvereinbarungen rechtmäßige Grundlage für eine Datenverarbeitung sein können. Auch der Wegfall der Einwilligungsmöglichkeit im Arbeitsverhältnis in Art. 7 Abs. 4 in Verbindung mit Erwägungsgrund 34 stellt aus meiner Sicht einen Rückschritt vom praxisnahen Datenschutz dar. Mir ist bewusst, dass viele Datenschützer und auch die Gewerkschaften den Wegfall der Einwilligungsmöglichkeit im Arbeitsverhältnis im Entwurf der Kommission begrüßt haben. Ich halte ihn dennoch für falsch. Denn bereits jetzt wird die Möglichkeit der Einwilligung in der überwiegenden Zahl der Fälle nur wahrgenommen, wenn die damit verknüpfte Datenverarbeitung zugunsten des Arbeitnehmers oder der Arbeitnehmerin erfolgt, beispielsweise bei zusätzlichen durch den Arbeitgeber angebotenen Gesundheitsleistungen, kostenlosen Zeitschriften, Mitarbeiterrabatten etc. Alle diese Fälle wären dann zukünftig ausgeschlossen bzw. müssten gesondert durch den Gesetzgeber geregelt werden. Dies ist weder aufwandsneutral noch praxistauglich. Die Einwilligung sollte daher grundsätzlich auch in Beschäftigungsverhältnissen zulässig bleiben. Einzelne kritische Anwendungsbereiche könnten jedoch ausgeschlossen werden. Abschließend möchte ich noch kurz zur Anzahl der delegierten Rechtsakte sowie dem beabsichtigten Kohärenzverfahren Stellung nehmen. Aus meiner Sicht stellen die knapp 50 Stellen für delegierte Rechtsakte bzw. weiterführende Ermächtigungen zur näheren Ausgestaltung der Verordnung ein deutliches Überschreiten der in Art. 290 AEUV gesetzten Grenzen dar. Aus Art. 289 und 290 AEUV ergibt sich, dass eine Verordnung als Basisrechtsakt die wesentlichen materiellen Festlegungen nicht auf den abgeleiteten Rechtsakt übertragen darf, sondern diese selbst regeln muss. Der Verordnungsentwurf sieht aber an den vorgenannten Stellen nicht nur Konkretisierungen vor, sondern auch die Befugnis für die Kommission, den Regelungsgehalt von einzelnen Normen eigenständig auszufüllen. Sie kann damit eine Vielzahl von Normen, deren Einhaltung sie überwachen soll, zuvor selbst schaffen. Dies ruft erhebliche rechtsstaatliche Bedenken hervor. Die Zahl der delegierten Rechtsakte muss daher aus meiner Sicht deutlich reduziert werden. Es ist richtig, dass für Bereiche, die der rasanten technologischen Entwicklung angepasst und fortgeschrieben werden, gewisse Spielräume und eine gewisse Flexibilität für die EU-Kommission verbleiben müssen. Allerdings geschieht dies hier in deutlich zu großem Umfang. Auch das im Verordnungsentwurf vorgesehene Kohärenzverfahren ist bereits aus rechtsstaatlichen Gründen abzulehnen. Die Kommission kann bei datenschutzrechtlichen Fragestellungen ein eigenes Selbsteintrittsrecht geltend machen und Maßnahmen der nationalen Datenschutzaufsichtsbehörden untersagen. Ein gesondertes Rechtsmittel hat die nationale Aufsichtsbehörde gegen eine solche Entscheidung nicht. Die Kommission erhält durch dieses Verfahren somit umfangreiche Durchgriffsrechte bis hinunter auf die nationale Ebene. Damit verstößt das Verfahren sowohl gegen die Unabhängigkeit der Aufsichtsbehörden als auch gegen das in Art. 20 Abs. 1 des Grundgesetzes verankerte Demokratieprinzip. Schließlich wäre die Datenschutzkontrolle nicht mehr der demokratischen Verantwortung der jeweiligen Mehrheit des nationalen Parlaments unterworfen. Bei den Diskussionen sollte weiterhin die Umsetzbarkeit und Praktikabilität der geplanten Regelungen im Vordergrund der Debatte stehen. Mein Fazit ist, dass es zu einer Vielzahl von einzelnen Regelungen noch einer intensiven Diskussion unter den Mitgliedstaaten und im Europäischen Parlament bedarf. Die möglichen Auswirkungen der neuen Verordnung sind für viele zentrale Lebensbereiche noch ungeklärt und nicht endgültig abschätzbar. Es verbieten sich daher gesetzgeberische Schnellschüsse. Die christlich-liberale Koalition leistet mit dem vorliegenden Antrag einen praxisorientierten Beitrag dazu, das europäische Datenschutzrecht angemessen und sinnvoll weiterzuentwickeln. Sie finden in diesem Antrag noch weitere grundsätzliche Forderungen, wie die angemessen Differenzierung zwischen dem öffentlichen und dem nichtöffentlichen Bereich, die Einbeziehung der Institutionen der Europäischen Union in den Anwendungsbereich der Verordnung, die Ablehnung von Verbandsklagen oder auch die Forderung nach angemessene Übergangs- und Inkrafttretensregelungen. Die Fülle der Themen und die Komplexität des Themas verlangen auch in den kommenden Wochen und Monaten eine intensive Beschäftigung mit diesem zentralen Reformvorhaben.