{"id":115,"date":"2015-08-10T16:36:17","date_gmt":"2015-08-10T16:36:17","guid":{"rendered":"http:\/\/www.eaid-berlin.de\/?p=750"},"modified":"2015-08-10T16:36:17","modified_gmt":"2015-08-10T16:36:17","slug":"europaeischer-datenschutz-bitte-nicht-aufweichen","status":"publish","type":"post","link":"https:\/\/www.kai-wittenburg.de\/?p=115","title":{"rendered":"Europ\u00e4ischer Datenschutz: Bitte nicht aufweichen!"},"content":{"rendered":"<p>Die von der Europ\u00e4ischen Kommission vor mehr als drei Jahren auf den Weg gebrachte Datenschutzreform ist zwar noch nicht in \u201etrockenen T\u00fcchern\u201c, aber immerhin ist absehbar, dass zumindest die <strong>Datenschutz-Grundverordnung<\/strong> in absehbarer Zeit von den EU-Gremien beschlossen wird. Bei allen Unsicherheiten im Detail bietet sich damit die einmalige Chance, Herausforderungen an das Datenschutzrecht in Angriff zu nehmen und diese mit einer st\u00e4rkeren europ\u00e4ischen Harmonisierung zu verbinden. Gerade die Kombination dieser beiden Aspekte macht den m\u00f6glichen Charme der Reform aus. Dies gilt freilich nur, wenn die Harmonisierung auch zu einem m\u00f6glichst hohen Datenschutzstandard f\u00fchrt und nicht blo\u00df einen kleinsten gemeinsamen Nenner definiert.<\/p>\n<p>Positiv anzumerken ist, dass wesentliche Grundelemente der Datenschutzreform zwischen den EU-Gremien unstreitig sind: Die Einbeziehung von Unternehmen aus Drittstaaten, die in Europa aktiv sind (Marktortprinzip), den Abbau des Datenschutzgef\u00e4lles zwischen den Mitgliedstaaten und &#8211; last but not least &#8211; die St\u00e4rkung der Datenschutzaufsicht.<\/p>\n<p>Trotzdem gibt es keinen Anlass, sich beruhigt zur\u00fcckzulehnen und den Ausgang des Trilogs zwischen Kommission, Parlament und Rat abzuwarten. Zum einen haben die Bem\u00fchungen von Interessenvertretungen erneut zugenommen, denen die ganze Richtung nicht passt. Bedauerlich ist insbesondere, dass auch manche europ\u00e4ischen Industrievertreter noch nicht verstanden haben, dass ein wirksamer, europaweit harmonisierter Datenschutz in ihrem wohlverstandenen wirtschaftlichen Interesse liegt. Zum anderen gibt es durchaus auch in den EU-Gremien Neigungen, dem Druck solcher Unternehmen &#8211; vor allem aus Drittstaaten &#8211; nachzugeben, deren Gesch\u00e4ftsmodelle kaum mit einem hohen europ\u00e4ischen Datenschutzniveau kompatibel sind. Zwar ist das Europ\u00e4ische Parlament in seiner Positionsbestimmung \u00fcberwiegend zu Gunsten des Datenschutzes \u00fcber den Kommissionsentwurf hinaus gegangen. Dagegen enth\u00e4lt die Richtungsentscheidung des Rats gef\u00e4hrliche Aufweichungen und bleibt sogar an verschiedenen Punkten hinter dem derzeitigen Recht zur\u00fcck.<\/p>\n<p><b>F\u00fcr den Trilog sind insbesondere die folgenden Felder wichtig<\/b>, in denen &#8211; teils erhebliche &#8211; Meinungsdivergenzen zwischen den Gremien bestehen. Im Sinne eines wirksamen Datenschutzes m\u00fcssen hier klare Weichenstellungen getroffen werden:<\/p>\n<ul>\n<li>Keine Aufweichung der <b>Zweckbindung<\/b>. Eine generelle Erlaubnis f\u00fcr Unternehmen oder Beh\u00f6rden, bei \u201e\u00fcberwiegendem Interesse\u201c Daten auch f\u00fcr Zwecke zu verwenden, die mit dem Erhebungszweck nicht vereinbar sind, w\u00e4re mit der Gew\u00e4hrleistung des Grundrechts auf Datenschutz nicht vereinbar.<\/li>\n<li>Die B\u00fcrgerinnen und B\u00fcrger m\u00fcssen wirksam vor der Zusammenf\u00fchrung ihrer Daten zu Pers\u00f6nlichkeitsprofilen gesch\u00fctzt werden. <b>Profiling<\/b> sollte grunds\u00e4tzlich nur unter Pseudonym zul\u00e4ssig sein, wobei die Pseudonyme m\u00f6glichst robust und r\u00fccknahmefest zu konstruieren sind. Auch bei der Verwendung von Pseudonymen muss der Betroffene umfassend \u00fcber die Tatsache und die Zwecke des Profiling informiert werden und ihm ggf. widersprechen k\u00f6nnen. Sensible Daten sollten generell vom Profiling ausgenommen werden. F\u00fcr den Betroffenen nachteilige, auf automatisierten bzw. \u00fcberwiegend auf automatisierten Verfahren beruhende Einzelentscheidungen sollten unzul\u00e4ssig sein.<\/li>\n<li>Der <b>Datentransfers in Drittstaaten<\/b> sollte generell nur zul\u00e4ssig sein, wenn ein angemessenes Datenschutzniveau vorliegt, das den Anforderungen der EU-Grundrechtecharta gen\u00fcgt. Gerade die im wesentlichen auf Edward Snowden zur\u00fcckgehenden\u00a0Ver\u00f6ffentlichungen \u00fcber umfassende geheimdienstliche \u00dcberwachungsma\u00dfnahmen haben gezeigt, dass die bisherigen Instrumente defizit\u00e4r sind. Die vom Rat vorgeschlagenen Ausnahmeregelungen f\u00fcr bestehende Ad\u00e4quanzentscheidungen, etwa f\u00fcr <b>Safe Harbor<\/b>, im Rahmen von bilateralen Abkommen oder f\u00fcr Verwaltungsvereinbarungen zwischen \u00f6ffentlichen Stellen w\u00e4ren inakzeptabel.<\/li>\n<li><b>Sektorspezifische nationale Regelungen<\/b> &#8211; etwa zum Gesundheitswesen und zum Besch\u00e4ftigtendatenschutz &#8211; d\u00fcrfen das durch die GVO festgelegte Mindestniveau des Datenschutzes nicht unterschreiten. Dagegen sollte es den Mitgliedstaaten weiterhin m\u00f6glich sein, in begr\u00fcndeten F\u00e4llen, insb. bei der Verarbeitung sensibler Daten, aber auch bei der beh\u00f6rdlichen Datenverarbeitung, weitergehende Schutzvorschriften vorzusehen, damit das durch nationales Verfassungsrecht (z.B. durch die Rechtsprechung des Bundesverfassungsgerichts) garantierte Standards auch weiterhin gew\u00e4hrleistet werden k\u00f6nnen.<\/li>\n<li>Die Verarbeitung personenbezogener Daten auf Basis einer <b>Einwilligung<\/b> sollte nur zul\u00e4ssig sein, wenn die faktische Freiwilligkeit gew\u00e4hrleistet ist. Im Falle gravierender Machtunterschiede zwischen der verantwortlichen Stelle und dem Betroffenen kann im Regelfall nicht hiervon ausgegangen werden. Die Einwilligung sollte generell ausdr\u00fccklich erfolgen und nicht implizit.<\/li>\n<li>Die f\u00fcr die Verarbeitung von Daten f\u00fcr <b>statistische und f\u00fcr Forschungszwecke<\/b> vorgesehenen weit reichenden Sonderregelungen m\u00fcssen durch besondere Schutzvorkehrungen, insbesondere durch ein wirksames Forschungsgeheimnis, abgesichert werden.<\/li>\n<li>Der <b>technologische Datenschutz<\/b> sollte gest\u00e4rkt werden. Dazu ist es erforderlich, die Vorgaben zu Privacy by Design, Privacy by Default und zur Datenschutzfolgenabsch\u00e4tzung konkreter und verbindlicher zu fassen. Die Vorgaben zur Vergabe und Verwendung qualifizierter Datenschutz-G\u00fctesiegel sollten verbindlicher formuliert werden.<\/li>\n<li>Die <b>unabh\u00e4ngigen Datenschutzaufsichtsbeh\u00f6rden<\/b> brauchen wirksame Sanktionsm\u00f6glichkeiten bei Verst\u00f6\u00dfen, die sich an der wirtschaftlichen Leistungsf\u00e4higkeit der Unternehmen orientieren. Angesichts der erheblichen, mit der GVO verbundenen Ausweitung ihrer Aufgaben ben\u00f6tigen sie eine angemessene personelle und sachliche Ausstattung nach einem europaweit verbindlichen Standard. Der aus den Aufsichtsbeh\u00f6rden gebildete Datenschutzausschuss sollte \u00fcber Streitfragen \u00fcber die Auslegung der GVO verbindlich entscheiden. Eine Letztentscheidungsbefugnis der Kommission w\u00e4re damit unvereinbar.<\/li>\n<li>Die Bestellung <b>interner (betrieblicher\/beh\u00f6rdlicher) Datenschutzbeauftragter<\/b> sollte in der gesamte EU obligatorisch sein. Ihre unabh\u00e4ngige Stellung sollte rechtlich effektiv abgesichert sein, etwa durch entsprechenden K\u00fcndigungsschutz.<\/li>\n<\/ul>\n<p>(Dieser Bog-Post entspricht einem Beitrag, den ich f\u00fcr die Zeitschrift DANA der Deutschen Vereinigung f\u00fcr Datenschutz e.V. erstelt habe)<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Die von der Europ&auml;ischen Kommission vor mehr als drei Jahren auf den Weg gebrachte Datenschutzreform ist zwar noch nicht in &bdquo;trockenen T&uuml;chern&ldquo;, aber immerhin ist absehbar, dass zumindest die Datenschutz-Grundverordnung in absehbarer Zeit von den EU-Gremien beschlossen wird. Bei allen Unsicherheiten im Detail bietet sich damit die einmalige Chance, Herausforderungen<\/p>\n","protected":false},"author":17,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[194,195,5,196,197,198,199,200,6,3,7,201,4,12,17,193,202,15,203,204,16,14,8,205],"tags":[],"class_list":["post-115","post","type-post","status-publish","format-standard","hentry","category-beschaeftigtendaten","category-betrieblicher-datenschutz","category-bsi","category-datenschutz-grundverordnung","category-datentransfers-in-drittstaaten","category-eu-grundrechtecharta","category-forschungsdaten","category-gesundheitsdaten","category-isms","category-isms-bsi-iso-27001","category-iso27001","category-marktortprinzip","category-notfallmanagement","category-penetrationstest","category-penetrationstests","category-peter-schaar-der-blog","category-profiling","category-risikomanagement","category-safe-harbor","category-trilog","category-unternehmen","category-veranstaltungen","category-zertifizierung-audit","category-zweckbindung"],"_links":{"self":[{"href":"https:\/\/www.kai-wittenburg.de\/index.php?rest_route=\/wp\/v2\/posts\/115","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kai-wittenburg.de\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kai-wittenburg.de\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kai-wittenburg.de\/index.php?rest_route=\/wp\/v2\/users\/17"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kai-wittenburg.de\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=115"}],"version-history":[{"count":1,"href":"https:\/\/www.kai-wittenburg.de\/index.php?rest_route=\/wp\/v2\/posts\/115\/revisions"}],"predecessor-version":[{"id":116,"href":"https:\/\/www.kai-wittenburg.de\/index.php?rest_route=\/wp\/v2\/posts\/115\/revisions\/116"}],"wp:attachment":[{"href":"https:\/\/www.kai-wittenburg.de\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=115"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kai-wittenburg.de\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=115"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kai-wittenburg.de\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=115"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}