Dass eine Anpassung des europäischen Datenschutzrechtes an das Zeitalter des Internets und der zunehmenden Digitalisierung und damit einhergehend eine modernisierte Normierung auf europäischer Ebene schon seit Längerem ansteht, ist an sich nichts Neues. Der europäische Gesetzgeber hat zwischenzeitlich einen Regelungsvorschlag für eine entsprechende EU-Verordnung ausgearbeitet. Der Verordnungsentwurf sollte eigentlich offiziell erst durch die zuständige EU-Kommissarin Viviane Reding am 25.01.2012 der Öffentlichkeit vorgestellt werden. Wie Heise berichtet, ist Ende vergangener Woche jedoch anlässlich der Debatte um die Thematik Datenschutz bereits der aktuelle Entwurf im Netz aufgetaucht.
Der Inhalt im Überblick
Auswirkungen auf nationales Recht
Der Erlass einer auf dem Entwurf beruhenden europäischen Verordnung hätte zunächst einmal für die Anwendbarkeit nationaler Vorschriften aus dem Bereich des Datenschutzes sowie im Hinblick auf nationaler Zuständigkeiten weitreichende Konsequenzen. Während bislang die so genannte Datenschutz-Rahmenrichtlinie (EC/95/46) durch die entsprechenden nationalen Vorschriften umgesetzt wurde, erfolgt die Rechtssetzung in Gestalt einer Verordnung als unmittelbar geltendes europäisches Recht.
Ersetzt würden nicht nur die Datenschutz-Rahmenrichtlinie, sondern auch die meisten nationalen Datenschutzgesetze. Damit wäre für eine Angleichung und Vereinheitlichung des Schutzniveaus in den Mitgliedsstaaten gesorgt, wie dies vielfach gefordert wurde.
Anwendungsbereich
Die Zielsetzung der Herstellung eines flächendeckenden Datenschutzniveaus wird auch in der Festlegung des Anwendungsbereiches der Verordnung deutlich. Datenverarbeitungen werden hiernach – unabhängig davon, ob die Verarbeitung selbst in der Union stattfindet oder nicht – dem Europäischen Datenschutzrecht (u.a.) bereits dann unterstellt, wenn
„aufgrund der insgesamten Aktivität anzunehmen ist, dass ein Datenverarbeiter die Verarbeitung von Daten europäischer Betroffener in Betracht ziehen würde“.
Außereuropäische Datenverarbeitung
Ebenfalls die Regelungen des Verordnungsentwurfs zur außereuropäischen Datenverarbeitung zielen auf die Sicherstellung gleichwertiger Datenschutzstandards im nicht-europäischen Ausland. Hierzu dient unter anderem das im Entwurf vorgesehene Instrumentarium einer so genannten Adäquanzprüfung, nach der die Kommission darüber befindet, ob ein anderes Land vergleichbare Standards bietet wie die EU.
Dementsprechend hoch angesetzt sind auch die Anforderungen, unter denen ein Zugriff auf europäische Daten Justiz und Strafverfolgungsbehörden in Drittstaaten gestattet ist, nämlich stets nur mit Wissen und Zustimmung der zuständigen Datenschutzbehörde.
Stärkung der Betroffenenrechte
Der Verordnungsentwurf stärkt darüber hinaus in vielen wesentlichen Punkten die Rechte der einzelnen Betroffenen:
- Das so genannte „Recht auf Vergessen werden und des Ausradierens“ („right to be forgotten“) wird im Entwurf konkret benannt.
- Außerdem sind verstärkt Vorgaben zur hinreichenden Aufklärung vor der Erteilung einer anforderungsgemäßen Einwilligung vorgesehen.
- Wesentlich neu ist auch, dass bei einem unberechtigtem Datenzugriff nicht nur die zuständige Datenschutzaufsichtsbehörde informiert werden muss, sondern auch der Betroffene.
Profilnutzungsverbot und Recht auf Datenportabilität
Normiert werden soll ebenfalls das Recht einer jeden (natürlichen) Person, nicht Gegenstand einer so genannten Profiling-Maßnahme zu sein, die rechtlich nachteilig für sie ist. Hiermit sind auf automatisierter Verarbeitung basierende Profilbildungen gemeint, die bestimmte persönliche Aspekte zum Verhalten dieser Person in Bezug auf „Arbeit, Kreditwürdigkeit, die ökonomische Situation, Orte, Gesundheit, persönliche Vorlieben, Zuverlässigkeit oder Verhalten“ zum Gegenstand haben.
Außerdem soll nach dem Entwurf ein erst jüngst entwickeltes Recht, das so genannte „Recht auf Datenportabilität“, normiert werden. Nach diesem Recht steht es dem Betroffenen zu, vom jeweiligen Datenhalter eine elektronische und strukturierte Kopie seiner Daten anzufordern, die außerdem ein gängiges und weiterverarbeitbares Format ausweisen muss. Hierdurch soll es dem Betroffenen erleichtert werden, seine Daten mitzunehmen, etwa bei einem Umzug von einem zum anderen Anbieter.
Hohe Strafen und Bußgelder
Recht differenzierte Regelungen stellt der Verordnungsentwurf auch für Strafen und Bußgelder bei Verstößen zur Verfügung. Die konkreten Beträge sind gestaffelt und richten sich nach der Schwere des Verstoßes. Als Höchstbetrag sieht der Entwurf hier eine Strafzahlung von bis zu 1.000.000EUR oder bis zu 5 Prozent des Jahresumsatzes einer Firma vor. Damit legt der Entwurf höhere Straf- und Bußgeldandrohungen fest, als die entsprechenden nationalen deutschen Vorschriften.
Ausblick
Dem ersten Anschein nach ein gut durchdachtes und recht differenziertes Regelwerk. Allerdings bleibt zunächst einmal abzuwarten, inwieweit dieser Entwurf den weiteren Gesetzgebungsprozess „übersteht“ und wie dieser sich dann in der Praxis konkret umsetzen lässt.
