Datenschutz-Grundverordnung: Kritik am Prinzip der zentralen Anlaufstelle

In einem Vermerk der litauischen Ratspräsidentschaft an die Mitglieder des Rates der europäischen Union vom 03. Oktober 2013 werden die Positionen der Mitgliedstaaten zu dem Prinzip der zentralen Anlaufstelle (one-stop-shop) der im Entwurf befindlichen Datenschutz-Grundverordnung (DS-GVO, KOM(2012) 11) zusammengefasst. Am kommenden Montag werden die Justiz- und Innenminister der Europäischen Union unter anderem auch hierüber diskutieren.

Um was geht es?
Mit dem in Art. 51 Abs. 2 DS-GVO vorgeschlagenen Prinzip der zentralen Anlaufstelle soll in Zukunft die Durchsetzung und Überwachung des Datenschutzrechts vereinfacht werden. Danach ist für Datenverarbeitungsvorgänge eines Verantwortlichen oder eines Auftragsdatenverarbeiters, der in mehreren EU-Mitgliedstaaten Niederlassungen besitzt, die Datenschutzaufsichtsbehörde desjenigen Mitgliedstaates alleine (!) zuständig, in dem sich die Hauptniederlassung des Verantwortlichen befindet. Nach Art. 4 Nr. 13 DS-GVO ist Hauptniederlassung der Ort der Niederlassung in der Union, an dem die Grundsatzentscheidungen hinsichtlich der Zwecke, Bedingungen und Mittel der Verarbeitung personenbezogener Daten getroffen werden. Das Prinzip hat damit sowohl eine Erleichterung für Unternehmen zur Folge, die sich dann nur noch einer Aufsichtsbehörde gegenüber sehen. Und auch die Rechte der betroffenen Personen sollen so (prinzipiell) besser durchsetzbar sein. Als Paradebeispiel könnte man hier etwa die Niederlassung von Facebook in Irland anführen, welche die Europazentrale des Unternehmens darstellt.

Kritik der Mitgliedstaaten
Aus dem Vermerk geht hervor, dass dieses Prinzip der zentralen Anlaufstelle zwar grundsätzliche breite Zustimmung erfährt. Die tatsächliche Ausgestaltung in ihrer derzeit geplanten Form jedoch von der Mehrheit der Mitgliedstaaten nicht befürwortet wird.

Beschwerden ja, Durchsetzung nein
So wird vorgebracht, dass zwar die Möglichkeit für betroffene Personen bestehen soll, nach Art. 73 Abs. 1 DS-GVO eine Beschwerde wegen einer unrechtmäßigen Datenverarbeitung bei jeder nationalen Datenschutzbehörde vorzubringen, also nicht nur bei der Aufsichtsbehörde der Hauptniederlassung. Aber eventuelle Maßnahmen und Sanktionen könnten dann dennoch nur durch diese Hauptaufsichtsbehörde vollzogen werden. Um am Beispiel von Facebook zu bleiben: Deutsche Nutzer könnten bei einer deutschen Datenschutzbehörde eine Beschwerde vorbringen, sich aus einer tatsächlich festgestellten Verletzung datenschutzrechtlicher Vorschriften ergebende Maßnahmen würden jedoch alleine durch die irische Datenschutzbehörde vorgenommen werden.

Gefahr für den Schutz der Betroffenen
Diese sich ergebende Schere zwischen Beschwerde und Durchsetzung sehen viele Mitgliedstaaten als eine Gefahr für die Datenschutzrechte der Betroffenen an. Denn für die Betroffenen ist die Nähe, also der kurze und effektive Kommunikationsweg, zur jeweiligen Aufsichtsbehörde von entscheidender Bedeutung. Dieser würde jedoch erschwert, wenn für die Durchsetzung ihrer Rechte und das entsprechende Verfahren eine ausländische Aufsichtsbehörde zuständig wäre. Zudem sollte es Betroffenen möglich sein, eine Entscheidung „ihrer“ Aufsichtsbehörde zu erhalten und diese Entscheidung dann eventuell vor den eigenen nationalen Gerichten anzufechten.

Lösungsvorschläge
Der Vermerk fasst einige durch die Mitgliedstaaten vorgebrachte Vorschläge zur Modifikation des Prinzips der zentralen Anlaufstelle zusammen, wobei hier nur auf einzelne eingegangen werden soll.

  • Die Hauptaufsichtsbehörde könnte prinzipiell weiter allein zuständig sein, dennoch sollten einige Befugnisse nicht exklusiv durch sie ausgeübt werden. Gerade Überwachungs- und Kontrollbefugnisse bestimmter Datenverarbeitungsvorgänge könnten auch von nationalen Behörden ausgeführt werden, gerade wenn diese auf dem Gebiet ihres Mitgliedstaates stattgefunden haben.
  • Bei Datenverarbeitungsvorgängen, die sich auf mehrere Mitgliedstaaten beziehen, könnte etwa ein Mitbestimmungsverfahren, unter Einbeziehung anderer nationaler Behörden eingeführt werden. Hier gäbe es zwar immer noch eine Hauptaufsichtsbehörde. Diese könnte Maßnahmen von über die nationalen Grenzen hinausgehender Bedeutung jedoch nicht mehr alleine, sondern nur in Abstimmung mit anderen Behörden, treffen. Zwar besteht ein ähnliches Verfahren für gemeinsame Maßnahmen bereits in Art. 56 DS-GVO. Jedoch ist dort nur das „Miteinander“ bei den Maßnahmen geregelt, also das Recht auf eine Teilnahme und nicht das Recht, selbst Maßnahmen zu treffen.
  • Zudem sollten grundsätzlich die nationalen Behörden, bei denen eine Beschwerde eingegangen ist, mehr in den Entscheidungsprozess der zu treffenden Maßnahmen eingebunden werden. So würde dem für die Betroffenen wichtigen „Näheverhältnis“ zu ihrer Behörde Rechnung getragen und die oben beschriebene Schere etwas geschlossen.
  • Bei der Beteiligung mehrerer Aufsichtsbehörden in einem Verfahren würden sich freilich nicht immer übereinstimmende Meinungen zum Vorgehen herausbilden. Hierzu könnte dann ein Verfahren bei dem einzurichtenden Europäischen Datenschutzausschuss (Art. 64 DS-GVO, ein Zusammenschluss aller nationaler Datenschutzbehörden und des Europäischen Datenschutzbeauftragen) eingeführt werden, in dem dieser eine abschließende Stellungnahme abgibt, ja eventuell sogar eine abschließende Entscheidung fällt (auch wenn er dazu dann mit entsprechender, bisher nicht vorhandener, rechtlicher Befugnis ausgestattet werden müsste).

Ausblick
Am Montag werden die Justizminister das oben beschriebene Prinzip und mögliche Änderungen beraten, jedoch noch nicht abschließend. Der Grundkonsens im Rat scheint zu sein, dass etwas geändert werden muss, um den Rechten der Betroffenen besser und vor allem praxistauglicher Geltung verschaffen zu können. Welche Variante dies sein wird, bleibt abzuwarten. Es zeigt sich jedoch auch, dass der Rat nicht unbedingt das Gesetze verwässernde und Verbraucherrechte fressende Europäische Organ ist, zu welchem er in der öffentlichen Debatte häufig gemacht wird. Vielmehr geht es bei diesen Vorschlägen vor allem um Effektivität und Durchführbarkeit. Dies ist zu begrüßen.

Abkommen, Vertrag, Beschluss – Was ist Safe-Harbor? (Update)

Nach der Ankündigung der deutschen Datenschutzbehörden, neue Genehmigungen für Datenübermittlungen in die USA nicht mehr erteilen zu wollen, da mit hoher Wahrscheinlichkeit gegen die Grundsätze von Safe-Harbor verstoßen wird, mehren sich in der Öffentlichkeit die Stimmen, die eine „Kündigung“ von Safe-Harbor fordern oder die „Safe-Harbor-Klausel“ auf Eis legen wollen. Inwiefern die nationalen Datenschutzbehörden hier tatsächlich tätig werden können, hat Adrian Schneider bei Telemedicus näher untersucht.

Nachfolgend soll es vor allem um den Versuch gehen eine Antwort auf die Frage zu finden, was Safe-Harbor rechtlich darstellt und wie und wenn ja wer sich davon lösen kann.

Entstehung
Die Verhandlungen zwischen der Europäischen Kommission und der amerikanischen Regierung, vertreten durch das Handelsministerium, begannen 1998. Die Praxis bestand darin, dass in Form eines Briefwechsels Vorschläge, für die Grundsätze einer Datenübermittlung mit angemessenem Schutznievau aus Europa in die USA, gegenseitig ausgetauscht und kommentiert wurden (viele Dokumente und Briefe finden sich auf der Seite des amerikanischen Handelsministeriums). Auf europäischer Seite wurde zudem die Art. 29 Datenschutzgruppe über die Verhandlungen informiert und diese gab mehrere Stellungnahmen im Laufe des Prozesses ab (WP 15, WP 19, WP 21, WP 23, WP 27, WP 31, WP 32, alle abrufbar über die Internetseite der Datenschutzgruppe).
Continue reading

Irische Datenschutzbehörde: PRISM von Safe-Harbor gedeckt

Die österreichische Initiative europe-v-facebook (evf) berichtet in einer Pressemitteilung, dass die irische Datenschutzbehörde keinen Handlungsbedarf hinsichtlich einer möglichen Unzulässigkeit des massenhaften Abgreifens und der Weitergabe von personenbezogenen Daten europäischer Bürger durch amerikanische Unternehmen an ausländische Behörden und Geheimdienste sieht.

Safe-Harbor eingehalten
Evf veröffentlicht ein Antwortschreiben der irischen Datenschutzbehörde, in welchem die Behörde ausführt, dass nach ihrer Meinung die Europäische Kommission bei ihrer Entscheidung über das Safe-Harbor-Abkommen im Jahre 2000 die Weitergabe von personenbezogenen Daten europäischer Bürger durch in Amerika ansässige Datenverarbeiter bereits vorhergesehen habe. Solange sich ein amerikanisches Unternehmen an dem Safe-Harbor-Programm beteilige, geht die Behörde davon aus, dass dieses Unternehmen auch seine Pflichten in Bezug auf eine Datenübertragung von Europa in die USA ausreichend erfüllt habe.
Continue reading

Deutsche Datenschützer: keine neuen Genehmigungen für Datenübermittlungen

Kommt der Datenfluss zwischen deutschen und amerikanischen Unternehmen bald zum erliegen? Wohl nicht. Dennoch könnten sich für international tätige, in Deutschland ansässige Unternehmen in den nächsten Monaten erhebliche Probleme bei der Übermittlung von personenbezogenen Daten in die USA ergeben. Denn: In einer Presseerklärung stellt die Konferenz der Datenschutzbeauftragten des Bundes und der Länder (der sog. Düsseldorfer Kreis) fest, dass

„die Aufsichtsbehörden für den Datenschutz keine neuen Genehmigungen für die Datenübermittlung in Drittstaaten (zum Beispiel auch zur Nutzung bestimmter Cloud-Dienste) erteilen und prüfen, ob solche Datenübermittlungen auf der Grundlage des Safe-Harbor-Abkommens und der Standardvertragsklauseln auszusetzen sind“.
Continue reading

EU Kommission prüft 180 Beschwerden gegen irische Datenschutzbehörde

Nach Aussage (PDF) der österreichischen Vereinigung „europe-v-facebook“ (evf) sind derzeit über 1.000 Beschwerden gegen Facebook bei der nationalen irischen Datenschutzbehörde anhängig. Es geht dabei um die Durchsetzung des Auskunftsrechts (Art. 12 der Datenschutzrichtlinie, RL 95/46/EG) gegenüber Facebook, zu den bei dem Anbieter über sie gespeicherten personenbezogenen Daten. Da die durch das Unternehmen bereitgestellten Informationen nur unvollständig seien, habe sich ein Teil der Betroffenen an die irischen Datenschützer gewendet.

Standard E-Mail und fehlender Aktenzugang

Da jedoch auch die Behörde zum Großteil nur mit Standardschreiben auf die Beschwerden der Betroffenen antworte und weitere Informationen zum Verfahrensstand und eine Einsicht in die Akten verweigere, sind einige Betroffene einen Schritt weiter gegangen und haben eine Beschwerde bei der Europäischen Kommission über die Arbeitsweise der irischen Datenschutzbehörde eingereicht. Darin wird Irland eine mangelnde Umsetzung der Datenschutzrichtlinie vorgeworfen, indem die irische Datenschutzbehörde die Auskunftsersuchen der Betroffenen nicht konsequent bearbeite und durchsetze.
Continue reading

Problem Project Prism: Welche europäischen Lösungsansätze gibt es?

Nach dem Bekanntwerden des umfassenden Überwachungsprogrammes, Project Prism, des amerikanischen Geheimdienstes (einen Überblick über die Nachrichtenlage und die Entwicklungen gibt es bei Spiegel-Online und der SZ) erheben sich die politischen Stimmen in Europa. So wurde heute im Europäischen Parlament über das Thema diskutiert (Video), die für die Datenschutz-Grundverordnung zuständige EU-Justizkommissarin Viviane Reding erhofft sich durch den Skandal einen neuen Schub für die Verhandlungen zur Reform des Datenschutzrechts.

Doch können durch verschärfte Änderungen der geplanten Grundverordnung in Bezug auf die Übermittlung von personenbezogenen Daten europäischer Bürger an Unternehmen in Drittländer wirklich eine Lösung des Problems erwartet werden? Wohl nur zum Teil. Möchte man das europäische Grundrecht auf den Schutz personenbezogener Daten wirklich verteidigen, so bliebe nur eine Alternative, die niemand ernsthaft in Erwägung ziehen kann, nämlich die völlige digitale Trennung von den USA.
Continue reading

Microsoft: XBox One ist Privacy by Design

Nach der offiziellen Vorstellung der neuen Entertainment-Konsole von Microsoft, der XBox One, war der mit datenschutzrechtlichen Bedenken begründete Aufschrei in den Medien nicht zu überhören. Der verbesserten Kinect-Funktion wurde als einziger Zweck die Ausspähung des privaten Umfeldes und ein ständiges Registrieren aller möglichen persönlichen Informationen unterstellt.

In einem Blogbeitrag zu den vorläufigen datenschutzrechtlichen Fragen bei der Nutzung der Konsole, habe ich mich bereits für einen sachliche Auseinandersetzung ausgesprochen, ohne vor der Kenntnis genauerer Informationen ein Urteil zu fällen.

Microsoft klärt auf
Gestern veröffentlichte Microsoft nun weitere Informationen zur XBox und klärt erfreulich deutlich über die datenschutzrechtlichen Implikationen der Konsole auf.
Continue reading

Apps und Datenschutz – Bayerische Datenschützer stellen erhebliche Mängel fest

Das Bayerische Landesamt für Datenschutz (BayLDA) erklärt in einer Pressemitteilung, dass nach einer Prüfung von 30 Apps bayerischer Anbieter „erhebliche Mängel bei der Information über den Umgang mit Daten festgestellt“ wurden. Diese Prüfaktion wurde im Rahmen des „International Internet Sweep Day“ mit Datenschutzaufsichtsbehörden aus 25 Ländern durchgeführt, um Internetseiten und Apps auf Transparenz im Umgang mit personenbezogenen Daten zu prüfen.

Die Beanstandungen

Laut dem BayLDA bezog sich die Prüfung zunächst allein auf die Transparenz, Verfügbarkeit und Verständlichkeit der Datenschutzerklärungen. Dass „lediglich ca. 25 % der geprüften Apps über eine App-spezifische Datenschutzerklärung verfügten, ist erschreckend“, so Thomas Kranig, der Präsident des BayLDA.
Continue reading

Europa gegen Google? – Die “Task-Force” macht ernst

Die Privatsphäre-Bestimmungen von Google kommen auf den Prüfstand. Wie die französische Datenschutzbehörde (CNIL) sowie auch der Hamburgische Beauftrage für Datenschutz und Datensicherheit in Pressemitteilungen verkündeten, werden in sechs europäischen Ländern Untersuchungen und Prüfungen der jeweiligen Datenverarbeitungspraxis auf Grundlage der bestehenden Datenschutzerklärung (für Deutschland) von Google vorgenommen. Je nach Ausgang dieser Verfahren könnten aufsichtbehördliche Maßnahmen, wie etwa Bußgelder, die Folge sein.

Was war geschehen?
Im Februar 2012 wurde die CNIL von der Art. 29 Datenschutzgruppe (dem obersten Gremium europäischer Datenschutzbehörden) darum gebeten, die Bildung und Führung einer sog. „Task-Force“ zu übernehmen, um die damals kurz bevorstehende (und dann realisierte) Neueinführung der Datenschutzbestimmungen von Google auf deren Datenschutzrechtskonformität zu untersuchen. Der Konzern aus Amerika verwendet seitdem eine einheitliche Datenschutzerklärung für seine verschiedenen Dienste.
Continue reading