Datenschutzreform: Die Schlussverhandlungen starten. Überblick zu den ersten Themen.

Am 14. Juli wird das nächste Treffen von Vertretern der EU-Kommission, des EU-Parlaments und des Rates im Rahmen der Trilog-Verhandlungen stattfinden.

Bereits am 24. Juni hat man sich erstmals zusammengesetzt und die Arbeitsweise und einen groben „Fahrplan“ für die Verhandlungen zur Datenschutz-Grundverordnung (DS-GVO) erarbeitet und abgestimmt.

In einem nun veröffentlichten Dokument  (PDF) der kommenden luxemburgischen Ratspräsidentschaft an die Arbeitsgruppe „Datenschutz“ (DAPIX) im Rat, werden die Themen des nächsten Trilog-Treffens und die verschiedenen Verhandlungspositionen dargestellt.

Aus dem Verhandlungsdokument geht hervor, dass sich alle beteiligten Parteien darauf verständigt haben, als gemeinsames Ziel einen Abschluss der Verhandlungen bis Ende 2015 zu erreichen. In diesem Punkt scheint daher schon einmal Einigkeit zu herrschen. Und das Signal ist klar: die Datenschutzreform soll so schnell wie möglich kommen.

Inhaltliche Arbeit ist nur noch punktuell möglich

Der dadurch verursachte Zeitdruck auf die Beteiligten wird freilich auch Folgen auf den Inhalt der Verhandlungen haben. Das sollte man jedoch nicht als etwas Außergewöhnliches ansehen, sondern als eine logische Folge der in den vergangenen Wochen gefällten politischen Entscheidungen. Was dies für die Datenschutz-Grundverordnung selbst (also die Inhalte) bedeutet, kann man nur vermuten. Meines Erachtens muss es jedoch darauf hinauslaufen, dass die Trilog-Verhandlungen zumindest teilweise zu einer „ich gebe dir, du gibst mir“-Veranstaltung werden. Es ist einfach schlicht unmöglich, noch einmal groß inhaltlich in jeden Artikel der Verordnung einzusteigen. Dafür fehlt die Zeit, wenn man Ende 2015 fertig sein möchte (zumal der Dezember ja praktisch auch nur ein halber Arbeitsmonat ist). Dass Positionen aufgegeben werden müssen, um an anderer Stelle seinen Willen zu bekommen, ist meines Erachtens per se auch nichts Schlimmes. Wichtig hierbei ist natürlich, auf eine ausgewogene Balance zu achten. Und vor allem, dass jede Partei verhandlungsbereit ist. Wenn sich ein Trilog-Spieler weigert und jegliche Kooperation ablehnt, dann sehe ich das Ziel „Ende 2015“ in weite Ferne rücken.

Zur anstehenden Verhandlungsrunde

Dennoch wird man sich freilich auch mit den Spezifikationen einzelner wichtiger Artikel befassen müssen. Bei dem nächsten Treffen sollen dies vor allem Themen des räumlichen Anwendungsbereichs und der internationalen Datentransfers (auch in Drittstaaten) sein. Zu diesen und den abweichenden Positionen der Verhandlungsparteien, ein paar kurze Anmerkungen.

Beim Thema „räumlicher Anwendungsbereich“ (Art. 3 DS-GVO)  dürfte von Interesse sein, dass das Parlament in seinem Entwurf in Art. 3 Abs. 2, also dem Sachverhalt, dass eine verantwortliche Stelle außerhalb des EWR sitzt, die DS-GVO auch auf außerhalb des EWR sitzende Auftragsverarbeiter erstrecken möchte. Kommission und Rat beziehen sich allein auf die verantwortliche Stelle.

Beim Thema „Drittstaatentransfers“ müssen sich die Parteien des Trilogs auch Gedanken drüber machen, was mit alten (also unter der geltenden Datenschutz-Richtlinie) gefassten Angemessenheitsbeschlüssen durch die Kommission und auch mit Genehmigung von Transfers durch nationale Aufsichtsbehörden (z.B. Binding Corporate Rules oder auch speziell erarbeitet Verträge) geschieht, wenn die DS-GVO in Kraft ist. Denn die Voraussetzungen für Angemessenheitsbeschlüsse oder auch Genehmigungen von Aufsichtsbehörden, werden sich natürlich verändern.

Hier unterscheiden sich die Positionen von Rat und Kommission einerseits und dem Parlament andererseits (vgl. Art. 41). Rat und Kommission schlagen vor, dass bestehende Angemessenheitsbeschlüsse wirksam bleiben, bis sie angepasst oder aufgehoben werden. Das Parlament möchte derartigen Angemessenheitsbeschlüssen daneben jedoch ein fixes Ablaufdatum aufdrücken. Spätestens 5 Jahre nach in Kraft treten der DS-GVO würden die Beschlüsse unwirksam, es sei denn, sie werden vorher aufgehoben oder angepasst.

Hiervon betroffen wäre etwa der in der Praxis wichtige Safe Harbor-Beschluss der Kommission, der Datenübermittlung zu selbstzertifizierten Stellen in den USA ermöglicht.

Die DS-GVO ist auf der Zielgeraden. Wie lang der Schlusssprint jedoch wird, dies wird sich erst in den nächsten Monaten zeigen. Denn zu Beginn der Trilog-Verhandlungen wird man sich vor allem mit Themen befassen, bei denen es im Groben keine Fundamentalunterschiede gibt. Zum Ende hin, kommen dann „Klopper“ auf den Tisch. Spannende Zeiten für den europäischen Datenschutz stehen also bevor.

EuGH-Generalanwalt zur Frage des anwendbaren Datenschutzrechts und der Zuständigkeit von Datenschutzbehörden

Heute hat der Generalanwalt („GA“) am Europäischen Gerichtshof, Pedro Cruz Villalón, seine Schlussanträge in der Sache „Weltimmo“ (C-230/14) vorgelegt. In diesem Vorabentscheidungsersuchen geht es um zwei wichtige Fragen des europäischen Datenschutzrechts:

  1. Welches Recht ist innerhalb der EU anwendbar auf ein Unternehmen, mit alleinigem Sitz in einem Mitgliedstaat, das jedoch über Internetseiten Dienstleistungen auch in anderen Ländern anbietet?
  2. Welche Kompetenzen besitzen Datenschutzbehörden, wenn es darum geht, gegen Unternehmen vorzugehen, die nicht im Mitgliedstaat der Behörde niedergelassen sind und wenn nicht das Datenschutzrecht des Mitgliedstaates dieser Behörde anwendbar ist?

Zu der Vorlagefrage selbst und auch zu dem Sachverhalt habe ich bereits ausführlich berichtet. Ich möchte mich daher nachfolgend auf eine kurze Zusammenfassung der Feststellungen des Generalanwalts beschränken.

Zum anwendbaren Recht und zum Begriff der Niederlassung (Nr. 1)

In dem Verfahren geht es hinsichtlich des anwendbaren Rechts um Art. 4 Abs. 1 lit. a) der Datenschutz-Richtlinie (RL 95/46/EG, „DS-RL“) in dem es heißt:

Jeder Mitgliedstaat wendet die Vorschriften, die er zur Umsetzung dieser Richtlinie erlässt, auf alle Verarbeitungen personenbezogener Daten an: a) die im Rahmen der Tätigkeiten einer Niederlassung ausgeführt werden, die der für die Verarbeitung Verantwortliche im Hoheitsgebiet dieses Mitgliedstaats besitzt.

Zunächst stellt der GA fest, dass diese Vorschrift als Norm fungiert, die im Verhältnis der Mitgliedstaaten zueinander das anwendbare Recht bestimmt. Art. 4 Abs. 1 lit. a ist daher die entscheidende Vorschrift, die als Kollisionsnorm zwischen den Rechtsordnungen der verschiedenen Mitgliedstaaten das anwendbare Recht bestimmt. Mit dieser Aussage des GA wird meines Erachtens auch deutlich, dass eine Rechtswahl des Datenschutzrechts derzeit gerade nicht möglich ist. Welches nationale Datenschutzrecht bindend gilt, ergibt sich eben gerade aus der oben bezeichneten Kollisionsnorm.

Für die korrekte Anwendung von Art. 4 Abs. 1 lit. a DS-RL kommt es entscheidend darauf an, wie der Begriff der „Niederlassung“ ausgelegt wird. So prüft dann auch der GA zunächst, ob Weltimmo eine Niederlassung auf ungarischem Staatsgebiet besitzt. In einem zweiten Schritt wird es um das Merkmal „im Rahmen der Tätigkeit“ gehen und die Frage zu beantworten sein, ob die Datenverarbeitung im Bereich der Tätigkeit dieser Niederlassung stattgefunden hat.

Zunächst geht der GA darauf ein, dass das Unionsrecht besonderen Wert auf einen Begriff der Niederlassung legt, die sich auf die effektive Ausübung der wirtschaftlichen Tätigkeiten und auf einen gewissen Grad an Beständigkeit stützt. Der GA schlägt vor, den Grad an Beständigkeit der Einrichtung als auch die effektive Ausübung der wirtschaftlichen Tätigkeiten unter Beachtung des besonderen Charakters dieser Tätigkeiten und der in Rede stehenden Dienstleistungen auszulegen.

Danach geht der GA speziell auf die Situation eines ausschließlich über das Internet tätigen Unternehmens ein.

Nach Ansicht des GA kann unter bestimmten Umständen ein Vertreter eines Unternehmens mit dauerhafter Präsenz und wenig mehr als einem tragbaren Computer eine ausreichende Struktur darstellen, um eine effektive, tatsächliche Tätigkeit mit einem ausreichenden Grad an Beständigkeit in einem anderen Mitgliedstaat durchzuführen, als jenem der Hauptniederlassung des Unternehmens. Daher sei es, laut dem GA, notwendig, bei der Bewertung dieser personellen und technischen Mittel sorgfältig die Eigenheiten von Unternehmen zu berücksichtigen, die Leistungen über das Internet anbieten, wobei auf die Besonderheiten der jeweiligen konkreten Situation einzugehen ist.

Zudem macht der GA weitere wichtige Anmerkungen, zu den gerade nicht mit in die Prüfung des anwendbaren Rechts einzubeziehenden Faktoren. So haben, meines Erachtens richtigerweise,

„der Ort, von dem aus die Daten eingegeben wurden, der Mitgliedstaat, auf den die Dienstleistungen ausgerichtet sind, die Staatsangehörigkeit der Betroffenen oder der Ort, an dem die Eigentümer des Unternehmens ihren Wohnsitz haben“

keinen direkten und entscheidenden Einfluss auf die Bestimmung des anzuwendenden Rechts.

Hinsichtlich des weiteren Merkmals von Art. 4 Abs. 1 lit. a DS-RL („im Rahmen der Tätigkeit“), verweist der AG vor allem auf das Urteil des EuGH in Sachen „Google Spain“ (C-131/12).

Für den GA ist jedoch klar, dass wenn die tatsächlichen Feststellungen ergeben sollten, dass Weltimmo ausschließlich in der Slowakei niedergelassen ist, auch nicht ungarisches Datenschutzrecht gelten kann. Selbst wenn Dienstleistungen in der Slowakei angeboten werden. Der GA dazu:

… in dem Sinne zu beantworten, dass Art. 4 Abs. 1 Buchst. a der Richtlinie 95/46 es der ungarischen Datenschutzbehörde verwehrt, das ungarische Recht auf einen für die Datenverarbeitung Verantwortlichen anzuwenden, der ausschließlich in einem anderen Mitgliedstaat niedergelassen ist.

Diese Aussage, so sie denn der EuGH in seinem späteren Urteil bestätigen sollte, wäre für in der EU niedergelassene Unternehmen, die ihre relevante Hauptniederlassung in einem Land konzentrieren, besonders relevant.

Zur zuständigen Aufsichtsbehörde und zu den möglichen Aufsichtsmaßnahmen (Nr. 2)

Sodann geht der GA auf die Vorlagefrage ein, ob es denn möglich wäre, dass zwar slowakisches Datenschutzrecht anwendbar wäre, die ungarische Datenschutzbehörde dennoch Sanktionen verhängen oder die Rechtswidrigkeit der Datenverarbeitung feststellen könnte.

Bereits vorweg: der GA verneint diese Möglichkeit.

Der Kern der Frage, welche Kompetenzen mitgliedstaatliche Aufsichtsbehörden innerhalb der EU über Landesgrenzen hinweg ausüben können, ist von besonderer Praxisrelevanz und spielt auch im Rahmen der finalen Verhandlungen zur Datenschutz-Grundverordnung und dem sog. One stop shop eine wichtige Rolle. Immerhin geht es um das Handeln staatlicher Institutionen und die Ausübung hoheitlicher Befugnisse in anderen Mitgliedstaaten. So führt auch der GA aus:

In der Tat ist im Zusammenhang mit der Zuständigkeit öffentlicher Stellen und folglich mit der Ausübung öffentlich-rechtlicher Hoheitsbefugnisse, insbesondere der Sanktionsbefugnis, unbedingt von den Anforderungen auszugehen, die sich aus den Grundsätzen der territorialen Souveränität des Staates, der Gesetzmäßigkeit der Verwaltung und damit letztlich dem Begriff des Rechtsstaats ergeben.

Die Ausübung von Sanktionsgewalt kann, so der GA, grundsätzlich nicht außerhalb der gesetzlichen Grenzen stattfinden, in denen eine Behörde nach ihrem nationalen Recht ermächtigt ist. Eine Abweichung von dieser Regel scheint zumindest eine spezielle gesetzliche Grundlage zu erfordern, die die Anwendung des öffentlichen Rechts eines anderen Mitgliedstaats erlaubt und abgrenzt. Eine solche gesetzliche Regelung existiert derzeit jedoch nicht. Zu untersuchen ist hier insbesondere Art. 28 Abs. 6 S. 1 DS-RL. Dieser lautet:

Jede Kontrollstelle ist im Hoheitsgebiet ihres Mitgliedstaats für die Ausübung der ihr gemäß Absatz 3 übertragenen Befugnisse zuständig, unabhängig vom einzelstaatlichen Recht, das auf die jeweilige Verarbeitung anwendbar ist.

Der referenzierte Art. 28 Abs. 3 DS-RL listet verschiedene Rechte der Aufsichtsbehörde auf (Untersuchungsbefugnis, Einwirkungsbefugnis und Klagebefugnis). Jedoch gerade nicht die Sanktionsbefugnis. Zwar erlauben die Vorschriften der DS-RL nach Ansicht des GA, dass die Behörde eines Mitgliedstaats die in ihrem Hoheitsgebiet ausgeübten Tätigkeiten überwacht, und zwar auch dann, wenn das Recht eines anderen Mitgliedstaats anwendbar ist. Letztlich besitzen die Aufsichtsbehörden unabhängig vom im Einzelfall anzuwendenden Recht die Untersuchungs- und Einwirkungsbefugnisse, die in Art. 28 Abs. 3 DS-RL genannt sind, allerdings allein in der in ihrem nationalen Recht geregelten Form, im Bereich ihrer geografischen Zuständigkeit.

Möchte also eine Aufsichtsbehörde eines Mitgliedstaates, dessen Datenschutzrecht auf die betreffende Datenverarbeitung nicht anwendbar ist, auch Sanktionen gegen den Verantwortlichen verhängen, so kann sie dies nicht selbst tun. Jedoch hat sie die Möglichkeit, unter Berücksichtigung der Verpflichtung zur Zusammenarbeit der Datenschutzbehörden nach Art. 28 Abs. 6 DS-RL die Behörde des Mitgliedstaats, dessen Recht auf die Datenverarbeitung anwendbar ist, zu ersuchen, die eventuelle Feststellung eines Verstoßes gegen das anwendbare Recht und die eventuelle Verhängung von Sanktionen auf der Grundlage der eingeholten Informationen vorzunehmen. Die unzuständige Behörde besitzt nach Ansicht des GA also durchaus ein Grundgerüst an möglichen Handlungen, jedoch steht ihr nicht die Befugnis zu, eine Datenverarbeitung eines Verantwortlichen aus einem anderen Mitgliedstaat offiziell als rechtswidrig zu bescheiden oder etwa ein Bußgeld zu verhängen.

In Deutschland dürften diese Ausführungen insbesondere für Verfahren gegen Facebook interessant sein. Denn wenn irisches Datenschutzrecht gilt (also keine relevante Niederlassung in Deutschland existiert), so ist die irische Datenschutzbehörde nach Ansicht des GA zumindest für Sanktionen und die Feststellung von rechtswidrigen Verarbeitungen allein verantwortlich.

Der GA führt abschließend aus:

Insbesondere müssen eine eventuelle Feststellung der Rechtswidrigkeit der Datenverarbeitung und die gleichfalls eventuelle Verhängung von Sanktionen, die sich daraus ergibt, in jedem Fall durch die Behörde des Staates erfolgen, dessen materielles Recht nach dem Anknüpfungskriterium von Art. 4 Abs. 1 Buchst. a der Richtlinie auf die Datenverarbeitung anwendbar ist.

All diese Fragen sind hiermit freilich nicht final entschieden. Das Urteil des EuGH steht noch aus. Die Thematik ist jedoch, wie erwähnt, von besonderer Praxisrelevanz und dürfte gerade auch im Trilog zur Datenschutz-Grundverordnung auf den Tisch kommen.

Cookie-Richtlinie in Deutschland doch nicht umgesetzt?

Es ist eine Neverending Story. Die Frage der (Nicht-)Umsetzung der sog. Cookie-Richtlinie (RL 2002/58/ EG, in der Fassung der RL 2009/136/EG) in Deutschland.

Im Februar 2015 kritisierten die deutschen Datenschutzbehörden die Bundesregierung wegen einer, ihrer Ansicht nach, mangelnden Umsetzung der europäischen Vorgaben im deutschen Recht (hierzu mein Blogbeitrag). Das Erfordernis der vorherigen Einwilligung nach Art. 5 Abs. 3 Cookie-Richtlinie sei nach Ansicht der Behörden im deutschen Datenschutzrecht (namentlich im TMG) nicht richtlinienkonform implementiert.

Ganz anders sah dies sowohl die Europäische Kommission und auch das Bundeswirtschaftsministerium. Im Februar 2014 erhielten die Kollegen bei Telemedicus die Information, dass die Cookie-Richtlinie sehrwohl umgesetzt sei. Über die Ungereimtheiten berichtete der Kollege Adrian Schneider.

Nun ist eine aus dem Januar 2015 stammende Studie für die Europäische Kommission zur Umsetzung der Cookie-Richtlinie in den Mitgliedstaaten veröffentlicht worden (PDF). Die Aussage dort:

When looking at the way Article 5.3 has been transposed by the Member States, a first observation to make is that this provision has not been transposed by the German legislature.

Also doch keine Umsetzung in Deutschland? Dieses Hin und Her um die Cookie-Richtlinie grenzt schon langsam an ein komödiantisches Schauspiel, wenn es dabei nicht um für die Internetwirtschaft durchaus wichtige Fragen gehen würde.

Verhältnis zur geplanten Datenschutz-Grundverordnung
Die erwähnte Studie befasst sich daneben auch mit der Frage, in welchem Verhältnis die Vorgaben der Cookie-Richtlinie zu der geplanten Datenschutz-Grundverordnung (DS-GV) stehen werden. Im Mai 2015 hatte ich bereits berichtet, dass die Europäische Kommission davon auszugehen scheint, dass die Cookie-Richtlinie (in ihrem Anwendungsbereich) der DS-GVO als Spezialgesetz (lex specialis) vorgeht.

Diese Auffassung scheint auch die veröffentlichte Studie zu stützen (ab S. 112). Jedoch wird dort darauf hingewiesen, dass eine EU-Richtlinie die zukünftige DS-GVO als EU-Verordnung nicht detaillieren oder ergänzen kann. Denn die Verordnung steht als Rechtsakt sozusagen über der Richtlinie. Aus diesem Grund soll auch durch die DS-GVO, in Art. 89 vorgeschrieben werden, dass Art. 1 Abs. 2 der Cookie-Richtlinie gestrichen wird. Dieser besagt:

Die Bestimmungen dieser Richtlinie stellen eine Detaillierung und Ergänzung der Richtlinie 95/46/EG…dar.

Eine solche Detaillierung der DS-GVO durch die Cookie-Richtlinie ist jedoch nicht möglich. Mitgliedstaaten könnten nicht durch Vorgaben einer Richtlinie dazu verpflichtet werden, von den Regelungen einer Verordnung abzuweichen. Aufgrund dessen auch die Streichung in der Cookie-Richtlinie.

Für die Zukunft schlägt die Studie vor, dass die Cookie-Richtlinie in eine Verordnung umgewandelt wird. Dies könnte das Zusammenspiel der beiden Instrumente vereinfachen, da sie dann auf einer gesetzlichen Ebene stehen.

Datenschutzreform: Das gesamte deutsche Datenschutzrecht muss überprüft werden

Gestern hat sich der Rat der Europäischen Union auf eine gemeinsame Position zur Datenschutz-Grundverordnung (DS-GVO) verständigt. Damit können nun die Trilog-Verhandlungen zwischen Kommission, Rat und europäischem Parlament beginnen (mein Beitrag hierzu bei LTO).

Für Deutschland waren die Minister Maas und de Maiziére in Luxemburg und nahmen an der Verhandlung teil. Erklärtes Ziel der deutschen Minister ist es, einen abgestimmten Gesetzestext möglichst bis Ende 2015 zu verhandeln, so dass die DS-GVO Ende 2017/Anfang 2018, nach zweijähriger Übergangsfrist, in Kraft treten kann.

Welche Auswirkungen die Datenschutzreform gerade auch für das Datenschutzrecht in Deutschland besitzt, darüber hat Innenminister de Maizière seine Fraktionskollegen der CDU/CSU-Bundestagsfraktion in einem Informationsschreiben vom 15. Juni 2015 unterrichtet, welches mir vorliegt.

Zentral beginnt das Schreiben des Ministers mit der Klarstellung:

Das deutsche Datenschutzrecht wird durch EU-Recht ersetzt.

Mit Blick auf die nun anstehenden Trilog-Verhandlungen (einen vorläufigen Zeitplan findet man hier) kündigt der Innenminister an, dass man auch im Trilog entschlossen auf eine zügige Einigung hinarbeiten wolle. Die Verhandlungen sollen noch im Jahr 2015 abgeschlossen werden.

In Deutschland werden sich viele Unternehmen, Vereine, Behörden unter andere Organisationen die Frage stellen, ob in der zweijährigen Übergangsfrist noch Veränderungen anstehen oder ob man eventuell einfach abwartet, bis es soweit ist.

Die Antwort des Ministers ist klar:

In dieser Zeit müssen wir in Deutschland das gesamte Datenschutzrecht sorgfältig überprüfen und die notwendigen Anpassungen auf den Weg bringen, damit sie gleichzeitig mit der Grundverordnung wirksam werden können.

Minister de Maizière spielt hier vor allem auf die Auswirkungen von Öffnungsklauseln in der DS-GVO an, die es den Mitgliedstaaten (in gewissen Bereichen) erlauben werden, spezifische Regelungen für bestimmte Themenbereiche (etwa den Arbeitnehmer- oder Sozialdatenschutz) zu erlassen.

Die Folgen der DS-GVO dürften praktisch in jedem Lebens- und vor allem Wirtschaftsbereich zu spüren sein. Zumindest soweit sich die neuen Regelungen von bereits jetzt bestehenden unterscheiden.

Der Minister stellt daher richterweise fest:

Die EU-Datenschutzreform wird große Auswirkungen für Bürger, Wirtschaft, Staat und Verwaltung haben.

Gleichzeitig verweist er jedoch darauf, dass viele bekannte Vorgaben und Prinzipien aus der geltenden EU-Datenschutzrichtlinie und dem deutschen Datenschutzrecht nicht einfach verschwinden werden.

Mit der Datenschutzreform wird das Rad nicht neu erfunden.

Man darf also gespannt sein, wie letztlich die fertige DS-GVO aussieht. Der deutsche Gesetzgeber wird in jedem Fall in der nahen Zukunft mit einer kompletten Prüfung und erforderlichenfalls Überarbeitung des deutschen Datenschutzrechts befasst sein.

Datenschutzreform: Vorläufiger Zeitplan für die finalen Trilog-Verhandlungen

Die Verhandlungen zur Datenschutz-Grundverordnung (DS-GVO) sollen nach dem politisch erklärten Ziel der europäischen Staats- und Regierungschefs Ende 2015 abgeschlossen werden. Am 15. und 16. Juni 2015 werden sich die Innen- und Justizminister, so wie es derzeit aussieht, auf eine gemeinsame Position des Rates der Europäischen Union einigen. Danach sollen die informellen Verhandlungen zwischen der Kommission, dem Parlament und dem Rat beginnen.

Diese sog. Trilog-Verhandlungen finden nicht öffentlich statt. Bei diesen Treffen versuchen sich Vertreter der drei involvierten Organe der europäischen Gesetzgebung auf einen gemeinsamen Gesetzestext zu einigen. Über die konkreten Planungen zu diesen Verhandlungen ist, aufgrund ihrer Nicht-Öffentlichkeit, freilich wenig bekannt.

Etwas Licht ins Dunkle der Trilog-Verhandlungen bringt nun ein von der EVP-Fraktion im Europäischen Parlament veröffentlicht vorläufiger Zeitplan. Die nachfolgend genannten Daten und auch die Themen sind, wie beschrieben, zwischen den Beteiligten noch nicht fest vereinbart. Jedoch geben sie einen ersten Überblick darüber, wie die Trilog-Verhandlungen in den nächsten Wochen starten könnten. Hier der Entwurf des Zeitplans:

24. Juni 2015, Brüssel (bedarf noch der Zustimmung von Kommission und Rat)
Erstes Trilog-Treffen zur DS-GVO

Entwurf der Tagesordnung:

  1. Position des Rates zur (ebenfalls zu verhandelnden) Richtlinie
  2. Abstimmung des grundsätzlichen strategischen Fahrplans für die Trilog-Verhandlungen
  3. Generelle Methode und die Herangehensweise an delegierte Rechtsakte der Kommission

14. Juli 2015, Brüssel (bedarf noch der Zustimmung von Kommission und Rat)
Zweites Trilog-Treffen zur DS-GVO

Entwurf der Tagesordnung:

  1. Räumlicher Anwendungsbereich (Artikel 3)
  2. Internationale Datentransfers (Kapitel V)

Weitere geplante Trilog-Verhandlungen (Themenübersicht)
(bedarf noch der Zustimmung von Kommission und Rat)

September

  • Datenschutzprinzipien (Kapitel III)
  • Rechte der Betroffenen (Kapitel III)
  • Verantwortlicher und Auftragsdatenverarbeiter (Kapitel IV)

Oktober

  • Datenschutzbehörden (Kapitel VI)
  • Kooperationsmechanismen (Kapitel VII)
  • Rechtsmittel, Verantwortlichkeit und Strafen (Kapitel VIII)

November

  • Zielsetzungen und maetrieller Anwendungsbereich, Flexibilität im öffentlicher Sektor (Kapitel I)
  • Besondere Vorschriften (Kapitel IX)

Dezember

  • Deleigierte Rechtsakte (Kapitel X)
  • Schlussbestimmungen (Kapitel XI)
  • Weitere offene Themen

Datenschutzreform: Deutschland fordert mehr Sicherheit bei internationalen Datentransfers

Wie bereits berichtet, stehen die Verhandlungen im Rat der Europäischen Union zur geplanten Datenschutz-Grundverordnung (DS-GVO) kurz vor ihrer finalen Phase. Im Juni soll der Ministerrat den gemeinsamen Standpunkt beschließen, um danach mit der Kommission und dem europäischen Parlament in die sog. Trilog-Verhandlungen einsteigen zu können.

Die deutsche Delegation möchte die noch verbleibende Zeit für Änderungen am Gesetzestext im Gremium der Mitgliedstaaten offensichtlich so gut wie möglich nutzen und schlägt in einem Arbeitspapier vom 18. Mai 2015 (PDF) in der zuständigen Ratsarbeitsgruppe (Dapix) einige wichtige Änderungen an den geplanten zukünftigen Vorschriften zur Regelung von internationalen Datentransfers vor. Zudem sollen, nach dem Willen Deutschlands, personenbezogene Daten aus Europa besser vor einem unkontrollierten Zugriff durch Behörden aus Drittstaaten geschützt werden.

Anforderungen an einen neuen ‚Safe Harbor‘
Die deutsche Delegation möchte Artikel 41, in dem es um die Voraussetzungen für die Feststellung eines angemessenen Schutzniveaus für personenbezogene Daten in Staaten außerhalb des Europäischen Wirtschaftraums geht, anpassen. Nach geltender und auch derzeit geplanter zukünftiger Rechtslage, dürfen personenbezogene Daten grundsätzlich nicht in Drittstaaten transferiert werden. Es bestehen jedoch Ausnahmen, wie etwa der Abschluss sog. Standardvertragsklauseln oder das Vorliegen eines Angemessenheitsbeschlusses der Kommission, in dem sie einen angemessenen Schutz von personenbezogenen Daten in einem Drittstaat feststellen kann. Dann sind Übermittlungen in dieses Land grundsätzlich erlaubt.

Besonders in der Kritik stand zuletzt der Angemessenheitsbeschluss der Kommission für Datentransfers in die USA, das sog. Safe Harbor-Abkommen (wobei es sich eigentlich nicht um ein internationales Abkommen handelt. Zur Rechtsnatur von Safe Harbor, hatte ich bereits gebloggt).

Deutschland möchte nun besondere Voraussetzungen in der DS-GVO festschreiben, die erfüllt sein sollten, um ein angemessenes Schutzniveau für Daten attestieren zu können. Im Prinzip also eine Art Checkliste für die Kommission. Wenn der Drittstaat eine internationale Vereinbarung zum Datenschutz oder andere internationale Verpflichtungen mit anderen Staaten eingegangen ist, so sollte sich der Drittstaat vor allem dazu verpflichten, dass

  • eine effektive Aufsicht durch Behörden, insbesondere durch die Beteiligung europäischer Datenschutzbehörden, sichergestellt ist, und
  • den Betroffenen muss die Möglichkeit effektiver Rechtsschutzmechanismen eröffnet werden.

Diese Forderungen sind nicht unkritisch. Handelt es sich doch gerade bei dem letzten Punkt um jenes Thema, welches sowohl im Rahmen der derzeitigen Verhandlungen zur Überarbeitung von Safe Harbor als auch im Rahmen des EU-US Datenschutzabkommens für den Bereich der Justiz und Strafverfolgung für den meisten Diskussionsstoff sorgt.

Eingeschränkte Anti-FISA-Klausel
Zudem schlägt die deutsche Delegation die (Wieder-)Einführung der sog. „Anti-FISA-Klausel“ vor (neuer Artikel 42a). Zumindest eingeschränkt.

Hierbei handelt es sich um eine Bestimmung, welche die Weitergabe von Daten aus Europa auf Verlangen von Gerichten und Behörden aus Drittstaaten grundsätzlich verbieten und von der Zustimmung europäischer Datenschutzbehörden abhängig machen soll. Im ersten offiziellen Entwurf der DS-GVO war diese Klausel nicht enthalten. In einer früheren inoffiziellen Fassung existierte sie noch.

Das Europäische Parlament hat die Wiedereinführung dieser Klausel ebenfalls im Rahmen seiner Stellungnahme zur DS-GVO im März 2014 gefordert (dort Artikel 43a).

Im Unterschied zum Vorschlag des Parlaments möchte Deutschland das Weitergabeverbot von Daten an Behörden aus Drittstaaten jedoch dann nicht zur Anwendung bringen, wenn diese Anfragen im Rahmen von Rechtshilfeabkommen oder anderer internationaler Vereinbarung erfolgen. Zudem soll eine Autorisierung durch eine europäische Datenschutzbehörde dann nicht erforderlich sein, wenn die Datenweitergabe dem Zweck der Aufklärung oder Verfolgung von Straftaten dient. Das Parlament sah entsprechende Ausnahmen nicht vor.

Fazit
Salopp ausgedrückt, gibt Deutschland auf den letzten Metern der Verhandlungen zur DS-GVO noch einmal Gas. Dies vor allem im Sinne einer Erhöhung der Anforderungen an den Schutz von personenbezogenen Daten. Leider stand das deutsche Verhalten im Rat in den letzten Monaten öffentlich eher in der Kritik. Vielleicht wird ja nun auch einmal über positive Vorstöße berichtet.

Europäische Datenschutzbehörden fordern mehr Mittel und praxistaugliche Gesetze

Vom 18. – 20. Mai 2015 trafen sich Vertreter der Datenschutzbehörden der EU-Mitgliedstaaten und des Europarates zu einer Frühjahrskonferenz in Manchester. Diskutiert wurde über Themen von gemeinsamem Interesse. Besonders im Vordergrund stand dieses Jahr die mangelnde finanzielle als auch personelle Ausstattung staatlicher Aufsichtsbehörden und ihre Wahrnehmung in der Öffentlichkeit.

Die Vertreter der Datenschutzbehörden verabschiedeten vor diesem Hintergrund eine Resolution („Meeting data protection expectations in the digital future“, PDF), die sich eindringlich an die Mitgliedstaaten wendet und für die Tätigkeit der Aufsichtsbehörden, vor allem die Kontrolle und Durchsetzung des Grundrechts auf Schutz personenbezogener Daten in Europa, mehr finanzielle und personelle Mittel verlangt. Andernfalls könnten die Datenschützer die ihnen obliegenden Aufgaben nicht mehr wahrnehmen.

Forderung nach mehr Mitteln
Direkt an die europäischen Regierungen wendet sich die Forderung der Datenschützer, sicherzustellen, dass die finanzielle Unterstützung der Behörden ausreicht, um die weiter an ihre Arbeit gestiegenen Anforderungen erfüllen zu können. Hierzu gehöre auch eine Förderung der internationalen Zusammenarbeit von Behörden, wobei die Unabhängigkeit der Aufsichtsstellen nicht gefährdet werden dürfe. Die Datenschützer verweisen zur Untermauerung ihrer Forderung auf drei Urteile des Gerichtshofs der Europäischen Union (C-518/07; C-614/10; C-288/12), in denen die Unabhängigkeit und die finanzielle und personelle Ausstattung der Behörden als erforderliches Mittel zur Gewährleistung des Datenschutzes in Europa als Grundrecht bekräftigt wurde.

Einfaches Datenschutzrecht
Zudem wenden sich die Datenschützer an den europäischen Gesetzgeber. Dieser müsse sicherstellen, dass die nächste Generation von Datenschutzgesetzen in einer klaren und einfachen Sprache verfasst werden, so dass sie von denjenigen Adressaten verstanden und auch umgesetzt werden können, für die sich gedacht sind: Unternehmen, Betroffene und Aufsichtsbehörden. Nur so könne ein hohes Datenschutzniveau auch in der Praxis tatsächlich durchgesetzt werden.

Datenschutzreform: Wer haftet für rechtswidrige Datenverarbeitungen?

Die Verhandlungen zur Datenschutz-Grundverordnung (DS-GVO) nähern sich einem wichtigen Zwischenstopp- Bei dem nächsten Treffen der Justiz- und Innenminister in Brüssel (15.16. Juni 2015), will der Rat der Europäischen Union seine gemeinsame Position zur DS-GVO verabschieden. Danach würden die Verhandlungen zwischen Kommission, Parlament und dem Rat beginnen.

Dies bedeutet gleichzeitig auch noch einmal Hochbetrieb bei den Delegationen der Mitgliedstaaten im Rat, um letzte Vorschläge für Textänderungen einzubringen.

Auch die deutsche Delegation erhöht noch einmal die Schlagzahl. In einem Dokument vom 21. April 2015 (PDF) schlägt Deutschland Anpassungen bei der Frage vor, wer unter welchen Umständen für Verstöße gegen die Vorgaben der DS-GVO haftet. Deutschland geht es, aufgrund der hohen praktischen Relevanz dieses Themas, vor allem darum, klare und verständliche Vorgaben für Unternehmen, Behörden und auch Betroffene zu schaffen.

Immaterieller Schaden

Die deutsche Delegation schlägt eine Anpassung des Artikels 77 der DS-GVO dergestalt vor, dass zunächst klar geregelt wird, dass Schadenersatzansprüche von Betroffenen sowohl materielle als auch immaterielle Schadenspositionen umfassen. Dieser Vorschlag wird vor allem das Parlament freuen, da auch dessen Position eine solche Klarstellung vorsieht. Gerade bei einem möglichen immateriellen Schaden wird sich das praktische Problem der Beweisbarkeit stellen. Wer muss also den Schaden nachweisen? Nach Ansicht der EU-Kommission obliegt es dem Betroffenen zu beweisen, dass ein materieller oder auch immaterieller Schaden vorliegt (vgl. in diesem Dokument mit einer Gegenüberstellung der Positionen aus Kommission, Parlament und Rat, S. 564, Fn. 426, PDF).

Grundsatz: Haftung des für die Verarbeitung Verantwortlichen
Nach dem Vorschlag der deutschen Delegation soll grundsätzlich der für die Verarbeitung Verantwortliche für Rechtsverstöße gegen die DS-GVO haften. Wie bereits von Kommission und auch Parlament vorgeschlagen, soll der für die Verarbeitung Verantwortliche jedoch die Möglichkeit der Exkulpation besitzen. Er kann also nachweisen, dass der entstandene Schaden nicht aufgrund seines Fehlverhaltens entstanden ist.

Haftung des Auftragsdatenverarbeiters
Ein Auftragsdatenverarbeiter soll nur dann haften, wenn er gegen direkt an ihn gerichtete Pflichten aus der DS-GVO verstoßen hat oder aber wenn er entgegen den Anweisungen des für die Verarbeitung Verantwortlichen gehandelt hat. Auch der Auftragsdatenverarbeiter hat in diesen Fällen die Möglichkeit nachzuweisen, dass der Schaden nicht auf seinem Fehlverhalten beruht. Der deutschen Delegation geht es vor allem darum, dass der für die Verarbeitung Verantwortliche sich nicht einer Haftung entziehen kann, nur weil er einen Dienstleister als Auftragsdatenverarbeiter einsetzt.

Gemeinsame Verantwortlichkeiten
Sollte die Situation eintreten, dass mehrere Verantwortliche eine Datenverarbeitung durchführen oder auch mehrere Auftragsdatenverarbeiter gemeinsam handeln, gegen Pflichten aus der DS-GVO verstoßen, die konkret sie betreffen und sie sich nicht exkulpieren können, dann sind die gemeinsam handelnden für die Verarbeitung Verantwortlichen als auch die gemeinsam handelnden Auftragsdatenverarbeiter sowohl gemeinsam als auch jeder einzeln für den entstandenen Schaden verantwortlich.

Einheitlicher Datenschutz durch #EUDataP? Denkste. Nicht bei Nutzerprofilen für Werbezwecke.

Die Verhandlungen zur geplanten Datenschutz-Grundverordnung (DS-GVO) schreiten voran. Der Rat der Europäischen Union möchte noch im Juni eine gemeinsame Position erzielen, mit der dann in die Trilog-Verhandlungen mit dem Parlament und der Kommission eingestiegen werden kann.

Ein in letzter Zeit gerade von deutschen Politikern immer wieder ins Feld geführter Vorteil der DS-GVO wird es sein, dass grundsätzlich ein einheitliches Datenschutzrecht für Europa geschaffen wird. Ein „level playing field“. Doch wenn der Jurist „grundsätzlich“ sagt, dann gibt es immer mindestens eine Ausnahme. Und diese Ausnahme wird, nach derzeitigem Stand, die Erstellung von Profilen unter Pseudonym (etwa durch Cookies) im Internet sein. In Deutschland gilt in diesen Fällen nach § 15 Abs. 3 TMG ein Opt-out-Prinzip. Der Nutzer muss auf sein Widerspruchsrecht hingewiesen werden. In anderen europäischen Ländern gilt ein Opt-in, also die vorherige Einwilligung.

Diese Unterschiede ergeben sich aus einer uneinheitlichen Umsetzung der europäischen Richtlinie 2002/58/EG (geändert durch RL 2009/136/EG; sog. ePrivacy-RL). Als eine Richtlinie macht dieses Instrument den Mitgliedstaaten nur generelle Vorgaben, welchen Inhalt nationale Gesetze haben müssen. Daher exisitiert auch eine in den Mitgliedstaaten uneinheitliche Umsetzung im jeweiligen Recht.

Art. 5 Abs. 3 der RL 2002/58/EG besagt, dass die Mitgliedstaaten sicherstellen müssen, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie 95/46/EG u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat.

Eigentlich, so denkt man, wird hier klar eine Einwilligungspflicht vorgeschrieben. Und dies vor allem nicht nur für „personenbezogene Daten“, sondern für die Speicherung von Informationen (!) oder den Zugriff auf solche. In Deutschland war lange unklar, ob das geltende Telemediengesetz diese Vorgaben wirklich umsetzt.

Seit Februar 2014 und einem Artikel von Adrian Schneider auf Telemedicus wissen wir jedoch: sowohl die EU-Kommission als auch das Bundeswirtschaftsministerium gehen davon aus, dass die ePrivacy-RL in Deutschland umgesetzt wurde. Interessanterweise sehen das übrigens auch die europäischen Datenschützer (versammelt in der Art. 29 Gruppe) so. Dies ergibt sich aus einer Stellungnahme aus dem Jahr 2013 (WP 208, dort S. 2). Dort geht die Art. 29 Gruppe davon aus, dass die ePrivacy-RL seit Januar 2013 in allen EU-Staaten umgesetzt wurde.

Schön. Nun wissen wir also, dass unser geltendes TMG die europäischen Vorgaben nach Ansicht der zuständigen Stellen umsetzt.

Und wie komme ich nun zu der Annahme, dass es nach Inkrafttreten der DS-GVO weiterhin dabei bleibt, dass für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellt werden dürfen, sofern der Nutzer dem nicht widerspricht (=Opt-out)?

Diese Woche hat die Europäische Kommission ihre Initiative für den Digitalen Binnenmarkt vorgestellt. Sie behandelt darin viele wichtige Themen. Fast beiläufig findet sich auf S. 47 des Arbeitspapiers (PDF) die Aussage, dass die ePrivacy-RL eine sog. „lex specialis”, also ein spezielles Gesetz, das dem allgemeinen Gesetz (dann der DS-GVO) in ihrem Anwendungsbereich vorgeht. Damit würde auch die Vorgabe aus Art. 5 Abs. 3 der ePrivacy-RL, die ja nach Angaben der Ministerien und der Kommission in Deutschland umgesetzt ist, ebenfalls den Regeln der DS-GVO, etwa zur Bildung von Profilen unter Pseudonymen, vorgehen.

Man könnte nun noch fragen, ob denn die ePrivacy-RL nicht nur für den Bereich der elektronischen Kommunikation ein Spezialgesetzt ist, also etwa das Angebot der Telekommunikationsunternehmen. Meines Erachtens nicht. Denn das besondere an Art. 5 Abs. 3 der ePrivacy-RL ist gerade, dass diese Vorgabe nicht nur auf Betreiber öffentlich zugänglicher elektronischer Kommunikationsdienste und auf Betreiber öffentlicher Kommunikationsnetze in der Gemeinschaft anwendbar ist, sondern für jede Rechtsperson, die Informationen auf intelligente Endgeräte überträgt oder auf diesen Geräten liest, gilt. So im übrigen auch die Art. 29 Gruppe in ihrer Stellungnahme WP 202 (PDF), dort S. 9.

Also, wenn sich nicht innerhalb der Verhandlungen zur DS-GVO etwas am Verhältnis zur ePrivacy-RL ändert oder hierzu eine Klarstellung erfolgt, gilt in Zukunft weiterhin ein uneinheitlicher Datenschutz in Europa, zumindest in Bezug auf die Erstellung von Nutzerprofilen über Cookies zu Werbezwecken unter Pseudonym. Happy level playing field!

Verbandsklagebefugnis im Datenschutzrecht: Bundesregierung lehnt Vorschläge des Bundesrates ab

Bekanntlich wird derzeit ein Gesetzesentwurf der Bundesregierung zur Änderung des Unterlassungsklagengesetzes (UKlaG) im ordentlichen Gesetzgebungsverfahren diskutiert. Vor allem Verbraucherschutzverbände sollen in Zukunft die Möglichkeit erhalten, bestimmte datenschutzrechtswidrige Verarbeitungsvorgänge durch Unternehmen gerichtlich untersagen lassen zu können (hierzu soll ein neuer § 2 Abs. 2 S. 1 Nr. 11 UKlaG eingefügt werden).

Zu dem Regierungsentwurf (mein Beitrag dazu hier), als auch zu der Stellungnahme des Bundesrates hatte ich bereits ausführlich hier geschrieben. Der Gesetzesentwurf liegt nun im Bundestag und muss dort unter anderem im federführenden Ausschuss für Recht und Verbraucherschutz beraten werden.

Veröffentlicht wurde nun auch die Antwort der Bundesregierung auf die Stellungnahme des Bundesrates (in diesem PDF ab S. 42), in der der Bundesrat unter anderem eine Erweiterung des Tatbestandes des § 2 Abs. 2 S. 1 Nr. 11 UKlaG (angreifbar wären demnach nicht nur, wie von der Bundesregierung vorgeschlagen, bestimmte Datenverarbeitungen zu „kommerziellen“ Zwecken, sondern jegliche Datenverarbeitungen) sowie die Einführung eines allgemeinen Kopplungsverbotes von Einwilligung und Abschluss eines Vertrages in § 28 Abs. 3b BDSG vorsah.

Um es kurz zu machen: die Bundesregierung lehnt die Vorschläge des Bundesrates ab.

Zu der vorgeschlagenen Erweiterung des § 2 Abs. 2 S. 1 Nr. 11 UKlaG stellt die Bundesregierung fest, dass die Beschränkung auf Vorschriften, die die Zulässigkeit der Datenerhebung, Datenverarbeitung und Datennutzung zu bestimmten kommerziellen Zwecken betreffen,

vor allem auch im Interesse von kleinen und mittleren Unternehmen die Abmahn- und Klagemöglichkeiten soweit wie möglich konkretisieren

soll.

In Bezug auf den Vorschlag der Einführung eines allgemeinen Kopplungsverbotes im BDSG führt die Bundesregierung aus, dass § 28 BDSG voraussichtlich

ohnehin bald durch Regelungen der EU-Datenschutzgrundverordnung abgelöst werden wird

und die Bundesregierung eine Änderung der Vorschrift schon deshalb nicht für zweckmäßig hält. Mit dieser Argumentation könnte man freilich den gesamten eigenen Gesetzesentwurf torpedieren, da die geplante Datenschutzgrundverordnung auch eine Regelung zur Klagebefugnis von Verbraucherschutzverbänden vorsehen soll und als EU-Verordnung nationalen Vorschriften vorgehen wird.

Diesbezüglich ist jedoch noch zwischen Kommission, Parlament und Rat nicht geklärt, wie die konkrete Ausgestaltung erfolgen soll. Gerade im Rat wurde die Befugnis für Verbände, auf eigene Faust datenschutzrechtliche Verarbeitungstätigkeiten vor Gericht zu bringen, teilweise eingeschränkt. Im Endeffekt könnte es sich bei dem vorliegenden deutschen Gesetz also allein um einen Lückenfüller und eine Gesetzesänderung mit auf der Stirn stehendem Ablaufdatum handeln.

Die weiteren Verhandlungen im Bundestag werden vor dem Hintergrund der widerstreitenden Positionen sicherlich interessant werden.

Zuletzt sei noch darauf hingewiesen, dass die Bundesregierung nach eigenen Angaben in ihrer Antwort derzeit den allgemeinen gesetzgeberischen Handlungsbedarf im Telemediendatenschutz prüft und dazu gegebenenfalls noch ein gesondertes Gesetzgebungsverfahren in dieser Legislaturperiode einleiten wird. Auch Änderungen der datenschutzrechtlichen Vorschriften des Telemediengesetzes (TMG) sind daher möglich, wobei sich auch hier dann die Frage nach einer zukünftigen Kollision mit der Datenschutzgrundverordnung stellen wird.