Entwurf zur EU-Datenschutzverordnung: Weitere Zugeständnisse darf sich der europäische Datenschutz nicht erlauben

Jan Philipp Albrecht (Grüne), Berichterstatter des Europäischen Parlaments für die neue EU-Datenschutzgrundverordnung, hat seinen Berichtsentwurf (PDF) veröffentlicht. Es ist derzeit der wohl sinnvollste, da internetfreundlichste existierende Datenschutzgesetzesentwurf. Zugleich zeugt das Dokument auch von Kompromissen, die der Berichterstatter bereits eingegangen ist. Das ist keine Überraschung: In und außerhalb Brüssels arbeiten mehr Menschen daran, den europäischen Datenschutz zu verwässern als ihn zu verbessern.

Vorgeschichte und Einordnung

Im Januar 2012 hat die EU-Justiz-Kommissarin Viviane Reding ihre Pläne für eine Reform des europäischen Datenschutzes vorgestellt. Entgegen dem Wunsch des Europäischen Parlaments und vieler DatenschützerInnen (PDF) umfasst die Reform zwei Gesetzesvorhaben: eine Richtlinie für die Datenverarbeitung im Polizei- und Justizbereich (PDF) sowie eine Verordnung für den privaten und öffentlichen Bereich (PDF) (also auch Ämter, Behörden etc.). Eine ganzheitliche Lösung war mit den Mitgliedstaaten wohl nicht zu machen. Zudem kam der Verordnungsvorschlag der Kommission gegenüber einer geleakten früheren Fassung bereits abgeschwächt daher – Lobby sei dank. Nichtsdestotrotz verdient die gewählte Rechtsform der Verordnung Beachtung: Verordnungen setzen unmittelbar geltendes Recht in allen Mitgliedsstaaten. Tritt die Verordnung also irgendwann einmal in Kraft, gilt in der gesamten EU ein europäisches Datenschutzrecht für den privaten und öffentlichen Bereich (mit Ausnahme des Polizei- und Justizbereiches). Eine Richtlinie enthält dagegen lediglich Vorgaben, anhand derer die Mitgliedsstaaten Gesetze erlassen sollen (siehe die Richtlinie zur Vorratsdatenspeicherung).

Dem ordentlichen Gesetzgebungsverfahren der EU folgend, wurden die beiden Legislativvorhaben ins Parlament und in den Ministerrat gegeben. Beide Institutionen erarbeiten ihre Änderungswünsche, um dann in gegenseitige Verhandlungen mit der Kommission zu gehen (Trilog). Der Berichtsentwurf ist dabei ein notwendiger Zwischenschritt im Parlament. Er bildet die Diskussionsgrundlage, auf dessen Basis der federführende Ausschuss (in diesem Fall der LIBE-Ausschuss) die Position des Parlaments, den eigentlichen Bericht, für den Trilog abstimmt. Der Berichtsentwurf gibt zudem Hinweise auf den derzeitigen Stand der Diskussion im Parlament sowie auf die Position des Berichterstatters. Das ist wichtig, da er oder sie ja das Parlament im Trilog vertreten. Konkret besteht so ein Berichtsentwurf aus Änderungsvorschlägen (Amendments) für die einzelnen Punkte des Kommissionsvorschlags. Berichterstatter für die Richtlinie ist der Sozialdemokrat Dimitrios Droutsas. Berichterstatter für die Verordnung, um die es im Folgenden gehen soll, ist der erwähnte Jan Philipp Albrecht.

Der Berichtsentwurf: Licht

Eins vorweg: Ich kann an dieser Stelle nicht auf alle Feinheiten des Berichtentwurfs zur Datenschutzgrundverordnung eingehen. Die folgende kleine Analyse soll einen Überblick bieten und eine Anregung sein, sich kritisch mit der Datenschutzreform auseinanderzusetzen. Eine gewisse Grundkenntnis des Kommissionsvorschlags erleichtert das Verständnis. Einführungen bieten Presseberichterstattung, EDRi-Materialien oder der Berichterstatter selbst.

Generell sind die Rechte auf Auskunft über die Daten(verarbeitung) und die Löschung von Daten gegenüber dem Kommissionsvorschlag noch einmal gestärkt bzw. konkretisiert worden (siehe Amendments zu den Artikeln 5 sowie 11-21).

Die Reichweite der Verordnung wurde in den Amendments zu den Artikeln 2 und 3 noch einmal konkretisiert, um möglichst rechtssicher alle öffentlichen und kommerziellen Datenverarbeitungen zu erfassen (auch solche, die als „free services“ gelten).

Neu sind konkrete Definitionen von anonymen (Amendment zu Recital 23) und pseudonymen Daten (Amendment 85 zu Art. 4) sowie Profilbildung (Amendment 87 zu Art. 4). Der springende Punkt dabei: Anonyme Daten fallen aus der Reichweite der Verordnung, aber auch pseudonyme Daten ermöglichen die Aussortierung und gezielte Ansprache von Individuen und sind daher schützenswert (z.B. die IP-Adresse). Die Definition persönlicher Daten wird also erweitert und dabei ein Anreiz zu anonymer Datenverarbeitung geschaffen. Das Thema „Profiling“ ist gerade in Verbindung mit der aktuellen Big Data-Debatte brisant. By the way: EDRi sieht in ihrer Analyse des Berichtsentwurfs die Definitionen von anonymen Daten und Profiling etwas kritischer.

Teilweise integriert wurde zudem das sogenannte Schutzziele-Konzept, wie es auch im Landesdatenschutzgesetz von Schleswig-Holstein (§ 5) zu finden ist. Es schafft Kriterien und damit konkrete Begriffe, die Datenverarbeitungsprozesse analysier- und vergleichbar machen (siehe Amendments zu Art. 5). Einer europaweiten Standardisierung des Datenschutzes könnte das zuträglich sein.

Konkretisierungen gibt es auch beim technischen Datenschutz. Debatten wie privacy icons als fairere AGBs (Amendment 118 zu Art. 11) und Do Not Track (Amendment 105 zu Art. 7) als wirksamer Widerspruch gegen Datenverarbeitung wurden berücksichtigt. Auch Hersteller von Hard- und Software, die an sich keine Datenverarbeiter sind, nimmt der Berichtsentwurf in die Pflicht (Amendment 178 zu Art. 23).

Der umstrittene Medienmagnet „Recht auf Vergessenwerden“ ist im Berichtsentwurf definiert als Pflicht des Datenverarbeiters, die Löschung von unrechtmäßig erhobenen Daten, die von ihm an Drittparteien gegeben wurden, zu erwirken (Amendment 147 zu Art. 17).

Die Bestellung von Datenschutzbeauftragten in einem Unternehmen macht der Berichtsentwurf von der Menge der verarbeitenden Datensätze und nicht – wie von der Kommission vorgesehen – von der Anzahl der MitarbeiterInnen in einem Unternehmen abhängig (Amendment 223 zu Art. 35). Verarbeitet ein Unternehmen die Daten von mehr als 500 Personen, muss ein/e Datenschutzbeauftragte/r im Unternehmen bestellt werden. Diese Zahl dürfte wohl Verhandlungsmasse sein.

Auch der – unter anderem in diesem EDRi-Papier (PDF) – kritisierte Artikel 6(4), der die Zweckbindung von Daten unterlaufen kann, indem er eine Weiternutzung der Daten in neuem Kontext erlaubt, darf als entschärft gelten. Ohne Information des Datensubjektes ist das laut Berichtsentwurf nicht mehr möglich (Amendment 103 zu Art. 6 in Verbindung mit der Konkretisierung des „legitimen Interesses“).

Der Berichtsentwurf führt zudem eine Überprüfung für internationale Abkommen, die den Datentransfer in Drittstaaten regeln (z.B. Safe Harbor), innerhalb von zwei Jahren ein (Amendment zu Recital 134).

Vielfach wurde die Rolle der Kommission in ihrem eigenen Entwurf als zu mächtig kritisiert. Der Berichtsentwurf reagiert auf diese Kritik und beschränkt die Zahl der delegierten und implementierten Rechtsakte, die der Kommission in vielen Bereichen der Verordnung legislative Gestaltungsspielräume gelassen haben, auf technische Aspekte, die notwendigerweise up-to-date gehalten werden müssen. Von diesen Änderungen profitiert wiederum der neu einzurichtende Europäische Datenschutzausschuss. Die Kommission hätte de facto nicht mehr das letzte Wort im sogenannten Kohärenzverfahren, der europaweiten Einigung in Fragen der Anwendung des Datenschutzrechts (siehe Amendment 289 zu Art. 58).

Der Berichtsentwurf: Schatten

An mehreren Stellen geht der Berichtsentwurf nicht weit genug. Das Hintertürchen des legitimen Interesses als Datenverarbeitungsgrund (PDF) wurde zwar eingeschränkt (Amendments zu Artikel 6(1)), aber nicht komplett entfernt.

Ein weiterer Kompromiss sind auch die Änderungsvorschläge an Artikel 34(2). Die Vorabschätzung der Risiken bei der Datenverarbeitung wird den Datenschutzbeauftragten der Firmen überlassen (Amendment 216 zu Artikel 34). Hierfür sind im Kommissionsvorschlag noch die Datenschutzbehörden zu konsultieren. Im Sinne der Machbarkeit und Entlastung der Datenschutzbehörden ist dieser Punkt nachvollziehbar. Auf der anderen Seite verbleibt die Prüfung so in der eigenen Firma.

Die schon im Kommissionsvorschlag herunterlobbyierten Sanktionen bei Datenschutzvergehen von max. 2% des Jahresumsatzes des Unternehmens, versucht der Berichtsentwurf nicht wieder zu verschärfen. Hier haben die LobbyistInnen wohl gewonnen.

Möglich wäre auch eine Verortung der Datenschutzgrundverordnung gegenüber der Richtlinie zur Vorratsdatenspeicherung gewesen. Im Klartext: Hier hätte der Berichterstatter versuchen können, die VDS-Richtlinie für unvereinbar mit der Datenschutzgrundverordnung zu erklären. Der Berichtsentwurf vermeidet diesen irgendwann fälligen Konflikt.

Und nun?

Würde der Berichtsentwurf so Realität werden, wäre das eine erhebliche Verbesserung des europäischen Datenschutzniveaus. Das gilt auch für Deutschland. Der Berichtsentwurf geht an den meisten Stellen über das Bundesdatenschutzgesetz hinaus. Das Getrolle von Innenminister Friedrich aus dem vergangenen Jahr (eine Reform des europäischen Datenschutzes würde das deutsche Datenschutzniveau absenken) ist haltlos und eine Strategie, um Lobbyinteressen zu schützen.

Jan Philipp Albrecht hat als Berichterstatter bereits Kompromisse gemacht. Es ist anzunehmen, das derer noch weitere folgen, da die Position der Grünen/EFA im Europäischen Parlament (zu der auch die Piraten gehören) bereits die wohl datenschutzfreundlichste Position darstellt. Im weiteren Verhandlungsprozess ist nicht mit Amendments zu rechnen, die über den Berichtsentwurf hinausgehen. Im Gegenteil: Was bisher in den meinungsgebenden Ausschüssen vorgelegt wurde, sah eher schlechter aus. Ein eindrucksvolles Negativbeispiel lieferte in diesem Zusammenhang die Stellungnahme des Ausschusses für Binnenmarkt und Verbraucherschutz (IMCO), in der sich wörtlich übernommene Formulierungen der Europäischen Bankenvereinigung fanden.

Zudem verzögert der Ministerrat die Arbeit an der EU-Datenschutzreform enorm. Dies gilt sowohl für die Richtlinie als auch für die Verordnung. Setzen die MinisterInnen der Mitgliedsstaaten – allen voran Friedrich – ihre Verzögerungstaktik fort, kann die Reform wohl nicht mehr innerhalb dieser europäischen Legislaturperiode (2009 – 2014) verabschiedet werden. De facto würde das ihre Verzögerung um mindestens ein weiteres Jahr bedeuten.

Das beste Gegenrezept ist eine geschlossene und datenschutzfreundliche Position des Europäischen Parlaments. Die Abgeordneten des Europäischen Parlaments müssen überzeugt werden, für die datenschutzfreundlichsten Amendments zu stimmen. Es gilt also, sich mit der Reform auseinanderzusetzen und den Terminkalender mit den Ausschusssitzungen im Blick zu behalten. Besonders die Richtlinie, deren Berichtsentwurf zugleich veröffentlicht wurde, ist derzeit in der Berichterstattung unterbeleuchtet (was dieser Artikel leider reproduziert).

In diesem Pad werden alle notwendigen Informationen und Ideen für eine Kampagne gesammelt. Eine weitere Verwässerung oder gar ein Ende der Datenschutzreform wäre eine herbe Niederlage. Nach ACTA besteht diesmal die Chance, nicht nur etwas zu verhindern, sondern etwas Neues zu schaffen.