EU-Datenschutzreform: Je länger es dauert, desto mehr wird der Datenschutz aufgeweicht (Update: Mit Dokumenten)

Der Tagesspiegel berichtet über neue Erkenntnisse zum Verhandlungsstand der EU-Datenschutzreform im Rat der Innen- und Justizminister und beruft sich dabei auf Unterlagen der Dapix-Gruppe. [Update] EDRi hat diese mittlerweile veröffentlicht. Die Zusammenfassung: Es sieht nicht gut aus, Deutschland wirkt nicht unwesentlich bei der Unterwanderung wirksamen Datenschutzes mit. Wir haben den Prozess bereits in der Vergangenheit begleitet und die Verschleppung der Reform kritisiert. Den letzten Verhandlungsstand haben wir im Dezember kommentiert, auch damals fanden sich Aufweichungen von Datenschutzbestimmungen.

Unter anderem werde vorgeschlagen, die Zweckbindungspflicht aufzuweichen. Das ist dasjenige Prinzip, das Kunden davor schützen soll, dass ihre Daten für etwas anderes verwendet werden als ursprünglich erklärt und gewollt. Wenn hier die Möglichkeit einer Interessensabwägung zwischen Unternehmen, Dritten und Bürgern eingebracht wird, bietet sich ein optimales Schlupfloch, diese „Interessen“ derartig breit zu interpretieren, dass der Betroffene sich kaum mehr wehren können würde.

Um Interessen geht es auch bei den Ansprüchen von Staatsbehörden. Die dürften Daten den Vorschlägen zufolge nicht mehr nur mit gesetzlicher Grundlage, sondern bei „legitimem“ Interesse verarbeiten. Ebenso sollen Daten nicht mehr nur erhoben werden dürfen, wenn unbedingt notwendig, sondern auch, wenn die Erhebung nicht „exzessiv“ sei. Ein weiterer Gummibegriff, der den Datenkraken Tür und Tor öffnen würde. In beiden Fällen widerspräche Deutschland jedoch dem Vorschlag, so der Tagesspiegel.

Die Abstimmung für das vom Tagesspiegel referenzierte Dokument finden am nächsten Freitag statt, eine Verabschiedung der Reform ist offiziell bis Ende des Jahres angepeilt.

[Update] Die Dokumente weisen noch mehr problematische Stellen auf, als im Tagesspiegel erwähnt. EDRi, Access, Panoptykon Foundation und Privacy
International haben dazu eine ausführliche Analyse mit dem Titel „Data Protection Broken Badly“ angefertigt.

Ein zusätzlicher Punkt ist, dass die Informationspflicht gegenüber Nutzern, wie ihre Daten verarbeitet werden, wesentlich geschwächt werden soll. Artikel 11 der künftigen EU-Datenschutzgrundverordnung, der Informationspflichten über die Datenverarbeitung festgelegt hat, würde dafür komplett wegfallen. Ebenso würde die Erstellung von Profilen über Bürger vereinfacht.

Weiterhin soll die Möglichkeit von Massenklagen abgeschafft werden und die maximalen Schwellen für Bußgelder abgesenkt werden, die bisher auf 5% des Jahresumsatzes der Unternehmen festgelegt ist. One-Stop-Shop-Mechanismen, also die Abläufe, wie europäische Datenschutzbehörden zusammenarbeiten können, um auf Datenschutzverstöße zu reagieren, würden mit den aktuellen Vorschlägen komplizierter und die Kompetenzen des European Data Protection Board würden empfindlich reduziert.

Joe McNamee, Vorsitzender geschäftsführender Direktor von EDRi, kommentiert:

The Regulation is becoming an empty shell […] Not content with destroying key elements of the proposal, the EU Member States are rigorously, systematically and thoroughly undermining the meaning of every article, every paragraph, almost every single comma and full stop in the original proposal.