Drucksache 17/13000
196 –
–
–– 196
die Regelungen des „One-Stop-Shops“ in Art. 51 (2) sowie die Regelungen des gerichtlichen Rechtschutzes in
Kapitel VIII.
Die Definition des „Dritten“ sollte in Art. 4 aufgenommen werden, um insbesondere die Figur des Auftragsdatenverarbeiters entsprechend Art. 2 lit. f)) der RL 95/46/
EG klarer zu fassen.
Die Begriffe „Anonymisierung“ und „Pseudonymisierung“ sollten ebenfalls definiert werden, da beiden Vorgängen materiell-rechtlich eine größere Bedeutung eingeräumt wird und aus Sicht der Konferenz auch eingeräumt
werden sollte.
Kapitel II – Grundsätze
Zu Art. 5:
Als weiterer Grundsatz sollte in Art. 5 die Verpflichtung
aufgenommen werden, dass bei der Verarbeitung personenbezogener Daten die technischen und organisatorischen Maßnahmen zum Datenschutz einzuhalten sind,
um die hohe Bedeutung des technologischen Datenschutzes zu unterstreichen.
Die Zweckbindung ist bei der Verarbeitung personenbezogener Daten eines der wichtigsten Grundprinzipien zur
Gewährleistung des Datenschutzes. Im Hinblick auf
Art. 5 lit. b) sollte die Zweckbindung deshalb strikter gefasst werden. Zumindest erwartet die Konferenz die Klarstellung, dass der in der Verordnung gewählte Begriff der
Zweckvereinbarkeit der Zweckbindung im Sinne des
deutschen Datenschutzrechts entspricht.
In Art. 5 lit. e) sollte zusätzlich die anonyme und pseudonyme Nutzung der Daten als Gestaltungsauftrag mit
aufgenommen werden. Dies sollte im Weiteren mit Regelungen zu einer Privilegierung der pseudonymen Datenverarbeitung flankiert werden.
Zu Art. 6:
Die Abwägungsklausel des Art. 6 (1) lit. f) wird in der
Praxis eine herausragende Bedeutung erlangen. Die Vorgaben und Maßstäbe, anhand derer die Interessenabwägung innerhalb dieser Auffangregelung vorzunehmen ist,
müssen daher hinreichend klar sein. In Art. 6 (1) lit. f)
sollte eine Regelungsstruktur gefunden werden, die branchen- und situationsspezifischen Konkretisierungen
Rechnung trägt. Die Verordnung sollte dabei beispielsweise auf die spezifischen Datenschutzaspekte der Auskunfteien und des Scorings eingehen. Im Hinblick auf die
Verarbeitung von personenbezogenen Daten zu Direktmarketingzwecken sollte – wie in der bekannt gewordenen Entwurfsfassung 56 – grundsätzlich ein Einwilligungserfordernis (opt-in) vorgesehen werden.
Zudem erscheint es – wie Art. 20 des Vorschlags zeigt –
auch denkbar, abschließende Fallgruppen zu definieren,
die einer Interessenabwägung aufgrund des hohen Gefährdungspotentials der Datenverarbeitung von vornherein nicht zugänglich sind.
BfDI 24. Tätigkeitsbericht 2011-2012
Deutscher Bundestag – 17. Wahlperiode
Vor dem Hintergrund des in Art. 290 AEUV niedergelegten Wesentlichkeitsgrundsatzes sollten die hier geforderten Konkretisierungen in der Verordnung selbst formuliert werden, da es sich um wesentliche Bedingungen für
die Rechtmäßigkeit der Verarbeitung personenbezogener
Daten handelt. Art. 6 (5) wäre daher zu streichen.
Ausgehend von Art. 6 (3) lit. b) ist sicherzustellen, dass
durch den Verweis auf das mitgliedstaatliche Recht im
öffentlichen Bereich ein über die Anforderungen der Verordnung hinausgehendes Datenschutzrecht erhalten bleiben kann, wie dies in verschiedenen bundes- und landesrechtlichen Regelungen bereits jetzt verwirklicht ist. Es
muss auch weiterhin ohne Zweifel gewährleistet sein,
dass in einem ausdifferenzierten bereichsspezifischen Datenschutzrecht dem erhöhten Schutzbedarf staatlicher Datenverarbeitung auch in Zukunft Rechnung getragen
wird. Dies muss sich eindeutig und ausdrücklich aus dem
Wortlaut von Art. 6 (3) lit. b) ergeben. Anderenfalls wäre
der derzeit bestehende besondere Schutz, beispielsweise
der in der Bundesrepublik Deutschland bestehende
Schutz von Sozialdaten, durch die Verordnung gefährdet.
Zu Art. 7:
Die Konferenz unterstützt die Absicht der Kommission,
in Art 7 (4) die Freiwilligkeit von Einwilligungen zu konkretisieren. Sie weist allerdings darauf hin, dass ein erhebliches Ungleichgewicht nur ein Indiz für Unfreiwilligkeit sein kann.
Zu Art. 8:
Der besondere Schutz von Kindern und Jugendlichen bei
der Verarbeitung der auf sie bezogenen Daten ist der Konferenz ein besonderes Anliegen. Insofern begrüßt sie,
dass sich der Verordnungsentwurf dieser Thematik annimmt und sie in einer spezifischen Regelung verankern
will. Die Vorschrift sollte sich jedoch stärker an den konkreten, für diese Altersgruppe spezifischen Gefährdungen
orientieren. Aus diesem Grunde sollte bei Einwilligungen
auch stärker auf die Einsichtsfähigkeit des Kindes und
weniger auf starre Altersgrenzen abgestellt werden.
In Art. 8 (1) sollte das Regelungsziel der Norm präzisiert
werden. Es ist zu klären, ob eine Beschränkung auf Dienste
der Informationsgesellschaft ausreichend ist, da es sich gemäß der Begriffsbestimmung aus der Richtlinie 98/34/EG
hierbei in der Regel um gegen Entgelt erbrachte Dienste
handelt, obwohl offensichtlich auch entgeltfreie Dienste
erfasst werden sollen. Einer Klarstellung bedarf auch,
wann einem Kind solche Dienste „direkt“ angeboten werden. Es ist ebenfalls zu klären, ob sich Art. 8 (1) ausschließlich auf solche Datenverarbeitungen bezieht, bei denen
die Rechtmäßigkeit nach Art. 6 (1) lit. a) auf die Einwilligung gestützt wird oder ob bei jeder Datenverarbeitung
der Einwilligungsvorbehalt der Eltern bzw. gesetzlichen
Vertreter gelten soll.
Zudem ist das Verhältnis zwischen den Absätzen 1 und 2
des Art. 8 klärungsbedürftig.
Die Profilbildung (Art. 20) sollte bei Minderjährigen generell verboten sein.