Deutscher Bundestag – 17. Wahlperiode
197 ––
–– 197
Zu Art. 9:
Art. 9 soll den bedeutsamen Bereich der Zulässigkeit der
Verarbeitung von besonderen Kategorien personenbezogener Daten regeln. Die Konferenz sieht hier den aus
Art. 8 der RL 95/46/EG übernommenen Ansatz eines abschließenden Katalogs sensitiver Daten kritisch. Vorzugswürdig wäre es, auf den tatsächlichen Verarbeitungskontext abzustellen und den Katalog der sensitiven Daten als
Regelbeispiele auszugestalten.
Die Vorgaben sind im Sinne des Wesentlichkeitsgrundsatzes in der Verordnung selbst zu treffen, die entsprechend
zu ergänzen ist. Die in Art. 9 (3) enthaltene Delegationsermächtigung wird deshalb abgelehnt.
Zu Art. 10:
Das von der Verordnung hier offenbar verfolgte Regelungsziel wird in Erwägungsgrund 45 deutlich. Dort wird
ausführt, dass der für die Verarbeitung Verantwortliche
nicht verpflichtet sein sollte, zusätzliche Daten einzuholen, um eine betroffene Person zu bestimmen. Er sollte
das Recht haben, bei der betroffenen Person, falls diese
von ihrem Auskunftsrecht Gebrauch macht, weitere Informationen einzuholen, um die zu dieser Person gesuchten personenbezogenen Daten zu lokalisieren. Dies spiegelt sich im Wortlaut des Art. 10 jedoch nicht wider.
Dieser sollte deshalb so gefasst werden, dass sich der Erwägungsgrund 45 im Regelungstext selbst niederschlägt.
Kapitel III – Rechte der betroffenen Person
Zu Art. 11:
Der Vorschlag wird grundsätzlich begrüßt. Es sollte jedoch in Abs. 1 klargestellt werden, was der für die Verarbeitung Verantwortliche (konkret) leisten muss.
Zu Art. 12:
Aus Gründen der Bestimmtheit und wegen der Erheblichkeit der hier zu treffenden Konkretisierungen sollte unmittelbar in der Verordnung selbst dargelegt werden, unter welchen Voraussetzungen ein Antrag offenkundig
unverhältnismäßig ist, insbesondere auch, wann eine
missbräuchliche Häufung von Betroffenenrechten vorliegt (vgl. Art. 12 (4)). Die Befugnis der Kommission zu
delegierten Rechtsakten in Art. 12 (5) sollte daher entfallen.
Die Konferenz spricht sich gegen eine Missbrauchsgebühr aus. Aus ihrer Sicht reicht es aus, dass in Missbrauchsfällen das jeweilige Betroffenenrecht nicht in
Anspruch genommen werden kann. Sofern an der Missbrauchsgebühr festgehalten wird, muss vermieden werden, dass sich Betroffene völlig unerwartet Gebührenforderungen gegenübersehen. Deshalb sollte der für die
Verarbeitung Verantwortliche die betroffene Person im
konkreten Einzelfall darüber informieren müssen, wenn
er die Ausübung der Betroffenenrechte für offenkundig
unverhältnismäßig erachtet und aus diesem Grund ein
Entgelt verlangen will. Die Höhe des Entgelts muss ver-
Drucksache 17/13000
hältnismäßig sein und sich an dem tatsächlichen Aufwand
bemessen.
Art. 12 sollte um das Erfordernis sicherer Übertragungswege für personenbezogene Daten nach dem Stand der
Technik ergänzt werden.
Zu Art. 13:
Die Regelung wird grundsätzlich begrüßt. Die Nachberichtspflicht gemäß Art. 13 sollte sich jedoch auch auf
Widersprüche nach Art. 19 erstrecken.
Zu Art. 14:
In der Verordnung ist unter Art. 14 (4) lit. b) klarzustellen, was unter einer „angemessenen“ Frist zu verstehen
ist. Ferner ist zu prüfen, ob anstatt dieser nicht ein „unverzügliches Handeln“ geboten ist. Benachrichtigungen
erst bei Datenübermittlungen dürfen nur bei Datenverarbeitern möglich sein, die geschäftsmäßig Daten zur Übermittlung vorhalten (u. a. Auskunfteien, Adresshandel,
Detekteien).
Zu Art. 15:
In Art. 15 (1) lit. g) sollte die Einschränkung auf die
(lediglich) „verfügbaren“ Herkunftsdaten gestrichen werden, da eine Angabe über die Herkunft personenbezogener Daten stets geboten ist und diese nicht verschleiert
werden darf.
Die Aufklärungspflicht nach Art. 15 (1) lit. h) sollte auf
die „Bedeutung und Tragweite“ der Verarbeitung erstreckt werden. Ein (ausdrücklicher) Hinweis auf besondere Risiken bei der Profilbildung, Auskunfteien oder
dem Scoring ist aufzunehmen.
Es muss zudem sichergestellt werden, dass für eine Mitteilung in elektronischer Form gemäß Art. 15 (2) nur sichere Übertragungswege nach dem Stand der Technik in
Betracht kommen.
Zu Art. 16:
Es ist klarzustellen, ob unter einem Korrigendum eine
Richtigstellung zu verstehen ist. Zudem regelt die Vorschrift nicht, wie zu verfahren ist, wenn sich die Unrichtigkeit oder Richtigkeit der Daten nicht beweisen lässt,
bzw. wer die Beweislast trägt. Dieser Punkt sollte ergänzt
werden. Denkbar wäre z. B. eine Verpflichtung, diese Daten im Sinne von Art. 17 (4) zu beschränken.
Zu Art. 17:
In Art. 17 (2) sollte eine Pflicht der Dritten zur Löschung
der Daten analog Art. 17 (1) geregelt werden. Insbesondere sollte klargestellt werden, ob die Regelung auf den
Bereich des Internets beschränkt ist und ob sie nach Maßgabe des Lindqvist-Urteils auch für Privatpersonen gilt.
Das Verhältnis der „umgehenden“ Löschungspflicht in
Art. 17 (3) zu der in Art. 12 (2) geregelten Monatsfrist ist
klärungsbedürftig. Es erscheint jedenfalls nicht sinnvoll,
BfDI 24. Tätigkeitsbericht 2011-2012