Deutscher Bundestag – 17. Wahlperiode
– 185 –
Drucksache 17/5200
n o c h Anlage 6
Konferenz der Datenschutzbeauftragten des Bundes und der Länder
„Ein modernes Datenschutzrecht für das 21. Jahrhundert“
beachtet werden müssten. Außerdem sind u. U. zahlreiche Kontrollbehörden
für die datenschutzrechtliche Kontrolle nebeneinander zuständig.
Weitere Fragen wirft auch die verteilte und häufig grenzüberschreitende Datenverarbeitung auf, wie es z. B. beim Cloud Computing oder beim Binnenmarktinformationssystem IMI der Fall ist. Solche Konstellationen sind mit dem
Datenschutzrecht nicht befriedigend in Einklang zu bringen. Das Instrument
der Auftragsdatenverarbeitung lässt sich in der Praxis nicht umsetzen. Legt
man die Funktionsübertragung (mit Übermittlung von Daten zwischen den
beteiligten Stellen) zugrunde, ist die Verteilung der Verantwortlichkeiten nicht
befriedigend zu regeln.
Aus diesen Gründen sollte das Konzept der Zuweisung von Verantwortlichkeiten neu gefasst werden:
•
Der Begriff der verantwortlichen Stelle ist an dem Vorbild von Art. 2 lit. d)
der EG-Datenschutzrichtlinie zu orientieren.
•
Die Verantwortung für die Rechtmäßigkeit der Datenverarbeitung ist bei
der Beteiligung mehrerer Stellen durch entsprechende Vorschriften von
den tatsächlichen Einflussmöglichkeiten und der Interessenlage der Betroffenen abhängig zu machen (Prinzip der Accountability). Die datenschutzrechtliche Verantwortlichkeit kann demnach z. B. auch nach einer Übermittlung fortbestehen, wenn die wirtschaftlichen bzw. tatsächlichen Einwirkungsmöglichkeiten auf die Empfänger dafür vorhanden sind.
Für gemeinsame Verfahren müssten folgende Anforderungen berücksichtigt
werden:
•
Festlegung materieller und formeller Anforderungen an die Zulässigkeit
gemeinsamer Verfahren (Abwägung mit den schutzwürdigen Belangen Betroffener; bei Verfahren mit erheblicher Bedeutung ggf. gesonderte
Rechtsgrundlage).
•
Integration der Vorschriften zu den Abrufverfahren (§ 10 BDSG) als eine
Form des gemeinsamen Verfahrens.
•
Einführung spezifischer technischer und organisatorischer Sicherungen (z.
B. zwingende Vorabkontrolle).
•
Verpflichtung, die Verantwortlichkeiten für die Umsetzung der fachlichen
und technischen Vorgaben eindeutig festzulegen.
•
Verpflichtung, die Verantwortlichkeiten für die Rechtmäßigkeit der Datenverarbeitung zu dokumentieren.
15
BfDI 23. Tätigkeitsbericht 2009-2010