Öffnungsklauseln und Regelungsspielräume

Transkript

1 Öffnungsklauseln und Regelungsspielräume Im Einzelnen enthält die Datenschutz-Grundverordnung folgende Regelungsoptionen, die hier nach verschiedenen Kategorien untergliedert dargestellt sind: Querschnittsfragen Artikel 4 Absatz 7, 2. Halbsatz Datenschutz-Grundverordnung / Definition des für die Verarbeitung Verantwortlichen : Rechtsvorschriften können den für die Verarbeitung Verantwortlichen oder die Kriterien zur Auswahl eines für die Verarbeitung Verantwortlichen regeln, sofern die Zwecke und Mittel der Verarbeitung ebenfalls geregelt sind. Artikel 4 Absatz 9, Erwägungsgrund (EG) 31 Datenschutz-Grundverordnung: Behörden, die im Rahmen eines einzelnen Untersuchungsauftrags Daten erhalten, gelten nicht als Empfänger. Rechtsfolge ist, dass o die übermittelnde Stelle den Betroffenen nicht gemäß Artikel 13 Absatz 1 Buchstabe e und 14 Absatz 1 Buchstabe e Datenschutz-Grundverordnung informieren muss, o die übermittelnde Stelle den Betroffenen nicht gemäß Artikel 15 Absatz 1 Buchstabe c Datenschutz-Grundverordnung beauskunften muss, o die empfangende Behörde nicht gemäß Artikel 19 Datenschutz- Grundverordnung über Berichtigung, Löschung oder Verarbeitungsbeschränkung informieren muss, o die Übermittlung nicht gemäß Artikel 30 Absatz 1 Buchstabe d Datenschutz- Grundverordnung zu dokumentieren ist. Mitgliedstaaten können festlegen, wann Behörden aufgrund eines einzelnen Untersuchungsauftrages Daten abfragen können (z. B. Steuer- und Finanzbehörden, Finanzmarktbehörden, unabhängige Verwaltungsbehörden) mit der Folge, dass die übermittelnde Stelle die o.g. Verpflichtungen nicht hat. Rechtmäßigkeit der Datenverarbeitung Artikel 6 Absatz 1 (EG 44 ff.) Datenschutz-Grundverordnung: Die Vorschrift schreibt in allgemeiner Weise die Voraussetzungen, unter denen eine Verarbeitung personenbezogener Daten zulässig ist, vor. Im Hinblick auf Rechtsvorschriften ist relevant: Öffentlich-rechtliche Datenverarbeiter (Behörden, aber auch Kammern, Universitäten etc.) dürfen personenbezogene Daten verarbeiten (z. B. erheben, speichern, nutzen, löschen), wenn dies für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt (Buchst. e). Nachrangig ist auch nicht ausgeschlossen, dass sie personenbezogene Daten aufgrund einer Einwilligung des Betroffenen (Buchst. a) oder zum Schutz seiner oder eines anderen Menschen lebenswichtiger Interessen (Buchst. d) verarbeiten. Hingegen kommt für öffentlich-rechtliche Datenverarbeiter Buchst. b (Vertragserfüllung) als Rechtsgrundlage für die Verarbeitung kaum in Betracht; Buchst. f (Wahrung berechtigter Interessen) ist ausdrücklich ausgeschlossen. Ein weiterer Zulässigkeitsgrund deckt die zur Erfüllung einer rechtlichen Verpflichtung erforderlich (e) Verarbeitung ab, der der Verantwortliche unterliegt (Buchst. c). Damit können z.b. Rechtsvorschriften gemeint sein, die wie Aufzeichnungs- und Aufbewahrungspflichten im Handels-, Gewerbe- oder

2 2 Steuerrecht oder in der amtlichen Statistik die Verarbeitung personenbezogener Daten durch Dritte aufgrund einer öffentlich-rechtlichen Verpflichtung regeln. Artikel 6 Absatz 2 Datenschutz-Grundverordnung: Die Vorschrift erlaubt in den Bereichen von Artikel 6 Absatz 1 Buchstabe c und e Datenschutz-Grundverordnung sowie den besonderen Verarbeitungssituationen gemäß Kapitel IX Datenschutz-Grundverordnung (Verhältnis zur Meinungsfreiheit; Verhältnis zur Informationsfreiheit; Verarbeitung einer Personenkennziffer; Beschäftigtendatenschutz; Archivwesen, wissenschaftliche oder historische Forschung und Statistik; Geheimhaltungspflichten der Datenschutz- Aufsichtsbehörden; Kirchen und religiöse Vereinigungen oder Gemeinschaften), bestehende bereichsspezifische Datenverarbeitungsvorschriften beizubehalten oder neue zu schaffen, wenn diese eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung (...) gewährleisten. Artikel 6 Absatz 3 Datenschutz-Grundverordnung: Die Vorschrift bestimmt in Satz 1, dass sich die Rechtsgrundlage für Verarbeitungen gemäß Art. 6 Abs. 1 Buchst. c) und e) Datenschutz-Grundverordnung entweder aus Unionsrecht (seltener) oder aus dem Recht des Mitgliedsstaats (häufiger) ergeben muss. Nach Satz 2 der Vorschrift muss hinsichtlich der Verarbeitungen nach Artikel 6 Absatz 1 Buchst. c Datenschutz-Grundverordnung der Zweck der Verarbeitung gesetzlich festgelegt sein. Satz 4 schreibt die Beachtung des Verhältnismäßigkeitsgrundsatzes vor. Im Hinblick auf die im öffentlichen Interesse liegende oder in Ausübung öffentlicher Gewalt oder in Verarbeitungssituationen gemäß Kapitel IX erfolgende Datenverarbeitung (Buchst. e) muss die Rechtsgrundlage den Erforderlichkeits- sowie den Verhältnismäßigkeitsgrundsatz beachten und kann spezifische Bestimmungen u. a. über allgemeine Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen, die Arten von Daten, die betroffenen Personen, die Einrichtungen und Zwecke, für die die personenbezogenen Daten offengelegt werden dürfen, die Zweckbindung, die Speicherdauer, die Verarbeitungsvorgänge und -verfahren und die Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, enthalten. Es ist daher zu prüfen, ob und inwieweit bestehende Verarbeitungsvorschriften erstens dem Grundsatz der Erforderlichkeit, der stets ein strenger ist und zweitens dem Verhältnismäßigkeitsgrundsatz genügen. Artikel 6 Absatz 4 (EG 50) Datenschutz-Grundverordnung: Die Vorschrift regelt die zweckändernde Weiterverarbeitung personenbezogener Daten. Im öffentlichen Bereich wird eine Zweckänderung stets auf einer Rechtsvorschrift oder nachrangig der Einwilligung des Betroffenen beruhen müssen. Insofern schreibt die Vorschrift nur vor, dass eine solche Rechtsvorschrift eine in einer demokratischen Gesellschaft... notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 Datenschutz-Grundverordnung genannten Ziele darstellen muss. Dies ist zu prüfen. Minderjährigenschutz Artikel 8 Absatz 1 Datenschutz-Grundverordnung: Mitgliedstaaten können die Altersgrenze für die Einwilligung eines Kindes national innerhalb des Korridors von 13 bis 16 Jahren regeln, so dem Kind direkt Dienste der Informationsgesellschaft dazu gehören auch E-Government-Dienstleistungen anbieten.

3 3 Besondere Daten Artikel 9 Absatz 2 i. V. m. EG 51, insbesondere Satz 4 Datenschutz-Grundverordnung zur Verarbeitung besonderer Datenkategorien: Buchstabe a: Mitgliedstaaten können durch Rechtsvorschrift die Verarbeitung trotz Vorliegens einer ausdrücklichen Einwilligung untersagen. Buchstabe b: Mitgliedstaaten können durch Rechtsvorschrift oder in Tarifvereinbarungen die Verarbeitung im Bereich der sozialen Sicherheit und auch der Beschäftigung zulassen. Buchstabe g, EG 52: Mitgliedstaaten können die Verarbeitung im erheblichen öffentlichen Interesse per Rechtsvorschrift zulassen. Buchstabe h, EG 52 und 53: Mitgliedstaaten können die Verarbeitung zu Zwecken u.a. der medizinischen Diagnose, zur Feststellung der Arbeitsfähigkeit von Beschäftigten oder zum Zwecke des Managements von Gesundheits- oder Sozialfürsorgesystemen per Rechtsvorschrift zulassen. Nach Artikel 9 Absatz 3 Datenschutz-Grundverordnung ist dabei Voraussetzung, dass der Verarbeiter ein Berufsgeheimnisträger ist; letzteres richtet sich nach Unions- oder mitgliedstaatlichem Recht (Gesetz aber auch Regelungen von national kompetenten Institutionen). Buchstabe i, EG 54: Mitgliedstaaten können die Verarbeitung im Bereich der öffentlichen Gesundheit per Rechtsvorschrift zulassen. Buchstabe j: Mitgliedstaaten können im nationalen Recht die Verarbeitung besonderer Daten für privilegierte Verarbeitungszwecke (Art. 89 Abs. 1 Datenschutz-Grundverordnung) erlauben. Artikel 9 Absatz 4 i. V. m. EG 53 Sätze 4 und 5 Datenschutz-Grundverordnung: Mitgliedstaaten haben die Möglichkeit, weitere Voraussetzungen inkl. auch weiterer Beschränkungen für die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten national zu regeln. Artikel 10 Datenschutz-Grundverordnung zur Verarbeitung von Daten über Strafurteile und Straftaten: Die Verarbeitung von derartigen Daten ist nur zulässig auf der Basis von Unions- oder mitgliedstaatlichem Recht. Betroffenenrechte Artikel 14 Absatz 5 Datenschutz-Grundverordnung: Die Informationspflichten nach den Absätzen 1 bis 4 finden keine Anwendung, wenn und soweit, o Buchstabe c): die Erlangung oder Offenlegung durch Rechtsvorschriften der Mitgliedstaaten, die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist. o Buchstabe d): die personenbezogenen Daten gemäß dem Recht der Mitgliedstaaten einem Berufsgeheimnis unterliegen. Artikel 17 Datenschutz-Grundverordnung:

4 4 Absatz 1 Buchstabe e): Mitgliedstaaten können Verantwortliche per Gesetz rechtlich verpflichten, Daten zu löschen. Artikel 17 Absatz 3 Datenschutz-Grundverordnung: Die Pflichten nach den Absätzen 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist, o Buchstabe b: zur Erfüllung einer gesetzlichen Verpflichtung der verantwortliche Stelle, Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe, Ausübung hoheitlicher Gewalt. o Buchstabe c: aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstabe h und i sowie Artikel 9 Absatz 3 Datenschutz-Grundverordnung. o Buchstabe d: für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt. Mitgliedstaaten können somit durch Rechtsvorschriften mittelbar beeinflussen, inwieweit die Ansprüche auf Datenlöschung (Absatz 1) und auf Information über die Löschung (Absatz 2) für bestimmte verantwortliche Stellen beschränkt sind. Artikel 21 Absatz 6 Datenschutz-Grundverordnung: Das Recht der betroffenen Person, aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen die sie betreffende Verarbeitung sie betreffender personenbezogener Daten, die zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken gemäß Artikel 89 Absatz 1 erfolgt, Widerspruch einzulegen, ist ausgeschlossen, wenn die Verarbeitung zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich ist. Artikel 22 Absatz 2, EG 71 Datenschutz-Grundverordnung zur automatisierten Einzelentscheidung (inklusive Profiling): Mitgliedstaaten können durch Rechtsvorschriften Ausnahmen vom grundsätzlichen Verbot der Einzelentscheidung regeln. Im Gesetz müssen geeignete Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der Betroffenen enthalten sein. Einschränkungen der Betroffenenrechte Artikel 23 sowie EG 73 Datenschutz-Grundverordnung: Mitgliedstaaten können gemäß dieser allgemeinen Öffnungsklausel die Betroffenenrechte durch Rechtsvorschrift beschränken, sofern die Grundrechte und - freiheiten geachtet sind und dies einem der in Artikel 23 Absatz 1 Buchstabe a bis j Datenschutz-Grundverordnung genannten Zwecke dient. Die Beschränkung muss notwendig und verhältnismäßig sein. Artikel 23 Absatz 2 Datenschutz-Grundverordnung enthält eine Liste von Voraussetzungen, die in den Rechtsvorschriften gegebenenfalls zumindest

5 5 vorzusehen sind. Das heißt, dass bei einer Einschränkung der Betroffenenrechte zu prüfen ist, inwieweit die Voraussetzungen in Artikel 23 Absatz 2 Datenschutz- Grundverordnung einschlägig sind. Sind sie einschlägig, dann sind Regelungen zu diesen Voraussetzungen in die betroffene Vorschrift aufzunehmen. Mehrere an der Datenverarbeitung Beteiligte Artikel 26 Absatz 1 Datenschutz-Grundverordnung: Per Rechtsvorschrift können die Verantwortlichkeiten gemeinsamer Verarbeiter ( joint controller ) geregelt werden. Artikel 28 Datenschutz-Grundverordnung: Gemäß Absatz 3 kann eine Auftragsverarbeitung per Rechtsvorschrift geregelt werden, wenn diese Verantwortlichen und Auftragsverarbeiter bindet. Außerdem können Rechtsvorschriften erlassen werden, die den Auftragsverarbeiter und auch den Sub-Auftragsverarbeiter veranlassen, Daten unabhängig von Instruktionen des Verantwortlichen zu verarbeiten (Absatz 3 Buchstabe a) und/oder zu speichern (Absatz 3 Buchstabe g). Artikel 29 Datenschutz-Grundverordnung: Per Rechtsvorschrift kann festlegt werden, dass Auftragsverarbeiter und jede dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person Daten auch unabhängig von Weisungen verarbeiten müssen. Datensicherheit Artikel 32 Absatz 4 Datenschutz-Grundverordnung: Per Rechtvorschrift kann geregelt werden, dass Personen die dem Verarbeiter oder Auftragsverarbeiter unterstellt sind, zur Datenverarbeitung verpflichtet sind. Datenschutzfolgenabschätzung Artikel 35 Absatz 10 Datenschutz-Grundverordnung: Per Rechtsvorschrift kann geregelt werden, dass bei Datenverarbeitungen auf Basis von Rechtsvorschriften gemäß Artikel 6 Absatz 1 Buchstaben c und/oder e Datenschutz-Grundverordnung eine Datenschutzfolgenabschätzung durchzuführen ist. Vorabkonsultation der Aufsichtsbehörde Artikel 36 Absatz 5 Datenschutz-Grundverordnung: Für Datenverarbeitungen gemäß Artikel 6 Absatz 1 Buchstaben c und e Datenschutz- Grundverordnung können die Verantwortlichen per Gesetz oder Verordnung zur Vorabkonsultation mit der Aufsichtsbehörde aufgefordert werden.

6 6 Datenschutzbeauftragte Artikel 37 Absatz 4 Datenschutz-Grundverordnung: Es können Regelungen getroffen werden, in denen die Verantwortlichen für die Verarbeitung personenbezogener Daten einen Datenschutzbeauftragten benennen müssen. Zugang der Öffentlichkeit zu amtlichen Dokumenten Artikel 86 Datenschutz-Grundverordnung: Die Vorschrift regelt das Verhältnis von Informationsfreiheit und Datenschutz. Durch Rechtsvorschriften kann der Zugang der Öffentlichkeit zu amtlichen Dokumenten bestimmt werden. Beschäftigtendatenschutz Artikel 88 Datenschutz-Grundverordnung: Durch Rechtsvorschriften und durch Kollektivvereinbarungen (z. B. Dienstvereinbarung) können spezifischere Regelungen zur Gewährleitung des Schutzes der Rechte und Freiheiten der betroffenen Personen bei einer Verarbeitung von personenbezogenen Daten im Beschäftigungskontext geschaffen werden. EG 155 Datenschutz-Grundverordnung erwähnt dabei auch die Bedingungen der Einwilligung im Beschäftigungskontext. Privilegierte Verarbeitungszwecke Artikel 89 Absatz 2 und 3 Datenschutz-Grundverordnung: Die Mitgliedstaaten können zugunsten der privilegierten Verarbeitungszwecke (wissenschaftliche und historische Forschung, Statistik, Archive im öffentlichen Interesse) Ausnahmen von einzelnen Betroffenenrechten durch Rechtsvorschriften regeln.