Die Zukunft der Datenschutzaufsicht

Transkript

1 Die Zukunft der Datenschutzaufsicht Dr. Alexander Dix, LL.M. Berliner Beauftragter für 7. eco-mmr-kongress Berlin 4. März Alexander Dix 1

2 Status quo in Deutschland und Europa Föderales System in Deutschland verfassungsrechtlich vorgegeben (Art. 83 GG: Die Länder führen das BDSG als eigene Angelegenheit aus) In der EU kontrollieren die Aufsichtsbehörden in den 28 Mitgliedstaaten den Datenschutz in ihrem jeweiligen Zuständigkeitsbereich Alexander Dix 2

3 Zentrale Datenschutzkontrolle bei EU-Instanzen Europäischer Datenschutzbeauftragter kontrolliert den Datenschutz in EU- Institutionen (außer EUROPOL und Schengen) Datenverarbeitung bei EUROPOL u. Schengen wird durch eigenständige gemeinsame Datenschutzinstanzen kontrolliert Alexander Dix 3

4 Vorzüge und Nachteile Vorzüge: Bürgernähe (proximity) Nachteile: 16+1 bzw. 28 verschiedene Aufsichtsbehörden treten den Datenverarbeitern gegenüber Nötige Abstimmung zwischen der zentralen Datenschutzaufsicht bei den EU-Institutionen und den nationalen Aufsichtsbehörden Alexander Dix 4

5 Einheitlicher Ansprechpartner Datenverarbeiter mit mehreren EU-Niederlassungen sollen sich nur an eine Aufsichtsbehörde wenden müssen (one stop shop), die dann EU-weit zuständig ist (Art. 51 II DSGVO) Problem: forum shopping Betroffene können sich an eine Aufsichtsbehörde ihrer Wahl wenden und sogar die heimische Aufsichtsbehörde veranlassen, gegen eine andere Aufsichtsbehörde zu klagen (Art. 74 IV DSGVO) Alexander Dix 5

6 Kohärenzverfahren (1) DSGVO harmonisiert den materiellen Rechtsrahmen, zentralisiert aber nicht die Datenschutzkontrolle Föderalismusklausel (Art. 46) EU-weite Einheitlichkeit der Rechtauslegung soll durch Kohärenzverfahren gesichert und damit forum shopping verhindert werden (Art DSGVO) Alexander Dix 6

7 Kohärenzverfahren (2) Kommission hat vorgeschlagen, bei Meinungsverschiedenheiten unter den Aufsichtsbehörden selbst das praktische Letztentscheidungsrecht zu erhalten (Art. 62 DSGVO). Europäischer Datenschutzausschuss berät lediglich Widerspruch zur Rspr. des EuGH, KOM ist keine unabhängige Datenschutzaufsicht Alexander Dix 7

8 Beratungen im Rat Juristischer Dienst des Rates hält die Bestimmung eines einheitlichen Ansprechpartners für unvereinbar mit EU-Recht Hauptbegründung: Einheitlicher Ansprechpartner würde die Interessen der Unternehmen und die Freiheit des Datenverkehrs in der EU gegenüber dem Grundrecht auf Datenschutz bevorzugen; außerdem bestünde die Gefahr unterschiedlicher nationaler Gerichtsentscheidungen. Der EDA sollte verbindliche zentrale Entscheidungen treffen, die vom EuGH zu überprüfen wären Alexander Dix 8

9 Haltung des EDSB Juristischer Dienst bewertet den Kommissionsvorschlag zu negativ, Vorschlag der Art. 29-Gruppe wird unterstützt One stop shop-fälle werden nicht die Regel sein Schon durch die Geltung eines einheitlichen Rechtsrahmens und seine einheitliche Anwendung werden die Bürger profitieren Alexander Dix 9

10 Deutscher Vorschlag im Rat (1) Entscheidungen des EDA sollen rechtsverbindlich werden Neue Unterscheidung zwischen Compliance- und Non-Compliance- Verfahren Unternehmen sollen freiwillig bei ihrer Aufsichtsbehörde Bescheinigung über Compliance beantragen können, über die innerhalb enger Fristen unter Beteiligung des EDA und der Aufsichtsbehörden anderer Mitgliedstaaten (deren Schweigen gilt als Zustimmung)verbindlich zu entscheiden ist Alexander Dix 10

11 Deutscher Vorschlag im Rat (2) Bürger können bei jeder Aufsichtsbehörde in der EU ein Non-Compliance -Verfahren einleiten (sich beschweren); Aber: das Unternehmen kann daraufhin durch einen Antrag auf Compliance -Bescheinigung dafür sorgen, dass das Non-Compliance -Verfahren suspendiert wird; die zuständige Aufsichtsbehörde kann dann nur in Ausnahmefällen noch Maßnahmen ergreifen Entscheidungen des EDA in diesem Verfahren sind nicht verbindlich Alexander Dix 11

12 Bewertung des deutschen Vorschlags Positiv: Entscheidungen des EDA werden wenigstens z.t. - rechtsverbindlich Negativ: recipe for muddle, bürokratisch Aufsichtsbehörden werden zu ausgelagerten Compliance -Abteilungen der Unternehmen, die ihre Verantwortlichkeit verlagern können Rechtsschutz der Betroffenen wird massiv geschwächt, effektive Datenschutzkontrolle wird damit unmöglich Alexander Dix 12

13 FAZIT (1) Die künftige Datenschutzaufsicht in Europa sollte bürgernah und damit dezentral organisiert werden Etwas anderes gilt nur für die Datenverarbeitung durch EU-Organe Die Datenschutzaufsicht muss Sache unabhängiger Behörden bleiben und darf nicht von den datenverarbeitenden Unternehmen gesteuert werden Alexander Dix 13

14 FAZIT (2) Compliance -Zertifikate können eine sinnvolle Ergänzung zur herkömmlichen Datenschutzkontrolle sein; entsprechende Anträge dürfen aber nicht zur Waffe gegen Aufsichtsbehörden und Betroffene werden Eine zügige Verabschiedung der Grundverordnung mit einem starken Europäischen Datenschutzausschuss ist geboten Alexander Dix 14

15 Vielen Dank! Alexander Dix 15