Stellungnahme Gesamtkonzept für den Datenschutz in der Europäischen Union Mitteilung der Kommission vom 04. November 2010 - KOM (2010) 609 Die vbw Vereinigung der Bayerischen Wirtschaft e. V. ist die zentrale branchenübergreifende Interessenvertretung der bayerischen Wirtschaft gegenüber staatlichen und nichtstaatlichen Organisationen. Unser Ziel ist die Aufrechterhaltung und Steigerung der Wettbewerbsfähigkeit bayerischer Unternehmen. Die vbw vertritt branchenübergreifend die Interessen von 90 Mitgliedsverbänden sowie von 30 Einzelunternehmen (Fördermitglieder). Die Mitgliedsverbände der vbw stehen für rund 3,3 Millionen sozialversicherungspflichtig Beschäftigte. Stellungnahme der vbw zum Gesamtkonzept für den Datenschutz in der Europäischen Union 1. Hintergrund Die EU-Kommission hat am 04. November 2010 eine Mitteilung über einen umfassenderen Ansatz zum Datenschutz veröffentlicht. Die Strategie zeigt auf, wie sich der EU-Rahmen für den Datenschutz modernisieren lässt und formuliert dazu eine Reihe von Kernzielen: Stärkung der Rechte des Einzelnen Stärkung der Binnenmarktdimension Überarbeitung im Bereich der Zusammenarbeit der Polizei- und Strafjustizbehörden Gewährleistung eines hohen Schutzniveaus bei außerhalb der EU übermittelten Daten Wirksamere Durchsetzung der Vorschriften Seite 1
2. Position der vbw Datenschutz ist in der heutigen Zeit wichtiger denn je. Auf gesellschaftlicher Ebene ist die Einstellung zum Schutz persönlicher Daten gespalten: Während im privaten Bereich viele Daten bereitwillig ins Internet gestellt oder zur Teilnahme an Gewinnspielen preisgegeben werden, wird auf die Datenerhebung und -verarbeitung im Arbeitsverhältnis sehr sensibel reagiert. Es steht außer Frage, dass der verantwortungsvolle Umgang mit sensiblen Daten immer gewährleistet sein muss. Die vbw toleriert keine Verletzungen des Datenschutzrechts. Auf der anderen Seite müssen jedoch auch die berechtigten Belange der Wirtschaft Berücksichtigung finden. Die Unternehmen befinden sich in der schwierigen Lage, auf der einen Seite Compliance-Vorgaben erfüllen und Korruption bekämpfen zu müssen. Auf der anderen Seite müssen die gesetzlichen Vorgaben des Datenschutzrechts eingehalten werden. Forderung der vbw ist es daher, die beiderseitigen Interessen in einen angemessenen Ausgleich zu bringen. Das Streben nach mehr Rechtssicherheit darf nicht zu Überregulierung mit unnötiger Bürokratie ohne praktischen Nutzen führen. Bei der Novellierung des Datenschutzes auf EU-Ebene sollte zudem berücksichtigt werden, dass die Vorgaben auch auf nicht absehbare Entwicklungen und deren Folgen anwendbar sind. Dies bedarf grundsätzlicher und systematischer Vorschriften, die leicht mit neuen Entwicklungen interpretierbar sind. 3. Stellungnahme zu den Vorschlägen der Kommission Im Rahmen der öffentlichen Konsultation zu den Vorschlägen der Kommission nimmt die vbw wie folgt Stellung: 3.1 Diese Ziele der Kommission sind positiv zu bewerten: Definition der Personenidentifizierbarkeit (Punkt 2.1.1) Der Begriff des personenbezogenen Datums ist ein Schlüsselbegriff im Datenschutzrecht. Ob ein personenbezogenes Datum vorliegt, ist in der Praxis oft nicht eindeutig. Die Kommission hat dieses Problem erkannt. Auf Grundlage einer genauen Definition zur Personenidentifizierbarkeit wäre künftig eine unstrittige Verwendung personenbeziehbarer Daten möglich. Vorschlag der vbw: Eine optimale Lösung würde darauf abzielen, dass der Begriff eng an die technischen Möglichkeiten der verantwortlichen Stelle geknüpft ist, diesen Bezug auch herstellen zu können. Seite 2
Kontrolle des Betroffenen über seine Daten (Punkt 2.1.3) Die Kontrolle des Betroffenen über seine Daten ist im deutschen Recht bereits umfassend geregelt. Insofern stellt die Harmonisierung auf EU-Ebene zur Gewährleistung gleicher Standards in allen Mitgliedsländern der EU für die deutsche Wirtschaft einen Vorteil dar. Position der vbw: Die Harmonisierung der Kontrolle des Betroffenen über seine Daten ist zu begrüßen. Sensibilisierung (Punkt 2.1.4) Es ist wichtig, das Bewusstsein der Bürger im Umgang mit ihren persönlichen Daten zu schärfen. Insbesondere junge Leute müssen über die Konsequenzen und Risiken der Preisgabe ihrer Daten aufgeklärt werden. Position der vbw: Die geplante Förderung der Aufklärung durch die EU durch Informationskampagnen ist eine richtige Maßnahme. Einwilligung (Punkt 2.1.5) Es ist zu begrüßen, dass die EU-Kommission das Instrument der Einwilligung des Betroffenen als gleichwertige Rechtsgrundlage für eine Datenerhebung und verarbeitung ausdrücklich anerkennt. Vorschlag der vbw: Wünschenswert wären zudem eine Herabsenkung der Hürde der Schriftlichkeit der Einwilligung sowie eine klare Definition der Freiwilligkeit. Eine freiwillige Einwilligung muss auch im Arbeitsverhältnis möglich sein. Stärkung des Binnenmarkts (Punkt 2.2.1) Erfreulich ist die Zielsetzung der EU-Kommission, den freien Verkehr personenbezogener Daten im Binnenmarkt sicher zu stellen. Besonders Unternehmen, die in mehreren Mitgliedstaaten Niederlassungen haben, profitieren von einer einheitlichen Datenschutzregelung. Position der vbw: Gerade innerhalb der EU muss ein gleichbleibendes Datenschutzniveau gewährleistet werden, um Wettbewerbsverzerrungen zu vermeiden. So kann auch der Verwaltungsaufwand der Unternehmen reduziert werden. Vereinfachung der Melderegeln (Punkt 2.2.2) Die Kommission erkennt den enormen bürokratischen Aufwand zur Erfüllung aller Meldepflichten bei den Datenschutzaufsichtsbehörden ohne Mehrwert für den Schutz der personenbezogenen Daten. Seite 3
Position der vbw: Die Vereinfachung der Melderegeln zur Vermeidung von Verwaltungsaufwand und Kosten für die Unternehmen ist zu begrüßen. Datenschutzbeauftragter (Punkt 2.2.4) Positiv zu bewerten ist der Plan der Kommission, für kleine Unternehmen angemessene Schwellen zur Pflicht zur Bestellung eines Datenschutzbeauftragten einzuführen. Gerade kleine Unternehmen haben oft Schwierigkeiten einen internen Datenschutzbeauftragten zu bestellen, der nicht im Interessenkonflikt zu seiner eigentlichen Tätigkeit im Unternehmen steht. Vorschlag der vbw: Nicht jede Tätigkeit des Beschäftigten in der Datenverarbeitung darf automatisch zu einem Interessenkonflikt führen. Auch Beschäftigte, die sich mit der personenbezogenen Datenverarbeitung befassen, können die erforderliche Zuverlässigkeit für die Tätigkeit als (arbeitsteiliger) Datenschutzbeauftragter aufweisen, sofern keine konkreten Anhaltspunkte für einen Interessenkonflikt bestehen. Internationaler Datentransfer (Punkt 2.4.1) Für international aufgestellte Unternehmen ist es im Hinblick auf die globalen Märkte absolut notwendig, den internationalen Datentransfer zu erleichtern und zu vereinheitlichen. Der Plan der Kommission, die Bestimmungen des internationalen Datentransfers zu vereinfachen, ist daher zu begrüßen. Vorschlag der vbw: Insbesondere für den Datentransfer innerhalb von Konzernen muss durch klare und vereinfachende Regelungen Rechtssicherheit geschaffen werden. Hierzu gehört auch die Klarstellung und Präzisierung, welches Recht beim internationalen Datentransfer Anwendung findet. Keine Regelung zum Beschäftigtendatenschutz Positiv zu bewerten ist, dass im Rahmen des Gesamtkonzepts für die EU keine spezifischen Regelungen für die Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis aufgenommen wurden. Andernfalls bestünde die Gefahr umfassender bereichsspezifischer Regelungen auf europäischer Ebene, die praxisorientierten Regelungen entgegenstehen könnten. 3.2 Diese Ziele der Kommission sind kritisch zu sehen: Transparenz (Punkt 2.1.2) Viele derzeit verwendete Systeme sind nicht darauf ausgelegt, Auskunftsprozesse in der Form zu gewährleisten, wie sie im Konzept der EU-Kommission dargestellt sind. Die Umstellung könnte zu einem erheblichen Mehraufwand und somit Kostensteigerungen in der Wirtschaft führen. Zudem müssten zusätzlich zur eigentlich gespeicherten Information eine Vielzahl von Seite 4
Zusatzinformationen erfasst werden, was dem Grundsatz der Datensparsamkeit entgegenstünde. Da die Regelungen nur für europäische Unternehmen gelten würden, bestünde zudem die Gefahr, dass dadurch Nachteile im Vergleich zu außereuropäischen Unternehmen entstehen. Position der vbw: Es sollte kein allgemeiner Transparenzgrundsatz eingeführt werden. Recht auf Vergessen (Punkt 2.1.3) Das sogenannte Recht auf Vergessen, also die vollständige Löschung aller Daten, kann auch negative Folgen für die Betroffenen haben. So kann z. B. bei einem vollständigen Löschen auch ein Widerspruch des Betroffenen nicht mehr berücksichtigt werden, da er dann nicht mehr gespeichert ist. Vorschlag der vbw: Negativlisten zum Wohle des Verbrauchers sollten von der Komplettlöschung ausgenommen werden. Definition von besonders schützenswerten Daten (Punkt 2.1.6) Der Schutz sensibler Daten ist ein wichtiger Punkt im Datenschutzrecht. Bei der geplanten Präzisierung und Harmonisierung der Kategorie der besonders schützenswerten Daten sollte aber nicht das Datum an sich die Schutzwürdigkeit vorgeben. Vorschlag der vbw: Entscheidend für die Sensibilität der Daten sollte der Kontext sein, in dem die Daten verarbeitet werden. Rechtsbehelfe und Sanktionen (Punkt 2.1.7) Abzulehnen ist die Überlegung der EU-Kommission der Ausdehnung der Befugnis zur Klage bei nationalen Gerichten auf Datenschutzbehörden und Verbände. Auch die Sanktionen (in Deutschland Bußgeld bis zu 300.000 Euro und mögliche Gewinnabschöpfung sowie Haftstrafen bis zu zwei Jahren) sind als ausreichend abschreckend zu betrachten. Position der vbw: Die bestehenden Regelungen zu Rechtsbehelfen und Sanktionen bedürfen auf europäischer Ebene keiner Verschärfung. Datenschutzfolgeabschätzung (Punkt 2.2.4) Bei der Einführung einer positiv gemeinten Datenschutzfolgeabschätzung steht zu befürchten, dass der Verwaltungsaufwand in keinem Verhältnis zum Ergebnis steht. Insbesondere im Hinblick auf Entwicklungen im IT-Bereich sind können solche Abschätzungen schwer seriös durchgeführt werden. Position der vbw: Die Einführung einer Datenschutzfolgeabschätzung ist abzulehnen. Seite 5 Kristina Fink, Grundsatzabteilung Recht, 14.01.2011