Alexander Roßnagel Archive - Humanistische Union

Zwei Jahre Datenschutz-Grundverordnung eine Bilanz aus Verbrauchersicht

Thu, 31 Dec 2020 21:00:00 +0000

in: vorgänge Nr. 231/232 (3-4/2020), S. 27-39

Der Geltungsbeginn der Datenschutz-Grundverordnung hat sich am 25. Mai 2020 zum zweiten Mal gejährt. Die zu diesem Stichtag vorgesehene Evaluation der Verordnung gab Anlass zu zahlreichen Verbesserungsvorschlägen. Aufgegriffen wurden sie von der Europäischen Kommission nicht. Der Beitrag zeigt vertane Chancen auf und gibt Anregungen für die zukünftige Entwicklung des Datenschutzes in Europa. Dabei steht die Sichtweise der Verbraucher[1] im Vordergrund.

1. Die Evaluation der Datenschutz-Grundverordnung

Die Datenschutz-Grundverordnung (DSGVO) sieht in Art. 97 Abs. 1 vor, dass die Europäische Kommission ab Inkrafttreten alle vier Jahre eine regelmäßige „Bewertung und Überprüfung dieser Verordnung“ durchführt und veröffentlicht. Der erste Evaluationsbericht war danach am 25. Mai 2020 vorzulegen. Ein Schwerpunkt soll dabei nach Abs. 2 auf der Übermittlung an Drittländer sowie auf den Regelungen zu Zusammenarbeit und Kohärenz liegen.[2] Nach Abs. 5 soll die Kommission „erforderlichenfalls geeignete Vorschläge zur Änderung dieser Verordnung“ vorlegen und dabei „insbesondere die Entwicklungen in der Informationstechnologie und die Fortschritte in der Informationsgesellschaft“ berücksichtigen. Für die Evaluation soll sie nach Abs. 3 von den Aufsichtsbehörden und den Mitgliedstaaten Informationen einholen und nach Abs. 4 „Standpunkte und Feststellungen des Europäischen Parlaments, des Rates und anderer einschlägiger Stellen oder Quellen“ berücksichtigen.

Der Rat, die Mitgliedstaaten, die Bundesregierung, der Bundesrat, die Konferenz der unabhängigen Datenschutzaufsichtsbehörden sowie viele Verbände, Organisationen und Initiativen aus ganz Europa haben ihre Erfahrungen mit der DSGVO geschildert und Vorschläge zur Verbesserung der Verordnung vorgelegt, die ihre Praktikabilität, Effizienz und Rechtssicherheit erhöhen sollen.[3] Diese Stellungnahmen beschränkten sich weit überwiegend nicht auf die in Abs. 2 genannten Schwerpunkte, sondern adressierten Verbesserungen im Text der Verordnung. Für Verbraucher von besonderem Interesse waren z.B. die Forderungen nach einem eigenen einschränkenden Erlaubnistatbestand für Profiling, nach einer spezifischen Abwägung der Datenverarbeitung für Werbung, nach Klarstellungen bei den Rechten betroffener Personen, nach Präzisierungen der datenschutzgerechten Systemgestaltung und datenschutzfreundlichen Voreinstellungen sowie nach zusätzlichen Schutzregelungen für die Verarbeitung der Daten von Kindern.

Gefordert wurde in fast allen Stellungnahmen auch, dass die Kommission die Herausforderungen untersucht, die durch aufkommende Technologien wie z.B. Big Data, Künstliche Intelligenz, Internet der Dinge, Blockchain, Gesichtserkennung, Profiling und „Deep Fakes“ entstehen. Sie sollte vor allem Schutzlücken überprüfen, die durch die zunehmende Datenkonzentration bei einzelnen Anbietern und Plattformen sowie durch die Verwendung von Scoring und Profiling entstehen, und diese durch zusätzliche – eventuell bereichsspezifische – Regelungen schließen.

2. Die Sicht der Europäischen Kommission auf die DSGVO

Die Kommission legte ihren Bericht am 24. Juni 2020 vor.[4] Aus ihrer Sicht hat sich die DSGVO bewährt.[5] Dies werde nicht zuletzt durch einen erfolgreichen Export in zahlreiche Drittländer belegt. Das europäische Datenschutzrecht sei „ein Kompass geworden, der uns im digitalen Wandel, bei dem der Mensch im Mittelpunkt steht, den Weg weist“.[6]

Die Kommission stellt in ihrem nur 18 Seiten umfassenden Bericht[7] zwar fest, dass es Bereiche gäbe, in denen in der Zukunft Verbesserungen möglich seien, schlägt jedoch keine entsprechenden Änderungen des Verordnungstextes vor. Noch sei die Zeit nicht reif für eine endgültige Bewertung der DSGVO. Wahrscheinlich würden sich die meisten der durch die Mitgliedstaaten und Stakeholder identifizierten Probleme durch mehr Erfahrung mit der Verordnung über die kommenden Jahre ohnehin erledigen.[8]

Die Kommission benennt keine Verbesserungsbedarfe und Verbesserungsmöglichkeiten am Text der DSGVO, sondern beschränkt sich ausschließlich auf den Umgang mit ihr. Sie kritisiert vor allem ergänzende und konkretisierende Regelungen der Mitgliedstaaten. Konkret benennt die Kommission eine Überdehnung der Öffnungsklauseln der Verordnung durch mitgliedstaatliches Recht. Spezifizierungen im mitgliedstaatlichen Recht bezogen auf die Interessenabwägung nach Art. 6 Abs. 1 Uabs. 1 lit. f DSGVO werden abgelehnt: Der nationale Gesetzgeber dürfe die Abwägung der berechtigten Interessen des Datenverarbeiters mit den schutzwürdigen Interessen der betroffenen Person nicht allgemein regeln, sondern müsse diese im Einzelfall dem Verantwortlichen überlassen. Gleichfalls abgelehnt werden begriffliche Spezifizierungen im Recht der Mitgliedstaaten und die Etablierung zusätzlicher Voraussetzungen in spezifischen Verarbeitungssituationen. Selbst die Nutzung der in der Verordnung explizit angelegte Möglichkeit zur Anpassung der Altersgrenze innerhalb eines vorgegebenen Rahmens von dem vollendeten dreizehnten Lebensjahr bis zum vollendeten sechzehnten Lebensjahr bei der Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft[9] brandmarkt die Kommission als eine gefährliche Abweichung vom Harmonisierungsgedanken des europäischen Datenschutzrechts. Es wird das Schreckgespenst einer Fragmentierung des Datenschutzes in der Europäischen Union wie noch unter der Datenschutzrichtlinie beschworen, die den freien Fluss von Daten in der Union bedrohe. In dieser überzogenen Kritik wird deutlich, dass die Kommission ihre Niederlage im Gesetzgebungsprozess der DSGVO nicht überwunden hat. In diesem hatte – vor allem der Rat – der Selbstermächtigung der Kommission durch 48 Ermächtigungen zur Konkretisierung der Verordnung Grenzen gesetzt und diese überwiegend durch Öffnungsklauseln für die Mitgliedstaaten ersetzt.[10] Die Kommission nimmt hier den Machtkampf wieder auf und greift die Ausfüllung der Öffnungsklauseln durch die Mitgliedstaaten an. Auch wenn manche Mitgliedstaaten – auch Deutschland – im Einzelfall etwa unzulässig starke Einschränkungen der Rechte der betroffenen Personen vorgenommen haben, ist die grundsätzliche Infragestellung der Legitimität der Ausfüllung der Öffnungsklauseln durch die Mitgliedstaaten – gemessen am Text der DSGVO übertrieben.

Die Kommission versucht mit ihrem Bericht eine Diskussion über die Verbesserung des europäischen Datenschutzrechts zu verhindern. Sie richtet den Scheinwerfer von den Defiziten der Verordnung selbst weg auf die Gesetzgebung der Mitgliedstaaten. Klar ist aber, dass die Diskussion um die Weiterentwicklung des Datenschutzrechts im Allgemeinen und der DSGVO im Speziellen als Fundament dieses Datenschutzrechts dennoch nicht stehenbleiben darf. Zu groß ist der Druck durch moderne Verarbeitungspraktiken, neue Technologien und praktische Probleme. Gerade aus Sicht der Verbraucher zeigt sich, dass die DSGVO trotz der zahlreichen, mitunter immensen Verbesserungen des rechtlichen Status quo noch deutlichen Verbesserungsbedarf in sich trägt. Zudem sind auch zwei Jahre nach ihrem Geltungsbeginn die in der Verordnung angelegten Potenziale längst noch nicht ausgeschöpft.[11] Dies gilt insbesondere für die wesentlichen Innovationen der DSGVO, zu deren prominentesten Vertretern die Forderung nach Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen in Artikel 25 DSGVO gehört.

3. Die Sicht des Verbrauchers auf die DSGVO

Für Verbraucher ergibt sich mit Blick auf die DSGVO ein gemischtes Bild.[12] Verbesserungen und Neuerungen bei den Betroffenenrechten und neuen Durchsetzungsmechanismen stehen die Perpetuierung alter Probleme des Datenschutzrechts und die Erzeugung neuer Problemkreise gegenüber. Zudem dürften die mitunter chaotischen ersten Tage des Geltungsbeginns der Verordnung und als übertrieben empfundene Anforderungen gerade an niederschwellige Datenverarbeitungen infolge des „one size fits all“-Ansatzes der Verordnung dem Datenschutz einen zumindest temporären Imageschaden verpasst haben. Gleichzeitig ist aber auch als positiver Effekt die Wahrnehmung von Datenschutz als ernstzunehmender gesamtgesellschaftlicher Herausforderung gestiegen.

Gerade bezogen auf einige der wesentlichen Innovationen der DSGVO hat sich schnell Ernüchterung eingestellt. Insbesondere das Recht auf Datenübertragbarkeit und die Verpflichtung der Verantwortlichen zu Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen haben nicht die intendierten Effekte entfaltet. Das Recht auf Datenübertragbarkeit hat sich allenfalls branchenspezifisch etabliert, so zumindest die Einschätzung der Kommission.[13] In der Praxis dürfte es indes kaum eine Rolle spielen. Insbesondere eine Wirkung auf den Hauptadressaten der „lex Facebook“[14] scheitert bereits am Vorhandensein valider Alternativen. Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen geraten allzu häufig in Konflikt mit den Verarbeitungsinteressen großer Anbieter und werden allzu sehr relativierend ausgelegt. So können diese Instrumente ihre verbraucherschützende Wirkung nicht entfalten.

Die strukturellen Probleme des Datenschutzes bleiben auch in der DSGVO ungelöst. Dies betrifft vor allem die Bereiche Einwilligung und Transparenz, die ohnehin fest miteinander verbunden sind. Im Falle der Einwilligung blieben die hergebrachten Herausforderungen bestehen, Selbstbestimmung konsequent zu verwirklichen. Bezogen auf Transparenz wurde mit Art. 12 Abs. 7 DSGVO zwar eine Vision vom Ende der wenig effektiven und oft kontraproduktiven Informationsvermittlung via Text entworfen, jedoch hat auch mehr als vier Jahre nach Inkrafttreten der Verordnung die Kommission ihre Aufgabe noch nicht angenommen, standardisierte Bildsymbole einzuführen. Vorgesehen war, mit solchen Symbolen die textliche Vermittlung zu unterstützen und einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Die Kommission hat noch nicht einmal eine Diskussion über hilfreiche Bildsymbole initiiert. Ohne eine Basis mit breit anerkannten Symbolen kann sie auch keine Verpflichtung zum Einsatz dieser Symbole per Rechtsakt nach Art. 12 Abs. 8 DSGVO festlegen.[15]

Insgesamt haben sich die weltweit agierenden Internetkonzerne mit der DSGVO arrangiert. Vor allem sie profitieren von der Regelung in Art. 56 DSGVO, dass sie immer nur mit einer Aufsichtsbehörde zu tun haben – nämlich der von ihnen ausgewählten, offensichtlich handlungsunfähigen oder handlungsunwilligen – Aufsichtsbehörde in Irland. Sie halten an ihren Geschäftsmodellen zur Ausbeutung der Daten ihrer Nutzer – und auch Nichtnutzer – fest, legitimieren diese sogar zum Teil mit den Vorgaben der DSGVO. Sie haben in ihren Datenschutzerklärungen den Sprachgebrauch der Verordnung übernommen, ignorieren aber ihre Vorgaben, wo es ihnen passt – vor allem die Verpflichtung zu datenschutzgerechten Systemgestaltungen und datenschutzfreundlichen Voreinstellungen. Ihnen gegenüber hat die DSGVO zu keinen spürbaren Verbesserungen für die Verbraucher geführt.

4. Potenziale zur Steigerung des Datenschutzniveaus in der Europäischen Union

Angesichts des stetigen technischen Fortschritts und kurzer Innovationszyklen im Bereich der Digitalisierung darf das Datenschutzrecht nicht statisch bleiben, sondern es muss sich trotz aller Versuche über einen sogenannten technologieneutralen Ansatz Langlebigkeit zu garantieren, ständig weiterentwickeln.

4.1 Schwächen im Normtext der DSGVO

Schwächen im Normtext weist die DSGVO zum einen durch gesetzgeberische Handwerksfehler und zum anderen durch die Verwendung zahlreicher unbestimmter Rechtsbegriffe und Vorgaben auf sehr hohem Abstraktionsniveau auf. Diese Schwächen einer klaren, eindeutigen und unmissverständlichen Regelung verursachten in den letzten zwei Jahren vielfache Auslegungs- und Verständnisprobleme, Rechtsunsicherheiten und Rechtsstreitigkeiten. Eine Klärung könnte unverbindlich durch thematische Leitlinien des Europäischen Datenschutzausschusses sowie im Einzelfall verbindlich durch die Gerichte und am Ende den Europäischen Gerichtshof erfolgen. Dies dauert Jahre und ist am Tag der Entscheidung vielleicht durch die rasante Entwicklung der Technik bereits überholt. Ein Wort des Gesetzgebers könnte hier Abhilfe schaffen. Eine Überarbeitung der Verordnung lehnt die Kommission jedoch ab und gegen eine Konkretisierung durch mitgliedstaatliches Recht wehrt sie sich entschieden.[16] Für Verbraucher ist diese Situation äußerst unbefriedigend. Wie die Erfahrung lehrt, dringt in alle Lücken, die das Recht hinterlässt, gesellschaftliche Macht ein und besetzt die Spielräume.[17] Im ersten Zugriff bestimmen die Verantwortlichen, wie sie die abstrakte oder unklare Vorgabe der Verordnung verstehen. Bis zu einer endgültigen Klärung durch den Europäischen Gerichtshof stellt sich für die Verbraucher und eventuell eine Aufsichtsbehörde die Rechtsauffassung der Verantwortlichen als valide Position dar, die es zu widerlegen gilt. Aber auch für die Verantwortlichen selbst besteht Rechtsunsicherheit bezüglich der Frage, wo denn für sie und ihre Geschäftsmodelle tatsächlich und konkret die Schwellen des datenschutzrechtlich Geforderten liegen.

Ein konkretes und vielleicht sogar Paradebeispiel für Schwächen des Normtextes ist das Recht auf Datenübertragbarkeit. Bereits die Benennung des Rechts geht fehl. Sie verweist auf eine Möglichkeit zur Datenübertragung, wo doch tatsächlich vom Verantwortlichen eine konkrete Handlung gefordert ist, die der Betroffene auch einfordern kann. Richtiger wäre mithin die Bezeichnung als Recht auf Datenübertragung.[18] Darüber hinaus sind ein zu unklarer Anwendungsbereich, eine nicht ausreichende Bestimmtheit des Übergabeformats und die Beschränkung auf Situationen, in denen eine Einwilligung oder ein Vertrag (noch) besteht, zu beklagen. Das Recht aus Art. 20 DSGVO gilt nur für die von der betroffenen Person „bereitgestellten“ personenbezogenen Daten. Wörtlich genommen wären Daten, die aus der Beobachtung der betroffenen Person, also aus deren Nutzung resultieren, nicht explizit eingeschlossen. Ebenfalls wären personenbezogene Daten, die ein Dritter übermittelt hat, nicht explizit erfasst. Dies würde dazu führen, dass beim Wechsel von einer Bank zu einer anderen zwar die selbst veranlassten Überweisungen oder Einzahlungen zur neuen Bank übertragen werden können, nicht jedoch Überweisungen oder Abbuchungen Dritter. Der Begriff „bereitgestellt“ in Art. 20 Abs. 1 DSGVO ist also letztlich irreführend und sollte ersetzt werden. Dennoch wird er zu Beschränkung des Anspruchs auf Übertragung genutzt. Die Bestimmungen zur Form der Datenübertragung sind wiederum durch die Verwendung mehrerer unbestimmter Rechtsbegriffe geprägt (z.B. „strukturiertes gängiges und maschinenlesbares Format“, „ohne Behinderung“, „technisch machbar“), die zu einer für die Verbraucher nachteilhaften Auslegung einladen. Hier ist eine Präzisierung dringend angezeigt. Bezogen auf Einwilligung und Verträge bleibt unklar, ob der Anspruch auf Datenübertragung auch dann noch besteht, wenn die Einwilligung widerrufen oder der Vertrag beendet worden ist, denn die Datenübertragung stellt keine nachvertragliche Pflicht dar und dient auch nicht der Vertragserfüllung.[19]

Ein anderes Beispiel ist die Einwilligung und ihr Verhältnis zu den weiteren Erlaubnistatbeständen. Unklarheiten bezogen auf die Erlaubnistatbestände führten zum Geltungsbeginn zu einer regelrechten E-Mail-Schwemme, als Verantwortliche Einwilligungen von ihren Nutzern einzuholen suchten, obwohl oftmals bereits eine Verarbeitungserlaubnis bestand; vor allem nach Art. 6 Abs. 1 Uabs. 1 lit. b oder lit. f DSGVO.[20] Dadurch dürfte eine der größten Imageverluste für den Datenschutz in den letzten Jahren erfolgt sein – in seiner Inakzeptanz nur vergleichbar mit dem allgegenwärtigen „Cookie-Banner“. Zu klären ist, ob die Nutzung weiterer Erlaubnistatbestände neben der Einwilligung gegen den Grundsatz von Treu und Glauben verstößt. Die Artikel 29-Datenschutzgruppe hat hierzu ausgeführt, es gelte, „die Entscheidung zu respektieren und den Teil der Verarbeitung zu beenden, wenn eine Einzelperson ihre Einwilligung widerruft“.[21] Behoben werden könnte die Problematik durch eine Klarstellung in der Verordnung, dass ein Verantwortlicher, der eine Einwilligung einfordert, sich auch auf die Regeln der Einwilligung einlassen muss. Dies gilt etwa für den Fall des Widerrufs und auch für die Informationspflichten des Verantwortlichen.[22]

Es lassen sich aber auch noch weitere Stellen im Normtext ausmachen, wo bereits ein einziges zusätzliches Wort den bestehenden Rechtsstreit auflösen könnte und damit die Rechtsunsicherheit bezogen auf die Auslegung der Verordnung signifikant reduziert werden könnte.[23] So würde etwa im Falle von Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO die Ergänzung, dass die Verarbeitung objektiv für die Erfüllung eines Vertrags erforderlich sein muss, eine Beschränkung auf die funktionale Notwendigkeit der Datenverarbeitung für die vereinbarte Leistung erwirken könnte.

4.2 Konzeptionelle Schwächen der DSGVO

Diesen Schwächen stehen solche gegenüber, die nicht durch die Veränderung des Wortlauts einzelner Vorschriften der DSGVO beseitigt werden können. Hier handelt es sich einerseits um Defizite, die bereits in den Grundprinzipien des Datenschutzrechts angelegt sind und die von neuen Möglichkeiten der Datenverarbeitung unter Druck gesetzt werden, andererseits um solche, die aus der spezifischen Ausformung der Verordnung selbst resultieren.

Mit Blick auf zahlreiche Technologien und Praktiken zeigen sich deutliche Reibungen und offene Konflikte mit den in einem völlig anderen technologischen Umfeld entstandenen Datenschutzprinzipien. Sie sollten vor allem staatliche Informationsmacht einhegen, typischerweise die Verarbeitung personenbezogener Daten in der Verwaltung und auf einer überschaubaren Anzahl von Großrechnern. Internationaler Datenverkehr und die ubiquitäre Verfügbarkeit immenser Rechenleistung bedeuten eine im Vergleich dazu drastisch gesteigerte Gefahrenlage für die informationelle Selbstbestimmung. Die Datenschutzprinzipien sind vor diesem Hintergrund konsequent durchzusetzen, sie müssen aber auch weiterentwickelt werden, um letztlich eine Erosion oder gar ein Abgleiten in die Bedeutungslosigkeit zu verhindern, wenn die Konflikte mit der technischen Wirklichkeit unüberbrückbar werden. Denkbar ist dies beispielsweise im Falle der Zweckbindung und der Entwicklung hin zu smarten persönlichen Assistenten, die eine möglichst breite Datenbasis über die Nutzenden zwingend voraussetzen, um eine bestmögliche Prognose über sie erstellen zu können, die wiederum die Basis für die Assistenz der Nutzenden darstellen. Das Festhalten der DSGVO an den Datenschutzprinzipien in ihrer tradierten Form ist nicht nur deshalb ein Problem, weil es bereits mit der heutigen technischen Wirklichkeit zu Konflikten kommt, sondern weil ein Festhalten am etablierten Innovationszyklus des europäischen Datenschutzrechts bedeutet, dass sehr wahrscheinlich zwei Jahrzehnte ins Land gehen werden, bis es zu einer erneuten, umfassenden Überarbeitung kommt. Umso wichtiger ist die Berichtspflicht nach Art. 97 DSGVO und umso bedauerlicher ihre Handhabung durch die Kommission.

Eine weitere Schwäche der DSGVO ist ihre zu weitgehende Risikoneutralität. Sie beachtet zwar Risiken der Datenverarbeitung, um die Belastungen der Datenverarbeiter zu reduzieren.[24] Ihr fehlen jedoch risikoadäquate Differenzierungen der Datenschutzgrundsätze, der Zulässigkeit der Datenverarbeitung und der Betroffenenrechte. Auch wo die Datenverarbeitung sehr unterschiedliche Grundrechtsrisiken verursacht, finden die gleichen abstrakten Regelungen Anwendung – etwa für die wenig riskante Kundenliste eines Handwerksbetriebs ebenso wie für die um Potenzen risikoreicheren Datenverarbeitungsformen des Internet der Dinge, von Big Data, Künstlicher Intelligenz, Cloud Computing und datengetriebenen Geschäftsmodellen. Der Grund für diese Risikoneutralität ist, dass die DSGVO einer übertriebenen Ausprägung des Grundsatzes der Technikneutralität folgt. Dieser Grundsatz soll im Prinzip das Risiko einer Umgehung rechtlicher Vorschriften minimieren, indem die Datenschutzregelungen „nicht von den verwendeten Techniken abhängen“.[25] Richtig verstanden ist eine technikneutrale Regelung dann sinnvoll, wenn sie verhindern soll, dass rechtliche Vorschriften technische Weiterentwicklungen ausschließen. Sie ist daher so zu fassen, dass die rechtlichen Vorgaben auch auf weiterentwickelte Techniken anwendbar sind.[26] Dies schließt aus, Regelungen für einzelne Ausprägungen einer spezifischen Technikanwendung zu treffen. Dies darf aber nicht verhindern, Vorgaben für bestimmte technische Funktionen vorzusehen – insbesondere, wenn sie (wie z.B. Tracking, Gesichtserkennung, Profilbildung oder Scoring) besondere Risiken für Grundrechte verursachen. Dies aber hat die DSGVO vollständig versäumt. Ihre höchst abstrakten Vorgaben verursachen bei allen Versuchen, sie auf konkrete Techniken anzuwenden, Rechtsunsicherheit und stärken die Durchsetzungschancen machtvoller Interessen.

Eine weitere strukturelle Schwäche der Verordnung liegt darin, dass zwar eine besondere Schutzwürdigkeit von Kindern angemahnt wird, gleichzeitig aber kein zusammenhängendes Konzept für die Verarbeitung personenbezogener Daten von Kindern vorgelegt wurde.[27]

5. Stärkung der Stellung der Verbraucher

Angesichts von weiter anwachsenden Macht- und Informationsasymmetrien ist es notwendig, die Stellung der Verbraucher in der DSGVO weiter zu stärken. Für die Verbraucher wäre schon viel gewonnen, wenn – auch vor dem Hintergrund der praktischen Erfahrungen der letzten zwei Jahre – ihre offensichtlichen und leicht behebbaren Schwächen beseitigt würden. Darüber hinaus sind die verbraucherschützenden Aspekte des Datenschutzrechts stärker in den Fokus zu rücken. Welche Verbesserungen und Weiterentwicklungen bereits mit geringen Änderungen des Normtextes möglich sind, sollen die nachfolgenden Beispiele belegen.[28]

5.1 Datenschutzgrundsätze

Die datenschutzrechtlichen Grundsätze in Art. 5 DSGVO gelten für alle Datenverarbeitungen. Sie fordern u.a. in Art. 5 Abs. 1 lit. a DSGVO eine Datenverarbeitung „nach Treu und Glauben“. Dieser Begriff ist eine Besonderheit der deutschen Sprachfassung, die nur Verwirrung stiftet.[29] Die englische Sprachfassung spricht davon, dass personenbezogene Daten „fairly“ zu verarbeiten sind, oder die französische Fassung von „loyauté“. Um eine Verwechslung mit dem gleichnamigen zivilrechtlichen Grundsatz zu vermeiden und eine Angleichung der Sprachfassungen zu erreichen, sollte die Wendung durch den Begriff „Fairness“ ersetzt werden.

Vor allem aber ist zu konstatieren, dass in Art. 5 DSGVO das Gebot der Datenvermeidung fehlt, wie es noch in § 3a BDSG a.F. normiert war. Der in Art. 5 Abs. 1 lit. c DSGVO enthaltene Grundsatz der Datenminimierung setzt nur das Prinzip der Erforderlichkeit in der Weise um, dass der Verantwortliche nur die Daten verarbeiten darf, die erforderlich sind, um den Zweck der Datenverarbeitung zu erreichen. Er kann so durch Bestimmung des Zwecks indirekt Einfluss auf die Daten nehmen, die er verarbeiten möchte. Dagegen erfasst das Gebot der Datenvermeidung als Ausdruck eines umfassenden Verständnisses des Verhältnismäßigkeitsprinzips auch die Zweckbestimmung. Diese soll so gewählt werden, dass möglichst wenige personenbezogene Daten verarbeitet werden müssen. Um Art. 5 Abs. 1 lit. c DSGVO um das Gebot der Datenvermeidung zu ergänzen, sollte dieser Grundsatz um die Feststellung ergänzt werden, dass die Auswahl und Gestaltung der Datenverarbeitungssysteme an dem Ziel ausgerichtet sein müssen, so wenig personenbezogene Daten wie möglich zu verarbeiten.

5.2 Information und Auskunft

Die Rechte der betroffenen Person nehmen eine zentrale Rolle im Gefüge des Datenschutzrechts ein. Wie auch die Einwilligung sind sie Ausdruck informationeller Selbstbestimmung und dienen als Kontrollinstrument, um die Verarbeitung der „eigenen“ personenbezogenen Daten durch den Verantwortlichen zu überwachen (Auskunft) und notfalls auch einzuschreiten (Berichtigung, Löschung, Einschränkung und Widerspruch). Wesentliche Grundlage hierfür ist es, die tauglichen Adressaten zur Ausübung der Rechte zu identifizieren. Dies ist nur dort unproblematisch, wo sich Verantwortlicher und Betroffener gegenüberstehen und keine Drittnutzung der Daten stattfindet. Es sollte deshalb eine Verpflichtung des Verantwortlichen in Art. 24 Abs. 1 DSGVO integriert werden, Dritte, denen die Daten übermittelt wurden, und die Übermittlung selbst zu protokollieren. Diese Pflicht würde damit zu den Nachweispflichten treten, die den Verantwortlichen ohnehin aus der DSGVO heraus treffen. Ist diese Voraussetzung geschaffen, so können Art. 13 Abs. 1 lit. e, Art. 14 Abs. 1 lit. f und Art. 15 Abs. 1 lit. c DSGVO angepasst werden, die Information und Auskunft über Empfänger personenbezogener Daten regeln. Hier sollte jeweils die Wendung „Empfänger, soweit sie bestimmbar sind“ ergänzt werden. Dadurch würde der Verantwortliche verpflichtet, alle ihm bekannten Empfänger personenbezogener Daten zu benennen. Die bloße Benennung von Kategorien von Empfängern wäre damit nur noch dann ausreichend, wenn ein konkreter Empfänger zum Zeitpunkt der Information (noch) nicht benannt werden kann. Die Voraussetzungen zur Geltendmachung der Betroffenenrechte würden damit deutlich verbessert.

Ein anderes Beispiel für Verbesserungspotenzial betrifft das Recht auf Kopie aus Art. 15 Abs. 3 Satz 1 DSGVO, das als eine der am stärksten misslungenen Regelungen der Verordnung gelten darf.[30] Die Folge ist eine erhebliche Rechtsunsicherheit in diesem Bereich. Umstritten sind der Status des Rechts (eigenes Recht oder Unterform des Rechts auf Auskunft), der Umfang des Begriffs der „Kopie“ (umfassende oder eingeschränkte Wiedergabe der zu einer betroffenen Person vorhandenen Datensätze; Gegenstand der Kopie), die Form der Geltendmachung (explizit oder implizit) und die Form der Übergabe der Kopie; mithin im Grunde alle Elemente des Rechts auf Kopie. Auch eine präzise Abgrenzung zum Recht auf Datenübertragbarkeit gestaltet sich mitunter schwierig. Die meisten dieser Probleme könnten durch zwei Einfügungen im Text der Vorschrift beseitigt werden. Zunächst sollte der Zusatz „auf Antrag der betroffenen Person“ eingefügt werden, damit dem Verantwortlichen klar signalisiert wird, wann die Herausgabe einer Kopie von ihm verlangt wird. Zudem sollte die Wendung „und in einem Datensatz zusammengefasst sind oder zusammengefasst werden können“ bezogen auf die personenbezogenen Daten, die Gegenstand der Verarbeitung sind, und damit dem Recht auf Kopie unterfallen, hinzugefügt werden. Damit würde die Reichweite des Rechts auf Kopie erheblich klarer gefasst.

5.3 Datenschutz durch Systemgestaltung und Voreinstellungen

Die Verpflichtung des Verantwortlichen zu einer datenschutzgerechten Systemgestaltung und zu datenschutzfreundlichen Voreinstellungen in Art. 25 DSGVO knüpft zwar an langjährige Diskussionen zum Datenschutzrecht an, darf aber als eine der wesentlichen Innovationen der DSGVO gelten.[31] Ein zentraler Schwachpunkt der Verordnung ist jedoch, dass sie die Anforderung datenschutzgerechten Systemgestaltung nach Abs. 1 nur an den Verantwortlichen richtet, nicht jedoch an den Systemhersteller. Der Verantwortliche ist jedoch oft darauf angewiesen, dass der Systemhersteller ihm datenschutzgerechte Gestaltungen anbietet. Ohne entsprechende Marktmacht kann er dies von ihm jedoch nicht einfordern. Da die Mechanismen des Marktes, auf die der Gesetzgeber vertraut, die Ziele des Gesetzes jedoch oft nicht unterstützen, ist es notwendig, eine Verpflichtung der Hersteller zu einer datenschutzgerechten Systemgestaltung in die DSGVO aufzunehmen.[32]

Das Gebot datenschutzfreundlicher Voreinstellungen in Art. 25 Abs. 2 DSGVO fordert vom Verantwortlichen geeignete technische und organisatorische Maßnahmen zu treffen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Die Regelung orientiert sich an der Zweckbestimmung des Verantwortlichen. Er kann durch die Wahl des Zweckes das Ziel des Gebots weitgehend unterlaufen. Daher sollte sich das Gebot auf die technischen Funktionen zur Bereitstellung der Hauptleistung gegenüber dem Verbraucher fokussieren. Maßstab der Datenschutzfreundlichkeit sollte diejenige Ausprägung des Verarbeitungszwecks sein, nach der so wenig personenbezogene Daten wie möglich verarbeitet werden. Damit würde auch Datenvermeidung zu einem wesentlichen Faktor der Voreinstellung von Technik und es findet eine Verlagerung von der subjektiven zur objektiven Erforderlichkeit statt.

5.4 Schutz personenbezogener Daten von Kindern

Die DSGVO erklärt in ErwG 38 Satz 1 DSGVO, dass Kinder bei der Verarbeitung ihrer personenbezogenen Daten besonderen Schutz verdienen. Dieser soll insbesondere im Kontext der Verarbeitung für Werbezwecke und bei der Erstellung von Persönlichkeits- oder Nutzerprofilen gelten sowie bei Diensten, die Kindern direkt angeboten werden. Im Normtext selbst wird eine besondere Berücksichtigung von Kindern nur sehr abstrakt in Art. 6 Abs. 1 Uabs. 1 lit. f und Art. 12 Abs. 1 Satz 1 DSGVO gefordert, indem Kinder bei der Interessenabwägung und der Informationsaufbereitung besonders zu berücksichtigen sind. Die einzige speziell auf Kinder ausgerichtete Vorschrift ist Art. 8 DSGVO zur Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft, die jedoch nur auf solche Dienste Anwendung findet, die einem Kind direkt angeboten werden. Diese dient aber der Rechtssicherheit der Verantwortlichen und weniger dem Schutz der Kinder, deren Einwilligung – in manchen Mitgliedstaaten bereits ab 13 Jahren – unabhängig von ihrem Verständnishorizont wirksam wird. Der Schutz von Kindern erfolgt in der Verordnung nur punktuell und unspezifisch.[33]

Notwendig wäre, die DSGVO um folgende ausdrückliche Regelungen zum Schutz der Interessen von Kindern zu ergänzen: bei der Prüfung der Vereinbarkeit eines neuen Verarbeitungszwecks nach Art. 6 Abs. 4 DSGVO, beim Recht auf Widerspruch nach Art. 21 Abs. 1 und 6 DSGVO, in der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und bei einer notwendigen Neufassung der Altersregelung in Art. 8 Abs. 1 DSGVO. Ausdrücklich ausgeschlossen werden sollte die Verarbeitung von Kinderdaten für Werbezwecke und Profiling sowie die Einwilligung eines Kindes in automatisierte Entscheidungen nach Art. 22 Abs. 2 lit. c DSGVO und in die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 Abs. 2 lit. a DSGVO. In Art. 6 Abs. 1 Uabs. 1 lit f. DSGVO sollte die Abwägung berechtigter Interessen mit den Rechten und Freiheiten von Kindern präzisiert werden.

6. Der Blick nach vorne

Eine nüchterne Betrachtung der DSGVO bringt neben zahlreichen Verbesserungen auch handfeste Defizite zum Vorschein. In ihrer Evaluation der Verordnung hat sich die Europäische Kommission auf die Untersuchung ausgewählter Probleme ihrer Umsetzung beschränkt. Eine echte Bewertung und Überprüfung der Verordnung nach Art. 97 Abs. 1 Satz 1 DSGVO ist unterblieben. Stattdessen führt die Kommission ihre Auseinandersetzung mit den Mitgliedstaaten fort, deren Abweichungen von der Verordnung als „Goldstandard“[34] sie als eine Bedrohung empfindet. Dabei sind einige der in den Mitgliedstaaten erfolgten Abweichungen gerade mit dem Ziel erfolgt, bestehende Regelungslücken der Verordnung zu schließen und Defizite zu beheben. Im Ergebnis zementiert die Kommission die DSGVO – deren Konzeption bereits 10 Jahre alt ist, deren Entwurf durch die Kommission acht Jahre her ist und die bereits von fünf Jahren im Trilog ihre endgültige Form gefunden hat – mit all ihren Mängeln. Mag sein, dass die Kommission befürchtet hat, der über viele Jahre mühsam ausgehandelte Kompromiss könne erodieren, wenn sie an einzelnen Formulierungen rüttelt. Auch wollte sie wohl an der von ihr betriebenen Überhöhung der DSGVO als besonders gelungenes Gesetzeswerk festhalten. Dass sie nicht einmal eine Diskussion über eine künftige Evolution des Datenschutzrechts in der Europäischen Union angestoßen hat, ist jedoch in höchstem Maße zu bedauern. Sie hat damit die in der Verordnung selbst angelegte Chance einer regelmäßigen Weiterentwicklung zum Stichtag der ersten vorgesehenen Evaluation vertan. Dabei zeigt sich, dass eine Adressierung vieler Defizite der DSGVO bereits mit geringen textlichen Veränderungen erreicht werden könnte. Diese Änderungen würden sich in greifbaren Verbesserungen für die Verbraucher manifestieren.

Für die Kommission könnte ihr Vorgehen ins Gegenteil dessen umschlagen, was sie als Ziel vorgegeben hat. Die Diskussion über die Weiterentwicklung des Datenschutzrechts wird weitergeführt werden und notwendige Anpassungen werden möglicherweise auf mitgliedstaatlicher Ebene stattfinden. Die Androhung von Vertragsverletzungsverfahren angesichts des rechtspolitischen Versagens der Kommission vor den datenschutzrechtlichen Herausforderungen ist kein besonders „scharfes Schwert“ um die Mitgliedstaaten vor legislativen Innovationen abzuschrecken. Fragen der Harmonisierung des Datenschutzrechts und der Reichweite der siebzig Öffnungsklauseln der DSGVO werden dann eine umso größere Rolle spielen und zu einer Evolution der DSGVO zwingen.

PROF. DR. ALEXANDER ROßNAGEL ist Seniorprofessor für öffentliches Recht an der Universität Kassel, Leiter der Projektgruppe verfassungsverträgliche Technikgestaltung (provet) im Wissenschaftlichen Zentrum für Informationstechnik-Gestaltung (ITeG) und Sprecher des Forums Privatheit.

DR. CHRISTIAN GEMINN ist Lehrbeauftragter an der Universität Kassel, Geschäftsführer von provet und Mitglied des Forums Privatheit.

Anmerkungen:

1 Zur besseren Lesbarkeit des Textes wird auf die Aufzählung mehrerer Geschlechter verzichtet. Der
Begriff „Verbraucher“ und ähnliche Begriffe umfassen immer auch alle Personen anderen Geschlechts.

2 Art. 97 Abs. 2 DSGVO: „insbesondere”.

3 S. zu den Stellungnahmen ausführlich Roßnagel, DuD 2020, 287.

4 Communication from the Commission to the European Parliament and the Council, Data protection
as a pillar of citizens’ empowerment and the EU’s approach to the digital transition – two years
of application of the General Data Protection Regulation, COM(2020) 264 final (SWD(2020) 115 final).

5 S. hierzu Geminn, DVBl. 2018, 1593; Fujiwara/Geminn/Roßnagel, ZD 2019, 204.

6 Jourová, Pressemitteilung der Europäischen Kommission vom 24.6.2020.

7 Dieser wird ergänzt um ein inoffizielles Commission Staff Working Document von 52 Seiten.

8 COM(2020) 264 final, 4.

9 Art. 8 Abs. 1 Satz 3 DSGVO.

10 S. hierzu ausführlich Roßnagel, Das künftige Datenschutzrecht in Europa, in: ders., Das neue Datenschutzrecht,
Europäische Datenschutz-Grundverordnung und deutsche Datenschutzgesetze,
2018, 27 ff.

11 S. zu den Innovationen der DSGVO Roßnagel, DuD 2019, 467 ff. sowie den Schwerpunkt des Heftes 8
der DuD 2019.

12 Der Beitrag basiert auf einem Gutachten der Autoren im Auftrag des Bundesverbands der Verbraucherzentralen
(vzbv); s. Roßnagel/Geminn, Datenschutz-Grundverordnung verbessern, 2020.

13 COM(2020) 264 final, 8.

14 So schon das inoffizielle Label des Art. 20 DSGVO im Gesetzgebungsprozess.

15 Roßnagel, Verbraucherrechte im Datenschutz verwirklichen – ein Überblick, in: Brönneke/Willburger/
Bietz, Verbraucherrechte verwirklichen! Der richtige Instrumentenmix für einen wirkungsvollen
Verbraucherrechtsvollzug, 299 ff.

16 COM(2020) 264, 14.

17 S. Roßnagel, MMR 2020, 222 ff.

18 S. Roßnagel/Geminn, Datenschutz-Grundverordnung verbessern, 2020, 76 ff.

19 S. Westphal/Wichtermann, ZD 2019, 191 (192).

20 S. Roßnagel, DuD 2018, 741 (745).

21 Artikel 29-Datenschutzgruppe, Leitlinien in Bezug auf die Einwilligung, WP 259 rev. 01, 27.

22 S. hierzu auch Roßnagel u.a., Einwilligung: Möglichkeiten und Fallstricke aus der Konsumentenperspektive,
Whitepaper des „Forums Privatheit und selbstbestimmtes Leben in der digitalen Welt,
2020.

23 S. die Regelungsvorschläge in Roßnagel/Geminn, Datenschutz-Grundverordnung verbessern, 2020,
115 ff.

24 Vor allem in ihrem Kapitel IV stellt die DSGVO die Pflichten der Verantwortlichen unter Risikovorbehalt
– s. z.B. Art. 24, 25, 30, 32, 33, 34, 35, 36 und 37 DSGVO – mit der Folge, dass in der Praxis diese
Pflichten nur für einen Bruchteil der Verantwortlichen tatsächlich wirksam werden – s. hierzu
auch Albrecht, CR 2016, 88 (94); Roßnagel, DuD 2016, 561 (565); Roßnagel, Notwendige Schritte zu
einem modernen Datenschutzrecht, in: Roßnagel/Friedewald/Hansen, Die Fortentwicklung des
Datenschutzrechts, 2018, 361 (375f.).

25 S. ErwG 15 Satz 1 DSGVO.

26 S. grundsätzlich Roßnagel, Technikneutrale Regulierung: Möglichkeiten und Grenzen, in: Eifert/
Hoffmann-Riem, Innovationsfördernde Regulierung, 2009, 323 ff.

27 S. Roßnagel, ZD 2020, 88 ff.

28 Für weitere Verbesserungsvorschläge s. Roßnagel/Geminn, Datenschutz-Grundverordnung verbessern,
2020, 115 ff.

29 S. näher Roßnagel, in: Simitis/Hornung/Spiecker, Datenschutzrecht, 2019, Art. 5 Rn. 44 ff.

30 S. beispielhaft Engeler/Quiel, NJW 2019, 2201; Wybitul/Brams, NZA 2019, 672; Brink/Joos, ZD 2019,
483; Weik, DuD 2020, 98.

31 S. z.B. Roßnagel, DuD 2019, 467 ff.

32 S. hierzu die Konferenz der unabhängigen Datenschutzaufsichtsbehörden, Erfahrungsbericht,
2019, 16f.

33 S. hierzu Roßnagel, ZD 2020, 88.

34 Albrecht, CR 2016, 98.

Der Beitrag Zwei Jahre Datenschutz-Grundverordnung eine Bilanz aus Verbrauchersicht erschien zuerst auf Humanistische Union.

Datenschutz-Grundverordnung was bewirkt sie für den Datenschutz?

huadminuser — Wed, 23 May 2018 13:03:00 +0000

Die DSGVO wurde mit großen Versprechen angekündigt, mit hohen Erwartungen versehen, mit tiefen Enttäuschungen aufgenommen und durch viel Lobby-Arbeit beeinflusst. Sie wird von denen einen als „Meilenstein“, neuer „Goldstandard“ und „Beginn einer neuen Zeitrechnung im Datenschutzrecht“ gepriesen; von den anderen zu „einem der schlechtesten Gesetze des 21. Jahrhunderts“ gekürt und für das Datenschutzrecht als „größte Katastrophe des 21. Jahrhunderts“ bezeichnet.

Alexander Roßnagel wagt eine erste Bilanz der verfehlten Ansprüche und möglicher Innovationen durch die EU-Datenschutz-Grundverordnung …

Datenschutz-Grundverordnung – ein weiterer Schritt in der Entwicklung des Datenschutzrechts

Das geltende Datenschutzrecht stammt konzeptionell aus den 1960er und 1970er Jahren. In dieser Zeit fand die Datenverarbeitung in Rechenzentren statt. Die Daten wurden in Formularen erfasst und per Hand eingegeben. Die Datenverarbeitung betraf nur einen kleinen Ausschnitt des Lebens und war – soweit die Daten bei der betroffenen Person erhoben worden waren – für diese weitgehend kontrollierbar. Wurde die Zweckbindung beachtet, wusste der Betroffene in der Regel, wo welche Daten über ihn verarbeitet wurden. Für diese erste Stufe der Datenverarbeitung sind die grundlegenden Schutzkonzepte des Datenschutzrechts entwickelt worden. …

Die zweite, qualitativ neue Entwicklungsstufe wurde mit der – weltweiten – Vernetzung der Rechner erreicht. Dadurch entstand ein eigener virtueller Sozialraum, in den nahezu alle Aktivitäten aus der körperlichen Welt übertragen wurden. Jede Handlung in diesem Cyberspace hinterlässt Datenspuren, die ausgewertet werden können und auch werden. Weder die Erhebung der Daten noch deren – letztlich weltweite – Verbreitung und Verwendung können von der betroffenen Person noch kontrolliert werden. Web 2.0 oder Cloud-Computing sind weitere Ausprägungen dieser Entwicklungsstufe. Für sie versuchten die in den 1990er Jahren erlassenen Multimedia-Datenschutzgesetze die Risiken in den Griff zu bekommen. Sie haben für die Internetdienste die Anforderungen an Transparenz, Zweckbindung und Erforderlichkeit verschärft und vor allem die neuen Prinzipien der Datensparsamkeit und des Datenschutzes durch Technik eingeführt. Diese normativen Vorgaben konnten allerdings nur im Wirkungsbereich des Nationalstaats zur Geltung gebracht werden. Die neue Datenverarbeitung betrifft das komplette Leben im virtuellen Sozialraum, je nach Nutzung des Internet einen großen oder kleinen Ausschnitt des täglichen Lebens. Diesen Risiken zu entgehen, würde voraussetzen, den virtuellen Sozialraum zu meiden – für viele keine realistische Alternative. Jedoch besteht zumindest grundsätzlich die Möglichkeit, bildlich gesprochen, den Stecker zu ziehen.

In einer weiteren, dritten Entwicklungsstufe gelangt die Datenverarbeitung in die körperliche Welt. Ubiquitous Computing mit seinen Ausprägungen wie z.B. Smart Cars, Smart Health, Smart Home, Smarten Assistenten, Robotern und sonstige Techniken des Internet der Dinge, die auf der Erfassung der Umgebung durch vielfältige Sensoren und auf der Lernfähigkeit der Systeme durch Künstliche Intelligenz aufbauen, führen zu einer allgegenwärtigen Verarbeitung personenbezogener Daten, die potenziell alle Lebensbereiche und diese potenziell vollständig erfasst. In dieser Welt wachsen Körperlichkeit und Virtualität zusammen. Informationen aus der virtuellen Welt werden in der körperlichen Welt verfügbar, Informationen aus der realen Welt in die virtuelle Welt integriert. Aus dieser Welt und der in ihr stattfindenden Datenverarbeitung gibt es aber keinen Ausweg mehr. Insofern verschärft sich das Problem des Datenschutzes radikal und seine Lösung wird existenziell. Für diese neuen Herausforderungen gibt es noch keine datenschutzrechtlichen Regelungen.

Und auch die alten Regelungen greifen nicht mehr. In einer Welt allgegenwärtiger Datenverarbeitung laufen die bekannten Anforderungen der Zweckbindung, der Erforderlichkeit, der Transparenz, der Einwilligung und der Betroffenenrechte ins Leere. Wenn die allgegenwärtige Rechnertechnik gerade im Hintergrund und damit unmerklich den Menschen bei vielen Alltagshandlungen unterstützen soll, wird es niemand akzeptieren, wenn er täglich zur Durchsetzung des Transparenzprinzips tausendfach bei meist alltäglichen Verrichtungen Anzeigen, Unterrichtungen oder Hinweise zur Kenntnis nehmen müsste. Wenn die Techniksysteme kontextsensitiv und selbstlernend sein sollen, werden sie aus den vielfältigen Datenspuren, die der Nutzer bei seinen Alltagshandlungen hinterlässt, und seinen Präferenzen, die seinen Handlungen implizit entnommen werden können, entgegen jeder Zweckbindung im Interesse des Nutzers vielfältige und umfassende Profile erzeugen. Wenn die Nutzer auf die Datenspeicher der sie umgebenden Gegenstände zurückgreifen, um ihr eigenes löchriges Gedächtnis zu erweitern, läuft das Erforderlichkeitsprinzip in Leere. Für die Gedächtnisfunktion ist für sehr lange Zeit eine Datenspeicherung auf Vorrat erforderlich, weil niemand wissen kann, an was man sich irgendwann einmal erinnern möchte. Diese Beispiele zeigen: Die allgegenwärtige Datenverarbeitung verursacht nicht nur ein weiteres Vollzugs-, sondern ein grundlegendes Konzeptproblem. Sie stellt die zentralen Schutzkonzepte des Datenschutzrechts in Frage.[15]

Alle drei Entwicklungsstufen bestehen heute parallel und beeinflussen sich gegenseitig. Für jede besteht ein spezifischer Modernisierungsbedarf … Die Zukunftsfähigkeit neuer Datenschutzregelungen muss daran gemessen werden, ob sie den Herausforderungen auf allen drei Entwicklungsstufen gerecht werden und neue Lösungen für die Gefährdungen der Grundrechtsverwirklichung bieten.

Zielsetzungen der Datenschutz-Grundverordnung

Die DSGVO … verfolgt drei große Zielsetzungen:

Zum einen will sie das Datenschutzrecht unionsweit vereinheitlichen und einen soliden, „kohärenten und durchsetzbaren Rechtsrahmen im Bereich des Datenschutzes in der Union“ schaffen (EG 3, 9 und 13).
Zum anderen will sie einheitliche Vorgaben für gleiche wirtschaftliche Bedingungen in der Union bieten und damit den Binnenmarkt stärken (EG 5, 10, 13). „Die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten sollten unionsweit gleichmäßig und einheitlich angewandt werden“ (EG 10).
Schließlich stellt sie fest, dass „rasche technologische Entwicklungen und die Globalisierung … den Datenschutz vor neue Herausforderungen gestellt“ haben (EG 6). Die Verordnung will den Datenschutz angesichts dieser Herausforderungen modernisieren und den Schutz der Grundrechte verbessern (EG 1, 2 und 4).

Wirkungen der Datenschutz-Grundverordnung

Um zu verstehen, warum die DSGVO diese Ziele weitgehend verfehlt, ist der Machtkampf um die Zukunft des europäischen Datenschutzrechts während der Entstehung der Verordnung zu berücksichtigen. Da nahezu alle Lebens-, Wirtschafts- und Verwaltungsbereiche davon abhängig sind, personenbezogene Daten zu verarbeiten, hat derjenige, der über die Fortentwicklung des Datenschutzes bestimmt, ein zentrales Instrument zur Gestaltung der digitalen Gesellschaft in Europa in der Hand. Daher entspann sich ein heftiger Kampf, wer mit welchen Kompetenzen künftig die Datenverarbeitung reguliert (4.1). Er wirkte sich auf die Kontroversen über die Inhalte der Verordnung aus (4.2 – 4.4), mit denen diese Entwicklung begonnen werden sollte. …

Ko-Regulierung statt Vereinheitlichung des Datenschutzrechts

Die DSGVO hat ein grundlegendes Problem, das durch den Machtkampf verstärkt und nicht beseitigt wurde: die hohe Diskrepanz zwischen der enormen Komplexität des Regelungsbedarfs einerseits sowie die Abstraktheit und damit Unterkomplexität ihrer Vorschriften andererseits. Sie will in 50 Artikeln des materiellen Datenschutzrechts die gleichen Probleme behandeln, für die im deutschen Datenschutzrecht Tausende von bereichsspezifischen Vorschriften bestehen. Wer Datenschutz regelt, verursacht Veränderungen in allen Gesellschaftsbereichen – vom Archivwesen bis zum Zeitungsverlag. Wer meint, die vielen und vielfältigen gesetzlichen Regelungen zum Datenschutz in den Mitgliedstaaten durch wenige generelle und abstrakte Regelungen ersetzen zu können, unterschätzt nicht nur diese Aufgabe gewaltig, sondern übersieht auch die negativen Auswirkungen, die dadurch entstehen, wenn er die Vielfalt und Differenzierung bestehender Regelungen beseitigt und dadurch gewaltige Lücken der Rechtsunsicherheit erzeugt.[22]

Durch diesen unterkomplexen Regelungsansatz muss die DSGVO ihr eigentliches Ziel, einen soliden, kohärenten, einheitlichen Rechtsrahmen für den Datenschutz in allen Mitgliedstaaten der Union zu bilden, verfehlen. Vollzugsfähig und rechtssicher sind die Regelungen der Verordnung nur, wenn sie präzisiert, konkretisiert und ergänzt werden. Dies ist überwiegend Aufgabe der Mitgliedstaaten.[23] Das wichtigste Ergebnis aus dem Machtkampf um die Verordnung sind die 70 Öffnungsklauseln, durch die die Union den Mitgliedstaaten explizit Regelungskompetenzen im Datenschutzrecht überträgt. Diese sind unterschiedlich ausgestaltet. Sie eröffnen den Mitgliedstaaten eigene Regelungsbereiche ohne spezifische Vorgaben – wie in Art. 88[24] für den Beschäftigtendatenschutz.[25] … Die Öffnungsklauseln verhindern eine unionsweite Vereinheitlichung des Datenschutzrechts. Dies widerspricht zwar den Wünschen und Hoffnungen, die viele mit der Verordnung verbunden haben. Mehr als dieses Nebeneinander von Unions- und nationalem Datenschutzrecht, das im günstigen Fall zu einer Ko-Regulierung führt, hat der Unionsgesetzgeber aber nicht gewollt.

Wie sehr im Ergebnis ein unionsweit einheitliches Datenschutzrecht verfehlt wird, kann in der Anpassung des deutschen Datenschutzrechts an die DSGVO besichtigt werden. Noch in der 18. Legislaturperiode hat der deutsche Gesetzgeber ergänzend zu ihr erste neue Datenschutzgesetze erlassen. … Der Regulierungsstil dieser nationalen Anpassungsgesetze ist identisch. Sie sind von der Zielsetzung geprägt, das bestehende materielle Datenschutzrecht zu erhalten und nur formelle Anpassungen vorzunehmen. Es entfällt jedoch kein einziges Datenschutzgesetz und auch kein Abschnitt zum Datenschutz in den Fachgesetzen.

Im Ergebnis verfehlt die DSGVO weitgehend ihr Ziel, das Datenschutzrecht in der Union zu vereinheitlichen. Für Rechtsanwender und Rechtsbetroffene ist die Gemengelage aus DSGVO sowie dem weitgehend unveränderten deutschen Datenschutzrecht schwer zu durchschauen und verursacht ein hohes Maß an Rechtsunsicherheit.

Kontinuität in den Mitgliedstaaten statt einheitlicher Datenschutzpraxis

Stärker kommt die DSGVO im Bereich der Wirtschaft zur Anwendung. Doch auch wenn in allen Mitgliedstaaten die gleichen Vorschriften gelten, führt dies nicht immer zu unionsweit einheitlichen Wettbewerbsbedingungen. Gerade ihre vielen abstrakten und unbestimmten Regelungen bedürfen in der Praxis der Präzisierung und Konkretisierung durch die Verantwortlichen, betroffenen Personen, nationalen Aufsichtsbehörden und Gerichte.

Es ist ein entscheidender Unterschied, ob eine Richtlinie fünf Erlaubnistatbestände als Ziele vorgibt, die eine bereichs- und problemspezifische Konkretisierung durch nationale Gesetze erfahren sollen, oder ob die gleichen fünf Erlaubnistatbestände in einer Verordnung unmittelbare Rechtsgeltung haben und die bestehenden ausdifferenzierten und risikobezogenen nationalen Regelungen ersetzen sollen. Die Auslegung der identischen abstrakten Begriffe wird in jedem Mitgliedstaat nach der jeweiligen Datenschutztradition und -kultur erfolgen. Insbesondere die offene Abwägung berechtigter Interessen der Verantwortlichen mit den schutzwürdigen Interessen der betroffenen Person wird in jedem Mitgliedstaat unterschiedlich sein. Dies ist z.B. für die Videoüberwachung, für Werbung, Auskunfteien, Marktforschung, Scoring, Bonitätsauskünfte oder Internetangebote zu erwarten. Europäischer Datenschutz wird hinsichtlich der Zulässigkeit der Datenverarbeitung in jedem Mitgliedstaat praktisch einen anderen Inhalt haben. Dadurch entsteht kein einheitlich durchgesetztes und gelebtes Recht. Wettbewerbsgleichheit ist so nicht zu erreichen.[30]

Indem die Verordnung die Entscheidung über die Abwägung letztlich auf die Gerichte überträgt, entstehen aber noch viel unterschiedlichere Ergebnisse als unter der DSRL. … Eine Vereinheitlichung der Rechtsprechung ist allenfalls in einzelnen Fällen bezogen auf die jeweils enge Fallfrage nach jahrelangen Prozessen[33] durch den EuGH zu erwarten.

Keine inhaltliche Modernisierung des Datenschutzrechts

Die DSGVO führt für das materielle Datenschutzrecht die Grundkonzeption der Datenschutz-Richtlinie von 1995 fort. Sie enthält keinen grundlegenden innovativen Ansatz, weist jedoch einige sinnvolle Neuerungen auf: Angesichts der Globalisierung der Datenverarbeitung ist die Ausweitung ihres räumlichen Anwendungsbereichs hilfreich. Danach ist die Verordnung auch anwendbar, wenn ein Datenverarbeiter – egal wo – personenbezogene Daten von Personen verarbeitet, die sich in der Union aufhalten und der er entweder Waren oder Dienstleistungen anbietet oder die er durch seine Datenverarbeitung in ihrem Verhalten beobachtet.[34] Bisher unbekannt ist das Recht für betroffene Personen in Art. 20 DSGVO, ihre Daten, die sie einem Verantwortlichen bereitgestellt haben, auf einen anderen Datenverarbeiter zu übertragen. Innovativ sind auch die Anforderungen an den Datenschutz durch Systemgestaltung und Voreinstellungen in Art. 25 DSGVO[35] und die Datenschutz-Folgenabschätzung in Art. 35 DSGVO.[36]

Inhaltlich verursacht die Verordnung Defizite – auch gegenüber dem bisherigen Datenschutzniveau[37] – und verfehlt ihr Modernisierungsziel vor allem durch ihren spezifischen Ansatz der Technikneutralität.[38] Technikneutralität ist sinnvoll, wenn sie verhindern soll, dass rechtliche Vorschriften technische Weiterentwicklungen ausschließen.[39] In der DSGVO wird Technikneutralität aber ideologisch überhöht und im Sinne einer Risikoneutralität[40] genutzt: In keiner Regelung werden die spezifischen Grundrechtsrisiken z.B. von smarten Informationstechniken im Alltag, von Big Data, Cloud Computing oder datengetriebenen Geschäftsmodellen, Künstlicher Intelligenz und selbstlernenden Systemen angesprochen oder gar gelöst. Die gleichen Zulässigkeitsregeln, Zweckbegrenzungen oder Rechte der betroffenen Person gelten für die wenig riskante Kundenliste beim „Bäcker um die Ecke“ ebenso wie für diese um Potenzen risikoreicheren Datenverarbeitungsformen. Insbesondere durch abstrakte Zulässigkeitsregelungen wie in Art. 6 Abs. 1 werden die spezifischen Grundrechtsrisiken verfehlt.[41] Damit wird die Verordnung keiner der identifizierten Herausforderungen der zweiten und dritten Entwicklungsstufe der Datenverarbeitung[42] auch nur im Ansatz gerecht. …

Diese Zielsetzung darf einerseits nicht dazu führen, dass die Vorschriften an technische Detailmerkmale anknüpfen, so dass sie technische Weiterentwicklungen ausschließen. Andererseits dürfen technikunspezifische Regelungen nicht dazu führen, dass der demokratisch legitimierte und zur Regelung berufene Gesetzgeber sich nicht mit den besonderen Interessenlagen und Risiken sowie passenden Lösungen einer Technikanwendung auseinandersetzt. Technikbezogene Regelungen sind gerade in einem so technikgeprägten Bereich wie dem Datenschutz unabdingbar, sollen die rechtlichen Ziele erreicht werden. Daher müssen spezifische Technikfunktionen und die typischen Verarbeitungszwecke, ihre Risiken und Lösungsansätze interessengerecht und risikoadäquat geregelt werden. Nur so kann die notwendige Rechtssicherheit und Interessengerechtigkeit erreicht werden. …

Innovationen im Vollzug

Die Differenz zwischen Sollen und Sein ist im Datenschutzrecht besonders groß. Daher ist es vor allem relevant, wie die Rechtsdurchsetzung in der DSGVO geregelt ist. Hier dürfte die wirkliche Innovation der Verordnung zu finden sein.

Die Regelung der Unabhängigkeit, der Aufgaben und der Befugnisse der Aufsichtsbehörden sowie deren Zusammenarbeit in der Union umfasst insgesamt 26 Artikel. Die Verordnung hat die Aufgaben und die Befugnisse erheblich ausgeweitet. Wichtig ist vor allem, dass die Aufsichtsbehörde nach Art. 58 Abs. 2 unmittelbare Durchsetzungsbefugnisse hat und z.B. eine rechtswidrige Datenverarbeitung verbieten kann. Eine auffällige Veränderung bringt auch Art. 83, der für Verstöße gegen die Verordnung drastische Sanktionen ermöglicht. Wichtig ist ferner, dass die Aufsichtsbehörde nach Art. 83 Abs. 6 bei Nichtbefolgung ihrer Anweisung Geldbußen von bis zu 20 Mio. Euro oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängen kann, je nachdem, welcher der Beträge höher ist. …

Wichtig ist aber auch, dass die Zivilgesellschaft in den Vollzug eingebunden wird. Bürger und in ihrer Vertretung Datenschutzverbände können bei der Aufsichtsbehörde Beschwerde einlegen und gegen die Aufsichtsbehörde und gegen den Verantwortlichen Rechtsbehelfe einlegen, wenn sie der Meinung sind, dass gegen die Verordnung verstoßen wird. Haben sie dadurch einen Schaden erlitten, können sie auch Schadensersatz geltend machen.

Ob diese neuen Regelungen die Durchsetzung des Datenschutzrechts in der Wirklichkeit verbessern, hängt davon ab, wie sie in der Praxis angewendet werden. Dies setzt eine den neuen Aufgaben entsprechende Ausstattung der Aufsichtsbehörden voraus,[46] die derzeit noch fehlt. Daran wird der politische Wille zu besserem Datenschutz zu messen sein.[47] Die bisherigen Regelungen im BDSG und in den Landesdatenschutzgesetzen beschränken jedoch die Aufsicht im öffentlichen Bereich im Vergleich zur Verordnung. …

PROF. DR. ALEXANDER ROßNAGEL ist Universitätsprofessor für öffentliches Recht, Leiter der Projektgruppe verfassungsverträgliche Technikgestaltung (provet) im Wissenschaftlichen Zentrum für Informationstechnikgestaltung (ITeG) und Sprecher der Forums Privatheit.

Bei dem Text handelt es sich um eine gekürzte Fassung eines Beitrags aus den vorgängen Nr. 221/222 (Heft 1-2/2018) zum Schwerpunkt Datenschutz. Den vollständigen Beitrag erreichen Sie über untenstehenden Link.

Anmerkungen:

15 S. hierzu Roßnagel, Datenschutz in einem informatisierten Alltag, 2007.

22 S. näher Roßnagel/Geminn/Jandt/Richter, Datenschutzrecht 2016 – „Smart“ genug für die Zukunft?, 2016, 176f.

23 S. hierzu näher Roßnagel (Fn. 17), § 1 Rn. 31 ff. und § 2 Rn. 1 ff.

24 Art. und EG ohne Gesetzesbezeichnung sind solche der DSGVO.

25 S. z.B. Maier, DuD 2017, 169; Roßnagel, DuD 2017, 292.

30 So aber Voßhoff, in: BfDI-Info 6: Datenschutz-Grundverordnung, 2016, 7.

33 Das Urteil zur Vorratsdatenspeicherung vom 8.4.2014 erfolgte über acht Jahre nach Erlass der Richtlinie zur Vorratsdatenspeicherung, das Urteil zu Safe Harbor vom 6.10.2015 erging über 15 Jahre nach der Entscheidung der Kommission zur Anerkennung des Safe-Harbor-Systems.

34 Diese Erweiterung sorgt auf dem europäischen Markt für Wettbewerbsgleichheit zwischen Anbietern in der Union und Anbietern außerhalb der Union und vereinfacht die Wahrnehmung von Betroffenenrechten.

35 Die Anforderung richtet sich jedoch an den verantwortlichen Technikanwender, statt an den Hersteller.

36 Die sich hoffentlich nicht in einem Formalismus erschöpfen wird.

37 Entgegen der Zusicherung der damaligen Justizkommissarin Reding, ZD 2012, 197.

38 S. EG 15; Reding, ZD 2012, 198.

39 S. grundsätzlich Roßnagel, Technikneutrale Regulierung: Möglichkeiten und Grenzen, in: Eifert/Hoffmann-Riem (Hrsg.), Innovationsfördernde Regulierung, 2009, 323 ff.

40 Der „Risikoansatz“ der DSGVO – s. z.B. Albrecht, CR 2016, 94 – beschränkt sich darauf, bestimmte Pflichten des Verantwortlichen „entsprechend der Risiken von Datenverarbeitungsprozessen“ zu
reduzieren; s. kritisch Roßnagel, DuD 2016, 565, weil dieser Ansatz bewirkt, dass nur ein Bruchteil der Verantwortlichen und Auftragsverarbeiter diese Pflichten erfüllen muss.

41 S. näher Roßnagel, DuD 2016, 565.

42 S. Kap. 2.

46 Roßnagel (Anm. 31), 179 ff.

47 S. zum Datenschutz in der Koalitionsvereinbarung Forum Privatheit, Datenschutz stärken, Innovationen ermöglichen – Wie man den Koalitionsvertrag ausgestalten sollte, Policy Paper, 2018.

Der Beitrag Datenschutz-Grundverordnung was bewirkt sie für den Datenschutz? erschien zuerst auf Humanistische Union.

Datenschutz-Grundverordnung was bewirkt sie für den Datenschutz?

Fri, 18 May 2018 13:03:00 +0000

in: vorgänge Nr. 221/222 (1-2/2018), S. 17-29

Die Datenschutz-Grundverordnung der Europäischen Union hat hohe Erwartungen geweckt und wird mit großen Hoffnungen erwartet. Der Beitrag untersucht, ob diese berechtigt sind und ob die Verordnung dazu beitragen kann, den Datenschutz tatsächlich zu verbessern. Das Ergebnis ist gemischt: Nüchtern betrachtet führt sie weder zu einem einheitlichen Datenschutzrecht in Europa noch zu Datenschutzregelungen, die den modernen Herausforderungen gerecht werden. Gewisse Hoffnungen sind jedoch berechtigt, dass sie den Vollzug des Datenschutzrechts verbessert.

1. Datenschutz-Grundverordnung – Hoffnungen und Erwartungen

Nach mehreren Jahren vorbereitender Diskussion und einem anschließenden Gesetzgebungsprozess von über vier Jahren ist die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DSGVO)[1] am 25. Mai 2016 in Kraft getreten. Sie gilt vom 25. Mai 2018 an mit all ihren Regelungen[2] in allen Mitgliedstaaten unmittelbar und wird Teil ihrer Rechtsordnung.

Die DSGVO sollte durch eine Verordnung über den Schutz der Privatsphäre in der elektronischen Kommunikation, abkürzend E-Privacy-VO genannt, bereichsspezifisch ergänzt werden. Diese Verordnung soll die Datenschutzrichtlinie für elektronische Kommunikation (RL 2002/58/EG) von 2002 ablösen. Sie sollte ebenfalls am 25. Mai 2018 Geltung erlangen. Da sie aber bisher nur in Form eines Vorschlags der Kommission vom 10. Januar 2017 [3] und einer Stellungnahme des Parlaments vom 24. Oktober 2017 [4] vorliegt, ist mit ihrer Verabschiedung vor Ende 2018 nicht zu rechnen.[5]

Die DSGVO wurde mit großen Versprechen angekündigt,[6] mit hohen Erwartungen versehen,[7] mit tiefen Enttäuschungen aufgenommen[8] und durch viel Lobby-Arbeit beeinflusst.[9] Sie wird im Ergebnis sehr unterschiedlich bewertet. Sie wird – vor allem von den an ihrem Entstehen Beteiligten – als „Meilenstein“ bezeichnet,[10] als „Goldstandard“ gepriesen[11] sowie als „Beginn einer neuen Zeitrechnung im Datenschutzrecht“[12] und als „festes Fundament für die anstehenden Herausforderungen der Digitalisierung“ gefeiert.[13] Umgekehrt wird sie von anderen zu „einem der schlechtesten Gesetze des 21. Jahrhunderts“ gekürt und für das Datenschutzrecht als „größte Katastrophe des 21. Jahrhunderts“ bezeichnet.[14]

2. Datenschutz-Grundverordnung – ein weiterer Schritt in der Entwicklung des Datenschutzrechts

Das geltende Datenschutzrecht – auch die DSGVO – stammt konzeptionell aus den 1960er und 1970er Jahren. In dieser Zeit fand die Datenverarbeitung in Rechenzentren statt. Die Daten wurden in Formularen erfasst und per Hand eingegeben. Die Datenverarbeitung betraf nur einen kleinen Ausschnitt des Lebens und war – soweit die Daten bei der betroffenen Person erhoben worden waren – für diese weitgehend kontrollierbar. Wurde die Zweckbindung beachtet, wusste der Betroffene in der Regel, wo welche Daten über ihn verarbeitet wurden. Für diese erste Stufe der Datenverarbeitung sind die grundlegenden Schutzkonzepte des Datenschutzrechts entwickelt worden. Aus dieser Zeit stammen die Regelungen zur Zulässigkeit der Datenverwendung, die Individualisierung der Rechtsdurchsetzung durch Unterrichtung und Benachrichtigung der betroffenen Person, durch ihre Einwilligung und durch ihre Kontrolle in Form von Rechten auf Berichtigung und Löschung, die Anforderungen an Zweckbestimmung, Zweckbindung und Erforderlichkeit der Datenverarbeitung sowie die ergänzende Kontrolle durch Aufsichtsbehörden. Die Nutzung von PCs ab den 1980er Jahren hat die Datenschutzrisiken zwar deutlich erhöht, aber nicht auf eine neue qualitative Stufe gehoben.

Alle drei Entwicklungsstufen bestehen heute parallel und beeinflussen sich gegenseitig. Für jede besteht ein spezifischer Modernisierungsbedarf – für die erste Stufe etwa in der Umsetzung der Datenschutzprinzipien beim Aufbau großer Datenverarbeitungssysteme für staatliche oder private Zwecke. Die unterschiedliche Umsetzung der Datenschutzrichtlinie (DSRL) von 1995 hat zu verschiedenen Datenschutzniveaus geführt, die auch als Standortvorteil genutzt wurden (Stichwort: Irland). Noch immer hat das Datenschutzrecht mit einem großen Vollzugsdefizit zu kämpfen. Für die zweite Stufe besteht der Modernisierungsbedarf vor allem darin, dass global agierende Konzerne mit Suchalgorithmen, sozialen Netzwerken, Plattformen und modernen Kommunikationsmöglichkeiten unverzichtbare Internet-Infrastrukturen ausgebildet haben, die Monopolcharakter haben und deren Geschäftsmodell die massenhafte Verarbeitung personenbezogene Daten voraussetzt. Moderne Datenschutzregelungen müssen den Gefährdungen der informationellen Selbstbestimmung durch diese neuen Infrastrukturen in einer Weise entgegentreten, die der Abhängigkeit von ihnen gerecht wird. Für die dritte Stufe besteht der Modernisierungsbedarf vor allem darin, neue Schutzkonzepte für die informationelle Selbstbestimmung zu entwickeln, weil die bisherigen gegenüber den neuen Technikanwendungen leerlaufen. Die Zukunftsfähigkeit neuer Datenschutzregelungen muss daran gemessen werden, ob sie den Herausforderungen auf allen drei Entwicklungsstufen gerecht werden und neue Lösungen für die Gefährdungen der Grundrechtsverwirklichung bieten.

3. Zielsetzungen der Datenschutz-Grundverordnung

Die DSGVO erhebt den Anspruch, den genannten Anforderungen an den Datenschutz gerecht zu werden und die festgestellten Defizite zu beseitigen. Ausweislich ihrer Erwägungsgründe (EG) verfolgt sie drei große Zielsetzungen:

Zum einen will sie das Datenschutzrecht unionsweit vereinheitlichen und einen soliden, „kohärenten und durchsetzbaren Rechtsrahmen im Bereich des Datenschutzes in der Union“ schaffen (EG 3, 9 und 13).
Zum anderen will sie einheitliche Vorgaben für gleiche wirtschaftliche Bedingungen in der Union bieten und damit den Binnenmarkt stärken (EG 5, 10, 13). „Die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten sollten unionsweit gleichmäßig und einheitlich angewandt werden“ (EG 10).
Schließlich stellt sie fest, dass „rasche technologische Entwicklungen und die Globalisierung … den Datenschutz vor neue Herausforderungen gestellt“ haben (EG 6). Die Verordnung will den Datenschutz angesichts dieser Herausforderungen modernisieren und den Schutz der Grundrechte verbessern (EG 1, 2 und 4).

4. Wirkungen der Datenschutz-Grundverordnung

4.1 Kompetenzen zur Steuerung der Zukunft

Seit einigen Jahren hat die Kommission ihre Strategie zur europäischen Integration verschärft. Sie wechselte von einer „Angleichung der Rechtsvorschriften“ (Art. 114 Abs. 1 AEUV) durch die Mitgliedstaaten zur einer „Vereinheitlichung der Rechtsordnungen“ durch den Unionsgesetzgeber. Als Instrument nutzt sie nicht mehr vorrangig die Richtlinie, sondern die Verordnung.[16] Während eine Richtlinie durch die Mitgliedstaaten umgesetzt werden muss und diese nur hinsichtlich ihrer Zielsetzungen bindet, gilt eine Verordnung in den Mitgliedstaaten unmittelbar. Verordnungen entziehen daher ganze Politikbereiche der nationalen Demokratie.[17]

In ihrem Entwurf vom 25. Januar 2012[18] schlug die Kommission eine sehr radikale Lösung für die notwendige kontinuierliche Modernisierung des Datenschutzrechts vor: Durch die Wahl einer Verordnung wollte sie die Mitgliedstaaten von der weiteren Gesetzgebung im Bereich des Datenschutzes ausschließen, durch viele unbestimmte und ausfüllungsbedürftige Vorgaben sowie inhaltsleere Generalklauseln wichtige Datenschutzregelungen offen halten und innerhalb der Union sich selbst die Kompetenz vorbehalten, sie auszufüllen und fortzuentwickeln. Zu diesem Zweck sah der Entwurf 26 Ermächtigungen vor, die Verordnung durch delegierte Rechtsakte nachträglich zu konkretisieren, und 23 Ermächtigungen, sie durch Durchführungsrechtsakte auszugestalten. Außerdem behielt sie sich das Recht vor, bei einer Meinungsverschiedenheit zwischen verschiedenen Aufsichtsbehörden am Ende verbindlich zu entscheiden. Dadurch hätte die Kommission die künftige Rechtsetzung im Datenschutzrecht bei sich zentralisiert und monopolisiert.[19]

Dieser Entwurf hätte zur Folge gehabt, dass die Datenschutzregelungen der Mitgliedstaaten, die gerade für öffentliche Stellen stark ausdifferenzierte bereichsspezifische Regelungen enthalten, aufgrund des umfassenden Regelungsanspruchs der Verordnung hinfällig geworden wären. Doch nicht nur für das bestehende Datenschutzrecht hätte der Entwurf gravierende Auswirkungen gehabt. Seine tiefgreifendste Folge wäre die Entmachtung der Mitgliedstaaten und die Ermächtigung der Kommission zur Fortentwicklung des Datenschutzrechts gewesen.

Auf den Angriff der Kommission auf Gewaltenteilung und Demokratie in der Union hat das Parlament nur beschränkt reagiert.[20] Im Machtkampf zwischen Union und Mitgliedstaaten hielt das Parlament am Rechtsinstrument einer Verordnung fest. Insofern trug es die Entmachtung der Mitgliedstaaten mit. Es gab jedoch der Kritik insofern nach, als es Öffnungsklauseln für nationale Regelungen vorsah. Dadurch aber gab das Parlament selbst die Zielsetzung eines einheitlichen europäischen Datenschutzrechts weitgehend auf.

Hinsichtlich der Gewaltenteilung innerhalb der Union reagierte das Parlament stärker. Es beließ der Kommission nur zehn Ermächtigungen und war bemüht, vieles in der Verordnung selbst zu regeln. Die normative Inhaltsleere der Regelungen versuchte es mit vielfältigen Präzisierungen und Erweiterungen auszugleichen, ohne jedoch ein eigenständiges Regelungskonzept zu entwickeln. In den entscheidenden Fragen kam auch das Parlament angesichts der Komplexität und Breite der Regelungsmaterien über abstrakte Regelungen selten hinaus.

Auch der Rat hat die Wahl einer Verordnung, die, soweit sie reicht, den Mitgliedstaaten den Datenschutz als Gegenstand ihrer Politik und Gesetzgebung nimmt, akzeptiert.[21] Nicht akzeptiert hat er aber die Machtkonzentration der Kommission und beließ ihr nur neun Ermächtigungen für nebensächliche Fragen. Der Rat strich auch viele Detaillierungen des Parlaments. Die Macht, über die Zukunft der digitalen Gesellschaft zu bestimmen, sollte zum großen Teil bei den Mitgliedstaaten bleiben – insbesondere, wenn es ihre eigenen Angelegenheiten und nicht den europäischen Binnenmarkt betrifft. Überall, wo die geringe Komplexität der Regelungen des Kommissionsentwurfs Detaillierungen forderten, wurden – statt der Kommission – die Mitgliedstaaten ermächtigt, bestehende eigene Regelungen beizubehalten oder neue zu erlassen.

Im „Trilog“, in dem sich Vertreter des Rats und des Parlaments unter Vermittlung der Kommission auf eine gemeinsame, die später verabschiedete Fassung einigten, blieben nur zwei Ermächtigungen der Kommission, delegierte Rechtsakte zu erlassen, und sieben Ermächtigungen für Durchführungsrechtsakte übrig. In Verhältnis der Union zu den Mitgliedstaaten konnte der Rat seine Ziele uneingeschränkt durchsetzen. Die mangelnde Komplexität der Verordnungsregelungen wird dadurch ausgeglichen, dass die Mitgliedstaaten ihre bereichsspezifischen Datenschutzreglungen beibehalten oder neue erlassen können. Der Machtkampf bewirkte aber auch, dass die drei expliziten Ziele der DSGVO weitgehend verloren gingen.

4.2 Ko-Regulierung statt Vereinheitlichung des Datenschutzrechts

Durch diesen unterkomplexen Regelungsansatz muss die DSGVO ihr eigentliches Ziel, einen soliden, kohärenten, einheitlichen Rechtsrahmen für den Datenschutz in allen Mitgliedstaaten der Union zu bilden, verfehlen. Vollzugsfähig und rechtssicher sind die Regelungen der Verordnung nur, wenn sie präzisiert, konkretisiert und ergänzt werden. Dies ist überwiegend Aufgabe der Mitgliedstaaten.[23] Das wichtigste Ergebnis aus dem Machtkampf um die Verordnung sind die 70 Öffnungsklauseln, durch die die Union den Mitgliedstaaten explizit Regelungskompetenzen im Datenschutzrecht überträgt. Diese sind unterschiedlich ausgestaltet. Sie eröffnen den Mitgliedstaaten eigene Regelungsbereiche ohne spezifische Vorgaben – wie in Art. 88[24] für den Beschäftigtendatenschutz.[25] Sie ermächtigen aber auch die Mitgliedstaaten, „spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser“ zu bestimmen. Die umfangreichsten Ermächtigungen dieser Art sind in Art. 6 Abs. 2 und 3 zu finden.[26] Danach kann jeder Mitgliedstaat für den gesamten Bereich der Datenverarbeitung in öffentlichen Stellen und in nicht öffentlichen Stellen, die zur Datenverarbeitung verpflichtet werden oder diese im öffentlichen Interesse vornehmen, eigene Regeln erlassen oder beibehalten.

Die Öffnungsklauseln verhindern eine unionsweite Vereinheitlichung des Datenschutzrechts. Dies widerspricht zwar den Wünschen und Hoffnungen, die viele mit der Verordnung verbunden haben. Mehr als dieses Nebeneinander von Unions- und nationalem Datenschutzrecht, das im günstigen Fall zu einer Ko-Regulierung führt, hat der Unionsgesetzgeber aber nicht gewollt.

Wie sehr im Ergebnis ein unionsweit einheitliches Datenschutzrecht verfehlt wird, kann in der Anpassung des deutschen Datenschutzrechts an die DSGVO besichtigt werden. Noch in der 18. Legislaturperiode hat der deutsche Gesetzgeber ergänzend zu ihr erste neue Datenschutzgesetze erlassen. Das Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 vom 30. Juni 2017[27] enthält in Art. 1 das neue Bundesdatenschutzgesetz (BDSG). Dieses tritt am 25. Mai 2018 in Kraft und wird das bisherige BDSG vollständig ersetzen.[28] Art. 2 bis 6 enthalten Anpassungen des BVerfSchG, des MAD-G, des BND-G, des SiÜG und des G10-G. Außerdem hat der Bundesgesetzgeber im Gesetz zur Änderung des Bundesversorgungsgesetzes vom 24. Juli 2017[29] durch Art. 17 Neuregelungen zum Datenschutzrecht in der AO und durch Art. 19 und 24 im SGB I und X getroffen.

Das in Kürze in den Gesetzgebungsprozess einzubringende Zweite Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 wird in etwa 140 Artikeln weitere Regelungen zum Datenschutz in Fachgesetzen des Bundes an die Verordnung anpassen. Auch die Länder haben Gesetzgebungsverfahren angestoßen, in denen ihre jeweiligen Landesdatenschutzgesetze sowie ihre bereichsspezifischen Datenschutzregelungen neu gefasst werden.

Der Regulierungsstil dieser nationalen Anpassungsgesetze ist identisch. Sie sind von der Zielsetzung geprägt, das bestehende materielle Datenschutzrecht zu erhalten und nur formelle Anpassungen vorzunehmen. Es entfällt jedoch kein einziges Datenschutzgesetz und auch kein Abschnitt zum Datenschutz in den Fachgesetzen.

4.3 Kontinuität in den Mitgliedstaaten statt einheitlicher Datenschutzpraxis

Indem die Verordnung die Entscheidung über die Abwägung letztlich auf die Gerichte überträgt, entstehen aber noch viel unterschiedlichere Ergebnisse als unter der DSRL. Bisher waren die typisierten vom Gesetzgeber vorgenommenen Interessenabwägungen wenigstens für Deutschland einheitlich. Jetzt wird es möglich sein, dass sie für lange Zeit von Gerichtsbezirk zu Gerichtsbezirk unterschiedlich ausfallen. Zwar haben für die Anwendung der unbestimmten Rechtsbegriffe die Aufsichtsbehörden des Bundes, der Länder und aller Mitgliedstaaten einen bestimmenden Einfluss. Um diesen unionsweit zu vereinheitlichen, gibt es umständliche Koordinationsmechanismen.[31] Da aber die Beschlüsse des Europäischen Datenschutzausschusses nach Art. 65 DSGVO nur die Aufsichtsbehörden verpflichten und kein allgemeinverbindliches (Exekutiv-)Recht setzen,[32] unterliegen die divergierenden oder vereinheitlichten Versuche der Aufsichtsbehörden, die Verordnung zu interpretieren, der Überprüfung durch die örtlichen Gerichte. Diese können jeden vereinheitlichten Interpretationsversuch durch den Datenschutzausschuss konterkarieren. Eine Vereinheitlichung der Rechtsprechung ist allenfalls in einzelnen Fällen bezogen auf die jeweils enge Fallfrage nach jahrelangen Prozessen[33] durch den EuGH zu erwarten.

4.4 Keine inhaltliche Modernisierung des Datenschutzrechts

Letztlich muss klar sein, welche Anforderungen an die Verarbeitungsvorgänge gestellt werden. Diese Zielsetzung darf einerseits nicht dazu führen, dass die Vorschriften an technische Detailmerkmale anknüpfen, so dass sie technische Weiterentwicklungen ausschließen. Andererseits dürfen technikunspezifische Regelungen nicht dazu führen, dass der demokratisch legitimierte und zur Regelung berufene Gesetzgeber sich nicht mit den besonderen Interessenlagen und Risiken sowie passenden Lösungen einer Technikanwendung auseinandersetzt. Technikbezogene Regelungen sind gerade in einem so technikgeprägten Bereich wie dem Datenschutz unabdingbar, sollen die rechtlichen Ziele erreicht werden. Daher müssen spezifische Technikfunktionen und die typischen Verarbeitungszwecke, ihre Risiken und Lösungsansätze interessengerecht und risikoadäquat geregelt werden. Nur so kann die notwendige Rechtssicherheit und Interessengerechtigkeit erreicht werden. Dass es im Unionsrecht sehr wohl möglich ist, sowohl technikneutrale als auch funktions- und risikobezogene Datenschutzvorgaben vorzusehen, zeigen etwa Art. 6 der eCall-VO (EU) 2015/758,[43] der klare Datenschutzanforderungen an die Zulässigkeit des automatisierten Notrufs stellt, oder die Regelungen zur Datenverarbeitung in der elektronischen Kommunikation, zum Schutz von Endgeräten und zur Steuerung zulässiger Werbung in den Art. 6, 8 und 16 des Entwurfs einer E-Privacy-VO.[44]

Die deutschen Gesetzgeber haben bisher weder im neuen BDSG noch in den Entwürfen zu den neuen Landesdatenschutzgesetzen die innovativen Impulse der DSGVO aufgenommen noch deren Risikoneutralität durch die risikobezogene Regelung moderner Herausforderungen überwunden. Sie haben die Öffnungsklauseln fast ausschließlich dazu benutzt, Möglichkeiten zur Verarbeitung personenbezogener Daten zu erweitern und Rechte der betroffenen Personen zu beschränken. Damit haben sie im Ergebnis das Datenschutzniveau in Deutschland sowohl gegenüber dem bisherigen BDSG als auch sogar gegenüber der DSGVO reduziert.[45]

5. Innovationen im Vollzug

Bei Vollzug der Verordnung entsteht allerdings ein Spannungsverhältnis zwischen der Sicherung der „völligen“ Unabhängigkeit jeder einzelnen Aufsichtsbehörde in Art. 52 Abs. 1 und dem einheitlichen Vollzug der Verordnung in der Union. Wie der EuGH in drei Entscheidungen zur Stellung der Aufsichtsbehörde in Deutschland, in Österreich und in Ungarn festgestellt hat, darf niemand der unabhängigen Aufsichtsbehörde Weisungen erteilen. Genau dies aber erlaubt Art. 65 Abs. 6 dem Europäischen Datenschutzausschuss. Er kann Entscheidungen treffen, die die betreffende Aufsichtsbehörde binden. Diese ist insoweit nicht mehr unabhängig, sondern muss die Entscheidung der Mehrheit der anderen Aufsichtsbehörden im Ausschuss befolgen. Auch in Deutschland wird die einzelne Aufsichtsbehörde im „kleinen Kohärenzverfahren“ nach § 18 BDSG-neu in ihrer Entscheidung von der Mehrheit der anderen Aufsichtsbehörden abhängig. Ein einheitlicher Vollzug in der Union wird wohl ohne Koordination der Aufsichtsbehörden nicht zu erreichen sein und diese Koordination kann nur nach dem Mehrheitsprinzip erfolgen. Dennoch ist zu konstatieren, dass die Mehrheit die einzelne Aufsichtsbehörde zwingen kann und Art. 65 die in Art. 52 garantierte Unabhängigkeit „auf dem Altar“ des einheitlichen Vollzugs „opfert“.

6. Modernisierung des europäischen Datenschutzrechts

Die DSGVO hat weder zu einer Vereinheitlichung und Modernisierung des Datenschutzrechts geführt noch wird sie eine einheitliche Datenschutzpraxis in allen Mitgliedstaaten begründen. Statt einer Monopolisierung und Zentralisierung in der Weiterentwicklung des Datenschutzrechts hat sie eine sinnvolle Arbeitsteilung zwischen Union und Mitgliedstaaten eingerichtet. Nur so ist die notwendige Komplexität der Datenschutzregelungen angesichts einer gesellschaftsweiten Verarbeitung personenbezogener Daten zu erreichen. Die angeordnete Ko-Regulierung kann auch für die Suche nach einem modernen Datenschutzrecht eingesetzt werden: Angesichts der Vielfalt und Dynamik der zukünftigen, heute noch unbekannten Herausforderungen der Informationstechnik und ihrer Anwendungen für die Grundrechte kann auf der Ebene der Mitgliedstaaten mit unterschiedlichen Regelungskonzepten experimentiert werden. Deren Vielfalt kann dazu beitragen, dass sich in der Union ein lebendiger Datenschutz entwickelt. Statt einer Vereinheitlichung der Datenschutzpraxis ermöglichen unbestimmte Rechtsbegriffe und ihre situationsgerechte Konkretisierung, dass in den einzelnen Mitgliedstaaten Datenschutz den lokalen Bedingungen angepasst werden kann. Schließlich bieten die vielen Regelungsmöglichkeiten der Mitgliedstaaten Chancen für eine Modernisierung des Datenschutzrechts, indem dort versucht wird, durch risikoadäquate Regelungen einen ausreichenden Schutz der Grundrechte gegen künftige Herausforderungen zu gewährleisten. In den Evaluationen und Überarbeitungen der DSGVO gemäß Art. 97 kann dann das Bewährte unionsweit übernommen werden.

Anmerkungen:

1 EU ABl. L 119 vom 4.5.2016, 1.

2 Zu den einzelnen Regelungen der DSGVO s. die Beiträge von Schaar und Weichert in diesem Heft.

3 KOM(2017) 10 endg.

4 Europäisches Parlament, A8-0324/2017.

5 S. Roßnagel, MedienWirtschaft 1/2018, 32ff.

6 Mitteilung der Europäischen Kommission: Der Schutz der Privatsphäre in einer vernetzten Welt. Ein europäischer Datenschutzrahmen für das 21. Jahrhundert, KOM(2012) 9 endg.; Justizkommissarin Reding, ZD 2012, 195.

7 S. z.B. Schaar, DuD 2012, 154.

8 S. z.B. Berufsverband der Datenschutzbeauftragten Deutschlands (BvD), Positionspapier zum Entwurf der DSGVO vom 25.1.2012.

9 S. z.B. Albrecht, CR 2016, 97.

10 Albrecht, CR 2016, 97; BfDI Voßhoff nach heise-online, http://heise.de/-3179872 vom 21.4.2016.

11 Albrecht, CR 2016, 98.

12 Schantz, NJW 2016, 1841.

13 Albrecht, CR 2016, 97.

14 Hoeren, nach heise-online, http://heise.de/-3190299 vom 27.4.2016; ähnlich negativ Giesen, Euphorie ist kein Prinzip des Rechtsstaats, in: Stiftung Datenschutz (Hrsg.), Zukunft der informationellen Selbstbestimmung, 2016, 23 ff.

15 S. hierzu Roßnagel, Datenschutz in einem informatisierten Alltag, 2007.

16 So z.B. in der Mitteilung der Kommission „Eine Vision für den Binnenmarkt für Industrieprodukte“ vom 22.1.2014, KOM(2014) 24 endg., 9.

17 S. hierzu auch Roßnagel, in: ders. (Hrsg.), Das neue Datenschutzrecht, 2018, § 1 Rn. 16 ff.

18 KOM(2012) 11 endg.

19 Nach dem Scheitern dieser Strategie werden beide Instrumente der Machtsteigerung vom Generalsekretär der Kommission, Selmayr, nachträglich als geniale Scheingefechte dargestellt, die nie
ernst gemeint waren, sondern nur die Mitgliedstaaten zu entsprechenden Entscheidungen verleiten sollten – s. Selmayr/Ehmann, in: Ehmann/Selmayr, DSGVO, 2017, Einleitung Rn. 56.

20 EU-Parlament, P7_TA-PROV(2014)0212.

21 Rat der Europäischen Union, 9565/15.

22 S. näher Roßnagel/Geminn/Jandt/Richter, Datenschutzrecht 2016 – „Smart“ genug für die Zukunft?, 2016, 176f.

23 S. hierzu näher Roßnagel (Fn. 17), § 1 Rn. 31 ff. und § 2 Rn. 1 ff.

24 Art. und EG ohne Gesetzesbezeichnung sind solche der DSGVO.

25 S. z.B. Maier, DuD 2017, 169; Roßnagel, DuD 2017, 292.

26 S. Roßnagel, in: Simitis/Hornung/Spiecker, DSGVO, 2018, Art. 6 Abs. 2 Rn. 1 ff. und Art. 6 Abs. 3 Rn. 1 ff.; Roßnagel (Anm. 17), § 2 Rn. 21 ff.; Schaller, in: Roßnagel (Hrsg.), Das neue Datenschutzrecht,
2018, § 7 Rn. 16f.

27 BGBl. I, 2097.

28 S. dazu den Beitrag von Schaar in diesem Heft.

29 BGBl. I, 2541.

30 So aber Voßhoff, in: BfDI-Info 6: Datenschutz-Grundverordnung, 2016, 7.

31 S. Roßnagel, Datenschutzaufsicht nach der EU-Datenschutz-Grundverordnung, 2017, 77 ff., 146 ff.

32 S. Roßnagel (Anm. 31), 151 ff.

35 Die Anforderung richtet sich jedoch an den verantwortlichen Technikanwender, statt an den Hersteller.

36 Die sich hoffentlich nicht in einem Formalismus erschöpfen wird.

37 Entgegen der Zusicherung der damaligen Justizkommissarin Reding, ZD 2012, 197.

38 S. EG 15; Reding, ZD 2012, 198.

39 S. grundsätzlich Roßnagel, Technikneutrale Regulierung: Möglichkeiten und Grenzen, in: Eifert/Hoffmann-Riem (Hrsg.), Innovationsfördernde Regulierung, 2009, 323 ff.

41 S. näher Roßnagel, DuD 2016, 565.

42 S. Kap. 2.

43 EU ABl. L 123 vom 19.5.2015, 77.

44 S. hierzu Roßnagel, MedienWirtschaft 1/2018, 32ff.

45 S. dazu den Beitrag von Schaar in diesem Heft.

46 Roßnagel (Anm. 31), 179 ff.

47 S. zum Datenschutz in der Koalitionsvereinbarung Forum Privatheit, Datenschutz stärken, Innovationen ermöglichen – Wie man den Koalitionsvertrag ausgestalten sollte, Policy Paper, 2018.

Der Beitrag Datenschutz-Grundverordnung was bewirkt sie für den Datenschutz? erschien zuerst auf Humanistische Union.

Alexander Roßnagel Archive - Humanistische Union

Zwei Jahre Datenschutz-Grundverordnung  eine Bilanz aus Verbrauchersicht

1. Die Evaluation der Daten­schutz-­Grund­ver­ord­nung

2. Die Sicht der Europä­i­schen Kommission auf die DSGVO

3. Die Sicht des Verbrau­chers auf die DSGVO

4. Potenziale zur Steigerung des Daten­schutz­ni­veaus in der Europä­i­schen Union

4.1 Schwächen im Normtext der DSGVO

4.2 Konzep­ti­o­nelle Schwächen der DSGVO

5. Stärkung der Stellung der Verbraucher

5.1 Daten­schutz­grund­sätze

5.2 Information und Auskunft

5.3 Datenschutz durch System­ge­stal­tung und Vorein­stel­lungen

5.4 Schutz perso­nen­be­zo­gener Daten von Kindern

6. Der Blick nach vorne

Anmerkungen:

Datenschutz-Grundverordnung  was bewirkt sie für den Datenschutz?

Daten­schutz-­Grund­ver­ord­nung – ein weiterer Schritt in der Entwicklung des Daten­schutz­rechts

Wirkungen der Daten­schutz-­Grund­ver­ord­nung

Ko-Re­gu­lie­rung statt Verein­heit­li­chung des Daten­schutz­rechts

Kontinuität in den Mitglied­s­taaten statt einheit­li­cher Daten­schutz­praxis

Keine inhaltliche Moder­ni­sie­rung des Daten­schutz­rechts

Innova­ti­onen im Vollzug

Datenschutz-Grundverordnung  was bewirkt sie für den Datenschutz?

1. Daten­schutz-­Grund­ver­ord­nung – Hoffnungen und Erwartungen

2. Daten­schutz-­Grund­ver­ord­nung – ein weiterer Schritt in der Entwicklung des Daten­schutz­rechts

4. Wirkungen der Daten­schutz-­Grund­ver­ord­nung

4.1 Kompetenzen zur Steuerung der Zukunft

4.2 Ko-Re­gu­lie­rung statt Verein­heit­li­chung des Daten­schutz­rechts

4.3 Kontinuität in den Mitglied­s­taaten statt einheit­li­cher Daten­schutz­praxis

4.4 Keine inhaltliche Moder­ni­sie­rung des Daten­schutz­rechts

5. Innova­ti­onen im Vollzug

6. Moder­ni­sie­rung des europä­i­schen Daten­schutz­rechts

Zwei Jahre Datenschutz-Grundverordnung eine Bilanz aus Verbrauchersicht

1. Die Evaluation der Datenschutz-Grundverordnung

2. Die Sicht der Europäischen Kommission auf die DSGVO

3. Die Sicht des Verbrauchers auf die DSGVO

4. Potenziale zur Steigerung des Datenschutzniveaus in der Europäischen Union

4.2 Konzeptionelle Schwächen der DSGVO

5.1 Datenschutzgrundsätze

5.3 Datenschutz durch Systemgestaltung und Voreinstellungen

5.4 Schutz personenbezogener Daten von Kindern

Datenschutz-Grundverordnung was bewirkt sie für den Datenschutz?

Datenschutz-Grundverordnung – ein weiterer Schritt in der Entwicklung des Datenschutzrechts

Wirkungen der Datenschutz-Grundverordnung

Ko-Regulierung statt Vereinheitlichung des Datenschutzrechts

Kontinuität in den Mitgliedstaaten statt einheitlicher Datenschutzpraxis

Keine inhaltliche Modernisierung des Datenschutzrechts

Innovationen im Vollzug

Datenschutz-Grundverordnung was bewirkt sie für den Datenschutz?

1. Datenschutz-Grundverordnung – Hoffnungen und Erwartungen

2. Datenschutz-Grundverordnung – ein weiterer Schritt in der Entwicklung des Datenschutzrechts

4. Wirkungen der Datenschutz-Grundverordnung

4.2 Ko-Regulierung statt Vereinheitlichung des Datenschutzrechts

4.3 Kontinuität in den Mitgliedstaaten statt einheitlicher Datenschutzpraxis

4.4 Keine inhaltliche Modernisierung des Datenschutzrechts

5. Innovationen im Vollzug

6. Modernisierung des europäischen Datenschutzrechts