Als die 2016 verabschiedete EU-Datenschutzgrundverordnung (DSGVO) im Mai 2018 in Kraft trat, herrschte große Aufregung. Große wie kleine Unternehmen und sogar Vereine, die Daten ihrer Mitglieder verarbeiten, merkten „plötzlich“, dass sie sich lange kaum Gedanken über den Umgang mit den persönlichen Daten ihrer Kunden oder Mitglieder gemacht hatten. Besonders furchterregend wirkten offenbar die Sanktionsandrohungen für Datenschutzverstöße, die gegenüber der vorherigen Rechtslage deutlich verschärft wurden: Art. 83 DSGVO lässt Geldbußen bis zu 20 Mio. Euro zu, bei Unternehmen sogar bis zu 4 Prozent des weltweiten Jahresumsatzes, was bei großen Unternehmen zu noch weitaus höheren Beträgen führen kann. Bereits 2018 befassten sich die vorgänge (in Heft 221/222) mit der DSGVO und ihren Neuerungen gegenüber der alten, noch stark vom nationalen Recht geprägten Rechtslage. Bereits damals war klar, dass die Idee nicht ganz zutreffend war, in Deutschland würde sich nicht viel ändern, da bereits vorher Gesetzgebung und Rechtsprechung bis hin zum Bundesverfassungsgericht für ein hohes Datenschutzniveau standen. Nicht nur wegen des viel höheren Sanktionsrahmens, sondern auch wegen zahlreicher weiterer Neuerungen und Konkretisierungen hat sich auch in Deutschland seither einiges geändert. Hier seien nur die höheren Anforderungen an Einwilligungen, das neue Recht auf Vergessenwerden, die Meldepflichten für Datenschutzvorfälle und die Vorgaben für Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen genannt.

Angesichts der weitreichenden Neuerungen, die die DSGVO enthält, war es nur folgerichtig, dass die Auswirkungen des neuen Regelwerkes durch die EU-Kommission systematisch beobachtet und ausgewertet werden sollten. Art. 97 DSGVO enthält dazu eine Berichtspflicht, wonach die Europäische Kommission dem Europäischen Parlament und dem Rat erstmals im Mai 2020 und anschließend alle vier Jahre „einen Bericht über die Bewertung und Überprüfung dieser Verordnung“ vorzulegen hat. Im Juni 2020 kam die Kommission dieser Berichtspflicht erstmals nach und legte die Mitteilung „Datenschutz als Grundpfeiler der Teilhabe der Bürgerinnen und Bürger und des Ansatzes der EU für den digitalen Wandel – zwei Jahre Anwendung der Datenschutz-Grundverordnung“[1] vor. Darin zieht sie eine überwiegend positive Bilanz, betont aber auch, dass es für manche Innovationen nach zwei Jahren noch nicht möglich sei, eine Bewertung abzugeben. Die technologieneutrale Konzeption der DSGVO habe sich auch während der COVID-19-Pandemie bewährt, insbesondere bei der datenschutzkonformen Ausgestaltung von Applikationen zur Kontaktnachverfolgung. Die vorgänge nehmen diesen Bericht zum Anlass, der aus bürger*innenrechtlicher Perspektive immer wichtiger gewordenen Thematik erneut ein Schwerpunktheft zu widmen.

Die Beiträge unseres Schwerpunkts ziehen in der Grundtendenz ebenfalls eine überwiegend positive Zwischenbilanz nach zwei Jahren DSGVO, allerdings werden auch Schwachpunkte im Text der Verordnung und in der praktischen Anwendung benannt. Den Auftakt bildet ein Beitrag des früheren Bundesbeauftragten für Datenschutz und Informationsfreiheit, Peter Schaar, der einen ersten Überblick über die Entstehung, die Anwendung des neuen Regelwerkes und seine globale Ausstrahlungswirkung gibt. Für ihn ist die DSGVO auf dem besten Weg, zum neuen weltweiten „Goldstandard“ in Sachen Datenschutz zu werden, an dem sich die Gesetzgeber vieler Länder orientieren. Dazu tragen nach Schaars Ansicht vor allem die Regelungen zur Datenübermittlung über die Grenzen der EU hinaus sowie die Durchsetzung des Marktortprinzips in der DSGVO bei.

Der Beitrag von Werner Hülsmann geht genauer auf den ersten Evaluationsdurchlauf der DSGVO ein. Dabei geht er von dem in Artikel 97 DSGVO verankerten Berichtsauftrag aus, der einen Schwerpunkt auf den Datenaustausch mit Drittstaaten sowie die länderübergreifende Zusammenarbeit der Aufsichtsbehörden legt. Hülsmann stellt das Beteiligungsverfahren, das dem Kommissionsbericht vorausging, sowie die wichtigsten Ergebnisse des Berichtes vor. Im Ergebnis sieht er die DSGVO als einen wichtigen Schritt zur Vereinheitlichung des Datenschutzrechts und der Datenschutzpraxis innerhalb der EU; es gebe aber nach wie vor zahlreiche Klauseln, die einer weiteren Konkretisierung durch die Mitgliedsstaaten bzw. die EU bedürften. Inwiefern der erste Evaluationsbericht dazu beitragen kann, sei offen.

Nach diesen einführenden Beiträgen betrachten wir die DSGVO aus der Perspektive verschiedener Anwender*innen: Alexander Roßnagel und Christian Geminn bescheinigen dem neuen Regelwerk aus Sicht der Verbraucher*innen eine gemischte Bilanz. Die Einführungsphase mit ihrer Flut an Datenschutzhinweisen und nachholenden Einverständniserklärungen, die selbst für niedrigschwellige Datenverarbeitungen verschickt wurden, habe bei vielen Verbraucher*innen den Eindruck völlig übertriebener Anforderungen hinterlassen, zugleich aber die Aufmerksamkeit für Datenschutzfragen gesteigert. Einige innovative Elemente der DSGVO, etwa das Recht auf Datenübertragbarkeit oder datenschutzfreundliche Voreinstellungen, seien in der Praxis (bisher) kaum angekommen. Grundsätzliche Regelungsdefizite – etwa zur wirksamen Einwilligung in oder zur Transparenz von Datenverarbeitungsprozessen – seien mit der DSGVO nicht behoben worden. Die Autoren unterbreiten konkrete Regelungsvorschläge, wie innerhalb der DSGVO sowie in deren Umsetzung im deutschen Bundesdatenschutzgesetz der Datenschutz aus Verbraucher*innensicht gestärkt werden könnte.

Auf ein grundsätzliches Designproblem hatte Alexander Roßnagel bereits anlässlich der Einführung der DSGVO hingewiesen: deren sogenannten „one size fits all“– Ansatz.[2] Nach diesem Prinzip macht die DSGVO für die kleinen (etwa: den Laden an der Ecke) die gleichen Vorgaben wie für die großen globalen Datenverarbeiter (etwa: Facebook). Diesen Aspekt greifen Maria Wilhelm und Kira Vogt in ihrem Beitrag auf. Sie stellen die Herausforderungen bzw. Überforderungen dar, welche die DSGVO für kleine und mittelständische Unternehmen sowie Vereine bereithält. Dazu werten sie neben dem Evaluationsbericht der EU-Kommission auch die Konsultationsverfahren aus, die die deutschen Aufsichtsbehörden im Vorfeld durchgeführt haben. Vor dem Hintergrund ihres beruflichen Alltags (beide Autorinnen sind selbst in einer Datenschutzaufsichtsbehörde tätig) konzentrieren sie sich auf die praktischen Erfahrungen und Probleme bei der Anwendung der DSGVO in kleinen Organisationen. Zu den Erleichterungen, die sie zu deren Entlastung vorschlagen, gehört beispielsweise der Verzicht auf die verpflichtende Benennung von Datenschutzbeauftragten in ausschließlich ehrenamtlich tätigen Vereinen.

Die nächsten Texte widmen sich ausgewählten Problemfeldern des Datenschutzes. Den Anfang macht eine datenschutzrechtliche Innovation, die parallel zur Aushandlung der DSGVO entstanden ist: das Recht auf Vergessenwerden. Diesen neuen Rechtsanspruch hat der EuGH seit 2014 durch mehrere Entscheidungen etabliert.[3] Jan Weismantel zeichnet in seinem Artikel zunächst die EuGH-Rechtsprechung nach, bevor er auf die Umsetzung in der DSGVO eingeht. Sie bezieht sich in Artikel 17, im Rahmen des Löschanspruchs, auf das neue Recht. Insgesamt bescheinigt Weismantel der DSGVO, dass sie das Recht auf Vergessenwerden „zwar miterfasst, aber nicht entscheidend weiterentwickelt“ hat. Auf die zahlreichen offenen Fragen, wie dieses Recht praktisch umgesetzt und eingefordert werden sollte, biete die Verordnung keine Antworten, sondern überlasse das der Rechtsprechung. Die findet auch auf nationaler Ebene statt, wie Weismantel anhand der Rechtsprechung des deutschen Bundesverfassungsgerichts und des Bundesgerichtshofs zeigt. In ihr finden sich detaillierte Vorgaben etwa zur Abwägung des Rechts auf Vergessenwerden mit konkurrierenden Rechten wie der Informations- und Meinungsfreiheit, zu den Prüfpflichten der Suchmaschinenbetreiber oder der territorialen Reichweite des Löschanspruchs.

Hartmut Aden geht anschließend auf das Verhältnis von Transparenz und Datenschutz ein – insbesondere auf die Frage, inwiefern die DSGVO dazu beiträgt bzw. beitragen kann, die Datenverarbeitungsprozesse für Betroffene transparenter zu gestalten. Die Transparenzfrage wird von Aden als genuin machtpolitische Frage verstanden. Er stellt zunächst die normative Verankerung der Transparenz als grundsätzliches Prinzip (Artikel 5 Abs. 1) sowie dessen Umsetzung in den Informations- und Auskunftsverpflichtungen gegenüber den Betroffenen (u.a. Artikel 12 bis 15, 19) vor. Anschließend geht er auf die praktische Umsetzung dieses Rechts ein, in der sich viele Hindernisse (etwa: widerstrebende Interessen der Betreiber*innen) und Probleme (z.B. bei der Umsetzung des Anspruchs auf eine Kopie der eigenen Daten) zeigen. Effektiv werde der Transparenzanspruch daher wohl erst dann eingelöst, wenn es konkrete, praxisnahe Handreichungen und Standards für typische Verarbeitungsszenarien gebe, die den gesetzlichen Anspruch in den Datenschutz-Alltag übersetzen. Die DSGVO-Bilanz in Bezug auf Transparenz fällt nach Aden gemischt aus: zwar habe das neue Regelwerk den normativen Stellenwert der Transparenz gestärkt, in der praktischen Umsetzung sei aber noch viel „Luft nach oben“, etwa wenn es um die Gewährleistung von Transparenz durch Technikgestaltung oder gar eine transparente Gestaltung von Datenverarbeitungstechniken selbst gehe.

Obwohl die Vorgaben der DSGVO den Online-Bereich weitgehend ausklammern – das sollte eigentlich die längst überfällige ePrivacy-Verordnung übernehmen[4] – hat ihre Einführung durchaus auch in diesem Bereich zu Veränderungen geführt, etwa für die Werbe- und Tracking-Aktivitäten. Einen interessanten, weil strikt empirischen Ansatz verfolgt in dieser Hinsicht der Beitrag von Martin Degeling, Christine Utz und Tobias Urban. Mit Hilfe von Online-Messverfahren werten sie aus, wie sich der Werbe- und Tracking-Markt, aber auch das Online-Verhalten der Nutzer*innen seit der Einführung der DSGVO verändert haben. Dazu greifen sie auf eigene Untersuchungen sowie Auswertungen anderer Wissenschaftler*innen zurück. Sie stellen fest, dass sich das Ausmaß der Online-Werbung seit dem Inkrafttreten der DSGVO innerhalb der EU kaum verändert hat, wohl aber die Anzahl und der Marktanteil kleinerer Anbieter*innen rückläufig ist – also eine Konzentration stattgefunden hat. Deutlicher ist ein Rückgang bei den Online-Tracking-Diensten im Geltungsbereich der DSGVO. Ihre Untersuchungen zeigen auch, wo und wie die überall anzutreffenden Cookie-Banner platziert werden und wie die Benutzer*innen darauf reagieren. Derartige Untersuchungen hätte man sich bei einer echten Evaluation der DSGVO auch von Kommissionsseite gewünscht.

Die folgenden drei Beiträge widmen sich – aus unterschiedlicher Perspektive – der Frage nach der Wirksamkeit der Datenschutzaufsicht. Eine Kernidee der DSGVO war die bessere Koordination der Datenschutzaufsicht, damit internationale Firmen sich nicht mehr um die Einhaltung von Datenschutzstandards „herummogeln“ können, indem sie ihren (europäischen) Sitz dort wählen, wo sie weniger intensive Datenschutzkontrollen erwarten.

Alexander Dix zeigt in seinem Beitrag, wie die bisherige Kooperation der mitgliedsstaatlichen Aufsichtsbehörden innerhalb der Artikel 29-Gruppe durch ein verbindlicheres Regelwerk der Zusammenarbeit im Europäischen Datenschutzausschuss (EDSA) ersetzt wurde. Nach seiner Einschätzung funktioniert das neue Koordinationsregime noch nicht reibungslos – vor allem auch deshalb, weil das Problem des Forum Shoppings mit der DSGVO noch nicht wirksam abgestellt wurde und die Koordination im EDSA noch nicht effektiv genug ausgestaltet sei.

Diese kritische Einschätzung teilt auch Johannes Caspar in seinem Beitrag. Er erläutert detailliert die Kooperationsregeln, etwa zur Zuständigkeit der federführenden Aufsichtsbehörden und den Verfahrensvorgaben für die Arbeit im EDSA. Deren Defizite zeigten sich innerhalb der praktischen Zusammenarbeit, z.B. in der Konzentration vieler Verfahren bei zwei kleinen und völlig unzureichend ausgestatteten Behörden (Irland und Luxemburg), in überlangen Verfahrensdauern bei Beschwerden gegen die großen Firmen oder kaum ausgeschöpften Sanktionsmechanismen. Caspar unterbreitet konkrete Vorschläge, wie die Zusammenarbeit im EDSA verbessert und damit die Wirksamkeit der europäischen Datenschutzaufsicht erhöht werden könnten.

Um mögliche Effizienzgewinne der Datenschutzkontrolle geht es auch im Beitrag von Jörg Pohle, Benjamin Bergemann und Karl Hendrik. Ausgangspunkt ihrer Betrachtungen ist das massive technologische Gefälle zwischen den zu Kontrollierenden und den Kontrolleur*innen: Während die IT-Giganten weltweit Daten von Millionen Menschen aus allen Lebensbereichen zusammenführen, damit lernende Systeme aufbauen und automatisierte Entscheidungen vorantreiben, findet ihre Kontrolle teilweise noch mit Papier und Stift, in jedem Fall aber per Hand und Einzelentscheidung durch die Bearbeiter*innen statt. Die Autoren stellen in ihrem Beitrag einige Ideen vor, wo und wie sich automatisierte Abläufe in der Datenschutz-Kontrolle sinnvoll nutzen ließen, und welche Vorteile ein digitalisierter Datenschutz für die Betroffenen, die Datenverarbeitenden, die Aufsichtsbehörden und letztlich auch die Gesellschaft als Ganzes hätte.

Interessant sind auch die Wirkungen der DSGVO über die Europäische Union hinaus. Teils ist diese Wirkung im Anwendungsbereich der DSGVO angelegt. Nach dem Marktortprinzip (Art. 3 Abs. 2) ist die Grundverordnung auch auf Firmen außerhalb der EU anwendbar, die Daten von Personen verarbeiten, die sich in der EU befinden. Diese Regelung hat „Sogwirkungen“ erzeugt, die auch als „Brüssel-Effekt“ bezeichnet werden: Für global agierende Firmen ist es meist (kosten-)günstiger, einheitliche Standards für alle Kund*innen anzuwenden. Daher zeichnet sich ein Trend ab, dass internationale Firmen DSGVO-Standards auch außerhalb der EU anwenden. Darüber hinaus hat sich die DSGVO auch zur „Blaupause“ für die Gesetzgebung zahlreicher Länder entwickelt, die ihr Datenschutzrecht an die Rahmenbedingungen der Digitalisierung anpassen möchten. Selbst in den USA ist diese Tendenz zu beobachten, wo Kalifornien 2018 für den Verbraucherdatenschutz einen Consumer Privacy Act erlassen hat.[5] Ingrid Schneider zeigt in ihrem Beitrag auf der Basis eines Forschungsaufenthalts in Mexiko, dass sich ein solcher „Brüssel-Effekt“ auch bei der neuen Entwicklung des mexikanischen Datenschutzrechts beobachten lässt.

Auf die internationale Wirkung der DSGVO als Vorbild und Maßstab für datenschutzrechtliche Regulierung verweist auch der Beitrag von Thilo Weichert. Er sieht in der Verordnung den Ausgangspunkt für einen umfassenden digitalen Grundrechtsschutz, der neben dem Datenschutz auch die Probleme der demokratischen Teilhabe, der Rechtsstaatlichkeit und der allgemeinen Freiheitswahrung adressiert. Bereits die derzeitige Fassung der DSGVO beschränke sich nicht auf die Gewährleistung des Datenschutzes, sondern schütze auch das Telekommunikationsgeheimnis, die Meinungsbildung und vor (digitaler) Diskriminierung. Dieser Ansatz sollte nach Weicherts Einschätzung erweitert werden, etwa um eine wirksame Algorithmenkontrolle, die Gewährleistung digitaler Grundversorgung sowie die digitale Verwirklichung von Transparenz und Informationsfreiheit in Staat und Wirtschaft zu ermöglichen. Mit diesem Ausblick auf die Entwicklungspotenziale der DSGVO beschließen wir den Schwerpunkt.

Neben dem Themenschwerpunkt bietet auch diese Ausgabe der vorgänge zahlreiche Beiträge zu aktuellen Themen: Alexander Bosch greift die Debatte um rechtsextremistische bzw. rassistische Verhaltensweisen innerhalb der deutschen Polizei auf. Mit Blick auf die lange umstrittene Studie zur Verbreitung rassistischer Einstellungen und Verhaltensweisen unter Polizist*innen verweist er auf bestehende theoretische und methodische Leerstellen in der empirischen Polizeiforschung, die bisher die Ergebnisse der Rassismusforschung weitgehend ignoriert habe. Auf einen konkreten Vorwurf rassistischer Polizeipraxis geht Anja Reuss in ihrem Beitrag ein: Ausgehend von der langen Historie des „Antiziganismus“ in polizeilichen Datensammlungen beschreibt sie, wie hartnäckig sich ethnisierende Ermittlungspraktiken innerhalb der Polizei halten, wenn es etwa um Trickbetrug, Diebstahl oder öffentliche Randale geht.

Rosemarie Will kommentiert zwei Entscheidungen der Landesverfassungsgerichte von Thüringen und Brandenburg, mit denen die jeweiligen Paritégesetze der Länder gekippt wurden. Beide Länder hatten kürzlich ihre Wahlgesetze dahingehend geändert, dass die Parteien zur Aufstellung geschlechterparitätischer Kandidat*innen-Listen verpflichtet werden sollten. Will geht vor allem darauf ein, welche Auswirkungen die beiden Entscheidungen auf künftige Versuche einer stärkeren Beteiligung von Frauen in den Parlamenten haben.

Mit einer Entscheidung des Bayerischen Verfassungsgerichtshofes zum Mietenstopp befasst sich dagegen Halina Wawzyniak: Jener hatte ein Volksbegehren für formell unzulässig erklärt, und dies vor allem mit der fehlenden Zuständigkeit des Landesgesetzgebers begründet. Von vielen Beobachter*innen wurde die Entscheidung als Präjudiz für eine demnächst anstehende Entscheidung des Bundesverfassungsgerichts zum Berliner Mietendeckel gewertet. Dem widerspricht Wawzyniak. Nach ihrer Einschätzung fuße die bayerische Entscheidung auf einer zweifelhaften Auslegung der Kompetenzregeln, zudem unterscheide sich das Berliner Gesetz zur Mietenbegrenzung im Wohnungswesen in wichtigen Punkten vom Gesetzentwurf des bayerischen Volksbegehrens.

Schließlich macht Florian Grams auf die besonderen Probleme der Teilhabe und Ausgrenzung von Menschen mit Behinderung aufmerksam, die sich im Zuge der Corona-Pandemie zeigen. Für sie stelle die Pandemie eine existenzielle Herausforderung dar, denn ihr Lebensrecht werde mit den gegenwärtig diskutierten Triage-Kriterien in Frage gestellt. Zusätzlich müssten sie den plötzlichen Ausfall bestehender Assistenz- und Unterstützungssysteme verkraften.

Wir wünschen allen Leser*innen eine anregende Lektüre mit dieser Ausgabe der vorgänge und freuen uns auf Ihre Rückmeldungen.

Hartmut Aden und Sven Lüders
für die gesamte Redaktion

Anmerkungen:

1 COM(2020) 264 final vom 24.6.2020.

2 S. Alexander Roßnagel: Datenschutz-Grundverordnung – was bewirkt sie für den Datenschutz?, in: vorgänge 221/222 (Hefte 1-2/2018), S. 17-29.

3 S. dazu Herbert Mandelartz: Der Europäische Gerichtshof und das Recht auf Vergessen, in: vorgänge 206/207 (Hefte 2-3/2014), S. 119-121.

4 S. Florian Glatzner: Erwartungen an die ePrivacy-Verordnung aus Sicht des Verbraucherschutzes, in: vorgänge 221/222 (Hefte 1-2/2018), S. 103-114.

5 S. http://leginfo.legislature.ca.gov/faces/codes_displayText.xhtml?division=3.&part=4.&lawCode=CIV&title=1.81.5 (aufgerufen am 15.12.2020).

Der Beitrag Editorial erschien zuerst auf Humanistische Union.

1. Patchwork

Vielfach sind es Krisen oder zumindest die Unzufriedenheit mit dem Status Quo, die zu Veränderungen führen. So war und ist es auch mit dem Datenschutz. Das weltweit erste Datenschutzgesetz wurde 1971 in Hessen verabschiedet. Es folgten andere Bundesländer, europäische und außereuropäische Staaten. Von einem einheitlichen Datenschutzrecht konnte dabei keine Rede sein. Es war schließlich der Europarat, der im Jahr 1981 mit der Konvention 108ⁱⁱⁱ einen ersten internationalen, verbindlichen Datenschutzmindeststandard formulierte. Die Europäische Union folgte diesem Ansatz mit 15jähriger Verspätung, nachdem immer deutlicher geworden war, dass die unterschiedlichen Datenschutzsysteme der Mitgliedstaaten den freien Datenverkehr auf dem gemeinsamen Markt behinderten.

Die EG-Datenschutzrichtlinie von 1995^iv bewirkte zwar, dass alle Mitgliedstaaten eigene Datenschutzgesetze bekamen, doch von einer echten Harmonisierung konnte keine Rede sein. Denn der durch die Richtlinie geschaffene Rahmen war von den Mitgliedstaaten sehr unterschiedlich ausgefüllt worden, so dass das Datenschutzrecht der Mitgliedstaaten weiterhin einen Flickenteppich bildete.

Besonders gravierend waren die Differenzen bei den Durchsetzungsmechanismen: Zwar waren in allen Mitgliedstaaten Datenschutzbehörden eingerichtet worden. Sie unterschieden sich jedoch erheblich im Hinblick auf ihre institutionelle Einbindung, ihre Befugnisse und den Grad ihrer Unabhängigkeit. Wiederholt beschäftigte sich der Europäische Gerichtshof mit fragwürdigen Bestimmungen des nationalen Datenschutzrechts.^v

Schließlich mangelte es an klaren und verbindlichen Regeln für die grenzüberschreitende Zusammenarbeit der Datenschutzaufsicht. Die gem. Art. 29 der Datenschutzrichtlinie eingerichtete Datenschutzgruppe („Artikel 29-Gruppe“), in der alle nationalen Datenschutzbehörden, der Europäische Datenschutzbeauftragte und – allerdings ohne Stimmrecht – die Europäische Kommission vertreten waren, hatte lediglich beratende Funktion. Verbindliche Entscheidungen waren nicht vorgesehen.

Global agierende Unternehmen nutzten das Datenschutzgefälle zwischen den Mitgliedstaaten in ihrem Sinne. Davon profitierten in besonderem Maß Irland und Luxemburg, in denen eine effektive Datenschutzaufsicht nicht stattfand. Die damit verbundene Verwässerung des EU-Datenschutzes wurde in den übrigen Mitgliedstaaten und von den europäischen Institutionen zunehmend kritisch gesehen.

Nicht nur hinsichtlich ihrer mangelnden Harmonisierungswirkung geriet die Datenschutzrichtlinie in die Kritik. Auch angesichts der stürmischen technischen Entwicklung drängte sich die Frage auf, ob eine Regelung aus dem Jahr 1995 den Anforderungen einer global vernetzten, ubiquitär verfügbaren und immer weitere Lebensbereiche durchdringenden Informationsverarbeitung gerecht zu werden vermochte. Immerhin wurde die formuliert, als das Internet und der Mobilfunk noch Nischentechnologien und viele andere – heute alltägliche – Techniken gänzlich unbekannt waren (etwa Biometrie, Cloud, künstliche Intelligenz).

2. Glücksfall Edward Snowden

Die Europäische Kommission erkannte die Zeichen der Zeit und begann im Jahr 2010 mit Konsultationen über die Fortschreibung des EU-Datenschutzrechts. Anfang 2012 legte sie ein umfassendes Reformpaket vor, dessen Kernstück die Datenschutz-Grundverordnung bildete. Die wichtigste Innovation bestand in der Wahl des Regelungsinstruments: Während die Richtlinie der Umsetzung durch die nationalen Gesetzgeber bedurfte, ist eine Verordnung ein unmittelbar in den Mitgliedstaaten anwendbares Gesetz.

Der Gegenwind gegen ein einheitliches, in allen Mitgliedstaaten direkt anwendbares Datenschutzrecht kam von vielen Seiten. Wie schon in den 1990er Jahren in den Beratungen der Datenschutzrichtlinie hielt sich die Begeisterung über ein weitgehend harmonisiertes europäisches Datenschutzrecht, das die Spielräume für nationale Nischen und Alleingänge reduzieren würde, bei den Regierungen der Mitgliedstaaten in Grenzen. In Deutschland wurde insbesondere das Ende des vermeintlich hohen deutschen Datenschutzniveaus beschworen, das sich jedoch bei näherem Hinsehen allzu oft als Schimäre erwies. Im Zuge des europäischen Gesetzgebungsverfahrens („Trilog“) setzten die Regierungen der Mitgliedstaaten schließlich etliche Öffnungsklauseln durch, die sich heute als Schwachstelle der DSGVO erweisen.

Der Widerstand von Wirtschaftsverbänden und Unternehmen richtete sich prinzipiell gegen schärfere Regelungen. Er speiste sich auch aus der Wahrnehmung, dass digitale Geschäftsmodelle in den USA wegen nicht vorhandener gesetzlicher Beschränkungen erfolgreicher waren als in Europa. Schließlich kämpften Vertreter der US-Wirtschaft und der US-Regierung gegen jede Verschärfung des EU-Datenschutzrechts, welche die Geschäftsinteressen der auch auf dem europäischen Markt dominierenden IT-Unternehmen der „GAFAM“-Gruppe (Google, Amazon, Facebook, Apple, Microsoft) behindern könnte.

Der von US-Seite ausgeübte erhebliche Druck auf den europäischen Gesetzgeber blieb nicht ohne Folgen. Anders als beabsichtigt verfestigte er jedoch den (zutreffenden) Eindruck, hier ginge es primär um die Sicherung ihrer datengetriebenen Geschäftsmodelle zu Lasten der EU-Bürgerinnen und Bürger und der europäischen Wirtschaft.

Das weit verbreitete Gefühl der digitalen Abhängigkeit Europas verstärkte sich mit der Aufdeckung globaler Überwachungsaktivitäten durch den Whistleblower Edward Snowden. Es war nicht mehr zu leugnen, dass die US-Geheimdienste die marktbeherrschende Stellung der amerikanischen Digitalunternehmen für ihre Aktivitäten, für ihre auf globale Kontrolle ausgerichteten Überwachungsprogramme nutzten. Vieles spricht dafür, dass die symbiotische Beziehung zwischen Sicherheitsbehörden und Unternehmen mit Wissen und Duldung durch deren Top-Management etabliert wurde, auch wenn die Unternehmen die Geheimdienstaktivitäten sicherlich nicht im Detail kannten.^vi Die Aufdeckung dieses Beziehungsgeflechts wirkte als Katalysator des Gesetzgebungsprozesses zur DSGVO. Edward Snowdens Enthüllungen haben ohne Zweifel dazu beigetragen, dass der ambitionierte Regulierungsansatz schließlich auch von den meisten Europapolitikern befürwortet wurde, die ihm zunächst skeptisch gegenübergestanden hatten.

3. Datenschutz ist Grund­rechts­schutz

In vielen Ländern – darunter die USA und die asiatischen Staaten – wird Datenschutz (jedenfalls im Hinblick auf den nicht-öffentlichen Bereich) als Gegenstand privatrechtlicher Aushandlungen gesehen. Ein entscheidendes Manko auch der Datenschutzrichtlinie von 1995 bestand darin, dass es sich bei ihr in erster Linie um ein Instrument der Marktregulierung handelte, mit dem der freie Datenverkehr im europäischen Binnenmarkt sichergestellt werden sollte.^vii Mit der Weiterentwicklung der Europäischen Gemeinschaft zu einer politischen Union stellte sich die Frage nach europäischen Grundrechten, die kurz nach der Jahrtausendwende in der EU-Grundrechtecharta festgeschrieben wurden. Art. 7 der Charta verlangt – wie zuvor schon Art. 8 der Europäischen Menschenrechtskonvention^viii – die Achtung des Privat – und Familienlebens. Art. 8 EUGrCh garantiert den Schutz personenbezogener Daten und schreibt eine unabhängige Datenschutzaufsicht vor. Zudem hatte die Rechtsprechung in den Mitgliedsstaaten seit den 1980er Jahren dem Datenschutz als Grundrecht der Informationsgesellschaft einen höheren Stellenwert einzuräumen begonnen – zu nennen ist hier besonders das „Volkszählungsurteil“ des Bundesverfassungsgerichts von 1983^ix.

Durch den Vertrag von Lissabon^x wurde die Grundrechtecharta zum anwendbaren Recht in der gesamten EU aufgewertet. Mit der Charta war eine echte EU-weite Datenschutzgesetzgebung geboten, weil nur so ein angemessener Grundrechtsschutz sichergestellt werden konnte.

4. Die ersten 2½ Jahre

Angesichts des teils gravierenden, mit der DSGVO verbundenen Anpassungsbedarfs des nationalen Rechts hatte der europäische Gesetzgeber den Mitgliedstaaten und den Rechtsanwendern eine zweijährige Übergangsfrist eingeräumt. Die am 25. Mai 2016 im EU-Amtsblatt veröffentlichte DSGVO wurde erst am 25. Mai 2018 vollständig wirksam. Trotzdem wurden die notwendigen Anpassungs- und Umsetzungsarbeiten bis heute nicht abgeschlossen. Aber selbst dort, wo der nationale Gesetzgeber tätig geworden ist, bestehen weiterhin viele Probleme. Dies gilt etwa für nationale Regelungen zur Videoüberwachung, zur Verarbeitung biometrischer Daten oder für die Datenverarbeitung zu Forschungszwecken. Als Problem erweist sich auch, dass die Mitgliedstaaten die ihnen durch die DSGVO eingeräumten Regelungsspielräume beim Beschäftigtendatenschutz und beim Austarieren des Datenschutzes mit der Informations- und Meinungsfreiheit sehr unterschiedlich gefüllt haben.

Auch die Unternehmen waren vielfach nicht hinreichend auf die DSGVO vorbereitet. So ergab eine im Dezember 2017 veröffentlichte Umfrage, dass mehr als der Hälfte der deutschen Unternehmen die DSGVO nicht bekannt war oder dass sie sich noch nicht mit ihr beschäftigt hätten.^xi Die Rechtsunsicherheiten waren und sind in Deutschland besonders ausgeprägt, weil das hiesige Datenschutzrecht maßgeblich durch Spezialregelungen geprägt ist und sich vielfach die Frage stellt, in welcher Beziehung die bereichsspezifischen Datenschutzvorschriften zu den Vorgaben der DSGVO stehen. Hinzu kommt die föderale Differenzierung des deutschen Datenschutzrechts, die in keinem anderen Mitgliedsland eine Entsprechung findet.

2018 setzte insbesondere in Deutschland eine teils aufgeregte öffentliche Diskussion darüber ein, was nun verboten und was erlaubt ist. Anstatt den Datenschutz als Chance zu begreifen und so das Vertrauen in digitale Prozesse in Staat und Wirtschaft zu stärken, wurde der Eindruck erzeugt, Datenschutz bedrohe den Wohlstand, verhindere sinnvolle IT-Projekte und erschwere das Leben von Vereinen und kleinen Unternehmen unverhältnismäßig. Die Wahrnehmung der DSGVO als „Innovationsbremse“ oder „Bürokratiemonster“ wurde verstärkt durch vielfach unbegründete Behauptungen und zweifelhafte Rechtsauslegungen. Eine bevorstehende „Abmahnwelle“^xii wurde beschworen. Es wurde in Frage gestellt, ob die namentliche Begrüßung als Erhebung personenbezogener Daten noch zulässig sei.^xiii Die Bild-Zeitung titelte auf ihrer Frontseite: „Datenschutz-Irrsinn: Unsere Klingelschilder sollen weg!“^xiv Inzwischen hat sich die Aufregung weitgehend gelegt. Kunden werden weiterhin namentlich begrüßt, kein Klingelschild wurde abmontiert und die beschworene Abmahnwelle ist ausgeblieben.^xv Zur Beruhigung hat sicherlich beigetragen, dass die Datenschutzbehörden in Deutschland und Europa eine Vielzahl von Auslegungs- und Orientierungshilfen zur DSGVO vorgelegt haben, um Unsicherheiten bei den Rechtsanwendern auszuräumen.^xvi

Inzwischen ist auch deutlich geworden, dass die Datenschutzbehörden nicht mehr dem Bild des „zahnlosen Tigers“ entsprechen. Sie haben seit dem Wirksamwerden der DSGVO hunderttausende Beschwerden bearbeitet und eine Vielzahl von Bußgeldern – einige davon in Millionenhöhe – gegen Verantwortliche für Datenschutzverstöße verhängt. Dass das Engagement und die Konfliktbereitschaft der nationalen Datenschutzbehörden recht unterschiedlich ausgeprägt sind, ist jedoch auch nicht zu übersehen. Während viele Datenschutzbehörden schwerwiegende Datenschutzverstöße mit hohen Bußgeldern geahndet haben, tun sich andere Datenschutzbehörden hier deutlich schwerer. So hat die irische Datenschutzbehörde bis Ende November 2020 nicht eine der vielen Tausend Beschwerden gegen US-amerikanische Internetunternehmen abschließend entschieden, die ihre Europazentralen in Irland haben (s. dazu den Beitrag von Caspar in diesem Heft).

5. Evaluation

Die Europäische Kommission ist verpflichtet, die Anwendung und Wirkungsweise der Verordnung laufend zu überprüfen und erforderlichenfalls Vorschläge zur Änderung und Weiterentwicklung vorzulegen. Die Evaluations- und Berichtspflicht soll verhindern, dass der neue Rechtsrahmen und die technische und soziale Realität auseinanderfallen. Im Rahmen des Konsultationsprozesses haben Wirtschaftsverbände, Datenschutz- und Verbraucherschutzorganisationen sowie Wissenschaftler^xvii Bewertungen der Erfahrungen mit der DSGVO vorgenommen. Auch wenn die Stellungnahmen erwartungsgemäß widersprüchliche Bewertungen einzelner Vorschriften enthielten, sehe ich es als positives Signal, dass die DSGVO grundsätzlich in keiner Stellungnahme in Frage gestellt wurde. Fast alle Teilnehmer des Konsultationsprozesses traten für eine verstärkte EU-weite Harmonisierung und eine bessere Zusammenarbeit der Datenschutzbehörden ein. Die Vielzahl der von den Regierungen der Mitgliedstaaten durchgesetzten Öffnungsklauseln in der DSGVO müsse reduziert werden. Das Regelungspatchwork des nationalen Rechts stehe im Widerspruch zur angestrebten EU-weiten Harmonisierung und beeinträchtige die Datenfreizügigkeit. Die Zusammenarbeit der Aufsichtsbehörden habe sich zwar deutlich verbessert, müsste aber noch effektiver gestaltet werden.

Wirtschaftsverbände und einige Mitgliedstaaten forderten unter der Überschrift „Bürokratieabbau“ weitere Erleichterungen für kleinere und mittlere Unternehmen, speziell im Hinblick auf die Reduktion von Dokumentations- und Meldepflichten. Dagegen konzentrierten sich Datenschutz- und Verbraucherschutzverbände auf Verbesserungen bei den Betroffenenrechten, speziell beim Profiling und automatisierte Entscheidungen. Systeme, welche für den einzelnen Menschen oder für die Gesellschaft wichtige Entscheidungen treffen oder solche vorbereiten, müssten konsequenter reguliert werden, speziell im Hinblick auf den Einsatz von „Künstlicher Intelligenz“ (KI). Daten- und Verbraucherschützer forderten zudem, Hersteller von Hard- und Software datenschutzrechtlich in die Verantwortung zu nehmen.

Der am 24. Juni 2020 veröffentliche erste Bericht der EU-Kommission^xviii zog ein positives Fazit und verzichtet auf den Vorschlag konkreter Änderungen des Verordnungstextes. Die DSGVO habe die meisten ihrer Ziele erreicht. Bei der Unterstützung digitaler Lösungen in unvorhersehbaren Situationen wie der COVID-19-Krise habe sich die DSGVO als flexibel erwiesen. Ferner hätten die Unternehmen eine Compliance-Kultur entwickelt und sähen einen starken Datenschutz immer häufiger als Wettbewerbsvorteil.

Aus Sicht von Datenschützern hat die Kommission die Gelegenheit verpasst, mit neuen Vorschlägen erkennbare Fehlentwicklungen zu korrigieren.^xix Unübersehbar bestünden nach zwei Jahren Erfahrung weiterhin massive aufsichtsbehördliche „Ladehemmungen“ bei der Kontrolle der grenzüberschreitenden Datenverarbeitung. Gerade gegenüber global agierenden großen Internetdiensten und Plattformen, deren Nutzer die DSGVO effektiver schützen sollte, hätte sich die DSGVO bislang als stumpfes Schwert erwiesen (s. dazu den Beitrag von Caspar in diesem Heft).

6. Daten­schutz-­Grund­ver­ord­nung als weltweites Referenz­mo­dell

Trotz mancher Unzulänglichkeiten der DSGVO orientieren sich immer mehr Staaten bei der Regulierung des Umgangs mit personenbezogenen Daten an diesem Regelungswerk. Zu nennen sind beispielsweise die neuen bzw. geänderten Datenschutzgesetze von Brasilien, Thailand, Japan^xx, Singapur und Indien. Selbst in China wurden in verschiedenen Bereichen Regelungen in Kraft gesetzt, die der DSGVO in mancher Beziehung ähneln.^xxi

Der wichtigste Hebel für die Durchsetzung der europäischen Datenschutzanforderungen auf internationaler Ebene ist die schon in der Datenschutzrichtlinie von 1995 enthaltene Anforderung, dass personenbezogene Daten in Staaten außerhalb der Europäischen Union nur übermittelt werden dürfen, wenn beim Empfänger ein angemessener Datenschutz gewährleistet wird. Dafür sieht die DSGVO verschiedene Instrumente vor, speziell einen „Angemessenheitsbeschluss“ der Europäischen Kommission, genehmigte Standarddatenschutzklauseln und verbindliche Unternehmensregelungen (Binding Corporate Rules).

Im Regelfall beziehen sich Angemessenheitsbeschlüsse auf ein Land. Allerdings ist es auch möglich, die Angemessenheit des Datenschutzes für bestimmte Regionen oder Sektoren festzustellen. Solche partiell wirksamen Angemessenheitsbeschlüsse wurden etwa zwischen der EU und den Vereinigten Staaten vereinbart. Diese Beschlüsse annullierte jedoch der Europäische Gerichtshof.^xxii Sowohl das „Safe Harbor“-Abkommen aus dem Jahr 2001 als auch das Nachfolgeabkommen „Privacy Shield“ von 2016 scheiterten vor dem EuGH am unzureichenden Schutz personenbezogener Daten gegen einen Zugriff amerikanischer Sicherheitsbehörden. In beiden Urteilen ging es speziell um Datenübermittlungen zwischen Facebook Europa und dem amerikanischen Mutterunternehmen. Der EuGH hat nicht nur über die Beschwerden gegen konkrete Datentransfers entschieden, sondern auch über die zugrundeliegenden Abkommen. Das oberste EU-Gericht hielt die von der EU-Kommission bei der US-Regierung ausgehandelten rechtlichen Garantien nicht für ausreichend. Insbesondere sei es nicht hinzunehmen, dass EU-Bürgerinnen und -Bürger keinen effektiven Rechtsschutz gegen die Überwachungsmaßnahmen amerikanischer Behörden haben.

Die Gewichte in dem in den 1970er Jahren begonnenen Wettbewerb zwischen dem europäischen und dem amerikanischen Datenschutzmodell haben sich verschoben. Der US-Ansatz sah Datenschutz primär als Gegenstand eines Aushandlungsprozesses auf dem Markt. Dementsprechend verzichtete er weitgehend auf eine Regulierung der Datenverarbeitung im privatwirtschaftlichen Sektor. Dagegen setzte Europa frühzeitig auf gesetzliche Regelungen und unabhängige Datenschutzaufsicht.

Inzwischen ist nicht mehr zu übersehen, dass sich die DSGVO zu dem internationalen Referenzmodell entwickelt, an dem sich die Datenschutzgesetze weltweit orientieren. Mit der gegenseitigen Anerkennung der jeweiligen Datenschutzbestimmungen als „angemessen“ durch die Europäische Kommission^xxiii und die japanische Regierung ist der weltweit größte Datenraum entstanden, in dem personenbezogene Daten unter Wahrung eines hohen Datenschutzniveaus verarbeitet werden.

Die Wirkungen der DSGVO haben längst auch die Vereinigten Staaten selbst erreicht. So greift der kalifornische Consumer Privacy Act (CCPA) wichtige Elemente des EU-Datenschutzrechts auf. Mit dem erfolgreichen, zeitgleich mit der US-Präsidentschaftswahl am 3. November 2020 durchgeführten Referendum („Proposition 24“) wurden u.a. eine kalifornische Datenschutzbehörde eingeführt und die Betroffenenrechte gestärkt.^xxiv Auch andere US-Bundesstaaten haben inzwischen eigene Datenschutzgesetze. Dem US-Kongress liegen mehrere Entwürfe für US-Bundesgesetze zum Datenschutz vor bzw. werden gegenwärtig in ungewohnter Kooperation von demokratischen und republikanischen Mitgliedern des US-Senats und des Repräsentantenhauses erarbeitet.^xxv

Selbst die großen Internet-Konzerne haben ihren früheren Widerstand gegen DSGVO-ähnliche US-Gesetze aufgegeben und fordern mittlerweile ein US-Bundesgesetz zum Datenschutz in der Wirtschaft.^xxvi So hat Marc Zuckerberg vor dem US-Kongress und vor dem Europäischen Parlament die europäische Datenschutz-Grundverordnung als vorbildlich bezeichnet. Unabhängig von der Glaubwürdigkeit solcher Aussagen, die in der Folge des Cambridge Analytica-Skandals^xxvii gemacht wurden, ist unverkennbar, dass der Druck der Wirtschaft auf den US-Kongress zunimmt, ein Datenschutzgesetz zu erlassen, das ein der Grundverordnung entsprechendes Datenschutzniveau gewährleistet und eine unabhängige Datenschutzaufsicht vorsieht, aber zugleich die Datenschutzgesetzgebung in den Bundesstaaten deckelt.^xxviii

Trotz aller positiven Signale ist es heute immer noch alles andere als sicher, ob die DSGVO ihre eigentliche Bewährungsprobe besteht: Die Einhegung der mit der Digitalisierung verbundenen Überwachung und Manipulation und des darin zum Ausdruck kommenden Machtmissbrauchs. Trotz verbaler Zustimmung zur DSGVO sind die GAFAM-Unternehmen bis heute nicht bereit, ihre Geschäftsmodelle den Grundsätzen des europäischen Datenschutzrechts anzupassen. Die bereits während der Beratungen des Europäischen Parlaments zur DSGVO zu Höchstform aufgelaufenen Bemühungen von Lobbyisten, als geschäftsschädigend betrachtete EU-Datenschutzvorgaben zu verhindern, werden fortgesetzt. Sie konzentrieren sich derzeit auf die E-Privacy-Verordnung, die den Umgang mit personenbezogenen Daten durch Telekommunikations- und Internetdiensten EU-weit einheitlich regulieren soll.

Angesichts dessen ist zu wünschen, dass Europa sich nicht von dem eingeschlagenen Weg abbringen lässt und die dringend nötige Regulierung nicht nur im Hinblick auf den Datenschutz, sondern auch im Verbraucherschutz- und Kartellrecht weiter voranbringt. Neben der E-Privacy-Verordnung betrifft dies insbesondere Vorgaben für digitale Plattformen und zur Herstellung eines gemeinsamen europäischen Datenraums.

PETER Schaar Jahrgang 1954, ist gelernter Ökonom. Er war ab 1980 in der Verwaltung der Hansestadt Hamburg tätig und wechselte 1986 zum Hamburger Landesdatenschutzbeauftragten. 2003 wurde er auf Vorschlag der rot-grünen Bundesregierung vom Deutschen Bundestag zum fünften Bundesbeauftragten für Datenschutz gewählt. Seine Amtszeit endete am 16. Dezember 2013. Seit 2013 steht Schaar der Europäischen Akademie für Informationsfreiheit und Datenschutz (EAID) vor.

Anmerkungen:

Der Beitrag Datenschutz-Grundverordnung: der neue Goldstandard erschien zuerst auf Humanistische Union.

Ja, Sie haben richtig gelesen: Die EU-Datenschutz-Grundverordnung (DSGVO) ist bereits seit über viereinhalb Jahren in Kraft. Sie ist – wenn auch manche Verantwortliche in Unternehmen und Institutionen das zu glauben schienen – mitnichten am 25. Mai 2018 vom Himmel gefallen. Bereits mit dem Inkrafttreten der DSGVO am 25. Mai 2016 (in Worten: zweitausendsechzehn) begann der zweijährige Umsetzungszeitraum bevor am 25. Mai 2018 die DSGVO Geltung erlangte und von allen Unternehmen, Vereinen, Institutionen, FreiberuflerInnen, (Solo-)Selbständigen, vielen Behörden und sonstigen Institutionen anzuwenden war. Der Veröffentlichung der DSGVO am 4. Mai 2016 im Amtsblatt ging ein über sechs Jahre langer Diskussions- und Gesetzgebungsprozess voraus, der auch öffentliche Konsultationen auf EU- wie auch auf nationaler Ebene beinhaltete.ⁱ

Wie wir heute wissen hat ein beträchtlicher Teil der zur Umsetzung Verpflichteten bis zum 25. Mai 2018 seine Hausaufgaben allerdings nicht gemacht. Das gilt und galt leider auch für die Datenschutzaufsichtsbehörden wie für den Gesetzgeber. Und wie sieht es heute, mehr als zweieinhalb Jahre später aus? Der Bundesrat hat bis dato die bzw. den deutscheN StellvertreterIn für den Europäischen Datenschutzausschuss immer noch nicht gewählt. DieseR ist gemäß § 17 Abs. 1 Satz 2 BDSG vom Bundesrat aus der Gruppe der LeiterInnen der Datenschutzaufsichtsbehörden der Länder zu wählen. Bereits im Gesetzgebungsverfahren zur Umsetzung der DSGVO im Bundesdatenschutzgesetz (BDSG) wurde seitens der Datenschutz-Community kritisiert, dass die Datenschutzaufsichtsbehörden der Länder dieseN VertreterIn nicht selbst wählen dürfen.

Auch zahlreiche Unternehmen, Vereine, FreiberuflerInnen, (Solo-)Selbständige, Behörden und sonstigen Institutionen haben ihre Hausaufgaben in Sachen Datenschutz noch nicht oder noch nicht vollständig erledigt. Wie sonst ist die Forderung von Wirtschaftsverbänden zu verstehen, dass wegen der Corona-Krise die Vorgaben der DSGVO gelockert werden sollen.ⁱⁱ Wer in den letzten viereinhalb Jahren die DSGVO umgesetzt hat, hat doch im letzten dreiviertel Jahr kaum noch zusätzlichen Aufwand.

Die rechtlich vorge­schrie­bene Evaluation der DSGVO

Eine regelmäßige Evaluation der DSGVO durch die EU-Kommission war bereits im ursprünglichen Entwurf enthalten. Im Rahmen des Gesetzgebungsverfahrens wurden die Anforderungen noch konkretisiert. Insbesondere wurde die Beteiligung des EU-Parlaments und des Rates festgeschrieben. Einen ersten Evaluationsbericht hätte die Kommission am 25. Mai 2020 – also vier Jahre nach dem Inkrafttreten der DSGVO – vorlegen müssen. Danach ist der Bericht alle vier Jahre vorzulegen:

„Art. 97 Berichte der Kommission

(1) Bis zum 25. Mai 2020 und danach alle vier Jahre legt die Kommission dem Europäischen Parlament und dem Rat einen Bericht über die Bewertung und Überprüfung dieser Verordnung vor.

(2) Im Rahmen der Bewertungen und Überprüfungen nach Absatz 1 prüft die Kommission insbesondere die Anwendung und die Wirkungsweise

1. des Kapitels V über die Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen insbesondere im Hinblick auf die gemäß Artikel 45 Absatz 3 der vorliegenden Verordnung erlassenen Beschlüsse sowie die gemäß Artikel 25 Absatz 6 der Richtlinie 95/46/EG erlassenen Feststellungen,

2. des Kapitels VII über Zusammenarbeit und Kohärenz.

(3) Für den in Absatz 1 genannten Zweck kann die Kommission Informationen von den Mitgliedstaaten und den Aufsichtsbehörden anfordern.

(4) Bei den in den Absätzen 1 und 2 genannten Bewertungen und Überprüfungen berücksichtigt die Kommission die Standpunkte und Feststellungen des Europäischen Parlaments, des Rates und anderer einschlägiger Stellen oder Quellen.

(5) Die Kommission legt erforderlichenfalls geeignete Vorschläge zur Änderung dieser Verordnung vor und berücksichtigt dabei insbesondere die Entwicklungen in der Informationstechnologie und die Fortschritte in der Informationsgesellschaft.“

Der Evalua­ti­ons­be­richt der EU-Kom­mis­sion

Der erste Evaluationsbericht wurde von der EU-Kommission mit einem Monat Verspätung vorlegt.ⁱⁱⁱ

Die Entstehung

Auch im Rahmen der Erstellung dieses Berichts gab es Beteiligungsverfahren und eine öffentliche Konsultation. So wurde am 24. Juli 2019 seitens der EU-Kommission eine erste „Bilanz“ der DSGVO vorgelegt.^iv Die Mitglieder der bereits Mitte des Jahres 2017 von der EU-Kommission initiierten „multistakeholder expert group to support the application of the GDPR 2016/679“^v wurden im März und im November 2019 um Antworten auf konkrete Fragestellungen der EU-Kommission gebeten. Die entsprechenden Antworten wurden in jeweils einem Bericht im Juni 2019^vi und im Juni 2020^vii veröffentlicht.

Die Bilanz der EU-Kommission gehörte ebenfalls zu den Materialien, die Grundlage für die im April 2020 durchgeführte öffentliche Konsultation^viii zur Erstellung des DSGVO-Evaluationsberichts 2020 waren. Insgesamt wurden im Rahmen dieser Konsultation 130 Stellungnahmen abgegeben. Darunter sind Stellungnahmen von einzelnen Unternehmen, Wirtschaftsverbänden, Datenschutzorganisation^ix, wissenschaftlichen Einrichtungen und auch Einzelpersonen innerhalb und außerhalb der EU. Es würde den Rahmen dieses Artikels sprengen, auch nur zu versuchen, eine Zusammenfassung dieser Stellungnahmen darzustellen.

Ergebnisse der Evaluation

Auch wenn die Meinungen zur DSGVO bei den verschiedenen Gruppen und AkteurInnen im Detail verständlicherweise mehr oder weniger weit auseinandergehen, bestand doch die grundsätzliche Auffassung, dass angesichts von erst zwei Jahren Gültigkeit der DSGVO im Rahmen der Evaluation keine grundlegenden Änderungen von der EU-Kommission vorgeschlagen werden sollten. Vielmehr müsse sich die Anwendung der DSGVO noch einspielen und auch die Rechtsprechung solle die Möglichkeit haben, zumindest in einigen Bereichen für eine gewisse Rechtssicherheit zu sorgen, bevor die rechtlichen Grundlagen wieder geändert werden. Im Folgenden werden einige Kritikpunkte, die im Evaluationsprozess deutlich wurden, mehr oder weniger ausführlich dargestellt.

Hausauf­gaben der EU-Kom­mis­sion und der Daten­schutz­auf­sichts­be­hörden

Ein häufiger Kritikpunkt, der sowohl im Rahmen des Konsultationsverfahrens zum Evaluationsbericht aber auch von Datenschutzbeauftragten in der betrieblichen Praxis genannt wurde, war, dass die EU-Kommission wie auch die nationalen Datenschutzaufsichtsbehörden mitsamt ihrem Europäischen Datenschutzausschuss (EDSA) ihre „Hausaufgaben“ zur Umsetzung der DSGVO spät oder zum Teil noch gar nicht erledigt haben.

Standardvertragsklauseln

Eine in der DSGVO enthaltene Regelung erlaubt den nationalen Datenschutzaufsichtsbehörden wie auch der EU-Kommission, Standarddatenschutzklauseln für Datenverarbeitung im Auftrag innerhalb der EU zu erstellen. Vor Einführung der DSGVO gab es zwar Muster von verschiedenen Verbänden, aber keine offiziell bereitgestellten Standarddatenschutzklauseln. Für Datenübermittlungen in Drittländer (das sind alle Länder außerhalb der EU und des EWR) gab es bereits vor der DSGVO solche Standarddatenschutzklausen (die damals noch „Standardvertragsklauseln“ genannt wurden). Allerdings hätten diese eigentlich bis zum 25. Mai 2018 an die DSGVO angepasst werden müssen, was bis dato aber noch nicht passiert ist.

Derartige Standarddatenschutzklauseln können von Unternehmen genutzt werden, verpflichtend sind sie aber nicht. Die Nutzung solcher Standarddatenschutzklausen schafft zum einen für die Unternehmen eine höhere Rechtssicherheit und vereinfacht zum anderen die Aushandlung der für die genannten Fälle erforderlichen Datenschutzvereinbarungen. Hier ist nun endlich Abhilfe in Sicht. Am 12.11.2020 wurden sowohl für die Auftragsdatenverarbeitung innerhalb der EU^x und als auch für Datenübermittlungen in Drittländer (s.u.) Entwürfe vorgelegt und eine öffentliche Konsultation gestartet.

Datenschutz-Folgenabschätzung

Im Bereich der Datenschutz-Folgenabschätzung, die Unternehmen und andere Verantwortliche bei Datenverarbeitungen mit hohem Risiko für die davon betroffenen Personen durchführen müssen, sind die von den Datenschutzaufsichtsbehörden zu erstellenden sogenannten „Musslisten“ in Deutschland und auf EU-Ebene erst sehr spät erstellt worden.

Piktogramme zur Umsetzung der Infor­ma­ti­ons­pflichten

Gerade aus Sicht der betroffenen Personen wäre es hilfreich, wenn die in Art. 12 Abs. 8 vorgesehenen Regelungen zur Nutzung von Bildsymbolen (Piktogrammen) zur Darstellung von Datenschutzinformationen umgesetzt worden wären. Bislang ist hier leider nichts passiert.

Datenschutz-Zertifizierung

Leider gibt es auch über viereinhalb Jahre nach dem Inkrafttreten und über zweieinhalb Jahre nach dem Wirksamwerden der DSGVO noch keine nach Art. 42 DSGVO zugelassenen Zertifizierungsverfahren und keine nach Art 43 DSGVO zugelassenen Zertifizierungsstellen. Somit können weder VerbraucherInnen noch Unternehmen die Vorteile einer freiwilligen Datenschutz-Zertifizierung nutzen. Hier sind zwar bereits seit längerem entsprechende Verfahren zur Anerkennung von Kriterienkatalogen im Gange, es ist aber noch nicht abzusehen, wann die ersten Zertifizierungsstellen DSGVO-konforme Zertifizierungen anbieten können.

DSGVO und inter­na­ti­o­nale Daten­über­mitt­lungen

Die alten Standarddatenschutzklauseln für Datenübermittlungen in Drittländer aus den Jahren 2004 und 2010 gelten gemäß einer Regelung in der DSGVO zwar noch, müssen aber von den sie nutzenden Unternehmen ergänzt werden, damit Auftragsverarbeitungen oder Datenübertragungen im Rahmen von multinationalen Konzernen DSGVO-konform durchgeführt werden können. Hier hätten sich alle Beteiligten gewünscht, dass die EU-Kommission diese alten Standardvertragsklauseln rechtzeitig zum Zeitpunkt der Geltung der DSGVO durch an diese angepasste neue Standarddatenschutzklauseln ersetzt.

Zwar hat nur 22 Tage nach der Veröffentlichung des DSGVO-Evaluationsberichts der Gerichtshof der Europäischen Union (EuGH) mit seinem Urteil Schrems-II das EU-US-Privacy-Shield für ungültig erklärt^xi und damit – wieder einmal – der Übermittlung personenbezogener Daten in die USA eine bis dahin wesentliche Grundlage entzogen. Aber die EU-Kommission hat auf die zum Zeitpunkt der Veröffentlichung des Berichts noch bevorstehende Urteilsverkündung bereits Rücksicht genommen. So schreibt sie:

„Angesichts der Tatsache, dass der Gerichtshof in seinem Urteil, das am 16. Juli verkündet werden soll, Klarstellungen liefern könnte, die für bestimmte Elemente des Angemessenheitsstandards relevant sein könnten, wird die Kommission über die Evaluierung der bestehenden Angemessenheitsbeschlüsse gesondert Bericht erstatten, nachdem der Gerichtshof sein Urteil in dieser Rechtssache erlassen hat.“ (DSGVO-Evaluationsbericht 2020, S. 14)

Immerhin hat die EU-Kommission in diesem Evaluationsbericht bestätigt, dass sie nun endlich an die DSGVO angepasste Standarddatenschutzklausen für Datenübermittlungen in Drittländer erstellen werde. Dieses Vorhaben wurde inzwischen angegangen. So hat die EU-Kommission am 12.11.2020 einen Entwurf für „Standarddatenschutzklauseln für Übertragungen in ein Drittland“ zur öffentlichen Konsultation^xii bereitgestellt. Da diese am 10.12.2020 endete ist zu hoffen, dass die Endfassung zeitnah bereitgestellt wird.

Beschäftigtendatenschutz

Es ist zu begrüßen, dass in der DSGVO in Art. 88 Abs. 1 ausdrücklich geregelt ist, dass durch Kollektivvereinbarungen (wie Betriebsvereinbarungen und Tarifverträge) „spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext“ festgelegt werden können. Das erprobte Verfahren, in Betriebsvereinbarungen und Tarifverträgen auch Regelungen zum Beschäftigtendatenschutz aufzunehmen, blieb erhalten. Zudem können nationale Gesetzgeber ebenfalls „spezifischere Vorschriften“ zum Beschäftigtendatenschutz erlassen. Alle diese Regelungen müssen aber die nur sehr abstrakten Vorgaben beachten, die sich derzeit in Art. 88 Abs. 2 DSGVO finden. Es wäre gerade für Beschäftigte in multinationalen Unternehmen wünschenswert und hilfreich, wenn bereits in der DSGVO konkretere Vorgaben für den Beschäftigtendatenschutz enthalten wären, als sie es jetzt sind. Derzeit wird der Beschäftigtendatenschutz in den einzelnen Mitgliedstaaten sehr unterschiedlich geregelt. Wechseln Beschäftigte auch nur von einem Standort eines Konzerns zu einem Standort des gleichen Konzerns in einem anderen Mitgliedstaat, so können hier für die Beschäftigten gänzlich andere datenschutzrechtliche Regelungen in Bezug auf die Verarbeitung ihrer Daten durch den Arbeitgeber gelten. Dies ist unter dem Gesichtspunkt der Arbeitnehmerfreizügigkeit kontraproduktiv.

Automa­ti­sierte Entschei­dungs­fin­dung und Profiling

Der Anwendungsbereich des Artikel 22 DSGVO, der Regelungen zur automatisierten Entscheidungsfindung und zum Profiling enthält, ist – gerade mit Blick auf Big Data und KI – zu eng gefasst. Bisher lautet Abs. 1:

„Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.“

Dies bedeutet: Solange ein Mensch an der Entscheidung beteiligt ist, greift diese Regelung nicht, da dann die Entscheidung nicht auf einer ausschließlich automatisierten Verarbeitung beruht. Die Regelung ist der aktuellen Formulierung nach auch dann nicht anzuwenden, wenn mithilfe des Profiling Entscheidungsvorschläge erstellt werden, die der entscheidende Mensch kaum auf ihre Plausibilität oder ihre Richtigkeit überprüfen kann, da der angewandte Algorithmus für den entscheidenden Menschen nicht nachvollziehbar ist.

Diese Regelung sollte deshalb dahingehend erweitert werden, dass sie bereits auch für solche Entscheidungen gilt, bei denen die zugrundeliegende automatisierte Verarbeitung (einschließlich Profilerstellung) wahrscheinlich ein Risiko für die Rechte und Freiheiten natürlicher Personen beinhaltet, insbesondere wenn die Entscheidung rechtliche Auswirkungen auf die betroffene Person hat oder sie in ähnlicher Weise erheblich beeinträchtigt. Eine derart erweiterte Regelung sollte also zum einen auch bereits dann gelten, wenn der Mensch der die Entscheidung trifft, die auf der vorhergehenden ausschließlich automatisierten Verarbeitung basiert, den vom Algorithmus vorgegebenen Entscheidungsvorschlag zwar noch bestätigen muss, diesen aber nicht wirksam prüfen kann. Zum anderen würde eine derartig geänderte Regelung bedeuten, dass für solche automatisierten Entscheidungsverfahren eine Risikoabschätzung erforderlich wäre. Dies entspräche dem in vielen anderen Regelungen der DSGVO enthaltenen risikobasierten Ansatz.

Auch in Hinblick auf das mögliche Profiling sollten die Rechte der betroffenen Personen gestärkt werden. Die aktuellen Regelungen sind hier gerade aus Sicht von VerbraucherInnen, aber auch aus Sicht von Beschäftigten nicht ausreichend. Zumindest sollte aber eine – im Konsultationsverfahren konkret vorgeschlagene – Verbesserung der Formulierung in der deutschen Übersetzung des Art. 22 ernsthaft ins Auge gefasst werden.

Datenschutz durch Technik­ge­stal­tung und durch daten­schutz­freund­liche Vorein­stel­lungen

Die Anforderungen des Art. 25 DSGVO an Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen sind derzeit nur an die Verantwortlichen, nicht aber an die Entwicklung und Herstellung von Software und IT-Systemen adressiert. Zwar enthält Erwägungsgrund 78 folgenden Satz 4:

„In Bezug auf Entwicklung, Gestaltung, Auswahl und Nutzung von Anwendungen, Diensten und Produkten, die entweder auf der Verarbeitung von personenbezogenen Daten beruhen oder zur Erfüllung ihrer Aufgaben personenbezogene Daten verarbeiten, sollten die Hersteller der Produkte, Dienste und Anwendungen ermutigt werden, das Recht auf Datenschutz bei der Entwicklung und Gestaltung der Produkte, Dienste und Anwendungen zu berücksichtigen und unter gebührender Berücksichtigung des Stands der Technik sicherzustellen, dass die Verantwortlichen und die Verarbeiter in der Lage sind, ihren Datenschutzpflichten nachzukommen.“

Allerdings führt dies – insbesondere wegen noch fehlender Datenschutz-Zertifizierungsverfahren (s.o.) – nicht dazu, dass wenigstens Hersteller mit Sitz in der EU oder dem EWR nur noch solche Produkte, Dienstleistungen und Anwendungen auf den Markt bringen würden, die datenschutzkonform einsetzbar sind; ganz zu schweigen von datenschutzfreundlichen Voreinstellungen oder einer Berücksichtigung der Datenschutz-Grundsätze aus Art. 5 DSGVO, wie die Datenminimierung. Es gibt tatsächlich Softwaresysteme, bei denen das Löschen von Daten nicht vorgesehen ist und nur äußerst mühsam umgesetzt werden kann. Die Hersteller sollten daher dadurch in die Pflicht genommen werden, dass sie zumindest für den EU-Markt nur solche Produkte, Dienste und Anwendungen anbieten dürfen, die es den Verantwortlichen ermöglichen, ihre Pflichten aus der DSGVO mit einem verhältnismäßigen Aufwand umzusetzen.

Datenschutzbeauftragte

Es ist zu begrüßen, dass mit dem Wirksamwerden der DSGVO zum einen alle Behörden eine oder einen Datenschutzbeauftragten zu benennen haben und zum anderen diese Person – wie es in Deutschland auch schon vor dem Wirksamwerden der DSGVO für Unternehmen und andere nichtöffentliche Stellen geregelt war – auch eine externe Person sein kann. Die Erfahrung zeigt, dass es häufig schwierig ist, in den eigenen Reihen eine oder einen Datenschutzbeauftragten zu finden. Auch ist die geforderte Unabhängigkeit der Datenschutzbeauftragten bei externen Personen einfacher zu gewährleisten.

Die Regelungen des Art. 37 Abs. 1 Buchst. b) und c) DSGVO für andere Verantwortliche als Behörden und öffentliche Stellen sind allerdings so weit gefasst, dass auf dieser Grundlage viele Unternehmen keine Datenschutzbeauftragte benennen müssen. Zwar erlaubt Art. 37 Abs. 4 zum einen den Mitgliedstaaten, weitere Regelungen für die Pflicht zur Benennung von Datenschutzbeauftragten zu erstellen und zum anderen auch den Unternehmen, freiwillig Datenschutzbeauftragte zu benennen. Diese Möglichkeiten wurden aber nur in den wenigsten Mitgliedstaaten genutzt und werden auch nur von den wenigsten Unternehmen wahrgenommen. Auch Deutschland, dessen diesbezügliche Regelung eine lange Praxiserprobung vorweisen konnte, hat die entsprechenden Benennungspflichten aufgeweicht. Hier wären EU-weite strengere Regelungen für die Pflicht zur Benennung von Datenschutzbeauftragten – gerade auch aus der Sicht der betroffenen Personen – wünschenswert. Diese würden zudem einer Wettbewerbsverzerrung innerhalb der EU und des EWR entgegenwirken.

Fazit

Die DSGVO kann mit Recht als ein wichtiger Schritt zu einer Vereinheitlichung des Datenschutzrechts in der EU und dem EWR (und sogar darüber hinaus) angesehen werden. Die Erfahrungen von nun über zweieinhalb Jahren nach dem Wirksamwerden zeigen, dass sowohl in der Bevölkerung als auch bei Unternehmen ein größeres Interesse am Datenschutz entstanden ist. Bei den Unternehmen liegt dies sicher an dem – gegenüber dem im alten Bundesdatenschutzgesetz (BDSG-alt) geltenden – deutlich höheren Bußgeldrahmen. Während zumindest in Deutschland bisher Datenschutzverstöße nach dem BDSG-alt häufig „aus der Portokasse“ bezahlt werden konnten, sind die nach den Regelungen der DSGVO möglichen Bußgelder inzwischen bei vielen Unternehmen in das unternehmerische Risikomanagement aufgenommen worden. Es wurden in Deutschland und auch EU-weit bereits deutlich höhere Bußgelder wegen Datenschutzverstößen verhängt als in Zeiten vor der DSGVO. Dies führt wenn auch nicht bei allen, so doch bei einer deutlichen Anzahl von Unternehmen dazu, dass der Datenschutz ernster genommen wird, was wiederum den betroffenen Personen – insbesondere als VerbraucherInnen und Beschäftigten – zugutekommt.

Wenn auch die DSGVO zu einer deutlichen Vereinheitlichung des Datenschutzrechts und des Datenschutzniveaus geführt hat, so enthält die DSGVO doch noch zu viele Konkretisierungs- und Regelungsklauseln, die von den Mitgliedstaaten genutzt werden müssen oder dürfen. Auch darüber hinaus besteht wie oben dargestellt noch Handlungsbedarf. Es bleibt spannend, wie sich der DSGVO-Evaluationsbericht 2020 der EU-Kommission und die dort enthaltenen Arbeitsaufträge auf die Umsetzung des Datenschutzes in den nächsten Jahren auswirken werden. Eine Stellungnahme des EU-Parlamentes zu dem Evaluationsbericht ist derzeit in Arbeit. Es bleibt zu hoffen, dass die dreieinhalb Jahre bis zur Veröffentlichung des DSGVO-Evaluationsbericht 2024 der EU-Kommission genutzt werden, um den Datenschutz im Sinne der VerbraucherInnen und Beschäftigten, aber auch aller betroffenen Personen zu stärken.

Werner Hülsmann geboren 1961; studierte 1982–1988 Informatik (Diplom) mit Schwerpunkt Datenschutzrecht; war von 1992–1999 Referatsleiter Technik und wissenschaftlicher Mitarbeiter beim Landesbeauftragten für Datenschutz der Freien Hansestadt Bremen; seit 2004 anerkannter Datenschutzsachverständiger; seit 2013 intensiv mit der DSGVO beschäftigt. Von 2003 bis 2009 und seit 2014 ist er Vorstandsmitglied der Deutschen Vereinigung für Datenschutz (DVD) e.V., seit 2015 stellv. Vorsitzender der DVD. Seit 09/2017 Member of the Commission Multistakeholder expert group to support the application of Regulation (EU) 2016/679 (GDPR), seit November 2018 geschäftsführender Gesellschafter der DaSchuWi GmbH https://daschuwi-gmbh.de.

Anmerkungen:

Der Beitrag Über viereinhalb Jahre DSGVO – eine Bilanz erschien zuerst auf Humanistische Union.

Der Geltungsbeginn der Datenschutz-Grundverordnung hat sich am 25. Mai 2020 zum zweiten Mal gejährt. Die zu diesem Stichtag vorgesehene Evaluation der Verordnung gab Anlass zu zahlreichen Verbesserungsvorschlägen. Aufgegriffen wurden sie von der Europäischen Kommission nicht. Der Beitrag zeigt vertane Chancen auf und gibt Anregungen für die zukünftige Entwicklung des Datenschutzes in Europa. Dabei steht die Sichtweise der Verbraucher[1] im Vordergrund.

1. Die Evaluation der Daten­schutz-­Grund­ver­ord­nung

Die Datenschutz-Grundverordnung (DSGVO) sieht in Art. 97 Abs. 1 vor, dass die Europäische Kommission ab Inkrafttreten alle vier Jahre eine regelmäßige „Bewertung und Überprüfung dieser Verordnung“ durchführt und veröffentlicht. Der erste Evaluationsbericht war danach am 25. Mai 2020 vorzulegen. Ein Schwerpunkt soll dabei nach Abs. 2 auf der Übermittlung an Drittländer sowie auf den Regelungen zu Zusammenarbeit und Kohärenz liegen.[2] Nach Abs. 5 soll die Kommission „erforderlichenfalls geeignete Vorschläge zur Änderung dieser Verordnung“ vorlegen und dabei „insbesondere die Entwicklungen in der Informationstechnologie und die Fortschritte in der Informationsgesellschaft“ berücksichtigen. Für die Evaluation soll sie nach Abs. 3 von den Aufsichtsbehörden und den Mitgliedstaaten Informationen einholen und nach Abs. 4 „Standpunkte und Feststellungen des Europäischen Parlaments, des Rates und anderer einschlägiger Stellen oder Quellen“ berücksichtigen.

Der Rat, die Mitgliedstaaten, die Bundesregierung, der Bundesrat, die Konferenz der unabhängigen Datenschutzaufsichtsbehörden sowie viele Verbände, Organisationen und Initiativen aus ganz Europa haben ihre Erfahrungen mit der DSGVO geschildert und Vorschläge zur Verbesserung der Verordnung vorgelegt, die ihre Praktikabilität, Effizienz und Rechtssicherheit erhöhen sollen.[3] Diese Stellungnahmen beschränkten sich weit überwiegend nicht auf die in Abs. 2 genannten Schwerpunkte, sondern adressierten Verbesserungen im Text der Verordnung. Für Verbraucher von besonderem Interesse waren z.B. die Forderungen nach einem eigenen einschränkenden Erlaubnistatbestand für Profiling, nach einer spezifischen Abwägung der Datenverarbeitung für Werbung, nach Klarstellungen bei den Rechten betroffener Personen, nach Präzisierungen der datenschutzgerechten Systemgestaltung und datenschutzfreundlichen Voreinstellungen sowie nach zusätzlichen Schutzregelungen für die Verarbeitung der Daten von Kindern.

Gefordert wurde in fast allen Stellungnahmen auch, dass die Kommission die Herausforderungen untersucht, die durch aufkommende Technologien wie z.B. Big Data, Künstliche Intelligenz, Internet der Dinge, Blockchain, Gesichtserkennung, Profiling und „Deep Fakes“ entstehen. Sie sollte vor allem Schutzlücken überprüfen, die durch die zunehmende Datenkonzentration bei einzelnen Anbietern und Plattformen sowie durch die Verwendung von Scoring und Profiling entstehen, und diese durch zusätzliche – eventuell bereichsspezifische – Regelungen schließen.

2. Die Sicht der Europä­i­schen Kommission auf die DSGVO

Die Kommission legte ihren Bericht am 24. Juni 2020 vor.[4] Aus ihrer Sicht hat sich die DSGVO bewährt.[5] Dies werde nicht zuletzt durch einen erfolgreichen Export in zahlreiche Drittländer belegt. Das europäische Datenschutzrecht sei „ein Kompass geworden, der uns im digitalen Wandel, bei dem der Mensch im Mittelpunkt steht, den Weg weist“.[6]

Die Kommission stellt in ihrem nur 18 Seiten umfassenden Bericht[7] zwar fest, dass es Bereiche gäbe, in denen in der Zukunft Verbesserungen möglich seien, schlägt jedoch keine entsprechenden Änderungen des Verordnungstextes vor. Noch sei die Zeit nicht reif für eine endgültige Bewertung der DSGVO. Wahrscheinlich würden sich die meisten der durch die Mitgliedstaaten und Stakeholder identifizierten Probleme durch mehr Erfahrung mit der Verordnung über die kommenden Jahre ohnehin erledigen.[8]

Die Kommission benennt keine Verbesserungsbedarfe und Verbesserungsmöglichkeiten am Text der DSGVO, sondern beschränkt sich ausschließlich auf den Umgang mit ihr. Sie kritisiert vor allem ergänzende und konkretisierende Regelungen der Mitgliedstaaten. Konkret benennt die Kommission eine Überdehnung der Öffnungsklauseln der Verordnung durch mitgliedstaatliches Recht. Spezifizierungen im mitgliedstaatlichen Recht bezogen auf die Interessenabwägung nach Art. 6 Abs. 1 Uabs. 1 lit. f DSGVO werden abgelehnt: Der nationale Gesetzgeber dürfe die Abwägung der berechtigten Interessen des Datenverarbeiters mit den schutzwürdigen Interessen der betroffenen Person nicht allgemein regeln, sondern müsse diese im Einzelfall dem Verantwortlichen überlassen. Gleichfalls abgelehnt werden begriffliche Spezifizierungen im Recht der Mitgliedstaaten und die Etablierung zusätzlicher Voraussetzungen in spezifischen Verarbeitungssituationen. Selbst die Nutzung der in der Verordnung explizit angelegte Möglichkeit zur Anpassung der Altersgrenze innerhalb eines vorgegebenen Rahmens von dem vollendeten dreizehnten Lebensjahr bis zum vollendeten sechzehnten Lebensjahr bei der Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft[9] brandmarkt die Kommission als eine gefährliche Abweichung vom Harmonisierungsgedanken des europäischen Datenschutzrechts. Es wird das Schreckgespenst einer Fragmentierung des Datenschutzes in der Europäischen Union wie noch unter der Datenschutzrichtlinie beschworen, die den freien Fluss von Daten in der Union bedrohe. In dieser überzogenen Kritik wird deutlich, dass die Kommission ihre Niederlage im Gesetzgebungsprozess der DSGVO nicht überwunden hat. In diesem hatte – vor allem der Rat – der Selbstermächtigung der Kommission durch 48 Ermächtigungen zur Konkretisierung der Verordnung Grenzen gesetzt und diese überwiegend durch Öffnungsklauseln für die Mitgliedstaaten ersetzt.[10] Die Kommission nimmt hier den Machtkampf wieder auf und greift die Ausfüllung der Öffnungsklauseln durch die Mitgliedstaaten an. Auch wenn manche Mitgliedstaaten – auch Deutschland – im Einzelfall etwa unzulässig starke Einschränkungen der Rechte der betroffenen Personen vorgenommen haben, ist die grundsätzliche Infragestellung der Legitimität der Ausfüllung der Öffnungsklauseln durch die Mitgliedstaaten – gemessen am Text der DSGVO übertrieben.

Die Kommission versucht mit ihrem Bericht eine Diskussion über die Verbesserung des europäischen Datenschutzrechts zu verhindern. Sie richtet den Scheinwerfer von den Defiziten der Verordnung selbst weg auf die Gesetzgebung der Mitgliedstaaten. Klar ist aber, dass die Diskussion um die Weiterentwicklung des Datenschutzrechts im Allgemeinen und der DSGVO im Speziellen als Fundament dieses Datenschutzrechts dennoch nicht stehenbleiben darf. Zu groß ist der Druck durch moderne Verarbeitungspraktiken, neue Technologien und praktische Probleme. Gerade aus Sicht der Verbraucher zeigt sich, dass die DSGVO trotz der zahlreichen, mitunter immensen Verbesserungen des rechtlichen Status quo noch deutlichen Verbesserungsbedarf in sich trägt. Zudem sind auch zwei Jahre nach ihrem Geltungsbeginn die in der Verordnung angelegten Potenziale längst noch nicht ausgeschöpft.[11] Dies gilt insbesondere für die wesentlichen Innovationen der DSGVO, zu deren prominentesten Vertretern die Forderung nach Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen in Artikel 25 DSGVO gehört.

3. Die Sicht des Verbrau­chers auf die DSGVO

Für Verbraucher ergibt sich mit Blick auf die DSGVO ein gemischtes Bild.[12] Verbesserungen und Neuerungen bei den Betroffenenrechten und neuen Durchsetzungsmechanismen stehen die Perpetuierung alter Probleme des Datenschutzrechts und die Erzeugung neuer Problemkreise gegenüber. Zudem dürften die mitunter chaotischen ersten Tage des Geltungsbeginns der Verordnung und als übertrieben empfundene Anforderungen gerade an niederschwellige Datenverarbeitungen infolge des „one size fits all“-Ansatzes der Verordnung dem Datenschutz einen zumindest temporären Imageschaden verpasst haben. Gleichzeitig ist aber auch als positiver Effekt die Wahrnehmung von Datenschutz als ernstzunehmender gesamtgesellschaftlicher Herausforderung gestiegen.

Gerade bezogen auf einige der wesentlichen Innovationen der DSGVO hat sich schnell Ernüchterung eingestellt. Insbesondere das Recht auf Datenübertragbarkeit und die Verpflichtung der Verantwortlichen zu Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen haben nicht die intendierten Effekte entfaltet. Das Recht auf Datenübertragbarkeit hat sich allenfalls branchenspezifisch etabliert, so zumindest die Einschätzung der Kommission.[13] In der Praxis dürfte es indes kaum eine Rolle spielen. Insbesondere eine Wirkung auf den Hauptadressaten der „lex Facebook“[14] scheitert bereits am Vorhandensein valider Alternativen. Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen geraten allzu häufig in Konflikt mit den Verarbeitungsinteressen großer Anbieter und werden allzu sehr relativierend ausgelegt. So können diese Instrumente ihre verbraucherschützende Wirkung nicht entfalten.

Die strukturellen Probleme des Datenschutzes bleiben auch in der DSGVO ungelöst. Dies betrifft vor allem die Bereiche Einwilligung und Transparenz, die ohnehin fest miteinander verbunden sind. Im Falle der Einwilligung blieben die hergebrachten Herausforderungen bestehen, Selbstbestimmung konsequent zu verwirklichen. Bezogen auf Transparenz wurde mit Art. 12 Abs. 7 DSGVO zwar eine Vision vom Ende der wenig effektiven und oft kontraproduktiven Informationsvermittlung via Text entworfen, jedoch hat auch mehr als vier Jahre nach Inkrafttreten der Verordnung die Kommission ihre Aufgabe noch nicht angenommen, standardisierte Bildsymbole einzuführen. Vorgesehen war, mit solchen Symbolen die textliche Vermittlung zu unterstützen und einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln. Die Kommission hat noch nicht einmal eine Diskussion über hilfreiche Bildsymbole initiiert. Ohne eine Basis mit breit anerkannten Symbolen kann sie auch keine Verpflichtung zum Einsatz dieser Symbole per Rechtsakt nach Art. 12 Abs. 8 DSGVO festlegen.[15]

Insgesamt haben sich die weltweit agierenden Internetkonzerne mit der DSGVO arrangiert. Vor allem sie profitieren von der Regelung in Art. 56 DSGVO, dass sie immer nur mit einer Aufsichtsbehörde zu tun haben – nämlich der von ihnen ausgewählten, offensichtlich handlungsunfähigen oder handlungsunwilligen – Aufsichtsbehörde in Irland. Sie halten an ihren Geschäftsmodellen zur Ausbeutung der Daten ihrer Nutzer – und auch Nichtnutzer – fest, legitimieren diese sogar zum Teil mit den Vorgaben der DSGVO. Sie haben in ihren Datenschutzerklärungen den Sprachgebrauch der Verordnung übernommen, ignorieren aber ihre Vorgaben, wo es ihnen passt – vor allem die Verpflichtung zu datenschutzgerechten Systemgestaltungen und datenschutzfreundlichen Voreinstellungen. Ihnen gegenüber hat die DSGVO zu keinen spürbaren Verbesserungen für die Verbraucher geführt.

4. Potenziale zur Steigerung des Daten­schutz­ni­veaus in der Europä­i­schen Union

Angesichts des stetigen technischen Fortschritts und kurzer Innovationszyklen im Bereich der Digitalisierung darf das Datenschutzrecht nicht statisch bleiben, sondern es muss sich trotz aller Versuche über einen sogenannten technologieneutralen Ansatz Langlebigkeit zu garantieren, ständig weiterentwickeln.

4.1 Schwächen im Normtext der DSGVO

Schwächen im Normtext weist die DSGVO zum einen durch gesetzgeberische Handwerksfehler und zum anderen durch die Verwendung zahlreicher unbestimmter Rechtsbegriffe und Vorgaben auf sehr hohem Abstraktionsniveau auf. Diese Schwächen einer klaren, eindeutigen und unmissverständlichen Regelung verursachten in den letzten zwei Jahren vielfache Auslegungs- und Verständnisprobleme, Rechtsunsicherheiten und Rechtsstreitigkeiten. Eine Klärung könnte unverbindlich durch thematische Leitlinien des Europäischen Datenschutzausschusses sowie im Einzelfall verbindlich durch die Gerichte und am Ende den Europäischen Gerichtshof erfolgen. Dies dauert Jahre und ist am Tag der Entscheidung vielleicht durch die rasante Entwicklung der Technik bereits überholt. Ein Wort des Gesetzgebers könnte hier Abhilfe schaffen. Eine Überarbeitung der Verordnung lehnt die Kommission jedoch ab und gegen eine Konkretisierung durch mitgliedstaatliches Recht wehrt sie sich entschieden.[16] Für Verbraucher ist diese Situation äußerst unbefriedigend. Wie die Erfahrung lehrt, dringt in alle Lücken, die das Recht hinterlässt, gesellschaftliche Macht ein und besetzt die Spielräume.[17] Im ersten Zugriff bestimmen die Verantwortlichen, wie sie die abstrakte oder unklare Vorgabe der Verordnung verstehen. Bis zu einer endgültigen Klärung durch den Europäischen Gerichtshof stellt sich für die Verbraucher und eventuell eine Aufsichtsbehörde die Rechtsauffassung der Verantwortlichen als valide Position dar, die es zu widerlegen gilt. Aber auch für die Verantwortlichen selbst besteht Rechtsunsicherheit bezüglich der Frage, wo denn für sie und ihre Geschäftsmodelle tatsächlich und konkret die Schwellen des datenschutzrechtlich Geforderten liegen.

Ein konkretes und vielleicht sogar Paradebeispiel für Schwächen des Normtextes ist das Recht auf Datenübertragbarkeit. Bereits die Benennung des Rechts geht fehl. Sie verweist auf eine Möglichkeit zur Datenübertragung, wo doch tatsächlich vom Verantwortlichen eine konkrete Handlung gefordert ist, die der Betroffene auch einfordern kann. Richtiger wäre mithin die Bezeichnung als Recht auf Datenübertragung.[18] Darüber hinaus sind ein zu unklarer Anwendungsbereich, eine nicht ausreichende Bestimmtheit des Übergabeformats und die Beschränkung auf Situationen, in denen eine Einwilligung oder ein Vertrag (noch) besteht, zu beklagen. Das Recht aus Art. 20 DSGVO gilt nur für die von der betroffenen Person „bereitgestellten“ personenbezogenen Daten. Wörtlich genommen wären Daten, die aus der Beobachtung der betroffenen Person, also aus deren Nutzung resultieren, nicht explizit eingeschlossen. Ebenfalls wären personenbezogene Daten, die ein Dritter übermittelt hat, nicht explizit erfasst. Dies würde dazu führen, dass beim Wechsel von einer Bank zu einer anderen zwar die selbst veranlassten Überweisungen oder Einzahlungen zur neuen Bank übertragen werden können, nicht jedoch Überweisungen oder Abbuchungen Dritter. Der Begriff „bereitgestellt“ in Art. 20 Abs. 1 DSGVO ist also letztlich irreführend und sollte ersetzt werden. Dennoch wird er zu Beschränkung des Anspruchs auf Übertragung genutzt. Die Bestimmungen zur Form der Datenübertragung sind wiederum durch die Verwendung mehrerer unbestimmter Rechtsbegriffe geprägt (z.B. „strukturiertes gängiges und maschinenlesbares Format“, „ohne Behinderung“, „technisch machbar“), die zu einer für die Verbraucher nachteilhaften Auslegung einladen. Hier ist eine Präzisierung dringend angezeigt. Bezogen auf Einwilligung und Verträge bleibt unklar, ob der Anspruch auf Datenübertragung auch dann noch besteht, wenn die Einwilligung widerrufen oder der Vertrag beendet worden ist, denn die Datenübertragung stellt keine nachvertragliche Pflicht dar und dient auch nicht der Vertragserfüllung.[19]

Ein anderes Beispiel ist die Einwilligung und ihr Verhältnis zu den weiteren Erlaubnistatbeständen. Unklarheiten bezogen auf die Erlaubnistatbestände führten zum Geltungsbeginn zu einer regelrechten E-Mail-Schwemme, als Verantwortliche Einwilligungen von ihren Nutzern einzuholen suchten, obwohl oftmals bereits eine Verarbeitungserlaubnis bestand; vor allem nach Art. 6 Abs. 1 Uabs. 1 lit. b oder lit. f DSGVO.[20] Dadurch dürfte eine der größten Imageverluste für den Datenschutz in den letzten Jahren erfolgt sein – in seiner Inakzeptanz nur vergleichbar mit dem allgegenwärtigen „Cookie-Banner“. Zu klären ist, ob die Nutzung weiterer Erlaubnistatbestände neben der Einwilligung gegen den Grundsatz von Treu und Glauben verstößt. Die Artikel 29-Datenschutzgruppe hat hierzu ausgeführt, es gelte, „die Entscheidung zu respektieren und den Teil der Verarbeitung zu beenden, wenn eine Einzelperson ihre Einwilligung widerruft“.[21] Behoben werden könnte die Problematik durch eine Klarstellung in der Verordnung, dass ein Verantwortlicher, der eine Einwilligung einfordert, sich auch auf die Regeln der Einwilligung einlassen muss. Dies gilt etwa für den Fall des Widerrufs und auch für die Informationspflichten des Verantwortlichen.[22]

Es lassen sich aber auch noch weitere Stellen im Normtext ausmachen, wo bereits ein einziges zusätzliches Wort den bestehenden Rechtsstreit auflösen könnte und damit die Rechtsunsicherheit bezogen auf die Auslegung der Verordnung signifikant reduziert werden könnte.[23] So würde etwa im Falle von Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO die Ergänzung, dass die Verarbeitung objektiv für die Erfüllung eines Vertrags erforderlich sein muss, eine Beschränkung auf die funktionale Notwendigkeit der Datenverarbeitung für die vereinbarte Leistung erwirken könnte.

4.2 Konzep­ti­o­nelle Schwächen der DSGVO

Diesen Schwächen stehen solche gegenüber, die nicht durch die Veränderung des Wortlauts einzelner Vorschriften der DSGVO beseitigt werden können. Hier handelt es sich einerseits um Defizite, die bereits in den Grundprinzipien des Datenschutzrechts angelegt sind und die von neuen Möglichkeiten der Datenverarbeitung unter Druck gesetzt werden, andererseits um solche, die aus der spezifischen Ausformung der Verordnung selbst resultieren.

Mit Blick auf zahlreiche Technologien und Praktiken zeigen sich deutliche Reibungen und offene Konflikte mit den in einem völlig anderen technologischen Umfeld entstandenen Datenschutzprinzipien. Sie sollten vor allem staatliche Informationsmacht einhegen, typischerweise die Verarbeitung personenbezogener Daten in der Verwaltung und auf einer überschaubaren Anzahl von Großrechnern. Internationaler Datenverkehr und die ubiquitäre Verfügbarkeit immenser Rechenleistung bedeuten eine im Vergleich dazu drastisch gesteigerte Gefahrenlage für die informationelle Selbstbestimmung. Die Datenschutzprinzipien sind vor diesem Hintergrund konsequent durchzusetzen, sie müssen aber auch weiterentwickelt werden, um letztlich eine Erosion oder gar ein Abgleiten in die Bedeutungslosigkeit zu verhindern, wenn die Konflikte mit der technischen Wirklichkeit unüberbrückbar werden. Denkbar ist dies beispielsweise im Falle der Zweckbindung und der Entwicklung hin zu smarten persönlichen Assistenten, die eine möglichst breite Datenbasis über die Nutzenden zwingend voraussetzen, um eine bestmögliche Prognose über sie erstellen zu können, die wiederum die Basis für die Assistenz der Nutzenden darstellen. Das Festhalten der DSGVO an den Datenschutzprinzipien in ihrer tradierten Form ist nicht nur deshalb ein Problem, weil es bereits mit der heutigen technischen Wirklichkeit zu Konflikten kommt, sondern weil ein Festhalten am etablierten Innovationszyklus des europäischen Datenschutzrechts bedeutet, dass sehr wahrscheinlich zwei Jahrzehnte ins Land gehen werden, bis es zu einer erneuten, umfassenden Überarbeitung kommt. Umso wichtiger ist die Berichtspflicht nach Art. 97 DSGVO und umso bedauerlicher ihre Handhabung durch die Kommission.

Eine weitere Schwäche der DSGVO ist ihre zu weitgehende Risikoneutralität. Sie beachtet zwar Risiken der Datenverarbeitung, um die Belastungen der Datenverarbeiter zu reduzieren.[24] Ihr fehlen jedoch risikoadäquate Differenzierungen der Datenschutzgrundsätze, der Zulässigkeit der Datenverarbeitung und der Betroffenenrechte. Auch wo die Datenverarbeitung sehr unterschiedliche Grundrechtsrisiken verursacht, finden die gleichen abstrakten Regelungen Anwendung – etwa für die wenig riskante Kundenliste eines Handwerksbetriebs ebenso wie für die um Potenzen risikoreicheren Datenverarbeitungsformen des Internet der Dinge, von Big Data, Künstlicher Intelligenz, Cloud Computing und datengetriebenen Geschäftsmodellen. Der Grund für diese Risikoneutralität ist, dass die DSGVO einer übertriebenen Ausprägung des Grundsatzes der Technikneutralität folgt. Dieser Grundsatz soll im Prinzip das Risiko einer Umgehung rechtlicher Vorschriften minimieren, indem die Datenschutzregelungen „nicht von den verwendeten Techniken abhängen“.[25] Richtig verstanden ist eine technikneutrale Regelung dann sinnvoll, wenn sie verhindern soll, dass rechtliche Vorschriften technische Weiterentwicklungen ausschließen. Sie ist daher so zu fassen, dass die rechtlichen Vorgaben auch auf weiterentwickelte Techniken anwendbar sind.[26] Dies schließt aus, Regelungen für einzelne Ausprägungen einer spezifischen Technikanwendung zu treffen. Dies darf aber nicht verhindern, Vorgaben für bestimmte technische Funktionen vorzusehen – insbesondere, wenn sie (wie z.B. Tracking, Gesichtserkennung, Profilbildung oder Scoring) besondere Risiken für Grundrechte verursachen. Dies aber hat die DSGVO vollständig versäumt. Ihre höchst abstrakten Vorgaben verursachen bei allen Versuchen, sie auf konkrete Techniken anzuwenden, Rechtsunsicherheit und stärken die Durchsetzungschancen machtvoller Interessen.

Eine weitere strukturelle Schwäche der Verordnung liegt darin, dass zwar eine besondere Schutzwürdigkeit von Kindern angemahnt wird, gleichzeitig aber kein zusammenhängendes Konzept für die Verarbeitung personenbezogener Daten von Kindern vorgelegt wurde.[27]

5. Stärkung der Stellung der Verbraucher

Angesichts von weiter anwachsenden Macht- und Informationsasymmetrien ist es notwendig, die Stellung der Verbraucher in der DSGVO weiter zu stärken. Für die Verbraucher wäre schon viel gewonnen, wenn – auch vor dem Hintergrund der praktischen Erfahrungen der letzten zwei Jahre – ihre offensichtlichen und leicht behebbaren Schwächen beseitigt würden. Darüber hinaus sind die verbraucherschützenden Aspekte des Datenschutzrechts stärker in den Fokus zu rücken. Welche Verbesserungen und Weiterentwicklungen bereits mit geringen Änderungen des Normtextes möglich sind, sollen die nachfolgenden Beispiele belegen.[28]

5.1 Daten­schutz­grund­sätze

Die datenschutzrechtlichen Grundsätze in Art. 5 DSGVO gelten für alle Datenverarbeitungen. Sie fordern u.a. in Art. 5 Abs. 1 lit. a DSGVO eine Datenverarbeitung „nach Treu und Glauben“. Dieser Begriff ist eine Besonderheit der deutschen Sprachfassung, die nur Verwirrung stiftet.[29] Die englische Sprachfassung spricht davon, dass personenbezogene Daten „fairly“ zu verarbeiten sind, oder die französische Fassung von „loyauté“. Um eine Verwechslung mit dem gleichnamigen zivilrechtlichen Grundsatz zu vermeiden und eine Angleichung der Sprachfassungen zu erreichen, sollte die Wendung durch den Begriff „Fairness“ ersetzt werden.

Vor allem aber ist zu konstatieren, dass in Art. 5 DSGVO das Gebot der Datenvermeidung fehlt, wie es noch in § 3a BDSG a.F. normiert war. Der in Art. 5 Abs. 1 lit. c DSGVO enthaltene Grundsatz der Datenminimierung setzt nur das Prinzip der Erforderlichkeit in der Weise um, dass der Verantwortliche nur die Daten verarbeiten darf, die erforderlich sind, um den Zweck der Datenverarbeitung zu erreichen. Er kann so durch Bestimmung des Zwecks indirekt Einfluss auf die Daten nehmen, die er verarbeiten möchte. Dagegen erfasst das Gebot der Datenvermeidung als Ausdruck eines umfassenden Verständnisses des Verhältnismäßigkeitsprinzips auch die Zweckbestimmung. Diese soll so gewählt werden, dass möglichst wenige personenbezogene Daten verarbeitet werden müssen. Um Art. 5 Abs. 1 lit. c DSGVO um das Gebot der Datenvermeidung zu ergänzen, sollte dieser Grundsatz um die Feststellung ergänzt werden, dass die Auswahl und Gestaltung der Datenverarbeitungssysteme an dem Ziel ausgerichtet sein müssen, so wenig personenbezogene Daten wie möglich zu verarbeiten.

5.2 Information und Auskunft

Die Rechte der betroffenen Person nehmen eine zentrale Rolle im Gefüge des Datenschutzrechts ein. Wie auch die Einwilligung sind sie Ausdruck informationeller Selbstbestimmung und dienen als Kontrollinstrument, um die Verarbeitung der „eigenen“ personenbezogenen Daten durch den Verantwortlichen zu überwachen (Auskunft) und notfalls auch einzuschreiten (Berichtigung, Löschung, Einschränkung und Widerspruch). Wesentliche Grundlage hierfür ist es, die tauglichen Adressaten zur Ausübung der Rechte zu identifizieren. Dies ist nur dort unproblematisch, wo sich Verantwortlicher und Betroffener gegenüberstehen und keine Drittnutzung der Daten stattfindet. Es sollte deshalb eine Verpflichtung des Verantwortlichen in Art. 24 Abs. 1 DSGVO integriert werden, Dritte, denen die Daten übermittelt wurden, und die Übermittlung selbst zu protokollieren. Diese Pflicht würde damit zu den Nachweispflichten treten, die den Verantwortlichen ohnehin aus der DSGVO heraus treffen. Ist diese Voraussetzung geschaffen, so können Art. 13 Abs. 1 lit. e, Art. 14 Abs. 1 lit. f und Art. 15 Abs. 1 lit. c DSGVO angepasst werden, die Information und Auskunft über Empfänger personenbezogener Daten regeln. Hier sollte jeweils die Wendung „Empfänger, soweit sie bestimmbar sind“ ergänzt werden. Dadurch würde der Verantwortliche verpflichtet, alle ihm bekannten Empfänger personenbezogener Daten zu benennen. Die bloße Benennung von Kategorien von Empfängern wäre damit nur noch dann ausreichend, wenn ein konkreter Empfänger zum Zeitpunkt der Information (noch) nicht benannt werden kann. Die Voraussetzungen zur Geltendmachung der Betroffenenrechte würden damit deutlich verbessert.

Ein anderes Beispiel für Verbesserungspotenzial betrifft das Recht auf Kopie aus Art. 15 Abs. 3 Satz 1 DSGVO, das als eine der am stärksten misslungenen Regelungen der Verordnung gelten darf.[30] Die Folge ist eine erhebliche Rechtsunsicherheit in diesem Bereich. Umstritten sind der Status des Rechts (eigenes Recht oder Unterform des Rechts auf Auskunft), der Umfang des Begriffs der „Kopie“ (umfassende oder eingeschränkte Wiedergabe der zu einer betroffenen Person vorhandenen Datensätze; Gegenstand der Kopie), die Form der Geltendmachung (explizit oder implizit) und die Form der Übergabe der Kopie; mithin im Grunde alle Elemente des Rechts auf Kopie. Auch eine präzise Abgrenzung zum Recht auf Datenübertragbarkeit gestaltet sich mitunter schwierig. Die meisten dieser Probleme könnten durch zwei Einfügungen im Text der Vorschrift beseitigt werden. Zunächst sollte der Zusatz „auf Antrag der betroffenen Person“ eingefügt werden, damit dem Verantwortlichen klar signalisiert wird, wann die Herausgabe einer Kopie von ihm verlangt wird. Zudem sollte die Wendung „und in einem Datensatz zusammengefasst sind oder zusammengefasst werden können“ bezogen auf die personenbezogenen Daten, die Gegenstand der Verarbeitung sind, und damit dem Recht auf Kopie unterfallen, hinzugefügt werden. Damit würde die Reichweite des Rechts auf Kopie erheblich klarer gefasst.

5.3 Datenschutz durch System­ge­stal­tung und Vorein­stel­lungen

Die Verpflichtung des Verantwortlichen zu einer datenschutzgerechten Systemgestaltung und zu datenschutzfreundlichen Voreinstellungen in Art. 25 DSGVO knüpft zwar an langjährige Diskussionen zum Datenschutzrecht an, darf aber als eine der wesentlichen Innovationen der DSGVO gelten.[31] Ein zentraler Schwachpunkt der Verordnung ist jedoch, dass sie die Anforderung datenschutzgerechten Systemgestaltung nach Abs. 1 nur an den Verantwortlichen richtet, nicht jedoch an den Systemhersteller. Der Verantwortliche ist jedoch oft darauf angewiesen, dass der Systemhersteller ihm datenschutzgerechte Gestaltungen anbietet. Ohne entsprechende Marktmacht kann er dies von ihm jedoch nicht einfordern. Da die Mechanismen des Marktes, auf die der Gesetzgeber vertraut, die Ziele des Gesetzes jedoch oft nicht unterstützen, ist es notwendig, eine Verpflichtung der Hersteller zu einer datenschutzgerechten Systemgestaltung in die DSGVO aufzunehmen.[32]

Das Gebot datenschutzfreundlicher Voreinstellungen in Art. 25 Abs. 2 DSGVO fordert vom Verantwortlichen geeignete technische und organisatorische Maßnahmen zu treffen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Die Regelung orientiert sich an der Zweckbestimmung des Verantwortlichen. Er kann durch die Wahl des Zweckes das Ziel des Gebots weitgehend unterlaufen. Daher sollte sich das Gebot auf die technischen Funktionen zur Bereitstellung der Hauptleistung gegenüber dem Verbraucher fokussieren. Maßstab der Datenschutzfreundlichkeit sollte diejenige Ausprägung des Verarbeitungszwecks sein, nach der so wenig personenbezogene Daten wie möglich verarbeitet werden. Damit würde auch Datenvermeidung zu einem wesentlichen Faktor der Voreinstellung von Technik und es findet eine Verlagerung von der subjektiven zur objektiven Erforderlichkeit statt.

5.4 Schutz perso­nen­be­zo­gener Daten von Kindern

Die DSGVO erklärt in ErwG 38 Satz 1 DSGVO, dass Kinder bei der Verarbeitung ihrer personenbezogenen Daten besonderen Schutz verdienen. Dieser soll insbesondere im Kontext der Verarbeitung für Werbezwecke und bei der Erstellung von Persönlichkeits- oder Nutzerprofilen gelten sowie bei Diensten, die Kindern direkt angeboten werden. Im Normtext selbst wird eine besondere Berücksichtigung von Kindern nur sehr abstrakt in Art. 6 Abs. 1 Uabs. 1 lit. f und Art. 12 Abs. 1 Satz 1 DSGVO gefordert, indem Kinder bei der Interessenabwägung und der Informationsaufbereitung besonders zu berücksichtigen sind. Die einzige speziell auf Kinder ausgerichtete Vorschrift ist Art. 8 DSGVO zur Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft, die jedoch nur auf solche Dienste Anwendung findet, die einem Kind direkt angeboten werden. Diese dient aber der Rechtssicherheit der Verantwortlichen und weniger dem Schutz der Kinder, deren Einwilligung – in manchen Mitgliedstaaten bereits ab 13 Jahren – unabhängig von ihrem Verständnishorizont wirksam wird. Der Schutz von Kindern erfolgt in der Verordnung nur punktuell und unspezifisch.[33]

Notwendig wäre, die DSGVO um folgende ausdrückliche Regelungen zum Schutz der Interessen von Kindern zu ergänzen: bei der Prüfung der Vereinbarkeit eines neuen Verarbeitungszwecks nach Art. 6 Abs. 4 DSGVO, beim Recht auf Widerspruch nach Art. 21 Abs. 1 und 6 DSGVO, in der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und bei einer notwendigen Neufassung der Altersregelung in Art. 8 Abs. 1 DSGVO. Ausdrücklich ausgeschlossen werden sollte die Verarbeitung von Kinderdaten für Werbezwecke und Profiling sowie die Einwilligung eines Kindes in automatisierte Entscheidungen nach Art. 22 Abs. 2 lit. c DSGVO und in die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 Abs. 2 lit. a DSGVO. In Art. 6 Abs. 1 Uabs. 1 lit f. DSGVO sollte die Abwägung berechtigter Interessen mit den Rechten und Freiheiten von Kindern präzisiert werden.

6. Der Blick nach vorne

Eine nüchterne Betrachtung der DSGVO bringt neben zahlreichen Verbesserungen auch handfeste Defizite zum Vorschein. In ihrer Evaluation der Verordnung hat sich die Europäische Kommission auf die Untersuchung ausgewählter Probleme ihrer Umsetzung beschränkt. Eine echte Bewertung und Überprüfung der Verordnung nach Art. 97 Abs. 1 Satz 1 DSGVO ist unterblieben. Stattdessen führt die Kommission ihre Auseinandersetzung mit den Mitgliedstaaten fort, deren Abweichungen von der Verordnung als „Goldstandard“[34] sie als eine Bedrohung empfindet. Dabei sind einige der in den Mitgliedstaaten erfolgten Abweichungen gerade mit dem Ziel erfolgt, bestehende Regelungslücken der Verordnung zu schließen und Defizite zu beheben. Im Ergebnis zementiert die Kommission die DSGVO – deren Konzeption bereits 10 Jahre alt ist, deren Entwurf durch die Kommission acht Jahre her ist und die bereits von fünf Jahren im Trilog ihre endgültige Form gefunden hat – mit all ihren Mängeln. Mag sein, dass die Kommission befürchtet hat, der über viele Jahre mühsam ausgehandelte Kompromiss könne erodieren, wenn sie an einzelnen Formulierungen rüttelt. Auch wollte sie wohl an der von ihr betriebenen Überhöhung der DSGVO als besonders gelungenes Gesetzeswerk festhalten. Dass sie nicht einmal eine Diskussion über eine künftige Evolution des Datenschutzrechts in der Europäischen Union angestoßen hat, ist jedoch in höchstem Maße zu bedauern. Sie hat damit die in der Verordnung selbst angelegte Chance einer regelmäßigen Weiterentwicklung zum Stichtag der ersten vorgesehenen Evaluation vertan. Dabei zeigt sich, dass eine Adressierung vieler Defizite der DSGVO bereits mit geringen textlichen Veränderungen erreicht werden könnte. Diese Änderungen würden sich in greifbaren Verbesserungen für die Verbraucher manifestieren.

Für die Kommission könnte ihr Vorgehen ins Gegenteil dessen umschlagen, was sie als Ziel vorgegeben hat. Die Diskussion über die Weiterentwicklung des Datenschutzrechts wird weitergeführt werden und notwendige Anpassungen werden möglicherweise auf mitgliedstaatlicher Ebene stattfinden. Die Androhung von Vertragsverletzungsverfahren angesichts des rechtspolitischen Versagens der Kommission vor den datenschutzrechtlichen Herausforderungen ist kein besonders „scharfes Schwert“ um die Mitgliedstaaten vor legislativen Innovationen abzuschrecken. Fragen der Harmonisierung des Datenschutzrechts und der Reichweite der siebzig Öffnungsklauseln der DSGVO werden dann eine umso größere Rolle spielen und zu einer Evolution der DSGVO zwingen.

PROF. DR. ALEXANDER ROßNAGEL   ist Seniorprofessor für öffentliches Recht an der Universität Kassel, Leiter der Projektgruppe verfassungsverträgliche Technikgestaltung (provet) im Wissenschaftlichen Zentrum für Informationstechnik-Gestaltung (ITeG) und Sprecher des Forums Privatheit.

DR. CHRISTIAN GEMINN   ist Lehrbeauftragter an der Universität Kassel, Geschäftsführer von provet und Mitglied des Forums Privatheit.

Anmerkungen:

1 Zur besseren Lesbarkeit des Textes wird auf die Aufzählung mehrerer Geschlechter verzichtet. Der
Begriff „Verbraucher“ und ähnliche Begriffe umfassen immer auch alle Personen anderen Geschlechts.

2 Art. 97 Abs. 2 DSGVO: „insbesondere”.

3 S. zu den Stellungnahmen ausführlich Roßnagel, DuD 2020, 287.

4 Communication from the Commission to the European Parliament and the Council, Data protection
as a pillar of citizens’ empowerment and the EU’s approach to the digital transition – two years
of application of the General Data Protection Regulation, COM(2020) 264 final (SWD(2020) 115 final).

5 S. hierzu Geminn, DVBl. 2018, 1593; Fujiwara/Geminn/Roßnagel, ZD 2019, 204.

6 Jourová, Pressemitteilung der Europäischen Kommission vom 24.6.2020.

7 Dieser wird ergänzt um ein inoffizielles Commission Staff Working Document von 52 Seiten.

8 COM(2020) 264 final, 4.

9 Art. 8 Abs. 1 Satz 3 DSGVO.

10 S. hierzu ausführlich Roßnagel, Das künftige Datenschutzrecht in Europa, in: ders., Das neue Datenschutzrecht,
Europäische Datenschutz-Grundverordnung und deutsche Datenschutzgesetze,
2018, 27 ff.

11 S. zu den Innovationen der DSGVO Roßnagel, DuD 2019, 467 ff. sowie den Schwerpunkt des Heftes 8
der DuD 2019.

12 Der Beitrag basiert auf einem Gutachten der Autoren im Auftrag des Bundesverbands der Verbraucherzentralen
(vzbv); s. Roßnagel/Geminn, Datenschutz-Grundverordnung verbessern, 2020.

13 COM(2020) 264 final, 8.

14 So schon das inoffizielle Label des Art. 20 DSGVO im Gesetzgebungsprozess.

15 Roßnagel, Verbraucherrechte im Datenschutz verwirklichen – ein Überblick, in: Brönneke/Willburger/
Bietz, Verbraucherrechte verwirklichen! Der richtige Instrumentenmix für einen wirkungsvollen
Verbraucherrechtsvollzug, 299 ff.

16 COM(2020) 264, 14.

17 S. Roßnagel, MMR 2020, 222 ff.

18 S. Roßnagel/Geminn, Datenschutz-Grundverordnung verbessern, 2020, 76 ff.

19 S. Westphal/Wichtermann, ZD 2019, 191 (192).

20 S. Roßnagel, DuD 2018, 741 (745).

21 Artikel 29-Datenschutzgruppe, Leitlinien in Bezug auf die Einwilligung, WP 259 rev. 01, 27.

22 S. hierzu auch Roßnagel u.a., Einwilligung: Möglichkeiten und Fallstricke aus der Konsumentenperspektive,
Whitepaper des „Forums Privatheit und selbstbestimmtes Leben in der digitalen Welt,
2020.

23 S. die Regelungsvorschläge in Roßnagel/Geminn, Datenschutz-Grundverordnung verbessern, 2020,
115 ff.

24 Vor allem in ihrem Kapitel IV stellt die DSGVO die Pflichten der Verantwortlichen unter Risikovorbehalt
– s. z.B. Art. 24, 25, 30, 32, 33, 34, 35, 36 und 37 DSGVO – mit der Folge, dass in der Praxis diese
Pflichten nur für einen Bruchteil der Verantwortlichen tatsächlich wirksam werden – s. hierzu
auch Albrecht, CR 2016, 88 (94); Roßnagel, DuD 2016, 561 (565); Roßnagel, Notwendige Schritte zu
einem modernen Datenschutzrecht, in: Roßnagel/Friedewald/Hansen, Die Fortentwicklung des
Datenschutzrechts, 2018, 361 (375f.).

25 S. ErwG 15 Satz 1 DSGVO.

26 S. grundsätzlich Roßnagel, Technikneutrale Regulierung: Möglichkeiten und Grenzen, in: Eifert/
Hoffmann-Riem, Innovationsfördernde Regulierung, 2009, 323 ff.

27 S. Roßnagel, ZD 2020, 88 ff.

28 Für weitere Verbesserungsvorschläge s. Roßnagel/Geminn, Datenschutz-Grundverordnung verbessern,
2020, 115 ff.

29 S. näher Roßnagel, in: Simitis/Hornung/Spiecker, Datenschutzrecht, 2019, Art. 5 Rn. 44 ff.

30 S. beispielhaft Engeler/Quiel, NJW 2019, 2201; Wybitul/Brams, NZA 2019, 672; Brink/Joos, ZD 2019,
483; Weik, DuD 2020, 98.

31 S. z.B. Roßnagel, DuD 2019, 467 ff.

32 S. hierzu die Konferenz der unabhängigen Datenschutzaufsichtsbehörden, Erfahrungsbericht,
2019, 16f.

33 S. hierzu Roßnagel, ZD 2020, 88.

34 Albrecht, CR 2016, 98.

Der Beitrag Zwei Jahre Datenschutz-Grundverordnung – eine Bilanz aus Verbrauchersicht erschien zuerst auf Humanistische Union.

Es ist mittlerweile über zwei Jahre her, dass die Datenschutz-Grundverordnung (DSGVO) durch ihre Geltung ab dem 25. Mai 2018 nicht nur in Deutschland, sondern auch international einen Lichtpunkt in Sachen Datenschutz gesetzt hat. Obwohl sie schon 2016 in Kraft trat, traf die Verordnung nach Ablauf der Übergangsfrist im Mai 2018 viele Stellen unvorbereitet. Gerade mittelständische und kleine Unternehmen, aber auch Vereine wurden durch die Umsetzungsmaßnahmen – in Relation zu ihrer Größe – stark belastet. Nun ist die Verordnung zwar noch nicht in die Jahre gekommen, dennoch stand bereits ihre erste Evaluierung an. Gesetzesevaluierungen dienen der Identifizierung von Systemfehlern sowie Anwendungs- und Umsetzungsproblemen. Die Gesetze werden dabei in Bezug auf Angemessenheit und praktische Wirksamkeit überprüft. Eine gut durchgeführte, umfassende Überprüfung bietet die Chance, gesetzliche Regelungswerke strukturell zu verbessern und ihre Anwendung zu effektivieren.

A. Der Prozess der ersten Evaluierung der DSGVO

Gemäß Artikel 97 Absatz 1 DSGVO sollte die Europäische Kommission dem Europäischen Parlament und dem Rat bis zum 25. Mai 2020 – exakt zwei Jahre nach Geltungsbeginn – einen Bericht über die Bewertung und Überprüfung der Grundverordnung vorlegen.ⁱ Der Termin wurde von der Europäischen Kommission auch nahezu eingehalten, die Europäische Kommission veröffentlichte ihren Bericht am 24. Juni 2020.ⁱⁱ Der Bericht der Europäischen Kommission trägt den Titel „Datenschutz als Grundpfeiler der Teilhabe der Bürgerinnen und Bürger und des Ansatzes der EU für den digitalen Wandel – zwei Jahre Anwendung der Datenschutz-Grundverordnung“. Bereits dieser Titel veranschaulicht, welch hoher Stellenwert der Ausübung der Rechte durch die von der Verarbeitung betroffenen Personen für das Funktionieren unserer freiheitlichen demokratischen Gesellschaft zukommt.

Ein gesetzlicher Evaluierungsprozess ist üblicherweise mit weitreichenden Befragungen der anwendenden Stellen und Anhörungen der betroffenen Verbände verbunden. Gemäß Artikel 97 Absatz 3 DSGVO können auch jeweils die Datenschutzaufsichtsbehörden um Informationen über die Erfahrungen in der Anwendung der Verordnung befragt werden. Hierauf wollten die deutschen Datenschutzaufsichtsbehörden vorbereitet sein und haben proaktiv einen Bericht mit den wichtigsten Erfahrungen aus der aufsichtsbehördlichen Praxis und konkreten Vorschlägen zur Überarbeitung der DSGVO erstellt. Dazu wurde im Rahmen der „Datenschutzkonferenz der unabhängigen Aufsichtsbehörden des Bundes und der Länder (DSK)“ ein spezieller Unterarbeitskreis eingerichtet, in dem der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) den Vorsitz führte. Dieser hat im Rahmen seiner Evaluierungsbemühungen auch deutsche Vereinigungen und Verbände angehört.ⁱⁱⁱ

B. Die Evaluierung im Mehre­be­nen­system der Europä­i­schen Union

Bei einem so komplex aufgebauten Staatenverbund wie der Europäischen Union sind im Rahmen von Evaluierungsprozessen immer verschiedene Perspektiven abzufragen und zu einem Gesamtergebnis zu vereinen. Einerseits hat die Europäische Kommission als Organ der Europäischen Union eine autonom europäisch geprägte Perspektive, welche die Anwendung der DSGVO in allen Mitgliedstaaten im Blick hat. Andererseits liegen bei den nationalen Aufsichtsbehörden wertvolle Praxiserfahrungen in der nationalen Umsetzung der Verordnung vor. Die Evaluation der DSGVO könnte diese Perspektiven bzw. Systemebenen miteinander verzahnen, etwa durch eine Anhörung der anwendenden Behörden. Eine solche Anhörung ist im Evaluationsverfahren (bisher) nicht verpflichtend normiert. Sie würde den Praxisbezug der Evaluationsergebnisse jedoch deutlich verbessern. Deshalb sollten die nationalen Aufsichtsbehörden in künftigen Evaluierungsprozessen angehört werden, sodass an dieser Stelle eine normierte Beteiligungspflicht durchaus Sinn ergäbe.

I. Die Anwen­dungs­er­fah­rungen der deutschen Aufsichts­be­hörden – Der Bericht der Daten­schutz­kon­fe­renz

Der Erfahrungsbericht der deutschen Aufsichtsbehörden^iv enthält folgende Schwerpunkte:

• Alltagserleichterung & Praxistauglichkeit,

• Datenpannenmeldungen,

• Zweckbindung,

• Data Protection by Design,

• Befugnisse der Aufsichtsbehörden & Sanktionspraxis,

• Zuständigkeitsbestimmungen, Zusammenarbeit & Kohärenz,

• Direktwerbung,

• Profiling und

• Akkreditierung.

Zum Bericht gehört ferner die angehängte, von der DSK am 3. April 2019 beschlossene „Hambacher Erklärung zur künstlichen Intelligenz“.^v Der Bericht wurde kontinuierlich fortentwickelt, sodass sich in der Endversion unter dem Abschnitt „Alltagserleichterung & Praxistauglichkeit“ nun viele relevante Ausführungen zu den Transparenzanforderungen der Verordnung finden.^vi Dieser und auch der Abschnitt zu „Data Protection by Design“ sind besonders relevant für kleine Organisationen, die als verantwortliche Stellen von der Verordnung betroffen sind. Diese beiden Abschnitte sollen daher im Folgenden schwerpunktmäßig diskutiert werden. Daneben spielen auch die Fragen der Zuständigkeit, Zusammenarbeit und Kohärenz für die zu erwartenden aufsichtsbehördlichen Entscheidungen eine wichtige Rolle.

1. Alltags­er­leich­te­rung und Praxi­s­taug­lich­keit

Dass Alltagserleichterungen und Praxistauglichkeit der DSGVO als erste Punkte im Erfahrungsbericht der Datenschutzkonferenz besprochen werden, zeigt bereits den hohen Stellenwert, den die deutschen Aufsichtsbehörden diesen Themen zuordnen. Insgesamt sehen sie im Bereich von Artikel 13 und 14 DSGVO aufgrund der weitreichenden Verpflichtungen Umsetzungsprobleme in der Praxis. Es wird daher der Vorschlag gemacht, dass allgemeine Informationen über die jeweiligen Datenverarbeitungsprozesse und deren Gegenstand und Zweck an allgemein zugänglichen Orten wie der Unternehmensinternetseite ausreichen sollen, wenn konkrete Informationen auf Nachfrage bereitgestellt werden.^vii

Daneben werden Klarstellungen bezüglich des Rechts auf Kopie aus Artikel 15 Absatz 3 DSGVO verlangt^viii und erhebliche Belastungen für kleine und mittelständische Unternehmen wie auch Vereine, etwa durch die sehr weitreichende Pflicht zur Meldung eines Datenschutzbeauftragten, gesehen. Hier schlagen die deutschen Aufsichtsbehörden vor, dass die Meldung der bestellten Datenschutzbeauftragten komplett entfallen soll.^ix Dies ist insbesondere zu unterstützen, da sich die Person der Datenschutzbeauftragten kurzfristig ändern kann und so nicht bei jeder Neuzuweisung von Aufgabengebieten eine neue Datenschutzbeauftragte gemeldet werden muss.

2. Data Protection by Design

Unter den Themenschwerpunkt „Data Protection by Design“ fällt die Problematik, dass beispielsweise Hersteller von Software-Produkten von der DSGVO nicht hinreichend adressiert werden. Hersteller von Anwendungsprogrammen, in denen personenbezogene Daten verarbeitet werden, werden durch die DSGVO insgesamt nicht ausreichend in die Pflicht genommen. Darunter leidet die praktische Wirksamkeit der Verordnung. Hersteller, Lieferanten, Importeure, Verkäufer und ähnliche sollten im Datenschutzrecht so stark in die Pflicht genommen werden wie im Produkthaftungsrecht (vgl. ProdHaftG bzw. RL 85/374/EWG). Nach der RL 85/374/EWG (harmonisiertes Produkthaftungsrecht) haften Hersteller für Schäden, die durch ihre Produkte entstanden sind. Diese Regelung wäre auf den Bereich des Datenschutzrechtes übertragbar. Die Datenschutzkonferenz schlägt daher eine Änderung der Verordnung vor, in der der Begriff des „Herstellers“ definiert und dieser auch zum Adressat des Pflichtenkatalogs der DSGVO gemacht wird. Zudem soll die Verordnung um Haftungsregelungen ergänzt werden.^x

3. Zustän­dig­keit, Zusam­me­n­a­r­beit und Kohärenz

Die Aufsichtsbehörden fordern zur sinnvollen Wahrnehmung ihrer Aufgaben eine Verlängerung der Fristen in den Kapiteln V (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen) und VII (Zusammenarbeit und Kohärenz) der DSGVO. Das ist auch für die davon betroffenen Unternehmen relevant. Im Kooperations- und Kohärenzverfahren fordert die DSK einerseits eine Verlängerung aller Fristen um 50 %. Auf der anderen Seite wird aber auch eine Verfahrensbeschleunigung dadurch angestrebt, dass auf einen Beschlussentwurf nach Artikel 64 Absatz 7 DSGVO nicht automatisch eine Stellungnahme des Europäischen Datenschutzausschusses erfolgt. Die DSK fordert hier eine Vier-Wochen-Frist. Sollte keine Äußerung des Ausschusses erfolgen, soll von einer Zustimmung ausgegangen werden.^xi

Auch die weiteren Schwerpunkte des DSK-Berichts enthalten konkrete Vorschläge zur Optimierung der DSGVO und geben die Erfahrungen der Aufsichtsbehörden wieder. Das Prüfprogramm unterscheidet sich aber durchaus von dem der Europäischen Kommission, was an den unterschiedlichen Stellungen der Akteure im europäischen System liegt.

II. Der Evalu­ie­rungs­be­richt der Europä­i­schen Kommission

Artikel 97 Absatz 2 DSGVO gibt der Europäischen Kommission vor, im Rahmen ihrer Bewertungen und Überprüfungen der Verordnung insbesondere die Anwendung und Wirkungsweise der soeben genannten Kapitel V und Kapitel VII zu prüfen. Auf diesen Prüfauftrag ist sie aber nicht beschränkt, er beschreibt nur das Mindestprüfprogramm der Europäischen Kommission.

1. Was bereits passiert ist

In ihrem Evaluierungsbericht lobt die Kommission die Datenschutzaufsichtsbehörden für ihren ausgewogenen Gebrauch von Aufsichtsbefugnissen, inklusive der Verhängung von Bußgeldern. Positiv bewertet sie auch, dass viele Fälle mit grenzüberschreitendem Bezug (also solche, die mehr als einen EU-Mitgliedsstaat betreffen) mithilfe des sogenannten „One-Stop-Shop“-Mechanismus über das Binnenmarktinformationssystem der EU (IMI) bearbeitet werden konnten.^xii

Zudem hebt sie die Tätigkeiten des Europäischen Datenschutzausschusses (EDSA) und die von ihm erstellten Leitlinien hervor, die von entscheidender Bedeutung für den Austausch zwischen dem EDSA und den Interessenträgern seien.^xiii Ende 2019 hatte der EDSA 67 Dokumente, darunter zehn neue Leitlinien und 43 Stellungnahmen, angenommen. Bis zur Plenarsitzung des Ausschusses am 15. Dezember 2020 kamen noch einmal zehn Leitlinien und 28 Stellungnahmen hinzu.^xiv

Die Datenschutz-Grundverordnung hat laut Kommission zu einer erhöhten Kenntnis der Datenschutzrechte durch die Bevölkerung und einer verstärkten Geltendmachung ihrer Rechte geführt. Dazu leisteten vor allem diejenigen Datenschutzaufsichtsbehörden einen großen Beitrag, die es auch nach Inkrafttreten der DSGVO als eine ihrer Aufgaben erachten, Bürger*innen, Unternehmen und öffentlichen Stellen beratend zur Seite zu stehen. Allerdings hängt die Möglichkeit einer Beratung (wie auch die übrige Arbeit) von den Ressourcen ab, welche den Aufsichtsbehörden zur Verfügung gestellt werden. Hier blickt die Kommission auf eine Personal- und Mittelaufstockung seit 2016 zurück, von der die meisten Behörden profitiert hätten. Angesichts der Tatsache, dass die größten multinationalen Technologieunternehmen in Irland und Luxemburg niedergelassen sind, fungieren die dortigen Behörden in vielen der oben angesprochenen grenzüberschreitenden Fälle als federführende Behörden.^xv Aufgrund der langen Verfahrensdauern dieser paneuropäischen Fälle ist jedoch fraglich, ob zum Beispiel die von der Kommission betonte große Personalaufstockung bei der irischen Aufsichtsbehörde bis 2019 ausreichend war, wenn die finanzielle Aufstockung verhältnismäßig dahinter zurückbleibt. Für das Jahr 2020 erhielt die irische Data Protection Commission etwa weniger als ein Drittel des beantragten Budgets.^xvi

Als große Praxishilfe sieht die Kommission das Betroffenenrecht auf Datenübertragbarkeit an und lobt die Möglichkeiten für Datenverarbeitende, durch Verhaltensregeln, Standardvertragsklauseln und künftig die Zertifizierung wirksame Instrumente für Datenschutzkonformität nutzen zu können.^xvii

Über die Evaluierung der Angemessenheitsbeschlüsse für Datentransfers in Drittstaaten erstattet die Kommission gesondert Bericht, da sie das mittlerweile in der Rechtssache C-311/18 ergangene Urteil („Schrems II“) des Europäischen Gerichtshofs^xviii abwarten wollte.

Weiteren Handlungsbedarf sieht die Kommission zum einen bei der Harmonisierung. Eine derartige Verbesserung bei der Arbeit der Aufsichtsbehörden fordert sie zum Beispiel beim Begriff der Beschwerde, den Bearbeitungsfristen und dem Recht auf rechtliches Gehör. Zum anderen sollen weitere Leitlinien des Ausschusses für die Praxis erarbeitet und die Anforderungen an die Technikgestaltung erhöht werden.^xix

Dem Ruf nach einer möglichen generellen Lockerung der datenschutzrechtlichen Anforderungen für kleine und mittelständische Unternehmen erteilt die Kommission in ihrem Evaluierungsbericht eine klare Absage. Aus dem risikobasierten Ansatz gehe hervor, dass Abweichungen auf der Grundlage der Größe des Wirtschaftsteilnehmers ungeeignet wären, da allein die Unternehmensgröße keine Aussage über die Risiken für Verbraucher*innen hinsichtlich der von den Unternehmen durchgeführten Verarbeitung personenbezogener Daten zulasse.^xx In der Tat macht es für betroffene Personen regelmäßig keinen Unterschied, ob ein ihre Daten berührender Verstoß nun von einem kleineren Unternehmen oder einem großen Konzern begangen wurde.

Allerdings kündigt die Kommission eine Prüfung an, ob es – im Lichte weiterer Erfahrungen und der einschlägigen Rechtsprechung – angebracht sein könnte, künftige gezielte Änderungen bestimmter Regelungen der DSGVO vorzuschlagen. Als Beispiel werden insbesondere Verzeichnisse von Verarbeitungstätigkeiten von KMU (Kleinen und Mittleren Unternehmen) genannt, deren Kerngeschäft nicht die Verarbeitung von personenbezogenen Daten ist.^xxi

2. Wo noch Handlungs­be­darf besteht

Weiteren Handlungsbedarf der Aufsichtsbehörden identifiziert die Kommission bei den bisher ungenutzt gebliebenen gemeinsamen Maßnahmen nach Artikel 62 DSGVO.^xxii Diese gestatten den Datenschutzbehörden unter anderem gemeinsame Untersuchungen und Durchsetzungsmaßnahmen. Auch solle der Austausch auf internationalem Level weiter gestärkt werden. Entscheidend für den Schutz der Bevölkerung sei zudem eine strenge und wirksame Durchsetzung der DSGVO gegenüber großen digitalen Plattformen.^xxiii

Zu Recht betont die Kommission, dass der Schutz personenbezogener Daten Alleinstellungsmerkmal auf dem Weltmarkt ist und von vielen Unternehmen bereits als Verkaufsargument genutzt wird.^xxiv Dies ist ein Faktor, der auch kleinen und mittelständischen Unternehmen durchaus zugutekommen kann – sieht man von den unter Umständen hohen Entwicklungskosten ab. Vereine haben jedoch keinen Bedarf, sich auf dem Weltmarkt zu behaupten. Auf die häufig noch höheren Herausforderungen der DSGVO-Umsetzung für ehrenamtlich Engagierte geht die Kommission in ihrem Bericht bedauerlicherweise an keiner Stelle ein.

3. Weitere Schritte

Als weitere Schritte nennt der EU-Evaluierungsbericht schließlich die Identifizierung divergierender nationaler Regelungen und die Bewertung möglicher Folgen dieser Divergenz. Insbesondere müsse eine Balance zwischen Datenschutz und Meinungs- bzw. Informationsfreiheit gefunden werden.^xxv Hierbei handelt es sich um einen recht deutlichen Hinweis in Richtung derjenigen Mitgliedsstaaten, deren Regierungen in den letzten Jahren verstärkt durch eine Unterdrückung von Personen aus Opposition, Nichtregierungsorganisationen und Medien auf sich aufmerksam gemacht haben.

Eine weitere Harmonisierung des Datenschutzrechts solle durch Schaffung einer europäischen Datenschutzkultur erreicht werden. Zudem fordert die Kommission die Aufsichtsbehörden auf, alle Instrumente für eine effiziente Anwendung der DSGVO für Betroffene und Unternehmen zu nutzen. Schließlich sollen Standardvertragsklauseln, Zertifizierungsmechanismen, etc. überarbeitet werden.^xxvi

C. Vergleich der Evaluierung in den verschie­denen Recht­sebenen

Wie bereits angesprochen wirken sich die unterschiedlichen Funktionen der beteiligten Akteure auf deren Standpunkte im Rahmen des Evaluierungsprozesses aus.

I. Vergleich der verschie­denen Perspek­tiven

Vergleicht man die verschiedenen Perspektiven, springt zunächst folgendes Statement des Kommissionsberichts ins Auge: „Wie die meisten Interessenträger und Datenschutzbehörden ist die Kommission der Ansicht, dass es in diesem Stadium verfrüht wäre, endgültige Schlussfolgerungen in Bezug auf die Anwendung der DSGVO zu ziehen.“^xxvii

Dies sieht man jedenfalls in Deutschland, und erst recht in Baden-Württemberg anders.^xxviii Wie oben ausgeführt blickt die Datenschutzkonferenz aus aufsichtsbehördlicher und praxisorientierter Sicht auf die DSGVO. Unabhängig von der Abfrage der Kommission zur Evaluierung an die Aufsichtsbehörden über den Europäischen Datenschutzausschuss identifiziert die DSK bereits jetzt konkreten Anpassungsbedarf und sandte entsprechende Änderungsvorschläge nach Brüssel,^xxix die aber nicht aufgegriffen wurden.

Während die Datenschutzkonferenz in ihrem Bericht auch einen kritischen Blick auf die letzten zwei Jahre wirft und sich dabei nicht scheut, einige Änderungsvorschläge zu äußern, beschränkt sich die Kommission vor allem darauf, Forderungen an die Mitgliedsstaaten und deren Aufsichtsbehörden zu stellen. So fordert sie die Staaten auf, ihren Aufsichtsbehörden gemäß den Vorgaben der Verordnung angemessene Ressourcen zur Verfügung zu stellen.^xxx Die Aufsichtsbehörden werden angeregt, die Instrumente der DSGVO in vollem Umfang zu nutzen, um eine wirklich gemeinsame europäische Datenschutzkultur zu entwickeln.^xxxi Den Europäischen Datenschutzausschuss und die nationalen Aufsichtsbehörden ersucht man, neben der Verabschiedung weiterer Leitlinien praktische Instrumente wie einheitliche Formulare für Datenpannen und vereinfachte Verarbeitungsverzeichnisse für KMU mit geringem Risiko zu entwickeln.^xxxii

II. Wie geht es jetzt weiter?

Im Evaluierungsbericht der Kommission stellt diese selbst fest, dass einige Bereiche ermittelt wurde, in denen weitere Verbesserungen erforderlich sind.^xxxiii Zum Teil können diese Verbesserungen aber nicht durch Änderungen oder Hilfestellungen bei der Anwendung der DSGVO herbeigeführt werden. Auch aus der Anwendungsperspektive ist die deutliche Absage der Kommission hinsichtlich einer möglichen „kleinen“ DSGVO-Reform daher zu bedauern, wenngleich sie nicht überraschend kommt.

Fraglich ist, wie lange es dauern soll, bis die erforderlichen Änderungen an der DSGVO vorgenommen werden. Die Kommission beruft sich unter anderem auf die bislang fehlende Rechtsprechung.^xxxiv Bedenkt man jedoch die lange Verfahrensdauer alleine vor deutschen Gerichten, bei denen der Zug durch die Instanzen mitunter länger als ein Jahrzehnt dauert, so steht bei einem Warten auf „gefestigte Rechtsprechung“ zu befürchten, dass es in der angebrochenen Dekade keine Änderung der DSGVO mehr geben wird. Die Urteile, welche der Europäische Gerichtshof seit Inkrafttreten der DSGVO im Rahmen von Vorabentscheidungsverfahren zwischen Juni 2018 und Oktober 2019 gefällt hat (zum Beispiel Wirtschaftsakademie, Fashion ID, Planet49), betrafen noch überwiegend das alte Recht nach der Datenschutzrichtlinie.^xxxv Immerhin geht der EuGH dabei am Rande auch auf das aktuelle Recht ein. Erst das Urteil Schrems II aus dem Sommer 2020 beschäftigt sich dagegen ausführlich mit der Datenschutzgrundverordnung.^xxxvi

Aus der Perspektive der Anwender betrachtet ist es fraglich, ob die von der Kommission angesprochene Gefahr einer Fragmentierung^xxxvii nicht viel größer ist, wenn die Mitgliedsstaaten in Ermangelung nötiger, allgemeingültiger Änderungen der DSGVO auf eigene Faust beginnen, Regelungen zu lockern. Offen bleibt auch, wie dem Ziel der DSGVO nach einer Harmonisierung Rechnung getragen werden kann, wenn die Kommission eine Entlastung zwar begrüßt, es sich dabei in Wirklichkeit aber um einen „Flickenteppich von Entlastungen“ auf Ebene der Aufsichtsbehörden der Mitgliedsstaaten bzw. deren Bundesländer handelt.

Einzelne nationale Regelungen, welche die Chance einer Vorbildfunktion beim Hineintragen datenschutzrechtlichen Wissens in die Unternehmen gehabt hätten, wurden bereits wieder gelockert. Dazu zählt in Deutschland allen voran die Verdopplung der Personenzahl, die regelmäßig personenbezogene Daten verarbeitet, damit Datenschutzbeauftragte zu benennen sind (nunmehr zwanzig statt zehn, § 38 BDSG). Hierbei handelt es sich um eine Regelung des deutschen Gesetzgebers, die gerade nicht von der DSGVO vorgegeben wird. Die DSGVO verpflichtet in Artikel 35 in weitaus weniger Fällen zur Benennung. Dennoch hätte eine Stärkung der Rolle der Datenschutzbeauftragten die von der Kommission gewünschte europäische Datenschutzkultur stärken können. Datenschutzbeauftragte sind die ersten Ansprechpartner*innen bei der datenschutzrechtlichen Bewertung bestehender und der Einführung neuer Systeme und Produkte. Unternehmen wie Vereine stehen bereits bei häufigen Wechseln der Datenschutzbeauftragten vor Herausforderungen, da ihnen dann Wissen verloren geht. Ebenso stellt sich für Datenschutzbeauftragte die nicht immer einfache Aufgabe, Geschäftsführung oder Vorsitzende von notwendigen Maßnahmen zu überzeugen. Auf die Änderung des Bundesdatenschutzgesetzes reagierten einige Unternehmen, indem sie ihre internen Datenschutzbeauftragten abberiefen bzw. die Verträge mit externen Dienstleistungsunternehmen für Datenschutz kündigten. Selbst wenn die Datenschutzbeauftragten seit Inkrafttreten der DSGVO alle Dokumentationen wie Verarbeitungsverzeichnisse und Löschkonzepte erstellt hätten, ist die Annahme illusorisch, danach sei ihre Arbeit abgeschlossen. Datenschutz ist eine Daueraufgabe, die nicht durch Abheften der Dokumente erledigt ist. Die Aufsichtsbehörden sind, auch wenn sie der Beratung einen hohen Stellenwert einräumen, nicht in der Lage, das im Unternehmen verloren gehende Wissen aufzufangen.

Verständlich ist dagegen der im Rahmen der durch den Landesbeauftragten für den Datenschutz und die Informationsfreiheit in Baden-Württemberg durchgeführten Anhörung vielfach geäußerte Wunsch nach einer Ausnahme von der Benennungspflicht für Datenschutzbeauftragte für ausschließlich ehrenamtlich, nicht wirtschaftlich tätige Vereine.^xxxviii An jene sollten in dieser Frage nicht derart hohe Anforderungen gestellt werden.

Eine tatsächlich identifizierte „Lücke“ der DSGVO, die alle Verantwortlichen betrifft und zu unterschiedlichen Maßstäben für große und kleine Unternehmen führt, ist die mangelnde Herstellerhaftung. Mit den Grundsätzen „data protection by design“ (in der deutschsprachigen DSGVO-Version etwas unglücklich mit „Datenschutz durch Technik“ übersetzt) und „data protection by default“ (datenschutzfreundliche Voreinstellungen) stellt die Verordnung Forderungen auf, die Verantwortliche in die Pflicht nehmen, jedoch bereits durch die für die Herstellung Zuständigen in deren Produkte integriert werden müssten. Entsprechend der erhaltenen Rückmeldungen aus der Anhörung vertritt der baden-württembergische LfDI noch über die Position der Datenschutzkonferenz hinausgehend die Auffassung, dass die Kontrollbefugnis der Aufsichtsbehörden auch auf jene Unternehmen ausgeweitet werden sollte, die datenverarbeitende Produkte herstellen, und sich nicht auf die Kontrolle derjenigen beschränken sollte, die diese Produkte nutzen.^xxxix

D. Fazit

Auch wenn Akteure auf allen Rechtsebenen festgestellt haben, dass kleine und mittelständische Unternehmen durch die DSGVO teilweise über die Maßen belastet werden, ist eine Reform ihrer rechtlichen Pflichten aus der DSGVO derzeit nicht in Sicht. Lockerungen darf man in diesem Bereich in den nächsten Jahren höchstens durch die Vorgaben des Europäischen Datenschutzausschusses – oder durch die Datenschutzaufsichtsbehörden auf nationaler und Länderebene erwarten. Auch die Frage der Herstellerhaftung müsste dringend angegangen werden, um das datenschutzrechtliche System ausgeglichener und gerechter auszugestalten. Der Verweis auf die Aufsichtsbehörden und deren überaus lange Bearbeitungsdauer bei länderübergreifenden Verfahren gegen globale Datenverarbeiter sollte als eine Chance zur Effektivierung der bestehenden Prozesse verstanden werden. Dies wird aber kein Allheilmittel zur Optimierung eines teilweise asymmetrisch ausgestalteten Systems sein. Es steht zu hoffen, dass wenigstens einige dieser Probleme bis zur nächsten Evaluierung in vier Jahren überwunden werden.

MARIA WILHELM ist Leiterin der Stabsstelle Europa beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit (LfDI) in Baden-Württemberg. Sie lehrte als Honorardozentin an der Fachhochschule für öffentliche Verwaltung (FHöV) des Landes Nordrhein-Westfalen und der Hochschule des Bundes im Fachbereich Finanzen Europarecht. Neben ihrer hauptberuflichen Tätigkeit im Bereich des europäischen Datenschutzrechts wirkt sie an mehreren Fachpublikationen mit.

KIRA VOGT LL.M., E.MA, ist Referentin der Stabsstelle Europa beim LfDI Baden-Württemberg. Zuvor war sie als Rechtsanwältin und externe Datenschutzbeauftragte tätig. Sie ist Lehrbeauftragte im Datenschutz an der Hochschule für Wirtschaft und Umwelt (HfWU).

Anmerkungen:

Der Beitrag Goldstandard DSGVO: Zu hohe Datenschutzanforderungen für Vereine und kleine Unternehmen? erschien zuerst auf Humanistische Union.

1. Digitale Dateni­so­la­tion als persön­lich­keits­recht­li­ches Schutz­kon­zept

Wie kaum ein anderer juristischer Begriff hat das „Recht auf Vergessenwerden“ in den letzten Jahren auch im öffentlichen und rechtspolitischen Diskurs hohe Wellen geschlagen. Verwunderlich ist dies nicht, denn das Schlagwort trifft einen Nerv: Bildhaft beschreibt es das immer drängendere und allseits spürbare Bedürfnis, angesichts überbordender personenbezogener Datenverarbeitung und dem einhergehenden Kontrollverlust über die eigene Außendarstellung ein wirkungsvolles Gegengewicht zu schaffen. Um das Allgemeine Persönlichkeitsrecht gegenüber der ubiquitären und zeitlich unbegrenzten Verfügbarkeit von Informationen wehrhaft zu machen, sollen Inhalte der digitalen Öffentlichkeit mit zunehmendem Zeitablauf und abnehmendem gesellschaftlichen Interesse wieder entzogen und insoweit „vergessen“ werden.

Liegt die Notwendigkeit effektiver Schutzinstrumente somit auf der Hand, ist die Umsetzung eines solchen Ansatzes aber seit jeher problembehaftet. So wird zum einen schlicht die technische Machbarkeit bezweifelt. Zum anderen schützt die Löschung bzw. Beschränkung von Inhalten nicht nur einseitig die Privatheit, sondern kollidiert gleich mit einer Mehrzahl an gegenläufigen, grundrechtlich verbürgten Interessen. Dem Persönlichkeitsrecht stehen insbesondere mit Meinungs-, Presse- und Informationsfreiheit zentrale demokratische Grundwerte gegenüber.

Das „Recht auf Vergessenwerden“ wirft somit zwangsläufig komplexe Fragen der technischen und rechtlichen Ausgestaltung auf, denen sich Rechtsprechung und Gesetzgebung seit einigen Jahren angenommen und die auch die Entwicklung der DSGVO begleitet haben. Nachdem sich die Debatte zunächst wenig ergiebig darauf konzentriert hatte, wie digitale Inhalte nach ihrer Veröffentlichung wieder getilgt, unbrauchbar gemacht oder mit programmierten Verfallsdaten versehen werden könnenⁱ, verlagert sich die juristische Auseinandersetzung seit einigen Jahren schwerpunktmäßig auf die Rolle von Suchmaschinenbetreibern. An dieser Achillesverse des Internets wird der sonst kaum greifbare digitale Datenbestand gebündelt, organisiert und für die Nutzer aufbereitet. So erwächst durch die Möglichkeit einer zielgenauen, namensbezogenen Abfrage personenbezogener Daten zwar einerseits eine besondere persönlichkeitsrechtliche Gefährdungslage. Andererseits jedoch können durch die Ausblendung kompromittierender Suchergebnisse bestimmte Inhalte der öffentlichen Wahrnehmung auch effektiv entzogen werden. Ziel ist mithin nicht die Löschung, sondern die digitale Isolation unveränderter, aber zeitlich und modal überkommener Beiträge.

Anstoß hierfür hatte im Jahr 2014 der EuGH gegeben, der einen Anspruch auf Löschung von Suchmaschinenergebnissen bejaht und damit erstmals eine Ausprägung des „Rechts auf Vergessenwerden“ richterrechtlich anerkannt hatte.ⁱⁱ Seitdem ist ein dynamischer Prozess im Gang, der dem Rechtsinstitut immer schärfere Konturen verleiht.

2. Das „Google-­Ur­teil“ des EuGH

Ausgangspunkt dieser langjährigen Entwicklung war eine Beschwerde des Spaniers Costeja González bei der nationalen Datenschutzbehörde. Ein bei Eingabe seines Vor- und Nachnamens aufgeführtes Suchresultat hatte auf einen aus dem Jahre 1998 datierenden Zeitungsartikel verwiesen, in dem die Zwangsversteigerung seines Hauses bekannt gegeben worden war. Nachdem die Behörde einen Anspruch auf Löschung des hierauf verweisenden Suchergebnisses gegenüber Google anerkannt und das Unternehmen hiergegen Klage erhoben hatte, äußerte sich der EuGH im Rahmen eines Vorabentscheidungsverfahrens.

Der Gerichtshof hob zunächst die besonders grundrechtssensible Tätigkeit von Suchmaschinen hervor, die maßgeblich zur Auffindbarkeit personenbezogener Daten beitragen und durch einen strukturierten, potentiell profilbildenden Überblick die Außendarstellung der Betroffenen prägen würden.ⁱⁱⁱ Ausgehend davon bejahte er grundsätzlich einen Anspruch auf Löschung von Links aus der Suchergebnisanzeige und stützte sich hierbei auf Art. 7 und 8 der Europäischen Grundrechtecharta (GRCh), die das Recht auf Privatsphäre und auf Datenschutz garantieren. Diese seien den Wirtschaftsinteressen des Suchmaschinenbetreibers und dem öffentlichen Informationsinteresse im Rahmen einer Einzelfallabwägung gegenüberzustellen, die aufgrund der besonderen Belastungswirkung aber grundsätzlich hinter dem Persönlichkeitsrecht zurückstehen müssten.^iv Stets gesondert zu beurteilen sei der verlinkte Inhalt, so dass ein Löschungsanspruch gegen den Suchmaschinenbetreiber trotz Rechtmäßigkeit des Beitrags bestehen kann.^v Ein Anspruch auf Löschung bzw. Ausblendung von Suchergebnissen kann somit gerade auch dann anzunehmen sein, wenn diese auf zulässige und wahrheitsgemäße Beiträge verweisen, an deren Auffindbarkeit aber kein berechtigtes Interesse mehr besteht. Durch bloßen Relevanz mindernden Zeitablauf, der vom EuGH im Rahmen der Interessenabwägung schwerpunktmäßig mitberücksichtigt wird, kann sich somit ein „Recht auf Vergessenwerden“ ergeben. Dieser Anspruch ist gegenüber dem Suchmaschinenbetreiber geltend zu machen, der aufgrund seiner besonderen Pflichtenstellung mittelbar als Grundrechtsadressat herangezogen wird und selbst über die Begründetheit von Löschgesuchen urteilen muss.^vi

Mit seiner Entscheidung löste der EuGH ein bis dato ungeklärtes Spannungsverhältnis von Informationsfreiheit, Persönlichkeitsrecht und Wirtschaftsinteressen im Internet zwar punktuell auf. Er stieß bei Beobachtern und Betroffenen aber auch eine lebhafte Debatte an, die seither weit über die juristische Bewertung hinaus zahlreiche praktische und rechtspolitische Fragen aufwirft. Neben dem Gewicht der informationellen Selbstbestimmung im Internet und der Entwicklung tauglicher Abwägungskriterien werden etwa die tatsächliche Umsetzbarkeit, der territoriale Geltungsanspruch und die Frage diskutiert, ob die Stärkung des digitalen Persönlichkeitsrechts nicht zugleich eine bedenkliche Beschränkung von Meinungsfreiheit und freier Informationsgesellschaft nach sich zieht.

3. Das „Recht auf Verges­sen­werden“ in der DSGVO

Zwar fiel das „Google-Urteil“ unmittelbar in die Entstehungszeit der DSGVO. Die berechtigte Hoffnung, dass der Verordnungsgeber die Gelegenheit nutzen und den Löschungsansprüchen im digitalen Raum mehr Kontur verleihen, jedenfalls aber mit Blick auf Abwägungs- und verfahrensrechtliche Fragen die Vorgaben des EuGH weiterentwickeln würde, blieb jedoch unerfüllt.

Art. 17 DSGVO nimmt in seiner Überschrift das „Recht auf Vergessenwerden“ explizit auf. Inhaltlich schlägt sich dies aber kaum in der Regelung nieder. Die Norm gewährt ein umfassendes Recht auf Löschung personenbezogener Daten durch die verantwortlichen Stellen. Es besteht gem. Art. 17 Abs. 1 DSGVO insbesondere dann, wenn dem Verarbeitungszweck nicht mehr entsprochen, eine Einwilligung widerrufen wird oder die Datenverarbeitung rechtswidrig erfolgte. Mit Blick auf Internetsachverhalte kann der Anspruch nicht nur unmittelbar gegen die Publizisten gerichtet werden. Vom Begriff des „Löschens“ erfasst ist auch das richterrechtlich anerkannte Recht auf Tilgung von Suchergebnissen als eigenständige Datenverarbeitung.^vii Der Anspruch besteht selbstverständlich nicht schrankenlos, sondern findet seine Grenzen gemäß 17 Abs. 3 DSGVO etwa dann, wenn die angegriffene Datenverarbeitung zu Ausübung des Rechts auf Meinungs- und Informationsfreiheit erforderlich ist. Beschrieben wird damit das grundsätzliche Abwägungserfordernis, das einzelfallabhängig dem Daten- bzw. Persönlichkeitsschutz oder den Kommunikationsfreiheiten den Vorrang gewährt.

Die eigentliche vom Gesetzgeber als „Recht auf Vergessenwerden“ verstandene Innovation und ein gezielter Versuch der digitalen Datenverarbeitung Herr zu werden, findet sich in Art. 17 Abs. 2 DSGVO. Er beschreibt eine Informationspflicht, die neben den Löschungsanspruch tritt und vom betroffenen Adressaten verlangt, bei öffentlich gemachter Datenverarbeitung weitere (Dritt-)Verarbeiter über das Löschungsgesuch in Kenntnis zu setzen, um so ggf. weitere Löschpflichten auszulösen. Neben der punktuellen Abwehr persönlichkeitsrechtlicher Eingriffe soll somit gerade im Internet die Streuung der Information bzw. die gesellschaftliche Wahrnehmung, die vielfach die eigentliche Belastungswirkung entfaltet, verhindert werden. Gewissermaßen durch Rückverfolgung der Verarbeitungschronologie soll der Datenfluss so beherrschbarer werden.

Trotz dieses Ansatzes ist festzustellen, dass ein „Recht auf Vergessenwerden“ gegenüber Suchmaschinenbetreibern, wie es vom EuGH aus den europäischen Grundrechten abgeleitet worden war, von der DSGVO zwar miterfasst, aber nicht entscheidend weiterentwickelt wird. In der langwierigen Entstehungsgeschichte fand das Google-Urteil durchaus Beachtung, die Klärung der vielen offenen Umsetzungsfragen überließ der Verordnungsgeber aber bewusst der Rechtsprechung.^viii Zutreffend wurde Art. 17 DSGVO daher attestiert, im Kern lediglich eine gesetzliche Ausdifferenzierung der bisherigen Rechtslage zu sein.^ix Angesichts der grundrechtssensiblen Abwägungsentscheidungen wären eine gesetzliche Maßstabssetzung und ein verfahrensrechtlicher Rahmen im Sinne einer einheitlichen und transparenten Entscheidungsfindung durchaus wünschenswert gewesen. Zuzugeben ist allerdings auch, dass ein naturgemäß abstrakt formuliertes Gesetz, welches sich zudem ausdrücklich als technologieneutral versteht^x, zur Klärung vielfach spezifischer Einzelfragen nur begrenzt in der Lage ist.

4. Aktuelle Entwick­lungs­li­nien in der Recht­spre­chung

Während die betroffenen Grundrechtsträger also weiterhin mit einer eher fragmentarischen Rechtslage umgehen müssen, rückt seither vor allem die Rechtsprechung in den Fokus von Wissenschaft und Praxis. Ihrem klaren Auftrag, das „Recht auf Vergessenwerden“ inhaltlich auszugestalten, kommt sie in den letzten Jahren immer differenzierter nach. Neben den Fachgerichten haben sich in jüngster Vergangenheit nun auch das BVerfG und der BGH ausführlich positioniert, nicht aber ohne gleichzeitig neue Fragen aufzuwerfen, welche die künftige Debatte prägen werden.

4.1. Verfas­sungs­recht­liche Verankerung des „Rechts auf Verges­sen­werden“

Das BVerfG hatte sowohl über den Löschungsanspruch gegenüber Suchmaschinenbetreibern als auch unmittelbar gegenüber dem Anbieter eines Online-Archives zu urteilen (dazu unten Ziffer 4.5). Seine beiden als „Recht auf Vergessen I und II“^xi veröffentlichten Beschlüsse gelten bereits jetzt als Meilensteine in der Rechtsprechungshistorie. Dies zunächst deshalb, weil das Gericht grundrechtsdogmatisch zentrale Aussagen trifft und sich im Verbund der europäischen Verfassungsgerichte neu positioniert.^xii Nicht minder bedeutsam sind jedoch die Feststellungen zur Reichweite und Gewichtung des Persönlichkeitsrechts im Kontext digitaler Datenverarbeitung.

Wie der BGH teilt auch das BVerfG die Auffassung des EuGH und erkennt unter Berücksichtigung der besonderen Schutzwürdigkeit des Persönlichkeitsrechts im digitalen Raum das Bedürfnis eines „Rechts auf Vergessenwerden“ an. Die Rechtsordnung müsse davor schützen, dass einer Person frühere Positionen, Äußerungen und Handlungen unbegrenzt öffentlich vorgehalten werden. Die Möglichkeit des Vergessens gehöre zur Zeitlichkeit der Freiheit.^xiii

Soweit die auf europäisches (Datenschutz-)Recht zu stützende Ausblendung personenbezogener Suchergebnisse verlangt wird, greifen auf Seiten der Betroffenen daher Art. 7 und 8 GRCh, die die selbstbestimmte Persönlichkeitsentfaltung gegenüber der Datenverarbeitung Dritter schützen.^xiv Der Suchmaschinenbetreiber kann dem sein Recht auf unternehmerische Freiheit nach Art.  16 GRCh entgegenhalten. Auch die in Art. 11 GRCh verbürgte Meinungsfreiheit des Publizisten ist zu berücksichtigen, dem im Verbot gegenüber dem Suchmaschinenbetreiber, bestimmte Suchergebnisse anzuzeigen, in Teilen ein wichtiges Medium für die Verbreitung seiner Berichte genommen werde.^xv Ebenfalls in die Abwägung einzustellen ist die Informationsfreiheit potentieller Internetznutzer als allgemeines zu berücksichtigendes „Prinzip“^xvi.

Das BVerfG hebt auch hervor, dass ein Vorgehen gegen den Suchmaschinenbetreiber gegenüber der Inanspruchnahme des Seitenbetreibers nicht subsidiär zu behandeln ist, sondern zwei unabhängige Datenverarbeitungen vorliegen, die eine unterschiedliche Bewertung erfordern. Die ursprüngliche Rechtmäßigkeit der Bereitstellung des Berichts im Internet besage nicht, dass der Suchmaschinenbetreiber diese auch fortdauernd auf jede Art von Suchabfrage nachweisen darf.^xvii

Während das BVerfG insoweit auf einer Linie mit dem EuGH urteilt, nimmt es in der besonders abwägungsrelevanten Frage der generellen Grundrechtsgewichtung einen abweichenden Standpunkt ein. Wie eingangs angedeutet, hatte der EuGH dem Persönlichkeitsrecht aufgrund der potentiell profilbildenden und ubiquitären Zusammenstellung personenbezogener Daten grundsätzlich ein höheres Gewicht beigemessen als den gegenläufigen Rechtsinteressen. Nur in Ausnahmefällen bei besonderem Öffentlichkeitsinteresse könne die Abwägungsentscheidung zu Lasten des Betroffenen ausfallen. Nach Ansicht des BVerfG besteht ein solcher grundsätzlicher Vorrang des Persönlichkeitsrechts trotz der speziellen Gefährdungslage im Internet ausdrücklich nicht.^xviii Mit dieser Feststellung relativiert es die verfassungsrechtliche Wirkmacht des „Rechts auf Vergessenwerden“ erheblich, unterstellt seine Auffassung im Grunde aber auch dem EuGH: Dieser habe die Vorrangvermutung lediglich aufgrund der „spezifischen Konstellation“ der Fälle formuliert, die er zu beurteilen hatte. So sei in der Google-Entscheidung die Meinungsfreiheit der Inhalteanbieter nicht zu berücksichtigen gewesen, da hier eine behördliche Verlautbarung in Rede stand, in einem weiteren Urteil sei die Haltung des EuGH darauf zurückzuführen, dass über besonders sensible Gesundheitsdaten berichtet worden war.^xix

In der Tat ist die Haltung des EuGH in ihrer Pauschalität bedenklich und auch in der Literatur nicht unwidersprochen geblieben.^xx Die insoweit vorgebrachten Argumente überzeugen indes nur bedingt. Zwar ist es richtig, dass eine solche Vorrangvermutung der Verfassungslehre bislang fremd ist.^xxi Dies ändert aber nichts daran, dass der EuGH in seiner Funktion als europäisches Grundrechtsgericht eine entsprechende Auslegung der Art. 7 und 8 GRCh sehr deutlich vorgenommen hat.^xxii Dass sich der „Regel-Ausnahme- Mechanismus“ weder in Art. 17 DSGVO noch in den gesetzlichen Erwägungsgründen wiederfindet und vom Verordnungsgeber offensichtlich nicht beabsichtigt war^xxiii, ist ebenfalls kein tauglicher Einwand, da eine einfachgesetzliche Vorschrift die primär- bzw. grundrechtliche Deutung durch den EuGH nicht infrage stellen kann. Auch die Erklärung des BVerfG bleibt angesichts des klaren Wortlauts der Luxemburger Richter, der auf ein Grundsatzverständnis hindeutet, zweifelhaft. Ob das Persönlichkeitsrecht im Zusammenhang mit Suchmaschinen wirklich eine grundsätzliche Sonderstellung genießt, wird der EuGH im Rahmen weiterer Vorlageentscheidungen beantworten bzw. bestätigen müssen.^xxiv

4.2. Konkre­ti­sie­rung und Erweiterung der Abwägungs­kri­te­rien

Neben der übergeordneten verfassungsrechtlichen Grundgewichtung beschäftigt Betroffene zudem die praxisrelevante Frage konkreter Abwägungsmaßstäbe. Da der EuGH außer der besonderen Betonung des Zeitablaufs kaum Aussagen zu potentiellen Entscheidungskriterien getroffen hat, war vornehmlich Google als Adressat des Löschungsanspruchs gezwungen, auf Grundlage vieler tausend Anträge eigene Vorgaben zu entwickeln. Einen wesentlichen Beitrag leistete zudem die sog. Artikel-29-Datenschutzgruppe^xxv, die einen relativ differenzierten Beurteilungskatalog vorlegte. Bestätigt, aber auch weiter ausdifferenziert werden die maßgeblichen Belange inzwischen zusätzlich durch die zahlreich mit abgelehnten Löschgesuchen konfrontierte Gerichtsbarkeit. In den vergangenen Jahren hat sich so ein breites Spektrum an abwägungsrelevanten Gesichtspunkten herausgebildet. Welche der Kriterien mit welchem Gewicht in die Abwägung einzustellen sind, bestimmt sich aber stets nach den Besonderheiten des Einzelfalls, so dass sich ein schematisches Vorgehen nach einhelliger Auffassung verbietet. Zur Veranschaulichung der wesentlichen entscheidungsleitenden Aspekte lassen sich die bestehenden Kriterien dennoch in nachstehenden Kategorien skizzieren.^xxvi

Grundsätzlich von Bedeutung ist zunächst, inwieweit der Betroffene eine Rolle im öffentlichen Leben ausfüllt, d.h. welche gesellschaftliche Relevanz seiner Person zukommt. Angesprochen sind hier nicht nur Prominente, sondern auch solche Menschen, die eine gesellschaftliche oder berufliche Schlüsselfunktion innehaben. Vor allem auch Personen, die strafrechtlich in Erscheinung treten, begründen ein anzuerkennendes Interesse der Öffentlichkeit, das umso schwerer wiegt, je mehr sich die Tat von gewöhnlicher Kriminalität abhebt.^xxvii

Unabhängig davon ist der Öffentlichkeitsbezug der beanstandeten Information zu untersuchen, der die generelle gesellschaftliche Relevanz häufig relativieren wird. Inhalte, die sensible Lebensbereiche betreffen, genießen weniger Schutz als öffentliche Verhaltensweisen. Wie nun auch das BVerfG klargestellt hat, wiegt das Persönlichkeitsrecht etwa dort geringer, wo mediale Präsenz und damit ein Öffentlichkeitsinteresse bewusst herausgefordert wird.^xxviii Bemerkenswert ist zudem die Feststellung der Verfassungsrichter, dass angesichts der Auffindbarkeit und Zusammenführung von Informationen durch namensbezogene Suchanfragen kaum mehr zu unterscheiden sei, ob schon die Privat- oder nur die Sozialsphäre betroffen ist.^xxix Im Zweifel ist also von einem stärkeren Grundrechtseingriff mit erhöhtem Rechtfertigungsbedarf auszugehen.

Wesentliche Abwägungsfaktoren sind weiterhin Inhalt und Aufbereitung der beanstandeten Information. Während unzutreffende Tatsachenbehauptungen stets eine Löschung nach sich ziehen, müssen bei wahrheitsgemäßen Äußerungen weitere Umstände hinzutreten, die eine Auslistung des betreffenden Suchergebnisses rechtfertigen. Gleiches gilt bei der Beanstandung von Werturteilen, die dem Schutz der Meinungsfreiheit unterstellt und grundsätzlich, auch bei deutlich negativer Konnotation, hinzunehmen sind. Zu berücksichtigen ist zudem der Grad der Vervielfältigung und die Art der Aufbereitung des betreffenden Beitrags.

Besondere Bedeutung im Abwägungsprozess kommt schließlich dem Relevanz mindernden Zeitablauf zwischen dem in Rede stehenden Ereignis und dem Löschbegehren zu. Dieses vom EuGH herausgearbeitete Kernelement des „Rechts auf Vergessenwerden“ hat nun auch das BVerfG ausdrücklich anerkannt. So könne die belastende Wirkung kritischer Beiträge für die Betroffenen im Laufe der Zeit erheblich wachsen und immer weniger gerechtfertigt sein.^xxx Ebenso wie die anderen Abwägungskriterien beansprucht der zeitliche Faktor aber keine absolute Geltung, sondern ist unter Berücksichtigung des fallspezifischen Kontexts zu bestimmen. Dennoch lassen sich aus den hierzu mittlerweile zahlreich ergangenen Urteilen, v.a. mit Blick auf Berichterstattungen über Straftaten, gewisse Anhaltspunkte entnehmen. So rechtfertigt ein Zeitraum von weniger als zehn Jahren in der Regel keine Löschung.^xxxi Ein Überwiegen des Resozialisierungsinteresses wurde zumindest nach Ablauf von mehreren Jahrzehnten bejaht.^xxxii

4.3. Umfang der Prüfpflicht von Suchma­schi­nen­be­trei­bern

Da den Suchmaschinenbetreibern die nicht unumstrittene Rolle des Entscheidungsträgers zukommt, hängt die Durchsetzung des „Rechts auf Vergessenwerden“ in besonderem Maße vom Umfang ihrer Prüfpflichten ab. Dies gilt insbesondere für Fälle, in denen der Löschungsanspruch von der häufig schwer zu beurteilenden Frage abhängt, ob der beanstandete Link auf wahrheitsgemäße oder unzutreffende Inhalte verweist. In einer Grundsatzentscheidung, die noch vor Inkrafttreten der jetzt allein maßgeblichen DSGVO nach nationalem Recht erging, hatte der BGH Suchmaschinenbetreiber insoweit einem sehr großzügigen Haftungsregime unterstellt. Unter Verweis auf ihre essentielle Bedeutung für die Nutzbarmachung des Internets und ihrer lediglich informationsvermittelnden Rolle lehnte er eine vertiefte Prüfpflicht von Löschanfragen ab. Da eine umfassende Rechtmäßigkeitsprüfung die Funktionsfähigkeit der Suchmaschinen generell in Frage stellen würde, sollten diese erst dann „spezifische Verhaltenspflichten“, also weitergehende Untersuchungs- und Löschpflichten treffen, wenn sie durch einen konkreten Hinweis Kenntnis von einer offensichtlichen und auf den ersten Blick klar erkennbaren Rechtsverletzung erlangt hätten.^xxxiii

Damit löste der BGH einerseits die praktische Frage, wie Suchmaschinenbetreiber angesichts der großen Zahl an Löschgesuchen ihrer Aufgabe als Quasi-Judikativ-Organ seriös nachkommen sollen. Andererseits wirkte er dem Fehlanreiz des sog. „Overblockings“ entgegen, also der erwartbaren Neigung, im Zweifelsfall zur Vermeidung weiterer Auseinandersetzungen das beanstandete Suchergebnis ungeprüft aus der Ergebnisliste zu entfernen.

Das Urteil konterkarierte aber auch die Sinnhaftigkeit des Anspruchs. Schließlich sind vielfach auch solche Fälle zu beurteilen, die sich gerade nicht durch eine offensichtliche Rechtsverletzung auszeichnen, bei denen das Persönlichkeitsrecht des Betroffenen im Ergebnis aber dennoch überwiegt. Die Prüfpflicht in diffizilen Fällen faktisch aufzuheben, stieß daher auf ein geteiltes Echo.^xxxiv Soweit ersichtlich spiegelt eine nur fragmentarische Sachverhaltsaufklärung auch nicht die Löschpraxis von Google wider, das sich ausweislich seines Transparenzberichts^xxxv nicht auf die Löschung in evidenten Fällen beschränkt, sondern ggf. zusätzliche Informationen einholt und in komplexen Angelegenheiten eigens Juristen beschäftigt.

Während einige Fachgerichte die Rechtsprechung auf den Löschungsanspruch aus Art. 17 DSGVO übertragen hatten^xxxvi, meldete das OLG Karlsruhe hieran unlängst Zweifel an und wies zutreffend darauf hin, dass die Interessenabwägung nach der DSGVO von der im nationalen Recht zu unterscheiden und von verschiedenen Maßstäben geprägt sei.^xxxvii Seit seiner jüngsten Entscheidung zum „Recht auf Vergessenwerden“ teilt nun auch der BGH diese Auffassung.^xxxviii Angesichts des sich aus Art. 17 DSGVO ergebenden Gebots einer gleichberechtigten Grundrechtsabwägung spricht er den Suchmaschinenbetreibern das Haftungsprivileg unter ausdrücklicher Aufgabe seiner bisherigen Rechtsprechung ab. Google & Co. müssen also im Falle eines Löschungsantrags das beanstandete Suchergebnis künftig stets umfassend daraufhin prüfen, ob es auf Inhalte verweist, an deren unbeschränkter Auffindbarkeit kein schützenswertes Interesse mehr besteht. Auf eine vermeintlich unklare Rechtslage kann sich der Suchmaschinenbetreiber als Ablehnungsgrund nicht mehr berufen. Mit dieser wegweisenden Neupositionierung stärkt der BGH das Persönlichkeitsrecht der betroffenen Antragsteller erheblich. Gerade für kleinere Suchmaschinen dürfte das Urteil hingegen einen deutlichen Mehraufwand bei der Bearbeitung von Löschgesuchen zur Folge haben. Die erhöhten Prüfungsanforderungen sind dennoch zu begrüßen, denn andernfalls liefe das „Recht auf Vergessenwerden“ angesichts der häufig vielschichtigen und komplexen Fallgestaltungen allzu oft leer.

4.4. Terri­to­riale Reichweite des Löschungs­an­spruchs

Lange ungeklärt blieb im Nachgang des Google-Urteils, welche territoriale Reichweite das Löschungsrecht gegenüber Suchmaschinenbetreibern beanspruchen würde. Ob und inwieweit beanstandete Suchergebnisse auch Internetnutzern außerhalb der Europäischen Union verborgen bleiben müssen, hatte der EuGH nicht beantwortet. Aus völkerrechtlicher Perspektive erscheint ein globaler Geltungsanspruch zunächst problematisch, da die Reichweite des Persönlichkeits- und Datenschutzrechts Drittstaaten nicht ohne weiteres vorgegeben werden kann und Souveränitätskonflikte provozieren würde. Andererseits soll das Persönlichkeitsrecht ein subjektives Empfinden der Selbstbestimmung bewahren, das zwar rechtlich, nicht aber tatsächlich territorial zu begrenzen und entweder umfassend oder gar nicht gewährleistet ist. Angesichts des ubiquitären Charakters des Internets mit weltweit nunmehr über 4 Milliarden Nutzern ist eine lokale Ausblendung nur innerhalb der EU daher wenig zielführend.^xxxix

Im Rahmen eines weiteren Vorabentscheidungsverfahren bestätigte der EuGH jedoch die von Google praktizierte eingeschränkte Auslegung und entschied sich hinsichtlich der räumlichen Anwendbarkeit somit für ein „Recht auf Vergessenwerden light“. Zwar hegt der EuGH große Sympathien für eine globale Löschpflicht. So gelinge eine umfängliche Durchsetzung des Rechts im ubiquitären Internet nur, wenn Einträge dem Zugriff sämtlicher Nutzer entzogen seien.^xl Mit Blick auf die Grenzen des geltenden Rechts übt sich EuGH jedoch in Zurückhaltung: Zum einen habe der Gesetzgeber sich nicht für eine Erstreckung des zugrundeliegenden Datenschutzrechts über das Hoheitsgebiet der Mitgliedstaaten hinaus entschieden, zum anderen verfolgten Drittstaaten hier außerdem häufig einen anderen rechtlichen Ansatz.^xli

Diese Beschränkung auf den Raum der europäischen Union führt aber nicht nur zur Erreichbarkeit der Sucheinträge in Drittstaaten. Auch europäische Nutzer können sich grundsätzlich über die dortigen Suchportale informieren. Um die effektive Rechtsdurchsetzung zumindest innerhalb der EU zu gewährleisten, verpflichtet der EuGH die Suchmaschinenbetreiber deshalb zu „hinreichend wirksamen Maßnahmen“.^xlii Mit anderen Worten sind sie gehalten, durch Standortbestimmung und sog. Geoblocking die streitigen Ergebnisanzeigen im Suchmaschinenangebot der Drittstaaten für Nutzer innerhalb der EU zu sperren. Google setzt dies derzeit jedoch nur in jeweils dem Staat um, aus dem der betroffene Antragsteller stammt.^xliii Auch unabhängig davon darf die Wirksamkeit solcher Maßnahmen bezweifelt werden. Denn geografische Filter stellen für geübte Internetnutzer längst kein Hindernis mehr da. Wer lückenlose Ergebnislisten sicherstellen will, kann sich mittels entsprechender Software seiner Standortbestimmung entziehen und auf Suchdomains in Drittstaaten mit wenig Mühe zugreifen. Die Vergesslichkeit des Internets endet also an den Grenzen Europas, mit ein paar technischen Kniffen aber eben auch schon davor.

4.5. Lösch­pflichten gegenüber Betreibern von Online-A­r­chiven

Anstatt die Auffindbarkeit fortbestehender Inhalte zu erschweren, kann dem Schutz des Persönlichkeitsrechts grundsätzlich auch durch unmittelbares Vorgehen gegen die Betreiber der betreffenden Internetseiten Rechnung getragen werden. Mit Blick auf die starke Belastungswirkung durch das Vorhalten lange zurückliegender, unveränderter Inhalte einerseits und dem Interesse, historische Geschehnisse erinnern bzw. recherchieren zu können andererseits, haben sich insoweit v.a. Online-Archive als streitbare und praxisrelevante Fallgestaltung erwiesen. Auch im Rahmen dieses Spannungsverhältnisses hat sich das BVerfG nun mit bemerkenswerten Feststellungen positioniert.

Während Online-Archive aufgrund ihres Beitrags zur Informations- und Willensbildung von der Rechtsprechung bislang unter besonderen Schutz gestellt wurden, sieht das Gericht sich veranlasst, die Rechtmäßigkeitsanforderungen angesichts der modernen Informationsverbreitung durch das Internet und der neuen rechtlichen Dimension des Faktors Zeit grundlegend zu modifizieren. Anders als im analogen Zeitalter entfalteten Informationen ihre Wirkung nicht nur durch das flüchtige Erinnern im öffentlichen Diskurs, sondern blieben unmittelbar und dauerhaft für alle abrufbar.^xliv Vor dem Hintergrund einer zusätzlich drohenden Dekontextualisierung und profilbildenden Kombinierbarkeit mit weiteren Daten ändere sich die Bedeutung personenbezogener Berichterstattung für die Betroffenen erheblich. Der Freiheit und Chance willen, eigene Verhaltensweisen fortzuentwickeln und Fehler hinter sich zu lassen, erkennt das BVerfG auch insoweit ein „Recht auf Vergessenwerden“ an, das mit dem Öffentlichkeitsrechtinteresse sowie v.a. der Meinungs- und Pressefreiheit in Einklang zu bringen ist, die grundsätzlich auch das Recht umfasst, unveränderte Berichte als Spiegel der Zeitgeschichte zu archivieren.

Zentrale Aussage des BVerfG in Abkehr zur bisherigen Auffassung des BGH ist insoweit, dass die ursprüngliche Rechtmäßigkeit der archivierten Berichterstattung zum Zeitpunkt ihrer Erstveröffentlichung nicht mehr ausreichend sei, sondern dass sich ihre Verbreitung bzw. Zugänglichkeit fortwährend rechtfertigen lassen muss.^xlv Die Zulässigkeit von digitalen Archivinhalten ist somit anhand einer neuerlichen Abwägung der im Zeitpunkt eines Löschungsverlangens grundrechtlich geschützten Interessen zu beurteilen.

Neben dem zeitlichen Abstand zu den betreffenden Ereignissen kommt es im Wesentlichen auf die bereits skizzierten Abwägungsgesichtspunkte an. Zu berücksichtigen sind Inhalt und (wiederauflebende) gesellschaftliche Relevanz der Berichterstattung, zwischenzeitliches Verhalten des Betroffenen, aber auch das Ausmaß der Verbreitung, insbesondere durch Erfassung mittels Suchmaschinen. Die Archivbetreiber trifft dabei allerdings keine proaktive Prüfpflicht; erst auf Veranlassung des Betroffenen hin müssen sie den beanstandeten Beitrag auf dessen (fortbestehende) Rechtmäßigkeit hin untersuchen.

Im Sinne eines schonenden Interessenausgleichs darf die Abwägung nach Möglichkeit aber nicht in die vollständige Löschung oder Fortsetzung der uneingeschränkten Abrufbarkeit münden. Unter besonderer Betonung des Verhältnismäßigkeitsgrundsatzes verlangt das BVerfG die Auseinandersetzung mit abgestuften Schutzmöglichkeiten in Form technischer „Zwischenlösungen“. So schlägt es als anspruchsvollen, wenn auch grundsätzlich realisierbaren Mittelweg u.a. vor, die Anzeige des betreffenden Beitrags in Suchmaschinen bei namensbezogener Suchanfrage durch entsprechende Vorkehrungen des Seitenbetreibers zu verhindern, den Beitrag bei anderen ihn kennzeichnenden Suchbegriffen aber auffindbar zu machen und dann auch vollständig mit Klarnamen des Betroffenen anzeigen zu lassen.^xlvi Der unveränderte Artikel würde somit nur von denjenigen wahrgenommen, die sich gezielt für die zugrunde liegenden Ereignisse, nicht aber für die Person des Betroffenen interessieren. Inwieweit sich derartige Vorkehrungen als praktikabel und wirtschaftlich vertretbar erweisen werden, bleibt abzuwarten. Die Abhängigkeit des Rechts von technischen Gestaltungsmöglichkeiten hat das BVerfG jedenfalls eindrücklich bestätigt.

5. Fazit

In der Gesamtschau der Entwicklungen seit Inkrafttreten der DSGVO bleibt festzuhalten, dass sich das „Recht auf Vergessenwerden“ auch ohne Unterstützung des europäischen Gesetzgebers als notwendiges Schutzkonzept gegenüber der unkontrollierten Informationsverbreitung im digitalen Umfeld weiter etabliert und ausdifferenziert hat. Trotz seiner Einordnung und Aufwertung durch die Rechtsprechung ist jedoch nach wie vor ein offener Prozess im Gange. Zentrale Antworten zu rechtlichen wie auch praktischen Abwägungs- und Umsetzungsfragen stehen noch aus. Die teils eindringlich geäußerte Befürchtung, dass die Ausblendung von Suchergebnissen den gesellschaftsrelevanten Informationsaustausch unterdrücken werde, dürfte aber in Anbetracht sowohl des praktischen Umgangs mit Löschungsanträgen als auch der sehr ausgewogenen und auf den Einzelfall abstellenden Rechtsprechung entkräftet sein. Trotz weiterhin bestehender Transparenzdefizite zeigt sich, dass Google als Quasi-Monopolist unter den Suchmaschinenbetreibern seine Abwägungsverantwortung offenbar sehr ernst nimmt. Bislang wurden mit rund 1,5 Millionen Links etwas weniger als die Hälfte aller geprüften URLs aus den Suchergebnissen entfernt, wobei gerade Verweise auf sensible Inhalte, etwa über politisches und berufliches (Fehl-)Verhalten nur sehr zurückhaltend gelöscht werden.^xlvii Die nicht unproblematische Übertragung der Abwägungsverantwortung auf ein privates Wirtschaftsunternehmen wird nun zudem durch die höchstrichterlich verschärfte Prüfdichte weiter relativiert. Auch die differenzierte und Kompromisslösungen anstrebende Rechtsprechung des BVerfG zeigt, dass die Stärkung des Persönlichkeitsrechts im Internet zwar als dringend notwendig befunden, aber auch mit Augenmaß verfolgt wird und gegenläufige Rechtspositionen nicht über Gebühr in den Hintergrund treten. Das „Recht auf Vergessenwerden“ ist daher nach wie vor nicht als Angriff auf die Meinungsfreiheit zu verstehen^xlviii, sondern als notwendiges Korrektiv in einer allwissenden und teils realitätsverzerrenden Informationsgesellschaft.

Jan Weismantel Jahrgang 1989, Dr. iur., Europajurist (Univ. Würzburg), ist Rechtsanwalt in München. Zum Thema dieses Beitrags forschte er bereits in seiner 2017 erschienenen Dissertation „Das ‚Recht auf Vergessenwerden‘ im Internet nach dem ‚Google-Urteil‘ des EuGH – Begleitung eines offenen Prozesses“, Duncker & Humblot, Berlin.

Anmerkungen:

Der Beitrag Das „Recht auf Vergessenwerden“ und seine Entwicklung im Lichte aktueller Rechtsprechung erschien zuerst auf Humanistische Union.

1. Einleitung: Synergien zwischen Transparenz und Datenschutz

Transparenz ist ein komplexes Konzept mit vielfältigen Aspekten (zur Übersicht: August & Osrecki 2019). Auf den ersten Blick können Datenschutz und Transparenz widersprüchlich erscheinen. Werden Informationen zur Privatsphäre für Außenstehende transparent gemacht, so kann dies die Privatsphäre beeinträchtigen. Zugleich ist Transparenz aber eine essentielle Voraussetzung für den Selbstbestimmungsaspekt des Datenschutzes: Betroffene können ihre Rechte nur dann effektiv wahrnehmen und durchsetzen, wenn sie wissen, wer welche Daten über sie verarbeitet. Nicht zufällig sind die meisten Datenschutzbeauftragten daher inzwischen auch für Informationsfreiheit und damit für (Verwaltungs-)Transparenz zuständig.

Dieser Beitrag geht der Frage nach, welche Ansätze die EU-Datenschutzgrundverordnung (DSGVO) enthält, um Datenverarbeitung für die Betroffenen transparent(er) zu machen und welche Probleme bei der Umsetzung auftreten. Dabei wird gezeigt, dass Transparenzanforderungen, die nur abstrakt formuliert sind, in ihren Auswirkungen begrenzt bleiben, solange datenverarbeitende Unternehmen und Behörden sie nicht in ihre Abläufe und Handlungsroutinen integrieren. Die weitere Konkretisierung von Transparenzanforderungen, etwa durch Standards für die Unterstützung von Transparenz durch Technikgestaltung, ist bisher nur in wenigen Bereichen vorangekommen und bedarf daher zusätzlicher rechtspolitischer und praxisorientierter Initiativen.

Ansätze für eine transparente(re) Datenverarbeitung stoßen allerdings auf strukturelle Hindernisse. Transparenz kann zwar das Vertrauen in Datenverarbeitung steigern und damit auch die Akzeptanz selbst hoheitlicher Datenerhebung verbessern (näher hierzu Kugelmann 2001, S. 14ff.; Aden, Fährmann & Bosch 2020, S. 5ff.). Allerdings sind Unternehmen und Behörden längst nicht immer an Transparenz interessiert, sondern verfolgen auch gegenläufige Interessen, insbesondere an der möglichst ungestörten Nutzung von Daten für vielfältige Zwecke. Intransparente Datenverarbeitung macht es Betroffenen schwer, kritisch zu hinterfragen, was genau mit einmal erhobenen Daten geschieht.

2. Transparenz als rechtlich konkre­ti­siertes Daten­schutz­prinzip

Mit dem explizit formulierten Auskunftsanspruch und der prominenten Stellung als DSGVO-Grundsatz hat Transparenz heute einen hohen normativen Stellenwert. In den folgenden Abschnitten wird gezeigt, dass die praktische Ausgestaltung dieser Rechte diesem hohen Stellenwert vielfach bisher noch nicht gerecht wird und dass die Transparenzthematik größerer Aufmerksamkeit bedürfte. Insofern erscheint es symptomatisch, dass der im Juni 2020 veröffentlichte Bericht der Europäischen Kommission über zwei Jahre Anwendungspraxis der DSGVO das Thema Transparenz nur am Rande erwähnt (Europäische Kommission 2020, S. 1, 4 und 10).

Rechtliche Regelungen zur Transparenz von Datenverarbeitung wurden nicht erst mit der DSGVO neu entwickelt. Bereits seit den 1980er Jahren ist Transparenz ein Kernbestandteil des Datenschutzes. Nach der Rechtsprechung des Bundesverfassungsgerichts (BVerfG) setzt individuelle Selbstbestimmung über die eigenen Daten und über die Privatsphäre voraus, dass die Einzelnen wissen, wer Informationen über sie hat. In diesem Sinne argumentierte das BVerfG bereits in seiner Volkszählungsentscheidung aus dem Jahr 1983, die das Recht auf informationelle Selbstbestimmung als Grundrecht etablierte, abgeleitet aus der Menschenwürde und der Allgemeinen Handlungsfreiheit (Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG):

„Wer nicht mit hinreichender Sicherheit überschauen kann, welche ihn betreffende Informationen in bestimmten Bereichen seiner sozialen Umwelt bekannt sind, und wer das Wissen möglicher Kommunikationspartner nicht einigermaßen abzuschätzen vermag, kann in seiner Freiheit wesentlich gehemmt werden, aus eigener Selbstbestimmung zu planen oder zu entscheiden“ (BVerfGE 65, 1 (43)).

Aus dem Grundrecht auf informationelle Selbstbestimmung folgen daher auch Auskunfts- und Aufklärungsansprüche der von Datenverarbeitung Betroffenen. In der EU-Grundrechtecharta (GRCh) wurde diese Transparenzidee explizit ausformuliert. Nach Art. 8 Abs. 2 Satz 2 GRCh hat jede Person „das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken.“ Art. 42 GRCh gewährt darüber hinaus Zugang zu Dokumenten der EU-Organe.

Auch aus dem in der Vergangenheit wenig beachteten Grundrecht auf Informationsfreiheit (Art. 5 Abs. 1 Satz 1, 2. Halbsatz GG) lässt sich unter den Rahmenbedingungen von Digitalisierung und Open Government eine Verpflichtung des Staates ableiten, sein Handeln durch Veröffentlichung von Informationsbeständen transparenter zu machen. Der Staat verfügt über vielfältiges Wissen, das auch für die Bürger*innen interessant ist, von statistischen Informationen bis zu Fachwissen zu Gesundheitsrisiken. Einmal digitalisiert, können solche Informationen mit wenig Aufwand auch online bereitgestellt werden (ausführlich zur Begründung Lederer 2015, S. 439ff.) und so zu mehr Transparenz beitragen.

Art. 5 Abs. 1 lit. a DSGVO erwähnt Transparenz als Datenschutzgrundsatz. Damit gehört sie zu den Leitprinzipien des Datenschutzes – gemeinsam mit Grundsätzen wie Rechtmäßigkeit und Zweckbindung der Datenverarbeitung und deren Fairness – letztere etwas unglücklich in der offiziellen deutschsprachigen Fassung mit „Treu und Glauben“ übersetzt (zur Kritik hieran auch Roßnagel 2019, Art. 5 Rn. 47; Roßnagel/Geminn 2020, S. 46). In der parallel verabschiedeten Richtlinie (EU) 2016/680 für den Datenschutz im Polizei- und Strafjustizbereich wird das Transparenzgebot nicht explizit erwähnt, ist aber auch hier als Bestandteil des Fairnessgebots zu beachten (so auch Tzanou 2017, S. 26; Johannes & Weinhold 2018, S. 65). Fairness und Transparenz sind eng miteinander verknüpft. Transparente Abläufe sind eine zentrale Voraussetzung dafür, dass Betroffene Entscheidungen als fair und legitim empfinden und letztlich akzeptieren (vgl. hierzu Kugelmann 2001, S. 14ff.; de Fine Licht u.a. 2014, S. 115).

DSGVO-Begründungserwägung Nr. 13 macht deutlich, dass die Grundverordnung die Transparenz von Datenverarbeitung, wie sie bereits seit langem im Datenschutzrecht etabliert war, zu stärken beansprucht:

„Für natürliche Personen sollte Transparenz dahingehend bestehen, dass sie betreffende personenbezogene Daten erhoben, verwendet, eingesehen oder anderweitig verarbeitet werden und in welchem Umfang die personenbezogenen Daten verarbeitet werden und künftig noch verarbeitet werden. Der Grundsatz der Transparenz setzt voraus, dass alle Informationen und Mitteilungen zur Verarbeitung dieser personenbezogenen Daten leicht zugänglich und verständlich und in klarer und einfacher Sprache abgefasst sind.“

Hier werden bereits drei zentrale Ansätze sichtbar, die den Stellenwert von Transparenz erhöhen: (1) Das Transparenzgebot schließt ausdrücklich auch zukünftige Datenverarbeitung mit ein und damit insbesondere die Frage, für welche weiteren Zwecke bereits erhobene Daten genutzt werden dürfen und sollen. (2) Informationen über Datenverarbeitung müssen leicht zugänglich, also auffindbar sein. Und (3) die Informationen müssen so bereitgestellt werden, dass nicht nur Expert*innen verstehen, worum es geht und dass der Aufwand für das Finden und Verstehen der bereitgestellten Informationen sich für die Betroffenen in vernünftigen Grenzen hält.

2.1 Infor­ma­ti­ons- und Auskunfts­rechte als Kern der Daten­ver­a­r­bei­tungs­trans­pa­renz

Kernelemente transparenter Datenverarbeitung sind Informationspflichten und Auskunftsrechte, die in Art. 12 bis 15 DSGVO geregelt sind. Sie sind mit weiteren Informationsansprüchen verknüpft, insbesondere bei Datenschutzverstößen (Art. 33, 34), und bilden zugleich die Voraussetzung für Berichtigungs- und Löschungsansprüche (Art. 16).

In der deutschen Rechts- und Verwaltungstradition waren Auskunftsrechte auf die an Verwaltungsverfahren beteiligten Personen beschränkt, die zudem ein berechtigtes Interesse an den betreffenden Informationen geltend machen mussten. Die bis heute geltende Regelung hierzu in § 29 Abs. 1 Satz 1 Verwaltungsverfahrensgesetz (VwVfG) wirkt unter den Rahmenbedingungen der Digitalisierung schon beinahe altertümlich: „Die Behörde hat den Beteiligten Einsicht in die das Verfahren betreffenden Akten zu gestatten, soweit deren Kenntnis zur Geltendmachung oder Verteidigung ihrer rechtlichen Interessen erforderlich ist.“ Dieses Recht wird im folgenden Absatz für Fälle gleich wieder eingeschränkt, in denen „die ordnungsgemäße Erfüllung der Aufgaben der Behörde beeinträchtigt, das Bekanntwerden des Inhalts der Akten dem Wohl des Bundes oder eines Landes Nachteile bereiten würde oder soweit die Vorgänge nach einem Gesetz oder ihrem Wesen nach, namentlich wegen der berechtigten Interessen der Beteiligten oder dritter Personen, geheim gehalten werden müssen“ (ausführlich zu dieser Regelung Kugelmann 2001, S. 243ff.).

Im Vergleich dazu sind die Betroffenenrechte in Art. 12ff. DSGVO klar an Transparenz orientiert und gehen über ein abstraktes Postulat weit hinaus. Den Verantwortlichen für die Verarbeitung personenbezogener Daten werden Pflichten auferlegt, die der Praxis Maßstäbe für ihr Handeln an die Hand geben. So sind den Betroffenen Informationen „in präziser transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln“ (Art. 12 Abs. 1 Satz 1). Die Formulierungen denken somit Umgehungsstrategien für Transparenz gleich mit, indem sie Präzision und Verständlichkeit einfordern, was bei komplexen technischen Abläufen keinesfalls selbstverständlich ist. Für die praktische Umsetzung dieser Transparenzpostulate sind indes weitere Handreichungen und perspektivisch auch rechtsverbindliche Regelungen erforderlich, die Standards für eine gute Transparenzpraxis definieren (Ansätze hierzu: Article 29 Data Protection Working Party 2018b, S. 6ff.; vgl. auch Dix 2019, Art. 12 Rn. 12ff.; Roßnagel/Geminn 2020, S. 65f.).

Für die Datenerhebung bei den Betroffenen (Art. 13) und bei Dritten (Art. 14) ist in der DSGVO geregelt, welche Informationen den Betroffenen bereitgestellt werden müssen (zur umstrittenen Systematik: Dix 2019, Art. 13 Rn. 3). Im Rahmen des Auskunftsrechts haben Betroffene auch Anspruch auf eine „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ (Art. 15 Abs. 3 Satz 1), wobei allerdings die Rechte Dritter, deren Daten mit betroffen sind (z.B. weil sie gemeinsam mit der Auskunft verlangenden Person auf einer Liste stehen) nicht beeinträchtigt werden dürfen. Die praktische Umsetzung kann mit erheblichem Aufwand verbunden sein, insbesondere bei Unternehmen und Behörden, die mit der Person, die Auskunft verlangt, auf komplexe Weise verbunden sind – etwa bei Studierenden einer Hochschule, deren Daten parallel von Immatrikulations- und Prüfungsämtern, Lehrplanung und Bibliotheken verarbeitet werden. Die Auskunftsfähigkeit erfordert daher technische Vorkehrungen, um die betreffenden Daten mit vertretbarem Aufwand finden zu können. Empfehlenswert sind auch Absprachen mit der Person, die Auskunft begehrt, um möglichst Einvernehmen über die gewünschten Informationen und die Form der Übermittlung einer „Kopie“ zu erzielen (so auch Dix 2019, Art. 15 Rn. 29).

2.2 Weitere Trans­pa­renzan­sätze: Zerti­fi­zie­rung, Daten­schutz-­Fol­ge­n­ab­schät­zung und Infor­ma­ti­ons­pflichten bei Daten­schutz­ver­stößen

Das Transparenzgebot wird in weiteren DSGVO-Regelungen konkretisiert. Hier seien insbesondere die Regelungen zur Zertifizierung von Datenschutzstandards (Art. 42) genannt, die sich zur Förderung von Datenschutzsiegeln und -prüfzeichen bekennen. Eine solche Zertifizierung kann für Betroffene nachvollziehbar und damit transparent machen, dass die DSGVO-Standards eingehalten werden. Allerdings basiert die Zertifizierung auf Freiwilligkeit, so dass insbesondere solche Unternehmen und Behörden davon Gebrauch machen dürften, die besonders auf das Vertrauen der Betroffenen angewiesen sind, um an deren Daten zu gelangen.

Die Transparenz von Datenverarbeitung kann auch durch eine Datenschutz-Folgenabschätzung gefördert werden (Art. 35). Sie ist allerdings nur bei Einführung neuer Verarbeitungsformen und Technologien vorgeschrieben, die mit hohen Risiken für Rechte und Freiheiten der Betroffenen verbunden sind. Die Datenschutz-Folgenabschätzung ist eine spezielle Variante der Technikfolgenabschätzung, wie sie in Deutschland und anderen Ländern bei der Einführung und rechtlichen Rahmung neuer Technologien seit langem etabliert ist. Die Technikfolgenabschätzung und die Datenschutz-Folgenabschätzung fungieren auch als Instrumente zur Herstellung von Transparenz bei der Technologieentwicklung (näher hierzu Friedewald 2017; Aden & Fährmann 2020; Grunwald 2010).

Die Informationspflichten bei Datenschutzverstößen (Data Breach Notification, Art. 33, 34) sind ein weiteres Transparenzinstrument, das durch die DSGVO aufgewertet wurde. Kommt es zu Gefährdungen des Schutzes personenbezogener Daten, so dürfen solche Vorfälle nicht „unter den Teppich gekehrt“ werden. Vielmehr ist die Datenschutzaufsicht innerhalb von 72 Stunden zu informieren (Art. 33), bei schwerwiegenden Vorfällen müssen auch die Betroffenen (Art. 34) benachrichtigt werden. Datenschutzvorfälle können vielfältige Ursachen haben – von der Nichtbeachtung datenschutzrechtlicher Pflichten über Nachlässigkeiten, die dazu führen, dass Daten Unbefugten zur Kenntnis gelangen, bis zu gezielten Cyberangriffen. Die Informations- und Benachrichtigungspflichten können zu mehr Transparenz beitragen. Darüber hinaus kann die Breach Notification eine präventive Funktion erfüllen, da Abhilfemaßnahmen geboten sind, die dazu beitragen, vergleichbare Vorkommnisse zukünftig zu vermeiden (Art. 33 Abs. 4). Bisher liegen keine empirisch gesicherten Erkenntnisse dazu vor, inwieweit die Meldepflichten in der Praxis eingehalten werden und zu welchen Konsequenzen sie führen. Abgrenzungsprobleme bereitet die Frage, in welchen Fällen auf eine Meldung verzichtet werden kann, weil keine Risiken für Rechte und Freiheiten der Betroffenen zu erwarten sind (Art. 33 Abs. 1) und wann die Benachrichtigung der Betroffenen entfallen kann (Art. 34 Abs. 3; ausführlich hierzu Dix 2019, Art. 33 Rn. 10-15 und Art. 34 Rn. 12-17). Die Datenschutzbeauftragten haben zu diesen Fragen Empfehlungen herausgegeben (Article 29 Data Protection Working Party 2018a; in Deutschland u.a. Engelbrecht 2019). Auch hier dürften mittelfristig verbindliche Konkretisierungen zu erwarten sein.

2.3 Trans­pa­rente Technik­ge­stal­tung und Transparenz durch Technik­ge­stal­tung

Transparenz kann auch durch die Technikgestaltung und datenschutzfreundliche Voreinstellungen technischer Anwendungen unterstützt werden. Art. 25 DSGVO etabliert diese Grundsätze als Pflichten, bekannter unter den englischen Bezeichnungen Privacy by Design and by Default. Privacy by Design ist ein Schlüsselkonzept zur Verbesserung von Datenschutzstandards und zur Herstellung von Transparenz an der Schnittstelle zwischen Technik und Recht. Nach diesem Grundsatz darf die datenschutzkonforme Techniknutzung nicht dem Verhalten der Nutzer*innen überlassen bleiben, sondern sie muss durch geeignete technische und organisatorische Maßnahmen bereits während der Technikentwicklung sichergestellt werden. Welche genauen Anforderungen hieraus folgen, ergibt sich aus der DSGVO allerdings nicht. Aufgrund vielfältiger technischer Anwendungen ist der Erfolg dieses Transparenzansatzes entscheidend davon abhängig, ob es gelingt, das Postulat datenschutzfreundlicher Technikgestaltung durch geeignete Verfahrensvorkehrungen in die Technikentwicklung zu integrieren.

Zwei sich ergänzende Aspekte lassen sich unterscheiden: transparente Technikgestaltung und Transparenz durch Technikgestaltung. Transparente Technikgestaltung erscheint auf den ersten Blick schwierig, da Technik im Zeitalter der Digitalisierung komplex und für Nutzer*innen daher nur schwer nachvollziehbar ist (ausführlich hierzu Kornwachs 2010). Zudem haben viele Technikentwickler*innen kein gesteigertes Interesse daran, ihre Technik transparent zu gestalten, da dies Nachahmungen erleichtern und die Kommerzialisierung neuer Produkte erschweren könnte. Auch unter Wahrung dieser Interessen gibt es indes vielfältige Möglichkeiten, den Nutzer*innen Informationen über technische Abläufe bereitzustellen, damit sie darüber entscheiden können, inwieweit sie eine Technik nutzen möchten. Zudem kann das technische Design dazu beitragen, durch die Vermeidung von Überkomplexität Transparenz zu sichern. Noch weiter geht die Transparenz, wenn technische Informationen gezielt offengelegt werden, damit Nutzer*innen und andere Entwickler*innen damit weiterarbeiten können, wie dies etwa bei Open Source-Software der Fall ist (vgl. Kornwachs 2010, S. 304ff.).

Transparenz durch Technikgestaltung bewegt sich auf der Ebene der Anwendung selbst. Technische Anwendungen können so ausgestaltet werden, dass Nutzer*innen nachvollziehen können, welche Daten über sie erhoben werden und für welche Zwecke diese verarbeitet werden. Dies kann insbesondere durch Hard- und Softwareeinstellungen erreicht werden, die sicherstellen, dass Nutzer*innen sich jederzeit über Verarbeitungszwecke, Löschfristen usw. informieren können (näher hierzu Aden & Fährmann 2020).

3. Trans­pa­renz­de­fi­zite und emanzi­pa­to­ri­sche Potenziale von Transparenz – Schluss­fol­ge­rungen und Ausblick

Dieser Beitrag hat gezeigt, dass die DSGVO den Stellenwert von Transparenz als Datenschutzprinzip gestärkt hat. Die Transparenzregeln in der DSGVO sind gegenüber der vorherigen Rechtslage unter manchen Aspekten ausgebaut und konkretisiert worden. Jedoch führen diese Regelungen allein noch nicht automatisch zu transparenteren Abläufen der Datenverarbeitung.

Unter den Rahmenbedingungen der Digitalisierung stößt die Herstellung von Transparenz auf strukturelle Grenzen. Selbst wer alle Datenverarbeitungsvorgänge nachvollziehen möchte, wäre damit angesichts immer größer werdender Datenmengen und komplexer technischer Abläufe strukturell überfordert (hierzu auch Roßnagel 2019, Art. 5 Rn. 61f.). Hinzu kommt, dass Unternehmen und auch manche Behörden weiterhin ein großes Interesse haben, Datenbestände möglichst ungestört auswerten zu können. Transparenz kann zu kritischen Nachfragen führen und ist für diejenigen, die sie gewährleisten müssen, mit Aufwand verbunden und daher potenziell lästig. Die Verfügungsgewalt über Wissen führt zu asymmetrischen Machtbeziehungen (näher hierzu Aden 2004, S. 62ff.; Tzanou 2017, S. 26) – Wissen ist eine Grundlage für Macht, Nichtwissen trägt zu Ohnmacht bei. Aufgrund gegenläufiger Interessen dürfte es somit kaum möglich sein, die emanzipatorischen Potenziale von Transparenz auf freiwilliger Basis zu entfalten. Vielmehr sind verbindliche staatliche Regeln erforderlich. Informationsfreiheit und Transparenz als Datenschutzgrundsatz sollten dabei in ihren Verknüpfungen gemeinsam weiterentwickelt werden (vgl. hierzu auch Brink 2017).

Für die Transparenzregeln der DSGVO sind folglich weitere Konkretisierungen erforderlich, die verbindliche Transparenzstandards etablieren. Hierzu können Vorgaben des Europäischen Datenschutzausschusses (zu dessen Rolle Dix in diesem Heft) ebenso beitragen wie konkretisierende Gesetzgebung und die zukünftige Rechtsprechung des Gerichtshofs der EU (EuGH).

Prof. Dr. Hartmut Aden ist Jurist und Politikwissenschaftler. Er ist Professor für Öffentliches Recht, Europarecht, Politik- und Verwaltungswissenschaft an der Hochschule für Wirtschaft und Recht Berlin, zugleich Vizepräsident für Forschung (seit April 2020) und Mitglied des Forschungsinstituts für Öffentliche und Private Sicherheit (FÖPS Berlin). Webseite: www.hwr-berlin.de/prof/hartmut-aden.

Literaturverzeichnis

Aden, H. (2004): Herrschaft und Wissen. In: ders. (Hg.), Herrschaftstheorien und Herrschaftsphänomene, Wiesbaden: Verlag für Sozialwissenschaften, S. 55-70.

Aden, H. & Fährmann, J. (2020): Datenschutz-Folgenabschätzung und Transparenzdefizite der Techniknutzung. Eine Untersuchung am Beispiel der polizeilichen Datenverarbeitungstechnologie, TATuP, – Zeitschrift für Technikfolgenabschätzung in Theorie und Praxis 29 (3), S. 24-29.

Aden, H., Fährmann, J. & Bosch, A. (2020): Intransparente Polizeikontrollen – rechtliche Pflichten und technische Möglichkeiten für mehr Transparenz. In: Hunold, D./Ruch, A. (Hg.): Polizeiarbeit zwischen Praxishandeln und Rechtsordnung. Empirische Polizeiforschungen zur polizeipraktischen Ausgestaltung des Rechts. Wiesbaden: Springer VS, S. 3-22.

Article 29 Data Protection Working Party (2018a): Guidelines on Personal data breach notification under Regulation 2016/679. WP250rev.01. https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=612052 (aufgerufen am 15.12.2020).

Article 29 Data Protection Working Party (2018b): Guidelines on transparency under Regulation 2016/679. wp260rev.01, https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227 (aufgerufen am 15.12.2020).

August, V. & Osrecki, F. (2019): Transparency Imperatives: Results and Frontiers of Social Science Research. In: dies. (Hg.), Der Transparenz-Imperativ. Wiesbaden: Springer VS, S. 1-34.

Brink, S. (2017): Anregungen für künftige Transparenzgesetze. In: Hill, H., Kugelmann, D. & Martini, M., Perspektiven der digitalen Lebenswelt. Baden-Baden: Nomos, S. 89-98.

De Fine Licht, J., Naurin, D., Esaiasson, P. & Gilljam, M. (2014): When Does Transparency Generate Legitimacy? Experimenting on a Context-Bound Relationship, Governance, 27(1), S. 111-134.

Dix, A. (2019): Kommentierung zu Art. 12 bis 20 und zu Art. 33 und 34 DSGVO. In: Simitis, S., Hornung, G. & Spiecker genannt Döhmann, I. (Hg.) Datenschutzrecht. Baden-Baden: Nomos, S. 617-694 und S. 835-848.

Engelbrecht, K. (2019) Meldepflicht und Benachrichtigungspflicht des Verantwortlichen. Erläuterungen zu Art. 33 und 34 Datenschutz-Grundverordnung. Orientierungshilfe. München: Der Bayerische Landesbeauftragte für den Datenschutz, https://www.datenschutz-bayern.de/datenschutzreform2018/OH_Meldepflichten.pdf (aufgerufen am 15.12.2020).

Europäische Kommission (2020): Mitteilung […]: Datenschutz als Grundpfeiler der Teilhabe der Bürgerinnen und Bürger und des Ansatzes der EU für den digitalen Wandel – zwei Jahre Anwendung der Datenschutz-Grundverordnung, Brüssel: COM(2020)264 final.

Fährmann, J., Aden, H. & Bosch, A. (2020): Technologieentwicklung und Polizei: intensivere Grundrechtseingriffe auch ohne Gesetzesänderung, Kriminologisches Journal, 52 (2), S. 135–148.

Friedewald, M. (2017): Datenschutz-Folgenabschätzung. In: TATuP – Zeitschrift für Technikfolgenabschätzung in Theorie und Praxis 26 (1–2), S. 66–71.

Grunwald, A. (2010) Transparenz in der Technikfolgenabschätzung. Konzeptionelle Erwartungen und ihre Einlösung. In: Jansen, S.A., Schröter, E., Stehr, N. & Wallner, C. (Hg.): Transparenz. Multidisziplinäre Durchsichten durch Phänomene und Theorien des Undurchsichtigen. Wiesbaden: VS Verlag für Sozialwissenschaften, S. 309-329.

Johannes, P.C. & Weinhold, R. (2018): Das neue Datenschutzrecht bei Polizei und Justiz. Europäisches Datenschutzrecht und deutsche Datenschutzgesetze. Baden-Baden: Nomos.

Kornwachs, K. C. (2010): Transparenz in der Technik. In: Jansen, S.A., Schröter, E., Stehr, N. & Wallner, C. (Hg.): Transparenz. Multidisziplinäre Durchsichten durch Phänomene und Theorien des Undurchsichtigen. Wiesbaden: VS Verlag für Sozialwissenschaften, S. 292-308.

Kugelmann, D. (2001): Die informatorische Rechtsstellung des Bürgers. Tübingen: Mohr Siebeck.

Lederer, B. (2015): Open Data. Informationsöffentlichkeit unter dem Grundgesetz. Berlin: Duncker & Humblot.

Roßnagel, A. (2019): Kommentierung zu Art. 5 DSGVO, in: In: Simitis, S., Hornung, G. & Spiecker genannt Döhmann, I. (Hg.) Datenschutzrecht. Baden-Baden: Nomos, S. 363-399.

Roßnagel, A. & Geminn, C. (2020) Datenschutz-Grundverordnung verbessern. Änderungsvorschläge aus Verbrauchersicht. Baden-Baden: Nomos

Tzanou, M. (2017): The Fundamental Right to Data Protection. Oxford and Portland: Hart Publishing.

Der Beitrag Transparenz als Datenschutzprinzip – Ansätze und Umsetzungsprobleme erschien zuerst auf Humanistische Union.

Die europäische Datenschutz-Grundverordnung wurde für viele Bürger*innen vor allem durch vermehrte Einverständniserklärungen auf Webseiten und in der Online-Kommunikation sichtbar. Dabei behandelt die Verordnung den Online-Bereich nur am Rand, sollte er doch durch eine parallel erlassene ePrivacy-Verordnung reguliert werden – die bis heute nicht verabschiedet wurde. Welche Auswirkungen die DSGVO dennoch auf Webseiten und deren Besucher*innentracking hatte, haben die Autor*innen mit Online-Tests ermittelt, wie sie im folgenden Beitrag beschreiben.

Leider steht dieser Artikel nur in der Kaufversion der Zeitschrift vorgänge zur Verfügung. Sie können das Heft hier im Online-Shop der Humanistischen Union erwerben: die Druckausgabe für 28.- € zzgl. Versand, die PDF-/Online-Version für 10.- €.

MARTIN DEGELING   ist wissenschaftlicher Mitarbeiter am Lehrstuhl für Systemsicherheit des Horst Görtz Instituts für IT Sicherheit der Ruhr-Universität Bochum. Er promovierte 2016 an der Universität Duisburg-Essen zum Thema „Online Profiling“. Im Anschluss hat er an der Carnegie Mellon University zu usable privacy and security und dem Internet der Dinge geforscht. Zuletzt war er an mehrere Studien beteiligt, die die Auswirkungen der Datenschutzgrundverordnung auf Webseiten untersucht haben.

CHRISTINE UTZ hat Rechtswissenschaften und IT-Sicherheit studiert und promoviert derzeit am Lehrstuhl für Systemsicherheit der Ruhr-Universität Bochum zu Web-Tracking durch Drittanbieter nach Inkrafttreten der DSGVO. Ihre fachlichen Interessen umfassen verschiedene Aspekte der Online-Privatsphäre, wie die technischen Auswirkungen von Datenschutzgesetzen im Web, Datenökonomie und usable privacy.

TOBIAS URBAN   hat Informatik an der Westfälischen Hochschule studiert und zum Thema Datenschutz im Internet an der Ruhr-Universität Bochum promoviert. Seine Forschungsschwerpunkte liegen in der Analyse des technischen Einflusses von Datenschutzgesetzen im Web und mit menschlichen Aspekten im Datenschutz. Derzeit arbeitet er als Postdoktorand im Institut für Internet-Sicherheit – if(is) und befasst sich mit Themen rund um Vertrauen und Nachhaltigkeit der Digitalisierung.

Der Beitrag Effekte der DSGVO auf Webseiten und die Entwicklung der ePrivacy-Verordnung erschien zuerst auf Humanistische Union.

Die Koordination der Datenschutzaufsichtsbehörden in der Europäischen Union soll Auslegung und Vollzug der 2018 in Kraft getretenen Datenschutzgrundverordnung möglichst weitgehend vereinheitlichen. Sie soll auch verhindern, dass sich internationale Konzerne, die in großem Umfang personenbezogene Daten verarbeiten, dort ansiedeln, wo die Datenschutzkontrolle am schwächsten ausgeprägt ist. Der folgende Beitrag zeigt, dass diese Ziele seit 2018 in Teilen, aber noch nicht vollständig erreicht wurden.

Leider steht dieser Artikel nur in der Kaufversion der Zeitschrift vorgänge zur Verfügung. Sie können das Heft hier im Online-Shop der Humanistischen Union erwerben: die Druckausgabe für 28.- € zzgl. Versand, die PDF-/Online-Version für 10.- €.

DR. ALEXANDER DIX   ist stellv. Vorsitzender des Vorstandes der Europäischen Akademie für Informationsfreiheit und Datenschutz in Berlin; war von 2005 bis 2016 Berliner Beauftragter für Datenschutz und Informationsfreiheit und bis 2015 Vertreter der Bundesländer in der Art. 29-Gruppe.

Der Beitrag Motor oder Flaschenhals? erschien zuerst auf Humanistische Union.

Neben einigen materiell-rechtlichen Neuregelungen zum Datenschutz stellen die Etablierung des Europäischen Datenschutzausschusses (EDSA) sowie die Regelungen zur Zuständigkeit bei länderübergreifenden Anwendungsfragen und der dabei vorgeschriebenen Kooperation der nationalen Aufsichtsbehörden zentrale Innovationen der Datenschutzgrundverordnung dar. Der folgende Beitrag von Johannes Caspar stellt diese neuen Verfahrensregelungen vor und diskutiert, inwiefern sie dazu beigetragen haben, das Ziel einer Harmonisierung der europaweiten Anwendung des Datenschutzrechts zu verwirklichen. Seine Bilanz fällt indes ernüchternd aus.

Leider steht dieser Artikel nur in der Kaufversion der Zeitschrift vorgänge zur Verfügung. Sie können das Heft hier im Online-Shop der Humanistischen Union erwerben: die Druckausgabe für 28.- € zzgl. Versand, die PDF-/Online-Version für 10.- €.

PROF. DR. JOHANNES CASPAR   ist seit Mai 2009 Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit. Der Jurist promovierte 1992 an der Universität Göttingen mit einer Dissertation über die Rechts- und Staatsphilosophie Jean-Jacques Rousseaus. Nach seiner Habilitation für die Fächer Staatsrecht, Verwaltungsrecht und Rechtsphilosophie 1999 folgte eine Tätigkeit am Deutschen Institut für Internationale Pädagogische Forschung in Frankfurt am Main. Von 2002 bis 2009 war er Referent und später Stellvertretender Leiter des Wissenschaftlichen Dienstes im Schleswig-Holsteinischen Landtag.

Der Beitrag Zwischen Symbolik und Gestaltungskraft – Ist die EU-DSGVO eine Mogelpackung? erschien zuerst auf Humanistische Union.