Europäischer Datenschutz: Einführung

Einführung in den Europäischen Datenschutz

• Dieses Modul stellt die wichtigsten Datenschutzgesetze in Europa und die Institutionen der Europäischen Union vor.
• Es beschreibt die Entwicklung hin zu einem harmonisierten Rechtsrahmen für den Datenschutz in der EU.

Allgemeine Erklärung der Menschenrechte

• Am 10. Dezember 1948 wurde die Allgemeine Erklärung der Menschenrechte von der UN-Generalversammlung verabschiedet.
• Obwohl sie nicht bindend ist, legte sie Standards für die Behandlung aller Menschen fest.
• Der Europarat erarbeitete auf Basis dieser Erklärung die Europäische Menschenrechtskonvention, die 1953 in Kraft trat.
• Die Konvention wird vom Europäischen Gerichtshof für Menschenrechte in Straßburg durchgesetzt.
• Alle Mitgliedstaaten des Europarates haben die Konvention verabschiedet.
• Sie ist ein wichtiges Dokument zur Durchsetzung der Menschenrechte in Europa und weltweit.
• Die Allgemeine Erklärung der Menschenrechte enthält Bestimmungen zum Recht auf Privatleben (Artikel 12).
• Die Erklärung enthält Bestimmungen zur Meinungsfreiheit (Artikel 19)
• Artikel 29 Absatz 2 besagt, dass diese Rechte nicht absolut sind und ein Gleichgewicht hergestellt werden muss.
• Die EMRK enthält Artikel 8, der die Rechte des Einzelnen schützt, Artikel 10, der die freie Meinungsäußerung schützt und Artikel 10 Absatz 2, der die Ausgewogenheit zwischen den Artikeln 8 und 10 festlegt.

Ursprünge des Datenschutzes

• Die Wurzeln aktueller Datenschutzbestimmungen reichen zurück zu älteren Konzepten des Schutzes der Privatsphäre.
• Ein wichtiger Schritt war die Allgemeine Erklärung der Menschenrechte der Vereinten Nationen von 1948.
• Die Erklärung entstand kurz nach dem Zweiten Weltkrieg und den damit verbundenen Gräueltaten.
• Diese beruhten auf der Erhebung, Nutzung und Erstellung von Profilen personenbezogener Daten.
• Die Erklärung ist kein rechtsverbindlicher Vertrag, aber sie hat moralische, ethische und soziale Bedeutung.
• Die UN-Menschenrechtserklärung wurde in 464 Sprachen übersetzt.
• Nur die Bibel wurde mit 554 Übersetzungen noch häufiger übersetzt.
• Artikel 12 garantiert ein Menschenrecht auf Privatsphäre.
• Artikel 19 verankert das Recht auf freie Meinungsäußerung.
• Artikel 29 Absatz 2 besagt, dass ein Gleichgewicht zwischen der freien Meinungsäußerung und dem Schutz der Privatsphäre bestehen muss.
• Die Europäische Menschenrechtskonvention, verabschiedet 1950, macht ähnliche Aussagen wie die Allgemeine Erklärung der Menschenrechte.
• Sie enthält die Artikel 8, 10 Absatz 1 und 10 Absatz 2.
• Artikel 8 behandelt das Recht auf Privatsphäre.
• Artikel 10 Absatz 1 behandelt das Recht auf freie Meinungsäußerung.
• Artikel 10 Absatz 2 behandelt das Gleichgewicht zwischen Privatsphäre und Meinungsfreiheit.
• Die Konvention gilt für die Mitgliedsländer des Europarates.
• Die Mitgliedstaaten müssen die Konvention ratifizieren, damit sie für sie verbindlich wird.
• Beide Dokumente sind allgemein gehalten und verwenden abstrakte Begriffe zum Recht auf Privatsphäre.
• In der Folge begann ein Zeitraum mit theoretischen Konzepten zum Datenschutz, basierend auf der UN-Erklärung und der Menschenrechtskonvention des Europarates.
• Neue Systeme und Technologien zur Datenerhebung, -nutzung, -weitergabe und -verarbeitung wurden entwickelt.
• Die Menge der von Unternehmen erhobenen und genutzten Informationen wuchs an.
• Es wurde klar, dass ein Konzept allein für den Datenschutz nicht ausreicht und konkrete Regeln für den Umgang mit Datenschutz festgelegt werden mussten.

IBM-System 360 und Datenschutz

• IBM setzte auf das System 360, als die Bedeutung des Computers erkannt wurde.
• IBM investierte fünf Milliarden Dollar in die Forschung und Entwicklung des Systems 360.
• Die Kommerzialisierung von Computern bestand darin, dass es sich um eine aufrüstbare Maschine handelte, die mit anderen Komponenten zusammenarbeiten konnte.
• IBM schuf eine konfigurierbare, kundenfreundliche Maschine.
• Sie kam als Standardprodukt auf den Markt und konnte von Kunden für ihre speziellen Zwecke aufgerüstet und angepasst werden.
• Es kam zu einer Explosion des Wachstums der Rechenleistung.
• Regierungen erkannten, dass es bessere Regeln für den Umgang mit den erhobenen Daten braucht.
• Die Regeln wurden einst erfunden, um sich an die elektronische Datenverarbeitung anzupassen.
• Durch Internet, Mobilgeräte und Cloud-Computing beschäftigte sich Europa 2011 damit, ein neues Datenschutzgesetz für die neue Online-Welt zu schaffen.

Zeitachse des Europäischen Datenschutzes

• 1960er: Wirtschaftliche und technologische Fortschritte mit zunehmendem internationalem Handel, Computern und Telekommunikationsmitteln.
• 1970er/80er: Konflikt zwischen nationalen Datenschutzrechten und internationalem Freihandel.
• Es erfolgte die Entwicklung von Kommunikationstechnologien und umfangreichen Datenbanken mit personenbezogenen Daten.
• 1980er: Zwei wichtige Datenschutzinitiativen wurden eingeführt.
• 1980 veröffentlichte die OECD Leitlinien zum Schutz der Privatsphäre und zum grenzüberschreitenden Verkehr personenbezogener Daten.
• Ziel war es, den Datenverkehr zu vereinfachen und personenbezogene Daten in einer globalen Wirtschaft zu schützen.
• Das Übereinkommen 108 des Europarates wurde 1981 vorgelegt.
• Es war das erste Datenschutzdokument für mehrere Mitgliedsstaaten des Europarates.
• Das Übereinkommen unterscheidet sich von den Leitlinien darin, dass es die Unterzeichner verpflichtet, die Grundsätze in nationales Recht aufzunehmen.
• 1990er: In den späten 1980er Jahren wurden Schwierigkeiten mit dem Übereinkommen 108 deutlich.
• Nur wenige Staaten hatten es ratifiziert.
• 1990 schlug die Europäische Kommission die Einführung einer eigenen Richtlinie vor.
• Die Grundsätze des Übereinkommens 108 wurden als Maßstab für die EU-Datenschutzrichtlinie (95/46/EG) verwendet.
• Auf operativer Ebene legt die Richtlinie allgemeine Datenschutzgrundsätze und -pflichten fest, welche die EU-Mitgliedstaaten verpflichten, diese in nationales Recht zu übertragen und umzusetzen.
• 2000er: Im Jahr 2000 wurde die Charta der Grundrechte der EU von den Institutionen der Europäischen Union proklamiert.
• Es handelte sich um eine Sammlung von Rechten für Einzelpersonen und das Grundrecht auf den Schutz personenbezogener Daten.
• Die Richtlinie über den elektronischen Geschäftsverkehr von 2000 (Richtlinie 2000/31/EG) bestimmte, dass Fragen im Zusammenhang mit der Verarbeitung personenbezogener Daten außerhalb ihres Anwendungsbereichs liegen.
• Die EU-Richtlinie zum Datenschutz und zur elektronischen Kommunikation (ePrivacy-Richtlinie) aus dem Jahr 2002 ist für die EU-Mitgliedstaaten rechtsverbindlich und erfordert eine Umsetzung in nationales Recht.
• Die Richtlinie über die Vorratsdatenspeicherung in der EU (2006/24/EG) wurde 2006 verabschiedet und 2014 vom Gerichtshof der EU für nichtig erklärt.
• Der Vertrag von Lissabon trat 2009 in Kraft, um die Kernstrukturen der EU zu stärken und der Charta der Grundrechte der EU die volle Rechtswirkung in der EU zu verleihen.
• 2010er: 2016 wurde die Datenschutz-Grundverordnung (DSGVO) zum Gesetz.
• Sie ersetzte die Datenschutzrichtlinie und trat am 25. Mai 2018 in Kraft.
• Im Oktober 2018 wurde Übereinkommen 108+, eine an die DSGVO angepasste Version des Übereinkommens 108, unterzeichnet.
• Diesel dient Drittländern als Mittel zur Übernahme der Grundprinzipien der DSGVO.

Europäischer Gerichtshof für Menschenrechte (EGMR)

• Der EGMR in Straßburg setzt die Europäische Menschenrechtskonvention und das Übereinkommen 108 durch, um Datenschutz und Schutz der Privatsphäre zu gewährleisten.
• Der EGMR befasst sich mit dem Schutz personenbezogener Daten und dem Recht auf Auskunft.
• Gerichtshof ist kein Teil der Europäischen Union.

Europarat und Europäische Union

• Der Europarat und die Europäische Union sind getrennte Institutionen.
• Der Europarat ist eine internationale Organisation, die Europäische Union eine wirtschaftliche und politische Union.
• Jedes Mitgliedsland der Europäischen Union gehört dem Europarat an.
• Der Europäische Wirtschaftsraum (EWR) basiert auf dem Abkommen von 1994.
• Dieses ermöglicht den Mitgliedern der Europäischen Freihandelsassoziation (EFTA) die Teilnahme am Binnenmarkt der EU.
• Der EWR besteht aus 27 EU-Mitgliedstaaten und 3 EFTA-Mitgliedstaaten (Island, Liechtenstein und Norwegen).

Gesetzgebungs-, Politik- und Justizorgane der EU

• Die Europäische Union umfasst gesetzgebende Organe, politische Entscheidungsgremien und Justizorgane.
• Das Europäische Parlament wird direkt gewählt und hat drei Aufgaben: Gesetzgebung, Aufsicht und Haushaltsplanung.
• Es hat den größten Einfluss auf den Datenschutz und den Schutz der Privatsphäre.
• Der Europäische Rat bestimmt die Prioritäten der EU und legt die politische Richtung fest, bestehend aus den Staats- und Regierungschefs der EU-Mitgliedsländer.
• Der Rat der EU befasst sich mit dem Parlament mit der Entscheidungsfindung, wobei Minister aus jedem Mitgliedstaat teilnehmen.
• Die Kommission setzt die Entscheidungen und politischen Strategien der EU um, mit der Zuständigkeit für Gesetzesvorschläge.
• Sie war die aktivste Institution für Datenschutz.
• Jeder Mitgliedstaat ist verpflichtet, ein Kommissionsmitglied zu entsenden.
• Der Gerichtshof der EU mit Sitz in Luxemburg ist das rechtssprechende Organ, das Fragen des EU-Rechts entscheidet und Entscheidungen durchsetzt.
• Der Gerichtshof besteht aus dem Europäischen Gerichtshof (EuGH) und dem ordentlichen Gericht.
• Der Gerichtshof liefert Klärung zum EU-Recht für einzelstaatliche Gerichte.

Machtgefüge zwischen den EU-Institutionen

• Der Grafik veranschaulicht das Machtgefüge zwischen den EU-Institutionen.
• Die Europäische Kommission brachte 2012 den Entwurf zur DSGVO ein und leitete eine Version an das Europaparlament und den Rat der EU weiter.
• Das Europäische Parlament prüfte den Entwurf im Rahmen von Ausschusssitzungen und brachte tausende von Änderungsanträgen ein.
• Eigene Ausschüsse des Rats der EU prüften den Gesetzentwurf.
• Parlament und Rat versuchten, eine Einigung zu erzielen, wobei die Kommission entschied (Trilogverfahren).
• Gruppen wie einzelstaatliche Parlamente und Interessenvertreter äußerten ihre Ansichten.
• Im Dezember 2016 einigten sich das Parlament und der Rat auf die DSGVO, die 2012 vorgeschlagen wurde.
• Sie trat am 25. Mai 2018 in Kraft.
• Der EuGH ist das rechtssprechende Organ und kann in Datenschutzfällen aktiv werden, die zunächst vor einzelstaatlichen Gerichten eingereicht werden.

Datenschutzrichtlinie vs. DSGVO

• Die DSGVO, die die Datenschutzrichtlinie ersetzt, weist Ähnlichkeiten und Unterschiede mit ihrer Vorgängerin auf.
• Eine EU-Richtlinie verpflichtet die Mitgliedstaaten zur Umsetzung in nationales Recht.
• Eine EU-Verordnung ist direkt anwendbar und als Gesetz durchsetzbar.
• Die Datenschutzrichtlinie wurde in 28 nationale Gesetze umgesetzt.
• Ziel der DSGVO ist es, allen EU-Mitgliedstaaten ein einziges Regelwerk zur Verfügung zu stellen.
• Nationales Recht könnte die Umsetzung in den Mitgliedstaaten unterschiedlich sein.
• Die DSGVO ermöglicht Anpassungen für die Mitgliedsstaaten (ca. 50 Bestimmungen).
• Die Artikel-29-Datenschutzgruppe wurde am 25. Mai 2018 durch den Europäischen Datenschutzausschuss (EDSA) ersetzt.
• Der EDSA trägt zur einheitlichen Anwendung der Datenschutzvorschriften in der gesamten EU bei.
• Der EDSA setzt sich aus Vertretern der nationalen Datenschutzbehörden und des Europäischen Datenschutzbeauftragten (EDSB) zusammen.
• Die Leitlinien der Artikel-29-Datenschutzgruppe bleiben relevant, da sie an die DSGVO angeglichen wurden.

Zusammenspiel zwischen ePrivacy-Richtlinie und DSGVO

• Der Europäische Datenschutzausschuss (EDSA) hat eine Stellungnahme zu diesen und verwandten Fragen abgegeben.
• Die Stellungnahme bezieht sich auf die Verarbeitung, die den sachlichen Anwendungsbereich sowohl der DSGVO als auch der ePrivacy-Richtlinie betrifft.
• Wenn die Verarbeitung personenbezogener Daten in den sachlichen Anwendungsbereich sowohl der DSGVO als auch der ePrivacy-Richtlinie fällt, sind die Datenschutzbehörden nur befugt, die den nationalen ePrivacy-Bestimmungen unterliegenden Datenverarbeitungsvorgänge zu überprüfen, wenn das nationale Recht ihnen diese Zuständigkeit überträgt.

Koexistenz, Ergänzung und Konkretisierung

• Koexistenz : In Fällen, in denen lex specialis nicht anwendbar ist, kommt die allgemeine Regel (lex generalis) zur Anwendung.
• Verarbeitung von Verkehrsdaten im Falle des Fehlens spezifischer ePrivacy-Bestimmungen für z. B. das Recht auf Zugang die Bestimmungen der DSGVO.
• "Zur Ergänzung“: Verschiedene Bestimmungen der ePrivacy-Richtlinie ergänzen die Bestimmungen der DSGVO.
• „Einige der Bestimmungen der ePrivacy-Richtlinie haben den Schutz der ,Teilnehmer‘ und ,Nutzer‘ eines öffentlich zugänglichen elektronischen Kommunikationsdienstes zum Ziel“ (natürliche oder juristische Personen in der DSGVO).
• Artikel 95 der DSGVO: Ziel ist es, „natürlichen oder juristischen Personen in Bezug auf die Verarbeitung in Verbindung mit der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste in öffentlichen Kommunikationsnetzen in der Union keine zusätzlichen Pflichten“ aufzuerlegen.
• Meldepflichten für Verstöße gegen personenbezogene Daten „sind im Rahmen der beiden verschiedenen Rechtsakte entsprechend ihrem jeweiligen Anwendungsbereich parallel anwendbar“.
• „Zur Konkretisierung“ (Lex-specialis-Grundsatz): „Spezielle Bestimmungen haben Vorrang vor allgemeinen Regeln“.
• Der Anbieter von Kommunikationsdienstleistungen kann nicht die gesamte in Artikel 6 DSGVO vorgesehene Palette möglicher rechtlich zulässiger Gründe auf die Verarbeitung von Verbindungsdaten anwenden, weil Artikel 6 der ePrivacy-Richtlinie die Bedingungen, unter denen Verbindungsdaten, einschließlich personenbezogener Daten, verarbeitet werden können, ausdrücklich einschränkt".