201510.03.

Datenschutzreform: Kommt das Konzernprivileg?

Die Europäische Union arbeitet nunmehr seit mehrere Jahren daran, dass Datenschutzrecht in einer Datenschutzgrundverordnung zu reformieren. Diese soll dann unmittelbar für alle EU-Mitgliedstaaten gelten.

Leider scheint es so, dass der letzte öffentliche Entwurf der Verordnung vom 21. Oktober 2014 deutlich abgeschwächt werden soll. Dies ergibt sich aus einem als “vertraulich” eingestuften Dokument der Arbeitsgruppe Dapix des EU-Rats. Das Dokument hat die Bürgerrechtsorganisation Statewatch veröffentlicht. Demnach sollen insbesondere Regelungen zur Datensparsamkeit gestrichen werden und der Grundsatz der Zweckbindung sowie die Einschränkungen der Verarbeitung von Daten durch Dritte erheblich aufgeweicht werden. Das Erheben von Daten soll demnach generell immer möglich sein, wenn es nicht “exzessiv” geschieht. Das Nutzertracking im Internet soll grundsätzlich erlaubt sein, sodass jeder Nutzer einem Tracking aktiv per Opt-Out widersprechen müsste. Generell fällt auf, dass der Entwurf eine Vielzahl von unbestimmten Rechtsbegriffen verwendet, die zwangsläufig bis zur gerichtlichen Klärung eine gewisse Rechtsunsicherheit mit sich bringen werden.

Abgesehen von den vielen negativen Änderungen enthält das veröffentliche Dokument jedoch auch als positiv zu bewertende Änderungsvorschläge; so bspw. zu Datenübermittlungen im Konzern. Das derzeit geltende Recht schreibt für den Fall, dass man Daten durch einen Dritten verarbeiten lässt (sog. Auftragsdatenverarbeitung) vor, dass man mit dem Dienstleister zwingend einen schriftlichen Vertrag gemäß § 11 BDSG abschließen muss. Dies gilt auch innerhalb des selben Konzerns. Das Datenschutzrecht kennt bislang also kein “Konzernprivileg”.

Davon weicht das aktuell geleakte Dokument ab: Erwägungsgrund 38a sieht vor, dass Datenübermittlungen innerhalb von Unternehmensgruppen bzw. eines Konzerns grundsätzlich aufgrund eines berechtigten Interesses der Verantwortlichen Stelle erlaubt sein sollen. Voraussetzung dafür ist allerdings u.a., dass die Übermittlung für verwaltungsinterne bzw. administrative Zwecke erfolgt.

Im Ergebnis bleibt zu hoffen, dass die erwähnten Aufweichungen der Verordnung nicht den Weg in die endgültige Fassung finden.