Kommentar des FoeBuD e.V. zur EU Datenschutz-Grundverordnung
Zusammenfassung:
Der FoeBuD, als einer der Vorreiter des Datenschutzes und der Bürgerrechte im digitalen
Zeitalter, begrüßt das Vorhaben der EU Kommission, den Datenschutz in den Mitgliedsländern
zu harmonisieren und ein hohes Datenschutzniveau zu garantieren.
Eine Anpassung des Datenschutzes an die neuen Herausforderungen der digital vernetzten
Welt ist unser Kernanliegen. Der FoeBuD hat seit über 25 Jahren Expertise gesammelt. Diese
stellt er im Rahmen seiner Möglichkeiten gerne der EU zur Verfügung.
Die Datenschutz-Grundverordnung der EU ist zu begrüßen. Sie muss die Informationelle
Selbstbestimmung der Bürgerinnen und Bürger in den Mittelpunkt stellen. Sie darf unter
keinen Umständen hinter das beste Datenschutzniveau eines der Mitgliedsländer der EU
zurückfallen. Das Datenschutzniveau muss gestärkt werden. Besonders die umfangreiche und
angesehene deutsche Rechtsprechung und die Grundrechte auf Informationelle
Selbstbestimmung und das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität
informationstechnischer Systeme (das so genannte Computer-Grundrecht) dürfen in keiner
Weise geschwächt werden.
Digital vernetzte Kommunikation erfordert im besonderen Maße die Durchsetzung der Rechte
von EU-Bürgerinnen und Bürgern gegenüber Unternehmen und Datenverarbeitern innerhalb
und außerhalb der EU. Das muss ein Kerngedanke der Datenschutz-Grundverordnung sein
und gestärkt werden.
Lobenswertes:
Der FoeBuD begrüßt die Einführung des „privacy by design“-Konzepts. Damit werden die
Daten der Nutzerinnen und Nutzer nicht mehr automatisch freigegeben. Userinnen und User
behalten damit die Kontrolle über ihre Daten. Die Daten werden erst freigegeben, wenn die
Nutzerinnen und Nutzer das erlauben. In diesem Zusammenhang ist das opt-in Verfahren zu
begrüßen, das die explizite Zustimmung der Betroffenen voraussetzt. Die Zustimmung muss
mit einem Verfallsdatum versehen werden. Damit muss sie nach angemessener Frist neu
eingeholt werden. Andernfalls müssen die erhobenen Daten automatisch gelöscht werden.
Kritik:
Der FoeBuD kritisiert die Verwässerung des aktuellen Entwurfs bei der Einwilligung zum
Direktmarketing. Diese ist nun nicht mehr vorgesehen. Der FoeBuD fordert diese Einwilligung
weder aufzunehmen und Direktmarketing nur nach ausdrücklicher Einwilligung zu erlauben.
Der FoeBuD fordert unabhängige Kontrollen. Damit diese wirksam sind, müssen die
Datenschutzbehörden der EU und der Nationalstaaten mit ausreichend Mitteln ausgestattet
sein. Es muss sichergestellt sein, dass Sanktionen und Strafen eine abschreckende Wirkung
haben.
Der FoeBuD ist seit 1987 eine der führenden Datenschutz- und
Bürgerrechtsorganisationen in Deutschland. Seit 2000 richtet er die deutschen
BigBrotherAwards aus. Er hat erfolgreich gegen die Vorratsdatenspeicherung und gegen
ELENA beim Bundesverfassungsgericht geklagt. Das Thema RFID hat der FoeBuD in
Europa und in Deutschland auf die Agenda gebracht.
Stellungnahme zu einzelnen Artikeln:
Der FoeBuD begrüßt Artikel 7 („Einwilligung“) und fordert eine einfache und zumutbare
Lesbarkeit der Datenschutzbestimmungen.
Verbraucherinnen und Verbraucher können nur in etwas einwilligen, das sie gelesen und
verstanden haben. Datenschutzbestimmungen müssen deshalb in einfacher Sprache
geschrieben und in zumutbarer Zeit lesbar sein. Die Folgen der Einwilligung müssen deutlich
aus den Datenschutzbestimmungen hervorgehen.
Wir fordern Logos, die die Folgen von Datenschutzbestimmungen verständlich darstellen. Wir
fordern auch eine maschinenlesbare Beschreibung des Inhalts von
Datenschutzbestimmungen. Auf diese Weise kann automatisiert dargestellt werden, welche
Folgen eine Einwilligung in die Datenschutzbestimmung hat. Denkbar sind Browser-Plugins,
die auf einen Blick zeigen, ob die Datenschutzbestimmungen den Wünschen der Nutzenden
entsprechen oder nicht. Hierin sieht der FoeBuD einen sehr innovativen Ansatz.
Eine Einwilligung zur Datenverarbeitung muss mit einem Ablaufdatum versehen sein. Eine
einmal gegebene Einwilligungen bleibt damit nicht unbestimmt gültig, wenn sie vergessen
wurde.
Wir fordern ein Kopplungsverbot, damit die Einwilligung in die Datenverarbeitung freiwillig
erfolgt und nicht daran geknüpft wird, einen bestimmten Dienst nutzen zu können.
Der FoeBuD begrüßt Artikel 11: („Transparenz“).
Zu transparenten Informationen für die Verbraucherinnen und Verbraucher gehören die Folgen
einer Einwilligung in die Datenverarbeitung. Damit der Anspruch an Transparenz verwirklicht
wird, müssen die Folgen der Datenverarbeitung in klarer Sprache und zumutbarer Länge
dargestellt werden.
Der FoeBuD fordert, Artikel 6, Abs. 1, Satz f zu streichen.
Dieser Satz bestimmt die Rechtmäßigkeit der Verarbeitung personenbezogener Daten, wenn
sie der „Wahrung berechtigter Interessen“ dient. Das ist eine carte blanche, da „berechtigte
Interessen“ ein unbestimmter Rechtsbegriff ist. Die anderen in Abs. 1 geregelten
Erlaubnistatbestände für eine Datenverabeitung reichen völlig aus.
Der FoeBuD fordert die Ausweitung des Auskunftsrecht in Artikel 15.
Das Auskunftsrecht für betroffene Personen muss erweitert werden um Auskunft über die
logische Art der Datenverarbeitung. Nur wenn Verbraucherinnen und Verbraucher über die Art
und Weise, wie Daten über sie verarbeitet werden, informiert sind, können sie ihre Rechte
wahrnehmen. Deshalb müssen die Algorithmen, mit denen Daten verarbeitet werden, offen
gelegt werden.
Auch Datenschutz- und Verbraucherschutzverbände müssen ein generelles Auskunftsrecht
darüber erhalten, wie Daten gespeichert werden.
Der FoeBuD fordert eine Ausweitung des
„Rechts auf Vergessenwerden“ in Artikel 17.
Daten müssen nicht nur gelöscht werden, wenn sie öffentlich gemacht wurden. Es müssen
auch alle Schritte unternommen werden, die Daten zu löschen, wenn sie an Dritte weitergegeben
wurden, die die ihrerseits veröffentlicht haben.
Der FoeBuD begrüßt das „Recht auf Datenübertragbarkeit“
und fordert Interoperabilität (Artikel 18).
Der FoeBuD fordert, dass es unerheblich sein muss, in welchem Format Anbieter die Daten intern
speichern. Die Daten müssen in jedem Fall in einem „verwendbaren strukturierten gängigen
elektronischen Format“ zugänglich gemacht werden.
Soziale Netzwerke haben großartigen kommunikativen Wandel angestoßen, bei dem derzeit
kein Wettbewerb herrscht. So wie es möglich ist, den E-Mail-Anbieter zu wechseln oder von einem
Anbieter eine E-Mail zu einem anderen Anbieter zu schreiben, so müssen Soziale Netzwerke
untereinander kompatibel sein. Offener, fairer Wettbewerb ist eine der Grundsäulen der
EU, der nur auf diese Weise verwirklicht werden kann.
Dafür fordert der FoeBuD offene Schnittstellen und offene Standards.
Der FoeBuD kritisiert Artikel 19 („Widerspruch“).
Dieser Artikel ist im Vergleich zum vorhergehenden Entwurf von einem opt-in zu einer
Widerspruchslösung verwässert worden. Der FoeBuD fordert eine opt-in Lösung. Diese ist im
Sinne der Verbraucherinnen und Verbraucher. Andernfalls wird Arbeit auf die
Verbraucherinnen und Verbraucher abgewälzt, die selbst tätig werden müssen, wenn sie vom
Direktmarketing verschont bleiben wollen.
Der FoeBuD kritisiert Artikel 20 („Profiling“).
Der FoeBuD fordert, dass sensible Daten, etwa Gesundheitsdaten, zu keiner Zeit zum Profiling
verwendet werden dürfen. Der FoeBuD fordert, das Profiling von Kindern zu verbieten.
Profile sind auch dann personenbezogen, wenn die Personendaten nicht bekannt sind, es sich
aber um eindeutige Profile, etwa Browser oder Kreditkartenprofile, handelt. Sie sind eindeutig
wiedererkennbar und deshalb personenbezogen. Auch anonymes oder pseudonymes Profiling
muss eine Einwilligung erfordern.
Der FoeBuD kritisiert Artikel 42 („Datenübermittlung an Drittstaaten“).
Der FoeBuD fordert, dass Auskünfte an Behörden von Drittstaaten nur rechtmäßig sind, wenn
der Auskunftsgrund auch innerhalb der EU eine Rechtsgrundlage hat. Selbstverpflichtungen
der anfragenden Unternehmen (wie zum Beispiel Safe Harbor) oder staatlichen Stellen aus
Drittländern sind nicht geeignet, diese gesetzlichen Grundlagen zu ersetzen.