Die Datenschutz-Grundverordnung (DSGVO oder DS-GVO; RGPD, GDPR) ist eine Verordnung der Europäischen Union, mit der die Regeln zur Verarbeitung personenbezogener Daten durch die meisten Datenverarbeiter, sowohl private wie öffentliche, EU-weit vereinheitlicht werden. Dadurch soll einerseits der Schutz personenbezogener Daten innerhalb der Europäischen Union sichergestellt, und auch andererseits der freie Datenverkehr innerhalb des Europäischen Binnenmarktes gewährleistet werden.
Die Verordnung ersetzt die aus dem Jahr 1995 stammende Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr.
Zusammen mit der so genannten JI-Richtlinie für den Datenschutz in den Bereichen Polizei und Justiz bildet die DSGVO seit dem 25. Mai 2018 den gemeinsamen Datenschutzrahmen in der Europäischen Union.
Unmittelbare Geltung; nationale Sonderregelungen Im Gegensatz zur Richtlinie 95/46/EG, die von den EU-Mitgliedstaaten in nationales Recht umgesetzt werden musste, gilt die Datenschutz-Grundverordnung seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten. Die Mitgliedstaaten bringen jedoch durch Rechtsvorschriften das Recht auf den Schutz personenbezogener Daten gemäß dieser Verordnung mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit in Einklang ( und der Verordnung). Für diese und andere Rechtsvorschriften ist die Datenschutz-Grundverordnung bereits seit deren Inkrafttreten am 24. Mai 2016 maßgeblich. Den Mitgliedstaaten ist es sonst grundsätzlich nicht erlaubt, den von der Verordnung festgeschriebenen Datenschutz durch nationale Regelungen abzuschwächen oder zu verstärken. Allerdings enthält die Verordnung verschiedene Öffnungsklauseln, die es den einzelnen Mitgliedstaaten ermöglichen, bestimmte Aspekte des Datenschutzes auch im nationalen Alleingang zu regeln. Daher wird die Datenschutz-Grundverordnung auch als „Hybrid“ zwischen Richtlinie und Verordnung bezeichnet.
Regelungsbedarf gibt es damit sowohl im Hinblick auf die Öffnungsklauseln der Datenschutz-Grundverordnung als auch wegen des Bedarfs der Bereinigung nationalen Datenschutzrechts. Diese Ziele sollen in Deutschland auf Bundesebene mit der Neufassung des Bundesdatenschutzgesetzes und der Änderung weiterer Gesetze erreicht werden. Das Gesetz vom 30. Juni 2017 hebt nationales Datenschutzrecht auf oder überführt die bei Inkrafttreten der Datenschutz-Grundverordnung unwirksamen Regelungen des bisherigen Bundesdatenschutzgesetzes in andere Gesetzesbereiche, es passt Regelungen an und schafft teils neue Vorschriften für den Datenschutz. Bereits bei der Diskussion um die diversen Referentenentwürfe des Bundesinnenministeriums, das bei der Gesetzgebung federführend war, haben Datenschützer die unzureichende Berücksichtigung der Erfahrungen der letzten Jahre bemängelt. Juristen bezweifeln die Vereinbarkeit des angepassten Bundesdatenschutzgesetzes mit europäischem Recht.
Inhalt
Die Datenschutz-Grundverordnung ist Teil der EU-Datenschutzreform, welche die Europäische Kommission am 25. Januar 2012 vorgestellt hat.
Aufbau der DSGVO
Die DSGVO besteht aus 99 Artikeln in elf Kapiteln:
Kapitel 1 (Artikel 1 bis 4): Allgemeine Bestimmungen (Gegenstand und Ziele, sachlicher und räumlicher Anwendungsbereich, Begriffsbestimmungen) Kapitel 2 (Artikel 5 bis 11): Grundsätze und Rechtmäßigkeit (Grundsätze und Rechtmäßigkeit der Verarbeitung personenbezogener Daten, Bedingungen für die Einwilligung, Verarbeitung besonderer Kategorien personenbezogener Daten) Kapitel 3 (Artikel 12 bis 23): Rechte der betroffenen Person (Transparenz und Modalitäten, Informationspflicht und Recht auf Auskunft zu personenbezogenen Daten, Berichtigung und Löschung – das „Recht auf Vergessenwerden“ –, Widerspruchsrecht und automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling) Kapitel 4 (Artikel 24 bis 43): Verantwortlicher und Auftragsverarbeiter (Allgemeine Pflichten, Sicherheit personenbezogener Daten, Datenschutz-Folgenabschätzung und vorherige Konsultation, Datenschutzbeauftragter, Verhaltensregeln und Zertifizierung) Kapitel 5 (Artikel 44 bis 50): Übermittlungen personenbezogener Daten an Drittländer oder an internationale Organisationen Kapitel 6 (Artikel 51 bis 59): Unabhängige Aufsichtsbehörden Kapitel 7 (Artikel 60 bis 76): Zusammenarbeit und Kohärenz, Europäischer Datenschutzausschuss Kapitel 8 (Artikel 77 bis 84): Rechtsbehelfe, Haftung und Sanktionen Kapitel 9 (Artikel 85 bis 91): Vorschriften für besondere Verarbeitungssituationen (u. a. Verarbeitung und Freiheit der Meinungsäußerung und Informationsfreiheit, Datenverarbeitung am Arbeitsplatz, Zugang der Öffentlichkeit zu amtlichen Dokumenten, Verarbeitung zu im öffentlichen Interesse liegenden Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken, bestehende Datenschutzvorschriften von Kirchen und religiösen Vereinigungen oder Gemeinschaften) Kapitel 10 (Artikel 92 bis 93): Delegierte Rechtsakte und Durchführungsrechtsakte Kapitel 11 (Artikel 94 bis 99): Schlussbestimmungen (u. a. Aufhebung der Richtlinie 95/46/EG und Inkrafttreten der DSGVO)
Vor den 99 Artikeln sind 173 Erwägungsgründe (ErwG) angeführt, die zur Auslegung der Artikel mit herangezogen werden.
Bereiche der Neuregelung
Viele Bereiche des Datenschutzes werden durch die DSGVO nicht neu geregelt. Insbesondere bleibt der Begriff der „personenbezogenen Daten“ in weiterhin weit gefasst: „personenbezogene Daten“ [sind] alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann; …
Weiterhin gilt ebenfalls, dass die Verarbeitung personenbezogener Daten nur aufgrund eines Erlaubnistatbestands zulässig ist. Diese sind in aufgeführt: Die betroffene Person hat ihre Einwilligung gegeben; die Verarbeitung ist für die Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich; die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich; die Verarbeitung ist erforderlich, um lebenswichtige Interessen zu schützen; die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt; die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich. Im letzten Fall ist eine Interessensabwägung gegenüber den Interessen der betroffenen Person erforderlich.
Zusammenfassend gilt: „Die DSGVO ändert die Konzeption und weitgehend auch die Detailregelungen des geltenden Datenschutzrechts nicht grundlegend. Vielmehr werden vielfach Bestimmungen der EG-Datenschutzrichtlinie 95/46 übernommen, die die Grundlage des Bundesdatenschutzgesetzes bilden. Andererseits gibt es aber auch zahlreiche neue datenschutzrechtliche Vorgaben, deren Erfüllung allein schon hinsichtlich des immens erhöhten Bußgeldrahmens korrekter Beachtung bedarf.“Peter Gola, Andreas Jaspers et al.: Datenschutz-Grundverordnung im Überblick. DATAKONTEXT: München 2016. ISBN 978-3-89577-774-5, S. 22.
Zu folgenden Themenbereichen liefert die DSGVO Neuregelungen oder grundsätzliche Präzisierungen:
Grundsätze der Verarbeitung personenbezogener Daten
Die DSGVO führt in explizit folgende sechs Grundsätze für die Verarbeitung personenbezogener Daten auf: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz Zweckbindung (Verarbeitung nur für festgelegte, eindeutige und legitime Zwecke) Datenminimierung („dem Zweck angemessen und erheblich sowie auf das […] notwendige Maß beschränkt“) Richtigkeit („es sind alle angemessenen Maßnahmen zu treffen, damit [unrichtige] personenbezogene Daten unverzüglich gelöscht oder berichtigt werden“) Speicherbegrenzung (Daten müssen „in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es […] erforderlich ist“) Integrität und Vertraulichkeit („angemessene Sicherheit der personenbezogenen Daten […], einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung“)
Der Verantwortliche muss die Einhaltung all dieser Grundsätze nachweisen. Die Nichteinhaltung dieser Grundsätze und der Rechenschaftspflicht kann mit einem angemessenen Bußgeld in Höhe von bis zu 20 Millionen EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes geahndet werden ( Abs. 5 lit. a).
Diese Grundsätze stellen die Programmatik der Verordnung dar. Die Regelung war fast wortlautgleich Teil der Datenschutzrichtlinie (Art. 6 Richtlinie 95/46/EG) und als diese bis 1998 in nationale Gesetzgebung umzusetzen. Sie sind mehr als symbolische Wiederholungen der AEUV, GRCh oder „Transmissionsriemen“ zwischen diesen Bestimmungen und der Verordnung – dies belegt insbesondere die hohe Bußgeldbewehrung der Nichteinhaltung der Bestimmung.
Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
Der Dreiklang Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz bedingt einander.
Der Rechtmäßigkeits-Grundsatz lässt sich weit und eng auslegen. Eine enge Auslegung bezieht sich auf die Zulässigkeit der Verarbeitung (Frage nach den „Ob?“), eine weitere Auslegung stellt die Frage nach dem „Wie?“. Die herrschende Meinung legt die Vorschrift eng aus, stellt jedoch fest, dass der ErwG 40 in dieser Hinsicht nicht eindeutig ist.
Es ist festzustellen, dass insbesondere der Grundsatz der Verarbeitung nach Treu und Glauben noch weiter zu fassen ist, als in der deutschen Rechtsprechung üblich, so sprechen die anderen Sprachversionen beispielsweise von „fairness“ (englisch, nicht etwa von „good faith“), „loyauté“ (französisch, Anständigkeit, nicht etwa „bonne foi“), „correttezza“ (italienisch, Richtigkeit, nicht etwa „buona fede“) und „behoorlijkheid“ (niederländisch, Angemessenheit, nicht etwa „goede trouw“).
Transparenz stellt hier die Umsetzung der beiden vorgenannten Grundsätze dar: Es muss einerseits retrospektiv nachvollziehbar sein, der Datenverarbeitung Schritt für Schritt zu folgen. Dies hatte bereits 1983 das Bundesverfassungsgericht im Volkszählungsurteil festgestellt. Der Transparenzgedanke der Verordnung geht jedoch über diese reine Rückschau hinaus. Es muss vielmehr vorausblickend möglich sein, nicht nur den Prozess der Verarbeitung zu überblicken und verstehen, sondern auch den Zusammenhang und damit auch bspw. den Grund der Verarbeitung und den Zeitpunkt und Grund der Übermittlung an Dritte. (ErwG 39)
Zweckbindung