Die Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr war eine 1995 erlassene Richtlinie der Europäischen Gemeinschaft zum Schutz der Privatsphäre von natürlichen Personen bei der Verarbeitung von personenbezogenen Daten. Sie ist durch die am 4. Mai 2016 im Amtsblatt der Europäischen Union veröffentlichte Datenschutz-Grundverordnung am 25. Mai 2018 abgelöst worden. Verweise auf die Richtlinie gelten seitdem als Verweise auf die Datenschutz-Grundverordnung (Art. 94 Abs. 2 der Datenschutz-Grundverordnung).

Geschichte Bereits in den 1970ern und 1980ern forderte das Europäische Parlament die Kommission der EG mehrfach auf, „an die Vorbereitung einer Richtlinie zu denken, um den einzelnen Bürger der Gemeinschaft vor Missbrauch bei der Speicherung, Verarbeitung und Verbreitung persönlicher Informationen durch automatische Datenbanken im öffentlichen wie im privaten Sektor zu schützen“. Dieser ursprünglichen Forderung von 1975 kam die Kommission jedoch rund zwanzig Jahre später – mit der Empfehlung, doch das Datenschutz-Übereinkommen des Europarats zu ratifizieren – nach. Dies erscheint auf den ersten Blick paradox, spiegelt jedoch die unterschiedlichen Ausgangspunkte des Parlamentes und der Kommission wider: Das Parlament betrachtete die sich durch Computer radikal ändernden Verarbeitungsbedingungen und die daraus möglichen Konsequenzen für die Betroffenen. Erste Prämisse der Kommission war es, den freien Warenverkehr – und damit dem gemeinsamen Markt – zu fördern. Und daher jede Einschränkung für den Markt in dieser Hinsicht genauso wenig zu tolerieren wie einschränkende Regelungen für jedes andere „marktfähige Gut“. Gegenteiligerweise unterstützte die Kommission die Verstärkung des unbeschränkten Verkehrs mit Daten.Kommission der Europäischen Gemeinschaften: . 16. Dezember 1988.

Der formelle Rechtsetzungsprozess für die Richtlinie begann mit der Veröffentlichung eines „Vorschlags für eine Richtlinie des Rates zum Schutz von Personen bei der Verarbeitung personenbezogener Daten“ durch die Kommission; dieser wurde im Rechtsetzungsprozess 1992 noch einmal grundlegend geändert. Der Vorschlag der Kommission stellt fest, dass die Mitgliedstaaten ihre Empfehlung nur mangelhaft umgesetzt hatten. Nur sieben der zwölf Mitgliedsstaaten der EG waren dem Datenschutzübereinkommen beigetreten, darauf basierende einzelstaatliche Regelungen bestanden in nur sechs Mitgliedsstaaten (Deutschland, Dänemark, Frankreich, Irland, Luxemburg, und Vereinigtes Königreich), Spanien hatte den Vertrag zwar ratifiziert, jedoch noch nicht umgesetzt, die Niederlande hatten ein davon unabhängiges Datenschutzrecht. Daneben hatte der Rat der OECD 1980 Datenschutz-Leitlinien verabschiedet.

Es wurden somit drei Probleme im Datenschutzrecht festgestellt:

Die Grundrechte der Gemeinschaftsbürger wurden unterschiedlich und teils nur lückenhaft geschützt. Dies war „nicht mit dem Engagement der Gemeinschaft für die Wahrung der Grundrechte vereinbar, auf das in der gemeinsamen Erklärung […] zu den Grundrechten vom 5. April 1977 und in Absatz 3 der Präambel der Einheitlichen Europäischen Akte hingewiesen wurde“. Die Übermittlung von Daten schien – unter Berücksichtigung der Rechte der Betroffenen – notwendig: Datenverarbeitung ist in vielen Bereichen des Wirtschaftslebens unerlässlich und die Grundfreiheiten machen es notwendig, dass Daten grenzüberschreitend übermittelt werden. Die Europäische Integration macht es im Zusammenhang der Mobilität der Bürger erforderlich, dass nationale Verwaltungen zusammenarbeiten um so beispielsweise Steuer- oder Sozialdaten im Interesse der Bürger ausgetauscht werden. Der Wettbewerb wird verzerrt, wenn Unternehmen in ihrem Land unterschiedlich strengen Vorschriften unterliegen.

Inhalt Die Richtlinie beschreibt Mindeststandards für den Datenschutz, die in allen Mitgliedstaaten der Europäischen Union durch nationale Gesetze sichergestellt werden müssen. Ausgenommen von der Anwendung sind lediglich die ausdrücklich in Art. 3 Abs. 2 der Richtlinie genannten Bereiche betreffend die zweite und dritte Säule der Europäischen Union, also der gemeinsamen Außen- und Sicherheitspolitik (GASP) und der polizeilichen und justiziellen Zusammenarbeit in Strafsachen (PJZS).

Die Richtlinie verbietet in der Regel die Verarbeitung sensibler personenbezogener Daten. Es sind jedoch Ausnahmen von diesem Verbot vorgesehen, etwa wenn die betroffene Person ausdrücklich in die Verarbeitung der genannten Daten eingewilligt hat oder die Verarbeitung erforderlich ist, „um den Rechten und Pflichten des für die Verarbeitung Verantwortlichen auf dem Gebiet des Arbeitsrechts Rechnung zu tragen“. Zudem sieht die Richtlinie vor, dass die Mitgliedstaaten vorbehaltlich angemessener Garantien, aus Gründen eines wichtigen öffentlichen Interesses, Ausnahmen vorsehen können.

Umsetzung Deutschland Im Telekommunikationsbereich wird die Datenschutzrichtlinie durch die im Jahr 2002 erlassene Datenschutzrichtlinie für elektronische Kommunikation ergänzt.

In Deutschland ist die Europäische Datenschutzrichtlinie erst durch das Gesetz zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze vom 18. Mai 2001 umgesetzt worden, das am 23. Mai 2001 in Kraft trat. Vorausgegangen war ein von der EU-Kommission eingeleitetes Vertragsverletzungsverfahren, weil die Richtlinie nicht innerhalb der vereinbarten Drei-Jahres-Frist in deutsches Recht transformiert worden war.

mini|hochkant|Klageschrift der Kommission gegen Deutschland wegen der Unabhängigkeit der Datenschutzbeauftragten

Im Juli 2005 rügte die EU-Kommission eine unzureichende inhaltliche Umsetzung der Datenschutzrichtlinie in Deutschland. Sie kritisiert, dass den Stellen, die mit der Datenschutzaufsicht der Länder betraut sind, die erforderliche Unabhängigkeit von staatlicher Einflussnahme fehle. Die Kommission leitete daher ein weiteres Vertragsverletzungsverfahren ein.. In: ABl. C, Nr. 37, 9. Februar 2008, S. 8–9. Im März 2010 urteilte der Europäische Gerichtshof (EuGH),EuGH: . dass die Bundesrepublik die Vorgabe falsch umgesetzt hat.Europa befreit Datenschützer von politischem Druck. Spiegel Online, 9. März 2010.

Österreich In Österreich erfolgte die Umsetzung der Richtlinie im Datenschutzgesetz 2000, als Aufsichtsbehörde fungierte die Datenschutzkommission (DSK) bzw. seit 1. Jänner 2014 die Datenschutzbehörde (DSB).

Literatur

Martin Zilkens: Europäisches Datenschutzrecht – Ein Überblick. In: Recht der Datenverarbeitung. 2007, S. 196–201.

Weblinks

EuGH: „Völlige Unabhängigkeit“ der Datenschutzaufsicht zu gewährleisten [Update]. heise online, 9. März 2010. EU-US Privacy Shield

Einzelnachweise

Kategorie:Datenschutzrecht (Europäische Union) Datenschutzrichtlinie Kategorie:Rechtsquelle (20. Jahrhundert)