Die Verhandlungen zur geplanten Datenschutz-Grundverordnung (DS-GVO) (und natürlich auch zur Datenschutz-Richtlinie für den Bereich der Justiz und Strafverfolgung) im Rat der Europäischen Union dauern an. Nun ist im Internet das aktuelle Arbeitsdokument zu den Änderungsvorschlägen des Ministerrates (Datum: 16.12.2013) zur Datenschutz-Grundverordnung abrufbar.

Aufgrund des Umfangs des Dokuments möchte ich hier nur einen Überblick zu Änderungsvorschlägen zu einigen Themengebieten geben. Von Interesse ist dabei freilich insbesondere, inwieweit sich die im Ministerrat vorgeschlagenen Anpassungen mit denjenigen des Berichts des LIBE-Ausschusses im Europäischen Parlament decken oder abweichen.

Pseudonyme Daten

Die Definition von pseudonymen Daten (einer der Streitpunkte im Rahmen der Verhandlungen um die Verordnung), ist fast identisch mit derjenigen aus dem LIBE-Bericht abgefasst, jeweils Art. 4 (2a). Der Vorschlag des Ministerrates sieht jedoch als zusätzlichen Teil der Voraussetzung vor, dass personenbezogenen Daten auf eine bestimmte Art und Weise verarbeitet werden müssen, um als pseudonyme Daten zu gelten. Der LIBE-Bericht definiert dies und die Voraussetzung einer Verarbeitung.

Einwilligung

Die Definition der Einwilligung scheint auch im Ministerrat weiterhin ein Streitpunkt zu sein. Nach Art. 4 (8) des Vorschlags der Kommission (KOM(2012) 11 endg.) sollte diese als „explizite Willensbekundung in Form einer Erklärung“ definiert werden. Der LIBE-Bericht ließ diese Definition in der Form grundsätzlich bestehen (zumindest in der englischen Fassung; in der deutschen Übersetzung ist von „ausdrücklich“ die Rede) . Art. 4 (8) des Vorschlags des Rates möchte „explizit“ löschen. Gegen diese Löschung Bestehen jedoch Vorbehalte der Kommission, von Zypern, Frankreich, Griechenland, Ungarn, Italien, Polen und Rumänien. Der Vorschlag des Rates sieht dafür als Ersatz die Einfügung des Wortes „eindeutig“ (engl.: unambiguous) in Art. 6 Abs. 1 (a) vor, wo die Einwilligung als eine Grundlage der Datenverarbeitung benannt wird. Der Unterschied: in Art. 4 (8) wird die Einwilligung selbst definiert, in Art. 6 Abs. 1 (a) wird die Abgabe der Einwilligung beschrieben. England möchte im Übrigen zu der Definition der Einwilligung in Form der derzeit geltenden Datenschutz-Richtlinie (RL 95/46/EG) zurück.

„Anti-Fisa-Klausel“

Die sog. Anti-Fisa-Klausel (Art. 43a des LIBE-Berichts), welche grundsätzliche eine Autorisierung von Datenübermittlung in Drittländer durch eine Datenschutzbehörde vorsieht, wenn der Verantwortliche oder Auftragsdatenverarbeiter durch einen Gerichtsbeschluss oder die Entscheidung einer Behörde eines Drittstaates zu Datenweitergabe verpflichtet wird, findet sich in dieser Form nicht in dem Ratsvorschlag. Jedoch wurde etwa die Vorschrift des Art. 41 Abs. 2 (a), in der es um die Voraussetzung zur Anerkennung eines angemessenen Schutzniveaus in einem Drittland geht (wie etwa bei der Safe Harbor Entscheidung), mit weiteren Anforderungen an den Schutz von Daten im Ausland versehen. Zum Beispiel dass die Beachtung von Menschenrechten oder Rechtsschutzmöglichkeiten für die Betroffenen in die Abwägung mit eingestellt werden müssen.

Räumlicher Anwendungsbereich

Offensichtlich und auch gewollt ist, dass die DS-GVO einen größeren bzw. eindeutigeren räumlichen Anwendungsbereich erhält, als die derzeit geltende Datenschutz-Richtlinie. Grundsätzlich soll dabei für Anbieter aus Drittländern das sog. Marktortprinzip umgesetzt werden. Fast wortgleich übereinstimmend sind hierbei die Änderungen des Rates als auch im LIBE-Bericht zu Art. 3 Abs. 2 (a), wonach die DS-GVO auch gelten soll, wenn der Verantwortliche (nach dem LIBE-Bericht auch der Auftragsdatenverarbeiter) nicht in der EU bzw. dem EWR niedergelassen sind und Personen in der EU Waren oder Dienstleistungen anbieten, unabhängig davon, ob von den Betroffenen eine Zahlung zu leisten ist. Eine kleiner, jedoch nicht unerheblicher Unterschied in Art. 3 Abs. 2 DS-GVO ist weiterhin, dass nach dem LIBE-Bericht die Betroffenen nicht in der EU „ansässig“ sein müssen, was jedoch vom Rat noch, entsprechend dem Originalvorschlag der Kommission, verlangt wird (hier scheint sich im übrigen in der deutschen Fassung des LIBE-Berichts ein Fehler eingeschlichen zu haben, denn dort ist weiterhin von „ansässigen Betroffenen“ die Rede, in der englischen Fassung, wird gerade diese Voraussetzung jedoch gestrichen).

Ausblick

Man könnte diese Liste an sich deckenden und abweichenden Änderungen im Rat und in dem LIBE-Bericht noch lange fortführen. Positiv scheint, dass sich gleichende Vorschläge nicht etwa nur die Ausnahme darstellen. Kritisch muss jedoch freilich auch berücksichtigt werden, dass es tatsächlich noch Abweichungen gibt und die Position des Rates selbst noch nicht endgültig ist. Die griechische Ratspräsidentschaft hat für die kommenden Wochen weitere Verhandlungstermine zur Datenschutzreform geplant und man darf gespannt sein, wie sich die Verhandlungen entwickeln.