Sitzung vom 19. September 2018

Vollmacht zur Unterzeichnung des Protokolls zur Änderung des Übereinkommens des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (SEV Nr. 108)

1. Beschlussfassung:

Die Regierung erteilt dem Außenminister oder seinem Vertreter Vollmacht zur Unterzeichnung in ihrem Namen des Protokolls zur Änderung des Übereinkommens des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (SEV Nr. 108).

Der Ministerpräsident wird damit beauftragt, dies dem Außenminister und dem zuständigen Dienst des Außenministeriums mitzuteilen.

2. Erläuterungen:

Hintergrund

Das Übereinkommen des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten („Übereinkommen Nr. 108“) ist das einzige rechtlich verbindliche multilaterale Übereinkommen im Bereich des Schutzes personenbezogener Daten. Ziel des Übereinkommens ist der Schutz des Rechts auf Achtung der Privatsphäre, das in Artikel 8 der Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten niedergelegt ist. Das Recht auf Achtung der Privatsphäre und auf Schutz personenbezogener Daten ist auch in Artikel 7 und 8 der Charta der Grundrechte der Europäischen Union und in Artikel 16 AEUV verankert.

Dem Übereinkommen Nr. 108 zufolge müssen die Vertragsparteien in ihrem innerstaatlichen Recht die erforderlichen Maßnahmen treffen, um dafür zu sorgen, dass die Grundrechte aller Personen in Bezug auf die Verarbeitung personenbezogener Daten geschützt werden. Dies war eine der wichtigsten Inspirationsquellen für die Entwicklung des Besitzstands der Union im Bereich des Datenschutzes. Eines der Ziele der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr besteht nach Erwägungsgrund 11 gerade darin, die in dem Übereinkommen Nr. 108 enthaltenen Grundsätze „zu konkretisieren und zu erweitern“.

Bisher haben 51 Staaten das Übereinkommen Nr. 108 ratifiziert, darunter alle 28 EU-Mitgliedstaaten, die vier EFTA-Staaten, alle Länder des westlichen Balkans, mehrere Nachbarländer (z. B. Armenien, Georgien), die Russische Föderation, die Türkei und mehrere nicht-europäische Länder sowohl in Afrika (z. B. Senegal, Tunesien) als auch in Lateinamerika (Uruguay). Mehrere Anträge auf Beitritt (z. B. von Argentinien, Mexiko und Marokko) sind anhängig, und eine Reihe von Staaten haben Beobachterstatus (z. B. Japan und Südkorea).

Das Übereinkommen Nr. 108 wurde im Jahr 1981 zur Unterzeichnung aufgelegt, also lange vor dem Zeitalter des Internets und der elektronischen Kommunikation. Die technologische Entwicklung und die Globalisierung der Information stellen den Schutz personenbezogener Daten vor neue Herausforderungen. Zweck des Änderungsprotokolls ist die Überarbeitung des Übereinkommens Nr. 108, um Lösungen für die Bewältigung dieser Herausforderungen anzubieten.

Das Änderungsprotokoll

Das überarbeitete Übereinkommen (d. h. Übereinkommen Nr. 108 geändert durch das Änderungsprotokoll) wird allen Vertragsstaaten des Übereinkommens einen einheitlichen Anwendungsbereich bieten ohne die Möglichkeit, Sektoren oder Tätigkeiten (z. B. im Bereich der nationalen Sicherheit) auszuschließen, wie dies beim derzeitigen Übereinkommen der Fall ist. Es würde damit alle Arten der Datenverarbeitung im Einzugsbereich der Vertragsparteien umfassen, sowohl im öffentlichen als auch im privaten Sektor.

Das Änderungsprotokoll erhöht das Datenschutzniveau im Rahmen des Übereinkommens Nr. 108 beträchtlich. Das überarbeitete Übereinkommen wird insbesondere den Grundsatz der rechtmäßigen Verarbeitung (vor allem im Hinblick auf die Anforderungen an die Einwilligung) konkretisieren und besondere Datenkategorien stärker schützen (wobei diese auf die im Unionsrecht als besondere Kategorien personenbezogener Daten anerkannten Kategorien ausgeweitet werden). Darüber hinaus sieht das überarbeitete Übereinkommen zusätzliche Garantien für den Einzelnen vor, wenn seine personenbezogenen Daten verarbeitet werden (insbesondere die Verpflichtung, die voraussichtlichen Auswirkungen einer geplanten Datenverarbeitung zu untersuchen und die einschlägigen technischen und organisatorischen Maßnahmen durchzuführen; Pflicht zur Meldung schwerer Verstöße gegen den Datenschutz) und stärkt auch seine Rechte (insbesondere im Hinblick auf Transparenz und Datenzugang). Für betroffene Personen wurden außerdem neue Rechte eingeführt, wie das Recht, nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf eine automatisierte Verarbeitung gestützt ist und die den Einzelnen erheblich beschwert, das Recht, gegen die Verarbeitung Einspruch zu erheben, und das Recht auf einen Rechtsbehelf bei einer Rechtsverletzung.

In das überarbeitete Übereinkommen werden Bestimmungen aufgenommen (die derzeit in einem nur von einigen Vertragsparteien unterzeichneten Zusatzprotokoll enthalten sind), mit denen die Vertragsparteien verpflichtet werden, eine oder mehrere unabhängige Behörden einzurichten, die für die Einhaltung der Bestimmungen des Übereinkommens Nr. 108 zuständig sind. Die Stellung dieser Behörden würde gestärkt, wenn die Parteien dazu verpflichtet würden, den Behörden zusätzliche Befugnisse zu übertragen, z. B. die Befugnis, Entscheidungen in Bezug auf Verstöße gegen das Übereinkommen Nr. 108 zu erlassen und verwaltungsrechtliche Sanktionen zu verhängen.

Die im Änderungsprotokoll formulierten Ausnahmen von den oben genannten Rechten und Pflichten erfüllen drei wesentliche Voraussetzungen: Wahrung des umfassenden Anwendungsbereichs des Übereinkommens Nr. 108 (keine allgemeinen Ausnahmen), Flexibilität (mit dem Ziel, hohe Datenschutzstandards mit anderen wichtigen öffentlichen Interessen in Einklang zu bringen, z. B. nationalen Sicherheitsinteressen) und Gesamtkohärenz mit der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte (insbesondere keine Einschränkung, die den Wesensgehalt des Grundrechts auf Datenschutz beeinträchtigt).

Insgesamt würde das überarbeitete Übereinkommen ein hohes Schutzniveau gewährleisten und gleichzeitig den Vertragsparteien bei der Umsetzung der Vorschriften in innerstaatliches Recht einen gewissen Spielraum lassen. Der Beitritt zum überarbeiteten Übereinkommen Nr. 108 würde so auch für Länder außerhalb Europas attraktiv, die die Einrichtung von Datenschutzsystemen oder ihren Ausbau erwägen. Seine praktischen Auswirkungen dürften viel größer sein als die Auswirkungen des derzeitigen Übereinkommens Nr. 108, und zwar sowohl in Bezug auf seinen Anwendungsbereich als auch auf die darin festgelegten Verpflichtungen.

Das Änderungsprotokoll sieht die Möglichkeit vor, dass die Union Vertragspartei des (überarbeiteten) Übereinkommens wird, sobald es in Kraft tritt. Was die Stimmrechte im Übereinkommensausschuss betrifft, so sichert der vereinbarte Text den Grundsatz zu, dass die Union in ihrem Zuständigkeitsbereich eine Anzahl von Stimmen für die Union abgeben kann, die der Zahl ihrer Mitgliedstaaten entspricht, die Vertragsparteien des Übereinkommens sind. Um Bedenken hinsichtlich der Gewichtung der Stimme der Union zu begegnen, wurde eine Kompromisslösung vereinbart, der zufolge Entscheidungen nur mit einer „Hyper-Mehrheit“ (vier Fünftel) der Parteien getroffen werden können. Bei grundlegenden Entscheidungen, die die Einhaltung des Übereinkommens durch eine Vertragspartei betreffen, ist die „doppelte Mehrheit“ (qualifizierte Mehrheit plus die einfache Mehrheit der nicht der EU angehörenden Vertragsparteien) erforderlich.

Dadurch, dass der Übereinkommensausschuss die Wirksamkeit der Maßnahmen prüfen kann, die in den nationalen Rechtsvorschriften zur Durchführung des Übereinkommens getroffen wurden, wird das überarbeitete Übereinkommen zu einem effektiveren Datenschutz beitragen.

Der Wortlaut des Änderungsprotokolls, der den Verhandlungsrichtlinien des Rates folgt, wurde mit den Vertretern der Mitgliedstaaten in der zuständigen Arbeitsgruppe des Rates abgestimmt. Er steht auch in vollem Einklang mit der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung, „DSGVO“) und der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr („Polizei-Richtlinie“), wodurch ausgeschlossen wird, dass die Mitgliedstaaten unterschiedlichen oder sogar widersprüchlichen Verpflichtungen nach dem Unionsrecht und dem Recht des Europarates unterliegen. Die Annahme eines robusten Übereinkommens, das auf demselben Ansatz und denselben Grundsätzen wie der (neue) Besitzstand der Union beruht, ist für die internationale Strategie der Union im Bereich des Datenschutzes von besonderer Bedeutung. Das Übereinkommen Nr. 108, das auch nichteuropäischen Staaten offen steht, besitzt viel Anziehungskraft für Länder aus der ganzen Welt, die an Datenschutzvorschriften arbeiten oder solche planen. In ihrer Mitteilung vom Januar 2017 über den „Austausch und Schutz personenbezogener Daten in einer globalisierten Welt“ (COM(2017) 7 final) stellte die Kommission in Bezug auf das Übereinkommen Nr. 108 fest, dass das überarbeitete Übereinkommen auf denselben Grundsätzen wie die EU-Datenschutzvorschriften basieren und „somit zur Konvergenz mit Blick auf einen Katalog hoher Datenschutzstandards auf globaler Ebene beitragen“ wird. Sie hat sich daher dazu verpflichtet, sich für die „rasche Verabschiedung“ des Änderungsprotokolls einzusetzen.

Auswirkungen für die Deutschsprachige Gemeinschaft

Die Anpassung des Übereinkommens Nr. 108 orientiert sich maßgeblich an der EU-Datenschutz-Grundverordnung, die seit dem 25. Mai 2018 wirksam ist. Die automatisierte Verarbeitung von personenbezogenen Daten (u.a. Profiling) wird in Artikel 22 der DSGVO angesprochen und geregelt. Da diese DSGVO bereits bestehendes Recht ist, wird nicht davon ausgegangen, dass durch die Unterzeichnung des Protokolls zusätzliche Auswirkungen für die Deutschsprachige Gemeinschaft entstehen werden.

Bei diesem völkerrechtlichen Vertrag handelt es sich um einen „gemischten Vertrag“ im Sinne von Artikel 167 §4 der Verfassung, wie die Arbeitsgruppe für Gemischte Verträge per Umlaufverfahren am 17. Juli 2018 feststellte.

Das Protokoll zur Änderung des Übereinkommens des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (SEV Nr. 108) soll voraussichtlich am 10. Oktober 2018 in Strasburg unterzeichnet werden.

Damit das Abkommen unterzeichnet werden kann, ist die Erteilung von Vollmachten erforderlich.

3. Finanzielle Auswirkungen:

Es entstehen keine Kosten für die Deutschsprachige Gemeinschaft.

4. Gutachten:

Es sind keine Gutachten erforderlich.

5. Rechtsgrundlage:

Sondergesetz vom 8. August 1980 zur Reform der Institutionen, Artikel 92bis §4ter

Gesetz vom 31. Dezember 1983 über institutionelle Reformen für die Deutschsprachige Gemeinschaft, Artikel 55bis

Zusammenarbeitsabkommen vom 8. März 1994 bezüglich der Bestimmungen für den Abschluss von gemischten Verträgen, Artikel 6