Kommission: Deutschland verstößt gegen Datenschutz-Richtlinie

Pressemitteilung vom 22.07.2005:

Kommission: Deutschland verstößt gegen Datenschutz-Richtlinie
Datenschutzbehörden müssen vom Staat unabhängig sein

Die Europäische Kommission meldete heute die Einleitung eines Vertragsverletzungsverfahrens gegen Deutschland. Es verstoße gegen Europarecht, dass die deutschen Datenschutz-Aufsichtsbehörden einer staatlichen Aufsicht unterliegen.

Die EG-Datenschutz-Richtlinie aus dem Jahr 1995 schreibt die „völlige Unabhängigkeit“ der Behörden vor, die die Einhaltung des Datenschutzes kontrollieren. In Deutschland behalten die Regierungen der Länder dagegen mit Hilfe von „Fach-, Rechts- und Dienstaufsicht“ die Oberhand, kritisierte die Kommission. Deutschland erhält nun Gelegenheit, sich zu dem Vorwurf zu äußern.

Das Verfahren eingeleitet hatte der Jurist Patrick Breyer. Er argumentiert, der Staat sei aus Gründen der inneren Sicherheit an einer möglichst breiten Datenspeicherung interessiert. Deshalb dürften Datenschutzbehörden nur dem Schutz der persönlichen Daten der Bürger verpflichtet sein. Daneben sei zu beobachten, dass staatliche Aufsichtsbehörden auf Eingaben von Bürgern „eher lethargisch“ reagierten, während sich Datenschutzbeauftragte in der Regel sehr engagiert für die Bürgerrechte einsetzten.

Breyer zufolge wurden staatliche Aufsichtsrechte in der Vergangenheit wiederholt zu „massiven Eingriffen“ in die Arbeit der Datenschutz-Aufsichtsbehörden genutzt. Auf Druck des Hessischen Innenministeriums wurde beispielsweise die generelle Vorratsspeicherung von IP-Adressen durch den Internetprovider T-Online für rechtmäßig erklärt. Inzwischen ist gerichtlich festgestellt, dass eine solche verdachtsunabhängige
Vorratsspeicherung unzulässig ist.

Update:

Siehe auch Heise-Meldung „EU-Kommission pocht auf Unabhängigkeit der Datenschutzbehörden“ vom 23.07.2005

Siehe auch Heise-Meldung „Regierungspräsidium Darmstadt bestreitet Befangenheit beim Datenschutz“ vom 30.07.2005

Ergänzung vom 07.01.2013:

Die Vertragsverletzungsbeschwerde vom 28.07.2003 im Wortlaut:

Complaint regarding the transformation of the directive 95/46/EC in Germany
Mon, 28 Jul 2003 23:29:50

Dear Sir/Madam,

I would like to file a complaint against the Federal Republic of Germany for not having properly transformed the directive 95/46/EC into national law. In Art. 28, this directive stipulates: „These authorities shall act with complete independence in exercising the functions entrusted to them.“

However, in some parts of Germany, state authorities are competent for data protection in regard to the processing of data by private subjects. For example, in Hessen, where I live, the „Regierungspräsidien“ are competent. The „Regierungspräsidien“ are state administrative bodies directly subordinated to the Ministry of the Interior of Hessen and as such, are obliged to follow any instructions they are given by the Ministry. For part of Hessen, the Ministry of the Interior of Hessen is even directly competent as the only data protection supervising authority in regard to the processing of data by private subjects.

This means that no independence from the government whatsoever is guaranteed by the German law in this domain. In fact, there are no rules on the position of the administrative authority in regard to the state. § 38 BDSG, the only law in regard to these authorities, does not provide for any independence of the competent authority or of its staff. For this reason, the general provisions on state authorities apply which stimulate that orders can be given by superiors at all times.

In practise, this leads to massive meddling by the government in important cases. For example, earlier this year, there was an important case before the „Regierungspräsidium Darmstadt“ regarding the question whether the retention of IP numbers by the biggest German internet access provider T-Online is necessary for billing purposes and, as such, lawful. According to insiders, the Ministry of the Interior of Hessen has put enormous pressure on the Regierungspräsidium Darmstadt to declare this practise as legal. The aim of this was to help the detection of crime. The German law clearly allows for the retention of traffic data for this purpose only in specific cases and in regard to specific individuals. Still, the Regierungspräsidium Darmstadt has declared the mentioned practise as legal.

I urge you, therefore, to take action in order to ensure the correct implementation of the directive 95/46/EC in Germany.

Yours sincerely,

Nachfolgenachricht vom 01.02.2004:

Sun, 1 Feb 2004 19:43:26

Meine Beschwerde vom 28. Juli 2003, eingetragen in das Beschwerderegister unter dem Az. 2003/4820, SG (2003) A/7753

Ihr Schreiben vom 25.11.03, Az. MARKT/E/4/JT D(2003) 370

Sehr geehrte Frau […],

ich danke für Ihr Schreiben vom 25.11.03. Meine Beschwerde braucht nicht vertraulich behandelt werden, weil ich für den Fall des Bekanntwerdens meines Namens keine Nachteile befürchten muss. Anders wäre es allerdings, wenn ich für eine staatliche Aufsichtsbehörde für den Datenschutz arbeiten würde, da hier ein politisch nicht opportuner Einsatz für den Datenschutz durchaus zu Repressalien führen kann. Damit komme ich wieder auf den Grund meiner Eingabe zurück:

Ich habe inzwischen erfahren, dass die Ansiedelung der Datenschutzaufsicht im privaten Bereich bei Behörden der allgemeinen Staatsverwaltung damit gerechtfertigt wird, dass _unabhängig_ im Sinne der RiL 95/46/EG nur Unabhängigkeit von den zu kontrollierenden Personen und Stellen bedeute. Die Aufsichtsbehörden im privaten Bereich müssten daher nur unabhängig von der Wirtschaft sein.

Diese Auslegung der Richtlinie ist jedoch unzutreffend. Schon der Wortlaut des Art. 28 Abs. 1 enthält keine Einschränkung des Erfordernisses der Unabhängigkeit auf die Unabhängigkeit von den zu Kontrollierenden. Die Richtlinie schreibt vielmehr ausdrücklich die _völlige Unabhängigkeit_ der Aufsichtsbehörden vor.

Auch die systematische Auslegung des Art. 28 Abs. 1 S. 2 zeigt, dass die Unabhängigkeit der Kontrollstellen umfassend sein muss. Art. 28 Abs. 1 S. 1 sieht nämlich vor, dass die Mitgliedsstaaten _öffentliche Stellen_ mit der Datenschutzaufsicht zu beauftragen haben. Träfe die Ansicht zu, dass die in S. 2 garantierte Unabhängigkeit nur gegenüber den zu Kontrollierenden bestehen muss, dann hätte S. 2 im Bereich der Aufsicht über private Stellen keinen Sinn. _Öffentliche Stellen_ sind nämlich per se von der Privatwirtschaft unabhängig. Auch dies zeigt, dass Art. 28 Abs. 1 S. 2 auch die Unabhängigkeit vom Staat vorschreibt, und zwar in personeller wie auch in organisatorischer Hinsicht.

Dies entspricht auch dem Zweck der Bestimmung, denn die Datenschutzbehörden sollen nur dem Schutz der persönlichen Daten der Bürger verpflichtet sein und nicht (auch) Staatsinteressen. Nur so können die Rechte der Bürger_ – auch gegenüber der privaten Wirtschaft _ effektiv geschützt werden. Selbst wenn der Staat nicht unmittelbar vom Datenschutz im privaten Bereich betroffen ist, so ist er mittelbar durchaus an Art und Weise der Datenschutzkontrolle in diesem Bereich interessiert. Das gilt vor allem in Bezug auf die innere Sicherheit: Nur, wenn private Unternehmen möglichst vielfältige Daten über ihre Kunden speichern, stehen diese Daten zur Verfügung des Staates, wenn er meint, sie zu benötigen _- z.B. um eine Rasterfahndung nach Terroristen durchzuführen. Während der Staat also insoweit an einer möglichst umfassenden Datenspeicherung interessiert ist -_ ebenso wie die Wirtschaft -_, sind die Bürger darauf angewiesen, dass mit ihren persönlichen Daten möglichst sparsam umgegangen wird, um die Daten vor Missbräuchen zu schützen. Gerade das Beispiel von T-Online, das ich in meiner Eingabe erwähnt habe, zeigt, dass auch die Aufsichtsbehörden im privaten Bereich vom Staat unabhängig sein müssen, weil in diesem Fall der genannte Interessenkonflikt zum Tragen kam.

In der Praxis zeigen sich auch konkrete Auswirkungen der Abhängigkeit der Aufsichtsbehörden im privaten Bereich vom Staat: Staatliche Aufsichtsbehörden reagieren auf Eingaben von Bürgern erfahrungsgemäß eher lethargisch, während sich Datenschutzbeauftragte in der Regel sehr engagiert für die Bürgerrechte einsetzen. Bei staatlichen Aufsichtsbehörden ist der Datenschutz nur eine Aufgabe unter vielen, die oft von 1-2 Personen in der Behörde wahrgenommen wird, während die Datenschutzbeauftragten Kompetenzen bündeln und meist in Teams von über 20 Personen arbeiten. Erst dies ermöglicht die effektive Wahrnehmung der Aufgaben der Datenschutzaufsichtsbehörden.

Gerade in dem bereits erwähnten T-Online-Fall zeigte sich der Unterschied zwischen den verschiedenen Organisationsformen: Während das Regierungspräsidium Darmstadt als staatliche Aufsichtsbehörde nach Intervention des vorgesetzten Hessischen Innenministeriums, das zugleich für den Sicherheits- und Polizeibereich zuständig ist (!), die Vorratsspeicherung von IP-Adressen durch Internet-Access-Provider im Rahmen von Flatrate-Tarifen für legal befunden hat, haben sich (unabhängige) Datenschutzbeauftragte gegen die Legalität solcher Verfahren ausgesprochen. So z.B. das Landesdatenschutzzentrum Schleswig-Holstein (http://www.datenschutzzentrum.de/material/themen/presse/ipspeich.htm und der Hamburgische Datenschutzbeauftragte (http://fhh.hamburg.de/stadt/Aktuell/weitere-einrichtungen/datenschutzbeauftragter/aktuelles/pressemeldung-2003-01-28-pdf,property=source.pdf), die unabhängig und auch für den Datenschutz im Privatbereich zuständig sind. Auch der (unabhängige) Bundesdatenschutzbeauftragte hält die Speicherung von Verkehrsdaten bei Flatrate-Tarifen für unzulässig (http://www.bfd.bund.de/information/info5/kap04/04_05_04_01.html).

Ich würde mich freuen, wenn sich die Europäische Kommission meiner Auffassung anschließen und erforderlichenfalls ein Vertragsverletzungsverfahren gegen Deutschland einleiten könnte. Zur Beantwortung weiterer Fragen stehe ich Ihnen jederzeit zur Verfügung. Ich bitte Sie, mich auch weiterhin von dem Verfahrensverlauf zu informieren.

Mit freundlichen Grüßen,

1 Stern2 Sterne3 Sterne4 Sterne5 Sterne (noch nicht bewertet)
Loading...
6.564mal gelesen

Beitrag per E-Mail versenden Beitrag per E-Mail versenden Seite drucken Seite drucken

Verwandte Artikel

Weitere Artikel zum Thema Datenschutz im Privatsektor, Datenschutz im Staatssektor

2 Kommentare »


  1. Piratenfraktion SH – Patrick Breyer: Nur unabhängiger Datenschutz ist wirksamer Datenschutz! — 7. Januar 2013 @ 15.36 Uhr

    [...] die Ansiedlung der Datenschutzaufsicht im Regierungsapparat diverser Bundesländer eingereicht,[2] welche der Europäische Gerichtshof 2010 für berechtigt erklärt hat.[3] Wir Piraten kämpfen […]


  2. Patrick Breyer » Patrick Breyer: Nur unabhängiger Datenschutz ist wirksamer Datenschutz! (Piratenpartei) - Klarmachen zum Ändern! — 7. Januar 2013 @ 15.43 Uhr

    [...] die Ansiedlung der Datenschutzaufsicht im Regierungsapparat diverser Bundesländer eingereicht,[2] welche der Europäische Gerichtshof 2010 für berechtigt erklärt hat.[3] Wir Piraten […]

RSS-feed für Kommentare zu diesem Beitrag · TrackBack-URI

Kommentieren Sie diesen Artikel


 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: