EuGH urteilt: deutsche Datenschutzkontrolle ist nicht unabhängig und daher unzureichend

11.03.2010 | Sonstige Rechtsgebiete

Die Kette der Europa-Watschen für Deutschland reißt nicht ab: Das EU-Recht verlangt, dass die Verwendung persönlicher Daten durch Firmen und Verbänden besser kontrolliert wird. Zu gewährleisten sei eine Datenschutzaufsicht, die völlig unabhängig agieren kann. Das sei bisher durch die Aufsicht der Regierungspräsidien nicht gesichert.

Dieses Urteil läutet wohl das Ende bisher oft halbherziger deutscher Datenschutzbemühungen um Kunden- und Mitarbeiterdaten ein.

Organisation der Kontrollstellen für  Personen-Datenverarbeitung

Es geht um die die Organisation der Kontrollstellen für die Datenverarbeitung im nicht-öffentlichen Bereich, wo oft noch die die Regierungspräsidien der Länder als Datenschutz-Aufsichtbehörden fungieren. Ein Rechtsstreit in Hessen hatte Anlass zu der Vermutung gegeben, dass diese Kontrolle nicht immer frei von Interessenkonflikten agiert.

"Völlige Unabhängigkeit" der Datenschutzaufsicht gewährleisten

Der Europäische Gerichtshof hat der Bundesrepublik Deutschland auf Antrag der EU-Kommission bescheinigt, mit der in den Bundesländern vielfach gehandhabten Praxis der "staatlichen Aufsicht" über die Datenschutzkontrolle gegen EU-Recht verstoßen zu haben. 

EU-Datenschutzrichtlinie verletzt

Die Große Kammer betont, dass die EU-Datenschutzrichtlinie die "völlige Unabhängigkeit" der Arbeit der zuständigen Kontrollstellen vorschreibe. Die Bundesrepublik habe diese Vorgabe falsch umgesetzt, indem sie die Überwachung der Verarbeitung personenbezogener Daten durch private Stellen und öffentlich-rechtliche Wettbewerbsunternehmen einer staatlichen Kontrolle unterworfen habe. 

Schutzzweck: "freier Datenverkehr" im Binnenmarkt

Um den "freien Datenverkehr" im Binnenmarkt zu sichern, müssten die Grundrechte müssten in der EU überall auf gleichem Niveau gewahrt werden. 

EU-weit gleich hohes Niveau des Schutzes personenbezogener Daten natürlicher Personen

Die Datenschutzaufsicht im privaten Bereich  müsse daher  "jeglicher äußeren Einflussnahme entzogen sein, die ihre Entscheidungen steuern könnte", um in allen Mitgliedstaaten ein gleich hohes Niveau des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten zu schaffen. 

(EuGH, Urteil v. 9.3.2010, RS C-518/07) 

Hintergrund

Ungewöhnlich an der Entscheidung ist, dass sie sich gegen die Empfehlung des Generalanwalts wendet, der in seinem Schlussantrag vertrat, aus einer staatlichen Aufsicht der Kontrollstellen folge nicht, dass die Datenschutzkontrolle nicht unabhängig im Sinne der EU-Vorgaben durchgeführt würden. 

Länder haben teilweise schon reagiert

Bereits 2005 hatte die EU-Kommission ein Vertragsverletzungsverfahren wegen unzulässiger Datenschutzgesetze gegen Deutschland eingeleitet. Einzelne Bundesländer, z.B. Brandenburg, Hamburg, Sachsen, Schleswig-Holstein, Berlin, Mecklenburg-Vorpommern und Nordrhein-Westfalen, haben bereits begonnen, die Zuständigkeiten für die Datenschutzaufsicht neu zu organisieren und zu vereinheitlichen. Dort soll die Kontrolle für den privaten und den öffentlichen Bereich bei Landesdatenschutzbeauftragten gebündelt werden. 

Erste Stellungnahmen

Bundesbeauftragter für Datenschutz, Peter Schaar, sieht in dem Urteil eine deutliche Stärkung des Datenschutzes. Der EuGH habe damit klargestellt, dass jedes Risiko einer Einflussnahme auf die objektive und unabhängige Entscheidung der Datenschutzaufsichtsbehörden vermieden werden muss. Auch wenn sich das Urteil auf die Aufsichtsbehörden der Länder beziehe, könne es weiteren Konsequenzen für andere Stellen haben, die über den Datenschutz wachen.

Haufe Online-Redaktion