Novellierung des Bundesdatenschutz-Gesetzes aufgrund der EG-Datenschutzrichtlinie (95/46 EG vom 25.10.1998)      

A. Grundsätzliches

1.                      Geltendes Gesetz

In der Amtlichen Begründung des ersten deutschen Bundesdatenschutz-Gesetzes vom 27.01.1977, werden die Grundzüge des Gesetzes wie folgt zusammengefaßt:

Die Regelungen  des Gesetzes sind vor dem Hintergrund der noch nicht abgeschlossenen Entwicklung der Datenverarbeitung und der damit zusammenhängenden Gebiete der Technik und Organisation und des Rechts zu sehen. Angesichts der in Wissenschaft und Praxis noch offenen Fragen, über die auf Dauer optimale organisatorische, rechtliche und technische Ausgestaltung des Datenschutzes, war dem Gesetz eine Konzeption zu Grunde zu legen, die nach dem heutigen Stand der Erkenntnis einen wirkungsvollen Datenschutz in verfassungsgemäßer Weise gewährleistet, die die Praxis in Verwaltung und Wirtschaft nicht unnötig behindert, den technischen Fortschritt nicht hemmt und das Vertrauen des Bürgers zum Staat im Zeitalter des Computers bewahrt.

2.                      Schwächen des geltenden Gesetzes

3.                      Inhalt des geltenden Datenschutzgesetzes

Das Datenschutzgesetz in seiner jetzigen Fassung verbietet die Verarbeitung personenbezogenener Daten unter dem Vorbehalt der Erlaubnis der Verarbeitung durch das Datenschutzgesetz oder durch andere Gesetze. Soweit das Datenschutzgesetz und andere Gesetze die Datenverarbeitung (zum Begriff später) ausnahmsweise erlauben, ist diese grundsätzlich ohne Zustimmung des Betroffenen zulässig. Dieser Grundsatz ist für die anderen Gesetze durchgehalten (allerdings durch das Volkszählungsurteil, auf das ich später noch kommen werde, relativiert).

Das Datenschutzgesetz sieht ebenfalls gewisse Freistellungen von dem Verbot der Datenverarbeitung vor, so daß Daten, z.B. solche aus öffentlichen Listen, dann verarbeitet werden dürfen, wenn schutzwürdige Belange des Betroffenen dadurch nicht beeinträchtigt werden (das war die Telefonbuch- und Adressenverlags-Ausnahme). Das Gesetz sieht als weitere Ausnahme vor, daß mit Zustimmung des Betroffenen erhobene Daten verarbeitet werden dürfen, allerdings nur zu dem Zweck, zu dem sie erhoben wurden. Daher werden an die Zustimmungen erhebliche Anforderungen gestellt, wogegen das Widerspruchsrecht gegen die Datenverarbeitung etwas verkümmert im Gesetz enthalten ist und lediglich durch das Volkszählungsurteil bedingt etwas gestärkt wurde.

Die Einhaltung des Gesetzes sollte durch die Einführung des Beauftragten für Datenschutz im öffentlichen und nichtöffentlichen Bereich gewährleistet werden, wobei der Bundesbeauftragte für den Datenschutz (gemeinsam mit dem Landesbeauftragten für Datenschutz) die Zwitterstellung haben, daß sie gleichzeitig Dienstherr einer entsprechenden Aufsichtsbehörde sind, an die sich die Datenschutzbeauftragten im nichtöffentlichen Bereich wenden können, wenn sie sich von ihren Unternehmen nicht ernstgenommen fühlen.

Das bestehende Datenschutzgesetz deckt im Prinzip nur solche Daten ab, die erhoben werden, um elektronisch verarbeitet zu werden und solche Daten, die ohne dieses Kriterium zu erfüllen in einer elektronischen Datenverarbeitungsanlage gespeichert werden, daher sind Daten wie z.B. auf Papier, Mikrofilm etc. nicht erfaßt, mit Ausnahme der automatisiert weiterzuverarbeitenden, so daß z.B. die alten Lochkarten dem Datenschutzgesetz unterfallen. Ebenfalls nicht vom Gesetz erfaßt ist die Datenerhebung, ohne daß das Ziel verfolgt wird, diese ein einer Datenverarbeitungsanlage zu speichern, dies sind z.B. Filmaufnahmen von öffentlichen Plätzen mit Überwachungskameras.

4.                      Das neue Datenschutzgesetz

Das neue Datenschutzgesetz geht von einem abweichenden Denkansatz aus. Während bei dem alten Gesetz die Speicherung der Daten im Vordergrund stand, steht in der EG-Richtlinie und damit in der Novelle die Erhebung von Daten im Vordergrund, d.h. kurzgefaßt die neue Datenschutzgesetzgebung will den Schutz personenbezogener Daten dadurch sicherstellen, daß die Erhebung von solchen Daten eingeschränkt wird. Als Erhebung wird konsequent jegliche Form der Erhebung, also auch Filmaufnahmen öffentlicher Plätze durch Überwachungskameras oder das Ausfüllen und Abheften eines Formulars in einer Akte verstanden. Dieser andere Denkansatz ist Ausfluß der Rechtsfigur "informelles Selbstbestimmungsrecht", das unter anderem das Bundesverfassungsgericht im Volkszählungsurteil entwickelt hat.

Artikel 6 der EG-Richtlinie faßt die Prinzipien der Datenverarbeitung klar zusammen:

Die Verarbeitung personenbezogener Daten hat folgenden Anforderungen zu genügen:

(a)   Die Datenverarbeitung muß Geist und Buchstaben der Gesetze entsprechen.

(b)   Die Erhebung darf nur für ausdrücklich festgelegte und legitime Ziele erfolgen. Eine Weiterverarbeitung für Zwecke, die mit dem Ursprungszweck nicht übereinstimmen, ist unzulässig.

(Eine Ausnahme für die Verarbeitung zu historischen, statistischen oder wissenschaftlichen Zwecken ist möglich, wenn hinreichende Sicherheitsmaßnahmen durch die Gesetzgebung getroffen werden).

(c)   Die Erhebung von Daten und die Weiterverarbeitung von Daten muß bezogen auf die Ziele angemessen, notwendig und nicht übertrieben sein.

(d)   Die gespeicherten Daten müssen richtig sein und soweit notwendig dem neusten Stand entsprechen, dazu müssen alle angemessenen Maßnahmen ergriffen werden, damit im Bezug auf die Ziele der Erhebung und Verarbeitung unrichtige oder unvollständige Daten gelöscht oder berichtigt werden.

(e)   Die Datenerhebung und Datenverarbeitung darf nur soweit und solange in identifizierbarer Form erfolgen, wie dies für die Erreichung der Ziele notwendig ist (soweit Daten für historische, statistische oder wissenschaftliche Zwecke auf Dauer gespeichert werden sollen, muß dies gesetzlich vorgesehen werden, einschließlich der notwendigen Sicherheitsmaßnahmen).

Die Datenverarbeitung ist durch Datenschutzbeauftragte zu kontrollieren.

B. Zu den Änderungen    

C. Folgerungen  

1.           Neue Anforderungen    
Die wichtigste neue Anforderung aus dem Datenschutzgesetz ist die Forderung, das Erheben und Speichern von personenbezogenen Daten auf diejenigen Zwecke zu beschränken, bei denen eine Erhebung unerläßlich ist, d.h. die erste Frage bei einer Datenerhebung ist: Wozu werden die Daten gebraucht? Werden sie für eigene wirtschaftliche Zwecke benötigt, sind diese genau zu umreißen. Werden die Daten zur Erfüllung einer gesetzlichen Aufgabe benötigt, ist auch die gesetzliche Aufgabe genau festzulegen.

2.           Ganzheitlicher Schutz der Daten    
Der Schutz personenbezogener Daten kann nicht isoliert betrachtet werden. Sowohl die reinen Wirtschaftsdaten, als auch die im Zusammenhang mit dem Geschäftsbetrieb anfallenden personenbezogenen Daten unterliegen einer Reihe von Gefährdungen.    

3.                      Resourcen

4.                      Anmerkung zur Person des Datenschutzbeauftragten