EU-Datenschutz weniger streng

Nachdem Italien ein Opt-Out für die Datennutzung im Rahmen des Direktmarketings gefordert hatte, gibt es jetzt in einem aktuellen Papier statt dessen fast noch weitgehendere Änderungen. Zum Entwurf der Europäischen Kommission für eine EU-Datenschutz-Grundverordnung werden neue Regelungen für Zweckänderungen von Seiten der Regierungen vorgeschlagen (Art. 6 Abs. 4 DS-GVO-E), die den Entwurf der Kommission bzw. des EU-Parlaments in weiten Teilen auf den Kopf stellen.

Danach soll der Grundsatz der Zweckbindung und Datensparsamkeit nicht länger daran hindern, Daten zu erfassen und zu später hinzutretenden neuen Zwecken zu nutzen. Daten sollen anders als aktuell nicht nur dann erhoben werden können, wenn dies erforderlich ist, etwa zur Vertragserfüllung. Erlaubt sein soll künftig eine Datenerhebung und jede weitere Verarbeitung bei Vorliegen „legitimer Interessen“, die schwerer wiegen als Schutzbedürfnisse des Betroffenen („… sofern die Interessen oder die Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen.“). Ein berechtigtes Interesse soll nach den Vorstellungen des Rates schon dann vorliegen, wenn „… eine relevante und angemessene Verbindung zwischen der betroffenen Person und dem für die Verarbeitung Verantwortlichen besteht, z.B. wenn die betroffene Person ein Kunde des für die Verarbeitung Verantwortlichen ist …“.

Big Data & Co kann kommen

Damit könnte ein Unternehmen ein berechtigtes Interesse geltend machen und Daten, anders bzw. zu weiteren Zwecken verarbeiten, als dies bei der Erhebung angegeben war, z.B. zu Direktmarketingzwecken und zur Profilbildung. Nicht nur Direktwerber würden sich freuen, wenn das Realität wird. Auch statistische und wissenschaftliche Zwecke oder historische Gründen könnten künftig eine Weiterverarbeitung legitimieren. Hier ergibt sich eventuell einen neue Basis für den Einsatz von Trackingtools, wie Google Analytics. Generell dürften Big Data Analysen davon profitieren und künftig auf legaler Basis Aussagen darüber ermöglichen, was der Kunde als nächstes tun wird, noch bevor er es selbst weiß.

Konzernprivileg geplant

Eine Reihe von Änderungen und Ergänzungen sind vorgesehen: Nur natürliche noch lebende Personen, nicht Firmen, sollen in den Schutzbereich fallen. Identifikationsnummern, Ortsdaten und andere Identifikatoren sollen nur bei Identifikationswirkung als personenbezogene Daten anzusehen sein. Bei Einwilligungen reicht jede eindeutig zustimmende Handlung nach vorheriger Information, auch durch passende Einstellung des Browsers. Informationen zur Datenverarbeitung sollen leicht zugänglich und verständlich (einfache Sprache) sein. Die Identität des Verantwortlichen muss angegeben werden. Für erhobene Daten sollen Zeitgrenzen angeben werden müssen, zu denen die Daten gelöscht werden bzw. das Erfordernis einer weiteren Nutzung geprüft wird. Es soll eine Art Konzernprivileg eingeführt werden, wonach bei Vorliegen eines berechtigten Interesses an der Übermittlung personenbezogener Daten an andere Unternehmen in derselben Gruppe die Übermittlung von Kunden- und Arbeitnehmerdaten erlaubt ist („innerhalb der Unternehmensgruppe für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden“).

Dies untergräbt den Ursprungsentwurf teilweise in sehr erheblichem Maße und man darf es als Generalangriff auf zu restriktive Regelungen verstehen, auf die sich das EU-Parlament verständigen wollte. Wenn der Rat sich mit seinen neuen Ideen behauptet, benötigt das EU-Parlament schon eine absolute Mehrheit, um das Rad erneut zu drehen.

Aktuelle Entwicklungen

Am 12. und 13. März 2015 fand hierzu das Treffen der EU-Justiz- und Innenminister (Ministerrat) statt. Dabei wurde das betroffene Kapitel II (Grundsätze) des Entwurfs angenommen.

Man einigte sich zudem auf das Prinzip einheitlicher Anlaufstellen. Betroffenen müssen sich nur noch bei Behörden in ihrem Heimatstaat beschweren, wenn sie Datenschutzverstöße ausländischer Firmen reklamieren. Die Behörde vertritt den Bürger dann gegenüber dem EU-Land, in dem die Firma ihren Sitz hat. Für weniger Kompetenzen votierte Irland. Dort haben Google und Apple ihre Zentralen für Europa angesiedelt.

Weiter geht es dann mit den Verhandlungen zu Kapitel III (Rechte der betroffenen Person). Dort werden dann im Juni die Rahmenbedingungen für die Profilbildung festgelegt. Jetzt wird es langsam interessant.