Jürgen Kühling - Datenschutzrecht

Zuvor war bekannt geworden, dass die deutsche Kanzlerin und die brasilianische Staatspräsidentin von US-amerikanischen Geheimdiensten abgehört worden waren.

[4]

A/RES/68/167 v. 18.12.2013 und A/RES/69/166 v. 18.12.2014, abrufbar unter: http://www.un.org/depts/german/gv-69/band1/ar69166.pdf(Abruf: 12.1.2021).

[5]

A/HRC/27/37 v. 30.6.2014, abrufbar unter: https://www.un.org/depts/german/menschenrechte/a-hrc-27-37.pdf (Abruf: 12.1.2021).

[6]

A/HRC/28/L.27 v. 24.3.2015, abrufbar unter: http://www.ip-watch.org/2015/03/26/un-human-rights-council-approves-expert-on-privacy-in-the-digital-age/(Abruf: 12.1.2021).

[7]

A/HRC/27/37 v. 30.6.2014, S. 16 f., abrufbar unter: http://www.un.org/depts/german/menschenrechte/a-hrc-27-37.pdf (Abruf: 12.1.2021).

[8]

A/HRC/27/37 v. 30.6.2014, S. 18, abrufbar unter: http://www.un.org/depts/german/menschenrechte/a-hrc-27-37.pdf (Abruf: 12.1.2021).

[9]

A/HRC/28/L.27 v. 24.3.2015, abrufbar unter: http://www.ip-watch.org/2015/03/26/un-human-rights-council-approves-expert-on-privacy-in-the-digital-age/(Abruf: 12.1.2021).

[10]

A/HRC/31/64 v. 24.11.2016, abrufbar unter: https://undocs.org/en/A/HRC/31/64(Abruf: 12.1.2021); A/71/368 v. 30.8.2016, abrufbar unter: https://undocs.org/en/A/71/368(Abruf: 12.1.2021).

[11]

A/HRC/34/60 v. 24.2.2017, abrufbar unter: https://www.ohchr.org/EN/HRBodies/HRC/RegularSessions/Session34/Documents/A_HRC_34_60_EN.docx(Abruf: 12.1.2021), S. 12, 17 ff.

[12]

A/HRC/34/60 v. 24.2.2017, abrufbar unter: https://www.ohchr.org/EN/HRBodies/HRC/RegularSessions/Session34/Documents/A_HRC_34_60_EN.docx(Abruf: 12.1.2021), S. 13.

[13]

A/HRC/34/60 v. 24.2.2017, abrufbar unter: https://www.ohchr.org/EN/HRBodies/HRC/RegularSessions/Session34/Documents/A_HRC_34_60_EN.docx(Abruf: 12.1.2021), S. 14 f.

[14]

Alle Berichte des Sonderberichterstatters sind abrufbar unter: https://www.ohchr.org/EN/Issues/Privacy/SR/Pages/AnnualReports.aspx(Abruf: 12.1.2021).

[15]

A/HRC/40/63 v. 27.2.2019, abrufbar unter: https://www.ohchr.org/Documents/HRBodies/UPR/A_HRC_40_2_Advanced_En.docx(Abruf: 12.1.2021).

[16]

A/HRC/43/52 v. 12.2.2020, abrufbar unter: https://www.ohchr.org/EN/HRBodies/HRC/RegularSessions/Session43/Documents/A_HRC_43_52_AdvanceUneditedVersion.docx(Abruf: 12.1.2021).

[17]

A/HRC/40/63 v. 27.2.2019, abrufbar unter: https://www.ohchr.org/Documents/HRBodies/UPR/A_HRC_40_2_Advanced_En.docx(Abruf: 12.1.2021), S. 16; A/HRC/43/52 v. 12.2.2020, abrufbar unter: https://www.ohchr.org/EN/HRBodies/HRC/RegularSessions/Session43/Documents/A_HRC_43_52_AdvanceUneditedVersion.docx(Abruf: 12.1.2021), S. 4.

[18]

A/HRC/43/52 v. 12.2.2020, abrufbar unter: https://www.ohchr.org/EN/HRBodies/HRC/RegularSessions/Session43/Documents/A_HRC_43_52_AdvanceUneditedVersion.docx(Abruf: 12.1.2021), S. 6.

1. Kapitel Grundlagen› A. Internationale Grundlagen› II. OECD

21

Die 1948 gegründete Organisation für europäische wirtschaftliche Zusammenarbeit war die Vorgängerorganisation der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD). Ihr gehören neben den Mitgliedstaaten der EU auch die USA und insbesondere Japan, Kanada und Mexiko an. Die OECD hat früh die Notwendigkeit einer internationalen Regelung des Datenschutzes erkannt. Datenschutz sollte sich nicht zu einem diskriminierenden Handelshemmnisentwickeln, das die sich intensivierende Weltwirtschaft behindern könnte. Vielmehr sollte der Datenschutz mit dem freien Informationsflussin Einklang gebracht werden. So verabschiedete der Ministerrat der OECD 1980 die „ Leitlinienfür den Schutz des Persönlichkeitsbereichs und den grenzüberschreitenden Verkehr personenbezogener Daten“.[1] Neben verfahrensrechtlichenVorgaben enthalten die Leitlinien insbesondere materielleVerarbeitungsregeln und Regeln zu grenzüberschreitenden Datenübermittlungen. Die Leitlinien sollten vor allem verhindern, dass eine Kluft zwischen europäischen und US-amerikanischen Datenschutzbestimmungen entsteht (siehe dazu den Hinweis oben → Rn. 12 f.). Dabei wird der Ansatz der Selbstregulierungzu Grunde gelegt, d.h. die Verantwortlichen bestimmen den Umgang mit personenbezogenen Daten eigenverantwortlich und unterstehen nur ihrer eigenen privaten Kontrolle.[2]

22

Obwohl die Leitlinien als Rechtsinstrument der OECD völkerrechtlich nicht bindendsind und die Mitgliedstaaten nicht verpflichtet sind, die getroffenen Vereinbarungen in nationales Recht umzusetzen, haben sie entscheidend dazu beigetragen, den Datenschutz als Gegenstand internationaler Regulierung zu etablieren.[3]

23

In den Jahren seit 2008 rückte das Thema des Datenschutzes und der Datensicherheit auch bei der OECD immer mehr in den Vordergrund, so dass die Organisation selbst mittlerweile von einem „ privacy framework“ spricht, zu dem nicht zuletzt auch eine überarbeitete Fassung der oben beschriebenen Leitlinien gehört.[4] Diese wurden – die Leitlinien aus dem Jahre 1980 nicht ersetzend,[5] sondern fortschreibend und straffend – 2013 verabschiedet. Nicht zuletzt werden nun die Entwicklung der Informationstechnologie und die Globalisierung der Datenverwendung verstärkt berücksichtigt.

24

Im Vergleich der beiden Fassungen der Leitlinien fällt insbesondere auf, dass in der neueren Fassung der staatliche Eingriff in den Informationsfluss und die Datenübermittlung in den Fokus gerückt ist. Mit den Punkten 3 bis 6 der Leitlinien werden die Warnung, die Meinungsfreiheitnicht unverhältnismäßig einzuschränken und Verweise auf die öffentliche Sicherheit und den ordre public-Vorbehalt zu Zwecken der Einschränkung auf ein Minimum zu reduzieren, gleichsam vor die Klammer gezogen.[6] Der Aspekt der internationalen Datenverwendung – und somit die zentrale Regelungsmaterie der Leitlinien – ist gegenüber der ursprünglichen Leitlinienfassung bemerkenswert umgeschrieben worden. Während bisher als erster Regelungspunkt die Möglichkeit der internationalen Datenverwendung Ausgangspunkt war, wird der entsprechende Abschnitt nunmehr mit der Feststellung eröffnet, verarbeitende Stellen blieben für den Umgang mit den von ihnen verwendeten Daten ohne Rücksicht darauf verantwortlich, wo sich die Daten jeweils befänden.[7] Hervorzuheben ist schließlich die konsequente Fortschreibung des Prinzips der Selbstregulierungals grundsätzlicher Ansatz des Vollzugs der Leitlinien wie auch der materiellen Regelungen selbst.[8]

25

Neben den erläuternden Hinweisen zu den jeweiligen Leitlinien und einem Hintergrundbericht zur Überarbeitung eben jener besteht das „privacy framework“ der OECD darüber hinaus aus der Empfehlung über die grenzüberschreitende Zusammenarbeit beim Vollzug von Datenschutzgesetzen und dem zugehörigen Umsetzungsbericht.[9]

[1]

OECD-Dokument C (80) 58 (final).

[2]

Vgl. Tinnefeld/Buchner/u.a. , Einführung in das Datenschutzrecht, 7. Aufl. 2019, S. 86 f.

[3]

Burkert , in: Roßnagel (Hrsg.), Handbuch Datenschutzrecht, 2003, Kap. 2.3 Rn. 30 ff.

[4]

C (2013) 79 v. 11.7.2013; eine konsolidierte Sammlung der zum Datenschutzrahmen der OECD gehörenden Dokumente „The OECD Privacy Framework“, 2013, ist abrufbar unter: http://www.oecd.org/sti/ieconomy/oecd_privacy_framework.pdf(Abruf: 12.1.2021).

[5]

Daher wurden, wie die Organisation erklärt, die erläuternden Hinweise zu den Leitlinien aus dem Jahr 2008 in das Framework 2013 übernommen; The OECD Privacy Framework, 2013, Kap. 3 S. 5, abrufbar unter: http://www.oecd.org/sti/ieconomy/oecd_privacy_framework.pdf(Abruf: 12.1.2021).