GDD-Aufruf: Harmonisierte Aufsichtspraxis im Datenschutz

Immer wieder wenden sich Betroffene mit dem Hinweis an die GDD, dass datenschutzrechtliche Sachverhalte von den Datenschutzaufsichtsbehörden zum Teil unterschiedlich beurteilt werden. Insbesondere Mitgliedsunternehmen mit einer Konzernstruktur korrespondieren auf Grund der jeweiligen örtlichen Zuständigkeit mit verschiedenen Aufsichtsbehörden und stellen dabei unterschiedliche Anforderungen an die Umsetzung von Datenschutzregelungen im Unternehmen fest.
Die örtliche Zuständigkeit der Aufsichtsbehörden ist im BDSG nicht geregelt. Da es sich um Landesbehörden handelt, entscheiden darüber die textlich weitgehend übereinstimmenden Verwaltungsverfahrensgesetze der Länder. Danach ist ausschlaggebend, in welchem Zuständigkeitsbereich der Betrieb liegt oder der mit der Datenverarbeitung verbundene Beruf ausgeübt wird. Hat das Unternehmen mehrere Zweigstellen oder Betriebe in verschiedenen Bundesländern, können mehrere Aufsichtsbehörden zuständig sein (vgl. Gola/Schomerus, BDSG, 8. Aufl., § 38 Rn. 33).
Als von den Aufsichtsbehörden unterschiedlich bewertete Sachverhalte werden z.B. genannt:
• Übermittlung personenbezogener Daten ins Ausland: Nach Ansicht einiger Datenschutzaufsichtsbehörden werde im Rahmen des § 4c Abs. 2 S. 1 BDSG jede einzelne Übermittlung bzw. bestimmte Arten von Übermittlungen materiell vollinhaltlich überprüft, während andere Datenschutzaufsichtsbehörden allgemein prüften, ob die gültigen datenschutzrechtlichen europäischen Mindeststandards eingehalten werden, was Auswirkungen auf die Bearbeitungszeit habe.
• Erstellung des Verfahrensverzeichnisses: Nach Ansicht einiger Datenschutzaufsichtsbehörden solle sich der Inhalt der Meldepflicht gemäß § 4e BDSG nicht auf die Bündelung von vergleichbaren Verfahren beziehen, vielmehr werde in Richtung des Dateibegriffs des alten BDSG - vor dem Jahr 2001 - argumentiert, was Folgen für den Aufbau des Verfahrensverzeichnis habe.
• Unterscheidung zwischen internem und externem Verfahrensverzeichnis: Nach Ansicht einiger Datenschutzaufsichtsbehörden sei nicht zwischen internem und externem Verfahrensverzeichnis gemäß § 4g Abs. 2 BDSG zu unterscheiden, was Folgen für die Einsichtnahme in das Verfahrensverzeichnis habe.
• Abgrenzung Telekommunikation und Teledienst: Zwischen Bundes- und Landesbehörden sei teilweise noch immer umstritten, wann eine Telekommunikation gemäß TKG oder ein Teledienst gemäß TDG vorliege, was für die Zuständigkeit der Behörden und damit auch der Anwendbarkeit der Gesetze von Bedeutung sei.
Die EU-Kommission hat sich in ihrem ersten Datenschutzbericht - KOM (2003) 265 endg. - nicht nur für eine weitere Harmonisierung des Datenschutzrechts ausgesprochen, sondern auch ihre Erwartung geäußert, dass die Mitgliedstaaten und Kontrollstellen alle vertretbaren Anstrengungen unternehmen, um ein Umfeld zu schaffen, dass die Befolgung der Vorschriften für die verantwortlichen Stellen weniger kompliziert und aufwendig macht.
Die GDD unterstützt dieses Anliegen ausdrücklich und möchte sich aktiv an der Förderung einer möglichst einheitlichen Rechtsanwendung in Deutschland beteiligen. Vor diesem Hintergrund möchten wir alle Mitglieder dazu aufrufen, der Geschäftsstelle Sachverhalte mitzuteilen, die von den nationalen Aufsichtsbehörden unterschiedlich beurteilt werden.
Diesbezügliche Hinweise werden erbeten an:
GDD e.V., Pariser Str. 37, 53117 Bonn,
info@gdd.de.