1. Rechtliche Rahmenbedingungen
1.1. Datenschutz in Berlin
Mit dem vergangenen Jahr ist die 12. Wahlperiode des Berliner Abgeordnetenhauses zu Ende gegangen. Das Parlament hat in dieser Zeit auf dem Gebiet des Datenschutzes bemerkenswerte Arbeit geleistet, die Berlin zu dem Bundesland gemacht hat, das die Vorgaben des Bundesverfassungsgerichtes zu einer normenklaren Regelung der Datenverarbeitung und des Datenschutzes am weitesten umgesetzt hat. Hierzu gehören die Neufassungen des Allgemeinen Sicherheits- und Ordnungsgesetzes (ASOG) sowie des Verfassungsschutzgesetzes, die Verabschiedung eines Ausführungsgesetzes zum Gerichtsverfassungsgesetz, des Landesarchiv- und Statistikgesetzes ebenso wie die Vielzahl neuer Bestimmungen, mit denen im "Artikelgesetz" vom 26. Januar 1993 23 Gesetze [1] um Datenverarbeitungsregelungen ergänzt wurden. Rechtsverordnungen präzisieren die in den Gesetzen enthaltenen allgemeine Bestimmungen und ermöglichen für künftige Verfahrensänderungen die erforderliche Flexibilität. Mit den Verordnungen über die Benutzung des Liegenschaftskatasters mit Hilfe automatisierter Abrufverfahren sowie die Abgabe digitaler Angaben aus dem Liegenschaftskataster [2] wurden im vergangenen Jahr die letzten Pflichten zur Schaffung von Datenschutzverordnungen eingelöst.
Als großes Gesetzesvorhaben wurde nunmehr endlich auch das Landesbeamtengesetz [3]mit den Regelungen über die Verarbeitung von Personaldaten an das Beamtenrechtsrahmengesetz angepaßt. Nicht realisiert wurde lediglich das Sicherheitsüberprüfungsgesetz [4], das zwar noch in den Gesetzgebungsprozeß eingeführt, aber nicht mehr zu Ende beraten wurde. Wie wichtig klare Rechtsgrundlagen für staatliche Informationsansprüche sind, zeigte die Debatte, die aufflammte, als die Jugendverwaltung daran ging, den vom Bundesgesetzgeber vorgegebenen Anspruch auf einen Kindergartenplatz umzusetzen und Daten zur Ermittlung von Härtefällen zu erheben. Mangels präziser Vorgaben mußte sich die Jugendverwaltung vielerlei Vorwürfe darüber gefallen lassen, daß sie zu viele Daten über die persönlichen Verhältnisse von Eltern und Kindern sammele [5].
Von grundlegender Bedeutung für die Arbeit des Datenschutzbeauftragten war die Änderung des Berliner Datenschutzgesetzes vom 3.7.95 [6], die die Aufgaben der Aufsichtsbehörde für den nicht-öffentlichen Bereich von der Senatsverwaltung für Inneres auf den Berliner Datenschutzbeauftragten verlagerte (§ 33 Abs. 1)[7]. Damit wurde einer jahrealten Empfehlung Rechnung getragen, im Land Berlin die Datenschutzkontrolle über die öffentliche Verwaltung und über Privatunternehmen in einer Hand zusammenzuführen, um dem Bürger eine einheitliche, möglichst effektive Datenschutzkontrollinstanz zur Verfügung zu stellen.
Eine ähnliche Zielrichtung hatte bereits das Gesetz über die Informationsverarbeitung bei der allgemeinen Verwaltungstätigkeit vom 9. Oktober 1992 verfolgt, das eine Rechtsgrundlage für die in allen Verwaltungen wahrzunehmenden Grundfunktionen darstellt und Erleichterungen auch hinsichtlich der Meldepflichten schafft. Seit Jahren fordern wir, daß dieses Gesetz um allgemeine Bestimmungen für besondere Formen der Datenverarbeitung in der öffentlichen Verwaltung ergänzt wird, die nicht bereichsspezifisch, sondern für alle Verwaltungszweige relevant sind; hierunter fallen Probleme des PC-Einsatzes bei der Heimarbeit, des Outsourcing, der Ausgestaltung des Behördentelefonnetzes ebenso wie Aufgabe und Stellung des Landesamtes für Informationstechnik samt seiner neuen Funktionen beim Verwaltungsnetz [8]. Die Erarbeitung eines entsprechenden Gesetzes wird vordringliche Aufgabe in den nächsten Jahren sein.
Unbewältigt ist schließlich noch die Aufgabe, das Prinip der Informationsfreiheit gesetzlich zu verankern. Zwar ist dieses Prinzip im Gegensatz zur brandenburgischen Verfassung (Art. 21 Abs. 4) in der Berliner Verfassung nicht ausdrücklich verbirgt. Es entspricht aber einem modernen Demokratieverständnis, den Bürgern Einsicht in Akten und sonstige amtliche Unterlagen auch dann zu gestatten, wenn sie nicht selbst unmittelbar betroffen sind; überwiegende öffenltiche oder private Interessen sind dabei natürlich zu wahren. Die Koalitionsvereinbarung hatte in der letzten Legislaturperiode einen entsprechenden Auftrag enthalten; zur Realisierung kam es jedoch nicht.
Herausragendes Ereignis in der Gesetzgebung war die Verabschiedung der neuen Verfassung von Berlin am 22. Juni 1995 sowie die Zustimmung einer breiten Mehrheit der Bevölkerung am 22. Oktober 1995 [9]. Die neue Verfassung enthält nicht nur an neuer Stelle in Art. 33 das Grundrecht auf Datenschutz, nämlich das Recht des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen. Die neue Verfassung hebt darüber hinaus die Stellung des Datenschutzbeauftragten hervor, der in Art. 47 nunmehr im Rahmen des Abschnitts über die Volksvertretung Verfassungsrang erhält. Auch damit wird Berlin dem Bundesverfassungsgericht in besonderer Weise gerecht, das unter den Bedingungen der automatischen Datenverarbeitung und auch im Interesse eines vorgezogenen Rechtsschutzes die Beteiligung unabhängiger Datenschutzbeauftragter von erheblicher Bedeutung für einen effektiven Schutz des Rechts auf informationelle Selbstbestimmung ist [10].
Von entscheidender Bedeutung für die weiteren legislativen Aktivitäten ist natürlich der Ausgang der Volksabstimmungen in den Ländern Berlin und Brandenburg über den Neugliederungsvertrag am 5. Mai 1996. Sollte es zur Bildung eines gemeinsamen Bundeslandes kommen, wird im Rahmen der Vereinheitlichung der Gesetzgebung das Datenschutzrecht zu den ersten Materien gehören, die aneinander angepaßt werden müssen [11]. Dies kann sich nicht auf die Datenschutzgesetze selbst beschränken, sondern wird auch die spezialrechtlichen Regelungen umfassen müssen.
Auch beim Weiterbestand beider Länder wird es einen großen Anpassungsbedarf geben. Es werden zunehmend mehr gemeinsame Verfahren entwickelt werden oder zumindest der Bedarf bestehen, auf Datenbestände des jeweils anderen Landes zuzugreifen. Eine sinnvolle Datenschutzpolitik ist nur dann möglich, wenn das beiderseitige Recht ein Höchstmaß an Übereinstimmung vorweist und auch die jeweiligen Landesbeauftragten ihre Aktivitäten aufeinander abstimmen. Dies wird in jedem Fall geschehen.
1.2 Deutschland und Europa
Da der Bundestag erst Ende 1994 seine Arbeit wieder aufgenommen hat, hat sich im vergangenen Jahr in der Bundesgesetzgebung wenig geändert. Lange angemahnte Gesetzgebungsvorhaben etwa im Bereich der Justiz und der Steuerverwaltung sind zwar diskutiert, aber kaum einen Schritt vorangebracht worden. Erneut sind große Debatten um die Einführung des "Großen Lauschangriffs" geführt worden; trotz der anhaltenden Forderungen auf die Zulassung dieser Maßnahme durch die Sicherheitsbehörden sowie des Ausgangs der FDP-Mitgliederbefragung halten wir mit fast allen anderen Datenschutzbeauftragten des Bundes und der Länder an der Auffassung fest, daß die Intensität des Eingriffs in das Grundrecht auf freie Kommunikation in keinem akzeptablen Verhältnis zu den erwartbaren Erträgen für die Strafverfolgung steht.
Von zentraler Bedeutung für die Fortentwicklung des Datenschutzes ist das Inkrafttreten der Richtlinie des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (EU-Richtlinie)[12]. Die Richtlinie enthält eine Vielzahl von Bestimmungen, die interessante und weiterführende Aspekte aus den Datenschutzgesetzen der anderen Mitgliedsländer aufgreifen oder - wie zum Geltungsbereich der nationalen Gesetze in der Union oder zum Datenexport - zusätzliche europarechtliche Regelungen schaffen.
Die deutschen Gesetzgeber im Bund und in den Ländern sind aufgerufen, die Ansätze zur Verbesserung des Rechts auf informationelle Selbstbestimmung aufzugreifen und eine Rechtslage zu schaffen, die in der Tradition des wegbereitenden deutschen Datenschutzrechtes steht. Hierbei sollten auch bisher nicht gelöste und neu entstandene Probleme des Datenschutzes insbesondere im Hinblick auf die neuen technischen Entwicklungen aufgegriffen werden. Versuchen, in minimalistischer Weise nur die Bestimmungen der Richtlinie umzusetzen, die für die Harmonisierung unerläßlich sind, sollte entgegengewirkt werden.
Unter den änderungsbedürftigen Aspekten hervorzuheben ist die verstärkte Bedeutung des Schutzes sensibler Daten, die bereits von der Europaratskonvention [13] vorgegeben war; der deutsche Gesetzgeber hatte nur in sehr zurückhaltender Weise Sonderrregelungen für "personenbezogene Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosphische Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie von Daten über Gesundheit oder Sexualleben" (Art. 8 Abs. 1) geschaffen. Die Richtlinie fordert demgegenüber die Untersagung der Verarbeitung dieser Daten, wenn nicht relativ eng begrenzte Voraussetzungen vorliegen. Diese Voraussetzungen werden schwerlich im Bundesdatenschutzgesetz selbst Platz finden können; vielmehr wird die Umsetzung der Richtlinie auch neue gesetzliche Regelungen in bisher vernachlässigten Bereichen erzwingen, etwa in der Strafprozeßordnung, einem zum schaffenden Arbeitnehmerdatengesetz oder bundesrechtlichen Vorgaben zur Verarbeitung medizinischer Daten. Trotz des Widerstandes der Kirchen gegen ihre Einbeziehung in die Richtlinie, der von den deutschen Kirchen erheblich heftiger vorgebracht wurde als selbst von Kirchen mit Staatsreligionen wie Spanien oder Dänemark, wird man um grundsätzliche Erörterungen über die Verarbeitung von Daten über die Mitglieder von Religionsgemeinschaften in staatlichen und privaten Datensammlungen nicht herum können.
Ein dem im deutschen Recht jedenfalls als allgemeiner Grundsatz ungewohnter Gedanke ist das Widerspruchsrecht gegen rechtmäßige Datenverarbeitung (Art. 14), wenn er auch in einigen Rechtsmaterien schon verankert ist (vgl. §§ 28 Abs. 3 Bundesdatenschutzgesetz, 76 Abs. 2 Sozialgesetzbuch X, 10 Abs. 4 Post- und Telekommunikations-Regulierungsgesetz). Gleichwohl verkörpert er ein wesentliches Gegengewicht gegen die generalklauselartigen Befugnisnormen des Datenschutzrechtes. Das Widerspruchsrecht würde Betroffenen die Möglichkeit geben, aus sich aus ihrer besonderen Situation ergebenden Gründen Widerspruch gegen die Verarbeitung seiner Daten einzulegen. Dies hätte etwa Bedeutung im Rahmen von Arbeitsverhältnissen, wenn der Arbeitnehmer vom Arbeitgeber zwar zulässigerweise gespeicherte, gleichwohl aber für das Arbeitsverhältnis nicht unerläßliche Daten gelöscht haben will. Das Widerspruchsrecht sollte daher als eine neuartige, den individuellen Aspekt des informationellen Selbstbestimmungsrechts in besonderem Maße betonende betonende Regelung eingeführt werden.
Das Verbot, Entscheidungen (gegen Personen) nur auf Grund automatisierter Vorgänge zu treffen (Art. 15), ist in der informatikkritischen Literatur ein alter Topos, der bisher nur in das französische Recht Eingang gefunden hat. Im deutschen Recht konterkariert z.B. § 37 Abs. 4 Verwaltungsverfahrensgesetz diesen Gedanken zwar, gleichwohl findet sich eine der Richtlinie entsprechende Regelung in § 56 f Abs. 4 Beamtenrechtsrahmengesetz sowie den Folgevorschriften des Bundes und der Länder. Auch in der Rechtsprechung gibt es Tendenzen, dieses Prinzip anzuerkennen [13a]. Die Übernahme dieser Vorschrift erscheint daher nicht nur geboten, sondern sogar als einewesentliche Bestimmung zur Gewährleistung der informationellen Selbstbestimmung bei zunehmender Automatisierung.
Artikel 27, der entsprechend niederländischen Rechtsgedanken die Ausarbeitung und Verbindlichmachung von Codes of Conduct für einzelne Gesellschaftsbereiche zuläßt, ist dem deutschen Satzungsrecht vergleichbar (vgl. z.B. die Regelungen zur ärztlichen Schweigepflicht in den Ärztlichen Berufsordnungen). Die Übernahme der Vorschrift wird es weiten Bereichen gestatten, die allgemeinen gesetzlichen Bestimmungen durch selbstgestaltete Regelungen zu untersetzen.
Der künftigen Ausgestaltung der Kontrollinstanzen und ihrer Befugnisse kommt naturgemäß eine erhebliche Bedeutung zu. Das ursprünglich favorisierte Idealbild einer einheitlichen "Kontrollstelle" in jedem Mitgliedsstaat ist in föderal organisierten Staaten nicht zu realisieren. Gleichwohl ergibt sich aus dem Regelungskonzept des Artikel 28 der Richtlinie, die vor allem die Effektivität der Arbeit betont, daß eine Zersplitterung der Datenschutzkontrolle, wie sie derzeit in der Bundesrepublik besteht, nicht richtlinienkonform ist. Vielmehr muß Anliegen der Umsetzung sein, einen möglichst klar organisierten, schlanken Kontrollapparat zu schaffen. Insoweit ist die neue Berliner Regelung vorbildlich und wird von den zuständigen Stellen der Europäischen Kommission auch als nachahmenswert angepriesen.
Die Datenschutzkontrollbehörden müssen die ihnen zugewiesenen Aufgaben "in völliger Unabhängigkeit" wahrnehmen. Trotz aller Verhandlungskunst der deutschen Innenministerien bei der Vorbereitung der Richtlinie, die darauf abzielten, den deutschen status quo zu erhalten, besteht kein Zweifel, daß "völlige Unabhängigkeit" die Einbindung der Datenschutzkontrollinstanzen in ministerielle Weisungsstränge ausschließt. Die Aufrechterhaltung eines Zustandes, in dem die Aufsichtsbehörden der fachlichen Weisung durch übergeordnete Stellen unterliegen, ist gemeinschaftswidrig. Darüber hinaus wirft auch die organisatorische, dienstrechtliche oder rechtsaufsichtliche Einbindung die Frage auf, ob das Kriterium der "völligen Unabhängigkeit" erfüllt ist.
Den Kontrollinstanzen müssen auch ohne Anlaß umfassende Untersuchungs- und wirksame (im englischen und französischen Text deutlicher: effektive) Einwirkungsbefugnisse zur Verfügung stehen. Dies schließt die Begrenzung der Kontrolle im nichtöffentlichen Bereich auf die Anlaßkontrolle aus. Auf der anderen Seite sollten (auch im öffentlichen Bereich) die Befugnisse über die Empfehlungskompetenz hinaus auf konkrete Weisungsbefugnisse ausgedehnt werden.
