6. Aus der Privatwirtschaft

6.1 Neue gesetzliche Regelung zur Aufsichtsbehörde

Im deutschen Datenschutzrecht wird bisher grundsätzlich zwischen Datenschutz im öffentlichen Bereich und Datenschutz im privaten Bereich unterschieden. Während der Datenschutz im öffentlichen Bereich für Bundesbehörden im Bundesdatenschutzgesetz und für die Landesbehörden in den 16 Landesdatenschutzgesetzen geregelt ist, stellt das Bundesdatenschutzgesetz die alleinige Grundlage für den Datenschutz im privaten Bereich dar.

Dem entspricht auch eine Trennung der Datenschutzbehörden: Während für die Kontrolle der Verwaltung Bundes- und Landesdatenschutzbeauftragte eingerichtet sind, bestimmen nach § 38 Abs. 6 BDSG die Länder "Aufsichtsbehörden". Die Länder sind diesem Auftrag in der Vergangenheit in verschiedener Weise nachgekommen. Während die Länder Hamburg und Bremen die Aufgaben der Aufsichtsbehörde von vorneherein den Landesbeauftragten übertrugen, erklärten die meisten anderen Länder die Innenministerien oder die Bezirksregierungen als Mittelbehörden zur Aufsichtsbehörde [170a]. In Berlin wurde in § 33 BlnDSG die Senatsverwaltung für Inneres bestimmt.

Die Aufspaltung der Aufgaben ist von uns in den vergangenen Jahren mehrfach kritisiert worden [171]. Sie stellte eine unnötige Zersplitterung von Aufgaben zu Lasten der Bürger dar und ist, wie die Beschwerdepraxis zeigt, von niemandem nachvollziehbar gewesen. Im Zusammenhang mit der Verwaltungsreform, bei der die Entlastung der Ministerialbürokratie von Vollzugsaufgaben eines der wesentlichen Elemente ist, hat die Berliner Innenverwaltung von sich aus eine Zusammenführung der Aufgaben angeregt.

Nunmehr hat der Berliner Landesgesetzgeber durch Änderungsgesetz zum Berliner Datenschutzgesetz vom 3. Juli 1995 [172] entschieden, daß die Berliner Aufsichtsbehörde nicht mehr wie bisher die Senatsverwaltung für Inneres sein soll, sondern ab 1. August 1995 der Berliner Datenschutzbeauftragte. Der allgemein verbreiteten Meinung, eine Kontrollbehörde im Bereich der Privatwirtschaft bedürfe jedenfalls hinsichtlich der konkreten Eingriffsbefugnisse einer gewissen Aufsicht durch eine parlamentarisch verantwortliche Instanz, wurde dadurch Rechnung getragen, daß der Berliner Datenschutzbeauftragte in seiner Funktion als Aufsichtsbehörde der Rechtsaufsicht des Senats unterstellt wurde. Wir vertreten nach wie vor die Auffassung, daß die Ausgestaltung des Berliner Datenschutzbeauftragten als Wahlamt sowie die verschiedenen Berichtspflichten (vgl. § 29 BlnDSG) hinreichende Ansatzpunkte für eine parlamentarische Kontrolle gewähren.

Aufgabe der Aufsichtsbehörde über die private Datenverarbeitung ist es nach § 1 BDSG, den Einzelnen davor zu schützen, daß er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird. Struktur und Terminologie des Bundesdatenschutzgesetzes sind grundsätzlich die gleichen wie die der Landesdatenschutzgesetze. So müssen auch die Daten im privaten Bereich personenbezogen sein, wenn sie unter das Bundesdatenschutzgesetz fallen sollen. Wie im öffentlichen Bereich knüpft das Bundesdatenschutzgesetz im privaten Bereich an bestimmte Verarbeitungskategorien an. Anders als in den Landesgesetzen stellt allerdings bisher das Erheben keine Phase der Datenverarbeitung dar und wird im privaten Bereich nur in sehr eng umgrenzten Rahmen geschützt (hier wird die Umsetzung der Europäischen Richtlinie zu erheblichen Änderungen führen müssen).

Wichtigster Unterschied zum Datenschutz im öffentlichen Bereich ist der Umstand, daß das Bundesdatenschutzgesetz im privaten Bereich nur anwendbar ist, soweit diese Stellen Daten in oder aus Dateien verarbeiten oder nutzen. Hier hat sich damit die in der Ursprungsfassung des Bundesdatenschutzgesetzes grundlegende Unterscheidung zwischen Datenverarbeitung in und aus Dateien einerseits und Datenverarbeitung in oder aus Akten oder sonstigen konventionellen Datenträgern erhalten. Es sei dahin gestellt, ob diese Unterscheidung von jeher sinnvoll war und künftig beibehalten werden sollte (die Europäische Richtlinie verwendet den Dateienbegriff ebenfalls, allerdings in einer Form, die erheblich mehr an strukturierten Datensammlungen umfaßt als die deutsche Definition). Im Hinblick auf die Rationalisierung und die Digitalisierung unserer Informationswelt werden ohnhin immer mehr Formen der Datenverarbeitung unter einen der beiden in § 3 Abs. 2 BDSG definierten Dateibegriffe fallen.

Es ist aber derzeit noch nicht auszuschließen, daß manche von den Bürgern aus der Privatwirtschaft an uns herangetragenen Fälle mangels Dateibezug nicht unter das Bundesdatenschutzgesetz fallen. Dann ist zwar keine Entscheidung nach diesem Gesetz möglich, gleichwohl ist dem Datenschutzbeauftragten aber nicht verwehrt, einerseits diesen Bürgern Anregungen auf der Grundlage anderer einschlägiger Gesetze zu geben, andererseits die datenverarbeitenden Unternehmen auf Mängel hinzuweisen und Empfehlungen zu ihrer Abstellung zu unterbreiten.

Nach dem Bundesdatenschutzgesetz hat die Aufsichtsbehörde vor allem folgende Aufgaben:

- Sie hat nach § 38 BDSG Beschwerden von Bürgerinnen und Bürgern über eine Verletzung des Bundesdatenschutzgesetzes sowie anderer Vorschriften über den Datenschutz zu überprüfen. Hierzu gab es auf den verschiedensten Gebieten schon genügend Anlaß.

- Zu den gesetzlichen Aufgaben gehört es ferner, Betriebe, die der Gesetzgeber unter dem Gesichtspunkt des Datenschutzes als besonders gefährlich angesehen hat, nach § 32 BDSG zu registrieren und nach § 38 von Amts wegen zu überprüfen. Nach § 32 Abs. 1 BDSG gehören dazu nicht-öffentliche Stellen, die personenbezogene Daten geschäftsmäßig zum Zwecke der Übermittlung speichern (z. B. Auskunfteien oder Detekteien), zum Zwecke der anonymisierten Übermittlung speichern (z. B. Markt- und Meinungsforschungsinstitute) oder im Auftrag als Dienstleistungsunternehmen verarbeiten oder nutzen (z. B. Rechenzentren).

Die sich daraus ergebende Prüfpraxis wird sicher davon profitieren, daß unsere Behörde über eine effektive DV-Ausstattung und über viel ADV-Know how verfügt, das wie im öffentlichen Bereich so auch hier im privaten Bereich Anwendung finden kann.

- Aber auch bei Betrieben, die nicht unter den Katalog der sogenannten Fremdverarbeiter fallen, muß die Datenschutzaufsichtsbehörde eingreifen, wenn hinreichende Anhaltspunkte dafür vorliegen, daß in diesen Betrieben eine Datenschutzverletzung stattfindet. Die Praxis wird erweisen, inwieweit damit datenschutzwidrige Praxen verhindert oder beseitigt werden können.