Erwägungsgründe
DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION -
gestützt auf den Vertrag zur Gründung der Europäischen Gemeinschaft, insbesondere auf Artikel 286,
auf Vorschlag der Kommission,
nach Stellungnahme des Wirtschafts- und Sozialausschusses,
gemäß dem Verfahren des Artikels 251 des Vertrags,
in Erwägung nachstehender Gründe:
(1) Nach Artikel 286 des Vertrags finden die Rechtsakte der Gemeinschaft über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und den freien Verkehr solcher Daten auf die Organe und Einrichtungen der Gemeinschaft Anwendung.
(2) Ein umfassendes Datenschutzsystem erfordert nicht nur eine Bestimmung der Rechte der betroffenen Personen und der Pflichten der Personen, die personenbezogene Daten verarbeiten, sondern auch geeignete Sanktionen für Rechtsverletzer und eine Überwachung durch eine unabhängige Kontrollbehörde.
(3) Artikel 286 Absatz 2 des Vertrag schreibt die Errichtung einer unabhängigen Kontrollinstanz vor, die die Anwendung solcher Gemeinschaftsrechtsakte auf die Organe und Einrichtungen der Gemeinschaft überwacht.
(4) Artikel 286 Absatz 2 des Vertrags bestimmt ferner, dass erforderlichenfalls weitere einschlägige Bestimmungen erlassen werden.
(5) Eine Verordnung ist erforderlich, um den natürlichen Personen auf dem Rechtsweg durchsetzbare Rechte zu geben, die Verpflichtungen der in den Organen und Einrichtungen der Gemeinschaft für die Datenverarbeitung Verantwortlichen festzulegen und eine unabhängige Kontrollbehörde für die Überwachung der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft zu schaffen.
(6) Die gemäß Artikel 29 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr eingesetzte Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten wurde konsultiert.
(7) Unter den Schutz fallen können Personen, deren personenbezogene Daten von den Organen oder Einrichtungen der Gemeinschaft in irgendeinem Kontext verarbeitet werden, z. B. weil sie bei diesen Organen oder Einrichtungen beschäftigt sind.
(8) Die Grundsätze des Datenschutzes sollten für alle Informationen über eine bestimmte oder bestimmbare Person gelten. Um festzustellen, ob eine Person bestimmbar ist, sind alle Mittel zu berücksichtigen, die von dem für die Verarbeitung Verantwortlichen oder von jeder anderen Person nach vernünftiger Einschätzung zur Identifizierung der betreffenden Person genutzt werden können. Die Grundsätze des Datenschutzes sollten nicht für Daten gelten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht mehr identifiziert werden kann.
(9) Nach der Richtlinie 95/46/EG haben die Mitgliedstaaten den Schutz der Grundrechte und Grundfreiheiten der natürlichen Personen und insbesondere deren Recht auf die Privatsphäre bei der Verarbeitung personenbezogener Daten sicherzustellen, um den freien Verkehr personenbezogener Daten in der Gemeinschaft zu gewährleisten.
(10) Die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 15. Dezember 1997 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre im Bereich der Telekommunikation präzisiert und ergänzt die Richtlinie 95/46/EG im Hinblick auf die Verarbeitung personenbezogener Daten im Bereich Telekommunikation.
(11) Verschiedene andere Gemeinschaftsmaßnahmen, insbesondere im Bereich der Amtshilfe zwischen den einzelstaatlichen Verwaltungen und der Kommission, zielen ebenfalls darauf ab, die Richtlinie 95/46/EG in dem jeweils maßgeblichen Bereich zu präzisieren und zu ergänzen.
(12) Die kohärente, homogene Anwendung der Bestimmungen für den Schutz der Grundrechte und Grundfreiheiten von Personen bei der Verarbeitung personenbezogener Daten sollte in der gesamten Gemeinschaft gewährleistet sein.
(13) Damit soll sowohl die tatsächliche Einhaltung der Bestimmungen für den Schutz der Grundrechte und Grundfreiheiten der Personen als auch der freie Verkehr personenbezogener Daten zwischen den Mitgliedstaaten und den Organen und Einrichtungen der Gemeinschaft bzw. zwischen den Organen und Einrichtungen der Gemeinschaft zum Zwecke der Ausübung ihrer jeweiligen Befugnisse garantiert werden.
(14) Zu diesem Zweck sollten zwingende Vorschriften für die Organe und Einrichtungen der Gemeinschaft erlassen werden. Diese Vorschriften sollten auf alle Verarbeitungen personenbezogener Daten durch alle Organe und Einrichtungen der Gemeinschaft Anwendung finden, soweit die Verarbeitung im Rahmen von Tätigkeiten erfolgt, die ganz oder teilweise den Anwendungsbereich des Gemeinschaftsrechts betreffen.
(15) Wird diese Verarbeitung von den Organen und Einrichtungen der Gemeinschaft in Ausübung von Tätigkeiten außerhalb des Anwendungsbereichs der vorliegenden Verordnung, insbesondere für die Tätigkeiten gemäß den Titeln V und VI des Vertrags über die Europäische Union, durchgeführt, so wird der Schutz der Grundrechte und Grundfreiheiten der Personen unter Beachtung des Artikels 6 des Vertrags über die Europäische Union gewährleistet. Der Zugang zu den Dokumenten, einschließlich der Bedingungen für den Zugang zu Dokumenten, die personenbezogene Daten enthalten, unterliegt den Bestimmungen, die auf der Grundlage von Artikel 255 des Vertrags erlassen wurden, dessen Anwendungsbereich sich auf die Titel V und VI des Vertrags über die Europäische Union erstreckt.
(16) Diese Vorschriften gelten nicht für Einrichtungen außerhalb des Gemeinschaftsrahmens, und der Europäische Datenschutzbeauftragte ist nicht befugt, die Verarbeitung personenbezogener Daten durch solche Einrichtungen zu überwachen.
(17) Voraussetzung für die Wirksamkeit des Schutzes von Personen bei der Verarbeitung personenbezogener Daten in der Union ist die Kohärenz der Regeln und Verfahren, die diesbezüglich für die Tätigkeiten innerhalb der unterschiedlichen Rechtsrahmen gelten. Die Ausarbeitung von Grundprinzipien für den Schutz personenbezogener Daten auf dem Gebiet der justitiellen Zusammenarbeit in Strafsachen sowie der polizeilichen Zusammenarbeit und der Zusammenarbeit im Zollwesen und die Einrichtung einer Geschäftsstelle für die gemeinsamen Kontrollinstanzen, die durch das Europol-Übereinkommen, das Übereinkommen über den Einsatz der Informationstechnologie im Zollbereich und das Schengener Übereinkommen geschaffen wurden, stellen in dieser Hinsicht einen ersten Schritt dar.
(18) Die für die Mitgliedstaaten gemäß den Richtlinien 95/46/EG und 97/66/EG bestehenden Rechte und Pflichten sollten von dieser Verordnung unberührt bleiben. Sie hat nicht zum Ziel, die Verfahren und Praktiken zu ändern, die von den Mitgliedstaaten im Bereich der nationalen Sicherheit, der Verteidigung der Ordnung sowie der Verhütung, der Aufdeckung, der Ermittlung und der Verfolgung von Straftaten unter Beachtung des Protokolls über die Vorrechte und Befreiungen der Europäischen Gemeinschaften sowie des Völkerrechts rechtmäßig angewandt werden.
(19) Die Organe und Einrichtungen der Gemeinschaft wenden sich an die zuständigen Behörden in den Mitgliedstaaten, wenn sie der Auffassung sind, dass Fernmeldeverbindungen in ihren Telekommunikationsnetzen gemäß den geltenden einzelstaatlichen Rechtsvorschriften überwacht werden sollen.
(20) Die für die Organe und Einrichtungen der Gemeinschaft geltenden Bestimmungen sollten den Vorschriften entsprechen, die für die Harmonisierung der einzelstaatlichen Rechtsvorschriften oder die Umsetzung anderer Gemeinschaftspolitiken, insbesondere im Bereich der Amtshilfe, vorgesehen sind. Präzisierungen und Ergänzungen können allerdings für die Umsetzung des Schutzes bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft erforderlich sein.
(21) Dies gilt sowohl für die Rechte der Personen, deren Daten verarbeitet werden, und die Verpflichtungen der Organe und Einrichtungen der Gemeinschaft, die für die Verarbeitungen verantwortlich sind, als auch für die Befugnisse, über die die unabhängige Kontrollbehörde verfügen muss, die für die einwandfreie Anwendung dieser Verordnung Sorge zu tragen hat.
(22) Durch die der betreffenden Person gewährten Rechte und die Ausübung dieser Rechte sollten die Verpflichtungen des für die Verarbeitung Verantwortlichen nicht berührt werden.
(23) Die unabhängige Kontrollbehörde führt ihre Kontrollaufgaben gemäß dem Vertrag und unter Wahrung der Menschenrechte und der Grundfreiheiten durch. Sie führt ihre Untersuchungen unter Beachtung des Protokolls über die Vorrechte und Befreiungen und des Statuts der Beamten der Europäischen Gemeinschaften und der Beschäftigungsbedingungen für die sonstigen Bediensteten dieser Gemeinschaften durch.
(24) Es sollten die notwendigen technischen Maßnahmen ergriffen werden, um über die unabhängige Kontrollbehörde Zugang zu den von den behördlichen Datenschutzbeauftragten geführten Registern der Verarbeitungen zu bieten.
(25) Die Entscheidungen der unabhängigen Kontrollbehörde über die in dieser Verordnung festgelegten Ausnahmen, Garantien, Genehmigungen und Voraussetzungen im Zusammenhang mit der Verarbeitung von Daten sollten im Tätigkeitsbericht veröffentlicht werden. Unabhängig von der jährlichen Veröffentlichung des Tätigkeitsberichts kann die unabhängige Kontrollbehörde Berichte über besondere Themen veröffentlichen.
(26) Bestimmte Verarbeitungen, die besondere Risiken für die Rechte und Freiheiten der betroffenen Personen beinhalten können, werden von der unabhängigen Kontrollbehörde vorab kontrolliert. Durch die im Rahmen dieser Vorabkontrolle abgegebene Stellungnahme, einschließlich der Stellungnahme, die aus dem Ausbleiben einer Antwort innerhalb der festgelegten Frist resultiert, sollte die spätere Wahrnehmung der Befugnisse, welche die unabhängige Kontrollbehörde in Bezug auf die betreffende Verarbeitung ausübt, nicht berührt werden.
(27) Die Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft zur Wahrnehmung einer Aufgabe im öffentlichen Interesse schließt die Verarbeitung personenbezogener Daten ein, die für die Verwaltung und das Funktionieren dieser Organe und Einrichtungen erforderlich ist.
(28) In einigen Fällen sollte vorgesehen werden, dass die Datenverarbeitung durch Rechtsvorschriften der Gemeinschaft oder deren Durchführungsvorschriften erlaubt werden muss. In Ermangelung solcher Vorschriften kann der Europäische Datenschutzbeauftragte jedoch bis zu ihrer Verabschiedung die Verarbeitung dieser Daten durch die Einführung angemessener Garantien vorübergehend genehmigen. Dabei berücksichtigt er unter anderem Bestimmungen der Mitgliedstaaten zur Regelung vergleichbarer Fälle.
(29) Bei den genannten Fällen handelt es sich um die Verarbeitung von Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von Daten über Gesundheit und Sexualleben, die erforderlich sind, um den spezifischen Pflichten und Rechten des für die Verarbeitung Verantwortlichen auf dem Gebiet des Arbeitsrechts Rechnung zu tragen, oder die aus wichtigen Gründen des öffentlichen Interesses erforderlich sind. Es handelt sich ferner um die Verarbeitung von Daten, die Straftaten, strafrechtliche Verurteilungen oder Sicherungsregeln betreffen, oder auch die Erlaubnis, die betreffende Person einer Entscheidung zu unterwerfen, die für sie rechtliche Folgen nach sich zieht oder sie erheblich beeinträchtigt und die ausschließlich aufgrund einer automatisierten Verarbeitung von Daten zum Zweck der Bewertung einzelner Aspekte ihrer Person ergeht.
(30) Die Überwachung von Computernetzen, die unter Kontrolle eines Organs oder einer Einrichtung der Gemeinschaft betrieben werden, kann zur Verhinderung unbefugter Benutzung erforderlich sein. Der Europäische Datenschutzbeauftragte legt fest, ob und unter welchen Voraussetzungen dies möglich ist.
(31) Für die Haftung bei Zuwiderhandlung gegen diese Verordnung gilt Artikel 288 Absatz 2 des Vertrags.
(32) In jedem Organ bzw. jeder Einrichtung der Gemeinschaft tragen ein oder mehrere behördliche Datenschutzbeauftragte für die Anwendung der Bestimmungen dieser Verordnung Sorge und beraten die für die Verarbeitung Verantwortlichen bei der Erfüllung ihrer Verpflichtungen.
(33) Die Verordnung (EG) Nr. 322/97 des Rates vom 17. Februar 1997 über die Gemeinschaftsstatistiken gilt nach ihrem Artikel 21 unbeschadet der Richtlinie 95/46/EG.
(34) Die Verordnung (EG) Nr. 2533/98 des Rates vom 23. November 1998 über die Erfassung statistischer Daten durch die Europäische Zentralbank gilt nach ihrem Artikel 8 Absatz 8 unbeschadet der Richtlinie 95/46/EG.
(35) Die Verordnung (Euratom, EWG) Nr. 1588/90 des Rates vom 11. Juni 1990 über die Übermittlung von unter die Geheimhaltungspflicht fallenden Informationen an das Statistische Amt der Europäischen Gemeinschaften lässt nach ihrem Artikel 1 Absatz 2 die besonderen Vorschriften des Gemeinschaftsrechts oder des nationalen Rechts, die den Schutz anderer Geheimnisse als des Statistikgeheimnisses betreffen, unberührt.
(36) Diese Verordnung hat nicht zum Ziel, den gemäß Artikel 249 des Vertrags bestehenden Spielraum der Mitgliedstaaten bei der Ausarbeitung ihrer nationalen Rechtsvorschriften im Bereich des Datenschutzes gemäß Artikel 32 der Richtlinie 95/46/EG zu beschränken -
HABEN FOLGENDE VERORDNUNG ERLASSEN: