EU will verbindliche Selbstverpflichtungen zum Datenschutz harmonisieren

EU-Kommissarin Viviane Reding will die Bestimmungen für rechtlich bindende Selbstverpflichtungen von Unternehmen zum Datenschutz – sogenannten „Binding Corporate Rules“ – in Europa harmonisieren. Vor der International Association of Privacy Professionals (IAPP) hat sie jetzt im Detail ausgeführt, welche Änderungen ihr vorschweben.

Viviane Reding (Bild: Europäische Kommission)

„Selbstverpflichtungen von Unternehmen sind in der Tat ein sehr gutes Werkzeug zum Datenschutz, aber wir wissen, dass es noch besser geht“, sagte Reding. Ihr Anliegen sei es, das System zu stärken und zu vereinfachen. Es solle auch neue Formen der Datenverarbeitung abdecken, etwa Cloud-Computing. Die für die Digitale Agenda zuständige EU-Kommissarin Neelie Kroes hatte schon vor gut einem Jahr einen einheitlichen Datenschutz für die Cloud gefordert.

Bisher müssen Firmen oder Gruppen sich an eine nationale Datenschutzaufsicht wenden, wenn sie auf europäischer Ebene Selbstverpflichtungen eingehen möchten. Die Behörde segnet die Regeln ab und gibt sie an die zuständigen Instanzen in den anderen EU-Staaten weiter. „In der derzeitigen Situation bedeutet das auf Basis der Datenschutzrichtlinie von 1995, dass Regeln von verschiedenen Behörden begutachtet werden, die unterschiedliche – und teilweise vielleicht widersprüchliche – Methoden anwenden“, sagte Reding.

Diese rechtliche Fragmentierung sei eine kostenintensive verwaltungstechnische Bürde, erklärte die EU-Kommissarin. „Hier wird Zeit und Geld verschwendet.“ Die gängige Praxis sei zudem der Glaubwürdigkeit und Effizienz von Datenschutzbehörden abträglich.

Reding pocht darauf, dass künftig nur noch eine Datenschutzbehörde eine Selbstverpflichtung absegnen muss, damit sie EU-weit anerkannt wird. Sie will zudem die Kompetenzen der nationalen Behörden ausbauen. Manche seien derzeit nicht in der Lage, Verstöße zu sanktionieren.

Verbindliche Selbstverpflichtungen oder „Binding Corporate Rules“ (BCR) werden nicht von Unternehmen selbst entwickelt, sondern vom Beratungsgremium der EU in Datenschutzfragen, der Datenschutzgruppe Artikel 29. Sind sie einmal verabschiedet, müssen teilnehmende Firmen sich daran halten. Sie wurden als Alternative zu den Safe-Harbor-Bestimmungen für US-Unternehmen entworfen und sollen Reding zufolge sowohl innerhalb der EU als auch für Datentransfers außerhalb der Gemeinschaft gelten.