Der „Digital Omnibus“ ist ein Vorschlag der EU-Kommission aus dem vorigen Jahr zur Vereinfachung des Datenrechts in der Europäischen Union. Er zielt zunächst auf eine Zusammenfassung mehrerer Rechtsakte, die den Zugang zu Informationen und die Nutzung von Daten des öffentlichen und privaten Sektors zum Ziel haben. So sollen die Richtlinie über offene Daten und die Wiederverwendung von Daten des öffentlichen Sektors, der Data Act und der Data Governance Act in einer Verordnung zusammengefasst werden. Künftig würde das europäische Datenrecht nur noch aus zwei statt bisher fünf Rechtsakten bestehen, nämlich dem Data Act und der weiterhin geltenden, aber geänderten Datenschutz-Grundverordnung.
Der Vorschlag der Kommission für eine Verordnung zum „Digital Omnibus“ muss vom Rat und vom Europäischen Parlament gemeinsam beraten und beschlossen werden, um in den Mitgliedstaaten der Union unmittelbar zu gelten. Während der parallele (und nicht zu verwechselnde) Kommissionvorschlag für eine Verordnung für vereinfachte Regeln zur Künstlichen Intelligenz (Digitale Omnibus-Verordnung zur KI) schon zwischen Rat und Parlament abgestimmt ist, wird die Beratung der Digitalen Omnibus-Verordnung zur Vereinfachung des übrigen Datenrechts noch mehr Zeit in Anspruch nehmen. Immerhin sah es in der vergangenen Woche zeitweise so aus, dass sich der Rat der Europäischen Union (Ministerrat) unter dem Vorsitz Zyperns auf ein Mandat für die bevorstehenden Trilog-Verhandlungen mit dem Europäischen Parlament und der Kommission einigen könnte. Diese Verhandlungen werden voraussichtlich im Herbst beginnen. Die Bemühungen Zyperns, zu einer Einigung im Rat gekommen, sind aber an Einwänden aus anderen Mitgliedstaaten gescheitert. Dennoch lohnt es sich, einen Blick auf den zypriotischen Kompromissvorschlag zu werfen.
Hier sollen nur dievorgeschlagenen Änderungen der Datenschutz-Grundverordnung beleuchtet werden. Die Zusammenlegung der Wiederverwendungs-Richtlinie mit dem Data Act und dem Data Governance Act ist sicher zu begrüßen und dürfte bis auf Details auch nicht kontrovers sein. Dagegen haben die von der Kommission vorgeschlagenen Änderungen im Datenschutzbereich bereits für heftige Diskussionen gesorgt.
In mehreren Punkten erteilt der zypriotische Vorschlag dem Entwurf der Kommission eine Absage. Das ist zum Teil zu begrüßen, teils fordert es aber auch Kritik heraus.
Die Kommission hatte vorgeschlagen, den für das Datenschutzrecht zentralen Begriff des personenbezogenen Datums über die Rechtsprechung des EuGH hinaus einzuschränken. Das lehnte der zypriotsiche Ratsvorsitz zu Recht ab. Dafür werden unterschiedliche Gründe angeführt: zum einen ist zutreffend darauf hingewiesen worden, dass eine Einschränkung des Begriffs des Personenbezugs das Datenschutzrecht in seinem Kernbereich treffen und marginalisieren würde. Zum anderen wurde – eher formal – eingewandt, dass derart weitreichende Änderungen des materiellen Unionsrechts jedenfalls nicht in dem für die Omnibus-Gesetzgebung vorgesehenen Schnellverfahren beschlossen werden dürfe. Dieser zuletzt genannte Gesichtspunkt deutet darauf hin, dass die Debatte um den Anwendungsbereich der Datenschutz-Grundverordnung im Rahmen des von der Kommission angekündigten digitalen Fitness-Checks erneut aufflammen kann.
Der Vorschlag der Kommission enthielt außerdem den sinnvollen Vorschlag, das Problem der Cookie-Banner durch eine Ergänzung der Datenschutz-Grundverordnung zu lösen, die die leidige Debatte über dieses Thema hätte beenden können. Diesen Vorschlag wollten einige Mitgliedstaaten – offenbar auf Druck der großen Internet-Unternehmen wie zB Google – ebenfalls ablehnen, was Eingang in den Kompromißvorschlag Zyperns fand. Nach ihrer Auffassung soll das Problem in der geltenden ePrivacy-Richtlinie von 2002 gelöst werden. Setzt sich diese Auffassung durch, so wird – jedenfalls vorerst – ein Zustand beibehalten, der in erster Linie der werbetreibenden Industrie dient, denn die ePrivacy-Richtlinie gilt im Gegensatz zur Datenschutz-Grundverordnung nicht unmittelbar in den Migliedstaaten, sondern muss von diesen erst umgesetzt werden. Das Ziel des Gesetzgebungsvorhabens, zu einer Vereinfachung des digitalen Datenrechts zu kommen, würde damit konterkariert, die „click fatigue“ durch permanentes Wegklicken von Cookie-Bannern würde sich fortsetzen. Zu Unrecht wird hierfür seit jeher dem Datenschutz die Schuld gegeben.
Zudem enthält der zypriotische Kompromissvorschlag eine Vorschrift, die den Austausch von Daten mit außereuropäischen Drittstaaten im öffentlichen Interesse betrifft. Bereits die geltende Grundverordnung enthält eine solche Ausnahmevorschrift. Die Zypern vorgeschlagene Änderung ist scheinbar nur redaktioneller Natur, könnte aber die regelmäßige Übermittlung zB von Steuerdaten in die USA nach dem Foreign Account Tax Compliance Act (FATCA) legitimieren, obwohl die Rechtmäßigkeit dieses Verfahrens gerade vom Europäischen Gerichtshof überprüft wird.
Schließlich hatte die Kommission vorgeschlagen, eine weitreichende Rechtsgrundlage für das Training von künstlicher Intelligenz in die Datenschutz-Grundverordnung aufzunehmen. Danach wäre die Erhebung und Nutzung von personenbezogenen Daten für diesen Zweck generell als berechtigt einzustufen, wenn der Anbieter eines KI-Systems diese Verarbeitung für notwendig hält. Diese Blankettermächtigung lehnt das zypriotische Kompromisspapier zu Recht ab.
Nachdem die Entscheidung über das Verhandlungsmandat des Rates für den im Herbst beginnenden Trilog kurzfristig vertagt wurde, werden die Verhandlungen im Rat nun unter dem Vorsitz Irlands fortgesetzt, das im Juli turnusmäßig diese Rolle für ein halbes Jahr übernimmt. Das lässt nichts Gutes für den Datenschutz erwarten, wenn man bedenkt, dass die irische Regierung versucht sein könnte, Rücksicht auf die zahlreichen US-Internetfirmen zu nehmen, die in Irland ihre europäische Hauptniederlassung haben. Die Mitgliedstaaten entscheiden aber nicht allein über den Inhalt des endgültigen Rechtsakt. Es bleibt auch abzuwarten, wie sich das Europäische Parlament positioniert und zu welchem Ergebnis der Trilog führt. Man kann nur hoffen, dass der Anwendungsbereich der Grundverordnung nicht – wie von der Kommission und auch von einigen Mitgliedstaaaten vorgeschlagen – eingeschränkt wird, dass aber andererseits der Kommissionsvorschlag für eine vernünftige Regelung des Cookie-Problems wieder aufgegriffen wird.
Dr. Alexander Dix, LL.M. (Lond.)