Vereinte Nationen

Die Allgemeine Erklärung der Menschenrechte, verkündet am 10. Dezember 1948 von der Generalversammlung der Vereinten Nationen, maß der Privatsphäre der Menschen Bedeutung zu. In Art. 12 der Menschenrechtserklärung heißt es:

Obgleich die Erklärung rechtlich nicht verbindlich war und ist und die in ihr statuierten Rechte ausschließlich deklaratorischer Art sind, kann sie doch zu den Vorläufern oder gar Grundpfeilern des supranationalen Datenschutzrechts gezählt werden.

Im September 2005 forderte die 27. Internationale Konferenz der Beauftragten für den Datenschutz und den Schutz der Privatsphäre die Vereinten Nationen auf, die Rechte auf Privatsphäre („privacy“) und auf Datenschutz als Menschenrechte inhaltlich weiter auszugestalten.

Europarat

Nicht zuletzt im Hinblick auf die kurz zuvor verkündete UN-Menschenrechtserklärung enthielt auch die 1950 unterzeichnete und 1953 in Kraft getretene Europäische Menschenrechtskonvention des Europarats eine Regelung zum Datenschutz – auch wenn der Begriff damals noch nicht gebräuchlich war. Gemäß Art. 8 Abs. 1 der Europäischen Menschenrechtskonvention hat „jedermann […] Anspruch auf Achtung seines Privat- und Familienlebens, seiner Wohnung und seines Briefverkehrs“. Dieser – eher deklaratorisch und programmatisch zu verstehende – Satz ist noch heute gültig; in Deutschland steht er im Rang einem Bundesgesetz gleich.

Nachdem die elektronische Datenverarbeitung und damit der Datenschutz in den 1970er Jahren immer mehr an Bedeutung gewonnen hatten, bereitete der Europarat eine eigene Konvention zum Datenschutz vor, die 1981 als Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten vereinbart wurde. Die Europäische Datenschutzkonvention, wie das Übereinkommen umgangssprachlich genannt wurde, trat 1985 in Kraft. Durch die Konvention verpflichten sich die ihr beigetretenen Staaten, bei der automatisierten Datenverarbeitung bestimmte elementare Datenschutzprinzipien zu beachten und diese im eigenen Hoheitsgebiet auch gegenüber Dritten durchzusetzen.

OECD

Die Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD) formulierte 1980 Leitlinien für den Schutz des Persönlichkeitsbereichs und den grenzüberschreitenden Verkehr personenbezogener Daten. Die Leitlinien sollen insbesondere den grenzüberschreitenden Datenaustausch erleichtern. Sie stellen jedoch nur unverbindliche Empfehlungen dar und können mittlerweile als inhaltlich überholt gelten. Praktische Bedeutung haben die OECD-Empfehlungen nicht.

Europäische Union

Das Datenschutzrecht der Europäischen Union stand bis zum Jahr 2000 vornehmlich unter dem Gedanken der Schaffung und Stärkung des gemeinsamen Europäischen Binnenmarktes. Unterschiedliche nationale Datenschutzgesetze wurden dabei als mögliche Handelshemmnisse angesehen. Mit der Verabschiedung der Charta der Grundrechte der Europäischen Union wurde der Datenschutz als Grundrecht anerkannt.

Die Datenschutzstandards der EU stützen sich auf das Übereinkommen Nr. 108 des Europarats, auf EU-Instrumente wie die Datenschutz-Grundverordnung und die Datenschutzrichtlinie für Polizei und Strafjustiz sowie auf die einschlägige Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte (EGMR) und des Gerichtshofs der Europäischen Union (EuGH). Fachkundiges Beratungsgremium ist seit Mai 2018 der Europäische Datenschutzausschuss (EDSA), Kontrollinstanz der Europäische Datenschutzbeauftragte.

Praktische Bedeutung hatte das zwischen der Europäischen Union und den Vereinigten Staaten von Amerika vereinbarte Safe-Harbor-Abkommen. Es erlaubte den Transfer von personenbezogenen Daten aus dem Hoheitsgebiet der EU in das der USA, sofern der Datenempfänger bestimmte Datenschutzkriterien erfüllte. Von dieser Möglichkeit machten unter anderem Microsoft und Amazon.de Gebrauch. Am 6. Oktober 2015 erklärte jedoch der EuGH, das Safe-Harbor-Abkommen gewährleiste kein angemessenes Schutzniveau für die übermittelten personenbezogenen Daten. Damit bot es keine Rechtsgrundlage mehr für Datenübermittlungen in die USA. Am 12. Juli 2016 beschloss die EU-Kommission, den EU-US-Datenschutzschild anzunehmen, um die Forderungen des EuGH aus dessen Urteil vom 6. Oktober 2015 zu erfüllen.

Deutschland

Das deutsche Datenschutzrecht wird maßgeblich durch das Volkszählungsurteil des Bundesverfassungsgerichts von 1983 bestimmt. Das im Volkszählungsurteil erstmals anerkannte Grundrecht auf informationelle Selbstbestimmung und die detaillierten Vorgaben, die das Bundesverfassungsgericht dem Gesetzgeber bezüglich der Einschränkungen dieses Grundrechts auferlegt hat, haben sich in allen gesetzlichen Regelungen zum Datenschutz niedergeschlagen.

Das Grundgesetz für die Bundesrepublik Deutschland von 1949 (GG) enthält mit dem Grundrecht auf Wahrung des Brief-, Post- und Fernmeldegeheimnisses wichtige datenschutzrechtliche Regelungen. Es trifft jedoch keine Aussagen zur Gesetzgebungskompetenz, also zur Frage, ob für das Datenschutzrecht der Bund oder die Länder zuständig sind. Mangels Kompetenzzuweisung steht deshalb grundsätzlich den Ländern die Gesetzgebungskompetenz zu (Art. 70 Abs. 1 GG). Das Bundesverfassungsgericht hat jedoch entschieden, dass der Bund immer dann Datenschutzregelungen erlassen darf, wenn er „eine ihm zur Gesetzgebung zugewiesene Materie verständigerweise nicht regeln kann, ohne dass die datenschutzrechtlichen Bestimmungen mitgeregelt werden“. Es handelt sich damit um einen Fall der sogenannten Gesetzgebungskompetenz kraft Sachzusammenhangs.

Gesetze, die ausdrücklich den Schutz personenbezogener Daten in der Datenverarbeitung regeln, wurden erst in den 1970er Jahren erlassen. Das Land Hessen erließ 1970 das erste Datenschutzgesetz der Welt.

Das wohl bekannteste deutsche Regelwerk zum Datenschutz ist das Bundesdatenschutzgesetz, das 1978 in Kraft getreten ist. Es gilt für Bundesbehörden und für die Privatwirtschaft. Die sechzehn deutschen Bundesländer haben eigene Landesdatenschutzgesetze, die für die jeweiligen Landesbehörden und die Kommunen gelten. Nordrhein-Westfalen und das Saarland haben ein Datenschutzrecht in Artikel 4 bzw. Artikel 2 ihrer Landesverfassungen aufgenommen.

Sowohl das Bundesdatenschutzgesetz als auch die Landesdatenschutzgesetze finden nur Anwendung, soweit für den konkreten Sachverhalt kein spezielleres Datenschutzgesetz existiert. So müssen beispielsweise Internet-Provider bei der Verarbeitung personenbezogener Daten ihrer Kunden die besonderen Datenschutzvorschriften des Telemediengesetzes beachten. Wenn die Internet-Provider dagegen Personaldaten ihrer eigenen Beschäftigten verarbeiten, gilt – da in Deutschland kein Arbeitnehmerdatenschutzgesetz existiert – das allgemeine Bundesdatenschutzgesetz. (Siehe auch: Arbeitnehmerdatenschutz.) Für Postdienstleister gilt die Postdienste-Datenschutzverordnung. Telekommunikationsdiensteanbieter haben neben den Vorschriften zum Schutz des Fernmeldegeheimnisses die Datenschutzvorschriften des Telekommunikationsgesetzes zu erfüllen. Im Archivrecht des Bundes und der Länder wird die Archivierung und die Zugänglichmachung von Unterlagen der Dienststellen des Bundes bzw. der Länder und Kommunen sowie die Organisation der jeweiligen Archive geregelt.

Erhebliche praktische Bedeutung haben die in den Sozialgesetzen verankerten Vorschriften zum Schutz des Sozialgeheimnisses. Neben den allgemeinen Regelungen zum Sozialdatenschutz, die im zweiten Kapitel des Zehnten Buches Sozialgesetzbuch (SGB X) festgeschrieben sind, existieren auch in allen anderen Büchern des Sozialgesetzbuchs detaillierte Datenschutzregelungen.

Für die öffentlich-rechtlichen Rundfunkanstalten gelten sowohl für das materielle Recht als auch die Kontrolle aufgrund deren Staatsferne (Art. 5 GG) Sonderregelungen. Aufgrund der Staatsferne und der verfassungsrechtlich vorgegebenen Gewährleistung und Ausgestaltung des öffentlich-rechtlichen Rundfunks können Rundfunkanstalten nicht von einem „staatlichen“ Datenschutzbeauftragten kontrolliert werden, sondern müssen im Wege der anstaltsautonomen Kontrolle einen eigenen Datenschutzbeauftragten bestellen. Dieser Rundfunkdatenschutzbeauftragte Rundfunkdatenschutzbeauftragter ist die Aufsichtsbehörde nach Art. 51 EU-DSGVO (früher als Kontrollorgan nach Art. 28 Abs. 1 Datenschutzrichtlinie 95/46/EG vom 24. Oktober 1995 bezeichnet).

2008 entwickelte das Bundesverfassungsgericht das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme. Dieses Grundrecht dient vornehmlich dem Schutz von persönlichen Daten, die in informationstechnischen Systemen gespeichert oder verarbeitet werden. Dieses Recht ist nicht eigens im Grundgesetz genannt. Es wurde als spezielle Ausprägung des allgemeinen Persönlichkeitsrechts durch das Bundesverfassungsgericht formuliert.

Das für 2009 geplante Datenschutzauditgesetz wurde vom Bundestag nicht verabschiedet.

Im Februar 2010 trat das Gendiagnostikgesetz in Kraft. Dieses regelt den Umgang mit genetischen Daten.

Österreich

Das Kerndatenschutzrecht in Österreich wird durch das Datenschutzgesetz 2000 (DSG 2000) geregelt. Dieses Gesetz setzt die EU-Datenschutzrichtlinie um. Die Entstehungsgeschichte des 2000er-Gesetzes ähnelt denen in den übrigen EU-Staaten. Zunächst plante der Gesetzgeber, sich auf eine Novellierung des alten Datenschutzgesetzes zu beschränken. Dann aber setzte sich die Erkenntnis durch, dass die EU-Datenschutzrichtlinie eine Vielzahl von Neuerungen hervorbringt, sodass eine einfache Novelle nicht richtlinienkonform sein kann. Mithin war ein neues Gesetz erforderlich geworden. § 1 DSG 2000 garantiert ein Grundrecht auf Datenschutz. Sachlich ist die Geheimhaltung personenbezogener Daten geschützt, soweit ein schutzwürdiges Interesse besteht, insbesondere im Hinblick auf Art. 8 EMRK. Daher wird das Grundrecht auch als Ergänzung von Art. 8 EMRK angesehen. In persönlicher Hinsicht werden natürliche und juristische Personen geschützt. Das Grundrecht gilt nicht schrankenlos. Eingriffe können durch die Zustimmung des Betroffenen oder ein überwiegendes Interesse an der Datenverarbeitung gerechtfertigt werden. Das Kernstück des österreichischen Datenschutzrechts ist das Prinzip des Verbots mit Erlaubnisvorbehalt. Das ergibt sich aus § 7 Abs. 1 DSG 2000 i. V. m. § 8, § 9 DSG 2000. Hiernach ist eine Datenverarbeitung grundsätzlich rechtswidrig, es sei denn, es greift ein Rechtfertigungsgrund.

Aber auch im österreichischen, allgemeinen Zivilrecht ist der Datenschutz verankert. Im österreichischen Zivilrecht hat das Persönlichkeitsrecht einen hohen Stellenwert. § 16 ABGB gehört zum Urbestand des modernen, österreichischen Privatrechts. Diese Generalklausel ist Einfallstor für den zivilrechten Schutz des Persönlichkeitsrechts und damit auch des Datenschutzes.

Die Datenschutz-Grundverordnung ist zwar als EU-Verordnung seit dem 25. Mai 2018 in jedem EU-Mitgliedstaat unmittelbar anwendbar, sie enthält jedoch zahlreiche Öffnungsklauseln und lässt dem nationalen Gesetzgeber gewisse Spielräume. Zur Durchführung dieser Öffnungsklauseln und Spielräume wurden in Österreich (neben Anpassungen in zahlreichen Materiengesetzen) zwei Novellen des Datenschutzgesetzes beschlossen: das „Datenschutz-Anpassungsgesetz 2018“ und das „Datenschutz-Deregulierungs-Gesetz 2018“.

Schweiz

In der Schweiz ist der Datenschutz sowohl im Bund als auch in den Kantonen geregelt. Werden Daten durch Bundesbehörden oder Private bearbeitet, so kommt grundsätzlich das Datenschutzgesetz des Bundes zur Anwendung. Bearbeiten dagegen kantonale Behörden Personendaten, so richtet sich das Datenschutzrecht nach den kantonalen Bestimmungen.

Aufgrund der föderalen Strukturen der Schweiz sowie der verfassungsmäßigen Kompetenzverteilung zwischen Bund und Kanton sind die Kantone im Bereich Datenschutz autonom und unterstehen keiner übergeordneten Kontrolle des Bundes. Somit gibt es in der Schweiz 27 Datenschutzgesetze und ebenso viele Datenschutzbehörden.

Monografien

• Alexander Roßnagel, Andreas Pfitzmann, Hansjürgen Garstka: Modernisierung des Datenschutzrechts. Gutachten im Auftrag des Bundesministeriums des Innern. Berlin 2001.
• Rainer Knyrim: Praxishandbuch Datenschutzrecht – Leitfaden für richtiges Registrieren, Verarbeiten, Übermitteln, Zustimmen, Outsourcen, Werben uvm. 1. Auflage. Manz Verlag, Wien 2003.
• Alexander Roßnagel: Handbuch Datenschutzrecht – Die neuen Grundlagen für Wirtschaft und Verwaltung. Verlag C.H. Beck, München 2003. ISBN 3-406-48441-7.
• Lutz Grammann: Das neue kirchliche Datenschutzrecht. 2004.
• Ulrich Dammann, Spiros Simitis: Datenschutzrecht. 9. Auflage. Nomos, 2005. ISBN 3-8329-1112-X.
• Alessandra DiMartino: Datenschutz im Europäischen Recht. 1. Auflage. Nomos, 2005. ISBN 3-8329-1203-7.
• Marie-Theres Tinnefeld, Benedikt Buchner, Thomas Petri: Einführung in das Datenschutzrecht. Datenschutz und Informationsfreiheit in europäischer Sicht. 5. Auflage. Oldenbourg 2012. ISBN 978-3-486-59656-4.
• Jürgen Kühling, Christian Seidel, Anastasios Sivridis: Datenschutzrecht. 3. Auflage. Müller, Heidelberg 2015. ISBN 978-3-8114-9486-2.
• Lutz Bergmann, Roland Möhrle, Armin Herb: Kommentar zum Datenschutzrecht. Boorberg-Verlag, Stuttgart. 63. Lieferung mit Stand November 2022. ISBN 978-3-415-00616-4.
• Peter Gola, Dirk Heckmann: DS-GVO, BDSG. Datenschutz-Grundverordnung VO (EU) 2016/679, Bundesdatenschutzgesetz. Kommentar. 3. Aufl. 2022. ISBN 978-3-406-78266-4.
• Heinrich Amadeus Wolff, Stefan Brink: Datenschutzrecht: DS-GVO, BDSG, Grundlagen, Bereichsspezifischer Datenschutz. 2. Auflage. 2022. ISBN 978-3-406-78990-8.

Zeitschriften

• Computer und Recht (CR), juristische Fachzeitschrift, erscheint monatlich, ISSN 0179-1990
• Datenschutz-Berater (DSB), juristische Fachzeitschrift für Datenschutz und Datensicherheit, erscheint monatlich, ISSN 0170-7256
• Datenschutz Nachrichten (DANA), erscheint vierteljährlich zum Quartalsende, ISSN 0173-7767
• Datenschutz und Datensicherheit (DuD), erscheint monatlich, ISSN 0724-4371
• Die Datenschleuder (DS), erscheint unregelmäßig, ISSN 0930-1054
• Recht der Datenverarbeitung (RDV), juristische Fachzeitschrift für Datenschutz und Informationsfreiheit, erscheint sechsmal jährlich, ISSN 0178-8930
• Zeitschrift für Datenschutz (ZD), juristische Fachzeitschrift, erscheint monatlich, ISSN 2192-5593