[pic] | EUROPÄISCHE KOMMISSION |

Brüssel, den 22.4.2010

KOM(2010)170 endgültig

BERICHT DER KOMMISSION

über den Stand des Datenschutzes im Binnenmarkt-Informationssystem

BERICHT DER KOMMISSION

über den Stand des Datenschutzes im Binnenmarkt-Informationssystem

ZUSAMMENFASSUNG

Die Kommission zeigt sich mit der Sicherstellung der persönlichen Rechte und Freiheiten in Bezug auf personenbezogene Daten (nachfolgend: „Datenschutz) im Binnenmarkt-Informationssystem (IMI) zufrieden. IMI ist ein internetgestütztes, sicheres und mehrsprachiges Informationsaustauschsystem, das die Mitgliedstaaten bei der behördlichen Zusammenarbeit unterstützt. Die Kommission ist außerdem mit der Umsetzung der Empfehlung zu den Datenschutzleitlinien für das IMI zufrieden.

Von den Mitgliedstaaten wurden keine Datenschutzprobleme gemeldet. Dies untermauert die mit dem Europäischen Datenschutzbeauftragten abgestimmte schrittweise Vorgehensweise bei der Festlegung des Rechtsrahmens für das IMI in Einklang mit den technischen Entwicklungen und der Ausweitung des Systems auf andere Bereiche des Binnenmarktrechts.

Die Kommission wird 2010 prüfen, ob das IMI auf andere Bereiche des Binnenmarkts ausgeweitet werden kann und mehr Erfahrung mit der praktischen Nutzung des Systems im Bereich der Dienstleistungen sammeln. Im ersten Quartal 2011 wird sie ein Arbeitspapier der Kommissionsdienststellen darüber vorlegen, wie das IMI-System im Jahr 2010 funktioniert und sich entwickelt hat, und dabei auch auf den Datenschutz eingehen.

GEGENSTAND DIESES BERICHTS

In diesem Bericht, der in der Empfehlung der Kommission zu Datenschutzleitlinien für das Binnenmarktinformationssystem[1] (nachfolgend: „die Empfehlung“) angekündigt wurde, werden die Umsetzung der Empfehlung durch die Mitgliedstaaten und die Kommission und der Stand des Datenschutzes im IMI geprüft. Er umfasst auch neue, nicht in der Empfehlung enthaltene Themen, insbesondere den Geltungsbereich der neuen Dienstleistungsrichtlinie.

Bei der Erstellung des Berichts berücksichtigte die Kommission die Rückmeldungen der Mitgliedstaaten, die sowohl im Rahmen einer im November 2009 durchgeführten Ad-hoc-Konsultation[2] als auch durch regelmäßige Kontakte mit IMI-Koordinatoren und Vertretern der Mitgliedstaaten in Sitzungen des IMAC-IMI (Binnenmarkt – IMI-Auschuss) eingingen.

DIE ENTWICKLUNG DES IMI IM JAHR 2009

Das Jahr 2009 war entscheidend für die Entwicklung des IMI. Die Nutzung des IMI für Anfragen im Zusammenhang mit der Rechtslage über Berufsqualifikationen wurde auf 20 weitere Berufe ausgedehnt, und der Großteil der Mittel wurde für die Ausweitung des IMI auf die Dienstleistungsrichtlinie[3] eingesetzt.

Nationale IMI-Koordinatoren nahmen am Pilotprojekt zum Austausch von Informationen über die Dienstleistungsrichtlinie teil (basierend auf tatsächlichen und fiktiven Fällen), und die Schulungen fanden in Brüssel statt[4]. Die Kommission gab eine neue Version der Software (1.7) heraus, die es den zuständigen Behörden ermöglichte, sich selbst zu registrieren. Ende des Jahres hat sie auch eine vorläufige Version 2.0 herausgebracht, die eine getrennte IT-Anwendung für den Vorwarnungsmechanismus[5] enthielt. Die neue Software-Aktualisierung war im ersten Quartal 2010 voll funktionsfähig.

Dank der gemeinsamen Bemühungen der Kommission und der Mitgliedstaaten waren bis Ende Januar 2010 4508 zuständige Behörden im IMI registriert, wovon 3698 Zugriff auf den neuen Dienstleistungsbereich hatten. Diese Zahl soll sich jedoch in den nächsten Monaten noch beträchtlich erhöhen. Die durchschnittliche Zahl der verschiedenen Benutzer, die ihren Internetzugang täglich nutzten, ist von 40 im Januar 2009 auf 180 im Dezember desselben Jahres angestiegen.

Gesamtzahl der gesendeten Anfragen pro Quartal und Rechtsbereich im Jahr 2009

[pic]

Im Bereich der Berufsqualifikationen wurde das System weiter ausgereift, und sein großer Erfolg zeigt das Potenzial des IMI als Instrument für die behördliche Zusammenarbeit in der EU. Es wurden durchschnittlich 350 Anfragen pro Quartal gesendet. Mehr als 90 % aller 2009 gesendeten Anfragen zu Berufsqualifikationen kamen aus den EU-15, den Mitgliedstaaten, die vor 2004 beigetreten waren. Dies zeigt die Richtung der Arbeitsmigration. Polen und Rumänien waren die Empfänger von 32 % aller Anfragen.

Bei der Betrachtung der Tabelle sollte beachtet werden, dass 56 % der Anfragen innerhalb einer Woche beantwortet wurden.

Benötigte Zeit für die Bearbeitung einer Anfrage gemäß der Richtlinie über Berufsqualifikationen im Jahr 2009

Angenommene Anfragen | Gesamt % | Beantwortete Anfragen | Gesamt % |

Innerhalb 3 Tagen | 741 | 57,0 % | 518 | 43,0 % |

Innerhalb 1 Woche | 216 | 73,7 % | 167 | 56,8 % |

Innerhalb 2 Wochen | 166 | 86,5 % | 170 | 71,0 % |

Innerhalb 4 Wochen | 120 | 95,7 % | 164 | 84,6 % |

Innerhalb 8 Wochen | 35 | 98,4 % | 106 | 93,4 % |

Länger als 8 Wochen | 21 | 100,0 % | 80 | 100,0 % |

Insgesamt: | 1299 | 1205 |

(* Die Abweichung zwischen den angenommenen und den beantworteten Anfragen ergibt sich aufgrund zurückgezogener Anfragen bzw. aufgrund Ende Dezember 2009 noch offener Anfragen.)

VERBESSERUNG DES DATENSCHUTZES IM IMI, SCHRITTWEISES VORGEHEN

Das IMI verfolgt das Konzept eines „eingebauten Datenschutzes“ („Privacy by design“), d.h. die Einhaltung des Datenschutzes ist bei Systemen, in denen Informationen gespeichert sind, von Anfang an vorgesehen. Datenschutzerwägungen gehören auch zum täglichen Gebrauch des Systems und sind in den Schulungsunterlagen enthalten – ein Konzept, das über den formalistischen und theoretischen Datenschutz hinausgeht. Das scheint sich zu lohnen, da von den Mitgliedstaaten kein einziges Problem in Bezug auf den Datenschutz im IMI gemeldet wurde und von den Betroffenen keine Beschwerden eingingen.

Die Kommission steht seit zwei Jahren im Dialog mit den Datenschutzbehörden und dem Europäischen Datenschutzbeauftragten (EDSB). Da das System ein hohes Maß an technischem und verfahrensrechtlichem Datenschutz gewährleistet und sich die Kommission klar dazu verpflichtet hat, dieses weiter zu verbessern, wird das schrittweise Vorgehen von dem Grundprinzip geleitet, dass der Rechtsrahmen für das IMI mit den technischen Entwicklungen Schritt halten und das System auf andere Bereiche des Binnenmarktrechts ausgeweitet werden soll.

Das schrittweise Vorgehen hat es der Kommission ermöglicht, ausgehend von einer geringen Erfahrung mit dem System, in einer Stellungnahme vom 12. Dezember 2007 alle vom Europäischen Datenschutzbeauftragten aufgeworfenen Bedenken zu behandeln, und drei Rechtstexte zu Datenschutzthemen im IMI anzunehmen:

a) Die Entscheidung der Europäischen Kommission vom 12. Dezember 2007 über den Schutz personenbezogener Daten bei der Umsetzung des Binnenmarktinformationssystems[6] (IMI);

b) die Empfehlung der Europäischen Kommission vom 26. März 2009 zu Datenschutzleitlinien für das Binnenmarktinformationssystem (IMI)[7];

c) die Entscheidung der Europäischen Kommission vom 2. Oktober 2009 zur Festlegung der praktischen Regelungen für den Informationsaustausch auf elektronischem Wege zwischen den Mitgliedstaaten gemäß Kapitel VI der Richtlinie 2006/123/EG des Europäischen Parlaments und des Rates über Dienstleistungen im Binnenmarkt[8].

In Abschnitt 6 dieses Berichts werden alle verbleibenden Themen sowie der Inhalt und geeignete Zeitpunkt künftiger Maßnahmen, einschließlich der etwaigen Verabschiedung eines Rechtsinstruments, erläutert.

DIE UMSETZUNG DER EMPFEHLUNG DER KOMMISSION

Verbesserungen durch die Mitgliedstaaten

Kontakte zu Datenschutzbehörden

Die Empfehlung hielt nationale IMI-Koordinatoren dazu an, „ Kontakte zu ihren nationalen Datenschutzbehörden herzustellen und diese im Hinblick auf die bestmögliche Anwendung dieser Leitlinien nach einzelstaatlichen Recht um Anleitung und Unterstützung zu ersuchen “. Die meisten Mitgliedstaaten gaben in ihren Berichten an die Kommission an, dass sie ihre nationalen Datenschutzbehörden konsultiert hatten. Durch diese Konsultationen wurde den IMI-Nutzern versichert, dass personenbezogene Daten über das IMI unter Einhaltung der Datenschutzbestimmungen ausgetauscht werden können, und nationalen Regulierungsbehörden gleichzeitig ermöglicht, Arbeitsbeziehungen zu Vertretern der öffentlichen Behörden aufzubauen, die großen Wert auf den Datenschutz legen und darum bemüht sind, dass dieses echt europäische Projekt ein Erfolg wird.

Datenschutzerklärungen

Auf Vorschlag des Europäischen Datenschutzbeauftragten wurden die IMI-Koordinatoren in der Empfehlung auch aufgefordert, den Inhalt von Datenschutzerklärungen mit den lokalen Datenschutzbehörden zu besprechen. In der Empfehlung konnte auf dieses Thema allerdings nicht näher eingegangen werden, da die Mitgliedstaaten trotz der vollständigen Harmonisierung der Datenschutzrichtlinie einen Ermessensspielraum bei der Umsetzung einiger Bestimmungen haben. Die Berichte der Mitgliedstaaten bestätigen, dass es bei Inhalt und Format der Datenschutzerklärungen unterschiedliche nationale Vorgehensweisen gibt. Eine knappe Mehrheit der Mitgliedstaaten vertritt die Ansicht, dass das richtige Format und der korrekte Inhalt der Informationen, die einzelnen Personen zur Verfügung gestellt werden, auf lokaler Ebene von der zuständigen Behörde gemäß den lokalen Rechtsvorschriften festgesetzt werden sollte. Im Gegensatz dazu wurden in einigen Mitgliedstaaten adaptierbare Modelle für den gesamten Mitgliedstaat vorgeschlagen[9].

Bewusstsein und Schulung

Einer der wichtigsten Erfolge der Empfehlung ist, dass sie das Bewusstsein für den Datenschutz unter den IMI-Akteuren und -Nutzern erhöht hat, die jetzt mit den allgemeinen Datenschutzgrundsätzen vertraut sind. Außerdem hat sie praktische Vorschläge zur Gewährleistung eines hohen Maßes an Datenschutz im IMI geliefert. Dank der Empfehlung wurden in die für die zuständigen Behörden erstellten IMI-Schulungsunterlagen auch Referenzen zu den Datenschutzleitlinien eingefügt.

Verbesserungen durch die Kommission

Der IMI-Sicherheitsplan

Sicherheit und Vertraulichkeit der Daten werden durch den Beschluss der Kommission vom 16. August 2006 betreffend die Sicherheit der von den Dienststellen der Kommission genutzten Informationssysteme[10] geregelt. Dieser Beschluss wurde durch die 2009 angenommenen Durchführungsbestimmungen sowie die jüngsten Leitlinien und Standards, die weitgehend den internationalen Standards entsprechen, aktualisiert. Die Sicherheitsmaßnahmen im IMI wurden entsprechend bearbeitet und aktualisiert, und 2009 wurde ein umfassender Sicherheitsplan erstellt, der 2010 erneut überprüft werden soll.

Technische Verbesserungen

Betrifft ein Informationsaustausch sensible Daten, so erscheint nun ein Hinweis auf dem Bildschirm, dass die Angaben sensibel sind und dass der Sachbearbeiter diese Informationen nur anfordern sollte, wenn sie absolut erforderlich sind und in direktem Zusammenhang mit der Ausübung der beruflichen Tätigkeit oder der Erbringung einer Dienstleistung stehen. Auch den Datenschutzerwägungen wird bei der Gestaltung und Durchführung des Vorwarnungsmechanismus in vollem Umfang Rechnung getragen (siehe Abschnitt 5.2.3.2).

Außerdem wurde die IMI-Website verbessert, damit die Benutzer die entsprechenden Dokumente intuitiver finden können. Der Abschnitt über den Datenschutz[11] wurde mit allen Rechtsgrundlagen in Bezug auf Datenschutz, Schriftverkehr mit dem Europäischen Datenschutzbeauftragten und im System verwendeten Fragenkomplexen aktualisiert. Aus Gründen der Transparenz und auf Vorschlag des Europäischen Datenschutzbeauftragten wurden die Fragen zu sensiblen Daten festgelegt.

Der neue Rechtsbereich der Dienstleistungsrichtlinie

Die Verwendung des IMI für die Dienstleistungsrichtlinie

In der Dienstleistungsrichtlinie wird nicht konkret auf das IMI verwiesen (sondern nur allgemein auf ein elektronisches System für den Informationsaustausch). Daher war es erforderlich, formell festzulegen, dass das IMI dafür verwendet wird. Dies wurde durch eine von der Kommission gemäß dem in der Dienstleistungsrichtlinie festgesetzten Verfahren angenommene Entscheidung[12] erreicht („Komitologie-Entscheidung“).

Durch diese Entscheidung wurden praktische Regelungen für den Informationsaustausch im Bereich der Dienstleistungen im IMI festgelegt. Sie trägt in hohem Maß zum Datenschutz im System bei und verleiht den grundlegenden Bestimmungen der Entscheidung 2008/49/EG und den in der Empfehlung enthaltenen Datenschutzleitlinien zusätzliche Transparenz und Genauigkeit. Gemäß der Entscheidung werden bei Bedarf zusätzliche Datenschutzsicherungen später in Einklang mit den Erfahrungen mit dem System beschlossen[13].

Datenschutzfreundliche Gestaltung des Vorwarnungsmechanismus

Der Vorwarnungsmechanismus ist ein durch Artikel 29 Absatz 3 und Artikel 32 der Dienstleistungsrichtlinie festgelegtes Warnsystem, das das RAPEX-System für Produkte ergänzt. Er trägt dazu bei, dass aus Dienstleistungen resultierende Risiken für Empfänger vermieden werden.

Der Vorwarnungsmechanismus ermöglicht es den Mitgliedstaaten, die rechtliche Verpflichtung des Informationsaustauschs zu erfüllen und ist daher aus der Perspektive des Datenschutzes völlig rechtmäßig. Der Kommission sind allerdings die Auswirkungen eines solchen Systems auf den Datenschutz bewusst. Daher hat sie seinem Aufbau besondere Aufmerksamkeit geschenkt und sichergestellt, dass das System datenschutzfreundlich gestaltet ist. Ferner ruft sie die beim Senden und Empfangen von Vorwarnungen für den Datenschutz verantwortlichen Mitgliedstaaten dazu auf, besonders darauf zu achten, dass die Bestimmungen ordnungsgemäß angewendet werden.

Der Vorwarnungsmechanismus enthält mehrere Datenschutzsicherungen, die zu den allgemeinen Funktionen des IMI-Systems gehören, und einige spezielle Sicherungen, die Folgendes gewährleisten sollen:

a) Nur spezielle zuständige Behörden/Nutzer haben Zugriff auf die Daten

Gemäß dem allgemeinen Konzept des IMI wird der Zugang zu Informationen im Rahmen des Vorwarnungsmechanismus nur denjenigen gestattet, deren Einsichtnahme erforderlich ist. Die zuständigen Behörden und IMI-Nutzer haben nur Zugriff auf die Vorwarnungen, wenn ihnen von den Mitgliedstaaten spezielle Zugangsrechte, nicht nur zu IMI im Allgemeinen, sondern zu der spezifischen Anwendung der Vorwarnungen, verliehen wurden. Zuständige Behörden und IMI-Nutzer sind nicht automatisch dazu berechtigt, Vorwarnungen zu senden oder zu empfangen. Diese Funktion muss separat aktiviert werden.

b) Es werden keine Vorwarnungen gesendet, die nicht erforderlich sind

Vor dem Senden einer Vorwarnung muss eine Kontroll-Liste ausgefüllt werden, um sicherzustellen, dass die Kriterien erfüllt sind, z.B. dass bestimmte Handlungen oder Umstände im Zusammenhang mit einer Dienstleistungstätigkeit vorliegen, die einen schweren Schaden verursachen könnten. Falls eine veranlassende Behörde nicht alle relevanten Kriterien erfüllt, verhindert das System, dass eine Vorwarnung gesendet wird.

Außerdem wird die Vorwarnung nicht direkt an einen anderen Mitgliedstaat gesendet, sondern zuerst einem Vorwarnungskoordinator desselben Mitgliedstaats übermittelt. Der Vorwarnungskoordinator sollte dann erneut überprüfen, ob die Vorwarnung an andere Mitgliedstaaten gesendet werden sollte.

c) Vorwarnungen werden nicht an mehr Empfänger gesendet, als erforderlich ist, um die in den Vorschriften festgelegten Informationsanforderungen zu erfüllen

Wenn Vorwarnungen an andere Mitgliedstaaten gesendet werden, müssen die veranlassende Behörde und der Vorwarnungskoordinator prüfen, für welche Mitgliedstaaten die Vorwarnungen notwendig sind. Wenn der Mitgliedstaat, in dem eine Dienstleistung angeboten wird, eine Vorwarnung sendet, erhalten in der Regel nur der Niederlassungsmitgliedstaat des Dienstleistungsanbieters und die Kommission die Vorwarnung. Diese Standardeinstellung gewährleistet, dass andere Mitgliedstaaten nur fallweise auf die Empfängerliste hinzugefügt werden können, wenn ihre Einsichtnahme erforderlich ist.

Außerdem wird die an andere Mitgliedstaaten übermittelte Vorwarnung nicht an alle zuständigen Behörden der Empfangsmitgliedstaaten gesendet, sondern an eine Eingangsstelle für Vorwarnungen (normalerweise an den nationalen Vorwarnungskoordinator). Der Empfänger trifft die Entscheidung darüber, welche zuständigen Behörden in seinem Mitgliedstaat betroffen sind und einbezogen werden sollen.

d) Die Kommission erhält zwar Vorwarnungen gemäß der Dienstleistungsrichtlinie, hat jedoch keinen Zugriff auf personenbezogene Daten

In der Dienstleistungsrichtlinie ist zwar vorgesehen, dass alle Vorwarnungen an die Kommission gesendet werden, im Gegensatz zu den Mitgliedstaaten benötigt sie allerdings keinen Zugang zu personenbezogenen Daten, d.h. die Kommission erhält Vorwarnungen ohne personenbezogene Daten.

e) Sollten trotz der Vorsichtsmaßnahmen unbegründete Vorwarnungen gesendet werden, können diese schnell zurückgezogen bzw. falsche Daten korrigiert oder gelöscht werden

Das IMI-System ermöglicht es einer zuständigen Behörde, die eine unbegründete Vorwarnung gesendet hat, diese sofort zurückzuziehen, wodurch sie für keinen der IMI-Nutzer mehr sichtbar ist. Falls die Vorwarnung zwar begründet war, aber einige Angaben korrigiert werden müssen, kann dies von der veranlassenden zuständigen Behörde zu jedem Zeitpunkt durchgeführt werden. Darüber hinaus ermöglicht es das IMI-System auch den anderen zuständigen Behörden, die die Vorwarnung erhalten haben, darauf hinzuweisen, wenn bestimmte Angaben in einer Vorwarnung nicht korrekt sind.

f) Vorwarnungen werden aufgehoben, sobald das Risiko nicht mehr besteht; die Daten sind für keinen der Nutzer mehr sichtbar und die personenbezogenen Daten werden sechs Monate nach der Aufhebung gelöscht

Sobald das Risiko, das zu der Vorwarnung geführt hat, nicht mehr besteht, muss diese aufgehoben werden. Das IMI-System ermöglicht es dem Niederlassungsmitgliedstaat, die Vorwarnung aufzuheben, und Erinnerungen werden per E-Mail an die zuständigen Behörden gesendet. Sobald eine Vorwarnung aufgehoben wurde, ist sie nicht mehr sichtbar. Spätestens sechs Monate nach der Aufhebung werden alle personenbezogenen Daten automatisch gelöscht und aus dem System entfernt.

THEMEN FÜR WEITERE ÜBERLEGUNGEN

Obwohl sich die meisten Mitgliedstaaten positiv zum Datenschutz im IMI geäußert haben, wurde von einigen Mitgliedstaaten eine Reihe von Themen angesprochen, die in diesem Abschnitt des Berichts behandelt werden.

Geltende Vorschriften über die Sicherheit und Vertraulichkeit der Daten

Die Verarbeitung der personenbezogenen Daten im IMI bedarf einer gemeinsamen Verarbeitung (von der Kommission und den Mitgliedstaaten), einer gemeinsamen Kontrolle (von den verschiedenen Nutzern und Akteuren) und einer gemeinsamen Aufsicht (von den nationalen Datenschutzbehörden und dem Europäischen Datenschutzbeauftragten). Bei einem so komplexen Szenario ist es nicht immer einfach, die Zuständigkeiten festzulegen.

Die dänischen und deutschen Datenschutzbehörden vertreten die Ansicht, dass die zuständigen Behörden in ihrem Hoheitsgebiet darauf bestehen sollten, dass das IMI auch die nationalen Vorschriften erfüllt, die diese befolgen müssen (z.B. ist der Authentifizierungsmechanismus strenger, wie im nächsten Abschnitt beschrieben), oder andernfalls das System nicht mehr benutzen sollten. Die zuständigen Behörden leiteten diese Forderungen an die Kommission weiter, die für die Sicherheit des Systems verantwortlich ist.

Die Kommission ist der Auffassung, dass das IMI ein sicheres System ist und dass ein echtes europäisches Netz wie das IMI nicht funktionieren kann, wenn jeder Mitgliedstaat darauf besteht, dass seine nationalen Sicherheitsstandards erfüllt werden. Die Annahme der Datenschutzrichtlinie vor fast 20 Jahren hatte einen doppelten Zweck, den Schutz des Grundrechts auf Datenschutz auf der einen Seite und die Gewährleistung des freien Verkehrs personenbezogener Daten zwischen den Mitgliedstaaten sowie zwischen den Mitgliedstaaten und den EU-Organen[14] auf der anderen Seite.

Auf dieser Grundlage weist die Kommission nachdrücklich darauf hin, dass die nationalen Datenschutzbehörden angesichts des hohen Maßes an Garantien für den Datenschutz im IMI-System und des Grundsatzes der loyalen Zusammenarbeit gemäß Artikel 4 Absatz 3 EU-Vertrag keine Hürden für die Nutzung des Systems für die zuständigen nationalen Behörden schaffen sollten.

Strengere Authentifizierung im IMI

Das IMI-Authentifizierungssystem ist eine fortgeschrittene Version der Einfaktor-Authentifizierung, da es einen Benutzernamen und ein Passwort mit einer PIN verbindet. Wenn der Nutzer das System aufrufen will, wird er aufgefordert, eine nach dem Zufallsprinzip ausgewählte Kombination von Zeichen des PIN-Codes einzugeben.

Die deutschen und dänischen Datenschutzbehörden haben Bedenken bezüglich des IMI-Authentifizierungssystems geäußert. Die Kommission hält den derzeitigen Authentifizierungsmechanismus angesichts des Stands der Technik und der bei der Durchführung entstehenden Kosten für angemessen, stimmt jedoch zu, dass langfristig eine strengere Authentifizierung wünschenswert ist. Da die Mitgliedstaaten unterschiedliche, nicht immer vollständig miteinander kompatible Authentifizierungssysteme eingeführt haben, dürfte die bevorzugte Lösung für eine strengere Authentifizierung im IMI aus auf der Ebene der Mitgliedstaaten verwalteten „e-identies“ bestehen, die durch eine „Middleware“ miteinander kompatibel gemacht werden.

Eine Möglichkeit wird durch das Projekt STORK geboten, das gerade von einem Konsortium entwickelt wird, an dem einige Mitgliedstaaten teilnehmen und das im Rahmen des Förderprogramms für IKT-Politik im Bereich Wettbewerbsfähigkeit und Innovation entwickelt wird. Die Kommission wird die Fortschritte des Projekts in den nächsten Monaten genau verfolgen, die ausschlaggebend dafür sein werden, ob es im IMI verwendet wird.

In Abschnitt 7.2 sind weitere Angaben zur Datensicherheit angeführt.

Datenspeicherung

Im IMI herrscht eine sehr strenge Datenspeicherungspolitik[15], und einige Akteure und Nutzer haben darauf hingewiesen, dass sie überarbeitet werden sollte. Eine schnelle Löschung der personenbezogenen Daten im System liegt nicht immer im Interesse der Betroffenen, die möglicherweise eine längere Speicherung ihrer Daten im IMI bevorzugen, z.B. im Zusammenhang mit Gerichtsverfahren.

Der Europäische Gerichtshof hat in einem jüngsten Urteil[16] festgestellt, dass das Recht auf Zugang zu Informationen[17] nicht nur für Daten in der Gegenwart, sondern auch für in der Vergangenheit aufbewahrte Daten gilt. Der Gerichtshof ist demnach der Auffassung, dass eine Begrenzung des Informationszugangs durch eine Löschung der Daten rechtswidrig sein kann, sofern nicht nachgewiesen wird, dass eine längere Aufbewahrung der Informationen den für die Verarbeitung Verantwortlichen über Gebühr belasten würde. Die Kommission ist nicht der Ansicht, dass eine längere Speicherung der personenbezogenen Daten im IMI eine übermäßige Belastung darstellt und beabsichtigt daher, eine längere Speicherung der Daten in Betracht zu ziehen. Dabei könnte auch eine Übergangsphase eingeführt werden, während der die Daten blockiert werden und für keinen der Nutzer mehr sichtbar sind, bevor sie letztendlich gelöscht werden. Die möglichen Auswirkungen einer Datenblockierung, einschließlich der Frage wer aus welchen Gründen Zugang zu den blockierten Daten hat, werden sorgfältig geprüft.

Dies ist ein gutes Beispiel dafür, dass vor der Festlegung von Regeln für die Funktionsweise des IMI in einem rechtsverbindlichen Instrument sorgfältige Überlegungen erforderlich sind. Die Kommission und die Mitgliedstaaten müssen ein hohes Maß an Datenschutz und die Einbeziehung der Datenschutzbehörden gewährleisten und gleichzeitig über genügend Erfahrung mit dem System verfügen, um die Festlegung von ineffizienten oder sogar kontraproduktiven Datenschutzvorschriften zu vermeiden.

Nationale Nutzung des IMI

Die Umsetzung der Dienstleistungsrichtlinie in den Niederlanden ermöglicht auch eine Nutzung des IMI für nationale Zwecke, d.h. zum Informationsaustausch zwischen den niederländischen Behörden. Die Europäische Kommission unterstützt diesen Ansatz, der das Potenzial des IMI für die behördliche Zusammenarbeit zeigt. Die nationale Nutzung des IMI von den Mitgliedstaaten unterliegt allerdings drei Bedingungen:

a) Die Verarbeitung personenbezogener Daten und die Speicherung von Informationen auf Servern der Kommission werden gemäß nationalem Recht als rechtmäßig erachtet,

b) das System wird so verwendet wie es entwickelt wurde, d.h. mit den gleichen Fragen und Funktionalitäten, und

c) der entsprechende Mitgliedstaat trägt die volle Verantwortung für alle Angelegenheiten (Datenschutz oder andere Aspekte) im Zusammenhang mit der Nutzung des Systems für nationale Zwecke.

Daher wird den Mitgliedstaaten, die an einer nationalen Nutzung des IMI interessiert sind, empfohlen, zuerst die nationalen Datenschutzbehörden und danach die Kommission zu kontaktieren, um diese Angelegenheit zu besprechen und sicherzustellen, dass keine Probleme in Bezug auf Datenschutzvorschriften entstehen.

Spezielle Datenschutzsicherung in rechtsverbindlichen Gemeinschaftsvorschriften

Der Europäische Datenschutzbeauftragte hat in seiner Stellungnahme vom 12. Dezember 2007 und im Schriftwechsel mit der Kommission die Festlegung von speziellen, rechtsverbindlichen Datenschutzsicherungen im EU-Recht gefordert, da der Geltungsbereich des IMI über die Dienstleistungsrichtlinie und die Richtlinie über die Anerkennung von Berufsqualifikationen hinaus zunimmt. Die deutschen Datenschutzbehörden vertraten eine ähnliche Ansicht.

Die neue Kommission wird 2010 das Funktionieren des Gemeinsamen Markts und die Möglichkeit, den Beitrag des IMI für eine bessere Umsetzung der Binnenmarktvorschriften durch die Mitgliedstaaten zu erhöhen, neu überdenken. Sie wird daher prüfen, in welchen anderen Politikbereichen die Nutzung des IMI Vorteile bringen würde.

Es besteht bereits ein umfassendes Paket von Datenschutzmaßnahmen, und die von den Mitgliedstaaten erhaltenen Rückmeldungen waren positiv. Aus diesem Grund ist die Kommission der Auffassung, dass es unklug wäre, mit einem Vorschlag für Rechtsvorschriften fortzufahren, bevor der Geltungsbereich des IMI festgelegt ist und bevor Erfahrungen aus der praktischen Nutzung des Systems für Dienstleistungen gewonnen werden konnten. Jeder künftige Vorschlag muss mit diesen Entwicklungen übereinstimmen, damit eine solide und zukunftssichere Basis für das IMI und den Datenschutz gewährleistet werden kann.

In der Zwischenzeit wird die Kommission in enger Zusammenarbeit mit den Mitgliedstaaten und dem Europäischen Datenschutzbeauftragten den Datenschutz im IMI wie unten beschriebenen weiter verbessern.

ZUKÜNFTIGE VERBESSERUNGEN

Technische Verbesserungen

Im Rahmen einer künftigen Software-Aktualisierung werden automatische Erinnerungen und Dringlichkeitslisten für die Annahme einer Reaktion eingeführt (damit Anfragen nicht länger als nötig offen bleiben). Hinsichtlich des Online-Verfahrens zur Berichtigung, Blockierung oder Löschung von Daten hält die Kommission angesichts der Tatsache, dass bis jetzt keine Anfragen eingingen und es mit hoher Wahrscheinlichkeit auch in Zukunft nicht viele Anfragen geben wird, die Einführung eines vereinfachten Verfahrens für angemessen, dass mit Unterstützung des Datenschutzbeauftragten der Kommission und des Europäischen Datenschutzbeauftragten ordnungsgemäß dokumentiert werden soll.

Datensicherheit

Die Kommission wird gemäß den von ihr kürzlich angenommenen neuen Leitlinien und Standards 2010 eine neue Risikobewertung für das IMI durchführen und den Sicherheitsplan entsprechend aktualisieren, um die zu prüfenden Teile des Systems, mögliche Risiken sowie die erforderlichen Infrastruktur- und Software-Maßnahmen aufzuzeigen. Falls aus der Risikobewertung hervorgeht, dass zusätzliche Sicherheitsmaßnahmen erforderlich sind, werden diese schrittweise in künftige Software-Aktualisierungen eingebaut werden.

Anfang 2011 wird auch eine externe Prüfung stattfinden, die sich zwar hauptsächlich auf die Leistung und Stabilität des Systems konzentrieren wird, allerdings auch einige Datenschutz- und Sicherheitsaspekte umfassen kann.

Überprüfung der Richtlinie über Berufsqualifikationen

Von 2010 bis 2011 wird eine Evaluierung der Richtlinie über Berufsqualifikationen durchgeführt werden, die auch eine Bewertung der behördlichen Zusammenarbeit und der Nutzung des IMI, einschließlich der Datenschutzprobleme, umfassen wird.

SCHLUSSFOLGERUNGEN

Die Kommission ist mit der Umsetzung der Empfehlungen und dem Stand des Datenschutzes im IMI zufrieden. Dennoch wird sie weiterhin an Verbesserungen des Systems arbeiten, insbesondere an technischen Verbesserungen und Verbesserungen des Datenschutzes.

Die Kommission will ferner prüfen, ob das IMI auf andere Bereiche des Binnenmarkts ausgeweitet werden kann, und hierbei weitere praktische Erfahrungen mit seiner Nutzung im Bereich der Dienstleistungen verwenden. Jeder künftige Vorschlag für EU-Rechtsvorschriften wird diese Entwicklungen und Überlegungen berücksichtigen, damit eine solide und zukunftssichere Basis für das IMI und den Datenschutz gewährleistet werden kann.

Im ersten Quartal 2011 wird ein Arbeitspapier der Kommissionsdienststellen über das Funktionieren und die Entwicklung des IMI-Systems im Jahr 2010 veröffentlicht. Dieser Bericht wird auch den Datenschutz umfassen.

[1] K(2009) 2041 endg. ABl. L 100 vom 18.4.2009, S. 12-28.

[2] Auf die Konsultation, die folgenden Fragen enthielt, gingen Beiträge von 17 Mitgliedstaaten ein:- Haben Sie Ihre jeweiligen Datenschutzbeauftragten eingeschaltet? Haben diese sich zur Anwendung der Leitlinien geäußert?- Haben Sie eine allgemeine Datenschutzerklärung für alle IMI-Nutzer entwickelt oder geschieht dies jeweils durch die zuständigen Behörden?- Sind Ihre zuständigen Behörden beim Versenden oder Beantworten von IMI-Informationsersuchen auf datenschutzrechtliche Probleme gestoßen?- Haben Ihre zuständigen Behörden von Problemen im Zusammenhang mit Strafregistern (Gewerbezentral-/ Bundeszentralregister) berichtet?- Sind Ihre zuständigen Behörden seitens der Betroffenen um Zugang zu Daten oder Löschung oder Berichtigung von Daten ersucht worden?- Sind Sie sich der Möglichkeit der vorzeitigen Löschung personenbezogener Daten im System bewusst? Wird diese Möglichkeit von Ihren zuständigen Behörden genutzt?- Haben Sie das Thema Datenschutz in Ihren IMI-Schulungen behandelt?

[3] Richtlinie 2006/123/EG des Europäischen Parlaments und des Rates vom 12. Dezember 2006 über Dienstleistungen im Binnenmarkt, ABl. L 376 vom 27.12.2006, S. 36–68.

[4] Die Kommission veranstaltete 2009 drei eintägige Schulungen für IMI-Koordinatoren in Brüssel, an denen jeweils ca. 60 Personen teilnahmen. Während des gleichen Zeitraums hielten die Mitgliedstaaten insgesamt über 100 Veranstaltungen für zuständige Behörden auf lokaler, regionaler und nationaler Ebene ab.

[5] Siehe Artikel 32 der Dienstleistungsrichtlinie.

[6] K(2007) 6306, ABl. L 13 vom 16.1.2008, S. 13-23.

[7] K(2009) 2041 endg., ABl. L 100 vom 18.4.2009, S. 12-28.

[8] K(2009) 7493, ABl. L 263 vom 7.10.2009, S. 32-34.

[9] Ein gutes Beispiel für ein nationales Modell, das mit technischer Hilfe der nationalen Datenschutzbehörde entwickelt wurde, ist die Datenschutzerklärung ( cláusula de privacidad ) des spanischen IMI-Teams:http://www.mpt.es/documentacion/sistema_IMI/documentos/protec_datos/ClausulaIMI_ES/document_es/Clausula_IMI.pdf.

[10] K(2006) 3602.

[11] http://ec.europa.eu/internal_market/imi-net/data_protection_de.html.

[12] Entscheidung der Kommission vom 2. Oktober 2009 zur Festlegung der praktischen Regelungen für den Informationsaustausch auf elektronischem Wege zwischen den Mitgliedstaaten gemäß Kapitel VI der Richtlinie 2006/123/EG des Europäischen Parlaments und des Rates über Dienstleistungen im Binnenmarkt.

[13] Siehe Kapitel 13, Unterabschnitt „Laufende Arbeiten“, Buchstabe d der Empfehlung.

[14] Dieses Prinzip ist in Artikel 1Absatz 2 der Datenschutzrichtlinie sowie in Artikel 1 Absatz 1 und Erwägung 13 der Datenschutzverordnung deutlich festgelegt: „Damit soll sowohl die tatsächliche Einhaltung der Bestimmungen für den Schutz der Grundrechte und Grundfreiheiten der Personen als auch der freie Verkehr personenbezogener Daten zwischen den Mitgliedstaaten und den Organen und Einrichtungen der Gemeinschaft bzw. zwischen den Organen und Einrichtungen der Gemeinschaft zum Zwecke der Ausübung ihrer jeweiligen Befugnisse garantiert werden.“

[15] Mit nur wenigen Tastenbetätigungen ist eine vorgezogene Löschung personenbezogener Daten möglich, und sechs Monate nach dem Abschluss von Informationsanfragen werden alle personenbezogenen Daten in jedem Fall automatisch gelöscht.

[16] C-553/07, Rotterdam gegen Rijkeboer.

[17] Siehe Artikel 12 Buchstabe a der Richtlinie 95/46/EG.