Das Übereinkommen des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten („Übereinkommen Nr. 108“) ist das einzige rechtlich verbindliche multilaterale Übereinkommen im Bereich des Schutzes personenbezogener Daten. Ziel des Übereinkommens ist der Schutz des Rechts auf Achtung der Privatsphäre, das in Artikel 8 der Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten niedergelegt ist. Das Recht auf Achtung der Privatsphäre und auf Schutz personenbezogener Daten ist auch in Artikel 7 und 8 der Charta der Grundrechte der Europäischen Union und in Artikel 16 AEUV verankert.

Dem Übereinkommen Nr. 108 zufolge müssen die Vertragsparteien in ihrem innerstaatlichen Recht die erforderlichen Maßnahmen treffen, um dafür zu sorgen, dass die Grundrechte aller Personen in Bezug auf die Verarbeitung personenbezogener Daten geschützt werden. Dies war eine der wichtigsten Inspirationsquellen für die Entwicklung des Besitzstands der Union im Bereich des Datenschutzes. Eines der Ziele der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr besteht nach Erwägungsgrund 11 gerade darin, die in dem Übereinkommen Nr. 108 enthaltenen Grundsätze „zu konkretisieren und zu erweitern“.

Bisher haben 51 Staaten das Übereinkommen Nr. 108 ratifiziert, darunter alle 28 EU-Mitgliedstaaten, die vier EFTA-Staaten, alle Länder des westlichen Balkans, mehrere Nachbarländer (z. B. Armenien, Georgien), die Russische Föderation, die Türkei und mehrere nicht-europäische Länder sowohl in Afrika (z. B. Senegal, Tunesien) als auch in Lateinamerika (Uruguay). Mehrere Anträge auf Beitritt (z. B. von Argentinien, Mexiko und Marokko) sind anhängig, und eine Reihe von Staaten haben Beobachterstatus (z. B. Japan und Südkorea).

Das Übereinkommen Nr. 108 wurde im Jahr 1981 zur Unterzeichnung aufgelegt, also lange vor dem Zeitalter des Internets und der elektronischen Kommunikation. Die technologische Entwicklung und die Globalisierung der Information stellen den Schutz personenbezogener Daten vor neue Herausforderungen. Zweck des Änderungsprotokolls ist die Überarbeitung des Übereinkommens Nr. 108, um Lösungen für die Bewältigung dieser Herausforderungen anzubieten.

Das überarbeitete Übereinkommen (d. h. Übereinkommen Nr. 108 geändert durch das Änderungsprotokoll) wird allen Vertragsstaaten des Übereinkommens einen einheitlichen Anwendungsbereich bieten ohne die Möglichkeit, Sektoren oder Tätigkeiten (z. B. im Bereich der nationalen Sicherheit) auszuschließen, wie dies beim derzeitigen Übereinkommen der Fall ist. Es würde damit alle Arten der Datenverarbeitung im Einzugsbereich der Vertragsparteien umfassen, sowohl im öffentlichen als auch im privaten Sektor.

Das Änderungsprotokoll erhöht das Datenschutzniveau im Rahmen des Übereinkommens Nr. 108 beträchtlich. Das überarbeitete Übereinkommen wird insbesondere den Grundsatz der rechtmäßigen Verarbeitung (vor allem im Hinblick auf die Anforderungen an die Einwilligung) konkretisieren und besondere Datenkategorien stärker schützen (wobei diese auf die im Unionsrecht als besondere Kategorien personenbezogener Daten anerkannten Kategorien ausgeweitet werden). Darüber hinaus sieht das überarbeitete Übereinkommen zusätzliche Garantien für den Einzelnen vor, wenn seine personenbezogenen Daten verarbeitet werden (insbesondere die Verpflichtung, die voraussichtlichen Auswirkungen einer geplanten Datenverarbeitung zu untersuchen und die einschlägigen technischen und organisatorischen Maßnahmen durchzuführen; Pflicht zur Meldung schwerer Verstöße gegen den Datenschutz) und stärkt auch seine Rechte (insbesondere im Hinblick auf Transparenz und Datenzugang). Für betroffene Personen wurden außerdem neue Rechte eingeführt, wie das Recht, nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf eine automatisierte Verarbeitung gestützt ist und die den Einzelnen erheblich beschwert, das Recht, gegen die Verarbeitung Einspruch zu erheben, und das Recht auf einen Rechtsbehelf bei einer Rechtsverletzung.

In das überarbeitete Übereinkommen werden Bestimmungen aufgenommen (die derzeit in einem nur von einigen Vertragsparteien unterzeichneten Zusatzprotokoll enthalten sind), mit denen die Vertragsparteien verpflichtet werden, eine oder mehrere unabhängige Behörden einzurichten, die für die Einhaltung der Bestimmungen des Übereinkommens Nr. 108 zuständig sind. Die Stellung dieser Behörden würde gestärkt, wenn die Parteien dazu verpflichtet würden, den Behörden zusätzliche Befugnisse zu übertragen, z. B. die Befugnis, Entscheidungen in Bezug auf Verstöße gegen das Übereinkommen Nr. 108 zu erlassen und verwaltungsrechtliche Sanktionen zu verhängen.

Die im Änderungsprotokoll formulierten Ausnahmen von den oben genannten Rechten und Pflichten erfüllen drei wesentliche Voraussetzungen: Wahrung des umfassenden Anwendungsbereichs des Übereinkommens Nr. 108 (keine allgemeinen Ausnahmen), Flexibilität (mit dem Ziel, hohe Datenschutzstandards mit anderen wichtigen öffentlichen Interessen in Einklang zu bringen, z. B. nationalen Sicherheitsinteressen) und Gesamtkohärenz mit der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte (insbesondere keine Einschränkung, die den Wesensgehalt des Grundrechts auf Datenschutz beeinträchtigt).

Insgesamt würde das überarbeitete Übereinkommen ein hohes Schutzniveau gewährleisten und gleichzeitig den Vertragsparteien bei der Umsetzung der Vorschriften in innerstaatliches Recht einen gewissen Spielraum lassen. Der Beitritt zum überarbeiteten Übereinkommen Nr. 108 würde so auch für Länder außerhalb Europas attraktiv, die die Einrichtung von Datenschutzsystemen oder ihren Ausbau erwägen. Seine praktischen Auswirkungen dürften viel größer sein als die Auswirkungen des derzeitigen Übereinkommens Nr. 108, und zwar sowohl in Bezug auf seinen Anwendungsbereich als auch auf die darin festgelegten Verpflichtungen.

Das Änderungsprotokoll sieht die Möglichkeit vor, dass die Union Vertragspartei des (überarbeiteten) Übereinkommens wird, sobald es in Kraft tritt. Was die Stimmrechte im Übereinkommensausschuss betrifft, so sichert der vereinbarte Text den Grundsatz zu, dass die Union in ihrem Zuständigkeitsbereich eine Anzahl von Stimmen für die Union abgeben kann, die der Zahl ihrer Mitgliedstaaten entspricht, die Vertragsparteien des Übereinkommens sind. Um Bedenken hinsichtlich der Gewichtung der Stimme der Union zu begegnen, wurde eine Kompromisslösung vereinbart, der zufolge Entscheidungen nur mit einer „Hyper-Mehrheit“ (vier Fünftel) der Parteien getroffen werden können. Bei grundlegenden Entscheidungen, die die Einhaltung des Übereinkommens durch eine Vertragspartei betreffen, ist die „doppelte Mehrheit“ (qualifizierte Mehrheit plus die einfache Mehrheit der nicht der EU angehörenden Vertragsparteien) erforderlich.

Dadurch, dass der Übereinkommensausschuss die Wirksamkeit der Maßnahmen prüfen kann, die in den nationalen Rechtsvorschriften zur Durchführung des Übereinkommens getroffen wurden, wird das überarbeitete Übereinkommen zu einem effektiveren Datenschutz beitragen.

Der Wortlaut des Änderungsprotokolls, der den Verhandlungsrichtlinien des Rates folgt, wurde mit den Vertretern der Mitgliedstaaten in der zuständigen Arbeitsgruppe des Rates abgestimmt. Er steht auch in vollem Einklang mit der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung, „GS-DVO“) und der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr („Polizei-Richtlinie“), wodurch ausgeschlossen wird, dass die Mitgliedstaaten unterschiedlichen oder sogar widersprüchlichen Verpflichtungen nach dem Unionsrecht und dem Recht des Europarates unterliegen. Die Annahme eines robusten Übereinkommens, das auf demselben Ansatz und denselben Grundsätzen wie der (neue) Besitzstand der Union beruht, ist für die internationale Strategie der Union im Bereich des Datenschutzes von besonderer Bedeutung. Das Übereinkommen Nr. 108, das auch nichteuropäischen Staaten offen steht, besitzt viel Anziehungskraft für Länder aus der ganzen Welt, die an Datenschutzvorschriften arbeiten oder solche planen. In ihrer Mitteilung vom Januar 2017 über den „Austausch und Schutz personenbezogener Daten in einer globalisierten Welt“ (COM(2017) 7 final) stellte die Kommission in Bezug auf das Übereinkommen Nr. 108 fest, dass das überarbeitete Übereinkommen auf denselben Grundsätzen wie die EU-Datenschutzvorschriften basieren und „somit zur Konvergenz mit Blick auf einen Katalog hoher Datenschutzstandards auf globaler Ebene beitragen“ wird. Sie hat sich daher dazu verpflichtet, sich für die „rasche Verabschiedung“ des Änderungsprotokolls einzusetzen.

Der Anwendungsbereich des geänderten Übereinkommens fällt nun weitgehend mit dem Datenschutzrecht der Union zusammen. Die seit dem 25. Mai 2018 geltende DS-GVO und die Polizei-Richtlinie, deren Umsetzungsfrist am 6. Mai 2018 endete, sehen ein umfassendes Regelwerk für den Datenschutz vor und gewährleisten ein zumindest gleichwertiges und – in vielen Fällen – höheres Schutzniveau. Nach Artikel 13 des überarbeiteten Übereinkommens können die Vertragsparteien den betroffenen Personen einen „weitergehenden Schutz“ gewähren als in diesem Übereinkommen vorgesehen, und es ist ihnen gestattet, stärkere Schutzmaßnahmen einzuführen.

Das Änderungsprotokoll tritt in Kraft, sobald alle Vertragsparteien die Ratifikations-, Annahme- oder Genehmigungsurkunden beim Generalsekretär des Europarats hinterlegt haben. Darüber hinaus gestattet das Änderungsprotokoll angesichts der großen Zahl von Vertragsparteien, die das Änderungsprotokoll ratifizieren müssen, ein „teilweises Inkrafttreten“ in einer kleineren Gruppe von Vertragsparteien nach fünf Jahren, nachdem mindestens 38 Vertragsparteien ihre Zustimmung ausgedrückt haben, durch das Übereinkommen gebunden zu sein. Die feierliche Unterzeichnung des Änderungsprotokolls ist für den 25. Juni 2018 in Straßburg geplant.

Die EU-Mitgliedstaaten (die derzeit allein Vertragsparteien des Übereinkommens Nr. 108 sind) sollten die erforderlichen Maßnahmen ergreifen, um das rasche Inkrafttreten des Änderungsprotokolls zu gewährleisten:

Erstens wird mit dem (teilweisen) Inkrafttreten des überarbeiteten Übereinkommens ein Beitrag zur weltweiten Verbreitung von EU-Datenschutzstandards geleistet, da das überarbeitete Übereinkommen weitgehend ähnliche Garantien enthält wie die Datenschutz-Grundverordnung und die Polizei-Richtlinie. Das Übereinkommen Nr. 108 hat eine entscheidende Rolle bei der weltweiten Verbreitung des „europäischen Datenschutzmodells“ gespielt, da es häufig als Inspirationsquelle von Ländern genutzt wird, die erwägen, Vorschriften zum Schutz der Privatsphäre zu erlassen oder bestehende Vorschriften zu modernisieren. Dies ist heute angesichts der wachsenden Zahl von Ländern, die solche Rechtsvorschriften in vielen Regionen der Welt erlassen, von noch größerer Bedeutung. Eine Erhöhung der Schutzstandards durch die Vertragsparteien würde auch den Datenfluss zwischen der EU und Drittstaaten, die Vertragsparteien des Übereinkommens sind, erleichtern. Für eine Reihe von Ländern hat sich der Beitritt zum Übereinkommen Nr. 108 zudem als nützliche Vorbereitung auf eine etwaige Angemessenheitsfeststellung der Europäischen Kommission erwiesen. Die DS-GVO unterstreicht diesen Aspekt, indem sie ausdrücklich vorsieht, dass der Beitritt zum Übereinkommen Nr. 108 ein wichtiger Faktor ist, der von der Europäischen Kommission bei ihrer Prüfung der Angemessenheit des gebotenen Schutzes berücksichtigt werden muss. Selbst ohne Angemessenheitsfeststellung würde ein höheres Schutzniveau (insbesondere in Bezug auf die Verfügbarkeit gerichtlicher und außergerichtlicher Rechtsbehelfe sowie eine wirksame Aufsicht durch die zuständigen Behörden) den Austausch von Daten auf der Grundlage geeigneter Garantien erleichtern (insbesondere weil solche Garantien leichter in den Rechtssystemen der Vertragsparteien durchgesetzt werden könnten).

Zweitens ist es wichtig, dafür zu sorgen, dass das überarbeitete Übereinkommen voll und ganz mit den Bestimmungen der Datenschutz-Grundverordnung und der Polizei-Richtlinie im Einklang steht, damit die EU-Mitgliedstaaten Vertragsparteien des Übereinkommens bleiben und seine Bestimmungen einhalten können, ohne gegen Unionsrecht zu verstoßen. Dies betrifft insbesondere die Bestimmungen über den freien Datenverkehr zwischen den Vertragsparteien, da das überarbeitete Übereinkommen (im Gegensatz zum derzeitigen Wortlaut) eine Ausnahme für die Vertragsparteien vorsieht, die durch harmonisierte Schutzvorschriften für Staaten gebunden sind, die einer regionalen internationalen Organisation angehören. Damit wird gewährleistet, dass die EU-Mitgliedstaaten trotz der im Rahmen der Datenschutzvorschriften der Union festgelegten Bedingungen für internationale Datenübermittlungen die einschlägigen Vorschriften einhalten.

Drittens sieht das derzeitige Übereinkommen Nr. 108 keine Möglichkeit für den Beitritt internationaler Organisationen vor. Das Änderungsprotokoll ändert dies und sein Inkrafttreten ist somit eine Voraussetzung für den künftigen Beitritt der EU zum Übereinkommen.

Der vorgeschlagene Beschluss des Rates stützt sich auf Artikel 218 Absatz 5 AEUV in Verbindung mit Artikel 16 AEUV.