Am 28. Januar 1981 nahm der Europarat das Übereinkommen Nr. 108 "zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten" an. Bereits 1968 hatte er begonnen, sich mit der Gefährdung der Privatsphäre durch die automatische Datenverarbeitung auseinanderzusetzen. Man kam zu dem Schluss, dass sowohl die nationalen Rechtsprechungen als auch die Europäische Menschenrechtskonvention Einzelpersonen nicht ausreichend davor schützen konnten, dass ihre personenbezogenen Daten automatisch gesammelt, gespeichert, verarbeitet und weitergegeben wurden. Es folgte 1976 der Beschluss, eine Konvention zu erarbeiten.
Die Konvention bereitet den Weg für einen gemeinsamen europäischen Datenschutz
Die Externer Link: Datenschutzkonvention (offizielle Bezeichnung: "Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten“) war das erste zwischenstaatliche Datenschutzabkommen. Es sollte in den Vertragsstaaten für alle Menschen sicherstellen, dass ihre Rechte und Grundfreiheiten, insbesondere das Recht auf einen Persönlichkeitsbereich, bei der automatischen Verarbeitung personenbezogener Daten geschützt werden. Die Unterzeichner-Staaten verpflichteten sich, nationale Datenschutzgesetze zu erlassen, die auf den Prinzipien der Konvention beruhen.
Zu den wichtigsten Prinzipien, die in der Datenschutzkonvention festgeschrieben wurden, gehörte die Datenbeschaffung nach Treu und Glauben und auf rechtmäßige Weise. Das bedeutet zum Beispiel, dass Personendaten nicht heimlich ohne Wissen der Betroffenen beschafft werden dürfen, ohne dass diese gegen ein Gesetz verstoßen haben. Auch das Gebot der Zweckbindung – Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden – wurde in die Konvention aufgenommen ebenso wie die Auskunftspflicht gegenüber den Betroffenen.
Deutschland gehörte zu den ersten Ländern, die die Datenschutzkonvention unterzeichneten, ratifizierte sie aber erst im Juni 1985 nach Schweden, Frankreich, Spanien und Norwegen. Mit diesen fünf Unterzeichnern trat die Konvention zum 1. Oktober 1985 in Kraft.
Das Zusatzprotokoll von 2001
Um den Datenschutz weiter zu harmonisieren, wurde die Datenschutzkonvention im Jahr 2001 durch ein Externer Link: Zusatzprotokoll erweitert. Es verpflichtet die Unterzeichner-Staaten, unabhängige Kontrollstellen zu schaffen, die darüber wachen, dass der Datenschutz eingehalten wird. Zudem erlaubt es den Datenverkehr mit Drittstaaten nur, wenn diese über ein entsprechendes Datenschutzniveau verfügen. Die Datenschutzkonvention haben bis heute 46 der 47 Staaten des Europarates ratifiziert (die Türkei hat 1981 lediglich unterzeichnet), darunter alle 28 Staaten der EU.
Datenschutz in der Europäischen Union
Knapp 15 Jahre nach dem Inkrafttreten der Datenschutzkonvention folgte ein weiteres wichtiges europäisches Regelwerk in Sachen Datenschutz: Am 24. Oktober 1995 erließ die Europäische Union die Externer Link: Richtlinie 95/46/EG "zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr". Sie legt die Mindeststandards für den Schutz personenbezogener Daten in den EU-Mitgliedstaaten fest. Sensible personenbezogene Daten dürfen demnach nur unter ganz bestimmten Voraussetzungen verarbeitet werden. Ihre Verarbeitung ist nur dann rechtmäßig, wenn die zweifelsfreie Einwilligung des Betroffenen vorliegt; sie notwendig ist, um einen Vertrag und rechtliche Verpflichtungen zu erfüllen; sie dazu dient, lebenswichtige Interessen des Betroffenen zu wahren und Aufgaben von öffentlichem Interesse wahrzunehmen. Personen, deren Daten weiterverarbeitet werden, räumt die Richtlinie u.a. das Recht ein, Widerspruch gegen die Verarbeitung der Daten einzulegen.
Allerdings überließ es die EU-Datenschutzrichtlinie den Staaten, die Vorgaben umzusetzen, sodass die Regelungen in den einzelnen Ländern zum Teil recht unterschiedlich ausfallen und die Anforderungen an staatliche Behörden und Unternehmen nicht überall dieselben sind. So scheiterte 2013 auch der Versuch des Landeszentrums für Datenschutz in Schleswig-Holstein, gegenüber Facebook das im deutschen Telemediengesetz festgeschriebene Recht auf anonyme Nutzung durchzusetzen. Das Unternehmen, mit seinen europäischen Sitz in Dublin, lehnt dies ab und beruft sich auf die niedrigeren irischen Standards.
Grundlegende Reform durch die neue Datenschutz-Grundverordnung
In den letzten Jahren haben das Ausmaß und die Qualität der elektronischen Datenverarbeitung stark zugenommen. Anfang 2012 kündigte daher die EU-Kommission eine Reform der EU-Datenschutzrichtlinie an. Rund vier Jahre später einigte sich der EU-Trilog aus EU-Kommission, Ministerrat und EU-Parlament am 15. Dezember 2015 auf einen Entwurf für eine neue Datenschutz-Grundverordnung, über die Anfang 2016 abgestimmt werden soll. Mit der neuen Verordnung soll die EU eine einheitliche Datenschutzregelung erhalten, die in allen EU-Mitgliedsstaaten gleichermaßen gilt. Darüber hinaus gehören zu den wichtigsten Neuerungen das Recht auf Vergessen und das Recht auf Datenportabilität. Damit soll sichergestellt werden, dass digitale personenbezogene Information nicht dauerhaft zur Verfügung stehen und Daten auf Wunsch der Nutzerinnen und Nutzer von einem Online-Dienstleister zu einem anderen überführt werden können. Die Grundverordnung soll auch für Unternehmen bindend sein, die ihren Hauptsitz nicht in der EU haben, etwa Google oder Microsoft.
