32. Jahresbericht der Landesbeauftragten für Datenschutz (pdf ...

der Aufbewahrungsfrist äußerte sich der Gerichtshof nur insoweit, als er feststellte,
das ein angemessener Ausgleich zwischen den Interessen des Betroffenen und denen
der verantwortlichen Stelle gefunden werden müsse. Nähere Regelungen zur
Aufbewahrungsfrist seien Sache der Mitgliedstaaten der Europäischen Union.
Bundes- wie Landesgesetzgeber sind nunmehr gefordert, die Entscheidung des Europäischen
Gerichtshofs in den Datenschutzgesetzen umzusetzen.
14.4 SWIFT-Abkommen
Die USA verhandeln mit der Europäischen Union (EU) über ein Abkommen, welches
den US-Behörden Zugriff auf Datenströme des Finanzdienstleisters SWIFT (Society
for Wordwide Interbank Financial Telecommunication) zum Zwecke der Terrorismusbekämpfung
ermöglichen soll. Der Zugriff soll auch auf Daten erfolgen, die keinen
Bezug zu den USA haben. Aus verfassungs- und datenschutzrechtlicher Sicht
wäre eine solche Zugriffsmöglichkeit höchst bedenklich. Die USA möchten auf Finanzdaten
zugreifen, ohne dass gegen die Betroffenen ein hinreichend konkreter
Tatverdacht besteht, ohne dass sie an Terroraktivitäten oder an deren Unterstützung
mitwirken oder beteiligt waren. Deutschen Sicherheitsbehörden wäre ein solcher
Zugriff nicht möglich, da dieser gegen die Verfassung verstoßen würde.
Zudem hätten die Betroffenen kaum Möglichkeiten, sich angemessen gegen die
Datenverarbeitung in den USA zu wehren. Die datenschutzrechtlichen Garantien
bleiben deutlich hinter den entsprechenden in der EU zurück. Es besteht keine
unabhängige Datenschutzkontrolle, und Personen ohne ständigen Wohnsitz in den
USA hätten auch kein Recht auf gerichtliche Überprüfung.
Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder hat daher
in einer Entschließung ihre Erwartung an die Bundesregierung geäußert, dass sie
die sensiblen Bankdaten der Bürgerinnen und Bürger wirksam schützt und dem
Abkommen nicht zustimmt (vergleiche Ziffer 16.8 dieses Berichts).
Der Rat der europäischen Justiz- und Innenminister hat im November 2009 den Entwurf
des Abkommens gebilligt. Das europäische Parlament hat das Abkommen im
Februar 2010 abgelehnt und damit vorerst gestoppt. Es ist zu hoffen, dass in den
jetzt anstehenden weiteren Verhandlungen mit den USA europäische Datenschutzstandards
berücksichtigt werden.
15. Datenschutzaudit
15.1 Änderung der Datenschutzauditverordnung
Die dem Bremischen Datenschutzgesetz (BremDSG) unterliegenden öffentlichen
Stellen können nach § 7 b BremDSG in Verbindung mit § 1 Bremische Datenschutzauditverordnung
(BremDSAuditVO) Verfahren einschließlich der dazugehörigen
technischen Einrichtungen zum Zwecke der Verbesserung des Datenschutzes und
der Datensicherheit prüfen und bewerten lassen, Datenschutzaudit. Die Prüfung und
Bewertung wird durch einen Auditor vorgenommen, der auf Vorschlag der öffentlichen
Stelle zur Wahrnehmung dieser Aufgabe von der Landesbeauftragten für
Datenschutz und Informationsfreiheit zugelassen wurde. Zugelassen wird nur, wer
seine fachliche Eignung, persönliche Zuverlässigkeit und Unabhängigkeit für die
Tätigkeit als Auditor nachweist. Diesen Nachweis erbringt nach der Bremischen
Datenschutzauditverordnung in der Fassung vom 5. Oktober 2004 auch, wer zu
einem vergleichbaren Audit im Bund oder einem anderen Land zugelassen wurde.
Durch das am 28. Dezember 2009 in Kraft getretene bremische Gesetz zur Umsetzung
der EU-Dienstleistungsrichtlinie im Land Bremen und Novellierung weiterer
Rechtsnormen (BremGBl. 2009 Seite 535) ist § 1 BremDSAuditVO dahingehend geändert
worden, dass den Nachweis auch erbringt, wer zu einem vergleichbaren
Audit in einem anderen Mitgliedsstaat der Europäischen Union oder der anderen
Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum die Zulassung
erhalten hat.
Mit der Regelung zur Berücksichtigung vergleichbarer Audits soll die Prüfung des
Vorliegens der Zulassungsvoraussetzungen durch die Landesbeauftragte für Datenschutz
und Informationsfreiheit vereinfacht werden. Die Regelung setzt voraus,
dass eine Vergleichbarkeit von Audits besteht. Zu unterscheiden ist dabei insbesondere
zwischen Verfahrens- und Produktaudits. Sollen Auditierungen nach dem bremischen
Datenschutzrecht durchgeführt werden, so handelt es sich um Verfahrens-
— 79 —