Die Konvention Nr. 108 – die „kleine Schwester“ der DSGVO

Europarat – das unbekannte Wesen

Der Europarat darf am 5. Mai dieses Jahres seinen 70-jährigen Bestand feiern. In der Gesellschaft erfährt er trotz seines stolzen Alters nur sehr begrenzte Aufmerksamkeit. Sogar in Fachkreisen wird seine Daseinberechtigung oft auf das Rechtsregime der Europäischen Menschenrechtskonvention (EMRK) und auf die Rechtsprechung des darüber wachenden Europäischen Gerichtshofs für Menschenrechte (EGMR) reduziert. Und wenn sich die Medien doch einmal damit befassen, geht es meist um Reformbedarf oder Korruptionsskandale (aktuell etwa https://www.sueddeutsche.de/politik/lobbyismus-experten-sehen-starken-verdacht-auf-korruption-im-europarat-1.3955817).

Wegbereiter auf dem Gebiet des Datenschutzes

Diese skeptische Haltung ist insbesondere mit Blick auf das Themengebiet Datenschutz unberechtigt.

Denn es war der Europarat, der vor dem Hintergrund wachsender Gefahren durch die zunehmend automatisierte Verarbeitung personenbezogener Daten bereits Anfang der 1980er Jahre das erste und bislang einzige zwischenstaatliche Abkommen im Bereich des Datenschutzrechts verabschiedet hat.

Anknüpfungspunkte für das Datenschutz-Engagement boten damals lediglich die OECD (Organisation for Economic Co-Operation and Development), deren 1980 verabschiedeten Richtlinien über Datenschutz und grenzüberschreitende Ströme personenbezogener Daten allerdings ein bloß empfehlender Charakter zukommt, sowie der hessische Gesetzgeber, dessen Datenschutzgesetz von 1970 im Wesentlichen nur die Landesverwaltung im Blick hatte.

Das „Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten“ (so die offizielle Bezeichnung, aber eher schlicht als „Konvention Nr. 108“ oder „Datenschutz-Konvention“ bekannt) trat am 1. Oktober 1985 in Kraft. Zu den ersten Ländern, die sie unterzeichneten und ratifizierten, gehörte neben Schweden, Frankreich, Spanien und Norwegen auch die Bundesrepublik. Die Konvention formulierte Grundprinzipien, die noch heute gelten:

• Verbot rechts- bzw. treuwidriger Datenverarbeitung (Art. 5 lit. a);
• Gebot der zweckgebundenen und verhältnismäßigen Datenverarbeitung (Art. 5 lit. b und c);
• Grundsatz der Datenqualität und der frühestmöglichen Anonymisierung personenbezogener Daten (Art. 5 lit. d und e).

Mit dem Zusatzprotokoll von 2001 verpflichteten sich die Ratifiziererstaaten ferner dazu, unabhängige Aufsichtsbehörden zu schaffen und Datenverkehr mit Drittstaaten nur zu erlauben, wenn diese über ein entsprechendes Datenschutzniveau verfügen. 2010 ergänzte das Ministerkomitee des Europarats die Konvention um eine Empfehlung zu Profiling und Datenschutz. 2015 kamen Empfehlungen betreffend den freien grenzüberschreitenden Informationsfluss im Internet hinzu (https://search.coe.int/cm/Pages/result_details.aspx?ObjectID=09000016805c3f20) und zu Datenverarbeitung am Arbeitsplatz (https://www.laleggepertutti.it/wp-content/uploads/2015/04/Raccomandazione-Consiglio-Europa.pdf).

To cut a long story short:

Der Europarat spielte bislang in mehrfacher Hinsicht die Rolle eines Wegbereiters für das geltende Datenschutzrecht. Bedenkt man die ständig zunehmende Anzahl an Ratifikationen der Konvention Nr. 108 (2016 Mauritius und Senegal, 2017 Tunesien, 2018 Mexico und Cabo Verde) einerseits und die Bestrebungen seit 2012, den Konventionstext zu modernisieren, andererseits, wird die Bedeutung des Europarats auf diesem Gebiet so schnell nicht verblassen, sondern vielmehr zunehmen.

„Und betrifft uns das?“ wird sich an dieser Stelle der eine oder andere Unionsbürger fragen.

Sehr wohl.

Auf der ganzen Welt leben wirtschaftliche und friedliche Beziehungen vom Austausch verschiedener Ressourcen, seien es Waren, Dienstleistungen, Arbeitskraft usw. Hierzu gehört auch der Austausch von Daten („Daten sind das neue Öl“).  Dieser ist allerdings nur dann geordnet möglich, wenn auch außerhalb der Europäischen Union gewisse datenschutzrechtliche Mindeststandards existieren. Und hier kommen völkerrechtliche Instrumente wie die besagte Konvention Nr. 108 ins Rampenlicht. Zwar ist sie nicht – wie die DSGVO – unmittelbar anwendbar und sind ihre Normen weniger scharf geschliffen, doch hat sie auch über die Weltmeere hinaus Bedeutung und damit ein Potential erlangt, die globale Entwicklung des Datenschutzrechts zu fördern.

Die Konvention Nr. 108: „klein, aber oho“!