Die Richtlinie verpflichtet die Mitgliedstaaten, ihr Datenschutzrecht binnen dreier Jahre zu harmonisieren (Artikel 32 Abs. 1). Ausgehend von ihrer Unterzeichnung durch die Präsidenten von Europäischem Parlament und Ministerrat am 24. Oktober 1995 muß die Richtlinie damit spätestens zum 24. Oktober 1998 in nationales Recht umgesetzt sein.
Bei der Umsetzung der Richtlinie in das deutsche Recht ist der Bundesgesetzgeber nicht nur für den öffentlichen Bereich des Bundes zuständig, sondern aufgrund seiner Gesetzgebungsbefugnis nach Artikel 74 GG auch für den nicht-öffentlichen Bereich, wo die meisten Änderungen zu erwarten sind. Die Federführung für die Umsetzung liegt für die Bundesregierung beim Bundesministerium des Innern. Da nicht nur das Bundesrecht, sondern - vorzugsweise im öffentlichen Bereich - auch die Landesdatenschutzgesetze mit den Vorgaben der Richtlinie in Einklang zu bringen sind, haben auch die Länder ihre jeweilige Datenschutzgesetzgebung anzupassen. Über die allgemeinen Datenschutzgesetze hinaus ist eine Vielzahl bereichsspezifischer datenschutzrechtlicher Regelungen des Bundes und der Länder zu überprüfen. Bedenkt man, daß die letzte Reform des BDSG (1990) mehr als vier Jahre dauerte, dann zeigt sich die Eilbedürftigkeit der Angelegenheit.
Zur Konzeption der Umsetzung hat die 51. Konferenz der Datenschutzbeauftragten des Bundes und der Länder im März 1996 mit einer Entschließung unter dem Titel "Modernisierung und europäische Harmonisierung des Datenschutzrechts" Posititon bezogen (s. Anlage 15). Die Datenschutzbeauftragten appellieren an den Gesetzgeber in Bund und Ländern, die Umsetzung der Richtlinie nicht nur als Beitrag zur europäischen Integration zu verstehen, sondern auch als Aufforderung und Chance, den Datenschutz fortzuentwickeln. Angesichts der sich rapide verändernden Welt der Datenverarbeitung, der Medien und der Telekommunikation sprechen sie sich für eine Modernisierung des deutschen Datenschutzrechts aus, damit der einzelne auch künftig über den Umlauf und die Verwendung seiner persönlichen Daten soweit wie möglich selbst bestimmen kann.
Im Juni 1996 habe ich der Bundesregierung ein auf dieser Linie liegendes detailliertes Positionspapier zur Umsetzung der europäischen Datenschutzrichtlinie und zur Novellierung des Bundesdatenschutzgesetzes übermittelt.
Den Datenschutzbeauftragten geht es dabei um mehr als durch Gemeinschaftsrecht erzwungene Minimalkorrekturen. Mit meinen Kollegen aus den Ländern bin ich der Auffassung, daß das Gebot der Anpassung der deutschen Rechtslage an die EG-Richtlinie als Chance wahrgenommen werden muß, das Datenschutzrecht in Deutschland von überholten Konzepten zu befreien und den Regelungserfordernissen einer von Multimedia (s.u. Nr. 8.1), Internet (s.u. Nr. 8.2) und Chipkarten (s.u. Nr. 9) geprägten Zukunft gerecht zu werden. Nur in diesem Dreiklang
kann das Datenschutzrecht auch am Ende dieses Jahrtausends seine Rolle für das informationelle Selbstbestimmungsrecht des einzelnen erfüllen.
Demgegenüber vertrat die Bundesregierung bei den Beratungen meines 15. Tätigkeitsberichts im Deutschen Bundestag die Auffassung, daß die Richtlinie eine weitergehende "Modernisierung" des gesamten Datenschutzrechts nicht fordere. Die Umsetzung der Richtlinie zum Anlaß für eine Anpassung des geltenden Rechts an die veränderten rechtlichen, technischen und sozialen Entwicklungen zu nehmen, gehe daher über den Regelungsrahmen der Richtlinie hinaus. Zwar sei mein Anliegen angesichts der datenschutzrechtlichen Probleme, die die Fortentwicklung der sog. Informationsgesellschaft mit sich bringt, durchaus berechtigt. Meine Forderungen könnten jedoch nicht im Zusammenhang mit der Umsetzung der Richtlinie, die sich ausschließlich auf die Novellierung des allgemeinen Datenschutzrechts (BDSG und Landesdatenschutzgesetze) beziehe, erhoben werden. Neue Entwicklungen, die unter dem Stichwort "Multimedia" bereits zu bereichsspezifischen gesetzgeberischen Maßnahmen der Bundesregierung geführt hätten (Informations- und Kommunikationsdienstegesetz, IuKD-Gesetz), würden vom Geltungsbereich der Richtlinie nicht umfaßt, da diese ähnlich dem BDSG als Querschnittsmaterie konzipiert sei, der bereichsspezifische Richtlinien folgen sollen.
Auch mir ist bewußt, daß das primäre Regelungsziel der Richtlinie zunächst in der Schaffung allgemeiner Datenschutzgesetze in den Mitgliedstaaten der Union liegt, um das unterschiedliche Datenschutzniveau in Europa im Wege der Harmonisierung zu überwinden. Ich vermag aber keine überzeugenden Gründe dafür zu erkennen, die Novellierung des BDSG auf die unumgänglichen Anpassungen an die europäischen Vorgaben zu reduzieren. Sicher würde dies die Gesetzgebung kurzfristig entlasten und den in den Jahren 1998 bis 2001 zu leistenden Umstellungsaufwand (Art. 32) begrenzen. Aber der Praxis wäre ein Bärendienst geleistet, wenn einer gerade abgeschlossenen Europäisierung die dann noch dringendere Modernisierung mit der Notwendigkeit einer erneuten Umstellung auf dem Fuße folgte.
Die Regelungen des geplanten IuKD-Gesetzes für den Bereich "Multimedia" decken zwar einen wichtigen Teilaspekt der geforderten rechtlichen Antworten auf die ungeheuren Möglichkeiten der Informations- und Kommunikationstechnik, aber eben nur einen Teilaspekt ab. Zugleich bedarf es umfassender Regelungskonzepte - und zwar entsprechend dem Subsidiaritätsprinzip und zur Förderung der praktischen Einführung neuer IuK-Anwendungen nicht erst aufgrund abzuwartender bereichsspezifischer Vorgaben aus Brüssel - wie etwa im Bereich der Chipkarten. In meinem der Bundesregierung im Juni 1996 übermittelten Positionspapier habe ich hierzu einen Katalog erstellt, der die folgenden Forderungen beinhaltet:
Der Referentenentwurf der Bundesregierung (Entwurf eines Gesetzes zur Änderung des Bundesdatenschutzgesetzes) ist mir inzwischen am 20. Februar 1997 zugegangen.