Angesichts des gegenwärtigen Reformprozesses der Datenschutzpolitik in der EU und Deutschland untersucht dieser Beitrag, in welchem Maße die deutsche Datenschutzaufsichtspraxis von föderaler Vielfalt geprägt ist. Denn während Datenschutzrecht vorrangig auf der EU-Ebene gesetzt wird, findet die Rechtsdurchsetzung weiterhin auf nationaler, oder, wie im Bundesdeutschen Fall, auf der Landesebene statt.
Eine qualitative Analyse der Aufsichtspraxis in den 18 deutschen Datenschutzaufsichtsbehörden zeigt, dass diese formal betrachtet über ähnliche Handlungsspielräume verfügen, doch in ihrer Aufsichtspraxis Unterschiede aufweisen. Vielfalt findet sich mit Blick auf ihre Handlungsorientierung, ihr Handeln, ihr regulierungsrelevantes Wissen und ihre öffentliche Kommunikation. Eine wichtige Unterscheidungsdimension ist dabei das Spannungsfeld zwischen Prävention und Sanktion. Darüber hinaus haben die Aufsichtsbehörden unterschiedliche Expertisen und Kommunikationsformen entwickelt.
Welche Faktoren das beobachtete Muster der Einheitlichkeit und Vielfalt erklären können, stand nicht im Fokus der Analyse, die nur erste Hypothesen generiert hat. Es finden sich Hinweise darauf, dass sozioökonomische Faktoren, die politische Kultur und politische Unternehmer einen Einfluss darauf haben könnten, dass eine Aufsichtsbehörde stärker präventiv oder stärker sanktionierend agiert. Dafür, dass die deutsche Teilungsgeschichte, regulativer Wettbewerb oder die parteipolitische Färbung der Landesregierung eine Rolle spielen könnten, gab es keine Anzeichen.
Der Beitrag zeigt somit, welche Strategien und Maßnahmen Datenschutzbehörden in Deutschland zur Erreichung eines hohen Datenschutzniveaus derzeitig einsetzen. Daraus lassen sich Schlüsse für die Gestaltung der Datenschutzaufsicht auf europäischer Ebene ziehen, etwa dazu, wie regulativer Wettbewerb in der europäischen Datenschutzpolitik verhindert werden kann.
Die Zeitschrift für Vergleichende Politikwissenschaft. Comparative Governance and Politics (ZfVP) ist die erste deutschsprachige Zeitschrift für zentrale Themen und innovative Forschungsergebnisse aus dem Bereich der Vergleichenden Politikwissenschaft.
Neben Spanien ist Deutschland der einzige EU-Mitgliedstaat, welcher Aufsichtskompetenzen an subnationale DPAs erteilt hat. Allerdings verfügen in Spanien lediglich die teilautonomen Regionen Kataloniens und des Baskenlandes über eine eigene DPA, welche der Kontrolle der katalanischen bzw. baskischen Verwaltung dienen.
Der Bund und fünfzehn Länder verfügen über je eine Kontrollbehörde, die den öffentlichen (staatliche Behörden) und den nicht-öffentlichen Bereich (Unternehmen, Vereine) gemeinsam kontrolliert. Bayern verfügt über zwei Kontrollstellen: eine für den öffentlichen und eine für den nicht-öffentlichen Bereich.
Kompetenzübertragungen von den Ländern auf den Bund sind ungeachtet des Politikfelds selten und meist Teil von Verhandlungspaketen, die im Rahmen von aufwändigen Föderalismusreformen erwirkt werden. In den letzten Förderalismusreformen war Datenschutz nicht Teil der Verhandlungen und es bestehen im Moment keine Anzeichen dafür, dass sich dies ändern wird.
Es wurden nicht alle 18 DPA-Leitungen interviewt. Zwar wurden alle Leitungen angefragt, allerdings lehnten mehrere das Interview ab – weil die Leitungen erst kürzlich eingesetzt worden waren oder aufgrund fehlender Zeitressourcen. Ziel war nicht eine Vollerhebung der Behörden, sondern vielmehr zu erfassen, in welchen Dimensionen sich die Arbeit der DPAs unterscheidet bzw. gleicht. Zu diesem Zweck wurden so lange Interviews geführt bis eine Saturation an Informationen eintrat. Es ist nicht davon auszugehen, dass ein systematischer sample bias vorliegt, da Behörden aus großen und kleinen Ländern, aus Flächen- und Stadtstaaten, aus neuen und alten, aus nördlichen, mittleren und südlichen sowie aus Geber- und Nehmerländern an den Interviews teilnahmen.
Die Interviews wurden meist persönlich und in drei Fällen telefonisch anhand eines Leitfadens (siehe Anhang) geführt. Dabei wurde eine Beschreibung und Einschätzung der Tätigkeit der eigenen wie auch jener der anderen DPAs erbeten. Die Aussagen aus den Interviews wurden durch Dokumentenanalysen sowie durch Querbezüge zwischen den Interviews validiert. Die Aussagen aus den Interviews wurden anonymisiert, da die Behördenleitungen darauf bedacht waren, nicht zu einem Leistungsvergleich zwischen den Behörden beizutragen.
Der Fragebogen umfasste 23 Fragen und wurde in Abstimmung mit drei Behörden entwickelt. Den geringen Rücklauf begründeten die Behörden, die sich gegen eine Teilnahme entschieden, mit Personalmangel und mit der Vorbereitung auf die Durchsetzung der DSGVO, die sie als sehr ressourcenintensiv wahrnahmen.
Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data.
Der Bund verfügt in weiten Bereichen über die Gesetzgebungskompetenz: Dies betrifft konkret die Bereiche Wirtschaft, Bundesbehörden, Post, Telekommunikation, Strafverfolgung, Abwehr von Terrorgefahren, Grenzkontrollen, Bundesgeheimdienste, Ausländer- und Asylrecht, Sozialrecht u. a. (Weichert 2012, S. 111).
Konkret verfügen die Länder über die Gesetzgebungskompetenz in den Bereichen Datenschutz bei Kommunen und Landesbehörden, Gefahrenabwehr, Geheimdienste der Länder (Verfassungsschutz), Gesundheit und Schule.
Zu den Faktoren, die die Unabhängigkeit der deutschen DPAs abbilden, zählen etwa die Regelungen für die Wahl der Leitungen, ihre vorzeitige Entlassung, das Amtsverhältnis, die Anbindung und Einrichtung der DPA, Kommissionen und Beiräte, Aufsichtsstrukturen sowie Personal und Haushalt.
Das genaue Verhältnis der Behördenausstattung zur Arbeitslast ist jedoch schwer zu bemessen: Neben der Bevölkerungsgröße eines Landes müssten Anzahl und Art der zu kontrollierenden Datenverarbeiter sowie Anzahl und Art der Eingaben, die eine DPA erhält, berücksichtigt werden. Die entsprechenden Informationen sind allerdings schwer zu ermitteln.
Dass kleine Bundesländer höhere Pro-Kopf-Ausgaben aufweisen, liegt vermutlich an der allgemein notwendigen Grundausstattung von Behördenleitung und Sekretariat.
Dies galt für die DPAs in Nordrhein-Westfalen, Sachsen-Anhalt, dem Saarland, Brandenburg, Thüringen, Baden-Württemberg, Hessen, Berlin, Bremen, Niedersachsen, Bayern, Rheinland-Pfalz und der Bundesebene.
Ein Grund ist, dass die Online-Befragung keinen ausreichenden Rücklauf lieferte (siehe Kapitel „Methode der empirischen Analyse“). Darüber hinaus erbrachten die Interviews keine durchgängig vergleichbare Datenbasis, auch da ein Teil der befragten Interviewpartner*innen die Sorge äußerte, zu einem Leistungsvergleich zwischen den DPAs beizutragen.