Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Roman Müller-Böhm, Stephan Thomae, Grigorios Aggelidis, weiterer Abgeordneter und der Fraktion der FDP – Drucksache 19/14490 – Datenschutz bei EPA-Zusammenarbeit V o r b e m e r k u n g d e r F r a g e s t e l l e r Das Europäische Patentamt (EPA) ist eines der beiden Organe der Europäischen Patentorganisation (EPO). Das EPA hat die Aufgabe, Patentanmeldungen zu prüfen und europäische Patente zu erteilen. Das andere Organ ist der Verwaltungsrat, welcher als Aufsichtsorgan und in begrenztem Umfang als Gesetzgebungsorgan fungiert (www.epo.org/law-practice/legal-texts/ html/epc/2016/d/ar4.html). Die Kompetenz zu rechtsverbindlichen Entscheidungen liegt bei den der Organisation angehörigen Vertragsstaaten im Rahmen einer entsprechenden Konferenz www.epo.org/law-practice/legal-texts/ html/epc/2016/d/ar4a.html). Das EPA hat seinen Sitz in München, ist aber eine durch völkerrechtliche Übereinkunft geschaffene Institution mit dem Rang einer juristischen Person. Weitere Besonderheit dieser internationalen Organisation ist zudem, dass für sie rechtliche Immunität vereinbart wurde und nur durch die Vertragsstaaten geschaffenes Sonderrecht für das EPA bindend ist. Dementsprechend ist nationales Recht und EU-Recht nicht oder nur eingeschränkt auf das EPA anwendbar www.epo.org/law-practice/legal-texts/ html/epc/2016/d/ma5.html). Die Immunität des EPA und die nicht vorhandene Bindung an deutsches bzw. europäisches Recht führt zu der Frage, ob Datenschutzstandards eingehalten werden können, sofern eine informationelle Zusammenarbeit von Bundesbehörden mit dem EPA besteht. Die Regelungen der Datenschutz- Grundverordnung (DSGVO) gelten mit dem neuen Bundesdatenschutzgesetz (BDSG) für öffentliche Stellen gleichermaßen und beziehen neben natürlichen oder juristischen Personen auch Behörden und Einrichtungen mit ein. Somit muss auch eine Behörde den Datenschutz korrekt umsetzen. Jedoch erstrecken sich eben diese Vorgaben nicht auf das EPA, welches seinerseits Onlinedienste anbietet (www.gesetze-im-internet.de/bdsg_2018/__1.html). Damit stellt sich die Frage, ob Datenschutz für den Fall, dass eine deutsche Bundesbehörde mit dem EPA kooperiert, auch eingehalten wird und wie dies gewährleistet wird. Deutscher Bundestag Drucksache 19/15072 19. Wahlperiode 12.11.2019 Die Antwort wurde namens der Bundesregierung mit Schreiben des Bundesministeriums der Justiz und für Verbraucherschutz vom 8. November 2019 übermittelt. Die Drucksache enthält – in kleinerer Schrifttype – den Fragetext. Vorabfassung - wird durch die lektorierte Version ersetzt. 1. Welche Kooperationsverhältnisse bestehen zwischen Bundesministerien oder den Ministerien nachgeordneten Behörden des Bundes mit dem Europäischen Patentamt? Eine Kooperationsvereinbarung zwischen der Bundesrepublik Deutschland, vertreten durch die Bundesministerin der Justiz, diese vertreten durch den Präsidenten des Deutschen Patent- und Markenamts (DPMA), und dem EPA, datiert aus dem Jahr 2004. Diese besteht im Rahmen der technischen Zusammenarbeit , insbesondere zur Schaffung der Grundlage dafür, dass deutsche Patentanmeldungen unter Nutzung entsprechender Software für die Online- Einreichung von Patenten elektronisch beim DPMA eingereicht werden können . Außerdem existiert eine Nutzungsregelung für den Internetdienst „DPMAdatenabgabe “, ebenfalls aus dem Jahr 2004. Ein Austausch von Daten zwischen dem DPMA und EPA findet nach Maßgabe der in der Antwort zu den Fragen 3a und 3b genannten Rechtsnormen statt. Im Zusammenhang mit den Sitzungen des Verwaltungsrats gemäß Artikel 29 EPÜ und den Sitzungen des Haushalts- und Finanzausschusses sowie weiterer Ausschüsse haben die Delegationen der Mitgliedstaaten Zugang zu der vom EPA betriebenen Plattform MICADO, auf der die Dokumente zur Sitzungsvorbereitung hinterlegt werden. Auch können diese Dokumente nach den jeweiligen Sitzungen noch weiterhin abgerufen werden. Der Zugang zu vertraulichen Dokumenten (C-Dokumente), zu denen auch solche mit personenbezogenen Daten gehören, ist personell stark begrenzt. 2. In welcher Form werden Daten im Rahmen der Kooperation mit dem EPA ausgetauscht? a) In welcher Form werden Daten an das EPA übermittelt (Internet/Datenträger /analog)? Das DPMA übermittelt Frontfile-Daten (d. h. aktuelle Ergänzungen bzw. seit der letzten Aktualisierung neu hinzugekommene Datenanteile) über das Internet . Sie werden im jeweiligen Publikationsrhythmus zum Download über einen Server durch das DPMA zur Verfügung gestellt. Der Download der Daten ist kennwortgeschützt. Backfile-Daten (d. h. umfangreiche Archivdatenbestände mit aktuell ca. 115 Millionen Dokumenten) werden bei Bedarf auf Datenträgern zur Verfügung gestellt. In beiden Fällen handelt es sich um Daten, die den Stand der Technik betreffen. Diese Daten werden nicht nur dem EPA zur Verfügung gestellt, sondern sind grundsätzlich der Öffentlichkeit zugänglich zu machen. b) In welcher Form werden Daten vom EPA entgegengenommen (Internet/ Datenträger/analog)? Das DPMA nimmt vom EPA ebenfalls öffentlich zugängliche Daten mittels Download entgegen. Für den Download greift das DPMA auf Web-Seiten des EPA zu, von denen – nach Authentifizierung – die Daten heruntergeladen werden . Zur Vorbereitung der Sitzungen des Verwaltungsrats gem. Art 29 EPÜ und für die Sitzungen des Haushalts- und Finanzauschusses sowie weiterer Ausschüsse werden von den Mitgliedern der deutschen Delegation Dokumente von der Plattform MICADO heruntergeladen. Drucksache 19/15072 – 2 – Deutscher Bundestag – 19. Wahlperiode Vorabfassung - wird durch die lektorierte Version ersetzt. c) Welche Ministerien oder Behörden sind Teil dieser Kooperation? Das DPMA ist Teil dieser Kooperation, wie in der Antwort zu Frage 1 beschrieben . 3. Wie stellen die mit dem EPA kooperierenden Ministerien bzw. deren angeschlossene Behörden sicher, dass die Datenschutzstandards eingehalten werden, a) bei der Weitergabe von Daten an das EPA und Die Weitergabe von Daten vom DPMA an das EPA findet auf Grundlage folgender Rechtsnormen statt: • Artikel II § 3 des Gesetzes über internationale Patentübereinkommen (IntPatÜbkG) gestattet dem DPMA die Übermittlung von Informationen (einschließlich personenbezogener Daten) aus den bei ihm geführten Verfahren (z. B. Patentanmeldungen nach PatG) an das EPA, soweit das EPA diese Angaben zur Aufgabenerfüllung im Erteilungsverfahren für Europäische Patente (Vierter Teil des Europäischen Patent-übereinkommens, EPÜ) oder zur Bearbeitung von Euro-PCT-Anmeldungen (Zehnter Teil des EPÜ) benötigt. Artikel II § 3 Satz 2 enthält einen ausdrücklichen DSGVO-Vorbehalt, der die Übermittlung bei entgegenstehenden Rechtsnormen und/oder überwiegenden Interessen der betroffenen Person im Einzelfall ausschließt. • Artikel II § 4 Absatz 1, 3 IntPatÜbkG bestimmt, dass europäische Patentanmeldungen (Vierter Teil des EPÜ), die zulässigerweise beim DPMA eingereicht worden sind, vom DPMA an das EPA zu übermitteln sind (soweit kein Staatsgeheimnis betroffen ist). Die Einreichung europäischer Patentanmeldungen kann, ebenso wie nationale Anmeldungen und PCT- Anmeldungen, nach Maßgabe von § 1 Absatz 1 Nummer. 1 der Verordnung über den Elektronischen Rechtsverkehr beim DPMA (ERVDPMAV) auch elektronisch unter Verwendung der Software DPMA direkt erfolgen. • Beim DPMA eingereichte Anmeldungen nach dem Internationalen Patentzusammenarbeitsvertrag (PCT), für deren weitere Bearbeitung das EPA zuständige Internationale Recherchebehörde (International Search Authority – ISA) ist, werden nach Maßgabe von Artikel 12 Absatz 1 PCT i. V. m. Regel 32.1 PCT-Ausführungsordnung übermittelt (sog. „Rechercheexemplar“ der PCT-Anmeldung). Ergänzend kann das DPMA ihm vorliegende ergänzende Informationen (z. B. nationale Rechercheberichte) an das EPA als ISA übermitteln , wenn der Anmelder dies beantragt (Regel 23bis.1 i.V.m Regeln 4.12, 12bis.1 PCT-AO) oder er die Priorität einer früheren Anmeldung in Anspruch nimmt (Regel 23bis.2 i.V.m Regel 41.2 PCT-AO). • Eine Datenübermittlung kommt ferner dann in Betracht, wenn das EPA als mit der internationalen vorläufigen Prüfung beauftragte Behörde (International Preliminary Examination Authority – IPEA) nach Maßgabe von Artikel 32 PCT tätig wird. In diesen Fällen kann das DPMA als Anmeldeamt (RO) gemäß Artikel 31 Absatz 2 lit a) PCT i.V.m Regel 59.3 Buchstabe a), Buchstabe f) PCT-AO den bei ihm gestellten Antrag auf vorläufige internationale Prüfung unmittelbar an das EPA (in seiner Funktion als IEPA) weiterleiten . Deutscher Bundestag – 19. Wahlperiode – 3 – Drucksache 19/15072 Vorabfassung - wird durch die lektorierte Version ersetzt. • Schließlich kommt eine Übermittlung von Angaben aus Offenlegungsschriften , Patentschriften sowie im Patentblatt veröffentlichten Informationen an das EPA nach Maßgabe von § 32 Absatz 1 Satz 3 PatG in Betracht. Danach dürfen die genannten Daten elektronisch zur weiteren Verarbeitung und Nutzung zu Zwecken der Patentinformation (z. B. im Rahmen des Europäischen Patentregisters des EPA) elektronisch an Dritte übermittelt werden. § 32 Ab satz 1 Satz 4 PatG verweist zur Wahrung datenschutzrechtlicher Belange auf den DSGVO-Vorbehalt in § 31 Absatz 3b PatG. Hinsichtlich des Umgangs des EPAs mit den übermittelten Daten gelten die EPA-Datenschutzrichtlinien. Diese sind als Teil des EPA-Statuts für das EPA bindend. b) bei der Entgegennahme von Daten vom EPA? Die Datenübermittlung vom EPA an das DPMA unterliegt folgenden Rechtnormen : • Gemäß §§ 1 Absatz 1 Nummer. 1 in Verbindung mit § 3 Absatz 4 ERVDP MAV können Anmeldungen von Patenten beim DPMA auch unter Verwendung einer vom EPA angebotenen Software (früher: epoline / aktuell: eOLF) eingereicht werden. Die Anmeldedaten werden dabei über die Server des EPA an das DPMA übermittelt. Hinsichtlich der weiteren Verarbeitung dieser Daten unterliegt das DPMA unmittelbar den Pflichten der DSGVO. Dokumente des EPA für die Sitzungen des Verwaltungsrats und des Haushaltsund Finanzausschusses sowie weiterer Ausschüsse werden den Mitgliedern der Delegationen der Mitgliedstaaten durch das EPA über die passwortgeschützte Plattform MICADO zur Verfügung gestellt. 4. Welche Maßnahmen werden von mit dem EPA kooperierenden Behörden des Bundes, beispielsweise dem Deutschen Patent- und Markenamt, bei der Weitergabe von Daten an das EPA getroffen, um sicherzustellen, dass der Datenschutz aufrecht erhalten bleibt? Die Weitergabe von Daten durch das DPMA an das EPA erfolgt nach Maßgabe der in der Antwort zu Frage 3a genannten Rechtsnormen und der in der Antwort zu Frage 1 genannten Kooperationsverhältnisse. 5. Von wie vielen Beschwerden bezüglich der Nichteinhaltung von Regelungen des Datenschutzes im Rahmen einer Kooperation von Bundesbehörden mit dem EPA im Zeitraum von 2014 bis heute hat die Bundesregierung Kenntnis? a) Was war Gegenstand der Beschwerden? (bitte nach den bemängelten Verstößen aufschlüsseln)? b) Wie vielen Beschwerden konnte seitens der zuständigen Behörde erfolgreich nachgegangen werden? c) Wie viele Beschwerden konnten aufgrund der Immunität des EPA nicht weiterverfolgt werden? Die Fragen 5 bis 5c werden gemeinsam beantwortet. Beschwerden solcher Art sind der Bundesregierung nicht bekannt. Drucksache 19/15072 – 4 – Deutscher Bundestag – 19. Wahlperiode Vorabfassung - wird durch die lektorierte Version ersetzt. 6. Welche Kenntnisse hat die Bundesregierung über den Umgang mit Daten innerhalb des EPA? Das EPA kann auf eine lange Praxis im Datenschutz verweisen, da das EPA als eine der ersten internationalen Organisationen seine ersten Datenschutzrichtlinien bereits im Jahre 1992 in Kraft gesetzt hat. Diese Richtlinie wurde im Jahre 2014 überarbeitet und an damals aktuelle Standards des Datenschutzes angepasst . Dabei sind die datenschutzrechtlichen Grundprinzipien wie Direkterhebung , Datensparsamkeit, Datenvermeidbarkeit, Transparenz, Rechtmäßigkeit und Richtigkeit der erhobenen Daten, aber auch Zweckbindung und Verhältnismäßigkeit berücksichtigt. Innerhalb des EPA besteht auch seit Jahrzehnten das Amt eines/einer unabhängigen Datenschutzbeauftragte/n. Der im Juni 2019 veröffentlichte Strategieplan 2023 betont den hohen Stellenwert eines effektiven Datenschutzes. 7. Ist nach Kenntnis der Bundesregierung die Datenverarbeitung im EPA mit den Vorschriften der DSGVO konform, oder liegen ihr Anhaltspunkte vor, die eine Abweichung von DSGVO-Regelungen vermuten lassen? Der Bundesregierung liegen keine Anhaltspunkte vor, dass das EPA den Vorschriften der europäischen Datenschutzstandards nicht gerecht wird. Das Kollegium der Rechnungsprüfer der Europäischen Patentorganisation, das vom Verwaltungsrat gemäß Artikel 49 Absatz 1 EPÜ bestellt wird und seine Tätigkeit in Übereinstimmung mit den Artikeln 49 und 50 EPÜ und seiner Geschäftsordnung sowie mit fachgerechten Rechnungsprüfungsgrundsätzen ausübt, hielt in seinem Bericht zur Jahresrechnung für das Geschäftsjahr 2018 (Dokument CA/ 20/19; siehe www.epo.org/modules/epoweb/acdocument/epoweb2/392/en/ CA-20-19_en.pdf folgendes fest. Obwohl die EPO als internationale Organisation nicht direkt den EU-Vorschriften unterliegt, wurden die Grundprinzipien der DSGVO dennoch umgesetzt, da im EPA Daten europäischer Bürger verarbeitet werden. Darüber hinaus wurde festgehalten, dass im Sinne der Transparenz das EPA bereits in der Vergangenheit ein Datenschutz-Register eingerichtet hat, um alle Verarbeitungen von personenbezogenen Daten zu erfassen. Auf Anfrage können die Informationen der betroffenen Person (öffentlich) zur Verfügung gestellt werden, wodurch das Recht auf Information gewährleistet ist. Hinsichtlich der Bewertung der Rechtmäßigkeit von Datenverarbeitungen im Einzelnen ist anzumerken, dass diese nicht der Bundesregierung obliegt, sondern den unabhängigen Aufsichtsbehörden. Deutscher Bundestag – 19. Wahlperiode – 5 – Drucksache 19/15072 Vorabfassung - wird durch die lektorierte Version ersetzt. Vorabfassung - wird durch die lektorierte Version ersetzt. Vorabfassung - wird durch die lektorierte Version ersetzt. Gesamtherstellung: H. Heenemann GmbH & Co. KG, Buch- und Offsetdruckerei, Bessemerstraße 83–91, 12103 Berlin, www.heenemann-druck.de Vertrieb: Bundesanzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln, Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.betrifft-gesetze.de ISSN 0722-8333 Vorabfassung - wird durch die lektorierte Version ersetzt.