Die DSGVO funktioniert

Fragen und Antworten: Bessere Durchsetzung der DSGVO in grenzüberschreitenden Fällen
In der Verordnung wird der Vorteil von gütlichen Einigungen durch die Datenschutzbehörden anerkannt, die eine rasche Streitbeilegung ermöglichen

Die Europäische Kommission hat neue Vorschriften vorgeschlagen, um die Wirksamkeit und Effizienz der Durchsetzung der Datenschutz-Grundverordnung (DSGVO) in grenzüberschreitenden Fällen zu verbessern. Die Verfahrensverordnung der DSGVO zielt darauf ab, die Zusammenarbeit zwischen den Datenschutzbehörden zu vereinfachen, indem einige Aspekte ihrer Verwaltungsverfahren in grenzüberschreitenden Fällen vereinheitlicht werden.

Werden die Datenschutzvorschriften durch diesen Vorschlag geändert?
Nein. Wir haben gesehen, dass die DSGVO funktioniert. Die Verfahrensverordnung der Kommission berührt keine wesentlichen Elemente der DSGVO, etwa die Rechte der betroffenen Personen, die Pflichten der für die Datenverarbeitung Verantwortlichen und der Auftragsverarbeiter oder die Kriterien für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten.

Wie die Kommission in ihrem Bericht von 2020 über die Anwendung der DSGVO feststellte, verhindern die Verfahrensunterschiede bei den Datenschutzbehörden, dass die Mechanismen der DSGVO für die Zusammenarbeit und Streitbeilegung in grenzüberschreitenden Fällen (d. h. in Fällen, an denen Beschwerdeführer aus mehr als einem Mitgliedstaat beteiligt sind) reibungslos und effektiv funktionieren.

Die Kommission hat erkannt, dass ein einheitlicherer Ansatz in Fragen wie der Zulässigkeit von Beschwerden, der Wahrung der Rechte auf ordnungsgemäße Verfahren und der Beteiligung der Beschwerdeführer am Verfahren zu mehr Effizienz und besseren Ergebnissen sowohl für Bürgerinnen und Bürger als auch für Unternehmen und Datenschutzbehörden führen würde. Diese Elemente wurden auch vom Europäischen Parlament und vom Europäischen Datenschutzausschuss (EDSA) als wichtig eingestuft.

Wird mit dem Vorschlag das Verfahren der Zusammenarbeit und Kohärenz ("One-Stop-Shop") geändert?
Nein. Dieses Verfahren, bei dem die lokalen bzw. federführenden Datenschutzbehörden die Ansprechpartner für Einzelpersonen und Organisationen sind, bleibt ohne Einschränkung erhalten. Die Menschen profitieren täglich von diesem Verfahren, bei dem sie sich an ihre lokale Datenschutzbehörde wenden können, wenn es um den Schutz ihrer Rechte geht, und zwar unabhängig davon, wo die Daten verarbeitende Organisation ihren Sitz hat. Auch für Unternehmen ist es vorteilhaft, nur mit einer einzigen Datenschutzbehörde zu tun zu haben.

Der Vorschlag ergänzt die DSGVO mit detaillierten Verfahrensvorschriften für die grenzüberschreitende Durchsetzung; dabei bleibt die Verordnung innerhalb des von der DSGVO geschaffenen Rahmens. Sie ändert weder die in der DSGVO vorgesehenen Verfahrensschritte noch die Funktionen der an den Verfahren zur grenzüberschreitenden Durchsetzung Beteiligten, d. h. der Beschwerdeführer, der federführenden Datenschutzbehörde, der betroffenen Datenschutzbehörden oder des EDSA.

Wie arbeiten die Datenschutzbehörden in grenzüberschreitenden Fällen zusammen?
Die DSGVO wird von den unabhängigen nationalen Datenschutzbehörden und den nationalen Gerichten durchgesetzt. In Fällen, in denen es um die grenzüberschreitende Verarbeitung personenbezogener Daten geht (das heißt, wenn die Verarbeitung in mehr als einem Mitgliedstaat erfolgt oder erhebliche Auswirkungen auf betroffene Personen in mehr als einem Mitgliedstaat hat), findet bei der Durchsetzung das in der DSGVO geregelte Verfahren der Zusammenarbeit und Kohärenz ("One-Stop-Shop") Anwendung. In diesen Fällen führt die Datenschutzbehörde, in deren Land die untersuchte Einrichtung niedergelassen ist, die Untersuchung in Zusammenarbeit mit anderen betroffenen Datenschutzbehörden durch.

Nach der DSGVO arbeiten die Datenschutzbehörden zusammen, um einen Konsens über die Anwendung der DSGVO zu erzielen. Kommen die Datenschutzbehörden in einem grenzüberschreitenden Fall zu keiner einvernehmlichen Lösung, ist laut DSGVO der Europäische Datenschutzausschuss (EDSA) für die Streitbeilegung zuständig.

Wie werden die Datenschutzbehörden gemäß diesem Vorschlag zusammenarbeiten?
Mit dem Vorschlag werden zusätzliche Schritte in die Zusammenarbeit zwischen den Datenschutzbehörden eingeführt, um eine frühzeitige Konsensbildung zu erleichtern und Meinungsverschiedenheiten zu einem späteren Zeitpunkt des Verfahrens möglichst zu vermeiden, in deren Folge der Streitbeilegungsmechanismus in Anspruch genommen werden müsste.

Zu Beginn einer Untersuchung muss die federführende Datenschutzbehörde den betroffenen Behörden in der EU eine Zusammenfassung der wichtigsten Fragen übermitteln. In dieser Zusammenfassung werden die zentralen Elemente, die Gegenstand der Untersuchung sind, und der Standpunkt der federführenden Datenschutzbehörde zu dem Fall dargelegt. Somit würden die betroffenen Datenschutzbehörden über alle erforderlichen Informationen verfügen, um frühzeitig zu dem Fall Stellung nehmen zu können.

Sollte eine Datenschutzbehörde mit der Bewertung der federführenden Datenschutzbehörde nicht einverstanden sein, kann sie eine gemeinsame Maßnahme oder einen Amtshilfemechanismus gemäß der DSGVO beantragen. Sollten sich die Datenschutzbehörden daraufhin über den Umfang eines Beschwerdeverfahrens immer noch nicht einig werden, wird dem Vorschlag zufolge dem Europäischen Datenschutzausschuss (EDSA) die Befugnis übertragen, im Dringlichkeitsverfahren eine verbindliche Lösung vorzulegen, um die Meinungsverschiedenheit zu einem frühen Zeitpunkt des Verfahrens beizulegen.

Was bedeutet der Vorschlag für die Beschwerdeführer?
Derzeit herrschen bei den Datenschutzbehörden unterschiedliche Auffassungen darüber, wie eine Beschwerde auszusehen hat. Mit dem Vorschlag wird einheitlich festgelegt, welche Elemente die Beschwerdeführer in grenzüberschreitenden Fällen vorlegen müssen. Die Datenschutzbehörde, bei der eine Beschwerde eingeht, sollte für die Prüfung von deren Zulässigkeit zuständig sein.

Mit dem Vorschlag wird auch sichergestellt, dass die Beschwerdeführer in grenzüberschreitenden Fällen dieselben Verfahrensrechte haben, unabhängig davon, wo die Beschwerde eingereicht wird oder welche Datenschutzbehörde die Untersuchung leitet; dazu zählt beispielsweise das Recht, gehört zu werden, bevor ein Beschluss über die vollständige oder teilweise Abweisung einer Beschwerde erlassen wird.

In der Verordnung wird der Vorteil von gütlichen Einigungen durch die Datenschutzbehörden anerkannt, die eine rasche Streitbeilegung ermöglichen.

Wenn eine Datenschutzbehörde einer Beschwerde nachgeht, können die Beschwerdeführer zu den Vorwürfen gegen den für die Datenverarbeitung Verantwortlichen oder den Auftragsverarbeiter Stellung nehmen und erforderlichenfalls Einsicht in die Verwaltungsakte erhalten. Mit dem Vorschlag wird das Recht der Beschwerdeführer, vor der vollständigen oder teilweisen Abweisung einer Beschwerde gehört zu werden, vereinheitlicht. Wird eine Beschwerde abgewiesen, sollten die Beschwerdeführer die Entscheidung gerichtlich anfechten können.

Was bedeutet das für die Verantwortlichen und die Auftragsverarbeiter, die Gegenstand der Untersuchung sind?
Nach den neuen Vorschriften haben die von der Untersuchung betroffenen Parteien das Recht, in wichtigen Phasen des Verfahrens gehört zu werden, auch während der Streitbeilegung durch den EDSA. Außerdem werden der Inhalt der Verwaltungsakte und die Rechte der Parteien auf Akteneinsicht präzisiert.

Die federführende Datenschutzbehörde sollte diesen Parteien ihre vorläufigen Feststellungen, d. h. die Vorwürfe und die entsprechenden Nachweise, mitteilen. Im Rahmen des Streitbeilegungsmechanismus sollte der EDSA es den Parteien ermöglichen, ihr Recht auf Anhörung auszuüben, bevor er seinen Beschluss fasst.

Darüber hinaus enthält der Vorschlag detaillierte Vorschriften für die Behandlung vertraulicher Informationen. (EU-Kommission: ra)

eingetragen: 30.07.23
Newsletterlauf: 01.09.23

Meldungen: Europäische Kommission