Die Europäische Kommission (EK) stellte eine Initiative zur Anpassung der Datenschutz-Grundverordnung (DSGVO) vor. Nach Plänen der EK soll eine ergänzende Verordnung verabschiedet werden, in der zusätzliche Verfahrensregelungen für grenzüberschreitende Fälle festgelegt werden sollen. Ein entsprechender Verordnungsvorschlag liegt bereits vor.
Wir erläutern die geplanten Änderungen und zeigen auf, ob Unternehmen mit Erleichterungen rechnen können.
Hintergrund der Initiative
Die EK evaluiert regelmäßig die Gesetzgebungsakten der Europäischen Union. Dabei prüft die EK insbesondere, ob die Normen noch zeitgemäß sind, welche Wirkung sie in der Praxis entfalten und ob etwaige Anpassungen notwendig sind.
Im Einklang mit Art. 97 DSGVO fand die erste Evaluierung der DSGVO im Mai 2020 statt (die nächste Evaluierung ist für 2024 geplant).
Die erste Evaluierung bestätigte, dass die DSGVO nach wie vor fit für das digitale Zeitalter ist und die Rechte der Bürger gestärkt hat. Des Weiteren zeigte der Bericht auf, dass Datenschutzbehörden ihre erweiterten Abhilfebefugnisse – d.h. ihre Befugnisse, auf einen DSGVO-Verstoß durch Maßnahmen wie Verwarnung oder Anordnung zu reagieren oder ein Bußgeld zu verhängen – zwar nutzen, dass bei der Zusammenarbeit der europäischen Datenschutzbehörden jedoch noch Verbesserungspotenzial besteht.
Die EK scheute sich davor, die Büchse der Pandora zu öffnen und dieses Problem unmittelbar in der DSGVO anzugehen; ist aber wohl gewillt, dies in einer separaten Verordnung (sog. DSGVO-Durchsetzungsverordnung) zu tun.
Dass die Zusammenarbeit der europäischen Datenschutzbehörden nicht immer optimal verläuft, zeigten auch etliche Verfahren, allen voran das Verfahren gegen Meta Platforms Ireland (Facebook). Im genannten Verfahren zögerte die zuständige irische Behörde ihre Entscheidung lange hinaus und wollte schließlich sogar gänzlich auf ein Bußgeld verzichten. Es bedurfte des Gegenwinds aus anderen Mitgliedstaaten und eines verbindlichen Beschlusses des Europäischen Datenschutzausschusses, um daraus das bisher höchste Bußgeld in der Geschichte der DSGVO zu machen.
Welche Regelungen sieht der Verordnungsentwurf vor?
Der Entwurf der DSGVO-Durchsetzungsverordnung zielt darauf ab, die grenzüberschreitende Zusammenarbeit der Aufsichtsbehörden zu verbessern. An den materiellrechtlichen Bestimmungen der DSGVO – etwa in Bezug auf Betroffenenrechte oder die Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten – wird dabei nicht gerüttelt.
Mit anderen Worten: Die Auswirkungen der neuen DSGVO-Durchsetzungsverordnung, sollte sie tatsächlich verabschiedet werden, werden Unternehmen und Betroffene erst dann spüren, wenn sie an einem grenzüberschreitenden Verfahren vor einer Aufsichtsbehörde beteiligt sind bzw. ein solches Verfahren initiieren wollen. Grenzüberschreitenden Verfahren sind Verfahren, die Verarbeitungen betreffen, die einen Bezug zu mehr als einem Mitgliedstaat der EU aufweisen.
Der Vorschlag für die DSGVO-Durchsetzungsverordnung enthält eine Reihe prozessualer Regelungen für solche Verfahren, die dadurch gekennzeichnet sind, dass die federführende Aufsichtsbehörde mit den anderen betroffenen Aufsichtsbehörden zusammenarbeiten muss.
So soll mit der DSGVO-Durchsetzungsverordnung ein Beschwerdeformular eingeführt werden, in welchem die inhaltlichen Mindestanforderungen an eine Beschwerde festgelegt sind. Der Verordnungsvorschlag stellt klar, dass für die Zulässigkeit einer Beschwerde keine zusätzlichen, im Formular nicht vorgesehenen Informationen verlangt werden dürfen.
Gemäß dem Entwurf der DSGVO-Durchsetzungsverordnung soll die federführende Aufsichtsbehörde die anderen Aufsichtsbehörden regelmäßig über den aktuellen Sachstand informieren und diesen so schnell wie möglich alle zweckdienlichen Informationen zur Verfügung stellen. Die darauffolgende Zusammenarbeit zwischen den Behörden wird im Verordnungsentwurf relativ detailliert geregelt. So soll erreicht werden, dass eine Einigung zwischen den Behörden möglichst rasch erreicht wird, was grenzüberschreitende Verfahren insgesamt beschleunigen soll.
Des Weiteren sieht der Verordnungsvorschlag das Recht des Beschwerdeführers auf Anhörung, falls seine Beschwerde ganz oder teilweise abgewiesen werden soll. Die gegnerische Partei soll das Recht auf Anhörung in wichtigen Phasen des Verfahrens erhalten. Außerdem regelt die DSGVO-Durchsetzungsverordnung den Zugang der Parteien zu den Verwaltungsakten und Behandlung vertraulicher Informationen.
Schließlich sollte auch die Möglichkeit eingeführt werden, Verfahren durch eine gütliche Einigung – d.h. eine Beseitigung des Rechtsstreits durch eine Einigung der Parteien – zwischen dem Beschwerdeführer und der gegnerischen Partei beizulegen. Erhebt der Beschwerdeführer innerhalb eines Monats keine Einwände gegen die von der Aufsichtsbehörde vorgeschlagene gütliche Einigung, so erlangt diese Wirkung, während die Beschwerde als zurückgezogen gilt.
Fazit
Bezüglich des Entwurfs der DSGVO-Durchsetzungsverordnung ist zunächst positiv zu bewerten, dass die EK das Problem der oft sehr schleppenden Durchsetzung der DSGVO erkannte und dieses angehen will. Es bleibt abzuwarten, ob die Regelungen in der Praxis den gewünschten Effekt entfalten werden. An den – oft ebenso langwierigen – innerstaatlichen Verfahren wird sich dagegen nichts ändern, da der Verordnungsentwurf nur grenzüberschreitende Fälle betrifft.
Es ist zu diesem Zeitpunkt noch nicht klar, ob bzw. in welcher Form der Vorschlag tatsächlich verabschiedet wird. Da die jetzige Amtszeit des Europäischen Parlaments im Jahr 2024 endet, bleibt hierfür nicht viel Zeit. Wir werden Sie wie gewohnt auf dem Laufenden halten.
