Am 17. Juli gab der Europäische Datenschutzausschuss (EDSA) seine Forderung bekannt, dass für den Informationsaustausch zwischen behördlichen Stellen, die unterschiedliche Zuständigkeiten aufweisen, eine klare Rechtsgrundlage gegeben sein muss.
Die EU-Kommission soll eine Möglichkeit für Regulierungsbehörden schaffen, auch vertrauliche Informationen austauschen zu können, die für den jeweiligen Aufgabenbereich der Behörde relevant sein können. Die Forderung des EDSA lässt sich damit auch den Zielsetzungen aus der Helsinki-Erklärung unterordnen: Es soll im europäischen Datenschutz mehr Klarheit, Zusammenarbeit und eine einheitliche Durchsetzung gewährleistet werden.
Regulierungsübergreifende Zusammenarbeit
Die Zusammenarbeit zwischen Behörden mit unterschiedlichen Zuständigkeiten ist für eine wirksame Aufsicht oft entscheidend. Ein praktisches Beispiel ist der Austausch zwischen Datenschutzaufsichtsbehörden, Wettbewerbsbehörden und Verbraucherschutzbehörden, wenn digitale Plattformen personenbezogene Daten für Werbung oder algorithmische Empfehlungssysteme nutzen. Solche Sachverhalte betreffen häufig nicht nur Datenschutzrecht, sondern auch Wettbewerb, Verbraucherschutz oder digitale Dienste.
Auf nationaler Ebene gibt es bereits Grundlagen für den Austausch zwischen Behörden. In Deutschland ist etwa das Amtsersuchen nach § 5 VwVfG ein Instrument der Amtshilfe. Es erlaubt Behörden, sich gegenseitig bei der Erfüllung ihrer Aufgaben zu unterstützen. Wenn es jedoch um vertrauliche oder „sensible“ Informationen geht, stößt man bei solchem Austausch schnell an gesetzliche Grenzen. Entsprechend § 5 Abs. 2 Satz 2 VwVfG können besondere Geheimhaltungspflichten einer Amtshilfe nämlich entgegenstehen.
Aus datenschutzrechtlicher Sicht braucht es deshalb eine klare Ermächtigungsgrundlage, wenn personenbezogene oder vertrauliche Daten zwischen Behörden ausgetauscht werden sollen. Eine solche Grundlage könnte festlegen, wer welche Informationen zu welchem Zweck übermitteln darf und welche Schutzvorkehrungen gelten müssen. Genau hier setzt die Forderung des EDSA an: Die EU-Kommission soll eine Rechtsgrundlage schaffen, die einen datenschutzkonformen und zugleich wirksamen Informationsaustausch zwischen Regulierungsbehörden ermöglicht. Das würde die Zusammenarbeit auf nationaler und europäischer Ebene stärken und zu einer kohärenteren Durchsetzung beitragen.
Wie könnte eine solche Rechtsgrundlage aussehen?
Wie eine solche Rechtsgrundlage konkret ausgestaltet sein wird oder welchen Vorschlag die EU-Kommission unterbreitet, lässt sich noch nicht sagen. Inhaltlich könnte sie sich jedoch an den Grundsätzen des Datenschutzes orientieren. Wichtig wäre zunächst ein klar definierter Zweck: Es müsste festgelegt werden, für welche behördlichen Aufgaben Informationen ausgetauscht werden dürfen und welche Behörden vom Anwendungsbereich erfasst sind.
Auch der Grundsatz der Datenminimierung müsste berücksichtigt werden. Behörden sollten nur solche Informationen austauschen dürfen, die für die jeweilige Aufgabe tatsächlich erforderlich sind. Der Erlaubnistatbestand müsste also klar begrenzen, welche Daten zu welchem Zweck verarbeitet werden dürfen.
Zudem müssten auf beiden Seiten geeignete Sicherheitsvorkehrungen bestehen. Die beteiligten Behörden sollten denselben Anforderungen an Vertraulichkeit, Zugriffsschutz und Zweckbindung unterliegen. So kann verhindert werden, dass unbeteiligte Dritte Zugriff erhalten oder Informationen zweckentfremdet genutzt werden.
Jeder Datenaustausch sollte außerdem dokumentiert werden. Auch Betroffenenrechte müssten beachtet werden, soweit dies mit der jeweiligen behördlichen Aufgabe vereinbar ist. Eine Rechtsgrundlage auf EU-Ebene könnte damit einen einheitlichen Rahmen schaffen, der behördliche Zusammenarbeit ermöglicht und zugleich den Schutz der Rechte betroffener Personen wahrt.
Förderung einer effizienten Durchsetzung der DSGVO
Der EDSA sieht Fortschritte bei der grenzüberschreitenden Durchsetzung des Datenschutzes. Gleichzeitig bleiben die Herausforderungen groß. Die Zahl der Beschwerden steigt, und der zunehmende Einsatz von KI wirft neue datenschutzrechtliche Fragen auf, sowohl für betroffene Personen als auch für Verantwortliche.
Um die Zusammenarbeit weiter zu stärken, diskutiert der EDSA praktische Lösungen. Dazu gehört auch die Frage, wie Ressourcen zwischen Datenschutzbehörden besser gebündelt werden können. Denkbar ist etwa, dass Behörden, bei denen Beschwerden eingehen, die höherrangige Aufsichtsbehörde bei Bedarf personell oder fachlich unterstützen.
Fazit
Eine einheitliche und effiziente Durchsetzung der DSGVO hängt nicht allein vom EDSA ab. Auch nationale Gesetze, Rechtsprechung und die praktische Zusammenarbeit der Behörden spielen eine wichtige Rolle. Eine klare Rechtsgrundlage für den Informationsaustausch könnte hier mehr Rechtssicherheit und kohärentere Verfahren schaffen.
Unternehmen können ebenfalls dazu beitragen, Datenschutzprozesse zu entlasten und Risiken zu reduzieren. Wer Betroffenenrechte sauber bearbeitet, transparent über Datenverarbeitungen informiert, Speicherfristen einhält und Löschkonzepte etabliert, reduziert auch eigene Herausforderungen, die durch das Risiko von Beschwerden und meldepflichtigen Datenschutzverletzungen entstehen können. Unsere Datenschutzberater unterstützen Sie dabei, diese Prozesse einfach und rechtssicher umzusetzen.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
