Kategorie: EU-Datenschutzgrundverordnung
21. Juni 2023
Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) gab das Anhörungsschreiben frei, das an das US-amerikanische Unternehmen OpenAI gerichtet war. In dem Schreiben wird ein Fragenkatalog aufgeführt, bei dem lediglich die Namen der Ansprechpartner anonymisiert wurden. Im April 2023 haben die deutschen Landesdatenschutzbehörden ein Verwaltungsverfahren gegen das Unternehmen OpenAI eingeleitet. OpenAI hatte im November 2022 den KI-Chatbot ChatGPT der Öffentlichkeit vorgestellt. Die Datenschutzbehörden möchten prüfen, ob die Algorithmen der KI-Software den Anforderungen der europäischen Datenschutzregeln gemäß der Datenschutzgrundverordnung (DSGVO) entsprechen.
Die Fragen des ULD an OpenAI
Über 40 rechtsrelevante Fragen wurden im Rahmen der Anhörung gestellt. Diese Fragen beziehen sich auf ChatGPT und die zugehörigen Sprachmodelle GPT bis GPT-4. Die Behörden gehen davon aus, dass ChatGPT personenbezogene Daten automatisiert verarbeitet, um Antworten zu generieren. Um diese Annahme zu überprüfen, wurde OpenAI gebeten, rund 40 Fragen zu beantworten. Die schleswig-holsteinische Datenschutzbeauftragte Marit Hansen erklärt, dass der Fragebogen die wesentlichen Datenschutzfragen umfasst. Dabei geht es um Grundsätze der Datenverarbeitung, Rechtmäßigkeit, die Rechte der betroffenen Personen sowie die Gestaltung im Bereich Datenschutz und Sicherheit.
Die Datenschützer möchten beispielsweise wissen, wie OpenAI die Richtigkeit der verwendeten Daten sicherstellen wird, insbesondere wenn Betroffene Berichtigungen oder Löschungen fordern. Auch interessiert sie, aus welchen Quellen die verarbeiteten Daten stammen, die zur Schulung der Sprachmodelle verwendet werden. OpenAI wird gebeten, die entsprechenden Rechtsgrundlagen zu erläutern. Es ist unklar, ob das Unternehmen erhobene personenbezogene Daten vor dem KI-Training pseudonymisiert, anonymisiert oder anderweitig aufbereitet.
Zusätzlich soll OpenAI klären, ob eine Profilbildung der Nutzerinnen und Nutzer durch Tracking erfolgt. Falls dies der Fall ist, wird das Unternehmen gebeten, den Zweck der Profilbildung zu erläutern: Dient sie Werbezwecken oder dem Training von Methoden des maschinellen Lernens? Kann man Nutzungsdaten auch wieder löschen? In der Datenschutzerklärung von OpenAI wird erwähnt, dass Nutzungsdaten erhoben werden und es ist die Rede von “verschiedenen Online-Analytics-Produkten”. Hier soll genauer erläutert werden, was damit gemeint ist.
Des Weiteren wird OpenAI aufgefordert, eine Datenschutzfolgenabschätzung vorzulegen. Falls eine solche Abschätzung nicht durchgeführt wurde, soll das Unternehmen dies begründen. Es bestehen auch offene Fragen zum besonderen Schutz von Kindern und Jugendlichen, zum Datentransfer und schließlich zur möglichen Nutzung durch andere Dienste oder Unternehmen.
OpenAI möchte längere Frist
OpenAI hat seine Kooperationsbereitschaft gezeigt und zugesagt, die Fragen des ULD zu beantworten. Die sechswöchige Frist zur Beantwortung endete am 7. Juni 2023. Allerdings hat OpenAI bereits erfolgreich eine Verlängerung der Frist beantragt. Das ULD gab bekannt, dass der aktuelle Stand des Verfahrens auf der Webseite zu ChatGPT dokumentiert werden soll. Die Veröffentlichung der Antworten von OpenAI L.L.C. erfolgt möglicherweise nicht unmittelbar, da sie sensible Informationen wie Betriebsgeheimnisse enthalten könnten, erklärt Hansen. Sie betont, dass es sich um ein laufendes, nicht öffentliches Verfahren handelt.
Da OpenAI keine Niederlassung in der Europäischen Union hat, sind die europäischen Datenschutzaufsichtsbehörden in ihren jeweiligen Mitgliedstaaten für das Unternehmen zuständig. Im Gegensatz dazu haben Google und Microsoft eine zentrale Niederlassung in Irland, weshalb die irische Datenschutzaufsicht für sie zuständig ist. In Bezug auf die Durchsetzung der DSGVO zeigte sich die irische Aufsichtsbehörde in den vergangenen Jahren mehrfach sehr zögerlich.
Zusammenarbeit im Bereich der KI-Regulierung nötig
Die Datenschutzbehörde in Italien hob Ende April ein zuvor verhängtes Verbot gegen ChatGPT auf, das seit Ende März in Kraft war. OpenAI hatte der Behörde Maßnahmen vorgelegt, mit denen eine verbesserte Datenschutzpraxis gewährleistet werden sollte. Dennoch plant der italienische Datenschutzbeauftragte, seine Ermittlungen fortzusetzen.
“Angesichts der großen Bedeutung führen nun mehrere Landesdatenschutzbehörden Prüfungen des ChatGPT-Dienstes durch”, erklärt Hansen. Das ULD folgt dabei dem Landesverwaltungsgesetz Schleswig-Holstein, während in den anderen Bundesländern ähnliche Regelungen gelten. Die Datenschutzexpertin weist den Vorwurf zurück, dass keine einheitliche Stimme vorhanden sei. Im Gegenteil, über die Datenschutzkonferenz von Bund und Ländern und ihre Taskforce KI wurden die Fragen abgestimmt. “Wir handeln zwar getrennt und basierend auf unserem eigenen Verwaltungsrecht, sind uns jedoch in der Sache einig”, betont sie. Dies verringere auch den Aufwand für OpenAI.
Dennoch beschränkt sich die Anhörung nicht nur auf diese Maßnahme. “Im Bereich KI benötigen wir nicht nur den Schulterschluss mit den europäischen Datenschutzaufsichtsbehörden, sondern es wird auch notwendig sein, uns mit Aufsichtsbehörden und Experten in anderen Rechtsbereichen wie Jugendschutz, Antidiskriminierung, Informationssicherheit, Medienaufsicht, Urheberrecht oder Kartellrecht auszutauschen”, betont Marit Hansen.
23. Mai 2023
Meta, der Mutterkonzern von Facebook, hat erneut eine Rekordstrafe in Höhe von 1,2 Milliarden Euro aufgrund eines Verstoßes gegen die europäische Datenschutzgrundverordnung (DSGVO) erhalten. Die irische Datenschutzbehörde DPC verkündete diese Strafe in Dublin. Das Verfahren betrifft die Beteiligung von Facebook an der Massenüberwachung durch angloamerikanische Geheimdienste, die vor zehn Jahren von Edward Snowden, einem US-Whistleblower, aufgedeckt wurde. Max Schrems, ein Datenschutz-Aktivist aus Österreich, reichte damals eine Beschwerde gegen Facebook ein.
Verfahren kann sich in die Länge ziehen
Das von der DPC verhängte Bußgeld übertrifft die bisherige Rekordstrafe von 746 Millionen Euro, die gegen Amazon.com in Luxemburg verhängt wurde. Zudem ist Meta nun dazu verpflichtet, jede weitere Übermittlung europäischer personenbezogener Daten in die Vereinigten Staaten zu unterbinden, da das Unternehmen weiterhin den US-Überwachungsgesetzen unterliegt.
Meta hat bisher keine Stellungnahme zu der Rekordstrafe abgegeben. Experten gehen jedoch davon aus, dass der US-Konzern gegen die Entscheidung rechtliche Schritte einlegen wird. Die Gerichtsverfahren können sich jedoch über einen längeren Zeitraum erstrecken. In der Zwischenzeit könnte ein neuer Datenpakt zwischen der Europäischen Union und den USA in Kraft treten, um den transatlantischen Datenverkehr neu zu regeln. Meta hatte zuvor mehrfach damit gedroht, sich vollständig aus der EU zurückzuziehen, falls ein dauerhafter transatlantischer Datentransfer nicht möglich sein sollte.
Irische Datenschutzbehörde ging nicht gegen Meta vor
Schrems betonte, dass das verhängte Bußgeld deutlich höher hätte ausfallen können: “Die Höchststrafe liegt bei über vier Milliarden Euro. Und Meta hat über einen Zeitraum von zehn Jahren wissentlich gegen die DSGVO verstoßen, um Gewinne zu erzielen.” Schrems erklärte weiter, dass Meta nun wahrscheinlich seine Systeme grundlegend umstrukturieren müsse, wenn sich die US-Überwachungsgesetze nicht ändern.
Die irische Datenschutzbehörde DPC hatte sich jahrelang geweigert, gegen Facebook in dieser Angelegenheit vorzugehen. Schließlich wurde die DPC durch den Europäischen Datenschutzausschuss (EDSA) dazu verpflichtet, eine Strafe gegen das soziale Netzwerk zu verhängen. Der aktuelle Beschluss betrifft ausschließlich Facebook und nicht andere Dienste wie Instagram oder WhatsApp, die zum Meta-Konzern gehören. Bereits im Januar hatte die DPC Meta jedoch zu einer Strafe in Höhe von 390 Millionen Euro verurteilt, weil Facebook- und Instagram-Nutzer gezwungen wurden, personalisierter Werbung zuzustimmen.
Seit Inkrafttreten der Datenschutzgrundverordnung vor fünf Jahren wurden für Meta insgesamt Bußgelder in Höhe von vier Milliarden Euro verhängt. Meta ist nun sechsmal in der Liste der zehn höchsten Bußgelder vertreten, was zu einer Gesamtstrafe von 2,5 Milliarden Euro führt.
Übrigens: Das höchste Bußgeld in Deutschland betrug 35 Millionen Euro und wurde im Jahr 2020 von der Modekette H&M wegen einer unzureichenden Rechtsgrundlage für die Datenverarbeitung in ihrem Onlineshop gezahlt.
15. Mai 2023
Der langjährige Rechtsstreit um eine Geldstrafe gegen die Deutsche Wohnen SE, die von der Berliner Aufsichtsbehörde (BlnBDI) verhängt wurde, steht erneut im Fokus des Datenschutzrechts. Nachdem das Kammergericht Berlin (KG) vorläufig den Europäischen Gerichtshof (EuGH) angerufen hatte und die Parteien in einer mündlichen Verhandlung vor dem EuGH angehört wurden, äußerte sich Ende April auch Generalstaatsanwalt Campos Sánchez-Bordona zu dem Fall. In seinen Schlussanträgen bestätigte der Generalanwalt zwar, dass Bußgelder gemäß der Datenschutz-Grundverordnung (DSGVO) grundsätzlich direkt gegen Unternehmen verhängt werden können, lehnte jedoch die Frage ab, ob diese auch unabhängig von einem Verschulden erlassen werden können. Damit wurde der Forderung nach einer Haftung ohne Verschulden, auch bekannt als “strict liability”, eine Absage erteilt. Eine endgültige Entscheidung des EuGH zur Klärung dieser Fragen steht noch aus und wird mit Spannung in naher Zukunft erwartet.
Rechtlicher Hintergrund
Im Oktober 2019 verhängte die Berliner Aufsichtsbehörde gegen den Immobilienkonzern Deutsche Wohnen SE eine Geldstrafe in Höhe von 14,5 Millionen Euro aufgrund von Datenschutzverstößen gegen die DSGVO. Der Vorwurf der BlnBDI lautete, dass der Immobilienkonzern personenbezogene Mieterdaten unrechtmäßig lange aufbewahrt und keine angemessenen Maßnahmen zur Löschung ergriffen hatte.
Im Rahmen eines Einspruchsverfahrens erklärte das zuständige Berliner Landgericht den Bescheid zugunsten der Deutschen Wohnen SE für ungültig. Das Gericht war der Ansicht, dass nach deutschem Ordnungswidrigkeitenrecht juristische Personen nur dann direkt sanktioniert werden können, wenn den Unternehmensverantwortlichen ein konkretes Fehlverhalten nach dem gesetzlichen “Rechtsträgerprinzip” gemäß § 30 OWiG nachgewiesen werden kann. Da ein solches Fehlverhalten seitens der Aufsichtsbehörde nicht nachgewiesen werden konnte, hob das Gericht den Bescheid auf. Die zuständige BlnBDI und die Staatsanwaltschaft legten gemeinsam Beschwerde beim Kammergericht Berlin gegen die Einstellung des Verfahrens ein. Die Kammer setzte das Verfahren vorerst aus und legte dem Europäischen Gerichtshof (EuGH) zwei Fragen zur Vorabentscheidung vor.
Vorabentscheidungsverfahren beim EuGH
Im Gegensatz zum erstinstanzlichen Landgericht Berlin hat sich das Kammergericht Berlin an den Europäischen Gerichtshof gewandt und ein Vorabentscheidungsersuchen gestellt, um zwei zentrale Fragen zur Auslegung von Art. 83 Abs. 4-6 DSGVO zu klären. Das Kammergericht Berlin wollte vom EuGH im Wesentlichen wissen:
Ob Geldbußen gemäß der DSGVO direkt gegen rechtswidrig handelnde Unternehmen verhängt werden können.
Ob ein Unternehmen den Verstoß, der von einem Mitarbeiter begangen wurde, schuldhaft begangen haben muss oder ob für eine Bestrafung bereits eine objektive Pflichtverletzung ausreicht (sogenannte “strict liability”).
Unternehmen als Adressaten von Sanktionen?
Nach Ansicht des Generalanwalts können Unternehmen direkte Adressaten von Geldbußen sein. Dies sei nicht nur in mehreren Bestimmungen der DSGVO vorgesehen, sondern nach Aussage des Generalanwalts auch ein Schlüsselmechanismus zur Gewährleistung der Wirksamkeit der DSGVO. Der Generalanwalt argumentierte, dass dies aus dem Wortlaut einzelner Normen der DSGVO hervorgehe. Insbesondere Artikel 4, 58 und 83 der DSGVO lassen darauf schließen, dass Sanktionen, insbesondere Geldbußen, direkt gegen juristische Personen verhängt werden können. Die Frage, ob das deutsche Ordnungswidrigkeitengesetz, insbesondere § 30 OWiG, die Anforderungen der DSGVO in dieser Hinsicht ausreichend berücksichtigt, wurde vom Generalanwalt nicht abschließend beantwortet. Er verwies auf das Landgericht Berlin, das diese Frage noch ausreichend klären müsse.
Sanktionen und schuldhaftes Handeln
Dies ist nur der Fall, wenn der Sanktionierung vorsätzliches oder fahrlässiges Handeln eines Mitarbeitenden des Unternehmens vorausgegangen ist. Ein rechtswidriges Verhalten eines einzelnen Beschäftigten genügt bereits, um gegen das Unternehmen eine entsprechende Geldbuße zu verhängen. Der Generalanwalt ist der Ansicht, dass ein konkreter Nachweis einer Aufsichtspflichtverletzung erforderlich ist, damit das schuldhafte Handeln eines Mitarbeitenden, der nicht zur Führungsriege gehört, den Leitungsorganen zugerechnet und somit sanktioniert werden kann.
Der Generalanwalt erklärt dies wie folgt:
“Es handelt sich schließlich um natürliche Personen, die zwar nicht selbst Vertreter einer juristischen Person sind, aber unter der Aufsicht derjenigen handeln, die Vertreter der juristischen Person sind und die eine unzureichende Überwachung oder Kontrolle über die zuerst genannten Personen ausgeübt haben. Letzten Endes führt die Zurechenbarkeit zu der juristischen Person selbst, soweit der Verstoß des Mitarbeiters, der unter der Aufsicht ihrer Leitungsorgane handelt, auf einen Mangel des Kontroll- und Überwachungssystems zurückgeht, für den die Leitungsorgane unmittelbar verantwortlich sind.”
Damit beantwortet der Generalanwalt auch die Frage, ob bereits eine objektive Pflichtverletzung ausreicht, um eine Geldbuße zu verhängen. Diese Frage verneint der Generalanwalt und erklärt, dass Aufsichtsbehörden keine verschuldensunabhängigen Geldbußen gegen Unternehmen verhängen können, da einer Geldbuße stets ein zuzurechnendes Verschulden vorausgehen muss. Dies bedeutet, dass Aufsichtsbehörden zumindest im Rahmen des Bußgeldverfahrens ein Verschulden feststellen müssen.
Der Generalanwalt führt dazu aus:
“Was die in der DSGVO vorgesehenen Verpflichtungen betrifft, einschließlich derjenigen, von denen die Verarbeitung von Daten (Artikel 5 DSGVO) und deren Rechtmäßigkeit (Artikel 6 DSGVO) abhängt, erfordert die Beurteilung, ob diese Verpflichtungen erfüllt wurden, einen komplexen Bewertungs- und Beurteilungsprozess, der über die bloße Feststellung eines formalen Verstoßes hinausgeht.”
Falls die Richter dem Votum des Generalanwalts folgen, würde dies bedeuten, dass Bußgelder zukünftig nicht mehr nach dem Prinzip der “strict liability” verschuldensunabhängig verhängt werden können. Die Richter sind zwar nicht an die Empfehlungen des Generalanwalts gebunden, folgen seiner Rechtsauffassung aber in der Regel. Der Zeitpunkt für eine Entscheidung ist derzeit noch nicht bekannt.
Aussage der Berliner Aufsichtsbehörde
Zwischenzeitlich äußerte sich auch die neue Datenschutz- und Informationsfreiheitsbeauftragte Meike Kamp auf ihrem eigenen Mastodon-Account und unterstützte die Ansichten des Generalanwalts. Aus ihren Aussagen geht hervor, dass ein Urteil, das die Schlussanträge des Generalanwalts aufgreift, in Deutschland endlich einheitliche Standards für die Verhängung von Sanktionen bei rechtswidrigem Verhalten schaffen würde, wie es in der übrigen EU bereits der Fall ist. Dies würde dem Ziel einer einheitlichen Durchsetzung des europäischen Rechts gerecht werden und die Bußgeldverfahren der deutschen Aufsichtsbehörden erheblich vereinfachen.
Fazit
Bereits jetzt zeichnet sich ab, obwohl das Urteil des EuGH noch aussteht, dass dies erhebliche Auswirkungen auf die Praxis der Bußgeldverhängung durch deutsche Aufsichtsbehörden haben wird. Die Schlussanträge des Generalanwalts geben eine erste Richtung vor, wie die Richter am EuGH in naher Zukunft entscheiden könnten, und erhöhen bereits jetzt die Spannung, insbesondere in der Datenschutzberatung.
Wenn die Richter des EuGH tatsächlich den Schlussanträgen des Generalanwalts in ihrem Urteil folgen, hätte dies nicht nur erhebliche Auswirkungen auf zukünftige Bußgeldverfahren, sondern auch unmittelbar auf Unternehmen. Obwohl den deutschen Aufsichtsbehörden die Möglichkeit genommen würde, Bußgelder verschuldensunabhängig zu verhängen, dürfte dies in der Praxis nur begrenzt Erleichterung bringen, da zumindest das Vorliegen fahrlässigen Verschuldens seitens der Beschäftigten in den meisten Fällen vermutet werden kann. Der einzige tatsächliche Unterschied besteht darin, dass die Aufsichtsbehörden im Rahmen des Verfahrens zur Überprüfung des Verschuldens einen zusätzlichen Aufwand betreiben müssten.
4. Mai 2023
Der Europäische Gerichtshof (EuGH) urteilte am 04.05.2023 über eine wichtige Grundsatzfrage zum Schadensersatzanspruch (Rechtssache C-300/21). Dabei ging es insbesondere um die Frage, unter welchen Umständen es bei Verstößen gegen den Datenschutz zu Schadensersatzforderungen kommen kann.
Vorgeschichte
Im Jahr 2017 hatte die Österreichische Post begonnen, Informationen über die politischen Präferenzen der österreichischen Bevölkerung zu sammeln. Mithilfe eines Algorithmus wurden aus verschiedenen sozialen und demografischen Merkmalen “Zielgruppenadressen” definiert, die dann an verschiedene Organisationen verkauft wurden, um ihnen gezielte Werbung zu ermöglichen. Dabei wurden Kundendaten wie Name, Geschlecht und Alter mit verschiedenen Wahl-Statistiken kombiniert, um herauszufinden, welcher politischen Partei ihre Kunden nahestanden. Mehr als zwei Millionen Österreicher waren von diesem Vorfall betroffen.
Der Kläger, der nicht der Verarbeitung seiner personenbezogenen Daten zugestimmt hatte, fühlte sich beleidigt, als die Österreichische Post aufgrund ihrer Datenverarbeitung eine hohe Affinität zu einer bestimmten politischen Partei bei ihm feststellte. Er reichte Klage gegen die Österreichische Post ein, um die Verarbeitung seiner Daten zu stoppen und eine Entschädigung für den immateriellen Schaden zu erhalten, den er erlitten hatte. Das Landesgericht für Zivilrechtssachen Wien gab ihm in Bezug auf die Verarbeitung seiner Daten Recht, lehnte jedoch sein Schadenersatzbegehren ab.
Das Oberlandesgericht Wien bestätigte das erstinstanzliche Urteil und verwies auf die Vorschriften der DSGVO in Bezug auf die zivilrechtliche Haftung. Es stellte fest, dass ein Verstoß gegen die Vorschriften zum Schutz personenbezogener Daten nicht automatisch zu einem immateriellen Schaden führe und nur dann einen Schadenersatzanspruch begründete, wenn ein solcher Schaden eine “Erheblichkeitsschwelle” erreiche. In diesem Fall sah das Gericht keine Erheblichkeitsschwelle überschritten.
Vorlage an den EuGH
Der Oberste Gerichtshof Österreichs bestätigte die Entscheidung des Landesgerichts in Bezug auf die Unterlassungsverpflichtung der Österreichischen Post, gab jedoch dem Schadenersatzbegehren des Klägers vorerst nicht statt. Das Verfahren wurde ausgesetzt und der Gerichtshof bat nun den EuGH um Klärung der folgenden Fragen:
- Erfordert der Zuspruch von Schadenersatz nach Art. 82 DSGVO neben einer Verletzung von Bestimmungen der DSGVO auch, dass der Kläger einen Schaden erlitten hat oder reicht bereits die Verletzung von Bestimmungen der DSGVO als solche für die Zuerkennung von Schadenersatz aus?
- Bestehen für die Bemessung des Schadenersatzes neben den Grundsätzen der Effektivität und Äquivalenz weitere Vorgaben des Unionsrechts?
- Ist die Auffassung mit dem Unionsrecht vereinbar, dass Voraussetzung für den Zuspruch immateriellen Schadens ist, dass eine Konsequenz oder Folge der Rechtsverletzung von zumindest einigem Gewicht vorliegt, die über den durch die Rechtsverletzung hervorgerufenen Ärger hinausgeht?
Schadenersatzanspruch setzt Verstoß, Schaden und Kausalzusammenhang voraus
Der EuGH stellte klar, dass die Begriffe der DSGVO für die Anwendung der Verordnung als autonome Begriffe des Unionsrechts anzusehen seien, die in allen Mitgliedstaaten einheitlich auszulegen sind. Der Wortlaut von Art. 82 Abs. 1 DSGVO zeige, dass das Vorliegen eines Schadens eine der Voraussetzungen für den Schadenersatzanspruch sei, zusammen mit einem Verstoß gegen die DSGVO und einem Kausalzusammenhang zwischen dem Schaden und dem Verstoß. Eine Auslegung, dass jeder Verstoß gegen die DSGVO automatisch den Schadenersatzanspruch eröffnet, würde dem Wortlaut von Art. 82 Abs. 1 DSGVO widersprechen. Dies werde auch durch den Zusammenhang bestätigt, in den sich diese Bestimmung einfüge, sowie durch die Erläuterungen in den Erwägungsgründen 75, 85 und 146 der DSGVO.
Modalitäten müssen Äquivalenz- und Effektivitätsgrundsatz entsprechen
Das Urteil kommt zu dem Ergebnis, dass es mangels einschlägiger Unionsregeln nach dem Grundsatz der Verfahrensautonomie Sache der innerstaatlichen Rechtsordnung jedes Mitgliedstaats sei, die verfahrensrechtlichen Modalitäten der Rechtsbehelfe, die zum Schutz der Rechte der Bürger bestimmt sind, festzulegen. Dies setze allerdings voraus, dass diese Modalitäten bei unter das Unionsrecht fallenden Sachverhalten nicht ungünstiger sind als diejenigen, die gleichartige Sachverhalte regeln, die dem innerstaatlichen Recht unterliegen (Äquivalenzgrundsatz). Darüber hinaus dürften sie die Ausübung der durch das Unionsrecht verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren (Effektivitätsgrundsatz). Es sei somit Sache des vorlegenden Gerichts, festzustellen, ob die im österreichischen Recht vorgesehenen Modalitäten für die gerichtliche Festsetzung des Schadenersatzes, der aufgrund des in Art. 82 DSGVO verankerten Schadenersatzanspruchs geschuldet werde, die Ausübung der durch das Unionsrecht und insbesondere durch diese Verordnung verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren. Im Übrigen sei eine auf Artikel DSGVO gestützte finanzielle Entschädigung als „vollständig und wirksam“ anzusehen, wenn sie es ermögliche, den aufgrund des Verstoßes gegen diese Verordnung konkret erlittenen Schaden in vollem Umfang auszugleichen.
Keine Erheblichkeitsschwelle für immaterielle Schäden
Das Gericht bejaht die Frage, ob nationale Regelungen oder Praktiken, die den Ersatz eines immateriellen Schadens von einer bestimmten Erheblichkeit abhängig machen, mit Art. 82 Abs. 1 DSGVO unvereinbar sind. Die DSGVO definiere den Begriff “Schaden” nicht und lege keine Erheblichkeitsschwelle fest. Die Definition des Begriffs “Schaden” sollte den Zielen der DSGVO in vollem Umfang entsprechen. Eine Erheblichkeitsschwelle würde die Kohärenz der DSGVO beeinträchtigen, da sie je nach Beurteilung durch die Gerichte unterschiedlich hoch ausfallen könnte. Allerdings sei eine betroffene Person weiterhin verpflichtet, nachzuweisen, dass sie einen immateriellen Schaden erlitten habe.
Fazit
Das Urteil aus Luxemburg hat mehrere wichtige Aspekte der Datenschutz-Grundverordnung (DSGVO) beleuchtet. Zunächst betont das Gericht, dass das Recht auf Entschädigung gemäß der DSGVO drei kumulative Bedingungen unterliegt: Verstoß gegen die DSGVO, materieller oder immaterieller Schaden infolge dieses Verstoßes und ein kausaler Zusammenhang zwischen dem Schaden und dem Verstoß. Daher führt ein bloßer Verstoß gegen die DSGVO nicht automatisch zu einem Entschädigungsanspruch. Diese Interpretation entspricht der Formulierung und den Erwägungsgründen der DSGVO.
Zweitens hat das Gericht klargestellt, dass keine Anforderung besteht, dass der erlittene immaterielle Schaden einen bestimmten Schweregrad erreichen muss, um ein Recht auf Entschädigung zu begründen. Dies bedeutet, dass jeder Art von immateriellem Schaden, unabhängig von seiner Schwere, potenziell zu einer Entschädigung führen kann, wenn die anderen beiden Bedingungen erfüllt sind.
Die Entscheidung des Gerichts ist bedeutend, da sie bestätigt, dass das Recht auf Entschädigung für immaterielle Schäden infolge rechtswidriger Datenverarbeitung eine wichtige Sicherung der Datenschutzrechte von Einzelpersonen darstellt. Es erkennt auch die breite Auffassung zum “Schaden” an, die von der EU-Gesetzgebung übernommen wurde, zu der jegliche Art von Schaden gehört, den eine Person erleidet. Das Gericht betonte jedoch auch, dass die DSGVO keine spezifischen Regeln zur Bewertung von Schäden enthält und es den Rechtsordnungen der einzelnen Mitgliedstaaten überlassen bleibt, den Umfang der in diesem Zusammenhang zu leistenden Entschädigung festzulegen. Solange die Grundsätze der Gleichwertigkeit und Wirksamkeit eingehalten werden, sind die Mitgliedstaaten frei, die detaillierten Regeln für Maßnahmen zur Sicherung der Rechte festzulegen, die Einzelpersonen aus der DSGVO ableiten, und insbesondere die Kriterien zur Bestimmung des Umfangs der in diesem Zusammenhang zu zahlenden Entschädigung.
Insgesamt unterstreicht dieser Gerichtsbeschluss die Bedeutung des Schutzes der Datenschutzrechte von Einzelpersonen und der Gewährleistung wirksamer Abhilfemaßnahmen für jeglichen Schaden, der als Folge rechtswidriger Verarbeitung personenbezogener Daten erlitten wurde. Er hebt auch die Notwendigkeit hervor, dass die Mitgliedstaaten klare und wirksame Mechanismen zur Bestimmung von Entschädigungen in Fällen von immateriellen Schäden infolge von DSGVO-Verstößen schaffen.
3. Mai 2023
Der European Data Protection Board (EDPB) veröffentlichte einen neuen Leitfaden, dessen Inhalt die Umsetzung datenschutzrechtlicher Vorgaben in kleinen und mittleren Unternehmen ist. Neben allgemeinen Grundlagen zum Datenschutz, geht es u.a. auch um Themen wie der Umgang mit Betroffenenrechten und einem Datenschutzvorfall.
Videos, praktische Beispiele und Infographiken
Nach der Empfehlung 2003/361/EG ist ein kleines oder mittleres Unternehmen nach der Mitarbeiteranzahl und dem Jahresumsatz zu bestimmen. Demnach handelt es sich um kleines Unternehmen, dass eine Beschäftigtenanzahl von bis zu 49 Mitarbeitern hat und einem Jahresumsatz von bis zu 10 Millionen Euro erwirtschaftet. Für ein mittleres Unternehmen bedarf es einer Mitarbeiteranzahl von bis zu 249 Personen und einem Jahresumsatz bis zu 50 Millionen Euro.
Aus Sicht des EBPB sei es erforderlich kleine und mittlere Unternehmen über die Funktion der Datenschutz-Grundverordnung (DSGVO) zu informieren. Die EDPB vermittelt ihren Leitfaden nicht einem bloßen Informationstext, sondern verwendet ebenso Videos, praktische Beispiele und Infographiken. Der Leitfaden ist eingeteilt in unterschiedliche Themenkomplexen, die mit einfach zu verstehenden Informationen beginnen und darüber hinaus komplexere Anwendungsbereiche der DSGVO aufgreifen.
Um die praktische Umsetzung zu garantieren, sind in dem Leitfaden auch Checklisten und Fragebögen enthalten. Demnach kann jedes Unternehmen mit Hilfe mehrerer Fragen herausfinden, ob es Datenschutz-Folgeabschätzung (DSFA) durchführen muss. Außerdem kann das betreffende Unternehmen über eine Checkliste prüfen, ob es ausreichende Sicherheitsstandards zum Schutz personenbezogener Daten getroffen hat.
Fazit
Der neue Leitfaden des EDPB behandelt grundsätzlich keine neuen Themen rund um die DSGVO. Allerdings ist er optisch sehr ansprechend gestaltet und kann seinem Publikum, unabhängig von dessen Kenntnisstand komplexe Inhalte vereinfacht erklären.
Am 26. April 2023 erließ das Gericht der Europäischen Union sein Urteil in der Rechtssache T-557/20, SRB gegen EDSB. Das Gericht stellte dabei fest, dass pseudonymisierte Daten, die an einen Datenempfänger übermittelt werden, nicht als personenbezogene Daten gelten, wenn der Datenempfänger nicht über die Mittel zur Re-Identifizierung der betroffenen Personen verfügt. Das Gericht stellte auch klar, dass die Meinungen einer Person nicht als personenbezogene Daten angesehen werden können; vielmehr ist eine Einzelfallprüfung erforderlich.
Hintergrund
Der einheitliche Abwicklungsausschuss (Single Resolution Board – SRB) verwendete ein elektronisches Formular, mit dem interessierte Parteien ihre Meinung äußern konnten, und gab die eingegangenen Antworten an ein Beratungsunternehmen weiter. Bevor die Antworten weitergegeben wurden, ersetzte der SRB den Namen jedes Befragten durch einen Code. Nach einer Reihe von Beschwerden entschied der Europäische Datenschutzbeauftragte (EDSB), dass der SRB pseudonymisierte personenbezogene Daten an das Beratungsunternehmen weitergegeben hatte, ohne die betroffenen Personen über diese Weitergabe zu informieren. Der SRB vertrat die Auffassung, dass diese Information nicht notwendig war, da die übermittelten Daten anonymisiert waren und folglich nicht als personenbezogene Daten für den Datenempfänger angesehen werden konnten.
Pseudonyme oder anonyme Daten?
Das Gericht betonte, dass im Einklang mit der Entscheidung des Gerichtshofs in der Rechtssache Breyer bei der Feststellung, ob pseudonymisierte Informationen, die an einen Datenempfänger übermittelt werden, personenbezogene Daten darstellen, die Perspektive des Datenempfängers zu berücksichtigen ist. Verfügt der Datenempfänger über keine zusätzlichen Informationen, die es ihm ermöglichen, die betroffenen Personen zu reidentifizieren, und hat er keine rechtlichen Möglichkeiten, auf solche Informationen zuzugreifen, können die übermittelten Daten als anonymisiert und somit nicht als personenbezogene Daten betrachtet werden. Die Tatsache, dass der Datenübermittler über die Mittel zur Re-Identifizierung der betroffenen Personen verfügt, ist irrelevant und bedeutet nicht, dass die übermittelten Daten automatisch auch personenbezogene Daten für den Empfänger sind.
Stellungnahme des Gerichts
Das Gericht stellte ferner fest, dass persönliche Ansichten oder Meinungen zwar personenbezogene Daten darstellen können, dies aber nicht vorausgesetzt werden kann. Stattdessen ist eine Einzelfallbewertung erforderlich, “die auf der Prüfung der Frage beruht, ob eine Ansicht aufgrund ihres Inhalts, ihres Zwecks oder ihrer Wirkung mit einer bestimmten Person verbunden ist”.
19. April 2023
Ein Bürger hat eine gesetzliche Krankenkasse verklagt, da er der Meinung ist, dass ihm eine Datenauskunft nach Artikel 15 der Datenschutzgrundverordnung (DSGVO) zu spät erteilt wurde. Er verlangt eine Schadensersatzsumme von 2.000 EUR und reichte im Juni 2021 eine Klage beim Sozialgericht Frankfurt/Main ein. Das Sozialgericht wies die Klage jedoch zurück, da es sich nicht zuständig fühlte. Das Hessische Landessozialgericht bestätigte diese Entscheidung. Schließlich wurde der Fall beim Bundessozialgericht (BSG) landete, welches entschied, dass die Sozialgerichte für Schadensersatzklagen nach Artikel 82 DSGVO zuständig sein können. Das BSG begründete dies damit, dass es sich bei den gespeicherten Daten um Sozialversicherungsdaten handelte und somit um eine öffentlich-rechtliche Streitigkeit handelt. Es wurde klargestellt, dass nicht jede Schadensersatzklage gegen eine Krankenkasse als öffentlich-rechtliche Streitigkeit betrachtet wird. Im Falle eines Datenschutzverstoßes in Bezug auf eine Personalakte eines Mitarbeiters der Krankenkasse müssten beispielsweise Arbeitsgerichte entscheiden.
Regelung über Datenschutzverstößen in § 81b SGB X
Dass die Sozialgerichte zuständig sind, über die Folgen von Datenschutzverstößen zu entscheiden, ist in § 81b SGB X ausdrücklich geregelt:
„Für Klagen der betroffenen Person gegen einen Verantwortlichen oder einen Auftragsverarbeiter wegen eines Verstoßes gegen datenschutzrechtliche Bestimmungen im Anwendungsbereich der Verordnung (EU) 2016/679 oder der darin enthaltenen Rechte der betroffenen Person bei der Verarbeitung von Sozialdaten im Zusammenhang mit einer Angelegenheit nach § 51 Absatz 1 und 2 des Sozialgerichtsgesetzes ist der Rechtsweg zu den Gerichten der Sozialgerichtsbarkeit eröffnet.“
Bei dem Schadensersatzanspruch nach Art. 82 DSGVO handelt es sich – so das BSG – um ein „Recht der betroffenen Person“ gemäß § 81b SGB X. Dieses Recht stehe den Rechten gleich, die in den Art. 12 ff. DSGVO ausdrücklich als „Rechte der betroffenen Person“ bezeichnet werden.
Bis hierhin ist der Argumentationsgang überzeugend. Es bleibt jedoch die Frage offen, ob Art. 82 DSGVO in Fällen, in denen es um Ansprüche aus öffentlich-rechtlichen Rechtsverhältnissen geht, als Amtshaftungsanspruch betrachtet werden kann. Gemäß Art. 34 Satz 3 GG sind für solche Ansprüche die ordentlichen Gerichte, also die Zivilgerichte, zuständig. Ein Amtshaftungsanspruch bezieht sich darauf, dass der Staat für einen Schaden haftbar gemacht wird, der einem Bürger durch das Handeln eines Amtsträgers zugefügt wurde. Es scheint auf den ersten Blick durchaus wahrscheinlich zu sein, dass Art. 82 DSGVO einen solchen Schaden abdeckt, da die Haftung gemäß Art. 82 Abs. 3 DSGVO eine “Verantwortlichkeit” erfordert und somit ein Verschulden voraussetzt.
Begründung des BSG
Das BSG meint dennoch (anders als die Vorinstanzen), es handele sich bei Art. 82 DSGVO auch im Bereich des öffentlichen Rechts nicht um einen Amtshaftungsanspruch, sodass Art. 34 Satz 3 GG nicht anwendbar ist. Die Begründung fällt kurz aus (Rn. 24 des Beschlusses):
„Der Schadenersatzanspruch aus Art 82 Abs 1 DSGVO ist schon deshalb kein Amtshaftungsanspruch iS des Art 34 Satz 1 und 3 GG, weil er sich nicht gegen einen Amtswalter richtet und sodann auf den Staat übergeleitet wird, sondern unmittelbar gegen den Verantwortlichen (ausführlich dazu auch BFH vom 28.6.2022 – II B 92/21 – BFHE 275, 571 = BStBl II 2022, 535, RdNr 18, 21). Dies ist hier die beklagte KK. Auf ein etwaiges Fehlverhalten der Amtswalter, die im Dienst des Verantwortlichen stehen, kommt es nicht an. Diese sind prinzipiell keine Verantwortlichen im Sinne der DSGVO (Bieresborn, ZFSH/SGB 2020, 436, 438; Leopold in BeckOGK, § 67 SGB X RdNr 54, Stand: 1.8.2022; Gola in Gola/Heckmann, DS-GVO/BDSG, 3. Aufl 2022, Art 4 DS-GVO RdNr 63).“
Fazit
Insgesamt dürfte die Entscheidung des BSG somit richtig sein. In Zukunft werden sich nicht nur Zivil-, Arbeits- und Finanzgerichte (siehe auch die Entscheidung des BFH vom 28.6.2022 – Az. II BB 92/21), sondern auch Sozialgerichte mit Schadensersatzansprüchen der Bürger gemäß Art. 82 DSGVO auseinandersetzen müssen.
17. April 2023
Am 4. April 2023 hat der Europäische Datenschutzausschuss (EDSA) die überarbeiteten Richtlinien zur Meldung von Datenschutzverletzungen veröffentlicht. Die Aktualisierung betrifft Unternehmen, die zwar nicht in der EU ansässig sind, aber dennoch gemäß der Datenschutz-Grundverordnung (DSGVO) in deren Anwendungsbereich fallen. Dieser Beitrag gibt einen Überblick über die Updates des EDSA und beleuchtet die rechtlichen Aussagen.
Die ehemaligen WP29 Leitlinien
Vor dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) hatte die damalige Artikel-29-Datenschutzgruppe (WP29) am 3. Oktober 2017 allgemeine Richtlinien zur Meldung von Datenschutzverletzungen verabschiedet, in denen die relevanten Abschnitte der DSGVO analysiert wurden. WP29 empfahl darin, dass Datenschutzverletzungen der Aufsichtsbehörde im Mitgliedstaat gemeldet werden sollten, in dem der Vertreter des Verantwortlichen in der EU niedergelassen ist. Als Nachfolger der WP29 bestätigte der EDSA diese Richtlinien am 25. Mai 2018 formell.
EDSA: Aktualisierung zu Meldepflichten
Der Europäische Datenschutzausschuss (EDSA) hat seine Leitlinien zur Meldung von Datenschutzverletzungen für nicht in der EU niedergelassene Unternehmen aktualisiert. Das Feedback für diese Aktualisierung wurde im Rahmen einer öffentlichen Konsultation bis zum 29. November 2022 eingeholt. Der EDSA hat klargestellt, dass die bloße Anwesenheit eines Vertreters in der EU nicht das “One-Stop-Shop”-Prinzip auslöst, sondern nicht in der EU niedergelassene Unternehmen sich bei Datenschutzverletzungen, die Personen in mehreren Mitgliedsstaaten betreffen, an alle zuständigen Aufsichtsbehörden der jeweiligen Mitgliedsstaaten wenden müssen. Nach der öffentlichen Konsultation wurde dieser Abschnitt nun angenommen. Es sollten jedoch auch einige Klarstellungen des EDSA berücksichtigt werden, die zwar nicht direkt mit dieser Aktualisierung zusammenhängen, aber dennoch relevant sind.
Meldung an Aufsichtsbehörde
Nach Artikel 33 Absatz 1 DSGVO ist der Verantwortliche verpflichtet, im Falle einer Datenschutzverletzung unverzüglich und möglichst innerhalb von 72 Stunden nach Kenntnis der Verletzung diese der zuständigen Aufsichtsbehörde gemäß Artikel 55 DSGVO zu melden, es sei denn, dass die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt.
Meldepflicht beim Verantwortlichen
Der Verantwortliche ist für die Meldepflicht bei Datenschutzverletzungen verantwortlich. Bei gemeinsam Verantwortlichen sollten die vertraglichen Vereinbarungen gemäß Artikel 26 der DSGVO klarstellen, welcher Verantwortliche die führende Rolle bei der Meldung von Datenschutzverletzungen übernimmt. Auftragsverarbeiter müssen Datenschutzverletzungen unverzüglich dem Verantwortlichen melden, jedoch nicht direkt bei der Aufsichtsbehörde.
Risikobewertung
Bei einer Datenschutzverletzung ist eine Risikobewertung wichtig. Gemäß EDSA-Leitlinien sollten dabei verschiedene Faktoren berücksichtigt werden, wie die Art der Verletzung, die Art und Sensibilität der betroffenen Daten, Identifizierbarkeit der betroffenen Personen, Schwere der Folgen, besondere Eigenschaften von betroffenen Personen und dem Verantwortlichen, sowie die Anzahl der betroffenen Personen und allgemeine Aspekte wie Empfehlungen von ENISA. In den Leitlinien 9/2022 werden auch Beispiele für Risikobewertungen genannt, z.B. könnte eine Verletzung als Risiko betrachtet werden, wenn sensible personenbezogene Daten betroffen sind, während eine Verletzung als kein Risiko betrachtet werden könnte, wenn die Daten verschlüsselt waren und Datensicherungen existieren.
Meldung an Aufsichtsbehörde
Gemäß Artikel 33 Absatz 1 DSGVO ist der Verantwortliche verpflichtet, im Falle einer Verletzung des Schutzes personenbezogener Daten die Meldung unverzüglich und möglichst innerhalb von 72 Stunden nach Kenntnis der Verletzung an die gemäß Artikel 55 zuständige Aufsichtsbehörde zu erstatten. Es sei denn, es ist wahrscheinlich, dass die Verletzung des Schutzes personenbezogener Daten keine Risiken für die Rechte und Freiheiten natürlicher Personen mit sich bringt.
Wann wird eine Datenpanne “bekannt”?
Gemäß Leitlinie 9/2022 gilt eine Datenschutzverletzung einem Verantwortlichen als “bekannt”, wenn er ausreichend sicher ist, dass ein Sicherheitsvorfall eingetreten ist, der zu einer Beeinträchtigung des Schutzes personenbezogener Daten geführt hat. Es ist nicht erforderlich, dass die Datenschutzverletzung tatsächlich stattgefunden hat. Zum Beispiel wird einem Verantwortlichen der Verlust eines unverschlüsselten USB-Sticks, auf dem personenbezogene Daten gespeichert sind, bekannt, wenn er den Verlust bemerkt. Wenn ein Dritter dem Verantwortlichen mitteilt, dass er versehentlich personenbezogene Daten erhalten hat und Belege für die unbefugte Offenlegung vorliegen, ist der Vorfall zweifelsfrei bekannt.
Empfehlung: Interne Richtlinien
Es wird empfohlen, dass nicht in der EU ansässige Unternehmen, die unter den Anwendungsbereich der DSGVO fallen, interne Richtlinien und Prozesse zur Meldung von Datenschutzverletzungen gemäß den Vorgaben des EDSA beachten. Die Meldung von Datenschutzverletzungen an mehrere Behörden kann zeitaufwändig sein. Interne Richtlinien und Prozesse zur Handhabung von Datenschutzvorfällen sind daher ratsam, um den Melde- und Benachrichtigungspflichten rechtzeitig nachzukommen. Effektive und regelmäßig überprüfte Prozesse zur Bewältigung von Datenschutzvorfällen sind entscheidend für eine schnelle Meldung von Datenschutzverletzungen und die Einhaltung von Fristen.
12. April 2023
Vor knapp einem Monat startete die europaweite Prüfaktion der europäischen Datenschutzaufsichtsbehörden, in welcher die zahlreichen Datenschutzbeauftragten inspiziert werden sollen. Mehr als 500.000 Organisationen in ganz Europa haben laut IAPP Datenschutzbeauftragte im Rahmen der Datenschutz-Grundverordnung registriert. Koordiniert durch den Europäischen Datenschutzausschuss widmet sich die Prüfaktion der Stellung und den Aufgaben der Datenschutzbeauftragten. Diese stellen einen der Eckpfeiler des Datenschutzes in Unternehmen und Behörden dar, der sich als zentrale Neuerung mit der Datenschutz-Grundverordnung nun auch in den übrigen Mitgliedstaaten etabliert hat.
Der europäische Datenschutzbeauftragte erklärte, dass 26 Datenschutzbehörden an der koordinierten Aktion teilnehmen werden. Es soll sich primär auf die Benennung und Stellung von Datenschutzbeauftragten konzentriert werden. Grundsätzlich wird beurteilt, ob die behördlichen Datenschutzbeauftragten über die in den Artikeln 37-39 der EU-Datenschutzgrundverordnung geforderte organisatorische Stellung und die für ihre Arbeit erforderlichen Ressourcen verfügen.
Die Prüfung soll mit Hilfe von Fragebögen der teilnehmenden Behörden erfolgen. In diesen sollen unter anderem Fragen zur Benennung, zum Wissen und zur Erfahrung der Datenschutzbeauftragten, zu ihren Aufgaben und Ressourcen oder zu ihrer Rolle sowie der Position in ihrer jeweiligen Organisation enthalten sein.
Es bleibt abzuwarten zu welchen Ergebnissen die Überprüfungen führen werden. In Einzelfällen könnten gegebenenfalls auch Sanktionen zu erwarten sein. Hauptziel dieser Aktion soll jedoch stets ein Mehrwert für die Stellung von Datenschutzbeauftragten sein.
27. März 2023
Die Europäische Kommission plant im zweiten Quartal 2023 eine Gesetzesinitiative zur Änderung der Datenschutz-Grundverordnung (DSGVO) vorzulegen. Dabei handelt es sich jedoch nicht um eine umfassende Reform der DSGVO, sondern um gezielte Änderungen, um die Zusammenarbeit und Konfliktlösung zwischen den nationalen Datenschutzbehörden der EU-Mitgliedstaaten zu verbessern, insbesondere in Fällen, die grenzüberschreitend sind.
Die geplanten Änderungen sollen insbesondere die Zusammenarbeit und den Informationsaustausch zwischen den nationalen Datenschutzbehörden der EU-Mitgliedstaaten verbessern, um grenzüberschreitende Fälle von Datenschutzverstößen effektiver zu lösen. Bisher gab es einige Schwierigkeiten bei der Koordination und Zusammenarbeit zwischen den nationalen Datenschutzbehörden, insbesondere bei komplexen grenzüberschreitenden Fällen.
Grund der Reform
Die DSGVO sieht vor, dass bei grenzüberschreitenden Datenverarbeitungen die federführende Aufsichtsbehörde alleiniger Ansprechpartner des Verantwortlichen bzw. des Auftragsverarbeiters ist. Dies bedeutet, dass Unternehmen, die personenbezogene Daten in verschiedenen EU-Ländern verarbeiten, nur einen behördlichen Ansprechpartner haben. Die federführende Aufsichtsbehörde hat das Recht, verbindliche Beschlüsse über Maßnahmen nach der DSGVO zu erlassen und muss dabei mit anderen betroffenen Aufsichtsbehörden zusammenarbeiten.
Die Zusammenarbeit zwischen den Aufsichtsbehörden ist wichtig, um sicherzustellen, dass die Durchsetzung der DSGVO grenzüberschreitend und kohärent erfolgt. Die federführende Aufsichtsbehörde muss den anderen betroffenen Aufsichtsbehörden einen Beschlussentwurf zur Stellungnahme übermitteln. Wenn eine betroffene Aufsichtsbehörde Einwände gegen den Beschlussentwurf hat, kann sie Einspruch erheben. Wenn sich die federführende Aufsichtsbehörde dem Einspruch nicht anschließt, muss der Europäische Datenschutzausschuss (EDSA) einen verbindlichen Beschluss zur Sache fassen.
In Bezug auf große Technologieunternehmen wie Meta, Google, Apple, Twitter und Microsoft, haben diese Unternehmen ihren Sitz häufig in einem Land und verarbeiten personenbezogene Daten von Nutzern in vielen verschiedenen Ländern. Die irische Datenschutzbehörde (DPC) ist in vielen Fällen federführend zuständig, da viele dieser Unternehmen ihren europäischen Hauptsitz in Irland haben. Dies hat zu Kritik geführt, dass die DPC nicht schnell genug handelt und Beschwerden zu langsam bearbeitet.
Die Reform-Pläne
Die geplanten Veränderungen der DSGVO, die von der Europäischen Kommission angestrebt werden, haben hauptsächlich Auswirkungen auf die Zusammenarbeit bei grenzüberschreitenden Angelegenheiten, insbesondere auf die Artikel 60 bis 65 der DSGVO. Die Kommission reagiert damit auf Forderungen, die der Europäische Datenschutzausschuss (EDSA) im Oktober des vergangenen Jahres an sie gerichtet hatte. Basierend auf dieser Forderungsliste könnten die folgenden Änderungen möglich sein:
Fristenregelung
Die Einführung verbindlicher Fristen soll ein wichtiges Mittel zur Verfahrensbeschleunigung sein, insbesondere im Hinblick auf die grenzüberschreitende Zusammenarbeit und Art. 60 ff. der DSGVO. Obwohl einige Fristen in der DSGVO bereits vorgesehen sind, sind für viele weitere Prozesse im Rahmen der europäischen Zusammenarbeit von Aufsichtsbehörden keine Fristen festgelegt. Der EDSA schlägt daher vor, Fristen für die Weiterleitung von Beschwerden an die federführende Aufsichtsbehörde vorzusehen und eine generelle Bearbeitungsfrist für grenzüberschreitende Fälle einzuführen, die die federführende Aufsichtsbehörde einzuhalten hätte. Es wird auch vorgeschlagen, Art. 60 Abs. 3 DSGVO anzupassen, um den Begriff “unverzüglich” zu präzisieren und die Modalitäten der Zusammenarbeit zu verbessern. Die federführende Aufsichtsbehörde soll die anderen betroffenen Aufsichtsbehörden zukünftig über den Stand des Verfahrens informieren und es soll eindeutig geregelt werden, welche Dokumente standardmäßig zwischen den Aufsichtsbehörden auszutauschen sind.
Beschwerdeverfahren
Der ESDA bemängelt außerdem Verbesserungsbedarf im Hinblick auf das Beschwerdeverfahren. Eine Harmonisierung der formalen Anforderungen für Beschwerden soll stattfinden, da in einigen Mitgliedstaaten eine Beschwerde per E-Mail möglich ist, während in anderen Mitgliedstaaten eine eigenhändige Unterschrift erforderlich ist. Wenn in einem Mitgliedstaat die formalen Anforderungen an eine Beschwerde erfüllt sind, soll die federführende Aufsichtsbehörde des anderen Mitgliedstaats die Zulässigkeit der Beschwerde nicht erneut prüfen müssen. Obwohl dies bereits den internen Richtlinien des EDSA entspricht, könnte die DSGVO dies ausdrücklich gesetzlich regeln.
Ermittlungsbefugnisse
Der ESDA schlägt Verbesserungen im Zusammenhang mit der Zuständigkeit der Datenschutzbehörden vor. Die Hauptniederlassung des Verantwortlichen bestimmt, welche Datenschutzbehörde innerhalb der EU federführend ist. Die Bestimmung der Hauptniederlassung kann jedoch kompliziert sein, da geprüft werden muss, in welchem Mitgliedstaat der Verantwortliche die Entscheidungen über die Zwecke und Mittel der Datenverarbeitung trifft. Um den Prozess der Vorprüfung zu standardisieren, schlägt der ESDA vor, die Vorprüfung und die Ermittlungsbefugnisse der Aufsichtsbehörden in der DSGVO festzulegen.
Unabhängig davon müssen sich alle Datenschutzbehörden mit Beschwerden befassen, die in ihrem Hoheitsgebiet erhoben werden. Die Untersuchung des Beschwerdegegenstands soll in angemessenem Umfang erfolgen, was jedoch unterschiedlich interpretiert werden kann. Der ESDA schlägt vor, gesetzlich geregelte Beispiele zu verwenden, um den Umfang der Untersuchung zu spezifizieren, anstatt starre Vorgaben zu Untersuchungstiefe und Dauer zu machen.
Beteiligtenrechte
Falls das Beschwerdeverfahren in Deutschland durchgeführt wird, hat der Beschwerdeführer bestimmte Rechte gemäß dem Verwaltungsverfahrensgesetz des Bundes oder der Länder. Dies beinhaltet das Recht auf Akteneinsicht und rechtliches Gehör, da er als Beteiligter des Verfahrens angesehen wird. Des Weiteren sind die Behörden laut den Verwaltungsverfahrensgesetzen dazu verpflichtet, insbesondere Betriebs- und Geschäftsgeheimnisse geheimzuhalten. Zudem müssen sie ihre schriftlichen Entscheidungen begründen.
Im Gegensatz dazu hat der Beschwerdeführer in anderen Mitgliedstaaten lediglich ein Beschwerderecht und ist nicht am weiteren Verfahren beteiligt. Daher schlägt der ESDA vor, einheitliche Beteiligtenrechte zu schaffen und auf EU-Ebene zu klären, welche Geheimhaltungspflichten gelten und welche Dokumente davon betroffen sind.
Pages: 1 2 3 4 5 6 7 ... 34 35 
