EDSA fragt nach: Wie steht es um das Recht auf Auskunft?

Der Europäische Datenschutzausschuss und seine Aufgaben
Der EDSA ist eine unabhängige Einrichtung auf europäischer Ebene mit eigener Rechtspersönlichkeit. Er sichert in erster Linie die einheitliche Anwendung der Datenschutzvorschriften in der gesamten Europäischen Union (EU).
Im EDSA versammeln sich Vertreter der nationalen Datenschutzbehörden aller Mitgliedstaaten der EU und dem Europäischen Datenschutzbeauftragten (EDPS).

Die Aufgaben des EDSA ergeben sich aus Art. 70 der DS-GVO. Die wichtigsten Aufgaben sind:

• allgemeine Anleitungen (darunter Leitlinien, Empfehlungen und bewährte Verfahren) bereitzustellen, um für Rechtsklarheit zu sorgen
• die Europäische Kommission in allen Fragen im Zusammenhang mit dem Schutz personenbezogener Daten und neuen vorgeschlagenen Rechtsvorschriften in der Europäischen Union zu beraten
• im Rahmen des Kohärenzverfahrens Beschlüsse zu grenzüberschreitenden Datenschutzfällen zu fassen
• die Zusammenarbeit und einen wirksamen Austausch von Informationen und bewährten Verfahren zwischen nationalen Aufsichtsbehörden zu fördern.

Aktuelle (dritte) koordinierte Prüfaktion: Umsetzung des Auskunftsrechts

Auf seiner Plenarsitzung im Oktober 2023 wählte der EDSA das Thema für seine dritte koordinierte Durchsetzungsmaßnahme aus, die die Umsetzung des Auskunftsrechts durch die für die Verarbeitung Verantwortlichen betreffen wird. In den kommenden Monaten werden nun weitere Arbeiten durchgeführt, um die Einzelheiten zu spezifizieren, und die eigentliche Aktion wird im Jahr 2024 eingeleitet.

Im Rahmen einer koordinierten Aktion legt der EDSA Prioritäten für ein bestimmtes Thema fest, an dem die Datenschutzbehörden auf nationaler Ebene arbeiten sollen. Die Ergebnisse dieser nationalen Maßnahmen werden dann gebündelt und analysiert, was zu einem tieferen Einblick in das Thema führt und gezielte Folgemaßnahmen sowohl auf nationaler als auch auf EU-Ebene ermöglicht. Im vergangenen Jahr wählte der EDSA die Benennung und Stellung von Datenschutzbeauftragten (DSB) aus. Der Bericht über die Ergebnisse der koordinierten Aktion 2023 wird in den kommenden Monaten angenommen werden.

Erste koordinierte Prüfaktion: Nutzung von Cloud-basierten Diensten im öffentlichen Sektor
In seiner ersten koordinierte Prüfaktion befasste sich der EDSA mit der Nutzung von Cloud-basierten Diensten im öffentlichen Sektor.
Die Ergebnisse legte der EDSA im Nachgang der Prüfaktion und einer Analyse-Phase in Form eines Abschlussberichts vor. Es wurde zusätzlich eine Mängelliste veröffentlicht, aus der Verantwortliche viele Ableitungen treffen konnten.

Zweite koordinierte Prüfaktion: Stellung und Aufgaben von Datenschutzbeauftragten
Wieder koordiniert durch den EDSA, widmete sich die zweite Prüfaktion der Stellung und den Aufgaben der Datenschutzbeauftragten.

Seit dem Inkrafttreten der DS-GVO existiert erstmals eine europaweit verbindliche verpflichtende Regelung zur Benennung betrieblicher und behördlicher Datenschutzbeauftragter. Während die EG-Datenschutzrichtlinie (95/46/EG) die Verpflichtung zur Benennung von Datenschutzbeauftragten lediglich als Alternative vorsah, um die Meldepflicht gegenüber der Datenschutzaufsichtsbehörde entfallen zu lassen, ergibt seit der Geltung der DS-GVO erstmals eine Benennungspflicht unmittelbar aus dem Europarecht. Das deutsche Erfolgsmodell der datenschutzrechtlichen Selbstkontrolle hat sich damit auch auf europäischer Ebene durchgesetzt.

Folgende Themen standen im Fokus der Prüfaktion:

• Fragen der Qualifikation und Ressourcenausstattung
• Mögliche Beeinträchtigungen der unabhängigen und effektiven Aufgabenwahrnehmung
• Die Ausübung von Zusatzfunktionen sowie dabei mögliche Interessenkonflikte, wie etwa bei Compliance-Beauftragten, IT-Verantwortlichen bzw. Personalverantwortlichen
• Ein besonderes Augenmerk gilt außerdem der Anforderung, dass Datenschutzbeauftragte unmittelbar der höchsten Managementebene des Verantwortlichen oder Auftragsverarbeiters zu berichten haben

Wie auch bei der ersten Prüfaktion sollte die gemeinsame Prüfaktion den Rahmen für eine genaue Analyse der heutigen Handlungsbedingungen in der betrieblichen Praxis bilden und den Austausch der Datenschutzbehörden über mögliche Verbesserungen oder auch Abhilfemaßnahmen ermöglichen. Bei der Prüfung spielte die am 25. Mai 2018 von der EDSA verabschiedeten Leitlinien in Bezug auf Datenschutzbeauftragte („DSB“) eine wichtige Rolle. Über diese Leitlinien hinaus gab es auch vom EuGH mehrere Entscheidungen, die zur Konkretisierung der Stellung und Aufgaben von Datenschutzbeauftragten beigetragen haben ( Rechtssache C‑534/20 sowie  Rechtssache C‑129/21).

(Foto: thodonal – stock.adobe.com)