Zusammenfassung der Stellungnahme des Europäischen Datenschutzbeauftragten zu dem Vorschlag für eine Verordnung über die Betriebsstabilität digitaler Systeme des Finanzsektors und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014 und (EU) Nr. 909/2014

(Der vollständige Text dieser Stellungnahme ist in englischer, französischer und deutscher Sprache auf der Internetpräsenz des EDSB unter www.edps.europa.euwww.edps.europa.eu

(2021/C 229/05)

Die Europäische Kommission nahm am 24. September 2020 einen Vorschlag für eine Verordnung über die Betriebsstabilität digitaler Systeme des Finanzsektors und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014 und (EU) Nr. 909/2014 (im Folgenden „Vorschlag“) an. Mit dem Vorschlag wird ein umfassender Rahmen für die digitale Betriebsstabilität von EU-Finanzunternehmen geschaffen, der sich auf fünf Schlüsselbereiche stützt: Management von IKT-Risiken (Kapitel II), Management, Klassifizierung und Meldung von Sicherheitsvorfällen (Kapitel III), Prüfung der digitalen Betriebsstabilität (Kapitel IV), Risikomanagement Dritter und Regulierung kritischer IKT-Diensteanbieter (Kapitel V) und Informationsaustausch (Kapitel VI).

Der EDSB begrüßt die Ziele des Vorschlags und hält es für die Stabilität der Finanzmärkte der Europäischen Union für unerlässlich, dass Finanzinstitute über einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen verfügen.

Der EDSB betont, wie wichtig es ist, sicherzustellen, dass jede Verarbeitung im Zusammenhang mit den Tätigkeiten der Finanzunternehmen auf einer der in Artikel 6 DSGVO festgelegten Rechtsgrundlagen beruht (1). Darüber hinaus betont der EDSB, wie wichtig es für Finanzunternehmen ist, in ihren Rahmen für die Betriebsstabilität digitaler Systeme einen starken Datenschutz-Governance-Mechanismus einzubetten, in dem die Rollen und Zuständigkeiten des Verantwortlichen und des Auftragsverarbeiters sowie die vorgesehenen Verarbeitungstätigkeiten klar festgelegt sind.

Mit Blick auf die internationalen Übermittlungen an Drittanbieter von IKT-Diensten, die in einem Drittland niedergelassen sind, erinnert der EDSB daran, dass jede internationale Übermittlung personenbezogener Daten den Anforderungen des Kapitels V der DSGVO in der Auslegung durch die Rechtsprechung des EuGH, einschließlich des Urteils Schrems II, entsprechen muss.

In Bezug auf die Vereinbarungen über den Austausch von Informationen und Erkenntnissen über Cyberbedrohungen zwischen Finanzunternehmen betont der EDSB, dass der Schutz personenbezogener Daten kein Hindernis für den Austausch solcher Erkenntnisse im Finanzsektor darstellt. Die Datenschutzanforderungen sollten eher als Grundanforderung verstanden werden, mit deren Einhaltung die Rechte des Einzelnen gewährleistet werden können. In diesem Zusammenhang spricht sich der EDSB dafür aus, auch im Finanzsektor Verhaltensregeln gemäß Artikel 40 DSGVO anzunehmen, insbesondere um die Rolle der Hauptakteure bei der Verarbeitung personenbezogener Daten eindeutig festzulegen und eine faire und transparente Verarbeitung zu gewährleisten.

Bezüglich der Veröffentlichung von Bußgeldern empfiehlt der EDSB, zu den Kriterien für die Prüfung durch die zuständige Behörde auch die Risiken für den Schutz der personenbezogenen Daten natürlicher Personen aufzunehmen. Darüber hinaus erinnert der EDSB daran, dass nach dem Grundsatz der Speicherbegrenzung personenbezogene Daten nicht länger gespeichert werden dürfen, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.

In Bezug auf die Meldung von Verletzungen des Schutzes personenbezogener Daten betont der EDSB, dass der Wortlaut von Erwägungsgrund 42 des Vorschlags nicht mit Artikel 33 DSGVO vereinbar ist. Daher empfiehlt der EDSB, den Verweis auf Datenschutzbehörden in Erwägungsgrund 42 des Vorschlags zu streichen und Artikel 17 des Vorschlags im Einklang mit den Empfehlungen dieser Stellungnahme geringfügig zu ändern.

1. HINTERGRUND

1. Die Europäische Kommission nahm am 24. September 2020 einen Vorschlag für eine Verordnung über die Betriebsstabilität digitaler Systeme des Finanzsektors und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014 und (EU) Nr. 909/2014 (im Folgenden „ Vorschlag “) an. Mit dem Vorschlag wird ein umfassender Rahmen für die Betriebsstabilität digitaler Systeme von EU-Finanzunternehmen geschaffen, der sich auf fünf Schlüsselbereiche stützt: IKT-Risikomanagement (Kapitel II), Bewältigung und Klassifizierung von und Berichterstattung über Vorfälle (Kapitel III), Prüfung der digitalen Betriebsstabilität (Kapitel IV), Steuerung des Risikos durch Drittanbieter und Regulierung kritischer IKT-Diensteanbieter (Kapitel V) und Informationsaustausch (Kapitel VI).

3. Am 15. März 2021 ersuchte die Europäische Kommission den Europäischen Datenschutzbeauftragten („EDSB“) um eine Stellungnahme gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 zu dem Vorschlag. Der EDSB hat sich in seinen nachstehenden Bemerkungen auf die Bestimmungen des Vorschlags beschränkt, die aus dem Blickwinkel des Datenschutzes besonders relevant sind.

4. SCHLUSSFOLGERUNGEN

Vor diesem Hintergrund

— betont der EDSB, wie wichtig es ist, sicherzustellen, dass alle Verarbeitungsvorgänge im Zusammenhang mit den Tätigkeiten der Finanzunternehmen auf einer der Rechtsgrundlagen von Artikel 6 DSGVO beruhen, und nennt Artikel 6 Absatz 1 Buchstaben c, e und f DSGVO als mögliche Rechtsgrundlage für die Prüfung durch Finanzunternehmen;

— betont der EDSB, wie wichtig es für Finanzunternehmen ist, in ihren Rahmen für die Betriebsstabilität digitaler Systeme einen starken Datenschutz-Governance-Mechanismus einzubetten, in dem die Rollen und Zuständigkeiten des Verantwortlichen und des Auftragsverarbeiters sowie die vorgesehenen Verarbeitungstätigkeiten klar festgelegt sind;

— erinnert der EDSB daran, dass jede internationale Übermittlung personenbezogener Daten durch Finanzunternehmen an einen in einem Drittland niedergelassenen Drittanbieter von IKT-Diensten die Anforderungen des Kapitels V DSGVO erfüllen und gegebenenfalls angemessenen Garantien im Einklang mit dem Datenschutzrahmen und der Rechtsprechung des EuGH, insbesondere in der Rechtssache Schrems II, unterliegen muss. Solche Finanzunternehmen können die Standardvertragsklauseln in Anspruch nehmen, da sie das relevanteste Übermittlungsinstrument zu sein scheinen;

— betont der EDSB, dass der Schutz personenbezogener Daten kein Hindernis für den Informationsaustausch im Finanzsektor darstellt. Datenschutzanforderungen sollten vielmehr als grundlegende Anforderung betrachtet werden, die einzuhalten ist, um die Wahrung der Rechte von Einzelpersonen im Rahmen der digitalen Betriebsstabilität von Finanzunternehmen zu gewährleisten;

— spricht sich der EDSB dafür aus, auch im Finanzsektor Verhaltensregeln gemäß Artikel 40 DSGVO anzunehmen, insbesondere um die Rolle der wichtigsten Interessenträger bei der Verarbeitung personenbezogener Daten eindeutig festzulegen und eine faire und transparente Verarbeitung zu gewährleisten;

— empfiehlt der EDSB bezüglich der Veröffentlichung von Verwaltungssanktionen, zu den Kriterien für die Prüfung durch die zuständige Behörde auch die Risiken für den Schutz personenbezogener Daten natürlicher Personen aufzunehmen;

— empfiehlt der EDSB im Einklang mit dem Grundsatz der Speicherbegrenzung den Finanzunternehmen, mit Maßnahmen sicherzustellen, dass Informationen über die Geldbußen nach Ablauf der fünf Jahre oder schon früher, falls sie nicht mehr erforderlich sind, von ihrer Website gelöscht werden;

— betont der EDSB, dass der Wortlaut von Erwägungsgrund 42 des Vorschlags nicht mit Artikel 33 DSGVO vereinbar ist. Der EDSB empfiehlt daher, den Verweis auf Datenschutzbehörden in Erwägungsgrund 42 des Vorschlags zu streichen und Artikel 17 des Vorschlags dahingehend zu ändern, dass ein Verweis auf die Pflicht zur Meldung von Verletzungen des Schutzes personenbezogener Daten an die zuständigen Datenschutzbehörden aufgenommen wird;

— empfiehlt der EDSB, Artikel 23 Absatz 2 des Vorschlags dahingehend zu ändern, dass Tests, Produktentwicklungen oder Forschungsarbeiten zu IKT-Systemen nicht an Live-Produktionssystemen durchgeführt werden dürfen, die personenbezogene Daten von Kunden enthalten.

Brüssel, 10. Mai 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1).

(2) Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über Märkte für Kryptowerte und zur Änderung der Richtlinie (EU) 2019/1937, COM/2020/593 final. Abrufbar unter EUR-Lex - 52020PC0593 - EN - EUR-Lex (europa.eu)

(3) Vorschlag für eine VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES über eine Pilotregelung für auf der Distributed-Ledger-Technologie basierende Marktinfrastrukturen COM/2020/594 final, abrufbar unter EUR-Lex - 52020PC0594 - EN - EUR-Lex (europa.eu)

(4) Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates zur Änderung der Richtlinien 2006/43/EG, 2009/65/EG, 2009/138/EU, 2011/61/EU, EU/2013/36, 2014/65/EU, (EU) 2015/2366 und EU/2016/2341, COM/2020/596 final. Abrufbar unter EUR-Lex - 52020PC0596 - EN - EUR-Lex (europa.eu)

(5) Stellungnahme 6/2021 zu dem Vorschlag für eine Pilotregelung für auf der Distributed-Ledger-Technologie basierende Marktinfrastrukturen, abrufbar unter 2021-0219_d0912_opinion_6_2021_en_0.pdf (europa.eu)

(6) Verordnung (EU) 2018/1727 des Europäischen Parlaments und des Rates vom 14. November 2018 betreffend die Agentur der Europäischen Union für justizielle Zusammenarbeit in Strafsachen (Eurojust) und zur Ersetzung und Aufhebung des Beschlusses 2002/187/JI des Rates (ABl. L 295 vom 21.11.2018, S. 138).