·Das Kapitel der EU-DSVO, das für Einrichtungen und sonstige Stellen der EU auf dem Gebiet der Strafverfolgung gilt, ist für diese der Richtlinie zum Datenschutz bei der Strafverfolgung funktional gleichwertig. Als unmittelbar anwendbare Verordnung ist die EU-DSVO jedoch anders formuliert. Das Kapitel enthält allgemeine Vorschriften, die erforderlichenfalls durch besondere Bestimmungen in den Rechtsakten zur Errichtung von in diesem Bereich tätigen Einrichtungen und sonstigen Stellen zu ergänzen sind. Es sieht unter Berücksichtigung der Besonderheiten dieses Sektors speziell zugeschnittene Regelungen für die Verarbeitung operativer personenbezogener Daten vor, beispielsweise die Vorschriften über die Unterrichtung betroffener Personen, die den Schutz von Ermittlungen sicherstellen.

·Da ausschließlich die EU-Institutionen als öffentliche Einrichtungen in den Anwendungsbereich der EU-DSVO fallen, wurden mehrere Bestimmungen der DSGVO weggelassen, die nur für den privaten Sektor relevant sind. Beispielsweise ist die Möglichkeit, sich bei der Verarbeitung auf die Rechtsgrundlage der „berechtigten Interessen“ des Verantwortlichen zu stützen, in der EU-DSVO nicht vorgesehen.

Um eine einheitliche Herangehensweise hinsichtlich des Schutzes personenbezogener Daten und des freien Verkehrs dieser Daten in der EU sicherzustellen, ist die EU-DSVO so weit wie möglich an die für den öffentlichen Dienst erlassenen Datenschutzbestimmungen angeglichen, die in der DSGVO und der Richtlinie zum Datenschutz bei der Strafverfolgung vorgesehen sind. Soweit die EU-DSVO auf denselben Grundsätzen beruht wie die DSGVO, sollte sie einheitlich ausgelegt werden, da sie als der DSGVO gleichwertig verstanden werden sollte. Das Gleiche gilt für die Bestimmungen, die an die Richtlinie zum Datenschutz bei der Strafverfolgung angeglichen sind.

Die wichtigsten Datenschutzinstrumente in der EU sind die Datenschutz-Grundverordnung (im Folgenden „DSGVO“), die Richtlinie zum Datenschutz bei der Strafverfolgung und die Datenschutzrichtlinie für elektronische Kommunikation. Sie gelten jedoch nicht für die Verarbeitung personenbezogener Daten durch die EU-Institutionen. Aus diesem Grund sind gesonderte, aber angeglichene Datenschutzvorschriften für die EU-Institutionen erforderlich. Diese Vorschriften sind in der EU-DSVO enthalten.

Der vorliegende Bericht verortet die EU-DSVO im Rahmen des EU-Datenschutzrechts, stellt ihre Anwendung durch die EU-Institutionen sowie die Tätigkeiten des EDSB dar und dient der Analyse der Anwendung des Kapitels über die Einrichtungen und sonstigen Stellen der EU, die Tätigkeiten ausüben, die in den Anwendungsbereich der polizeilichen Zusammenarbeit und der justiziellen Zusammenarbeit in Strafsachen fallen. Abschließend wird im vorliegenden Bericht das weitere Vorgehen dargelegt.

Die Kommission hat Informationen über die Anwendung der EU-DSVO gesammelt, indem die EU-Institutionen im Rahmen einer im Oktober 2021 durchgeführten Erhebung aufgefordert wurden, über ihre Erfahrungen in diesem Zusammenhang zu berichten. Insgesamt 56 EU-Institutionen übermittelten ihre Antworten, auf denen die entsprechenden Statistiken im vorliegenden Bericht beruhen. Der Europäische Datenschutzbeauftragte (EDSB) wurde in seiner Funktion als Aufsichtsbehörde gesondert um seinen Beitrag ersucht. Zuletzt nahm die Kommission auch eine Sondierung vor, durch die es der Öffentlichkeit ermöglicht wurde, ebenfalls Stellungnahmen abzugeben. Die Probleme, die in den wenigen Rückmeldungen im Rahmen der Sondierung angesprochen wurden, werden im vorliegenden Bericht behandelt.

Die vorliegende Mitteilung enthält den ersten Bericht über die Anwendung der EU-DSVO gemäß Artikel 97 der Verordnung. Ferner geht es gemäß Artikel 98 der EU-DSVO um die Überprüfung der auf der Grundlage der Verträge erlassenen Rechtsakte, die die Verarbeitung operativer personenbezogener Daten durch Einrichtungen und sonstige Stellen der EU bei der Ausübung von Tätigkeiten, die in den Anwendungsbereich der polizeilichen Zusammenarbeit und der justiziellen Zusammenarbeit in Strafsachen fallen, regeln.

Die Datenschutzverordnung für die Organe, Einrichtungen und sonstigen Stellen der Europäischen Union (im Folgenden „EU-DSVO“) ist der wichtigste Datenschutzrahmen für die Organe, Einrichtungen und sonstigen Stellen der EU (im Folgenden „EU-Institutionen“), wenn diese personenbezogene Daten als Verantwortliche oder Auftragsverarbeiter verarbeiten. Die Verordnung bildet eine Säule der guten Regierungsführung und der guten Verwaltungspraxis auf EU-Ebene. Sie trat am 11. Dezember 2018 in Kraft, als ihre Vorläuferverordnung, die Verordnung (EG) Nr. 45/2001, durch sie aufgehoben und ersetzt wurde.

Mehr als die Hälfte (54 %) der EU-Institutionen hat weitere Ressourcen für ihre DSB und allgemein für Datenschutzfunktionen bereitgestellt. Die meisten EU-Institutionen (84 %) haben ihre internen Verfahren angepasst, um sicherzustellen, dass ihr Personal die DSB über neue Verarbeitungsvorgänge personenbezogener Daten unterrichtet und sie dazu konsultiert. Dies erfolgt in der Regel dadurch, dass DSB beispielsweise in Änderungsmanagementprozesse oder Projektlenkungsausschüsse einbezogen werden.

In diesem Kontext spielen zwei Trends eine Rolle. Zum einen legt die EU-DSVO den Schwerpunkt stärker auf die Rechenschaftspflicht des Verantwortlichen, z. B. durch die Streichung des Verfahrens der Vorabkontrolle, das im Rahmen der vorherigen Verordnung (EG) Nr. 45/2001 bestand, wodurch der Verwaltungsaufwand verringert wird. Zum anderen bitten die Verantwortlichen die DSB/DSK häufiger um Beratung, wie die EU-DSVO am besten eingehalten werden kann. Diesbezüglich wurde darauf hingewiesen, dass das Netz der DSB der EU-Institutionen als wichtiges Forum zur Erörterung und Klarstellung bestimmter rechtlicher und technischer Aspekte fungiert, die spezifisch für die Datenverarbeitung durch die EU-Institutionen sind. Dieses Netz bietet eine Plattform für den Austausch zwischen den DSB und dem EDSB sowie zwischen den DSB untereinander. Es arbeitet kontinuierlich zusammen und trifft sich in der Regel zweimal im Jahr.

In 46 % der EU-Institutionen werden die DSB durch Netze von DSK oder ähnliche Strukturen unterstützt. Größere EU-Institutionen verfügen häufiger über solche Netze (z. B. das Europäische Parlament, das Generalsekretariat des Rates, die Kommission und der Europäische Auswärtige Dienst [EAD]). Der EAD organisiert und unterhält zudem ein Netz von Datenschutzkorrespondenten in den EU-Delegationen.

Von den EU-Institutionen erlassene interne Vorschriften, die die Beschränkung der Rechte betroffener Personen ermöglichen, werden für gewöhnlich auf Einzelfallbasis angewandt, wie dies in den jeweiligen internen Vorschriften vorgesehen ist. 69 % der EU-Institutionen, die über Vorschriften nach Artikel 25 verfügen, berichten jedoch, dass sie noch keinen Gebrauch von diesen gemacht haben. Mit Ausnahme des Europäischen Parlaments und der Kommission haben diejenigen EU-Institutionen, die die Vorschriften angewandt haben, nach eigenen Angaben in weniger als zehn Fällen Beschränkungen verhängt. Bei den Tätigkeiten des OLAF sind Beschränkungen häufiger notwendig gewesen, insbesondere, um die Unterrichtung betroffener Personen über die Verarbeitung ihrer personenbezogenen Daten zu einem noch frühen Zeitpunkt einer Ermittlung zurückzustellen, damit die Erhebung von Beweismitteln nicht beeinträchtigt wird. Das OLAF wandte auch einige Beschränkungen in Bezug auf Anträge betroffener Personen auf Auskunft über ihre eigenen personenbezogenen Daten an, wobei diese Anträge nur abgelehnt wurden, um die Rechte und Freiheiten anderer Personen zu schützen, z. B., wenn die Offenlegung der Daten Repressalien für einen Hinweisgeber hätte nach sich ziehen können.

Eine große Mehrheit (84 %) der EU-Institutionen hat interne Vorschriften erlassen. Beispielsweise wurden solche Vorschriften eingeführt, um es zu ermöglichen, die Unterrichtung einer Person zurückzustellen, bezüglich derer eine interne Verwaltungsuntersuchung eingeleitet wurde. In anderen Fällen bestand das Ziel solcher Vorschriften darin, sicherzustellen, dass in den Bereichen, in denen sich die Tätigkeiten der EU-Institutionen auf Informationen der zuständigen Behörden der Mitgliedstaaten stützen, eine wirksame Zusammenarbeit mit den Mitgliedstaaten fortgeführt wird. Beispielsweise sehen die von der Kommission erlassenen internen Vorschriften über die Verarbeitung personenbezogener Daten im Rahmen ihrer Tätigkeiten im Bereich des Wettbewerbs und der Betrugsbekämpfung und ihrer internen Audittätigkeiten die Möglichkeit vor, Beschränkungen der Rechte betroffener Personen einzuführen, wenn personenbezogene Daten von den zuständigen Behörden der Mitgliedstaaten erlangt werden. Nach diesen Vorschriften ist es möglich, ähnliche Beschränkungen zu verhängen, wenn nationale Behörden Beschränkungen auf der Grundlage einer Gesetzgebungsmaßnahme verhängt haben, die gemäß der DSGVO oder der Richtlinie zum Datenschutz bei der Strafverfolgung möglich ist.

Die auf internen Vorschriften beruhenden Beschränkungen können nur die Tätigkeit der EU-Institutionen betreffen. Sie müssen die Grundrechte achten, in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahmen darstellen und darauf abzielen, eines der Ziele sicherzustellen, die in der EU-DSVO konkret aufgeführt sind. Betroffene Personen, deren Rechte beschränkt wurden, haben ein Beschwerderecht beim EDSB.

Ähnlich wie in der DSGVO ist auch in der EU-DSVO vorgesehen, dass bestimmte Rechte betroffener Personen beschränkt werden können. Dies kann durch Gesetzgebungsakte und interne Vorschriften erfolgen. Für solche internen Vorschriften gelten strenge Kriterien. Sie müssen klar und präzise und ihre Anwendung muss für die ihnen unterliegenden Personen vorhersehbar sein. Die Vorschriften müssen im Amtsblatt veröffentlicht werden und mit der Charta der Grundrechte und mit der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten im Einklang stehen.

Die EU-DSVO stattet betroffene Personen in Bezug auf die Verarbeitung ihrer personenbezogenen Daten mit einem breiten Spektrum an Rechten aus, die mit der DSGVO im Einklang stehen. Die EU-Institutionen als Verantwortliche haben eine spezifische Verpflichtung, die Ausübung dieser Rechte zu erleichtern. Entsprechend gaben 96 % der EU-Institutionen an, dass sie Sensibilisierungsmaßnahmen durchgeführt haben, etwa durch die Aktualisierung von öffentlich zugänglichen Informationen über ihre Verarbeitungsvorgänge, Informationsmeldungen oder Leitfäden für betroffene Personen.

Alle bis auf zwei EU-Institutionen führen ihre Verzeichnisse der Verarbeitungen in einem zentralen Register. Dies ist zwar keine spezifische Anforderung im Rahmen der EU-DSVO, jedoch ein bewährtes Verfahren, das auch vom EDSB empfohlen wird. Ferner haben 72 % der EU-Institutionen alle ihre Meldungen beim behördlichen DSB gemäß der vorherigen Verordnung in ein Verzeichnis aufgenommen. Diejenigen, die dies noch nicht getan haben, sollten die Dokumentation ihrer Verarbeitungen überprüfen und aktualisieren, um sicherzustellen, dass sie vollständig und auf dem neuesten Stand ist.

Die zusätzlichen Erfordernisse der Rechenschaftspflicht für die EU-Institutionen, die zum Nachweis der Einhaltung der Bestimmungen der EU-DSVO notwendig sind, wurden grundsätzlich begrüßt, jedoch stellten einige EU-Institutionen fest, dass die Vorschriften der EU-DSVO zu einer größeren Arbeitsbelastung geführt haben. Sie wiesen außerdem darauf hin, dass in der EU-DSVO relativ komplexe Vorschriften dargelegt werden, was bedeutet, dass mehr Fachwissen in den EU-Institutionen erforderlich ist, einschließlich seitens ihrer Datenschutzbeauftragten (DSB) sowie der Netze der Datenschutzkoordinatoren (DSK) in den EU-Institutionen, die über solche Netze verfügen.

Die allgemeinen Rückmeldungen der EU-Institutionen zeigen, dass die EU-DSVO in den ersten Anwendungsjahren erfolgreich zur Stärkung der allgemeinen Datenschutzkultur in den EU-Institutionen beigetragen hat. Diesbezüglich gaben 94 % der EU-Institutionen an, dass das Inkrafttreten der EU-DSVO ihre Organisation teilweise oder in hohem Maße für die Datenschutzvorschriften sensibilisiert hat. Im Allgemeinen berichteten die EU-Institutionen, dass die EU-DSVO sich positiv auf ihre Datenschutzpolitik ausgewirkt hat und dass ihr Personal mittlerweile stärker für die Rechenschaftspflicht ihrer Organisation als Verantwortliche und die Anforderungen an die Verarbeitung personenbezogener Daten sensibilisiert ist.

3.5Datenschutz-Folgenabschätzungen

Die meisten Datenschutz-Folgenabschätzungen (DSFA) wurden von der Europäischen Zentralbank, der Europäischen Investitionsbank und der Kommission vorgenommen. Im Vergleich zum vorherigen System der „Vorabkontrolle“ nach der Verordnung (EG) Nr. 45/2001 wurden dem EDSB deutlich weniger Fälle übermittelt. Damit war infolge dieser Änderung und der selteneren Konsultationen des EDSB zu administrativen Verarbeitungsvorgängen, etwa im Rahmen der Mitarbeiterbeurteilung, zu rechnen.

Tabelle 1 im Anhang bietet einen Überblick über die DSFA, die von den EU-Institutionen zwischen 2019 und 2021 durchgeführt wurden.

Fast alle EU-Institutionen (94 %) waren sich darin einig, dass die Kriterien der EU-DSVO in Bezug darauf, wann DSFA durchgeführt werden müssen, Verarbeitungsvorgänge mit hohem Risiko angemessen abdecken. Diejenigen, die eine andere Auffassung vertraten, betonten, dass der EDSB bei der Auslegung dieser Kriterien die technologische Entwicklung berücksichtigen müsse. Beispielsweise sei das Cloud-Computing keine „neue“ Technologie mehr, was bei der Beurteilung, ob DSFA durchgeführt werden müssen, beachtet werden sollte. Die meisten EU-Institutionen, die diesen Punkt erwähnten, sind der Ansicht, dass der Rechtstext selbst ausreichend klar sei und dass es hierbei um die Auslegung des EDSB gehe.

Die EU-DSVO enthält keine spezifische Verpflichtung, die Ergebnisse von DSFA zu veröffentlichen. Eine große Mehrheit (84 %) der EU-Institutionen veröffentlicht die durchgeführten DSFA nicht, während 14 % die DSFA teilweise oder als Zusammenfassung veröffentlichen und dabei Informationen entfernen, die geltende Sicherheitsvorkehrungen beeinträchtigen könnten. Nur eine EU-Institution gab an, dass sie ihre DSFA vollständig veröffentlicht. Die Veröffentlichung von DSFA, wobei erforderlichenfalls Informationen gestrichen werden, die die Sicherheit der Verarbeitungsvorgänge gefährden würden, verbessert die Transparenz hinsichtlich der Einhaltung der Vorschriften der EU-DSVO durch die EU-Institutionen und stellt ein bewährtes Verfahren dar, das vom EDSB empfohlen wird.

3.6Internationale Datenübermittlung

Fast alle EU-Institutionen (91 %) berichteten, dass im Rahmen ihrer Tätigkeiten personenbezogene Daten international übermittelt werden. Dies umfasst die Datenübermittlung an Nicht-EU- und Nicht-EWR-Länder sowie internationale Organisationen. Mehrere EU-Institutionen wiesen jedoch darauf hin, dass diese Übermittlungen selten sind oder nur eine begrenzte Menge personenbezogener Daten betreffen. Was die Übermittlungsinstrumente angeht, so verwiesen die EU-Institutionen zumeist auf Angemessenheitsbeschlüsse (die gemäß der DSGVO oder der Richtlinie zum Datenschutz bei der Strafverfolgung verabschiedet wurden) und vertragliche Instrumente, beispielsweise für die Datenübermittlung an private Unternehmen. Bei der Datenübermittlung an öffentliche Stellen spielen auch andere Instrumente eine Rolle, etwa rechtsverbindliche Übereinkünfte und Verwaltungsvereinbarungen. Darüber hinaus erwähnten 51 % der EU-Institutionen, dass sie, beispielsweise zur Organisation von Schulungen, begrenzte, gelegentliche Übermittlungen durchführen, die auf den gesetzlichen Gründen für die Datenübermittlung (den „Ausnahmen“) beruhen.

In der Praxis erfolgt die Datenübermittlung für gewöhnlich nicht direkt durch die EU-Institutionen, sondern durch die in ihrem Namen handelnden Auftragsverarbeiter (die keine EU-Institutionen sind). Die Kommission ist daher in den im Juni 2021 gemäß der DSGVO erlassenen Standardvertragsklauseln speziell auf dieses Szenario eingegangen, um die Verantwortlichen und Auftragsverarbeitern bei der Erfüllung der Anforderungen sowohl der DSGVO als auch der EU-DSVO zu unterstützen. Insbesondere haben Auftragsverarbeiter im Europäischen Wirtschaftsraum (EWR) die Möglichkeit, diese Standardvertragsklauseln für die internationale Datenübermittlung in die Verträge mit ihren Unterauftragsverarbeitern in Drittländern aufzunehmen. Dies gewährleistet die Einhaltung der Vorschriften der EU-DSVO in Bezug auf die Inanspruchnahme der Dienste von Unterauftragsverarbeitern im Auftrag der EU-Institutionen, sofern die Datenschutzpflichten in den Verträgen zwischen i) der EU-Institution und dem Auftragsverarbeiter sowie ii) dem Auftragsverarbeiter und seinem Unterauftragsverarbeiter angeglichen sind. Die EU-Institutionen können eine solche Angleichung insbesondere sicherstellen, indem sie die Standardvertragsklauseln verwenden, die von der Kommission für die Beziehung zwischen Verantwortlichen und Auftragsverarbeitern erlassen wurden.

Um zusätzliche Instrumente zu bieten, mit denen geeignete Garantien für direkte Datenübermittlungen der EU-Institutionen an Drittländer (d. h. ohne die Beteiligung eines EU-/EWR-Auftragsverarbeiters) sichergestellt werden, entwickelt die Kommission derzeit Standardvertragsklauseln gemäß Artikel 48 Absatz 2 Buchstabe b der EU-DSVO. Diese Klauseln werden so weit wie möglich an die bestehenden Klauseln angeglichen werden, die gemäß der DSGVO erlassen wurden.

Schließlich arbeitet die Kommission angesichts der spezifischen Fragen, die sich im Zusammenhang mit der Übermittlung personenbezogener Daten an internationale Organisationen stellen (etwa aufgrund ihres Status und der geltenden Vorrechte und Befreiungen), mit den DSB der EU-Institutionen zusammen, um spezielle Instrumente (z. B. Verwaltungsvereinbarungen) zu entwickeln, die an solche Übermittlungen angepasst sind.

4EDSB-Tätigkeiten

4.1Der EDSB als Datenschutzaufsichtsbehörde für die EU-Institutionen

Der EDSB ist die unabhängige Datenschutzaufsichtsbehörde der EU-Institutionen und hinsichtlich seiner Funktion mit den nationalen Datenschutzaufsichtsbehörden vergleichbar, die gemäß der DSGVO und der Richtlinie zum Datenschutz bei der Strafverfolgung in den Mitgliedstaaten eingerichtet wurden.

Tabelle 2 im Anhang bietet einen Überblick über die Aufsichtstätigkeiten des EDSB zwischen 2018 und 2021. Da die EU-DSVO am 11. Dezember 2018 in Kraft trat, bieten die Zahlen für 2018 eine Grundlage für den Vergleich mit der Situation im Rahmen der vorherigen Verordnung (EG) Nr. 45/2001.

Der EDSB stellte bei den Themen der Konsultationsersuchen seitens der EU-Institutionen seit dem Inkrafttreten der EU-DSVO eine Verlagerung hin zu den Kerntätigkeiten der EU-Institutionen fest. Konkret war eine Verlagerung von „administrativen“ Themen wie der Personalverwaltung hin zu Fragen über die Verarbeitung personenbezogener Daten für die Erfüllung von den EU-Institutionen übertragenen Aufgaben im öffentlichen Interesse zu beobachten.

Die Zahl der unzulässigen Beschwerden, die beim EDSB eingingen, ist zwischen 2019 und 2021 gestiegen. Die meisten Beschwerden, die für unzulässig befunden wurden, richteten sich gegen Verantwortliche in den Mitgliedstaaten, die nicht durch den EDSB beaufsichtigt werden, sondern durch ihre nationalen Datenschutzbehörden. Die Zahlen für 2018 waren vermutlich aufgrund des Inkrafttretens der DSGVO höher. Dies führte zu einem stärkeren Bewusstsein für die Datenschutzvorschriften in der Bevölkerung, aber auch zu einer Zunahme der unzulässigen Beschwerden. Der EDSB kann ferner zulässige Beschwerden schließen, wenn eine einvernehmliche Lösung gefunden wurde.

In Bezug auf Kontrollen und Prüfungen wurde 2019 ein Anstieg im Vergleich zum Ausgangswert von 2018 verzeichnet, gefolgt von einem Rückgang in den Jahren 2020 und 2021. Dies kann dadurch erklärt werden, dass Vor-Ort-Kontrollen durch die COVID-19-Pandemie erschwert wurden und dass stattdessen Fernprüfungen vorgenommen wurden. Der EDSB bewertet Risiken, um zu entscheiden, welche EU-Institutionen kontrolliert werden sollen. Hierbei wird beispielsweise die Anzahl der Konsultationen berücksichtigt, vor allem, wenn besondere Kategorien von Daten im Rahmen der Kerntätigkeit einer EU-Institution verarbeitet werden. Der EDSB kann außerdem beschließen, von sich aus Untersuchungen durchzuführen, z. B. zur Nutzung von Cloud-Diensteanbietern durch eine EU-Institution.

Bei Datenschutzverletzungen war dem EDSB zufolge in den meisten Fällen menschliches Fehlverhalten die zugrunde liegende Ursache, gefolgt von technischen Fehlern und Angriffen von außen.

Der EDSB hat von den meisten seiner Befugnisse gemäß der EU-DSVO Gebrauch gemacht, einschließlich der Verhängung vorübergehender Verbote von Verarbeitungsvorgängen. Seine neue Befugnis zur Verhängung von Geldbußen hat er bisher nicht ausgeübt, wobei diese Maßnahme in der EU-DSVO als letztes Mittel vorgesehen ist.

Der EDSB wies in seinem Beitrag zum vorliegenden Bericht ferner darauf hin, dass er in Sensibilisierungsmaßnahmen investiert hat, etwa in Schulungen, wobei 2019 nach dem Inkrafttreten der EU-DSVO ein Höchstwert von geschätzt mehr als 4600 Teilnehmern verzeichnet wurde. Die Teilnehmerzahlen gingen zwar seitdem in den Jahren 2020 und 2021 zurück, jedoch sind sie noch immer deutlich höher als der Ausgangswert von geschätzten 1000 Teilnehmern im Jahr 2018.