EUROPÄISCHE KOMMISSION Brüssel, den 24.6.2020 SWD(2020) 115 final ARBEITSUNTERLAGE DER KOMMISSIONSDIENSTSTELLEN […] Begleitunterlage zur MITTEILUNG DER KOMMISSION AN DAS EUROPÄISCHE PARLAMENT UND DEN RAT Datenschutz als Grundpfeiler der Teilhabe der Bürgerinnen und Bürger und des Ansatzes der EU für den digitalen Wandel – zwei Jahre Anwendung der Datenschutz-Grundverordnung {COM(2020) 264 final}



Inhalt 1 Hintergrund 2 Durchsetzung der DSGVO und Funktionsweise der Verfahren der Zusammenarbeit und Kohärenz 2.1 Nutzung der verstärkten Befugnisse der Datenschutzbehörden Für den öffentlichen Sektor relevante spezifische Aspekte Zusammenarbeit mit anderen Regulierungsbehörden 2.2 Verfahren der Zusammenarbeit und Kohärenz Ein zentrales Verfahren Gegenseitige Amtshilfe Kohärenzverfahren Anstehende Herausforderungen 2.3 Beratung und Leitlinien Verstärkte Sensibilisierung und Beratung durch die Datenschutzbehörden Leitlinien des Europäischen Datenschutzausschusses 2.4 Ressourcen der Datenschutzbehörden 3 Harmonisierte Regelungen trotz gewisser Fragmentierung und unterschiedlicher Konzepte 3.1 Umsetzung der DSGVO durch die Mitgliedstaaten Die wichtigsten Fragen im Zusammenhang mit der Umsetzung auf nationaler Ebene

Vereinbarkeit des Rechts auf Schutz personenbezogener Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit 3.2 Fakultative Spezifikationsklauseln und ihre Grenzen Fragmentierung im Zusammenhang mit der Verwendung fakultativer Spezifikationsklauseln 4 Befähigung jedes Einzelnen zur Kontrolle seiner Daten 5 Möglichkeiten und Herausforderungen für Organisationen, insbesondere für kleine und mittlere Unternehmen Instrumentarium für Unternehmen 6 Die Anwendung der DSGVO auf neue Technologien 7 Internationale Datenübermittlungen und globale Zusammenarbeit 7.1 Schutz der Privatsphäre: ein weltweites Anliegen 7.2 Das Instrumentarium der DSGVO für Datenübermittlungen Angemessenheitsbeschlüsse Geeignete Garantien Ausnahmen 50 Urteile von Gerichten und Entscheidungen von Behörden eines Drittlands: keine Grundlage für Datenübermittlungen 51 7.3 Internationale Zusammenarbeit im Bereich des Datenschutzes 54 Die bilaterale Dimension 54 Die multilaterale Dimension 56 Anhang I: Klauseln für fakultative Spezifikationen durch die nationale Gesetzgebung Anhang II: Übersicht über die Ressourcen der Datenschutzbehörden





1Hintergrund Die Datenschutz-Grundverordnung (im Folgenden „DSGVO“) ist das Ergebnis von acht Jahren Vorbereitung, Ausarbeitung und interinstitutionellen Verhandlungen; sie gilt nach einem zweijährigen Übergangszeitraum (von Mai 2016 bis Mai 2018) ab dem 25. Mai 2018. Nach Artikel 97 der DSGVO ist die Kommission verpflichtet, über die Bewertung und Überprüfung der Verordnung Bericht zu erstatten, beginnend mit einem ersten Bericht nach zwei Jahren der Anwendung und danach alle vier Jahre. Die Bewertung ist außerdem Teil eines vielschichtigen Ansatzes, den die Kommission bereits vor Beginn der Anwendung der DSGVO verfolgt hat und der seitdem weiterhin aktiv fortgeführt wird. Im Rahmen dieses Ansatzes führte die Kommission fortlaufend bilaterale Dialoge mit den Mitgliedstaaten über die Vereinbarkeit der nationalen Rechtsvorschriften mit der DSGVO, leistete einen aktiven Beitrag zur Arbeit des Europäischen Datenschutzausschusses (EDSA, im Folgenden „Ausschuss“), indem sie ihre Erfahrung und ihr Fachwissen zur Verfügung stellte, unterstützte die Datenschutzbehörden und unterhielt enge Kontakte mit einem breiten Spektrum von Interessenträgern im Hinblick auf die praktische Anwendung der Verordnung. Die Bewertung stützt sich auf die Bestandsaufnahme, die die Kommission für das erste Anwendungsjahr der DSGVO durchgeführt hatte und die in der Mitteilung vom Juli 2019 zusammengefasst ist. Sie befasst sich außerdem mit der Nachverfolgung der Feststellungen in der Mitteilung über die Anwendbarkeit der DSGVO vom Januar 2018. Des Weiteren veröffentlichte die Kommission im September 2018 einen Leitfaden zur Verwendung personenbezogener Daten im Zusammenhang mit Wahlen sowie im April 2020 Leitlinien zum Datenschutz bei Mobil-Apps zur Unterstützung der Bekämpfung der COVID-19-Pandemie. Obgleich der Schwerpunkt dieser Bewertung auf den beiden in Artikel 97 Absatz 2 der DSGVO genannten Themenbereichen liegt, nämlich auf internationalen Datenübermittlungen und den Verfahren der Zusammenarbeit und Kohärenz, wird hierbei ein umfassenderer Ansatz verfolgt, um Fragen zu behandeln, die in den letzten beiden Jahren von verschiedenen Akteuren angesprochen wurden. Bei der Vorbereitung der Bewertung berücksichtigte die Kommission ·Beiträge des Rates, ·Beiträge des Europäischen Parlaments (Ausschuss für bürgerliche Freiheiten, Justiz und Inneres), ·Beiträge des Europäischen Datenschutzausschusses und einzelner Datenschutzbehörden auf der Grundlage eines von der Kommission übermittelten Fragebogens, ·Rückmeldungen der Mitglieder der Multi-Stakeholder-Expertengruppe zur Unterstützung der Anwendung der DSGVO, ebenfalls auf der Grundlage eines von der Kommission übermittelten Fragebogens ·und Ad-hoc-Beiträge, die von Interessenträgern eingingen. 2Durchsetzung der DSGVO und Funktionsweise der Verfahren der Zusammenarbeit und Kohärenz Mit der DSGVO wurde ein innovatives Verwaltungssystem eingeführt und die Grundlage für eine echte europäische Datenschutzkultur geschaffen, die nicht nur eine harmonisierte Auslegung von Datenschutzvorschriften, sondern auch ihre harmonisierte Anwendung und Durchsetzung gewährleisten soll. Die entsprechenden Säulen sind die unabhängigen nationalen Datenschutzbehörden und der neu eingerichtet Europäische Datenschutzausschuss. Da die Datenschutzbehörden für das Funktionieren des gesamten Datenschutzsystems der Union von entscheidender Bedeutung sind, beobachtet die Kommission aufmerksam deren tatsächliche Unabhängigkeit, auch in Bezug auf angemessene finanzielle, personelle und technische Ressourcen. Angesichts des bisherigen kurzen Erfahrungszeitraums ist es noch zu früh, um die Funktionsweise der Verfahren der Zusammenarbeit und Kohärenz umfassend zu bewerten. Darüber hinaus haben die Datenschutzbehörden noch nicht alle in der DSGVO vorgesehenen Instrumente genutzt, um ihre Zusammenarbeit weiter zu verstärken. 2.1Nutzung der verstärkten Befugnisse der Datenschutzbehörden Mit der DSGVO werden unabhängige Datenschutzbehörden eingerichtet und mit harmonisierten und verstärkten Durchsetzungsbefugnissen ausgestattet. Seit der Anwendung der DSGVO haben die Datenschutzbehörden von einer Vielzahl der darin vorgesehenen Abhilfebefugnisse Gebrauch gemacht, z. B. Geldbußen (22 EU-/EWR-Behörden)‚ Warnungen und Verwarnungen (23), Anordnungen, den Anträgen betroffener Personen zu entsprechen (26), Anordnungen, Verarbeitungsvorgänge in Einklang mit der DSGVO zu bringen (27), und Anordnungen zur Berichtigung, Löschung oder Einschränkung der Verarbeitung personenbezogener Daten (17). Rund die Hälfte der Datenschutzbehörden (13) haben eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, verhängt. Dies belegt eine bewusste Anwendung aller in der DSGVO vorgesehenen Abhilfemaßnahmen; die Datenschutzbehörden sind nicht davor zurückgeschreckt, zusätzlich zu anderen Abhilfemaßnahmen oder an deren Stelle je nach Umständen des Einzelfalls Geldbußen zu verhängen. Geldbußen: Zwischen dem 25. Mai 2018 und dem 30. November 2019 verhängten 22 EU-/EWR-Datenschutzbehörden Geldbußen in rund 785 Fällen. Nur wenige Behörden haben bisher noch keine Geldbußen verhängt, obwohl derzeit laufende Verfahren zu solchen Geldbußen führen könnten. Die meisten Geldbußen wurden wegen Verstößen gegen den Grundsatz der Rechtmäßigkeit, gegen die Einholung einer gültigen Einwilligung, gegen den Schutz sensibler Daten, gegen die Pflicht zur Transparenz und gegen die Rechte der betroffenen Personen sowie aufgrund der Verletzung des Schutzes personenbezogener Daten verhängt.

Beispiele von Geldbußen, die von den Datenschutzbehörden verhängt wurden, umfassen: - 200 000 EUR wegen des Verstoßes gegen das Recht, Widerspruch gegen Direktwerbung einzulegen, in Griechenland; - 220 000 EUR gegen ein Datenvermittlungsunternehmen in Polen wegen unterlassener Unterrichtung der betroffenen Personen über die Verarbeitung ihrer Daten; - 250 000 EUR gegen die spanische Fußballliga LaLiga wegen fehlender Transparenz bei der Gestaltung ihrer Smartphone-App; - 14,5 Mio. EUR wegen Verletzung der Datenschutzgrundsätze, insbesondere der rechtswidrigen Speicherung, durch ein deutsches Immobilienunternehmen; - 18 Mio. EUR wegen der rechtswidrigen Verarbeitung besonderer Kategorien von Daten in großem Umfang durch österreichische Postdienste; - 50 Mio. EUR gegen Google in Frankreich im Zusammenhang mit den Bedingungen für die Einholung der Einwilligung von Nutzern. Der Erfolg der DSGVO sollte nicht an der Zahl der verhängten Geldbußen gemessen werden, da die Verordnung eine breitere Palette von Abhilfebefugnissen vorsieht. Je nach Umständen kann beispielsweise die abschreckende Wirkung eines Verbots der Verarbeitung von Daten oder der Aussetzung der Übermittlung von Daten viel stärker sein. Für den öffentlichen Sektor relevante spezifische Aspekte Laut der DSGVO können die Mitgliedstaaten festlegen, ob und in welchem Umfang gegen Behörden und öffentliche Stellen Geldbußen verhängt werden können. Sofern Mitgliedstaaten von dieser Möglichkeit Gebrauch machen, hindert das die Datenschutzbehörden nicht daran, alle anderen Abhilfebefugnisse gegenüber Behörden und öffentlichen Stellen auszuüben. Ein weiterer spezifischer Aspekt ist die Aufsicht über die Gerichte. Die DSGVO gilt zwar auch für die Tätigkeiten der Gerichte, jedoch sind diese von der Aufsicht durch die Datenschutzbehörden ausgenommen, wenn sie im Rahmen ihrer justiziellen Tätigkeit handeln. Gemäß der Charta der Grundrechte der Europäischen Union und dem Vertrag über die Arbeitsweise der Europäischen Union (AEUV) sind die Mitgliedstaaten verpflichtet, eine unabhängige Stelle innerhalb ihres Justizsystems mit der Aufsicht über solche Verarbeitungsvorgänge zu betrauen. Zusammenarbeit mit anderen Regulierungsbehörden Wie in ihrer Mitteilung vom Juli 2019 angekündigt, unterstützt die Kommission das Zusammenspiel mit anderen Regulierungsbehörden unter voller Achtung ihrer jeweiligen Zuständigkeiten. Vielversprechende Bereiche für die Zusammenarbeit sind unter anderem der Verbraucherschutz und der Wettbewerb. Der Ausschuss bekundete seine Bereitschaft, mit anderen Regulierungsbehörden zusammenzuarbeiten, insbesondere in Bezug auf die Marktkonzentration auf den digitalen Märkten. Die Kommission erkannte die Bedeutung des Schutzes der Privatsphäre und des Datenschutzes als qualitativer Parameter für den Wettbewerb an. Die Ausschussmitglieder nahmen an gemeinsamen Workshops mit dem Netzwerk für die Zusammenarbeit im Verbraucherschutz zum Thema Zusammenarbeit für eine bessere Durchsetzung von Rechtsvorschriften im Bereich Verbraucher- und Datenschutz in der EU teil. Dieser Ansatz wird verfolgt, um ein gemeinsames Verständnis zu fördern und praktische Wege zur Lösung konkreter Probleme zu entwickeln, mit denen Verbraucher insbesondere in der digitalen Wirtschaft konfrontiert sind. Zur Gewährleistung eines kohärenten Ansatzes für den Schutz der Privatsphäre und den Datenschutz ist bis zur Annahme der e-Datenschutz-Verordnung eine enge Zusammenarbeit mit den Behörden unerlässlich, die für die Durchsetzung der e-Datenschutz-Richtlinie – die Lex specialis im Bereich der elektronischen Kommunikation – zuständig sind. Eine engere Zusammenarbeit mit den nach der NIS-Richtlinie zuständigen Behörden und der NIS-Kooperationsgruppe wäre sowohl für die betreffenden Behörden als auch für die Datenschutzbehörden von gegenseitigem Vorteil. 2.2Verfahren der Zusammenarbeit und Kohärenz Mit der DSGVO wurden das Verfahren der Zusammenarbeit (ein zentrales System für Wirtschaftsteilnehmer, gemeinsame Maßnahmen und Amtshilfe zwischen den Datenschutzbehörden) und das Kohärenzverfahren geschaffen. Ziel war die Förderung der einheitlichen Anwendung der Datenschutzvorschriften, indem eine kohärente Auslegung und die Beilegung etwaiger Meinungsverschiedenheiten zwischen den Behörden durch den Ausschuss gewährleistet werden. Der Ausschuss, dem alle Datenschutzbehörden angehören, wurde als Einrichtung der Union mit eigener Rechtspersönlichkeit geschaffen, ist voll funktionsfähig und wird durch ein Sekretariat unterstützt. Er ist für das Funktionieren der beiden oben genannten Verfahren von entscheidender Bedeutung. Bis Ende 2019 hatte der Ausschuss 67 Dokumente angenommen, darunter 10 neue Leitlinien und 43 Stellungnahmen. Die wichtige Rolle des Ausschusses wurde deutlich, als die Notwendigkeit bestand, schnell für eine einheitliche Auslegung der DSGVO zu sorgen und nach sofort anwendbaren Lösungen auf EU-Ebene zu suchen. Beispielsweise nahm der Ausschuss im Zusammenhang mit dem Ausbruch der COVID-19-Pandemie im März 2020 eine Stellungnahme in Bezug auf die Verarbeitung personenbezogener Daten an, die sich unter anderem mit der Rechtmäßigkeit der Verarbeitung und der diesbezüglichen Nutzung mobiler Standortdaten befasste. Im April 2020 nahm der Ausschuss zwei weitere Leitlinien an, zum einen Leitlinien für die Verarbeitung von Gesundheitsdaten für wissenschaftliche Forschungszwecke im Zusammenhang mit dem COVID-19-Ausbruch sowie Leitlinien für die Verwendung von Standortdaten und Tools zur Kontaktnachverfolgung im Zusammenhang mit dem Ausbruch von COVID-19. Darüber hinaus leistete der Ausschuss einen wichtigen Beitrag zur Gestaltung des von der Kommission und den Mitgliedstaaten erarbeiteten EU-Ansatzes für Tracing-Apps. Die tägliche Zusammenarbeit zwischen den Datenschutzbehörden erfolgt auf der Grundlage des Informationsaustauschs und der Meldungen über von den Behörden eingeleitete Fälle, unabhängig davon, ob die Behörden in eigener Funktion oder als Mitglieder des Ausschusses handeln. Um die Kommunikation zwischen den Behörden zu erleichtern, hat die Kommission erhebliche Unterstützung durch die Bereitstellung eines Systems für den Informationsaustausch geleistet. Die meisten Behörden sind der Auffassung, dass dieses System den Erfordernissen der Verfahren der Zusammenarbeit und Kohärenz entspricht, auch wenn eine weitere Feinabstimmung vorgenommen werden könnte, um es z. B. benutzerfreundlicher zu gestalten.

Obwohl der Prozess noch am Anfang steht, lassen sich bereits einige Erfolge und Herausforderungen ermitteln, die nachstehend dargelegt werden. Sie zeigen, dass die Datenschutzbehörden die Instrumente der Zusammenarbeit bisher wirksam genutzt haben, jedoch flexiblere Lösungen bevorzugen würden. Ein zentrales Verfahren Generell kann die Datenschutzbehörde eines Mitgliedstaats in grenzüberschreitenden Fällen entweder als i) federführende Behörde beteiligt sein, wenn sich die Hauptniederlassung des Wirtschaftsteilnehmers in diesem Mitgliedstaat befindet, oder ii) als betroffene Behörde, wenn der Wirtschaftsteilnehmer eine Niederlassung im Hoheitsgebiet dieses Mitgliedstaats hat, wenn die Verarbeitung erhebliche Auswirkungen auf Personen in diesem Mitgliedstaat hat oder wenn bei diesen Behörden eine Beschwerde eingereicht wurde. Diese enge Zusammenarbeit ist inzwischen tägliche Praxis der Behörden: Seit Geltungsbeginn der DSGVO wurden Datenschutzbehörden in allen Mitgliedstaaten in grenzüberschreitenden Fällen zu irgendeinem Zeitpunkt entweder als federführende Behörde oder als betroffene Behörde festgelegt, wenn auch in unterschiedlichem Umfang. Von Mai 2018 bis Ende 2019 fungierte die Datenschutzbehörde in Irland bei den meisten grenzüberschreitenden Fällen als federführende Behörde (127), gefolgt von Deutschland (92), Luxemburg (87), Frankreich (64) und den Niederlanden (45). Diese Rangfolge spiegelt vor allem die besondere Situation in Irland und Luxemburg wider, in denen mehrere große multinationale Technologieunternehmen ansässig sind. Was die Beteiligung einer Datenschutzbehörde als betroffene Behörde anbelangt, ist die Rangfolge eine andere, wobei die Behörden in Deutschland an den meisten Fällen beteiligt sind (435), gefolgt von Spanien (337), Dänemark (327), Frankreich (332) und Italien (306). Zwischen dem 25. Mai 2018 und dem 31. Dezember 2019 wurden 141 Beschlussentwürfe im Wege des Verfahrens der Zusammenarbeit und Kohärenz vorgelegt, von denen 79 in endgültigen Beschlüssen mündeten. Zum Zeitpunkt der Veröffentlichung dieses Berichts standen mehrere wichtige Beschlüsse mit grenzüberschreitender Dimension, die dem Verfahren der Zusammenarbeit und Kohärenz unterliegen, noch aus. Einige dieser Beschlüsse betreffen große multinationale Technologieunternehmen. Es wird erwartet, dass diese Beschlüsse Klarheit bringen und zu einer stärkeren Harmonisierung bei der Auslegung der DSGVO beitragen werden. Gegenseitige Amtshilfe Das Amtshilfeinstrument wurde von den Datenschutzbehörden umfassend genutzt. Bis Ende 2019 gab es 115 Amtshilfeverfahren, insbesondere zur Durchführung von Untersuchungen, wobei in der Mehrheit der Fälle Amtshilfe ausgehend von den Datenschutzbehörden Spaniens (26), Deutschlands (20), Dänemarks (13), Polens (12) und der Tschechischen Republik (10) ersucht wurde. Andererseits gingen in Irland (19), Frankreich (11), Österreich (10), Deutschland (10) und Luxemburg (9) die meisten Amtshilfeersuchen ein. Die große Mehrheit der Behörden erachtet die Amtshilfe als ein sehr nützliches Instrument der Zusammenarbeit und hat keine besonderen Hindernisse bei der Anwendung des Amtshilfeverfahrens erfahren. Der freiwillige Austausch im Rahmen der Amtshilfe, für den weder eine gesetzliche Frist noch eine strikte Antwortpflicht besteht, wurde häufiger genutzt, in 2427 Verfahren. Die Datenschutzbehörde Irlands übermittelte und erhielt die meisten Amtshilfeersuchen (527 übermittelte und 359 eingegangene), gefolgt von den deutschen Behörden (260 übermittelte und 356 eingegangene). Andererseits wurden bisher noch keine gemeinsamen Maßnahmen durchgeführt, die Datenschutzbehörden mehrerer Mitgliedstaaten bei grenzüberschreitenden Fällen bereits in der Untersuchungsphase eine Beteiligung ermöglichen würden. Der Ausschuss stellt weiterhin Überlegungen hinsichtlich der praktischen Umsetzung dieses Instruments sowie der Förderung seiner Anwendung an. Kohärenzverfahren Bisher wurde nur der erste Teil des Kohärenzverfahrens genutzt, und zwar die Annahme von Stellungnahmen des Ausschusses. Dagegen wurden bisher weder eine Streitbeilegung durch den Ausschuss noch Dringlichkeitsverfahren eingeleitet. Zwischen dem 25. Mai 2018 und dem 31. Dezember 2019 gab der Ausschuss im Zusammenhang mit dem Erlass von Maßnahmen durch eines seiner Mitglieder 36 Stellungnahmen ab. Die meisten von ihnen (31) betrafen die Annahme nationaler Listen von Verarbeitungsvorgängen, die eine Datenschutz-Folgenabschätzung erfordern. Zwei Stellungnahmen betrafen verbindliche interne Datenschutzvorschriften, zwei weitere bezogen sich auf Entwürfe von Akkreditierungsanforderungen für eine Stelle zur Überwachung von Verhaltensregeln und eine betraf Standardvertragsklauseln. Des Weiteren nahm der Ausschuss auf Antrag sechs Stellungnahmen an. Drei dieser Stellungnahmen betrafen nationale Listen, in denen Verarbeitungsvorgänge aufgeführt sind, die keine Datenschutz-Folgenabschätzung erfordern. Die anderen befassten sich mit einer Verwaltungsvereinbarung für die Übermittlung personenbezogener Daten zwischen Finanzaufsichtsbehörden innerhalb des Europäischen Wirtschaftsraums (EWR) und Finanzaufsichtsbehörden außerhalb des EWR, dem Zusammenspiel zwischen der e-Datenschutz-Richtlinie und der DSGVO bzw. der Zuständigkeit einer Aufsichtsbehörde im Falle einer Veränderung von Umständen, die die Hauptniederlassung oder die einzige Niederlassung betrifft. Anstehende Herausforderungen Obwohl die Datenschutzbehörden im Ausschuss äußerst aktiv zusammengearbeitet haben und die Amtshilfe als Instrument der Zusammenarbeit bereits intensiv nutzen, ist der Aufbau einer echten gemeinsamen Datenschutzkultur weiterhin ein fortlaufender Prozess. Vor allem die Bearbeitung grenzüberschreitender Fälle erfordert einen effizienteren und stärker harmonisierten Ansatz sowie die wirksame Nutzung aller in der DSGVO vorgesehenen Instrumente der Zusammenarbeit. In diesem Punkt besteht ein sehr breiter Konsens, da dieses Problem vom Europäischen Parlament, vom Rat, vom Europäischen Datenschutzbeauftragten, von Interessenträgern (innerhalb und außerhalb der Multi-Stakeholder-Gruppe) und von den Datenschutzbehörden auf unterschiedliche Weise angesprochen wurde. Zu den wichtigsten Fragen, die diesbezüglich angegangen werden müssen, gehören Unterschiede in folgenden Bereichen:

·nationale Verwaltungsverfahren, insbesondere in Bezug auf Beschwerdeverfahren, Zulässigkeitskriterien für Beschwerden, Verfahrensdauer aufgrund unterschiedlicher oder fehlender Fristen, Zeitpunkt im Verfahren, zu dem der Anspruch auf rechtliches Gehör gewährt wird, Unterrichtung und Einbeziehung von Beschwerdeführern während des Verfahrens, ·Auslegungen von Begriffen im Zusammenhang mit dem Verfahren der Zusammenarbeit, wie zweckdienliche Informationen, der Begriff „unverzüglich“, „Beschwerde“, das als „Beschlussentwurf“ der federführenden Datenschutzbehörde definierte Dokument, gütliche Einigung (insbesondere das Verfahren, das zu einer gütlichen Einigung führt, und die Rechtsform des Vergleichs) und ·die Vorgehensweise dahingehend, wann das Verfahren der Zusammenarbeit einzuleiten, die betroffenen Datenschutzbehörden einzubeziehen und Informationen an diese Behörden zu übermitteln sind. Mehrere Mitglieder der Multi-Stakeholder-Gruppe betonten, dass es den Beschwerdeführern auch an Klarheit dahingehend mangele, wie ihre Fälle in grenzüberschreitenden Situationen behandelt werden. Darüber hinaus weisen Unternehmen darauf hin, dass die nationalen Datenschutzbehörden in bestimmten Situationen keine Fälle an die federführende Datenschutzbehörde verwiesen, sondern sie als lokale Fälle behandelt haben. Die Kommission begrüßt die Ankündigung des Ausschusses, Überlegungen dahingehend anzustellen, wie diese Bedenken ausgeräumt werden können. Insbesondere gab der Ausschuss an, dass er die Verfahrensschritte bei der Zusammenarbeit zwischen der federführenden Datenschutzbehörde und den betroffenen Datenschutzbehörden klären, die nationalen Verwaltungsverfahrensgesetze analysieren, auf eine gemeinsame Auslegung der Schlüsselbegriffe hinarbeiten und die Kommunikation und Zusammenarbeit (einschließlich gemeinsamer Maßnahmen) verstärken werde. Die Überlegungen und Analysen des Ausschusses sollten zur Entwicklung effizienterer Arbeitsvereinbarungen in grenzüberschreitenden Fällen führen‚ unter anderem durch die Nutzung des Fachwissens seiner Mitglieder und durch eine stärkere Einbeziehung des Sekretariats. Darüber hinaus sei darauf hingewiesen, dass die Verantwortung des Ausschusses, eine einheitliche Auslegung der DSGVO sicherzustellen, nicht lediglich dadurch erfüllt werden kann, dass der niedrigste gemeinsame Nenner gefunden wird. Schließlich muss der Ausschuss als Einrichtung der Union auch das Unionsverwaltungsrecht anwenden und für Transparenz im Entscheidungsprozess sorgen. 2.3Beratung und Leitlinien Verstärkte Sensibilisierung und Beratung durch die Datenschutzbehörden Mehrere Datenschutzbehörden haben neue Instrumente geschaffen, z. B. Leitfäden für Einzelpersonen und Unternehmen und Instrumentarien für Unternehmen. Viele Wirtschaftsteilnehmer begrüßen die pragmatische Vorgehensweise, die diese Behörden bei der Unterstützung zur Anwendung der DSGVO gezeigt haben. Insbesondere haben mehrere von ihnen aktiv und eng mit den Datenschutzbeauftragten zusammengearbeitet und mit ihnen kommuniziert, wobei diese Zusammenarbeit zum Teil auch über die Verbände von Datenschutzbeauftragten lief. Um die Datenschutzbeauftragten bei ihrer täglichen Arbeit zu unterstützen, haben viele Behörden auch Leitlinien herausgegeben, in denen die Funktion und die Pflichten der Datenschutzbeauftragten behandelt werden, und speziell für sie konzipierte Seminare veranstaltet. Dies ist jedoch nicht bei allen Datenschutzbehörden der Fall. Die Rückmeldungen von Interessenträgern deuten auch auf eine Reihe von Problemen in Bezug auf Orientierungshilfe und Beratung hin: ·das Fehlen eines kohärenten Ansatzes und einheitlicher Leitlinien zwischen den nationalen Datenschutzbehörden zu bestimmten Fragen (z. B. zu Cookies‚ zur Anwendung berechtigter Interessen, zur Meldung von Datenschutzverletzungen oder zu Datenschutz-Folgenabschätzungen) oder selbst zwischen den Datenschutzbehörden in demselben Mitgliedstaat (z. B. in Deutschland in Bezug auf die Begriffe „Verantwortlicher“ und „Auftragsverarbeiter“); ·eine mangelnde Übereinstimmung der auf nationale Ebene angenommenen Leitlinien mit den vom Ausschuss angenommenen Leitlinien; ·das Fehlen öffentlicher Konsultationen zu bestimmten auf nationaler Ebene angenommenen Leitlinien; ·unterschiedliche Ebenen der Einbeziehung von Interessenträgern bei den Datenschutzbehörden; ·Verzögerungen bei der Antwort auf Auskunftsersuchen; ·Schwierigkeiten bei der Einholung praktischer und wertvoller Ratschläge von Datenschutzbehörden; ·die Notwendigkeit, das branchenspezifische Fachwissen in einigen Datenschutzbehörden zu verbessern (z. B. in den Bereichen Gesundheit und Pharmazie). Einige dieser Probleme hängen auch damit zusammen, dass in mehreren Datenschutzbehörden keine ausreichenden Ressourcen vorhanden sind (siehe unten). Unterschiedliche Praktiken bei der Meldung von Datenschutzverletzungen Der Rat hebt zwar die Belastung hervor, die durch solche Meldungen entsteht, jedoch gibt es zwischen den Mitgliedstaaten erhebliche Diskrepanzen bei den Meldungen: Während die Gesamtzahl der Meldungen von Datenschutzverletzungen im Zeitraum von Mai 2018 bis Ende November 2019 in den meisten Mitgliedstaaten unter 2000 und in sieben Mitgliedstaaten zwischen 2000 und 10 000 lag, gaben die niederländischen und die deutschen Datenschutzbehörden 37 400 bzw. 45 600 Meldungen an. Dies deutet unter Umständen auf eine mangelnde einheitliche Auslegung und Umsetzung hin, obwohl auf EU-Ebene Leitlinien über die Meldung von Datenschutzverletzungen vorhanden sind.

Leitlinien des Europäischen Datenschutzausschusses Bisher hat der Ausschuss mehr als 20 Leitlinien zu zentralen Aspekten der DSGVO angenommen. Die Leitlinien sind ein wesentliches Instrument für die einheitliche Anwendung der DSGVO und wurden daher von den Interessenträgern weitgehend begrüßt. Von den Interessenträgern wurde die systematische öffentliche Konsultation (6 bis 8 Wochen) gewürdigt. Allerdings fordern sie einen intensiveren Dialog mit dem Ausschuss. In diesem Zusammenhang sollte die Praxis, vor der Ausarbeitung von Leitlinien Workshops zu gezielten Themen zu veranstalten‚ fortgesetzt und ausgebaut werden, um die Transparenz, die Einbindung und die Relevanz der Arbeit des Ausschusses zu gewährleisten. Die Interessenträger fordern ferner, die Auslegung der strittigsten Fragen nicht in den Stellungnahmen gemäß Artikel 64 Absatz 2 der DSGVO, sondern in den Leitlinien zu behandeln, da diese Gegenstand einer öffentlichen Konsultation sind. Einige Interessenträger wünschen sich auch stärker praxisorientierte Leitlinien, in denen die Anwendung der Begriffe und Bestimmungen der DSGVO im Einzelnen dargelegt werden. Die Mitglieder der Multi-Stakeholder-Gruppe heben hervor, dass konkretere Beispiele benötigt würden, um den Spielraum für unterschiedliche Auslegungen zwischen den Datenschutzbehörden so weit wie möglich zu verringern. Gleichzeitig sollten die Forderungen nach Klärung der Frage, wie die DSGVO anzuwenden und Rechtssicherheit zu schaffen ist, nicht zu zusätzlichen Anforderungen führen oder die Vorteile des risikobasierten Ansatzes und des Grundsatzes der Rechenschaftspflicht schmälern. Die Themen, zu denen die Interessenträger zusätzliche Leitlinien des Ausschusses wünschen, sind unter anderem folgende: Umfang der Rechte der betroffenen Personen (auch im Beschäftigungskontext), Aktualisierung der Stellungnahme zur Verarbeitung auf der Grundlage eines berechtigten Interesses, die Begriffe „Verantwortlicher“, „gemeinsam für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“ sowie die erforderlichen Vereinbarungen zwischen den Parteien, Anwendung der DSGVO auf neue Technologien (wie Blockchain und künstliche Intelligenz), Verarbeitung im Rahmen der wissenschaftlichen Forschung (auch im Hinblick auf die internationale Zusammenarbeit), Verarbeitung der Daten von Kindern, Pseudonymisierung und Anonymisierung sowie die Verarbeitung von Gesundheitsdaten. Der Ausschuss hat bereits darauf hingewiesen, dass er Leitlinien zu vielen dieser Themen herausgeben wird, wobei die Arbeit zu einigen davon bereits aufgenommen wurde (z. B. über die Anwendung des berechtigten Interesses als Rechtsgrundlage für die Verarbeitung). Die Interessenträger fordern den Ausschuss auf, ggf. bestehende Leitlinien zu aktualisieren und zu überarbeiten und dabei die seit ihrer Veröffentlichung gesammelten Erfahrungen zu berücksichtigen sowie die Gelegenheit zu nutzen, bei Bedarf mehr ins Detail zu gehen. 2.4Ressourcen der Datenschutzbehörden Die Ausstattung jeder Datenschutzbehörde mit den erforderlichen personellen, technischen und finanziellen Ressourcen, Räumlichkeiten und Infrastrukturen ist eine Voraussetzung dafür, dass sie ihre Aufgaben und Befugnisse effektiv wahrnehmen kann, und bildet somit die Grundlage für ihre Unabhängigkeit. Seit Inkrafttreten der DSGVO im Jahr 2016 haben die meisten Datenschutzbehörden von einer Aufstockung des Personals und der Ressourcen profitiert. Allerdings berichten viele von ihnen immer noch, dass sie nicht über ausreichende Ressourcen verfügen. Zahl der Mitarbeiter in den nationalen Datenschutzbehörden Die Gesamtzahl der Mitarbeiter in den Datenschutzbehörden im EWR ist zwischen 2016 und 2019 insgesamt um 42 % gestiegen (um 62 % bei Betrachtung der Prognose für 2020). Die meisten Behörden verzeichneten in diesem Zeitraum eine Zunahme ihrer Mitarbeiterzahl, wobei der prozentuale Anstieg bei den Behörden in Irland (+169 %), in den Niederlanden (+ 145 %), in Island (+143 %), in Luxemburg (+126 %) und in Finnland (+ 114 %) am größten war. Andererseits ging die Zahl der Mitarbeiter in mehreren Datenschutzbehörden zurück, wobei die stärksten Rückgänge in Griechenland (-15 %), Bulgarien (-14 %), Estland (-11 %), Lettland (-10 %) und Litauen (-8 %) zu beobachten waren. In einigen Behörden ist der Personalrückgang auch auf die Abwanderung von Datenschutzexperten in die Privatwirtschaft zurückzuführen, wo attraktivere Beschäftigungsbedingungen geboten werden. Generell sieht die Prognose für 2020 einen Personalzuwachs im Vergleich zu 2019 vor, mit Ausnahme bei den Behörden in Bulgarien, Italien, Österreich, Schweden und Island (wo die Personalstärke voraussichtlich stabil bleiben wird) sowie in Dänemark und Zypern (wo eine Verringerung der Mitarbeiterzahlen erwartet wird). Die deutschen Datenschutzbehörden haben zusammengenommen die höchste Mitarbeiterzahl (888 im Jahr 2019/1002 in der Prognose für 2020), gefolgt von den Datenschutzbehörden in Polen (238/260), Frankreich (215/225), Spanien (170/220), den Niederlanden (179/188), Italien (170/170) und Irland (140/176). Am niedrigsten sind die Mitarbeiterzahlen in den Datenschutzbehörden in Zypern (24/22), Lettland (19/31), Island (17/17), Estland (16/18) und Malta (13/15). Budget der nationalen Datenschutzbehörden Das Gesamtbudget der Datenschutzbehörden im EWR ist zwischen 2016 und 2019 insgesamt um 49 % gestiegen (um 64 % bei Betrachtung der Prognose für 2020). Bei den meisten Behörden erhöhte sich in diesem Zeitraum das Budget, wobei der prozentuale Anstieg bei den Behörden in Irland (+223 %), in Island (+167 %), in Luxemburg (+165 %), in den Niederlanden (+130 %) und in Zypern (+114 %) am größten war. Demgegenüber verzeichneten einige Behörden nur eine geringe Mittelaufstockung, die bei den Datenschutzbehörden in Estland (7 %), in Lettland (4 %), in Rumänien (3 %) und in Belgien (1 %) am niedrigsten war, während bei den Behörden in Frankreich die Mittel gekürzt wurden (-2 %). Generell sieht die Prognose für 2020 eine Erhöhung des Budgets gegenüber 2019 vor, mit Ausnahme der Behörden in Bulgarien, Estland, Österreich und den Niederlanden (deren Mittelausstattung voraussichtlich stabil bleiben wird). Zu den Datenschutzbehörden mit dem größten Budget zählen diejenigen in Deutschland (76,6 Mio. EUR 2019/85,8 Mio. EUR in der Prognose für 2020), in Italien (29,1 Mio. EUR/30,1 Mio. EUR), in den Niederlanden (18,6 Mio. EUR/18,6 Mio. EUR), in Frankreich (18,5 Mio. EUR/20,1 Mio. EUR) und in Irland (15,2 Mio. EUR/16,9 Mio. EUR).

Über das geringste Budget verfügen die Behörden Kroatiens (1,2 Mio. EUR 2019/1,4 Mio. EUR in der Prognose für 2020), Rumäniens (1,1 Mio. EUR/1,3 Mio. EUR), Lettlands (0,6 Mio. EUR/1,2 Mio. EUR), Zyperns (0,5 Mio. EUR/0,5 Mio. EUR) und Maltas (0,5 Mio. EUR/0,6 Mio. EUR). Die Tabelle in Anhang II gibt einen Überblick über die personellen und finanziellen Ressourcen der nationalen Datenschutzbehörden. Der Mangel an Ressourcen wirkt sich nicht nur auf die Fähigkeit der Datenschutzbehörden aus, Vorschriften auf nationaler Ebene durchzusetzen, sondern schränkt auch ihre Kapazität ein, an den Verfahren der Zusammenarbeit und Kohärenz und an der Arbeit im Ausschuss mitzuwirken und entsprechende Beiträge zu leisten. Wie der Ausschuss betonte, hängt der Erfolg der Verfahren der Zusammenarbeit und Kohärenz davon ab, wie viel Zeit und Aufwand die Datenschutzbehörden der Bearbeitung der einzelnen grenzüberschreitenden Fälle sowie der diesbezüglichen Zusammenarbeit widmen können. Die Ressourcenproblematik wird durch die zunehmend wichtige Rolle, die den Behörden bei der Überwachung gegenwärtig entwickelter IT-Großsysteme zukommt, noch verschärft. Darüber hinaus haben die Datenschutzbehörden in Irland und Luxemburg aufgrund ihrer Rolle als federführende Behörden bei der Durchsetzung der DSGVO gegenüber großen Technologieunternehmen, die überwiegend in diesen Mitgliedstaaten ansässig sind, einen besonderen Ressourcenbedarf. Während der Rat auf die Auswirkungen des Verfahrens der Zusammenarbeit und der betreffenden Fristen auf die Arbeit der Datenschutzbehörden hinweist‚ sind die Mitgliedstaaten nach der DSGVO verpflichtet, ihre nationalen Datenschutzbehörden mit angemessenen personellen, finanziellen und technischen Ressourcen auszustatten. Das Sekretariat des Ausschusses, das vom Europäischen Datenschutzbeauftragten bereitgestellt wird‚ besteht derzeit aus 20 Personen, darunter Rechts-, IT- und Kommunikationsexperten. Es ist zu prüfen, ob diese Zahl künftig erhöht werden muss, damit das Sekretariat seine Aufgabe, die in der analytischen, administrativen und logistischen Unterstützung des Ausschusses und seiner Untergruppen besteht, unter anderem auch durch die Verwaltung des Informationsaustauschsystems, wirksam erfüllen kann. 3Harmonisierte Regelungen trotz gewisser Fragmentierung und unterschiedlicher Konzepte Die DSGVO sieht einen einheitlichen Ansatz für die Datenschutzvorschriften in der gesamten EU vor, der die verschiedenen nationalen Regelungen ersetzt, die im Rahmen der Datenschutzrichtlinie von 1995 bestanden. 3.1Umsetzung der DSGVO durch die Mitgliedstaaten Die DSGVO ist seit dem 25. Mai 2018 in allen Mitgliedstaaten unmittelbar anwendbar. Sie verpflichtet die Mitgliedstaaten, Rechtsvorschriften zu erlassen und insbesondere nationale Datenschutzbehörden einzurichten und allgemeine Bedingungen für ihre Mitglieder festzulegen, damit sichergestellt ist, dass jede Behörde bei der Wahrnehmung ihrer Aufgaben und Befugnisse gemäß der DSGVO völlig unabhängig handelt. Rechtliche Verpflichtungen und öffentliche Aufgaben können nur dann eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten darstellen, wenn sie in (Unions- oder) nationalem Recht verankert sind. Darüber hinaus müssen die Mitgliedstaaten insbesondere für Verstöße, die nicht mit Geldbußen geahndet werden, Regelungen für Sanktionen festlegen und das Recht auf Schutz personenbezogener Daten mit dem Recht auf Meinungs- und Informationsfreiheit in Einklang bringen. Außerdem kann im nationalen Recht eine Rechtsgrundlage für die Ausnahme vom generellen Verbot der Verarbeitung besonderer Kategorien personenbezogener Daten vorgesehen werden, beispielsweise aus Gründen eines erheblichen öffentlichen Interesses im Bereich der öffentlichen Gesundheit, einschließlich des Schutzes vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren. Des Weiteren müssen die Mitgliedstaaten die Akkreditierung von Zertifizierungsstellen sicherstellen. Die Kommission überwacht, wie die DSGVO in der nationalen Gesetzgebung umgesetzt wird. Zum Zeitpunkt der Erstellung dieses Berichts hatten alle Mitgliedstaaten mit Ausnahme Sloweniens neue Datenschutzvorschriften erlassen oder ihre Rechtsvorschriften in diesem Bereich angepasst. Die Kommission forderte Slowenien daher auf, die bisher erzielten Fortschritte zu erläutern, und drängte das Land, diesen Prozess abzuschließen. Darüber hinaus wird die Vereinbarkeit der nationalen Rechtsvorschriften mit den Datenschutzvorschriften bezüglich des Schengen-Besitzstands auch im Rahmen des von der Kommission koordinierten Schengen-Evaluierungsmechanismus bewertet. Die Kommission und die Mitgliedstaaten bewerten gemeinsam, wie die Länder den Schengen-Besitzstand in einer Reihe von Bereichen umsetzen und anwenden; im Bereich Datenschutz betrifft dies IT-Großsysteme wie das Schengener Informationssystem und das Visa-Informationssystem und schließt die Rolle der Datenschutzbehörden bei der Überwachung der Verarbeitung personenbezogener Daten innerhalb dieser Systeme ein. Die Anpassung sektorspezifischer Vorschriften auf nationaler Ebene ist noch im Gange. Nach ihrer Aufnahme in das Abkommen über den Europäischen Wirtschaftsraum wurde die Anwendung der DSGVO auf Norwegen, Island und Liechtenstein ausgeweitet. Auch diese Länder haben nationalen Datenschutzvorschriften erlassen. Die Kommission wird alle ihr zur Verfügung stehenden Instrumente, einschließlich Vertragsverletzungsverfahren, nutzen, um sicherzustellen, dass die Mitgliedstaaten die DSGVO einhalten. Die wichtigsten Fragen im Zusammenhang mit der Umsetzung auf nationaler Ebene Zu den wichtigsten Fragen, die bisher im Rahmen der laufenden Bewertung der nationalen Rechtsvorschriften und des bilateralen Austauschs mit den Mitgliedstaaten ermittelt wurden, zählen: ·Beschränkungen der Anwendung der DSGVO: beispielsweise schließen einige Mitgliedstaaten die Tätigkeiten des nationalen Parlaments vollständig aus. ·Unterschiede in der Anwendbarkeit der nationalen präzisierenden Vorschriften. Einige Mitgliedstaaten verknüpfen die Anwendbarkeit ihrer nationalen Rechtsvorschriften mit dem Ort, an dem die Waren oder Dienstleistungen angeboten werden, andere mit dem Ort der Niederlassung des Verantwortlichen oder des Auftragsverarbeiters. Dies läuft dem mit der DSGVO verfolgten Ziel der Harmonisierung zuwider. ·Nationale Rechtsvorschriften, die Fragen zur Verhältnismäßigkeit des Eingriffs in das Recht auf Datenschutz aufwerfen. So hat die Kommission beispielsweise ein Vertragsverletzungsverfahren gegen einen Mitgliedstaat eingeleitet, der Rechtsvorschriften erlassen hat, nach denen Richter bestimmte Informationen über ihre nicht beruflichen Tätigkeiten offenlegen müssen, was mit dem Recht auf Achtung des Privatlebens und dem Recht auf Schutz personenbezogener Daten unvereinbar ist. ·Fehlen einer unabhängigen Stelle für die Überwachung der Datenverarbeitung durch Gerichte, die im Rahmen ihrer justiziellen Tätigkeit handeln.

·Rechtsvorschriften in Bereichen, die vollständig in der DSGVO geregelt sind, jenseits des Spielraums für Spezifizierungen oder Beschränkungen. Dies ist insbesondere dann der Fall, wenn nationale Vorschriften Bedingungen für die Verarbeitung auf der Grundlage eines berechtigten Interesses festlegen, indem sie eine Abwägung der jeweiligen Interessen des Verantwortlichen und der betroffenen Personen vorsehen, während die DSGVO jeden Verantwortlichen verpflichtet, eine solche Abwägung einzeln vorzunehmen und sich auf diese Rechtsgrundlage zu stützen. ·Spezifizierungen und zusätzliche Anforderungen, die über die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung oder einer öffentlichen Aufgabe hinausgehen (z. B. für eine Videoüberwachung im privaten Sektor oder für die Direktwerbung), und für in der DSGVO verwendete Begriffe (z. B. „umfangreich“ oder „Löschung“). Einige dieser Fragen werden unter Umständen vom Gerichtshof der Europäischen Union in noch anhängigen Rechtssachen geklärt. Vereinbarkeit des Rechts auf Schutz personenbezogener Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit Eine spezifische Frage betrifft die Umsetzung der Pflicht der Mitgliedstaaten, das Recht auf Schutz personenbezogener Daten per Rechtsvorschrift mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen. Diese Frage ist sehr komplex, da bei einer Abwägung zwischen diesen Grundrechten auch die Bestimmungen und Garantien in den Presse- und Mediengesetzen berücksichtigt werden müssen. Bei der Bewertung der Rechtsvorschriften der Mitgliedstaaten zeigen sich unterschiedliche Ansätze bezüglich der Vereinbarkeit des Rechts auf Schutz personenbezogener Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit: ·Einige Mitgliedstaaten legen den Grundsatz fest, dass der freien Meinungsäußerung Vorrang eingeräumt wird, oder befreien grundsätzlich die Anwendung ganzer in Artikel 85 Absatz 2 der DSGVO genannter Kapitel, wenn die Verarbeitung für journalistische Zwecke und für akademische, künstlerische und literarische Zwecke gefährdet ist. In gewissem Umfang sehen Mediengesetze einige Garantien in Bezug auf die Rechte betroffener Personen vor. ·In einigen Mitgliedstaaten wird dem Schutz personenbezogener Daten Vorrang eingeräumt und die Anwendung von Datenschutzvorschriften nur in bestimmten Situationen ausgeschlossen, beispielsweise wenn eine Person mit öffentlichem Status betroffen ist. ·Andere Mitgliedstaaten sehen wiederum eine bestimmte Abwägung durch den Gesetzgeber und/oder eine Einzelfallbewertung hinsichtlich der Abweichung von bestimmten Bestimmungen der DSGVO vor. Die Kommission setzt ihre Bewertung der nationalen Rechtsvorschriften auf der Grundlage der Anforderungen der Charta fort. Die Vereinbarkeit muss gesetzlich vorgesehen sein, den Wesensgehalt dieser Grundrechte achten sowie verhältnismäßig und erforderlich sein (Artikel 52 Absatz 1 der Charta). Die Datenschutzvorschriften sollten die Ausübung des Rechts auf Freiheit der Meinungsäußerung und Informationsfreiheit nicht beeinträchtigen, insbesondere nicht dadurch, dass sie eine abschreckende Wirkung entfalten oder als Möglichkeit ausgelegt werden, Druck auf Journalisten auszuüben, ihre Quellen offenzulegen.

3.2Fakultative Spezifikationsklauseln und ihre Grenzen Die DSGVO gibt den Mitgliedstaaten die Möglichkeit, ihre Anwendung in einer begrenzten Zahl von Bereichen zu präzisieren. Dieser Spielraum für nationale Rechtsvorschriften ist von der oben erwähnten Verpflichtung zur Umsetzung bestimmter anderer Bestimmungen der DSGVO zu unterscheiden. Die Klauseln für fakultative Spezifikationen sind in Anhang I aufgeführt. Die Spielräume für Rechtsvorschriften der Mitgliedstaaten unterliegen den in der DSGVO festgelegten Bedingungen und Beschränkungen und erlauben keine parallele nationale Datenschutzregelung. Die Mitgliedstaaten sind verpflichtet, die nationalen Datenschutzvorschriften, einschließlich sektorspezifischer Rechtsvorschriften mit Datenschutzaspekten, zu ändern oder aufzuheben. Des Weiteren dürfen die einschlägigen Rechtsvorschriften der Mitgliedstaaten keine Bestimmungen enthalten, die zu Verwirrung hinsichtlich der unmittelbaren Anwendung der DSGVO führen könnten. Daher können die Mitgliedstaaten in den Fällen, in denen die DSGVO eine Präzisierung oder Einschränkung ihrer Vorschriften durch das Recht der Mitgliedstaaten vorsieht, Teile der DSGVO in ihr nationales Recht aufnehmen, soweit dies erforderlich ist, um die Kohärenz zu wahren und die nationalen Rechtsvorschriften für die Personen, für die sie gelten, verständlicher zu machen. Die Interessenträger sind der Auffassung, dass die Mitgliedstaaten fakultative Spezifikationsklauseln nur in geringem Maße vorsehen oder ganz darauf verzichten sollten, da sie nicht zur Harmonisierung beitragen. Die nationalen Unterschiede bei der Umsetzung der Rechtsvorschriften und ihrer Auslegung durch die Datenschutzbehörden erhöhen die Kosten für die Einhaltung der Rechtsvorschriften in der EU erheblich. Fragmentierung im Zusammenhang mit der Verwendung fakultativer Spezifikationsklauseln ·Altersgrenze für die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft Einige Mitgliedstaaten haben von der Möglichkeit Gebrauch gemacht, für die Einwilligung in Bezug auf Dienste der Informationsgesellschaft ein niedrigeres Alter als 16 Jahre vorzusehen (Artikel 8 Absatz 1 der DSGVO). Während neun Mitgliedstaaten die Altersgrenze von 16 Jahren anwenden, haben sich acht Mitgliedstaaten für eine Altersgrenze von 13 Jahren, sechs Mitgliedstaaten für eine Altersgrenze von 14 Jahren und drei Mitgliedstaaten für eine Altersgrenze von 15 Jahren entschieden. Demzufolge muss ein Unternehmen, das in der gesamten EU Dienste der Informationsgesellschaft für Minderjährige anbietet, nach dem Alter der potenziellen Nutzer abhängig davon unterscheiden, in welchem Mitgliedstaat sie ansässig sind. Dies steht im Widerspruch zu dem Hauptziel der DSGVO, ein gleiches Schutzniveau für Personen und gleiche Geschäftsmöglichkeiten in allen Mitgliedstaaten zu gewährleisten.

Solche Unterschiede führen dazu, dass der Mitgliedstaat, in dem der Verantwortliche niedergelassen ist, eine andere Altersgrenze vorsieht als die Mitgliedstaaten, in denen die betroffenen Personen ihren Wohnsitz haben.



·Gesundheit und Forschung Bei der Umsetzung von Ausnahmen vom allgemeinen Verbot der Verarbeitung besonderer Kategorien personenbezogener Daten folgen die Rechtsvorschriften der Mitgliedstaaten beim Grad der Präzisierungen und Garantien, einschließlich zu gesundheitlichen und Forschungszwecken, unterschiedlichen Ansätzen. Die meisten Mitgliedstaaten haben weitere Bedingungen in Bezug auf die Verarbeitung von genetischen Daten, biometrischen Daten oder Gesundheitsdaten eingeführt oder beibehalten. Dies gilt auch für Ausnahmen, die sich auf die Rechte betroffener Personen hinsichtlich der Verarbeitung personenbezogener Daten zu Forschungszwecken beziehen‚ und zwar sowohl in Bezug auf den Umfang der Ausnahmen als auch auf die damit verbundenen Garantien. Die künftigen Leitlinien des Ausschusses zur Verwendung personenbezogener Daten auf dem Gebiet der wissenschaftlichen Forschung werden zu einem harmonisierten Ansatz in diesem Bereich beitragen. Die Kommission wird dem Ausschuss insbesondere in Bezug auf die Forschung im Gesundheitsbereich zuarbeiten, unter anderem in Form konkreter Fragen und der Analyse konkreter Szenarien aus der Forschungsgemeinschaft. Eine Annahme dieser Leitlinien vor dem Start des Rahmenprogramms „Horizont Europa“ wäre hilfreich, um Datenschutzpraktiken zu harmonisieren und die gemeinsame Nutzung von Daten für Fortschritte in der Forschung zu erleichtern. Leitlinien des Ausschusses in Bezug auf die Verarbeitung personenbezogener Daten im Gesundheitsbereich könnten ebenfalls von Nutzen sein. Die DSGVO bietet einen soliden Rahmen für nationale Rechtsvorschriften im Bereich der öffentlichen Gesundheit und umfasst ausdrücklich grenzüberschreitende Gesundheitsgefahren sowie die Überwachung von Epidemien und deren Ausbreitung‚ was im Zusammenhang mit der Bekämpfung der COVID-19-Pandemie von Bedeutung war. Auf EU-Ebene verabschiedete die Kommission am 8. April 2020 eine Empfehlung für ein Instrumentarium für den Einsatz von Technik und Daten zur Bekämpfung und Überwindung der COVID-19-Krise, insbesondere im Hinblick auf Mobil-Apps und die Verwendung anonymisierter Mobilitätsdaten sowie am 16. April 2020 Leitlinien zum Datenschutz bei Mobil-Apps zur Unterstützung der Bekämpfung der COVID-19-Pandemie. Der Ausschuss veröffentlichte am 19. März 2020 eine Erklärung zur Verarbeitung personenbezogener Daten im Zusammenhang mit COVID-19, gefolgt von Leitlinien für die Verwendung von Standortdaten und Tools zur Kontaktnachverfolgung im Zusammenhang mit dem Ausbruch von COVID-19, die am 21. April 2020 angenommen wurden. In diesen Empfehlungen und Leitlinien wird erläutert, wie die Grundsätze und Vorschriften für den Schutz personenbezogener Daten im Zusammenhang mit der Bekämpfung der Pandemie anzuwenden sind. ·Umfangreiche Beschränkungen der Rechte betroffener Personen In den meisten nationalen Datenschutzvorschriften, welche die Rechte betroffener Personen beschränken, werden die Ziele des allgemeinen öffentlichen Interesses, die durch diese Beschränkungen sichergestellt werden, nicht angegeben und/oder die Bedingungen und Garantien gemäß Artikel 23 Absatz 2 der DSGVO nicht ausreichend erfüllt. Mehrere Mitgliedstaaten räumen keinen Spielraum für die Verhältnismäßigkeitsprüfung ein oder erweitern die Beschränkungen sogar über den Anwendungsbereich von Artikel 23 Absatz 1 der DSGVO hinaus. So wird beispielsweise in einigen nationalen Rechtsvorschriften das Auskunftsrecht bezüglich personenbezogener Daten, die aufgrund einer Speicherverpflichtung oder im Zusammenhang mit der Erfüllung öffentlicher Aufgaben gespeichert werden, aus Gründen eines unverhältnismäßigen Aufwands seitens des Verantwortlichen verweigert, ohne dass eine solche Beschränkung auf Ziele des allgemeinen öffentlichen Interesses begrenzt wird. ·Zusätzliche Anforderungen für Unternehmen Auch wenn die obligatorische Benennung eines Datenschutzbeauftragten risikobasiert ist‚ dehnte ein Mitgliedstaat diese Anforderung auf ein quantitatives Kriterium aus und verpflichtete Unternehmen, in denen mindestens 20 Mitarbeiter dauerhaft in die automatisierte Verarbeitung personenbezogener Daten einbezogen sind, zur Benennung eines Datenschutzbeauftragten unabhängig von den mit der Verarbeitung verbundenen Risiken. Dies hat zu zusätzlichem Aufwand geführt. 4Befähigung jedes Einzelnen zur Kontrolle seiner Daten Mit der DSGVO werden die Grundrechte wirksam, insbesondere das Recht auf Schutz personenbezogener Daten, aber auch die anderen in der Charta festgeschriebenen Grundrechte, darunter Achtung des Privat- und Familienlebens, Freiheit der Meinungsäußerung und Informationsfreiheit, Nichtdiskriminierung, Gedanken-, Gewissens- und Religionsfreiheit, unternehmerische Freiheit und Recht auf einen wirksamen Rechtsbehelf. Diese Rechte müssen unter Wahrung des Grundsatzes der Verhältnismäßigkeit gegeneinander abgewogen werden. Die DSGVO gewährt Personen durchsetzbare Rechte wie das Recht auf Auskunft, Berichtigung, Löschung, Widerspruch, Datenübertragbarkeit und erhöhte Transparenz. Sie gewährt Personen außerdem das Recht, Beschwerde bei einer Datenschutzbehörde einzureichen, unter anderem in Form von Verbandsklagen, sowie das Recht auf gerichtliche Rechtsbehelfe. Wie die Ergebnisse der Eurobarometer-Umfrage vom Juli 2019 und die Umfrage der Agentur der Europäischen Union für Grundrechte zeigen, sind sich die Bürgerinnen und Bürger ihrer Rechte zunehmend bewusst. Laut der von der Agentur der Europäischen Union für Grundrechte durchgeführten Umfrage zu den Grundrechten ·haben 69 % der über 16-Jährigen in der EU von der DSGVO gehört; ·haben 71 % der Befragten in der EU von ihrer nationalen Datenschutzbehörde gehört; diese Zahl reicht von 90 % in der Tschechischen Republik bis 44 % in Belgien; ·sind sich 60 % der Befragten in der EU eines Gesetzes bewusst, das ihnen Auskunft über ihre im Besitz der öffentlichen Verwaltung befindlichen personenbezogenen Daten ermöglicht; dieser Wert sinkt jedoch bei Privatunternehmen auf 51 %; ·möchte mehr als einer von fünf Befragten (23 %) in der EU personenbezogene Daten (z. B. Anschrift, Staatsangehörigkeit oder Geburtsdatum) nicht an die öffentliche Verwaltung weitergeben, und 41 % möchten diese Daten nicht an private Unternehmen weitergeben.

Personen machen zunehmend von ihrem Recht Gebrauch, Beschwerden bei Datenschutzbehörden einzureichen, sei es einzeln oder in Form von Verbandsklagen. Nur wenige Mitgliedstaaten haben nichtstaatlichen Organisationen gestattet, im Einklang mit der in der DSGVO vorgesehenen Möglichkeit Maßnahmen ohne Auftrag einzuleiten. Nach dem Erlass der vorgeschlagenen Richtlinie über Verbandsklagen zum Schutz der Kollektivinteressen der Verbraucher dürfte der Rahmen für Verbandsklagen auch im Bereich des Datenschutzes gestärkt werden. Beschwerden Nach Angaben des Ausschusses wurden zwischen Mai 2018 und Ende November 2019 insgesamt rund 275 000 Beschwerden eingereicht. Diese Zahl sollte jedoch mit großer Vorsicht betrachtet werden, da eine Beschwerde bei den Behörden unterschiedlich definiert wird. Die absolute Zahl der bei den Datenschutzbehörden eingegangenen Beschwerden ist von Mitgliedstaat zu Mitgliedstaat sehr unterschiedlich. Die meisten Beschwerden wurden in Deutschland (67 000), den Niederlanden (37 000), Spanien und Frankreich (jeweils 18 000), Italien (14 000), Polen und Irland (jeweils 12 000) verzeichnet. Zwei Drittel der Behörden gaben eine Beschwerdezahl zwischen 8000 und 600 an. In Estland und Belgien (jeweils rund 500) sowie in Malta und Island (jeweils weniger als 200) war die Zahl der Beschwerden am niedrigsten. Die Zahl der Beschwerden korreliert nicht unbedingt mit der Bevölkerungszahl oder dem BIP, beispielsweise gab es in Deutschland fast doppelt so viele Beschwerden wie in den Niederlanden und viermal so viele Beschwerden wie in Spanien und Frankreich. Aus den Rückmeldungen der Multi-Stakeholder-Gruppe geht hervor, dass die Unternehmen eine Vielzahl von Maßnahmen ergriffen haben, um die Ausübung der Rechte der betroffenen Personen zu erleichtern, darunter die Umsetzung von Prozessen, die eine individuelle Überprüfung von Anträgen und eine Antwort des Verantwortlichen gewährleisten, die Nutzung mehrerer Kanäle (Postweg, spezifische E-Mail-Adresse, Website usw.), aktualisierte interne Verfahren und Strategien für die zeitnahe interne Bearbeitung von Anträgen sowie Schulung des Personals. Einige Unternehmen haben digitale Portale eingerichtet, die über die Website des Unternehmens (oder das unternehmenseigene Intranet für die Mitarbeiter) zugänglich sind, um den betroffenen Personen die Ausübung ihrer Rechte zu erleichtern. Folgende Punkte erfordern jedoch weitere Fortschritte: ·Nicht alle Verantwortlichen kommen ihrer Verpflichtung nach, den betroffenen Personen die Ausübung ihrer Rechte zu erleichtern. Die Verantwortlichen müssen sicherstellen, dass den betroffenen Personen eine wirksame Anlaufstelle mitgeteilt wird, an die sie sich wenden und ihre Probleme erläutern können. Hierbei kann es sich um den Datenschutzbeauftragten handeln, dessen Kontaktdaten der betroffenen Person mitgeteilt werden müssen. Die Art der Kontaktaufnahme darf sich nicht auf E-Mails beschränken, sondern es muss der betroffenen Person auch ermöglicht werden, sich auf anderem Wege an den Verantwortlichen zu wenden. ·Personen haben nach wie vor Schwierigkeiten, wenn sie Auskunft über ihre Daten beantragen, beispielsweise bei Plattformen, Datenvermittlern und AdTech-Unternehmen. ·Das Recht auf Datenübertragbarkeit wird nicht in vollem Umfang genutzt. In der von der Kommission am 19. Februar 2020 angenommenen Europäischen Datenstrategie (im Folgenden „Datenstrategie“) wurde betont, dass alle Nutzungsmöglichkeiten dieses Rechts erleichtert werden müssen (z. B. indem technische Schnittstellen und maschinenlesbare Formate vorgeschrieben werden, die die Übertragbarkeit von Daten in Echtzeit oder nahezu Echtzeit ermöglichen). Die Wirtschaftsteilnehmer weisen darauf hin, dass es bisweilen schwierig sei, die Daten (aufgrund fehlender Standards) in einem strukturierten und gängigen maschinenlesbaren Format bereitzustellen. Nur in bestimmten Sektoren – z. B. im Banken- und Telekommunikationssektor sowie im Bereich der Wasser- und Heizungsablesung – tätige Unternehmen berichten, dass sie die erforderlichen Schnittstellen eingerichtet haben. Um dem Einzelnen die Ausübung seiner Rechte im Rahmen der DSGVO zu erleichtern, und zwar nicht nur auf die Datenübertragbarkeit beschränkt, wurden neue technologische Instrumente entwickelt (z. B. persönliche Datenräume und Dienste für die Verwaltung personenbezogener Informationen). ·Rechte von Kindern: Mehrere Mitglieder der Multi-Stakeholder-Gruppe betonen die Notwendigkeit, Kinder zu informieren, sowie die Tatsache, dass viele Unternehmen außer Acht lassen, dass Kinder von der Verarbeitung ihrer Daten betroffen sein können. Der Ausschuss weist darauf hin, dass bei der Entwicklung von Verhaltensregeln dem Schutz von Kindern besondere Aufmerksamkeit gewidmet werden könnte. Der Schutz von Kindern ist auch ein Schwerpunkt der Datenschutzbehörden. ·Recht auf Information: Einige Unternehmen verfolgen einen äußerst legalistischen Ansatz, indem sie Datenschutzhinweise als Rechtshandlung betrachten, wobei die Informationen recht komplex, schwer verständlich oder unvollständig sind, wohingegen die DSGVO vorschreibt, dass alle Informationen präzise und in einer klaren und einfachen Sprache abgefasst sein müssen. Es scheint, dass einige Unternehmen den Empfehlungen des Ausschusses nicht folgen, beispielsweise was die Auflistung der Namen der Einrichtungen betrifft, mit denen sie Daten austauschen. ·Mehrere Mitgliedstaaten haben die Rechte der betroffenen Personen durch nationales Recht stark eingeschränkt, einige sogar über den in Artikel 23 der DSGVO genannten Rahmen hinaus. ·Die Ausübung der Rechte des Einzelnen wird bisweilen durch die Praktiken einiger wichtiger digitaler Akteure behindert, die es erschweren, Einstellungen zu wählen, mit denen eine Person ihre Privatsphäre am besten schützen kann (Verstoß gegen die Anforderung des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen). Die Leitlinien des Ausschusses zu den Rechten der betroffenen Personen werden von den Interessenträgern gespannt erwartet. 5Möglichkeiten und Herausforderungen für Organisationen, insbesondere für kleine und mittlere Unternehmen Chancen für Unternehmen Die DSGVO fördert Wettbewerb und Innovation. Zusammen mit der Verordnung über den freien Verkehr nicht-personenbezogener Daten gewährleistet sie den freien Verkehr von Daten innerhalb der EU und schafft gleiche Wettbewerbsbedingungen für Unternehmen mit Sitz außerhalb der EU. Durch die Schaffung eines harmonisierten Rahmens für den Schutz personenbezogener Daten stellt die DSGVO sicher, dass alle Akteure im Binnenmarkt an dieselben Vorschriften gebunden sind und von den gleichen Chancen profitieren, unabhängig davon, wo sie niedergelassen sind und wo die Verarbeitung stattfindet. Die Technologieneutralität der DSGVO bildet den Datenschutzrahmen für neue technologische Entwicklungen. Die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen bieten Anreize für innovative Lösungen, in die von Beginn an Datenschutzaspekte integriert werden, wodurch sich die Kosten für die Einhaltung der Datenschutzvorschriften senken lassen. Außerdem wird Datenschutz zu einem wichtigen Wettbewerbsparameter, der bei der Auswahl von Dienstleistungen immer häufiger berücksichtigt wird. Personen, die besser informiert und stärker für Datenschutzfragen sensibilisiert sind, suchen nach Produkten und Dienstleistungen, die einen wirksamen Schutz personenbezogener Daten gewährleisten. Die Umsetzung des Rechts auf Datenübertragbarkeit birgt das Potenzial, dass Schranken für den Marktzutritt von Unternehmen abgebaut werden, die innovative und datenschutzfreundliche Dienstleistungen anbieten. Die Auswirkungen einer potenziell breiteren Inanspruchnahme dieses Rechts in verschiedenen Marktsektoren sollten beobachtet werden. Durch die Einhaltung der Datenschutzvorschriften und ihre transparente Anwendung wird Vertrauen in die Verwendung personenbezogener Daten geschaffen, wodurch sich Unternehmen neue Chancen bieten. Wie bei allen Regelungen entstehen den Unternehmen auch durch Datenschutzvorschriften inhärente Kosten für deren Einhaltung. Diese Kosten werden jedoch durch die Chancen und Vorteile eines gestärkten Vertrauens in die digitale Innovation sowie den Nutzen, der sich aus der Achtung eines Grundrechts für die Gesellschaft ergibt, wettgemacht. Indem gleiche Wettbewerbsbedingungen gewährleistet und Datenschutzbehörden mit Instrumenten für eine wirksame Durchsetzung der Vorschriften ausgestattet werden, verhindert die DSGVO, dass Unternehmen, welche die Vorschriften nicht einhalten, auf der Welle des Vertrauens mitreiten, das von den vorschriftenkonformen Unternehmen aufgebaut wurde. Besondere Herausforderungen für kleine und mittlere Unternehmen (KMU)

Nach allgemeiner Wahrnehmung der Interessenträger, aber auch des Europäischen Parlaments, des Rates und der Datenschutzbehörden, stellt die Anwendung der DSGVO eine besondere Herausforderung für Kleinstunternehmen sowie kleine und mittlere Unternehmen sowie kleine Freiwilligen- und Wohltätigkeitsorganisationen dar. Aus dem risikobasierten Ansatz geht hervor, dass Ausnahmen auf der Grundlage der Größe des Wirtschaftsteilnehmers ungeeignet wären, da die Größe allein keine Aussage über die möglichen Risiken für Verbraucher zulässt, die sich aus der von dem Unternehmen durchgeführten Verarbeitung personenbezogener Daten ergeben. Der risikobasierte Ansatz vereint Flexibilität und wirksamen Schutz. Hierbei werden die Erfordernisse von KMU berücksichtigt, deren Kerngeschäft nicht die Verarbeitung von Daten ist, und ihre Pflichten entsprechend angepasst, insbesondere auf der Grundlage der Eintrittswahrscheinlichkeit und der Schwere der Risiken in Verbindung mit der von ihnen durchgeführten Verarbeitung. Unabhängig von der Größe des Unternehmens, das die Verarbeitung vornimmt, sollte die Verarbeitung von Daten in kleinerem Umfang und mit geringem Risiko nicht auf dieselbe Weise behandelt werden wie die häufige und mit hohem Risiko verbundene Verarbeitung. Daher sollte, wie der Ausschuss feststellte, „in jedem Fall der vom Gesetzgeber im Text propagierte risikobasierte Ansatz beibehalten werden, da die Risiken für die betroffenen Personen nicht von der Größe der Verantwortlichen abhängen“. Die Datenschutzbehörden sollten diesen Grundsatz bei der Durchsetzung der DSGVO in vollem Umfang berücksichtigen, vorzugsweise im Rahmen eines gemeinsamen europäischen Ansatzes, um keine Hindernisse für den Binnenmarkt zu schaffen. Die Datenschutzbehörden haben diverse Instrumente entwickelt und ihre Absicht bekundet, diese weiter zu verbessern. Einige Behörden haben Sensibilisierungskampagnen in die Wege geleitet und werden sogar kostenlose „DSGVO-Schulungen“ für KMU veranstalten. Beispiele für Leitlinien und Instrumente, die von den Datenschutzbehörden speziell für KMU bereitgestellt werden ·Veröffentlichung von gezielt an KMU gerichtete Informationen; ·Seminare für Datenschutzbeauftragte und Veranstaltungen für KMU, die keinen Datenschutzbeauftragten benennen müssen; ·interaktive Leitfäden zur Unterstützung von KMU; ·Hotlines für Konsultationen; ·Vorlagen für Verarbeitungsverträge und Aufzeichnungen über Verarbeitungstätigkeiten. Der Beitrag des Ausschusses enthält eine Beschreibung der diesbezüglichen Aktivitäten der Datenschutzbehörden. Mehrere Maßnahmen, mit denen speziell KMU unterstützt werden, wurden mithilfe von Unionsmitteln finanziert. Die Kommission stellte in drei Finanzierungsrunden Zuschüsse in Höhe von insgesamt 5 Mio. EUR zur Verfügung, wobei die letzten beiden Runden konkret dazu dienten, die nationalen Datenschutzbehörden bei ihren Bemühungen zu unterstützen, Einzelpersonen und KMU zu erreichen. Infolgedessen wurden 2018 neun Datenschutzbehörden (Belgien, Bulgarien, Dänemark, Litauen, Lettland, Niederlande, Slowenien, Ungarn und Island) Mittel in Höhe von 2 Mio. EUR für Aktivitäten im Zeitraum 2018–2019 zugewiesen, und 2019 erhielten vier Datenschutzbehörden (Belgien, Malta, Slowenien und Kroatien in Partnerschaft mit Irland) 1 Mio. EUR für Aktivitäten im Jahr 2020 . 2020 werden nochmals Mittel in Höhe von 1 Mio. EUR zugewiesen. Trotz dieser Initiativen berichten KMU und Start-ups häufig, dass sie mit der Umsetzung des in der DSGVO verankerten Grundsatzes der Rechenschaftspflicht zu kämpfen hätten. Im Einzelnen führen sie an, dass sie nicht immer genügend Orientierungshilfen und praktische Ratschläge von den nationalen Datenschutzbehörden erhielten oder dass dies zu lange dauerte. Es gab auch Fälle, in denen die Behörden sich nur ungern zu Rechtsfragen äußern wollten. In solchen Situationen wenden KMU sich häufig an externe Berater und Anwälte, wenn es um die Umsetzung des Grundsatzes der Rechenschaftspflicht und des risikobasierten Ansatzes (einschließlich Transparenzforderung, Verzeichnis von Verarbeitungstätigkeiten und Meldungen von Datenschutzverletzungen) geht. Dadurch können ihnen zusätzliche Kosten entstehen. Ein spezifisches Problem ist die Erfassung der Verarbeitungstätigkeiten, die von KMU und kleinen Vereinigungen als umständlicher Verwaltungsaufwand angesehen wird. Die Befreiung von dieser Pflicht in Artikel 30 Absatz 5 der DSGVO ist tatsächlich sehr eng gefasst. Allerdings sollten die mit der Erfüllung dieser Pflicht verbundenen Anstrengungen auch nicht überbewertet werden. Wenn das Kerngeschäft der KMU nicht in der Verarbeitung personenbezogener Daten besteht, ist die Erfassung der Verarbeitungstätigkeiten unter Umständen einfach und nicht sehr aufwendig. Gleiches gilt für Freiwilligenorganisationen und andere Vereinigungen. Die Führung solcher vereinfachten Verzeichnisse wird durch Vorlagen erleichtert, wie dies bereits bei einigen Datenschutzbehörden gängige Praxis ist. In jedem Fall sollte jeder, der personenbezogene Daten verarbeitet, als grundlegende Voraussetzung zur Erfüllung des Grundsatzes der Rechenschaftspflicht eine Übersicht über seine Datenverarbeitung führen. Wenn der Ausschuss praktische Instrumente, z. B. einheitliche Formulare für Datenschutzverletzungen und vereinfachte Verzeichnisse von Verarbeitungstätigkeiten, auf EU-Ebene entwickelt, kann dies KMU und kleine Vereinigungen, deren Haupttätigkeit nicht in der Verarbeitung personenbezogener Daten besteht, dabei unterstützen, ihrer diesbezüglichen Pflicht nachzukommen. Verschiedene Branchenverbände haben Anstrengungen unternommen, um ihre Mitglieder zu sensibilisieren und zu informieren, beispielsweise durch Konferenzen und Seminare, indem sie Unternehmen über verfügbare Orientierungshilfen unterrichten oder einen Unterstützungsdienst zum Schutz der Privatsphäre entwickeln, den ihre Mitglieder nutzen können. Außerdem wird von einer zunehmenden Zahl von Seminaren, Treffen und Veranstaltungen berichtet, die von Denkfabriken und KMU-Verbänden zu Themen im Zusammenhang mit der DSGVO organisiert werden. Um den freien Verkehr aller Daten innerhalb der EU zu verbessern und eine kohärente Anwendung der DSGVO und der Verordnung über den freien Verkehr nicht-personenbezogener Daten zu erreichen, hat die Kommission außerdem praktische Leitlinien zu den Vorschriften für die Verarbeitung gemischter Datensätze, die sowohl aus personenbezogenen als auch aus nicht-personenbezogenen Daten bestehen, herausgegeben, welche sich insbesondere an KMU richten. Instrumentarium für Unternehmen Die DSGVO sieht Instrumente vor, die dabei helfen, ihre Einhaltung nachzuweisen, wie Verhaltensregeln, Zertifizierungsverfahren und Standardvertragsklauseln.

·Verhaltensregeln Der Ausschuss hat Leitlinien herausgegeben, die „Urheber“ bei der Erstellung, Änderung oder Ausweitung von Verhaltensregeln unterstützen und fördern sowie praktische Orientierungshilfe und Unterstützung bei der Auslegung geben sollen. In diesen Leitlinien werden außerdem die Verfahren für die Einreichung, Genehmigung und Veröffentlichung von Verhaltensregeln auf nationaler und europäischer Ebene erläutert, indem die zu erfüllenden Mindestkriterien aufgeführt werden. Die Interessenträger erachten Verhaltensregeln als äußerst nützliche Instrumente. Obwohl viele Verhaltensregeln auf nationaler Ebene umgesetzt werden, wird derzeit eine Reihe EU-weiter Verhaltensregeln ausgearbeitet (z. B. zu mobilen Gesundheits-Apps, Gesundheitsforschung im Bereich Genomik, Cloud-Computing, Direktmarketing, Versicherung, Verarbeitung durch Präventions- und Beratungsdienste für Kinder). Die Akteure sind der Ansicht, dass EU-weite Verhaltensregeln stärker propagiert werden sollten, da sie die einheitliche Anwendung der DSGVO in allen Mitgliedstaaten fördern. Verhaltensregeln erfordern aber auch Zeit und Investitionen seitens der Akteure sowohl für deren Entwicklung als auch für die Einrichtung der erforderlichen unabhängigen Überwachungsstellen. Vertreter der KMU betonen, wie wichtig und hilfreich auf sie zugeschnittene Verhaltensregeln seien, die keine unverhältnismäßigen Kosten nach sich ziehen. Folglich haben Wirtschaftsverbände in einer Reihe von Sektoren andere Arten von Selbstregulierungsinstrumenten eingeführt, z. B. Regeln der guten Praxis oder Leitfäden. Solche Instrumente können zwar nützliche Informationen liefern, sind aber nicht von den Datenschutzbehörden genehmigt und können nicht als Instrument zum Nachweis der Einhaltung der DSGVO dienen. Der Ausschuss betont, dass bei Verhaltensregeln besonderes Augenmerk auf die Verarbeitung von Daten von Kindern sowie von Gesundheitsdaten gelegt werden müsse. Die Kommission unterstützt Verhaltensregeln, die zu einem einheitlichen Ansatz in den Bereichen Gesundheit und Forschung beitragen und die grenzüberschreitende Verarbeitung personenbezogener Daten erleichtern werden. Derzeit befasst sich der Ausschuss mit der Genehmigung mehrerer Entwürfe von Kriterien für die Akkreditierung von Stellen zur Überwachung der Verhaltensregeln, die von einigen Datenschutzbehörden eingebracht wurden. Sobald den Datenschutzbehörden transnationale oder EU-weite Verhaltensregeln zur Genehmigung vorgelegt werden können, erfolgt eine Konsultation des Ausschusses. In Bereichen, in denen erhebliche Datenmengen (z. B. Cloud-Computing) oder sensible Daten (z. B. Gesundheitswesen und Forschung) verarbeitet werden, ist die rasche Einführung transnationaler Verhaltensregeln besonders wichtig. ·Zertifizierung Die Zertifizierung kann ein nützliches Instrument sein, um die Einhaltung spezifischer Anforderungen der DSGVO nachzuweisen. Sie kann auf der Unternehmensseite zu mehr Rechtssicherheit führen und die DSGVO global stärker in den Fokus rücken. Wie in der im April 2019 veröffentlichten Studie über die Zertifizierung dargelegt‚ sollte das Ziel darin bestehen, die Einführung einschlägiger Regelungen zu erleichtern. Die Entwicklung von Zertifizierungssystemen in der EU wird durch die Leitlinien des Ausschusses zu Zertifizierungskriterien und die Leitlinien zur Akkreditierung von Zertifizierungsstellen unterstützt. Sicherheit und Datenschutz durch Technikgestaltung sind wichtige Elemente, die es in Zertifizierungssystemen gemäß der DSGVO zu beachten gilt und die von einem gemeinsamen und ehrgeizigen EU-weiten Ansatz profitieren könnten. Die Kommission wird auch künftig die gegenwärtigen Kontakte zwischen der Agentur der Europäischen Union für Cybersicherheit (ENISA), den Datenschutzbehörden und dem Ausschuss unterstützen. Im Bereich der Cybersicherheit forderte die Kommission nach Erlass des Rechtsakts zur Cybersicherheit die ENISA dazu auf, zwei Zertifizierungssysteme auszuarbeiten, darunter ein System für Cloud-Dienste. Weitere Systeme im Bereich der Cybersicherheit von Diensten und Produkten für Verbraucher werden derzeit geprüft. Auch wenn sich diese im Rahmen des Rechtsakts zur Cybersicherheit entwickelten Zertifizierungssysteme nicht ausdrücklich auf den Datenschutz und die Privatsphäre beziehen, tragen sie dennoch dazu bei, das Vertrauen der Verbraucher in digitale Dienste und Produkte zu stärken. Solche Systeme können als Nachweis für die Einhaltung des Grundsatzes der Sicherheit durch Technikgestaltung sowie für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen im Zusammenhang mit der sicheren Verarbeitung personenbezogener Daten dienen. ·Standardvertragsklauseln Die Kommission arbeitet an Standardvertragsklauseln für Verantwortliche und Auftragsverarbeiter, auch mit Blick auf die Aktualisierung der Standardvertragsklauseln für internationale Datenübermittlungen (siehe Abschnitt 7.2.). Ein von der Kommission erlassener Rechtsakt der Union wird EU-weit verbindlich sein und eine vollständige Harmonisierung sowie Rechtssicherheit gewährleisten. 6Die Anwendung der DSGVO auf neue Technologien Ein für neue Technologien offener technologieneutraler Rahmen Die DSGVO ist technologieneutral, schafft Vertrauen und beruht auf Datenschutzgrundsätzen. Diese Grundsätze, darunter die rechtmäßige und transparente Verarbeitung, die Zweckbindung und die Datenminimierung, bieten unabhängig von den angewandten Verarbeitungsvorgängen und -techniken eine solide Grundlage für den Schutz personenbezogener Daten. Den Mitgliedern der Multi-Stakeholder-Gruppe zufolge hat die DSGVO insgesamt positive Auswirkungen auf die Entwicklung neuer Technologien und bietet eine gute Grundlage für Innovation. Die DSGVO wird als wichtiges und flexibles Instrument erachtet, um die Entwicklung neuer Technologien im Einklang mit den Grundrechten sicherzustellen. Die Umsetzung ihrer wichtigsten Grundsätze ist insbesondere bei einer datenintensiven Verarbeitung von Bedeutung. Der risikobasierte und technologieneutrale Ansatz der DSGVO bietet ein angemessenes Datenschutzniveau, um Verarbeitungsrisiken, auch in Verbindung mit neuen Technologien, zu begegnen. Insbesondere weisen die Interessenträger darauf hin, dass die Grundsätze der DSGVO in Bezug auf die Zweckbindung und die mit dem ursprünglichen Erhebungszweck vereinbare Weiterverarbeitung, die Datenminimierung, Speicherbegrenzung, Transparenz, Rechenschaftspflicht und die Bedingungen, unter denen automatisierte Entscheidungsprozesse rechtmäßig eingesetzt werden können, den Bedenken im Zusammenhang mit der Nutzung künstlicher Intelligenz weitgehend Rechnung tragen. Der zukunftssichere und risikobasierte Ansatz der DSGVO wird auch im möglichen künftigen Rahmen für künstliche Intelligenz und bei der Umsetzung der Datenstrategie Anwendung finden. Die Datenstrategie zielt darauf ab, die Datenverfügbarkeit zu fördern und gemeinsame europäische Datenräume zu schaffen, die von Diensten in Bezug auf zusammengeschlossene Cloud-Infrastrukturen unterstützt werden. Was den Schutz personenbezogener Daten anbelangt, bildet die DSGVO den wichtigsten Rechtsrahmen, innerhalb dessen je nach Art und Inhalt der einzelnen Datenräume von Fall zu Fall wirksame Lösungen entwickelt werden können. Die DSGVO hat das Bewusstsein für den Schutz personenbezogener Daten sowohl innerhalb als auch außerhalb der EU geschärft und die Unternehmen dazu veranlasst, ihre Verfahren anzupassen, um den Datenschutzgrundsätzen bei Innovationen Rechnung zu tragen. Laut Organisationen der Zivilgesellschaft haben sich die Praktiken großer digitaler Akteure bisher jedoch noch nicht grundlegend in Richtung einer datenschutzfreundlicheren Verarbeitung entwickelt, auch wenn der Einfluss der DSGVO auf die Entwicklung neuer Technologien positiv erscheint. Eine strenge und wirksame Durchsetzung der DSGVO gegenüber großen Online-Plattformen und integrierten Unternehmen, darunter in Bereichen wie Online-Werbung und Mikrotargeting, ist entscheidend für den Schutz der Bürgerinnen und Bürger.

Im Rahmen des Legislativpakets über digitale Dienste untersucht die Kommission gegenwärtig weitreichendere Fragen bezüglich des Marktverhaltens großer digitaler Akteure. Im Hinblick auf Forschung im Bereich der sozialen Medien weist die Kommission darauf hin, dass die DSGVO von den Plattformen der sozialen Medien nicht als Vorwand genutzt werden könne, um den Zugang von Forschern und Faktenprüfern zu nicht-personenbezogenen Daten zu beschränken, zum Beispiel Statistiken darüber, welche Personengruppen welche Werbung erhalten, die Kriterien für die Gestaltung dieser gezielten Werbung, Informationen über gefälschte Konten usw. Der technologieneutrale und zukunftssichere Ansatz der DSGVO stand während der COVID-19-Pandemie auf dem Prüfstand und hat sich als erfolgreich erwiesen. Die auf Datenschutzgrundsätzen basierten Vorschriften der DSGVO unterstützten die Entwicklung von Instrumenten zur Bekämpfung und Überwachung der Ausbreitung des Virus. Anstehende Herausforderungen Durch die Entwicklung und Anwendung neuer Technologien werden diese Datenschutzgrundsätze nicht infrage gestellt. Die Herausforderungen liegen in der Klarstellung dahingehend, wie die bewährten Datenschutzgrundsätze auf die Nutzung bestimmter Technologien wie künstliche Intelligenz, Blockchain, das Internet der Dinge, die Gesichtserkennung oder die Quanteninformatik angewendet werden können. In diesem Zusammenhang betonten das Europäische Parlament und der Rat, dass eine kontinuierliche Überwachung erforderlich sei, um zu klären, wie die DSGVO auf neue Technologien und Big-Tech-Unternehmen Anwendung findet. Darüber hinaus mahnten die Interessenträger an, dass eine Bewertung dessen, ob die DSGVO weiterhin ihren Zweck erfüllt, ebenfalls eine ständige Überwachung erfordere. Interessenträgern aus der Industrie zufolge setzt Innovation voraus, dass die DSGVO grundsatzbezogen und im Einklang mit ihrer Konzeption und nicht auf starre und formelle Weise angewendet wird. Sie sind der Ansicht, dass Leitlinien des Ausschusses im Hinblick auf die Anwendung der Grundsätze, Begriffe und Vorschriften der DSGVO auf neue Technologien wie künstliche Intelligenz, Blockchain oder Internet der Dinge unter Berücksichtigung des risikobasierten Ansatzes zu Klarstellungen und mehr Rechtssicherheit beitragen würden. Solche Soft-Law-Instrumente seien gut geeignet, die Anwendung der DSGVO auf die neuen Technologien zu begleiten, da sie mehr Rechtssicherheit bieten und entsprechend den technologischen Entwicklungen überarbeitet werden können. Einige Interessenträger schlagen auch vor, dass sektorspezifische Leitlinien dahingehend, wie die DSGVO auf neue Technologien anzuwenden ist, hilfreich sein könnten. Der Ausschuss erklärte, dass er die Auswirkungen neu entstehender Technologien auf den Schutz personenbezogener Daten weiterhin prüfen werde. Die Interessenträger betonen ferner, wie wichtig es für die Regulierungsbehörden sei, ein gründliches Verständnis davon zu erlangen, wie Technologien genutzt werden, und in einen Dialog mit der Industrie über die Entwicklung neu entstehender Technologien zu treten. Ihrer Auffassung nach könnte der Ansatz eines „regulatorischen Sandkastens“ – als Mittel für Orientierungshilfen bezüglich der Anwendung der Vorschriften – eine interessante Option sein, um neue Technologien zu erproben und Unternehmen dabei zu unterstützen, den Grundsatz des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen innerhalb neuer Technologien anzuwenden. Im Hinblick auf weitere politische Maßnahmen empfehlen die Interessenträger, dass künftige politische Vorschläge zu künstlicher Intelligenz auf den bestehenden Rechtsrahmen aufbauen und auf die DSGVO ausgerichtet sein sollten. Bevor neue verbindliche Vorschriften vorgeschlagen werden, sollten potenzielle spezifische Fragen auf der Grundlage einschlägiger Erkenntnisse sorgfältig geprüft werden. Das Weißbuch der Kommission zur Künstlichen Intelligenz enthält eine Reihe politischer Optionen, zu denen die Interessenträger bis zum 14. Juni 2020 Stellung nehmen sollten. In Bezug auf die Gesichtserkennung, eine Technologie, die sich erheblich auf die Rechte des Einzelnen auswirken kann, wird im Weißbuch auf den derzeitigen Rechtsrahmen verwiesen. Ferner wird eine öffentliche Debatte über die möglichen besonderen Umstände, die die Nutzung künstlicher Intelligenz für die Gesichtserkennung und für andere Zwecke der biometrischen Fernidentifikation im öffentlichen Raum rechtfertigen könnten, sowie über gemeinsame Sicherheitsvorkehrungen eingeleitet. 7Internationale Datenübermittlungen und globale Zusammenarbeit 7.1Schutz der Privatsphäre: ein weltweites Anliegen Die Forderung nach Schutz personenbezogener Daten kennt keine Grenzen, da Menschen auf der ganzen Welt zunehmend Wert auf den Schutz und die Sicherheit ihrer Daten legen. Gleichzeitig ist die Bedeutung des Datenverkehrs für Personen, Regierungen, Unternehmen und allgemein für die Gesellschaft eine unausweichliche Tatsache in unserer vernetzten Welt. Der Datenverkehr ist ein integrierter Bestandteil beim Handel, bei der Zusammenarbeit zwischen Behörden und bei sozialen Interaktionen. In diesem Zusammenhang zeigt die derzeitige COVID-19-Pandemie auch, wie wichtig die Übermittlung und der Austausch personenbezogener Daten für viele unbedingt notwendige Tätigkeiten sind, darunter die Gewährleistung der Aufrechterhaltung von Regierungsgeschäften und des Geschäftsbetriebs von Unternehmen – indem Telearbeit und andere Lösungen, die in hohem Maße auf Informations- und Kommunikationstechnologien beruhen, ermöglicht werden –, die Zusammenarbeit in der wissenschaftlichen Forschung bei Diagnose, Therapie und Impfstoffen sowie die Bekämpfung neuer Formen der Cyberkriminalität wie Online-Betrugsmechanismen, die gefälschte Arzneimittel anbieten, welche vorgeben, COVID-19 zu verhindern oder zu heilen. Vor diesem Hintergrund müssen mehr denn je der Schutz der Privatsphäre und die Erleichterung des Datenverkehrs Hand in Hand gehen. Die EU ist mit ihrer Datenschutzregelung, die Offenheit für die internationale Übermittlung von Daten mit einem hohen Schutzniveau für den Einzelnen verbindet, sehr gut aufgestellt, um den sicheren und vertrauenswürdigen Datenverkehr zu fördern. Die DSGVO hat sich auf internationaler Ebene bereits als Bezugspunkt etabliert und für viele Länder in der ganzen Welt als Katalysator gewirkt, die Einführung moderner Datenschutzvorschriften in Erwägung zu ziehen. Dieser tatsächlich weltweite Trend ist unter anderem in Chile, Südkorea, Brasilien, Japan, Kenia, Indien, Tunesien, Indonesien, Kalifornien und Taiwan, um nur einige zu nennen, zu beobachten. Diese Entwicklungen sind nicht nur in quantitativer, sondern auch in qualitativer Hinsicht bemerkenswert: Viele der Datenschutzgesetze, die kürzlich verabschiedet wurden oder deren Verabschiedung derzeit läuft, beruhen auf einem grundlegenden Paket gemeinsamer Garantien, Rechte und Durchsetzungsmechanismen, welche von der EU geteilt werden. In einer Welt, die allzu oft durch unterschiedliche, wenn nicht sogar divergierende Regulierungskonzepte gekennzeichnet ist, ist dieser Trend hin zu einer globalen Annäherung eine äußerst positive Entwicklung, die neue Chancen für einen besseren Schutz des Einzelnen in Europa eröffnet und gleichzeitig den Datenverkehr erleichtert und die Übermittlungskosten für die Unternehmen senkt. Um diese Chancen zu nutzen und die in ihrer Mitteilung über den Austausch und Schutz personenbezogener Daten in einer globalisierten Welt aus dem Jahr 2017 dargelegte Strategie umzusetzen‚ hat die Kommission ihre Arbeit im Hinblick auf die internationale Dimension des Datenschutzes erheblich intensiviert, indem sie – wie nachstehend erläutert – das verfügbare Instrumentarium für Datenübermittlungen voll ausgeschöpft hat. Hierzu zählte auch die aktive Zusammenarbeit mit wichtigen Partnern, um zu einer „Angemessenheitsfeststellung“ zu gelangen, sowie die Erzielung bedeutsamer Ergebnisse, wie die Schaffung des weltweit größten Raums für freien und sicheren Datenverkehr zwischen der EU und Japan. Neben ihrer Arbeit in Bezug auf Angemessenheitsfeststellungen und -beschlüsse hat die Kommission mit den Datenschutzbehörden innerhalb des Ausschusses sowie mit anderen Interessenträgern eng zusammengearbeitet, um die flexiblen Vorschriften der DSGVO in Bezug auf internationale Datenübermittlungen in vollem Umfang zu nutzen. Dies betrifft die Modernisierung von Instrumenten wie Standardvertragsklauseln, die Entwicklung von Zertifizierungssystemen, Verhaltensregeln oder Verwaltungsvereinbarungen für den Datenaustausch zwischen Behörden sowie die Klarstellung von Schlüsselkonzepten, die beispielsweise den räumlichen Anwendungsbereich der EU-Datenschutzvorschriften oder die Anwendung sogenannter „Ausnahmen“ für die Übermittlung personenbezogener Daten betreffen. Und nicht zuletzt hat die Kommission ihren Dialog in mehreren bilateralen, regionalen und multilateralen Foren verstärkt, um eine globale Kultur der Achtung der Privatsphäre zu fördern und Elemente der Angleichung zwischen verschiedenen Datenschutzsystemen zu entwickeln. Bei ihren Bemühungen konnte die Kommission sich auf die aktive Unterstützung durch den Europäischen Auswärtigen Dienst und das Netz der EU-Delegationen in Drittländern und der Vertretungen bei internationalen Organisationen stützen. Auf diese Weise wurden bei den verschiedenen Aspekten der externen Dimension der EU-Politik – vom Handel bis hin zur neuen Partnerschaft zwischen Afrika und der EU – auch Kohärenz und eine größere Komplementarität sichergestellt.

7.2Das Instrumentarium der DSGVO für Datenübermittlungen Da immer mehr private und öffentliche Akteure im Rahmen ihrer routinemäßigen Tätigkeiten auf internationalen Datenverkehr angewiesen sind, besteht ein steigender Bedarf an flexiblen Instrumenten, die an verschiedene Sektoren, Geschäftsmodelle und Übermittlungssituationen angepasst werden können. Um diesem Bedarf Rechnung zu tragen, bietet die DSGVO ein modernisiertes Instrumentarium, das die Übermittlung personenbezogener Daten aus der EU an Drittländer und internationale Organisationen erleichtert und gleichzeitig ein hohes Datenschutzniveau gewährleistet. Ein solcher kontinuierlicher Schutz ist wichtig, da der Datenverkehr in der heutigen Welt grenzüberschreitend ist und die durch die DSGVO garantierten Schutzmaßnahmen, würden sie auf eine Verarbeitung innerhalb der EU beschränkt, unvollständig wären. Mit Kapitel V der DSGVO bestätigte der Gesetzgeber die Struktur der Übermittlungsvorschriften, die bereits gemäß der Richtlinie 95/46/EG bestanden hatten: Datenübermittlungen können stattfinden, wenn die Kommission eine Angemessenheitsfeststellung in Bezug auf ein Drittland oder eine internationale Organisation getroffen hat oder wenn mangels einer solchen Feststellung der Verantwortliche oder der Auftragsverarbeiter in der EU („Datenexporteur“) geeignete Garantien, beispielsweise durch einen Vertrag mit dem Empfänger („Datenimporteur“), bereitgestellt hat. Darüber hinaus sind weiterhin gesetzliche Gründe für Datenübermittlungen (sogenannte Ausnahmen) für bestimmte Situationen verfügbar, in Bezug auf die der Gesetzgeber entschieden hat, dass aufgrund einer Interessenabwägung eine Datenübermittlung unter bestimmten Bedingungen möglich ist. Gleichzeitig wurden die bestehenden Vorschriften durch die Reform klarer gefasst und vereinfacht, indem beispielsweise die Bedingungen für eine Angemessenheitsfeststellung oder für verbindliche interne Datenschutzvorschriften im Einzelnen festgelegt, die Genehmigungsanforderungen auf sehr wenige spezifische Fälle beschränkt und Meldepflichten vollständig abgeschafft wurden. Darüber hinaus wurden neue Instrumente für Datenübermittlungen wie Verhaltensregeln oder Zertifizierungssysteme eingeführt und die Möglichkeiten für die Nutzung bestehender Instrumente (z. B. Standardvertragsklauseln) erweitert. Die heutige digitale Wirtschaft ermöglicht es ausländischen Wirtschaftsteilnehmern, (aus der Ferne) direkt am EU-Binnenmarkt teilzunehmen und um europäische Kunden und deren personenbezogene Daten zu konkurrieren. Sofern ausländische Wirtschaftsteilnehmer ihr Waren- oder Dienstleistungsangebot speziell an europäische Verbraucher richten oder deren Verhalten beobachten, sollten sie in gleicher Weise wie in der EU angesiedelte Wirtschaftsteilnehmer Unionsrecht einhalten. Dieser Sachverhalt spiegelt sich in Artikel 3 der DSGVO wider, der die unmittelbare Anwendbarkeit der EU-Datenschutzvorschriften auf bestimmte Verarbeitungsvorgänge von nicht in der EU niedergelassenen Verantwortlichen und Auftragsverarbeitern ausdehnt. Dadurch werden die erforderlichen Garantien und obendrein gleiche Wettbewerbsbedingungen für alle auf dem Unionsmarkt tätigen Unternehmen gewährleistet. Ihre breite Reichweite ist einer der Gründe, warum die Auswirkungen der DSGVO auch in anderen Teilen der Welt spürbar waren. Die ausführlichen Leitlinien, die der Ausschuss im Anschluss an eine umfassende öffentliche Konsultation zum räumlichen Anwendungsbereich der DSGVO herausgegeben hat, sind daher wichtig, um ausländische Wirtschaftsteilnehmer, unter anderem durch konkrete Beispiele, bei der Bestimmung dessen zu unterstützen, ob und welche Verarbeitungstätigkeiten unmittelbar den in der DSGVO genannten Garantien unterliegen. Die Ausweitung des Anwendungsbereichs des EU-Datenschutzrechts allein reicht jedoch nicht aus, um dessen Einhaltung in der Praxis zu garantieren. Wie auch der Ausschuss betont hat‚ ist es von entscheidender Bedeutung, die Einhaltung der Vorschriften durch ausländische Wirtschaftsteilnehmer und ihre wirksame Durchsetzung gegenüber diesen Wirtschaftsteilnehmern sicherzustellen. Die Benennung eines Vertreters in der EU (Artikel 27 Absätze 1 und 2 der DSGVO), an den sich Einzelpersonen und Aufsichtsbehörden zusätzlich zu dem im Ausland operierenden verantwortlichen Unternehmen oder an dessen Stelle wenden können, sollte in dieser Hinsicht eine Schlüsselrolle spielen. Dieser Ansatz, der zunehmend auch in anderen Kontexten übernommen wird, sollte energischer verfolgt werden, um klar zu machen, dass ausländische Unternehmen ohne Niederlassung in der EU nicht von ihrer Verantwortung gemäß der DSGVO entbunden sind. Kommen diese Wirtschaftsteilnehmer ihrer Verpflichtung zur Benennung eines Vertreters nicht nach‚ sollten die Aufsichtsbehörden das in Artikel 58 der DSGVO zur Durchsetzung vorgesehene Instrumentarium (z. B. öffentliche Warnungen, ein vorübergehendes oder endgültiges Verbot der Verarbeitung in der EU, Durchsetzung gegenüber gemeinsam für die Verarbeitung Verantwortlichen mit Sitz in der EU) in vollem Umfang nutzen. Letztendlich ist es sehr wichtig, dass der Ausschuss seine Arbeit zur weiteren Klärung des Zusammenhangs zwischen Artikel 3 über die unmittelbare Anwendung der DSGVO und den Vorschriften über internationale Datenübermittlungen in Kapitel V zum Abschluss bringt. Angemessenheitsbeschlüsse Die Beiträge von Interessenträgern bestätigen, dass Angemessenheitsbeschlüsse für Wirtschaftsteilnehmer in der EU nach wie vor ein wesentliches Instrument für die sichere Übermittlung personenbezogener Daten in Drittländer sind. Solche Beschlüsse sind die umfassendste, einfachste und kostengünstigste Lösung für Datenübermittlungen, da sie mit Datenübermittlungen innerhalb der EU gleichzusetzen sind und somit den sicheren und freien Verkehr personenbezogener Daten ohne weitere Bedingungen oder eine Genehmigungspflicht gewährleisten. Angemessenheitsbeschlüsse eröffnen demnach EU-Wirtschaftsteilnehmern kommerzielle Kanäle und erleichtern die Zusammenarbeit zwischen den Behörden bei gleichzeitiger Gewährung eines privilegierten Zugangs zum EU-Binnenmarkt. Aufbauend auf der Praxis gemäß der Richtlinie von 1995 sieht die DSGVO ausdrücklich vor, dass die Angemessenheit für ein bestimmtes Gebiet oder einen bestimmten Sektor oder Wirtschaftszweig in einem Drittland festgestellt werden kann (sogenannte „teilweise“ Angemessenheit). Die DSGVO baut auf den Erfahrungen der vergangenen Jahre und den Klarstellungen des Gerichtshofs auf, indem ein detaillierter Katalog von Elementen festgelegt wird, die die Kommission bei ihrer Bewertung berücksichtigen muss. Der Angemessenheitsstandard verlangt ein Schutzniveau, das mit dem in der EU gewährleisteten vergleichbar (bzw. „der Sache nach gleichwertig “) ist. Hierzu zählt eine umfassende Bewertung des gesamten Systems des Drittlands, einschließlich des Inhalts der Datenschutzvorschriften, ihrer wirksamen Umsetzung und Durchsetzung sowie der Vorschriften über den Zugang der Behörden zu personenbezogenen Daten, insbesondere zu Zwecken der Strafverfolgung und der nationalen Sicherheit. Diese Forderung spiegelt sich auch in den Leitlinien wider, die von der ehemaligen Artikel-29-Datenschutzgruppe angenommen (und vom Ausschuss gebilligt) wurden, insbesondere in der „Referenzgrundlage für Angemessenheit“, in der die Elemente näher erläutert werden, die die Kommission bei ihrer Beurteilung der Angemessenheit berücksichtigen muss, unter anderem durch eine Übersicht über die „wesentlichen Garantien“ für den Zugang von Behörden zu personenbezogenen Daten. Letzterer stützt sich insbesondere auf die Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte. Der Grundsatz der „Gleichwertigkeit der Sache nach“ besagt zwar nicht, dass die EU-Vorschriften Punkt für Punkt wiederzugeben (zu „kopieren“) sind, da die Mittel zur Gewährleistung eines vergleichbaren Schutzniveaus je nach Datenschutzsystem unterschiedlich sein können und häufig unterschiedliche Rechtstraditionen widerspiegeln, verlangt aber dennoch ein hohes Schutzniveau. Dieser Grundsatz ist dadurch gerechtfertigt, dass ein Angemessenheitsbeschluss die Vorteile des Binnenmarkts im Hinblick auf den freien Datenverkehr im Wesentlichen auf ein Drittland ausdehnt. Das bedeutet aber auch, dass es bisweilen erhebliche Unterschiede zwischen dem in dem betreffenden Drittland gewährleisteten Schutzniveau und der DSGVO gibt, die überbrückt werden müssen, beispielsweise durch Verhandlungen über zusätzliche Garantien. Solche Garantien sollten positiv bewertet werden, da sie den Schutz, der Personen in der EU zur Verfügung steht, weiter stärken. Gleichzeitig stimmt die Kommission mit dem Ausschuss darin überein, dass es wichtig ist, die Anwendung der Garantien in der Praxis kontinuierlich zu überwachen, wozu auch eine wirksame Durchsetzung durch die Datenschutzbehörde des Drittlands gehört. In der DSGVO wird klargestellt, dass Angemessenheitsbeschlüsse „lebendige Instrumente“ sind, die fortlaufend überwacht und regelmäßig überprüft werden sollten. Im Einklang mit diesen Anforderungen tauscht sich die Kommission regelmäßig mit den zuständigen Behörden aus, um neue Entwicklungen proaktiv zu verfolgen. Beispielsweise wurden seit Annahme des Beschlusses über das EU-US-Datenschutzschild im Jahr 2016 zusammen mit den Vertretern des Ausschusses drei jährliche Überprüfungen durchgeführt, um alle Aspekte der Funktionsweise dieses Datenschutzschildes zu bewerten. Diese Überprüfungen stützten sich auf Informationen, die durch den Austausch mit den US-Behörden gewonnen wurden, sowie auf Beiträge anderer Interessenträger wie EU-Datenschutzbehörden, der Zivilgesellschaft und Branchenverbände. Auf diese Weise konnte die praktische Funktionsweise verschiedener Elemente des Datenschutzschildes verbessert werden. Im weiteren Sinne trugen die jährlichen Überprüfungen dazu bei, einen umfassenderen Dialog mit der US-Regierung über Datenschutz im Allgemeinen sowie die Einschränkungen und Garantien in Bezug auf die nationale Sicherheit im Besonderen aufzubauen. Im Rahmen der ersten Bewertung der DSGVO ist die Kommission auch verpflichtet, die nach der Richtlinie von 1995 angenommenen Angemessenheitsbeschlüsse zu überprüfen. Die Kommissionsdienststellen haben einen intensiven Dialog mit jedem der elf betroffenen Länder und Gebiete eingeleitet, um zu bewerten, wie sich deren Systeme zum Schutz personenbezogener Daten seit der Annahme des Angemessenheitsbeschlusses entwickelt haben und ob diese Systeme die in der DSGVO festgelegten Standards erfüllen. Die Notwendigkeit, die Kontinuität dieser Beschlüsse zu gewährleisten, da sie ein wichtiges Instrument für den Handel und die internationale Zusammenarbeit sind, ist einer der Faktoren, der mehrere dieser Länder und Gebiete dazu bewogen hat, ihre Datenschutzgesetze zu aktualisieren und zu verstärken. Das sind in jedem Fall begrüßenswerte Entwicklungen. Mit einigen dieser Länder und Gebiete werden derzeit weitere Garantien erörtert, um wesentliche Unterschiede hinsichtlich des Datenschutzes anzugehen. Da der Gerichtshof in seinem am 16. Juli zu verkündenden Urteil möglicherweise Klarstellungen liefert, die für bestimmte Elemente des Angemessenheitsstandards relevant sein könnten, wird die Kommission über die Bewertung der vorstehend erwähnten elf Angemessenheitsbeschlüsse gesondert Bericht erstatten, nachdem der Gerichtshof sein Urteil in dieser Rechtssache erlassen hat. Zur Umsetzung der in ihrer Mitteilung über den Austausch und Schutz personenbezogener Daten in einer globalisierten Welt von 2017 dargelegten Strategie hat die Kommission ebenfalls neue Angemessenheitsdialoge aufgenommen. Diese Arbeit hat bereits zu bedeutenden Ergebnissen geführt, an denen wichtige Partner der EU beteiligt waren. Im Januar 2019 nahm die Kommission ihren Angemessenheitsbeschluss für Japan an, der auf einem hohen Maß an Konvergenz beruht, unter anderem durch spezifische Garantien zum Beispiel im Bereich der Weiterübermittlung personenbezogener Daten und durch die Schaffung eines Mechanismus zur Untersuchung und Beilegung von Individualbeschwerden über den Zugang staatlicher Behörden zu personenbezogenen Daten aus Gründen der Strafverfolgung und der nationalen Sicherheit. Als erste Angemessenheitsfeststellung, die im Rahmen der DSGVO angenommen wurde, bietet der mit Japan vereinbarte Rahmen einen nützlichen Präzedenzfall für künftige Beschlüsse. Dazu gehört auch die Tatsache, dass sie auf japanischer Seite durch eine „Angemessenheitsfeststellung“ für die EU erwidert wurde. Diese gegenseitigen Angemessenheitsfeststellungen bilden zusammen den weltweit größten Raum für einen sicheren und freien Verkehr personenbezogener Daten und ergänzen damit das Wirtschaftspartnerschaftsabkommen zwischen der EU und Japan. Die Vereinbarung unterstützt den Handel mit Waren im Wert von rund 124 Mrd. EUR und den Handel mit Dienstleistungen im Wert von 42,5 Mrd. EUR jährlich. Das Angemessenheitsverfahren mit Südkorea befindet sich ebenfalls in einem fortgeschrittenen Stadium. Ein wichtiges Ergebnis ist die jüngste Gesetzesreform Südkoreas, die zur Einrichtung einer unabhängigen Datenschutzbehörde mit starken Durchsetzungsbefugnissen geführt hat. Dies zeigt, wie ein Angemessenheitsdialog zu einer stärkeren Annäherung zwischen den Datenschutzvorschriften der EU und denen eines anderen Landes beitragen kann. Die Kommission stimmt der Aufforderung der Interessenträger voll und ganz zu, den Dialog mit ausgewählten Drittländern im Hinblick auf mögliche neue Angemessenheitsfeststellungen zu intensivieren. Sie prüft diese Möglichkeit aktiv mit anderen wichtigen Partnern in Asien, Lateinamerika und der Nachbarschaft Europas und stützt sich dabei auf den derzeitigen Trend einer weltweiten Aufwärtskonvergenz bei Datenschutzstandards. So wurden beispielsweise umfassende Rechtsvorschriften zum Datenschutz in Lateinamerika (Brasilien, Chile) verabschiedet oder befinden sich in einem fortgeschrittenen Stadium des Gesetzgebungsprozesses; außerdem finden vielversprechende Entwicklungen in Asien (z. B. Indien, Indonesien, Malaysia, Sri Lanka, Taiwan und Thailand), in Afrika (z. B. Äthiopien, Kenia) sowie in der östlichen und südlichen Nachbarschaft Europas (z. B. Georgien, Tunesien) statt. Soweit möglich, wird die Kommission auf umfassende Angemessenheitsbeschlüsse sowohl für den privaten als auch für den öffentlichen Sektor hinarbeiten. Darüber hinaus sieht die DSGVO die Möglichkeit für die Kommission vor, Angemessenheitsfeststellungen f