11

Kernpunkte:

  • Neues vom Europäischen Datenschutzausschuss
  • Akkreditierung und Zertifizierung
  • Ad-Hoc Working Group „Data Protection Engineering” der ENISA

11  Europa  und Internationales

Die Arbeit in den deutschen Datenschutzaufsichtsbehörden hat ebenso wie in den Behörden der anderen Mitgliedstaaten der EU mittlerweile viel mit Europa zu tun. Mit der Datenschutz-Grundverordnung besteht ein Regelwerk, das im Prinzip in allen Mitgliedstaaten gleich ist und auch gleich interpretiert und angewendet werden soll. Einige der Aktivitäten mit Bezug zu Europa und darüber hinaus werden in diesem Kapitel dargestellt.

 

11.1        Neues vom Europäischen Datenschutzausschuss

Der Europäische Datenschutzausschuss (EDSA) ist ein unabhängiges europäisches Gremium. Es ist die Dachorganisation, die die nationalen Datenschutzbehörden der Länder des Europäischen Wirtschaftsraums sowie den Europäischen Datenschutzbeauftragten (EDSB) zusammenbringt.

Als am 25.05.2018 die Datenschutz-Grundverordnung Geltung erlangte, war noch nicht klar, ob die Mechanismen zur Zusammenarbeit in Europa funktionieren würden. Heute weiß man, dass es im Grundsatz ganz gut klappt. Insbesondere erfüllt der Europäische Datenschutzausschuss (EDSA) die wichtige Aufgabe sicherzustellen, dass die Datenschutz-Grundverordnung und die Datenschutzrichtlinie für Justiz und Inneres (JI-Richtlinie 2016/680) einheitlich angewandt werden und die Zusammenarbeit – auch bei der Durchsetzung des Datenschutzes durch die Aufsichtsbehörden – gewährleistet wird.

Die Ergebnisse des EDSA – teilweise mit unserer Zuarbeit – im Berichtsjahr sind vielfältig. Für die Anwender sind Leitlinien (Guidelines) zur Interpretation des Datenschutzrechts besonders wichtig, die häufig zuerst in einer ersten Version einer öffentlichen Konsultation unterzogen und dann zu einer Version 2.0 weiterentwickelt werden.

Die angenommenen Leitlinien und erarbeiteten Stellungnahmen aus dem Jahr 2023 werden im Folgenden aufgelistet:

Viele der Dokumente sind besonders relevant für die Praxis, damit Anwender als Verantwortliche oder Auftragsverarbeiter Orientierung bei der Auslegung der DSGVO erhalten. Die Stellungnahmen richten sich an die Gesetzgeber auf europäischer Ebene – genau genommen betreffen sie aber den gesamten politischen und datenschutzrechtlichen Diskurs zu den jeweiligen Themen. So passte es gut, dass die Stellungnahme zum digitalen Euro bereits veröffentlicht war, als das Thema mit landesspezifischer Ausrichtung in Ausschüssen des Schleswig-Holsteinischen Landtages behandelt wurde.

 

11.2        Akkreditierung und Zertifizierung in der europäischen Expert Subgroup

Auch im Berichtszeitraum haben wir unsere Erfahrungen wieder in der für Fragen der Akkreditierung und Zertifizierung zuständigen Compliance, e-Government und Health Expert Subgroup (CEH Expert Subgroup) eingebracht. Die auf europäischer Ebene zuständige Gruppe hat sich dabei insbesondere mit Fragen der innereuropäischen Zusammenarbeit der Aufsichtsbehörden, des Drittstaatentransfers personenbezogener Daten gemäß Artikel 46 DSGVO im Kontext datenschutzrechtlicher Zertifizierungen sowie mit Grundsatzfragen zum Themenkomplex der Akkreditierung und Zertifizierung beschäftigt.

Da einige der in diesem Rahmen aufgeworfenen Fragen auch die Zusammenarbeit mit anderen Expert Subgroups und deren Expertise betrafen, war u. a. die Einbindung der International Transfer Subgroup (ITS) sowie der Key Provision Subgroup (KEYP) notwendig.

Diese Fragestellungen wurden im Berichtszeitraum nicht nur online und im schriftlichen Verfahren erörtert, sondern waren auch Gegenstand zweier Workshops zu Beginn und am Ende des Jahres 2023. Während beim ersten Workshop ausschließlich Mitglieder der CEH Expert Subgroup teilnahmen, waren bei der zweiten Veranstaltung auch Mitglieder der ITS sowie Vertreterinnen und Vertreter von Zertifizierungsstellen vertreten. Dies ermöglichte einen intensiven und vor allem auch praxisbezogenen Austausch unter den Teilnehmenden.

Darüber hinaus haben wir uns auch dieses Mal wieder aktiv an der Bewertung und Prüfung auf europäischer Ebene eingereichter Zertifizierungsprogramme aus Deutschland und Europa und der Erstellung von darauf bezogenen Stellungnahmen beteiligt.

Was ist zu tun?
Die Zusammenarbeit in Europa zur weiteren Ausgestaltung von Akkreditierungs- und Zertifizierungsvorgaben ist fortzusetzen und nach Möglichkeit zu intensivieren.

 

11.3        ENISA-Arbeitsgruppe zum „Data Protection Engineering”

Wie bereits im Vorjahr berichtet (41. TB, Tz. 2.3), wirkt die Landesbeauftragte für Datenschutz in der „Ad-Hoc Working Group (AHWG) on Data Protection Engineering“ der Agentur der Europäischen Union für Cybersicherheit (ENISA) mit.

ENISA
Die Agentur der Europäischen Union für Cybersicherheit (ENISA) hat die Aufgabe, zu einem hohen gemeinsamen Maß an Cybersicherheit in ganz Europa beizutragen.

Solche von der ENISA eingesetzten Ad-hoc-Arbeitsgruppen bestehen aus Sachverständigen, die sich mit spezifischen technischen und wissenschaftlichen Fragen befassen. In diesem Fall beschäftigt sich die AHWG zu Data Protection Engineering mit der Analyse verfügbarer oder entstehender Technologien und Verfahren zu Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen, wie dies in Artikel 25 DSGVO gefordert wird.

Die teilnehmenden Sachverständigen kommen aus Wissenschaft, Wirtschaft, Verwaltung sowie den Datenschutzaufsichtsbehörden aus Griechenland, Italien, Spanien und Schleswig-Holstein. Zusätzliche Beobachter (sogenannte „Observer“) der Arbeiten, die stets mit zu Treffen eingeladen werden, kommen aus dem EDSA-Sekretariat und vom Europäischen Datenschutzbeauftragten. Die Gruppe soll drei Jahre aktiv sein und jährlich Ergebnisse vorlegen.

Die Website zur Ad-hoc-Arbeitsgruppe ist unter dem folgenden Link erreichbar:
https://www.enisa.europa.eu/topics/cybersecurity-policy/data-protection/ad-hoc-working-group-on-data-protection-engineering
Kurzlink: https://uldsh.de/tb42-11-3a

Bisher hat die Gruppe die folgenden Berichte erarbeitet:

Bericht „Engineering Personal Data Sharing – Emerging Use Cases and Technologies“ (2023):
https://www.enisa.europa.eu/publications/engineering-personal-data-sharing
Kurzlink: https://uldsh.de/tb42-11-3b

Bericht „Engineering Personal Data Protection in EU Data Spaces“ (2024)
https://www.enisa.europa.eu/publications/engineering-personal-data-protection-in-eu-data-spaces
Kurzlink: https://uldsh.de/tb42-11-3c

Die Themenkomplexe Datenteilen (Data Sharing) und Datenräume (Data Spaces) wurden aufgrund der Europäischen Datenstrategie (41. TB, Tz. 2.3) gewählt.

Was ist zu tun?
Es gibt bisher keine Garantie, dass bei der Umsetzung der Europäischen Datenstrategie in die Praxis die Anforderungen des Artikels 25 DSGVO berücksichtigt werden. Daher verdienen die Ausarbeitungen der Ad-Hoc Working Group on Data Protection Engineering der ENISA frühzeitig Aufmerksamkeit. Zudem wäre von Vorteil, wenn das Know-how der Sachverständigen auch bei konkreten Gestaltungsfragen der europäischen Entwicklungen in der Umsetzung über die nächsten Jahre einfließen könnte oder die Sachverständigen jedenfalls fallweise hinzugezogen würden.

 

Zurück zum vorherigen Kapitel Zum Inhaltsverzeichnis Zum nächsten Kapitel