10. Ländervertreter im EDSA

Seit 2021 bin ich der vom Bundesrat nach § 17 Abs. 1 Satz 2 Bundesdatenschutzgesetz für fünf Jahre gewählte Ländervertreter im Europäischen Datenschutzausschuss (EDSA; allgemein zu diesem Ausschuss und zu meinen Aufgaben als Ländervertreter siehe meinen 31. Tätigkeitsbericht 2021 unter Nr. 12).

Um die europaweit einheitliche Anwendung des Datenschutzrechts zu gewährleisten, beschließt der EDSA insbesondere Leitlinien und spricht Empfehlungen aus. Er gibt Stellungnahmen in Rechtsetzungsverfahren ab und entscheidet über Meinungsverschiedenheiten zwischen einzelnen Datenschutz-Aufsichtsbehörden (vgl. Art. 70 Abs. 1 DSGVO). Durch diese Tätigkeiten trägt der EDSA insbesondere zu einer verbesserten Zusammenarbeit in grenzüberschreitenden Sachverhalten bei.

Im Jahr 2024 hat der EDSA zwölfmal getagt. Folgende Arbeitsergebnisse des EDSA möchte ich besonders hervorheben:

Die Stellungnahme 08/2024 zur Wirksamkeit von Einwilligungen im Kontext von "Consent or Pay"-Modellen großer Online-Plattformen des EDSA betont, dass Einwilligungen in solchen Modellen nur als wirksam gelten, wenn sie freiwillig, spezifisch, informiert und unmissverständlich erteilt werden. Zudem wird hervorgehoben, dass eine "gleichwertige Alternative" angeboten werden sollte, die nicht an die Zahlung eines Entgelts geknüpft ist, um sicherzustellen, dass Nutzer nicht unter Druck gesetzt werden, ihre Zustimmung zu geben. Eine solche Alternative unterstützt die Annahme der Freiwilligkeit erklärter Einwilligungen.

In der Stellungnahme 22/2024 äußert sich der EDSA zu bestimmten Verpflichtungen, die sich aus der Inanspruchnahme von Auftragsverarbeitern und Unterauftragsverarbeitern ergeben. Die Stellungnahme steht im Kontext eines Verfahrens nach Art. 64 Abs. 2 DSGVO, das jede Aufsichtsbehörde einleiten kann, wenn die gestellten Fragen von europaweiter Relevanz sind. Aufgeworfen waren mehrere Fragen zur Auslegung von Art. 28 und 44 DSGVO. Die Fragen betrafen insbesondere die Rechenschaftspflicht des Verantwortlichen beim Einsatz mehrerer "in Kette" hintereinander geschalteter (Unter-)Auftragsverarbeiter. Daneben ging es um Fragen der vertraglichen Ausgestaltung von Vereinbarungen zur Auftragsverarbeitung. Diese Fragen betrafen sowohl Verarbeitungen innerhalb des Europäischen Wirtschaftsraums (EWR) als auch Konstellationen mit Drittstaatenbezug.
Die Stellungnahme 28/2024 behandelt gewisse Datenschutzaspekte der Verarbeitung personenbezogener Daten im Zusammenhang mit KI-Modellen. Die Stellungnahme behandelt insbesondere die Fragen, wann und unter welchen Voraussetzungen ein KI-Modell für "anonym" befunden werden kann, auf welche Weise Verantwortliche die Angemessenheit des berechtigten Interesses als Rechtsgrundlage nachweisen können, wobei zwischen Entwicklungs- und Einsatzphase zu unterscheiden ist, und welche Folgen eine rechtswidrige Verarbeitung personenbezogener Daten in der Entwicklungsphase eines KI-Modells auf die spätere Verarbeitung oder den späteren Betrieb des KI-Modells hat.
Die Leitlinien 1/2024 on processing of personal data based on Article 6(1)(f) GDPR befassen sich mit den Voraussetzungen und dem Anwendungsbereich dieses Rechtfertigungsgrundes. Zugleich behandeln sie beispielhaft Konstellationen, in denen Verantwortliche Datenverarbeitungen auf ein berechtigtes Interesse stützen.

Für öffentliche Stellen ist besonders die Feststellung wichtig, dass sich Behörden nur in besonderen Ausnahmefällen auf diesen Rechtfertigungsgrund berufen können. Ausgeschlossen wird die Berufung auf berechtigte Interessen für Datenverarbeitungen im Zusammenhang mit der spezifischen Aufgabe der jeweiligen Behörde. Das entspricht Art. 6 Abs. 1 UAbs. 2 DSGVO.

Internet: https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/ (externer Link) opinion-082024-valid-consent-context-consent-or_de. [Zurück]
Internet: https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/ (externer Link) opinion-222024-certain-obligations-following_de. [Zurück]
Internet: https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/ (externer Link) opinion-282024-certain-data-protection-aspects_de. [Zurück]
Internet: https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/ (externer Link) 2024/guidelines-12024-processing-personal-data-based_en. [Zurück]