Die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union, die am 25. Mai 2018 in Kraft trat, markierte einen entscheidenden Schritt im europäischen Datenschutzrecht. Ziel der Verordnung ist es, den Schutz personenbezogener Daten innerhalb der EU zu stärken und gleichzeitig den freien Datenverkehr im Binnenmarkt zu gewährleisten. Am 25. Juli 2024 veröffentlichte die Europäische Kommission ihren „Zweiten Bericht zur Anwendung der Datenschutz-Grundverordnung (DSGVO)“. Dieser Bericht gibt Aufschluss über den aktuellen Stand der Umsetzung der DSGVO, analysiert Herausforderungen und identifiziert Handlungsfelder für die Zukunft.

Gemäß Art. 97 der DSGVO ist die Europäische Kommission verpflichtet, dem Europäischen Parlament und dem Rat alle vier Jahre über die Anwendung der Verordnung zu berichten. Diese Berichte dienen nicht nur der Evaluierung der bisherigen Umsetzung, sondern sollen auch Möglichkeiten zur Anpassung und Weiterentwicklung aufzeigen. Der erste Bericht, der im Juni 2020 veröffentlicht wurde, lieferte erste Erkenntnisse zur Implementierung und Anwendung der DSGVO in den Mitgliedstaaten. Der zweite Bericht baut auf diesen Erkenntnissen auf und reflektiert die Entwicklungen und Erfahrungen der vergangenen vier Jahre.

Die wichtigsten Punkte

Bestätigt wird, dass die DSGVO im Wesentlichen ihre Ziele erreicht hat. Sie hat das Bewusstsein für den Schutz personenbezogener Daten in der EU erheblich gesteigert und die Rechte der Bürgerinnen und Bürger gestärkt. Unternehmen und Organisationen haben ihre Daten­schutz­praxis verbessert, und eine Harmonisierung der Datenschutzvorschriften in der gesamten EU hat stattgefunden.

Die Kommission stellt fest, dass die DSGVO sowohl auf europäischer als auch auf globaler Ebene Maßstäbe gesetzt hat. Viele Länder außer­halb der EU haben ähnliche Daten­schutz­ge­setze erlassen oder ihre bestehenden Gesetze an die DSGVO angepasst, um den Handel mit der EU zu erleichtern und einen vergleichbaren Datenschutzstandard zu gewährleisten.

Durchsetzung und Sanktionen

Ein zentrales Thema des Berichts ist die Durchsetzung der DSGVO. Die Kommission hebt her­vor, dass seit 2018 mehrere hochkarätige Fälle von Datenschutzverletzungen aufgedeckt wurden, die zu signifikanten Bußgeldern geführt haben. Insbesondere gegen große Technologiekonzerne wurden teils sehr hohe Geldstrafen verhängt und der Stellenwert der DSGVO-Compliance verdeutlicht. Dies erfolgte u.a. für Ver­stöße gegen die Rechtmäßigkeit und Sicherheit der Verarbeitung, Verstöße gegen die Verarbeitung besonderer Kategorien personenbezo­ge­ner Daten und Verletzungen der Rechte des Einzelnen.

Ein Beispiel ist die Verhängung einer Geldstrafe in dreistelliger Millionenhöhe gegen ein globales Unternehmen, das gegen Vorschriften zur Datenübermittlung in Drittländer verstoßen hatte. Der Fall unterstreicht die strengen Anforderungen der DSGVO an den internatio­nalen Datentransfer und die Not­wendigkeit, robuste Datenschutzmaßnahmen im Unternehmen zu implementieren.

Die Durchsetzung in Zahlen:

• EU-Datenschutzbehörden haben über 20.000 Untersuchungen aus eigener Initiative eingeleitet.
• Insgesamt gehen bei ihnen mehr als 100.000 Beschwerden pro Jahr ein.
• Über 20.000 Beschwerden wurden im Wege der gütlichen Einigung beigelegt. Diese wird am häufigsten in Österreich, Ungarn, Luxemburg und Irland angewandt.

Trotz dieser Erfolge weist der Bericht auch auf Unterschiede in der Durchsetzung zwischen den Mitgliedstaaten hin. Während einige Länder proaktive Maßnahmen ergriffen haben, sind andere aufgrund begrenzter Ressourcen oder unterschiedlicher rechtlicher Interpretationen langsamer in der Umsetzung und Durchsetzung der DSGVO. Dies führt zu einer ungleichen Handhabung und möglicherweise zu Lücken im Datenschutz innerhalb der EU.

Zusammenarbeit der Aufsichtsbehörden

Ein weiterer wesentlicher Punkt des Berichts betrifft die Zusammenarbeit zwischen den nationalen Datenschutzbehörden. Die DSGVO sieht Mechanismen wie das Kohärenzverfahren und den Europäischen Datenschutzaus­schuss (EDSA) vor, um sicherzustellen, dass die Verordnung einheitlich angewendet wird.

Hier einige Zahlen zum Einsatz der Kooperationsinstrumente durch die Behörden:

• Federführende Datenschutzbehörden haben rund 1.500 Beschlussentwürfe herausgegeben, von denen 990 zu endgültigen Beschlüssen führten, mit denen ein Verstoß gegen die DSGVO festgestellt wurde.
• Datenschutzbehörden aus 18 Mitgliedstaaten erhoben „maßgebliche und begründete Beschwerden“ gegen Beschlüsse der federführenden Aufsichtsbehörde.
• Die Datenschutzbehörden haben fast 1.000 „formelle“ Amtshilfeersuchen und rund 12.300 „informelle“ Ersuchen
• Fünf gemeinsame Maßnahmen wurden eingeleitet, an denen Datenschutzbehörden aus sieben Mitgliedstaaten beteiligt waren.

Der Bericht zeigt, dass die Zusammenarbeit zwischen den Aufsichtsbehörden in vielen Fällen funktioniert, es aber auch Heraus­forderun­gen gibt, insbesondere bei grenzüberschreitenden Fällen. Ein Beispiel dafür sind langwierige Entscheidungsprozesse in Fällen, die mehrere Länder betreffen, wie z.B. die Untersuchung von großen Technologieunternehmen, deren Geschäftstätigkeiten sich über mehrere Mitglied­staa­ten erstrecken. Die Koordination dieser Fälle erfordert erheblichen Aufwand und kann zu Verzögerungen bei der Durchsetzung führen. Aus diesem Grund nahm die Kommission im Juli 2023 einen Vorschlag für eine Verordnung über Verfahrensregeln an. Dieser Vorschlag soll die DSGVO ergänzen, indem er detaillierte Regeln für grenzüberschrei­tende Beschwerden und die Zusammenarbeit zwischen den Datenschutzbehörden festlegt.

Technologische Entwicklungen und Herausforderungen

Seit dem Beschluss der DSGVO hat sich die Technologie rapide weiter­entwickelt, was neue Herausforderungen für den Datenschutz nach sich zieht. Der Bericht behandelt intensiv die Auswirkungen von Technologien wie Künstliche Intelligenz (KI), Big Data und Internet der Dinge (IoT) auf den Datenschutz. Diese neuen Verarbeitungsmethoden haben das Potenzial, große Mengen an personenbezogenen Daten zu verarbeiten und neue Risiken für die Privatsphäre zu bewirken.

Um die DSGVO in dieser Hinsicht zu ergänzen und konkretisieren, hat die EU eine Reihe von Initiativen angenommen, um bestimmte Ziele der Digitalpolitik zu verfolgen. Einige Beispiele:

• Das Gesetz über digitale Dienste
  (Digital Services Act, DSA) zielt darauf ab, ein sicheres Online-Umfeld für Einzel­personen und Unternehmen zu schaffen. Es untersagt Online-Plattformen, Werbung basierend auf Profiling zu schalten, wenn dafür „besondere Kategorien personen­bezogener Daten“ verwendet werden.
• Das Gesetz über digitale Märkte
  (Digital Markets Act, DMA) zielt darauf ab, digitale Märkte gerechter und wettbewerbs­­orientierter zu gestalten. Es verbietet Betrei­bern, die als Gatekeeper eingestuft wurden, personenbezogene Daten zwi­schen ihren zentralen Plattform­diensten und anderen Diensten zu „verknüpfen“ und „intern zu verwenden“, es sei denn, der Nutzer hat ausdrücklich zugestimmt.
• Das KI-Gesetz (Artificial Intelligence Act, AI Act) definiert die EU-Datenschutzbestim­mungen in speziellen Bereichen, in denen Künstliche Intelligenz zum Einsatz kommt, wie etwa bei biometrischer Fernidenti­fi­zierung, der Analyse besonderer Daten­kate­gorien zur Bias-Erkennung sowie der Weiterverarbeitung personenbezo­ge­ner Daten in KI-Reallaboren.

Daraus ergibt sich für Unternehmen auch die Notwendigkeit, datenschutzfreundliche Techno­logien zu entwickeln und einzusetzen. Bei­spielsweise enthält die DSGVO den Grundsatz der Datenminimierung, der sicherstellen soll, dass nur die Daten verarbeitet werden, die für einen bestimmten Zweck erforderlich sind. Unternehmen müssen daher bei der Gestaltung ihrer Systeme und Prozesse Anforderungen des Datenschutzes von Anfang an berücksichtigen („Privacy by Design“).

Praktisches Beispiel: Ein Unternehmen, das KI-basierte Personalisierung in seinem Online-Shop nutzt, muss sicherstellen, dass die verwendeten Algorithmen transparent dargestellt und erhobene Daten auf das notwendige Minimum beschränkt werden. Zudem muss sicher­gestellt werden, dass die Nutzer klar und verständlich über die Datenverarbeitung informiert wurden und ihre Einwilligung erteilt haben.

Einwilligung und Betroffenenrechte

Ein weiteres zentrales Element der DSGVO ist die Stärkung der Betroffenenrechte, insbesondere auf Information, Auskunft, Berichtigung, Löschung und Datenübertragung. Der Bericht stellt fest, dass diese Rechte weitgehend in die Praxis umgesetzt wurden, allerdings gibt es auch hier Herausforderungen.

Viele Unternehmen haben Schwierigkeiten, die Einwilligung der Nutzer auf eine Art und Weise einzuholen, die den Anforderungen der DSGVO entspricht. Einwilligungen müssen ausdrücklich, informiert und freiwillig sein, was in der Praxis oft schwer umzusetzen ist. Der Bericht betont, dass viele Unternehmen ihre Prozesse anpassen mussten, um den strengen Anforderungen gerecht zu werden.

Zum Bewusstsein der Einzelnen für die DSGVO und die Datenschutzbehörden hält der Bericht folgende Zahlen fest:

• 72 % der Befragten in der gesamten EU gaben an, von der DSGVO gehört zu haben, darunter 40 %, die wissen, worum es sich dabei handelt.
• In Schweden ist das Bewusstsein mit 92 % am stärksten, während in Bulgarien mit 59 % das Bewusstsein am schwächsten ausgeprägt ist.
• 68 % der Befragten in der EU geben an, von einer nationalen Behörde gehört zu haben, die für den Schutz ihrer Datenschutzrechte zuständig ist, wobei 24 % aller Befragten angeben, dass sie auch wissen, welche Behörde zuständig ist.

Datentransfers in Drittländer

Die Kommission hält fest, dass der Datentransfer in Drittländer weiterhin eine zentrale Heraus­­­forderung darstellt. Der Bericht hebt her­vor, dass die Kommission intensiv an der Sicherstellung der Angemessenheit solcher Daten­transfers arbeitet, um den Schutz personenbezogener Daten auch außerhalb der EU zu gewährleisten.

Besonders im Fokus stehen die USA. Hier wird der neue Angemessenheitsbeschluss „EU-U.S. Data Privacy Framework“ erwähnt, der im Juli 2023 in Kraft trat und als wichtiger Schritt zur Erleichterung von Datentransfers in die USA angesehen wird. Die Kommission betont jedoch, dass die kontinuierliche Überwachung und Evaluierung dieses Rahmens erforderlich ist, um sicherzustellen, dass die Datenschutzstandards auch eingehalten werden.

Zusammenfassend weist der Bericht darauf hin, dass trotz Fortschritten weiterhin sorgfältig geprüft werden muss, ob der Schutz personen­bezogener Daten in Drittländern den Anfor­de­rungen der DSGVO entspricht. Insbesondere für die USA bleibt dies ein Bereich erhöhter Aufmerksamkeit, um eine sichere und rechtskonforme Datenverarbeitung zu gewähr­leisten.

Fazit und Ausblick

Der „Zweite Bericht zur Anwendung der Datenschutz-Grundverordnung“ zeigt, dass die DSGVO in den ersten sechs Jahren seit ihrem Inkrafttreten maßgeblich zur Verbesserung des Daten­schutzes in der EU beigetragen hat. Dennoch bleiben verschiedene­ Herausforderungen, insbesondere in Bezug auf die Durchset­zung, die Anpassung an neue Technologien und die Harmonisierung zwischen den Mitgliedstaaten. Die Kommission betont die Notwen­digkeit, die Anwendung der DSGVO kontinuierlich zu überwachen und bei Bedarf anzupassen, um sicherzustellen, dass der Datenschutz auch in einer sich schnell verändernden digitalen Welt gewährleistet bleibt.

Eine Entscheidung des Verfassungsgerichtshofs (VfGH) machte die Änderung des Daten­schutzgesetzes notwendig, indem sie die bis­herige Formulierung von § 9 DSG mit Juni 2024 aufhob. Die Entscheidung betrifft die nationale Umsetzung einer der Öffnungsklauseln der DSGVO, die journalistische Tätig­kei­ten von den strengen Datenschutzregelungen ausnimmt.

Art. 85 DSGVO wurde ursprünglich so umgesetzt, dass alle Regelungen der DSGVO für den Bereich der journalistischen Zwecke für unan­wend­bar erklärt wurden. Diese Pauschal­aus­nahme ging dem VfGH jedoch zu weit. Statt­dessen müsse eine gesetzliche Interessens­ab­wägung vorgenommen werden, um den Schutz personen­bezogener Daten und das Recht auf freie Meinungsäußerung angemessen in Einklang zu bringen.

Das neu geregelte Medienprivileg verpflichtet nun auch Medien und deren journalistische Mitarbeiter zur Einhaltung der DSGVO-Bestimmungen. Das Redaktionsgeheimnis bleibt aber geschützt, indem Medien nicht verpflichtet sind, ihre Informations­quel­len bekanntzugeben, zB bei Auskunftsbegehren vor Veröffentli­chung des Beitrags. Neu ist auch, dass Bürgerjournalisten, darunter Privatpersonen und NGOs, von den Regelungen pro­fi­tieren sollen. Die Ausnahmen und Ab­weichungen von der DSGVO für diese Gruppen sind zwar weniger umfassend als für professionelle Medienunter­nehmen und -dienste. Die Regelung soll aber sicherstellen, dass auch nicht-professionelle Jour­nalisten einen Beitrag zur öffentlichen Debatte leisten können.

Eine weitere Änderung des Datenschutzgesetzes kommt im Gefolge eines EuGH Urteils vom 16. 1. 2024 (C-33/22), das klarstellte, dass die DSGVO auch für die Verarbeitung personenbezogener Daten durch parlamentarische Gre­mien gilt. Bei der Änderung handelt sich um die Schaffung eines parlamentarischen Datenschutzkomitees, das ab 2025 als eigenständige Aufsichtsbehörde im Bereich der Gesetzgebung fungieren wird und für den Nationalrat, den Bundesrat, den Rechnungshof und die Volksanwaltschaft zuständig ist.

Im Zuge der Gesetzesänderung wurden auch die Rechte der Betroffenen angepasst. Die Novelle zum Informationsordnungsgesetz sieht im Einklang mit der DSGVO eine Beschränkung von Auskunfts-, Löschungs- und Berichtigungsrechten vor, um die parlamentarische Arbeit nicht zu beeinträchtigen. Allerdings können in besonderen Fällen Anträge auf Entfernung von Inhalten von der Parlamentswebsite gestellt werden. Der Nationalratspräsident oder die Nationalratsprä­si­den­tin entscheidet über datenschutzrechtliche Anträge, wobei die jeweils zuständigen Daten­schutz­beauftragten und Antragsteller einbe­zogen werden müssen.

Am 17. April 2024 veröffentlichte der Europäische Datenschutzausschuss (EDSA) auf Antrag der Datenschutzbehörden der Niederlande, Norwegens und Hamburgs eine Stellungnah­me. Der Inhalt der Erklärung betrifft die Legiti­mität der Einwilligung zur Verarbeitung personenbezogener Daten zu Werbezwecken im Rahmen von „consent or pay“-Modellen, wie sie von vielen großen Online-Plattformen eingesetzt werden. In der Stellungnahme, die von der EDSA-Vorsitzenden Anu Talus präsentiert wurde, wird die Bedeutung einer echten Auswahlmöglichkeit für die Nutzer hervor­gehoben. Die derzeitigen Modelle zwingen Individuen häufig dazu, entweder sämtliche Nutzungsdaten freizugeben oder eine Gebühr zu entrichten. In der Folge stimmen die meisten Nutzer der Daten­verarbeitung zu, ohne die vollständigen Auswir­kun­gen ihrer Entscheidung zu begreifen.

Der EDSA ist der Meinung, dass diese Modelle in den meisten Fällen nicht den Anforderungen an eine gültige Einwilligung entsprechen. Dies ist insbesondere dann der Fall, wenn den Nutzern lediglich die Wahl zwischen der Zustim­mung zur Datenverarbeitung für verhaltensbezogene Werbezwecke und der Ent­richtung einer Gebühr bleibt.

Die Stellungnahme betont, dass diese kostenpflichtige Alternative zur Verarbeitung perso­nen­bezogener Daten für Werbezwecke nicht als Standard betrachtet werden sollte. Stattdessen sollten Online-Plattformen in Erwägung ziehen, dem Betroffenen eine „gleichwertige Alternative“ anzubieten, die nicht mit einer Gebühr verbunden ist. Diese sollte frei von verhal­tensbezogener Werbung sein und weniger oder gar keine personenbezogenen Daten verarbeiten.

Des Weiteren wird betont, dass die Einholung der Einwilligung die Verantwortlichen nicht von der Einhaltung der Grundsätze der Daten­schutz-Grundverordnung (Art. 5 DSGVO) ent­bin­det. Insbesondere Zweckbindung, Datenmi­ni­mierung und Verarbeitung nach Treu und Glauben müssen gewahrt bleiben. Online-Platt­formen sind zudem verpflichtet, die Notwendigkeit und Verhältnismäßigkeit ihrer Ver­arbeitung nachzuweisen.

Der EDSA legt darüber hinaus Kriterien zur Bewertung der Einwilligung in diesen Fällen fest, darunter Konditionalität, Nachteil, Leistungsungleichgewicht und Granularität. Demnach müssen die Verantwortlichen prüfen, ob die Gebühr angemessen ist und ob die Verweigerung der Zustimmung negative Konsequenzen für die betroffene Person nach sich ziehen kann.

Außerdem sieht der EDSA eine Prüfung des Machtungleichgewichts zwischen Individuen und dem Verantwortlichen vor. Faktoren wie die Marktposition der Plattform, die Abhängigkeit der Nutzer von den Diensten und die Zielgruppe der Plattform sollten dabei berücksichtigt werden.

Nun arbeitet der EDSA weiter an Leitlinien für „consent or pay“-Modelle mit breiterem Anwendungsbereich und wird eine enge Zu­sammenarbeit mit Interessenträgern anstreben, um ein ausgewogenes und rechtskon­formes Vorgehen sicherzustellen.