2. Zwischenkonferenz der unabhängigen
Datenschutzaufsichtsbehörden des Bundes und der Länder
am 22. Juni 2022

-Protokoll-

TOP 01 - Begrüßung und Organisatorisches

Der Vorsitzende begrüßt die Teilnehmenden zur 2. Zwischenkonferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK). 

Es wird festgestellt, dass der BfDI und die Aufsichtsbehörden aller Bundesländer an der Konferenz teilnehmen. Das Saarland nahm verspätet an der Sitzung teil (ab TOP 7). 

Der Vorsitzende weist darauf hin, dass zu Protokollzwecken eine Tonaufzeichnung der Konferenz erfolgt, welche nach Erstellen des Protokolls gelöscht wird. Es gibt keine Einwände gegen diese Vorgehensweise.

TOP 02 - Tagesordnung und Protokoll

Der Vorsitzende stellt die Tagesordnung für die 2. Zwischenkonferenz der DSK vor.

Die Teilnehmer beschließen, dass der verspätet angemeldete TOP 18 auf die Tagesordnung genommen wird.

Die Tagesordnung wird in dieser Form einstimmig angenommen.

Der Vorsitzende weist darauf hin, dass das Protokoll der 103. DSK im Umlaufverfahren abgestimmt und die finalisierte Fassung veröffentlicht wurde.

TOP 3 - Informationen zu Umlaufverfahren

Die DSK nimmt die am 20. Juni 2022 versendete Übersicht über die im Jahr 2022 durchgeführten Umlaufverfahren zur Kenntnis.

TOP 04 - Bericht aus dem Europäischen Datenschutzausschuss

Der BfDI berichtet, dass der Europäische Datenschutzausschuss (EDSA) seit der 103. Konferenz der DSK vier Mal getagt hat. Auf seiner 63. Plenartagung am 6. April 2022 verabschiedete der EDSA Änderungen der Geschäftsordnung in Bezug auf die Zustellung und die Übersetzung von verbindlichen Entscheidungen gemäß Art. 65 DSGVO und einen Brief an den belgischen Gesetzgeber. Dieser beinhaltet die Sorge um die Unabhängigkeit der belgischen Aufsichtsbehörde. Auf seiner 64. Plenartagung am 4. Mai 2022 verabschiedete der EDSA eine Joint Opinion zum geplanten Data Act. Auf seiner 65. Plenartagung am 12. Mai 2022 verabschiedete der EDSA Guidelines zur Berechnung von Bußgeldern unter der DSGVO und zum Einsatz von Gesichtserkennungstechnologie im Bereich der Strafverfolgung. Zudem wurde der Sachstand der Bearbeitung der Fälle zu Google Analytics erörtert. Auf seiner 66. Sitzung am 14./15. Juni 2022 wurden die Leitlinien zur Zertifizierung abgeschlossen und der EDSA hat Verfahrensregelungen im Bereich der Transparenz erlassen. Zudem soll eine erweiterte Studie zu nationalen Datenschutzrecht in Drittländern Türkei, Brasilien und Mexiko erstellt werden, es wurde über ein Streitbeilegungsverfahren gem. Art. 65 DSGVO berichtet und der BfDI erläuterte das Vorgehen gegenüber dem Bundespresseamt im Zusammenhang mit dem Betrieb einer Facebook-Fanpage. 

Bayern (LfD) ergänzt, dass es bei den Guidelines zur Berechnung von Bußgeldern keine Mehrheit für die vorgeschlagenen Optionen gegeben hätte. Als Optionen für den Ausgangspunkt der Berechnung von Bußgeldern wurden ein tabellarischer und ein beschreibender Ansatz zur Abstimmung gestellt. Es würde nun ein Konsultationsverfahren durchgeführt werden. In dieser Zeit sollen möglichst beide Optionen vereinheitlicht werden.

TOP 5 – Vereinfachung des innerdeutschen Abstimmungsprozesses bei schriftlichen Verfahren des EDSA

Der BfDI führt in das Thema ein. Der Vorschlag der ZASt, den Beschluss zu TOP 25 der 97. DSK zu erweitern, zielt darauf ab, den innerdeutschen Abstimmungsprozess bei schriftlichen Verfahren des EDSA zu vereinfachen. 

Die DSK beschließt, den Beschluss zu TOP 25 der 97. DSK „Anbindung der Aufsichtsbehörden des Bundes und der Länder an das geplante IMI-Modul zur Durchführung der schriftlichen Verfahren des EDSA“ mit nachfolgender Ziffer 4 zu ergänzen:

4.  Bei schriftlichen Verfahren des EDSA, die allein die Mandatierung/Bestätigung von  Berichterstattenden zum Gegenstand haben, wird grundsätzlich davon ausgegangen, dass Einvernehmen besteht, der Mandatierung/Bestätigung der Berichterstattenden zuzustimmen.

Bei jedem einschlägigen schriftlichen Verfahren weist die ZASt gesondert auf die vorgenannte Abrede per E-Mail über den DSK-Verteiler und die vpo-IMI-Liste hin und räumt eine angemessene Interventionsfrist (ca. zwei Werktage) ein, innerhalb der der Wunsch nach formeller Herstellung eines gemeinsamen Standpunktes vorgebracht werden kann, möglichst verbunden mit einem Abstimmungsvorschlag.

Für den Fall, dass bis zum Fristablauf keine deutsche Aufsichtsbehörde interveniert, wird die ZASt die zustimmende deutsche Stimmabgabe im IMI-Hauptmodul ohne weitere Nachfrage hinterlegen.

Bei fristgerechter Intervention zumindest einer Aufsichtsbehörde wird die ZASt das Verfahren zur Herstellung eines gemeinsamen Standpunktes nach § 18 Abs. 2 BDSG durchführen. Hierzu wird die ZASt von der bzw. den nach § 18 Abs. 2 Satz 1 bis 3 BDSG vorschlagsberechtigte(n) Aufsichtsbehörde(n) einen Abstimmungsvorschlag einholen und zusammen mit etwaigen weiteren Abstimmungsvorschlägen (z. B. der intervenierenden Aufsichtsbehörde) zur Abstimmung stellen. In Umsetzung des so gefundenen gemeinsamen Standpunktes wird die ZASt anschließend die deutsche Stimmabgabe im IMI-Hauptmodul vornehmen.

Nach Abschluss des schriftlichen Verfahrens informiert die ZASt per E-Mail über die vorgenannten Verteiler über dessen Ergebnis.

 [16, 0, 0] (Zustimmung, Ablehnung, Enthaltung)

TOP 6 – Geldbußen mit festen Ausgangsbeträgen („fixed amounts“)

Niedersachsen führt in das Thema ein und stellt die am 12. Mai 2022 vom EDSA beschlossenen Leitlinien zur Berechnung von Geldbußen vor. Eine öffentliche Konsultationsphase läuft bis zum 27. Juni 2022. 

Zudem tauscht sich die DSK über die Anwendung des zur Verfügung stehenden Instrumentenkastens zur Durchsetzung der DSGVO in Deutschland aus. 

Nach eingehender Aussprache beauftragt die DSK den Arbeitskreis Sanktionen, nach Abschluss des Konsultationsverfahrens die Zumessung von Geldbußen im Lichte der europäischen Leitlinie fortzuentwickeln.

[15, 0, 1] (Zustimmung, Ablehnung, Enthaltung)

TOP 7 - Facebook-Fanpages – Bericht der Taskforce

Schleswig-Holstein berichtet über den Fortgang der Taskforce Facebook-Fanpages auf Basis der Ergebnisse der 103. DSK (Kurzgutachten, Beschluss vom 23.03.20229), insbesondere den daraus entwickelten FAQs.

Der anschließende Austausch über Aktivitäten der Datenschutzaufsichtsbehörden in Bezug auf Facebook-Fanpages und Nutzung anderer sozialer Medien durch Behörden (vgl. TOP 18) ergibt ein heterogenes Berichtsbild.

Nach eingehender Aussprache nimmt die DSK die FAQs einstimmig in geänderter Fassung zur Veröffentlichung an. 

[17, 0, 0] (Zustimmung, Ablehnung, Enthaltung)

TOP 8 – Bericht der Kontaktgruppe Registermodernisierung

BfDI führt in das Thema ein und verweist auf den im Vorfeld der 2. Zwischenkonferenz übersendeten Bericht der Kontaktgruppe. 

Niedersachsen ergänzt, dass ein Leitplankenpapier zum gesamten Themenkomplex der Registermodernisierung erstellt werden soll. 

Berlin weist darauf hin, dass es Überschneidungen zur Kontaktgruppe OZG gibt und es bereits ein Austausch zwischen den Gruppen gibt, dieser jedoch noch intensiviert werden soll. 

TOP 9 – Vorschlag der EU-Kommission für eine Verordnung über den gemeinsamen Europäischen Gesundheitsdatenraum

Bayern (LfD) berichtet über den Verordnungsvorschlag der Europäischen Kommission über den gemeinsamen Europäischen Gesundheitsdatenraum und verweist auf Diskussionen in der EDSA-Subgroup „Compliance, e-Government und Health“ (CEH ESG). BfDI ergänzt, dass am 12. Juli 2022 eine Joint Opinion vom EDPB und dem EDPS veröffentlicht werden soll. 

Bayern (LfD) bietet an, der DSK nach Veröffentlichung der Joint Opinion in Abstimmung mit dem BfDI eine erste Einschätzung zur freien Verwendung zukommen zu lassen. Die DSK begrüßt diesen Vorschlag und kommt überein, dass sich der Arbeitskreis Gesundheit und Soziales federführend mit dem Thema befasst. 

Angesichts europäischer Pläne für weitere Datenräume wird zudem eine grundlegende Positionierung zum Thema vorgeschlagen. Es wird angeregt, dass sich der AK Grundsatz mit der Thematik beschäftigen soll. 

TOP 10 – Datenschutzrechtliche Bewertung der Auftragsverarbeitung bei Microsoft Office 365 – Bericht der Arbeitsgruppe zu den Ergebnissen der Gespräche mit Microsoft (TOP 9 der 3. Zwischenkonferenz 2020)

Bayern LDA berichtet, dass die Gespräche mit Microsoft nunmehr abgeschlossen sind und diese nun in der Arbeitsgruppe ausgewertet werden. Der Berichtspunkt soll daher auf der 3. Zwischenkonferenz erneut aufgerufen werden. Bayern LDA dankt den Teilnehmern der Arbeitsgruppe und bietet auf Anregung Hamburgs auch den anderen DSK-Mitgliedern an, sich in der Zwischenzeit bei der Arbeitsgruppe zu informieren und den Sitzungen beizuwohnen. 

Die DSK nimmt den Bericht zur Kenntnis und beschließt einvernehmlich, den TOP auf der 3. Zwischenkonferenz erneut aufzurufen. 

TOP 11 – Unterstützung niederschwelliger Verbandsklagen

Baden-Württemberg führt in das Thema ein. Der EuGH habe es in seiner Entscheidung

(EuGH: Rs. C-319/20) für zulässig erachtet, dass Verbandsklagen i. S. v. Art. 80 Abs. 2 DSGVO auch durch Verbraucherschutzverbände zulässig sind.

Nach einem Austausch über das Meinungsbild trifft die DSK folgende Festlegung:

Die DSK wird in Gespräche mit der Verbraucherzentrale Bundesverband zum Austausch über die eröffneten Klagemöglichkeiten und zur Abstimmung eines gemeinsamen Vorgehens eintreten.

[17, 0, 0] (Zustimmung, Ablehnung, Enthaltung)

TOP 12 – Zusammenarbeit mit den spezifischen Aufsichtsbehörden

BfDI führt in das Thema ein. In der 3. Zwischenkonferenz 2021 wurde vereinbart, dass unter dem Vorsitzenden der DSK 2022 ein Antwortschreiben erstellt werden soll. Hierüber besteht weiterhin Einvernehmen. Zudem wird über die Weiterentwicklung der weiteren Zusammenarbeit mit den spezifischen Aufsichtsbehörden gesprochen.

Nach Erörterung trifft die DSK folgende Festlegung:

1. Die DSK beauftragt den AK Grundsatz, spätestens zur 104. DSK den Entwurf einer Antwort auf das Positionspapier der Rundfunkdatenschutzkonferenz vom Juli 2021 vorzulegen.
2. Die DSK bittet den AK Grundsatz, bis spätestens zur 104. DSK Vorschläge für eine verbesserte Kooperation mit den spezifischen Aufsichtsbehörden vorzulegen.

Punkt 1: [17, 0, 0] (Zustimmung, Ablehnung, Enthaltung)

Punkt 2: [10, 3, 4] (Zustimmung, Ablehnung, Enthaltung)

TOP 13 – Vorstellung Bildsymbole nach Art. 12 DSGVO (Datenschutz-Icons)

Baden-Württemberg führt in das Thema ein und verweist auf die vorab versandten, gemeinsam mit dem BvD entwickelten Entwürfe für Datenschutz-Icons.  Bayern LfD ergänzt um einen Bericht der Gespräche im EDSA und mit der Europäischen Kommission. 

Die DSK nimmt den Bericht zur Kenntnis und bittet den Ländervertreter (Bayern LfD), ein Stimmungsbild der europäischen Kolleginnen und Kollegen zur Verwendung von Bildsymbolen einzuholen. BfDI unterstützt bei Bedarf. Auf dieser Grundlage können weitere Schritte eruiert werden. 

Ergänzend bietet Schleswig-Holstein an, den Kontakt zur ENISA Ad-hoc Working Group „Data Protection Engineering“¹  herzustellen und regt an, die Thematik auch in den Arbeitskreisen weiter zu behandeln.

TOP 14 – Erneuerung der AK-Vorsitze

Der BfDI führt in das Thema ein. Die Geschäftsordnung der DSK sieht eine Beauftragung mit dem Vorsitz eines Arbeitskreises von vier Jahren vor. Diese Frist läuft für alle Arbeitskreise, die bereits seit dem Inkrafttreten der Geschäftsordnung der DSK (5. September 2018) unverändert den gleichen Vorsitz haben, am 4. September 2022 ab. 

Nach Erörterung trifft die DSK folgende Festlegung:

1. Die DSK bittet die Vorsitzenden derjenigen Arbeitskreise, die ihren Vorsitz seit dem 5. September 2018 ununterbrochen ausüben, bis zur 3. Zwischenkonferenz um Mitteilung, ob sie den AK-Vorsitz weiterhin ausüben möchten.
2. Die DSK bittet alle Aufsichtsbehörden bis spätestens zur 3. Zwischenkonferenz um Mitteilung, ob sie einen neuen AK-Vorsitz übernehmen möchten.

[17, 0, 0] (Zustimmung, Ablehnung, Enthaltung)

TOP 15 – Vorschläge für die Gestaltung der Fortentwicklung und Institutionalisierung der DSK

Rheinland-Pfalz berichtet über die letzte Sitzung des Arbeitskreises DSK 2.0. Auf Grundlage der Arbeiten seines UAK Mehrheitsentscheidungen hat der AK DSK 2.0 einen Vorschlag für eine Änderung der Geschäftsordnung vorgelegt.  

Nach Erörterung der angemeldeten Anträge regt Hessen an, dass diejenigen, die eventuell noch Verbesserungsbedarf bzgl. der geplanten Änderung der Geschäftsordnung sehen, vor der 3. Zwischenkonferenz an den Vorsitz des UAK Mehrheitsentscheidungen herantreten sollen. Bis zur nächsten Zwischenkonferenz soll ein abstimmungsfähiger Vorschlag zur Änderung der Geschäftsordnung vorgelegt werden. 

Zudem teilt Bayern (LDA) mit, dass bis zur 3. Zwischenkonferenz Vorschläge betreffend eine möglichen Geschäftsstelle erarbeitet werden sollen. 

[17, 0, 0] (Zustimmung, Ablehnung, Enthaltung)

TOP 16 – Task Force Souveräne Cloud

BfDI führt in das Thema ein und berichtet über den Sachstand der Arbeit der Task Force.

Zudem bittet der BfDI die Mitglieder der DSK um Prüfung, ob weitere Juristinnen und Juristen für die Task Force abgestellt werden können. 

Sofern möglich, soll bis zur 104. DSK ein gemeinsames Papier zur „Souveräne Cloud“ vorgelegt werden.  

TOP 17 Einordnung von Videokonferenzdiensten

Berlin führt in das Thema ein und berichtet von dem Diskussionsstand im Arbeitskreis Medien. Hamburg ergänzt diesen Bericht und betont die Bedeutung einer einheitlichen Positionierung. 

Nach eingehender Aussprache bittet die DSK den Arbeitskreis Medien, bis zur 3. Zwischenkonferenz 2022 ein Prüfschema vorzulegen, aus dem sich die

Einordnung/aufsichtsrechtliche Zuständigkeit von Videokonferenzdiensten ergibt.

Die Mitglieder der DSK werden zudem gebeten, Anmerkungen frühzeitig in den Arbeitsprozess einzubringen.

[15, 0, 2] (Zustimmung, Ablehnung, Enthaltung)

TOP 18 Umgang mit Social-Media Auftritten

Unter Verweis auf die Diskussion unter TOP 7 wird dieser TOP zurückgezogen.

TOP 19 Sonstiges

Der nächste montägliche Jour fixe findet am 4. Juli 2022 statt.

Jürgen H. Müller i.V.

Leitender Beamter des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit

¹ https://www.enisa.europa.eu/topics/data-protection/ad-hoc-working-group-on-data-protection-engineering