108. Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder am 14. und 15. November 2024 – Protokoll

TOP 01 – Begrüßung und Organisatorisches

Der Vorsitzende eröffnet die 108. Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK), die in Wiesbaden stattfindet, und begrüßt die Teilnehmenden.

Der Stellvertreter der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) stellt sich vor und bedankt sich für die freundliche Aufnahme.

Der Vorsitzende stellt den geplanten Ablauf der Konferenz vor.

Es wird festgestellt, dass alle Mitglieder der DSK vertreten sind.

TOP 02 – Tagesordnung und Protokoll

Der Vorsitzende erläutert die Tagesordnung für die 108. DSK, wie sie nach der Vorkonferenz versandt wurde.

Die Tagesordnungspunkte 9, 18 und 20 entfallen.

Der Vorsitzende schlägt vor, einen neuen Tagesordnungspunkt aufzunehmen, in dem die aktuelle bundespolitische Lage und deren Auswirkungen auf den Datenschutz besprochen wird.

Die DSK stimmt einstimmig für die Aufnahme des Tagesordnungspunktes.

[17, 0, 0] (Zustimmungen, Gegenstimmen, Enthaltungen)

Der neue Tagesordnungspunkt erhält die Nummer 6a.

Die Tagesordnungspunkte 7 und 8 werden am zweiten Konferenztag behandelt.

Der Vorsitzende verweist auf das Protokoll der 3. Zwischenkonferenz vom 11. September 2024 und bittet um Abstimmung über das Protokoll.

Die DSK nimmt das Protokoll der 3. Zwischenkonferenz in der Fassung vom 14. November 2024 an.

[17, 0, 0] (Zustimmungen, Gegenstimmen, Enthaltungen)

TOP 03 – Bericht des Vorsitzes

Der Vorsitzende erinnert an die verschiedenen Umlaufverfahren seit der 107. DSK vom 13. bis 15. Mai 2024, insbesondere die Verabschiedung der Orientierungshilfe „Datenverarbeitung im Zusammenhang mit funkbasierten Zählern“ und das Positionspapier „Datenschutzrechtliche Grenzen des Einsatzes von Bezahlkarten zur Leistungsgewährung nach dem Asylbewerberleistungsgesetz (AsylbLG)“.

Sodann berichtet er über die weiteren Tätigkeiten der Arbeitsgruppe zur Bezahlkarte und nimmt Bezug auf die Vorschläge des Bundesministeriums für Wirtschaft und Klimaschutz (BMWK) und des Bundesministeriums der Justiz (BMJ) zur Umsetzung der KI-Verordnung. Der Vorsitzende erläutert, dass die BfDI mit dem BMWK zu dieser Thematik in Kontakt getreten ist, um zukünftige Zuständigkeits- und Verfahrensfragen zu erörtern, die sich daraus ergeben, dass die BNetzA nach den Plänen der Bundesregierung zentrale Aufgaben der Marktüberwachung übernehmen soll. Seitens der DSK wurde zusätzlich eine Arbeitsgruppe gebildet, die sich mit den hieraus resultierenden Fragestellungen befasst. Die Arbeitsgruppe besteht aus der Berliner Beauftragten für den Datenschutz und die Informationsfreiheit (BE), der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (NW) und dem Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HE).

Die DSK nimmt den Bericht zur Kenntnis.

TOP 04 – Bericht aus dem Europäischen Datenschutzausschuss

Der Bayerische Landesbeauftragte für den Datenschutz (LfD BY) akzentuiert aufgrund ihrer Bedeutung für die DSK die folgenden Themen der Plenarsitzungen des Europäischen Datenschutzausschusses:

96. Plenarsitzung (17. September 2024):

• Mandatierung zur Aktualisierung der Leitlinien für die Anwendung und Festsetzung von Geldbußen für die für die Zwecke der Verordnung 2016/679 (WP 253).

97. Plenarsitzung (7./8. Oktober 2024):

• Verabschiedung der Leitlinien zur Datenverarbeitung auf Grundlage des berechtigten Interesses nach Art. 6 Abs. 1 Buchst. f DSGVO unter Berücksichtigung der Entscheidung des EuGHs vom 4. Oktober 2024, Rechtssache C-621/22.
• Erklärung zur Festlegung zusätzlicher Verfahrensregeln für die Durchsetzung der Datenschutzgrundverordnung.
• Informationen über die neu eingerichtete Datenschutzbehörde für den parlamentarischen Bereich in Österreich.

98. Plenarsitzung (4. November 2024):

• Mandat für die Erarbeitung der Best Practices zu Verfahren nach Art. 64 Abs. 2 DSGVO.
• Aktualisierung des Verfahrensleitfadens zu strategisch bedeutsamen Fällen.
• Pilotphase zur Klärung von statistisch relevanten

Der Stellvertreter der BfDI ergänzt den Bericht kurz um das Thema Data Privacy Network.

Es wurde vereinbart, die Kommunikationsflüsse zwischen der DSK und der EU zu verbessern. Hierzu hat sich Berlin bereit erklärt, diesbezüglich unter Einbindung des AK Organisation und Struktur auf die Vertreter:innen in den EDSA-Expert Subgroups zuzugehen.

Die DSK nimmt den Bericht zur Kenntnis.

TOP 05 – Bericht aus der Zentralen Anlaufstelle (ZASt)

Der Vertreter der ZASt berichtet über den Sachstand und die Erfahrungen zu den Verfahren der Zusammenarbeit der deutschen und europäischen Aufsichtsbehörden nach der DSGVO sowie über die in diesem Zusammenhang erfolgende Zusammenarbeit mit dem AK Organisation und Struktur. Es wird auf die Zusammenstellung aller relevanten Beschlüsse und Dokumente im Zusammenhang mit § 18 BDSG hingewiesen (siehe hierzu auch TOP 16 „Bericht aus dem AK Organisation und Struktur“).

Der Vertreter der ZASt erinnert an die Beachtung der Vorgaben der DSK zur Arbeit in den EDSA-Gremien (insbesondere Kapitel C der Geschäftsordnung der DSK sowie das dazugehörige Erläuterungsdokument). Wesentlicher Baustein der Zusammenarbeit ist dabei die Erstellung von Berichten durch die jeweiligen Gremienvertretungen sowie deren enge Abstimmung untereinander. Aus der nach Kapitel C Abschnitt I der DSK-Geschäftsordnung geregelten gemeinsamen Vertretung durch Bund und Länder in den Gremien des EDSA folgt ferner, dass auch im Falle des Fehlens von Länder- oder Bundesvertretungen die Berichtsverpflichtung erfüllt werden muss. Für unbesetzte Vertretungen wird empfohlen über geeignete Kanäle, wie bspw. den montäglichen DSK-Jour Fixe, schnellstmöglich für eine Nachbesetzung zu sorgen. Da die Arbeitsbelastung durch die Subgroups weiter zunimmt empfiehlt der Vertreter der ZASt, in den Häusern der DSK-Mitglieder für die Übernahme von Ländervertretungen und Stellvertretungen zu werben und darüber zu diskutieren, welche Rolle die Subgrouparbeit in der Meinungsbildung bis hin zum Plenum der DSK spielt. Als praktischer, im AK Organisation und Struktur als Best-Practice-Maßnahme verabredeter Hinweis wird an die Nutzung des Verteilers der Subgroupvertretungen zur Versendung der Berichte aus den Subgroups erinnert. Weitere Vorschläge zu einer effektiven Zusammenarbeit der deutschen und der europäischen Aufsichtsbehörden werden gemeinsam mit dem AK Organisation und Struktur erarbeitet (siehe auch TOP 16).

Zur Thematik „Sachstand zu den Berichten der Aufsichtsbehörden zu Large Scale Cross Border Investigation an die Europäische Kommission“ erläutert der Vertreter der ZASt, dass die Europäische Kommission Ende Januar 2023 über den EDSA mit der Bitte an die europäischen Aufsichtsbehörden herangetreten ist, quartalsweise zu aktualisierende Informationen zu „Large Scale Cross-Border Investigations“ zu berichten. Seit dem 2. Quartal 2023 werden durch die ZASt bei den Aufsichtsbehörden des Bundes und der Länder die entsprechenden Informationen auf freiwilliger Basis abgefragt. Bei der ZASt werden diese Informationen dann gebündelt und an die Kommission weitergereicht. Eine Rückfrage bei der Kommission Anfang Mai 2024 hat ergeben, dass der Umfang der mitgeteilten Parameter seitens der Europäischen Datenschutzaufsichtsbehörden variiert. Die Kommission hat zudem darauf hingewiesen, dass nach dortiger Einschätzung nicht von einer Freiwilligkeit bei der Meldung durch die Aufsichtsbehörden ausgegangen wird. Dies wurde im Rahmen der 93. Plenarsitzung vom 23. Mai 2024 noch einmal bekräftigt. Die Kommission deutete zudem an, dass die Rückmeldungen in den DSGVO-Evaluierungsbericht einfließen würden. Der Vertreter der ZASt regt aus Gründen der Transparenz an, die Kommission um Auskünfte zur konkreten Auswertung der eingereichten Informationen zu bitten. Hamburg schlägt vor, Überlegungen anzustellen, wie eine gegenseitige Information der europäischen Aufsichtsbehörden zu den jeweiligen eigenen Berichten an die Kommission eingeführt werden könnte und weist auf das Beispiel Irlands hin, das den Bericht proaktiv allen EDSA-Mitgliedern zur Verfügung stellt.

Seinen Bericht abschließend weißt der Vertreter der ZASt auf die Pflicht zur Übermittlung der Tätigkeitsberichte nach Art. 59 DSGVO, auf die Veröffentlichung der endgültigen Beschlüsse im Kooperations- und Kohärenzverfahren nach Art. 60 DSGVO, sowie auf nicht zu unterschätzende Veränderungen nationaler Prozesse aufgrund der künftigen Verfahrensordnung zur DSGVO hin. Mit Blick auf die Veröffentlichung der Tätigkeitsberichte nach Art. 59 DSGVO weist Hessen darauf hin, dass dieser Pflicht dort mittels einer E-Mail an das EDSA-Sekretariat genüge getan wird, die den Tätigkeitsbereich dann auf der entsprechenden Seite einstellt.

Die DSK nimmt den Bericht zur Kenntnis.

TOP 06 – Gewährleistung der analogen Teilhabe aus datenschutzrechtlicher Sicht im Bereich der Daseinsvorsorge

Der Vorsitzende führt in die Thematik ein und weist auf dessen gesamtgesellschaftliche Bedeutung hin und die daraus folgende Wahl als Thema des Vorsitzes für den Europäischen Datenschutztag. Er bittet die DSK-Mitglieder um die Abstimmung des weiteren Vorgehens und wirbt für eine gemeinsame Positionierung der DSK. Er schlägt vor, sich inhaltlich auf die datenschutzrechtlichen Fragestellungen, die sich in diesem Zusammenhang aus der DSGVO und der Rechtsprechung des EuGHs ergeben, zu konzentrieren. Abschließend weist er darauf hin, dass die informationelle Selbstbestimmung durch Digitalisierung in der Daseinsvorsorge nicht ausgehöhlt werden darf.

Das Thema wird von den Mitgliedern der DSK ausführlich diskutiert. Betrachtet werden politische, materiell-rechtliche sowie datenschutzrechtliche Aspekte, aber auch Fragen des Rechts auf Teilhabe am sozialen und öffentlichen Leben. Weitergehend wird der Fokus auf den Bereich der Daseinsvorsorge in Abgrenzung zu anderen Wirtschaftsteilnehmern erörtert und die Frage diskutiert, ob eine Positionierung in Anbetracht laufender Verfahren zielführend ist.

Den Diskussionsprozess abschließend vereinbaren LfD BY und der Vorsitzende unter Berücksichtigung der ausgetauschten Argumente und der Vorarbeiten des AK Grundsatzes gemeinsam einen Vorschlag zur Abstimmung durch die DSK zu erarbeiten.

TOP 6a – Auswirkungen der aktuellen politischen Lage

Die Mitglieder der DSK diskutieren die Auswirkungen des Scheiterns der Ampelkoalition mit Blick auf ihre datenschutz- und digitalrechtliche Bedeutung (z. B. Referentenentwurf zum Beschäftigtendatengesetz, BDSG-Novelle, Zuständigkeiten nach der KI-VO) und beraten sich mit Blick auf das weitere gemeinsame Vorgehen. Die Mitglieder der DSK verständigen sich darauf, dass der AK Grundsatz die für die DSK relevanten Gesetzgebungsverfahren der aktuellen Legislatur, die voraussichtlich nicht mehr abgeschlossen werden können, zusammenfasst, priorisiert und der DSK hierüber zur 1. Zwischenkonferenz 2025 berichtet, sodass die DSK-Mitglieder hierauf aufbauend das weitere Vorgehen abstimmen können.

In der Pressemitteilung zur 108. Datenschutzkonferenz soll der Wunsch der Institutionalisierung der DSK durch Novellierung des BDSG noch in dieser Legislaturperiode zum Ausdruck gebracht werden.

Die DSK trifft folgende Festlegung:

Der AK Grundsatz wird beauftragt zur 1. Zwischenkonferenz die Forderungen der DSK, bezogen auf die 20. Wahlperiode, an den Bundesgesetzgeber zusammenzustellen, die nicht erfüllt worden sind.

Die DSK nimmt die Festlegung einstimmig an.

[17, 0, 0] (Zustimmungen, Gegenstimmen, Enthaltungen)

TOP 07 – Taskforce KI: Weiteres Vorgehen OpenAI

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (RP) berichtet über den aktuellen Sachstand des Verfahrens. Die Mitglieder der DSK diskutieren über den weiteren Fortgang und den zeitlichen Horizont. Nach Rückäußerung von OpenAI soll auf der 1. Zwischenkonferenz geklärt werden, wie die Verfahren der Aufsichtsbehörden gegen OpenAI abgeschlossen werden können.

Die DSK nimmt den Bericht zur Kenntnis.

TOP 08 – Taskforce KI: Gründung des Arbeitskreises „Künstliche Intelligenz“

RP erläutert das Leitbild des Arbeitskreises KI. Zentrales Ziel des Arbeitskreises soll es sein, Anforderungen und Handlungsempfehlungen zu entwickeln, um KI datenschutzkonform zu realisieren und einzusetzen. Zwischen den Mitgliedern der DSK wird die Gründung des Arbeitskreises KI und dessen Leitbild erörtert.

Die DSK trifft folgende Festlegung:

1. Der Arbeitskreis „Künstliche Intelligenz“ der DSK wird mit dem Leitbild und dem Arbeitsplan in der Fassung vom 14.11.2024 gegründet.
2. Den Vorsitz haben als Co-Vorsitz der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz und der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg.
3. Die Beauftragung mit dem Vorsitz erfolgt für die Dauer von vier Jahren und kann verlängert werden.

Die DSK nimmt die Festlegung einstimmig an.

[17, 0, 0] (Zustimmungen, Gegenstimmen, Enthaltungen)

TOP 09 – Entwurf eines Registerzensusgesetzes

TOP entfällt.

TOP 10 – Urteil des Bundesverfassungsgerichts (BVerfG) vom 1. Oktober 2024 – 1 BvR 1160/19 – Bundeskriminalamtsgesetz II

Der Stellvertreter der BfDI erläutert die weitreichenden Folgen des Urteils des Bundesverfassungsgerichts für die Kontrollpraxis und auf Länderebene. Aus der Entscheidung folgt, dass das BKAG sowie entsprechend formulierte Landesgesetze zu ändern sind. Diese müssen gerade im Hinblick auf die Möglichkeit einer Speicherung ohne Negativprognose und die Speicherfristen überprüft werden. Ferner ist auf gemeinsame Kontrollen mit den Landesdatenschutzbehörden im Hinblick auf die Einhaltung der Maßgaben des BVerfG hinzuwirken. Insoweit wird vorgeschlagen, den AK Sicherheit einzubeziehen. Mit Blick auf die AG INPOL soll die Umsetzung der Grundsätze in INPOL (Informationssystem der Polizei) begleitet werden.

Die DSK trifft folgende Festlegung:

1. Der AK Sicherheit wird beauftragt, die Folgen für die Gesetzgebung in Bund und Ländern zu diskutieren und ggf. nach eigenem Ermessen einen Entschließungsentwurf vorzubereiten.
2. Der AK Sicherheit wird beauftragt, zu prüfen, ob zur Umsetzung der Entscheidung eine gemeinsame Kontrolle der Aufsichtsbehörden in Bund und Ländern angezeigt ist. Insbesondere geht es um die Frage, ob die Daten von Beschuldigten gelöscht werden, zu denen keine Negativprognose vorliegt.
3. Der AK Sicherheit wird gebeten zu prüfen, welcher Umsetzungsbedarf für den polizeilichen Informationsverbund in Bund und Ländern besteht.

Die DSK nimmt die Festlegung einstimmig an.

[17, 0, 0] (Zustimmungen, Gegenstimmen, Enthaltungen)

TOP 11 – Taskforce Forschungsdaten: Erweiterung des Arbeitsauftrages der Taskforce Forschungsdaten zum GDNG – Verfahren und Koordinierung von Anträgen nach § 6 Abs. 3 GDNG

Der Vorsitzende nimmt Bezug auf TOP 12 der 3. Zwischenkonferenz vom 11. September 2024 und die hier getroffene Festlegung der DSK. Er erläutert, dass der bestehende Arbeitsauftrag der Taskforce Forschungsdaten zum GDNG komplex und umfassend ist und daher noch nicht abschließend durch die innerhalb der Taskforce Forschungsdaten gegründete AG GDNG bearbeitet werden konnte. Um die Antworten auf die drängenden und zeitkritischen Fragen der TMF aus ihrem Schreiben vom 26. Juli 2024 nicht länger aufzuschieben, schlägt der Vorsitzende vor, das Schreiben „Verfahren und Koordinierung von Anträgen nach § 6 Abs. 3 GDNG“ an die TMF zu versenden.

Die DSK trifft folgende Festlegung:

Die DSK nimmt das Schreiben der Taskforce Forschungsdaten an die TMF in Sachen „Verfahren und Koordinierung von Anträgen nach § 6 Abs. 3 GDNG“ zur Kenntnis und legt fest, dass das Schreiben in der am 06.11.2024 übersandten Fassung an die TMF versendet wird.

Die DSK nimmt die Festlegung einstimmig an.

[17, 0, 0] (Zustimmungen, Gegenstimmen, Enthaltungen)

TOP 12 – Dialoggruppe: Konkretisierung des Arbeitsauftrags

Die Landesbeauftragte für Datenschutz Schleswig-Holstein (SH) führt in das Thema ein, gibt den aktuellen Sachstand wieder und stellt das Konzept vor. Es erfolgt ein reger Austausch über mögliche Gesprächspartner der Dialoggruppe. So hat z. B. der Bundesverband der Unternehmensjuristinnen und Unternehmensjuristen Interesse an einem Austausch bekundet. Die Mitglieder der DSK betonen, dass es im Rahmen der Dialoggruppe keine Gespräche über konkrete Einzelfälle geben soll, sondern nur allgemeine und abstrakte Themen behandelt werden sollen.

Die DSK trifft folgende Festlegung:

Ziel der Dialoggruppe der DSK

Die im Jahr 2024 eingerichtete Dialoggruppe der DSK organisiert zur Förderung des Austauschs Dialogtreffen mit bundesweit agierenden Organisationen, die einen besonderen Bezug zu Datenschutz und den Aufgaben und Tätigkeiten der DSK aufweisen und es dadurch eine Vielzahl von Themen geben kann, über die ein Austausch erfolgen kann. Zu diesen Organisationen gehören regelmäßig nur Interessensverbände von betrieblichen oder behördlichen Datenschutzbeauftragten. Wenn es von beiden Seiten gewünscht ist, können die Dialogtreffen regelmäßig (z. B. einmal jährlich) stattfinden.

Es gibt keinen Anspruch auf ein Treffen mit der DSK oder ihrer Dialoggruppe.

Abgrenzung der Tätigkeiten der Dialoggruppe zu anderen Informationsaustauschen der DSK

Die Tätigkeiten der Dialoggruppe umfassen nicht jede mögliche Form eines Informationsaustauschs mit der DSK und ihren Arbeitsgremien. So sind insbesondere das Organisieren und Durchführen von Konsultationen, Treffen mit den spezifischen Aufsichtsbehörden, Gesprächen zu konkreten Einzelfällen oder Informationsaustauschen mit Parlamentariern keine Aufgaben der Dialoggruppe.

Abstimmung der Tätigkeiten der Dialoggruppe

Die Dialoggruppe stimmt ihre Tätigkeiten mit dem Vorsitz der DSK ab. Die Regelung in der Geschäftsordnung, dass der Vorsitz die DSK nach außen vertritt (IV. 1.), bleibt unberührt.

Der Vorsitz der DSK und der Vorsitz der Dialoggruppe stimmen sich insbesondere darüber ab, welche Treffen über die Dialoggruppe organisiert werden sollen und welche dem Vorsitz der DSK vorbehalten sind. Anfragen, die den Vorsitz der Dialoggruppe unmittelbar erreichen, werden an den Vorsitz der DSK weitergeleitet.

Die Dialoggruppe berichtet der DSK über den Austausch. Dies soll zeitnah jeweils nach den Treffen geschehen, z. B. im Rahmen eines Jour fixes oder der nächsten Konferenz.

Organisation der Treffen der Dialoggruppe mit Organisationen

Solange die DSK nicht über eine Geschäftsstelle verfügt, kümmert sich der Vorsitz der Dialoggruppe um die Organisation der Treffen. Die DSK wird bei diesen Treffen regelmäßig durch eine Delegation bestehend aus DSK-Mitgliedern auf Leitungsebene vertreten. Bei der Festlegung von Terminen und Orten wird nach Möglichkeit auf Synergien, z. B. Kombination mit weiteren Veranstaltungen, geachtet. Die Treffen sollen innerhalb der DSK mindestens einen Monat im Voraus angekündigt werden. Treffen können sowohl in Präsenzform als auch als Videokonferenz realisiert werden.

Koordinierung der Dialoggruppe

Die Dialoggruppe koordiniert sich über eine Mailingliste, die von allen DSK-Mitgliedern abonniert werden kann. So wird gewährleistet, dass alle Mitglieder der DSK jederzeit die Möglichkeit haben, sich zu informieren und inhaltlich einzubringen.

Änderungsbedarfe, Evaluation

Sollten Änderungen an diesem Konzept notwendig sein, wird der Vorsitz der Dialoggruppe den Antrag auf eine entsprechende Festlegung durch die DSK stellen.

Davon unabhängig ist eine Evaluation im Sommer 2026 vorgesehen, die insbesondere bewerten soll, ob die Dialoggruppe in der aktuellen Form weiterbestehen oder aufgelöst werden soll oder welche Änderungen im Konzept notwendig erscheinen. Der Vorsitz führt diese Evaluation unter den DSK-Mitgliedern durch und berichtet der DSK.

Die DSK nimmt die Festlegung einstimmig an.

[17, 0, 0] (Zustimmungen, Gegenstimmen, Enthaltungen)

TOP 13 – Weiterentwicklung des Standard-Datenschutzmodells

Der Vorsitzende bittet den Landesbeauftragten für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern (MV) um seinen Bericht. MV präsentiert mögliche Szenarien der Weiterentwicklung des SDM und nimmt Bezug auf das als Anlage zum angemeldeten Tagesordnungspunkt beigefügte Dokument „Wie können die Arbeiten der UAGSDM am SDM fortgeführt werden?“, das verschiedene Ausbaustufen des SDM beschreibt. In der anschließenden Diskussion zwischen den DSK-Mitgliedern wird vor allem die Bedeutung der Erarbeitung von Bausteinen für die Praxis betont. NI spricht sich für die Bereitstellung eines Musterbausteins aus, um die behördenübergreifende Arbeit zu unterstützen. Verschiedene Länder unterstützen den Vorschlag grundsätzlich. In der Diskussion wird deutlich, dass es sich aus arbeitsökonomischen Gründen dabei nicht um ein abstraktes Muster, sondern um einen realen Baustein handeln sollte, der dann als Muster dienen könne.

Bezogen auf die vorgestellten Ausbaustufen soll das Leistungsspektrum der Ausbaustufe 1 (ohne die Buchstaben b und h) und bezogen auf das Leistungsspektrum der Ausbaustufe 2 Buchstabe e priorisiert werden.

Die DSK trifft folgende Festlegung:

1. Die DSK nimmt den Bericht des AK Technik zur Kenntnis. Dieser bekräftigt den Wert des SDM als Grundlage auf dem Weg zu einer einheitlichen technischen Prüfpraxis.
2. Die Aufsichtsbehörden benennen gegenüber dem AK Technik eine Ansprechperson für jede Behörde für die Arbeit an dem SDM.
3. Der Fokus der Weiterentwicklung ist darauf zu legen, das SDM in der Version 3.1 für die Praxis handhabbarer zu machen. Daher ist innerhalb des dargestellten Leistungsspektrums die Weiter- und Neuentwicklung der Bausteine zu priorisieren.
4. Zur Erreichung der in Ziffer 3 genannten Ziele prüft jede Aufsichtsbehörde die freiwillige Beteiligung an der Bearbeitung von Bausteinen.
5. Der AK Technik wird um einen Sachstandsbericht zur 110. DSK gebeten.

Die DSK nimmt die Festlegung einstimmig an.

[17, 0, 0] (Zustimmungen, Gegenstimmen, Enthaltungen)

TOP 14 – Handreichung zum Onlinezugangsgesetz (§ 8a OZG)

Der Vorsitzende bittet BE die von der Kontaktgruppe OZG 2.0 erarbeitete Orientierungshilfe „Ausgewählte Fragestellungen des neuen Onlinezugangsgesetzes“ vorzustellen. BE erläutert die Inhalte der Handreichung und die Hintergründe der kurzfristigen Anmeldung der Orientierungshilfe zur 108. DSK ohne vorherige Einbindung des AK Verwaltung. Die Mitglieder der DSK stimmen überein, dass Handreichungen, die in Unterarbeitsgruppen erstellt werden, vor der Anmeldung zur DSK in der Regel in den zuständigen Arbeitskreisen abzustimmen sind.

Nach ausführlicher Erörterung wird die Orientierungshilfe im Vorwort um folgenden Satz ergänzt:

„Nicht Gegenstand dieser Anwendungshilfe sind ferner fachgesetzliche Regelungen, wie zum Beispiel solche des Sozialgesetzbuchs.“

Die DSK beschließt die Orientierungshilfe „Ausgewählte Fragestellungen des neuen Onlinezugangsgesetzes - Anwendungshilfe für Stellen, die (länderübergreifende) Onlinedienste nach OZG betreiben oder nutzen“ in der geänderten Fassung.

[17, 0, 0] (Zustimmungen, Gegenstimmen, Enthaltungen)

TOP 15 – Verabschiedung der überarbeiteten Orientierungshilfe für Anbieter von digitalen Diensten (früher: Telemedien), Version 1.2

BE führt zur Verabschiedung der Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von Telemedien ab dem 1. Dezember 2021 (OH Telemedien 2021) Version 1 mit Stand Dezember 2022 auf ihrer 104. Konferenz aus und weist auf zwei wesentliche Änderungen hin, die auch den Inhalt der Orientierungshilfe betreffen:

• Mit dem EU-U.S. Data Privacy Framework gibt es seit dem Juli 2023 wieder einen Angemessenheitsbeschluss nach Art. 45 Abs. 1 DSGVO. Damit hat sich die Grundlage für Datentransfers in die USA grundlegend geändert. Die USA als Beispiel für ein Drittland ohne Angemessenheitsbeschluss müssen daher aus der Orientierungshilfe entfernt werden.
• Mit dem Änderungsgesetz zur Einführung des Digitale Dienste Gesetzes wurde der Begriff „Telemedien“ aus den deutschen Gesetzen entfernt und durch den Begriff „digitale Dienste“ ersetzt. Hier ist eine sprachliche Anpassung erforderlich, zudem sind die Ausführungen zur Gesetzgebungsgeschichte anzupassen.
• Im Hinblick auf einen möglichen Anpassungsbedarf nach der Verabschiedung der Leitlinien zu 5 Abs. 3 ePrivacy-RL durch den EDSA, hat sich die Mehrheit der Aufsichtsbehörden im AK dafür ausgesprochen, dies nicht abzuwarten, sondern die überarbeite Orientierungshilfe mit einem Vorbehalt zeitnah zu beschließen, da diese ein wichtiges Arbeitsinstrument für die Fachebene und auch für die Verantwortlichen ist.

Der Bayerische Landesbeauftragte für Datenschutz weist darauf hin, dass er sich angesichts der Schwerpunktsetzung der Orientierungshilfe nicht hierzu verhält.

Die DSK fasst einstimmig folgenden Beschluss:

1. Die DSK beschließt die Orientierungshilfe für Anbieter von digitalen Diensten in der Fassung vom 06.11.2024 (früher: Telemedien), Version 1.2.
2. Die Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von Telemedien ab dem 1. Dezember 2021 (OH Telemedien 2021) Version 1.1 wird damit ersetzt.

[17, 0, 0] (Zustimmungen, Gegenstimmen, Enthaltungen)

TOP 16 – Bericht aus dem AK Organisation und Struktur

HE berichtet über die aktuellen Themen des AK Organisation und Struktur.

Die 107. DSK hat den AK Organisation und Struktur beauftragt, die bestehenden Regeln zur Herstellung von Einvernehmen und gemeinsamen Standpunkten im Sinne von § 18 BDSG zu identifizieren (siehe auch TOP 5). Auf dieser Grundlage wurde zudem um Prüfung gebeten, ob und inwieweit Konsolidierungs- und Anpassungsbedarf besteht. In Erfüllung des ersten Teils des Arbeitsauftrages wurde eine Zusammenstellung aller relevanten Beschlüsse und Dokumente im Zusammenhang mit § 18 BDSG erarbeitet und abgestimmt. Auf dieser Basis soll der zweite Teil des Arbeitsauftrages nach derzeitiger Planung Ende 2024 angegangen werden. Zentrale Dokumente in diesem Zusammenhang sind die Geschäftsordnung der DSK und dort insbesondere Kapitel C sowie das dazugehörige Erläuterungsdokument zu Kapitel C. Im Rahmen der Arbeit an der Zusammenstellung rückte das Thema Wissensmanagement allgemein wieder mehr in den Fokus. Es zeigt sich, dass es an verschiedensten Stellen Verabredungen gibt, die aber nicht überall präsent sind und übersichtlich strukturiert verfügbar sind.

Es wird auf das Projekt zum Wissensmanagement mit Dataport eingegangen, welches derzeit auf unbestimmte Zeit verschoben ist. Es wird erörtert, was getan werden könnte, damit das Projekt wieder mehr Fahrt aufnimmt und ob Alternativen bekannt sind, die ggf. für ein Wissensmanagement herangezogen werden können. Es wird ferner auf eine anstehende Abfrage des UAG Statistik verwiesen, die ebenfalls die Möglichkeiten der Statistikermittlungen der Aufsichtsbehörden des Bundes und der Länder im Fokus hat.

NI erinnert an die im Aufbau befindliche Verwaltungscloud, die hier evtl. herangezogen werden könnte. Die BB schlägt vor, das Thema im nächsten AK Verwaltung zu diskutieren und der Stellvertreter der BfDI bietet an, sich auf Bundesebene umzuhören, ob es entsprechende Projekte gibt.

HE erläutert anschließend die Liste zur Gremienstruktur und zu den Berichtswegen. Der AK Organisation und Struktur versucht, die unterschiedlichen Gremienformate zu definieren und Arbeitskreise, Unterarbeitskreise und Arbeitsgruppen zu erfassen. Es werden Abfragen in den einzelnen Häusern angekündigt, um die Lise zu aktualisieren bzw. um sie zukünftig aktuell zu halten. Der AK möchte einen Vorschlag formulieren, aus dem hervorgeht, welche Erwartungen die DSK an die Vorlagen und Berichte hat, die sie bekommt. Andererseits soll ein Template entworfen werden, wie Arbeitsaufträge aus der DSK an Arbeitskreise oder Arbeitsgruppen gestellt werden und wie genau die Ziele formuliert werden.

Es wurde auch eine Liste aller DSK-Papiere erstellt. Die Aktualität der einzelnen Papiere muss aber noch geprüft werden. Die Webseite der DSK erscheint dafür ungeeignet.

Der Vertreter der ZASt erläutert noch einmal das europäische Statistik-Projekt (siehe hierzu auch TOP 5). Das Abfragetool wurde noch nicht aufgesetzt. Der sachliche Nutzen der Meldungen wurde noch einmal diskutiert. Es sollte einen gut verzahnten Prozess geben und beispielsweise sichergestellt werden, dass Zahlen nicht mehrfach abgefragt werden Es wurde erörtert, welche Zahlen aus Deutschland bereitgestellt werden können. Es wurde bereits viel im Excel-Format zusammengetragen.

Die DSK nimmt den Bericht zur Kenntnis.

TOP 17 – Vorschlag für ein innerdeutsches Verfahren bei CoC (Verhaltensregeln i.S.v. Art. 40 DSGVO)

HE führt zum Vorschlag für ein innerdeutsches Verfahren für Verhaltensregeln i.S.v. Art. 40 DSGVO (CoC) aus. Hauptanliegen ist es, sicherzustellen, dass sich eine Datenschutzaufsichtsbehörde mit den CoC befasst und die Möglichkeit einer inhaltlichen Beteiligung für alle anderen Datenschutzaufsichtsbehörden gewährleistet ist. Unabhängig von der Bewertung, ob die Entscheidung einer einzelnen Aufsichtsbehörde Bindung für die anderen Aufsichtsbehörden erzeugt, besteht Abstimmungsbedarf über den CoC, um Auslegungsunterschiede zu vermeiden. Die vorgeschlagenen Verfahrensregeln orientieren sich an vorhandenen Strukturen der DSK und Verfahrensregelungen in ähnlich gelagerten Fällen.

Die DSK trifft folgende Festlegung:

Die DSK legt das Verfahren für das innerdeutsche Verfahren bei Codes of Conduct (Verhaltensregeln) gemäß dem UAG Verfahrensvorschlag CoC vom 04.06.2024 fest.

Die DSK nimmt die Festlegung einstimmig an.

[17, 0, 0] (Zustimmungen, Gegenstimmen, Enthaltungen)

TOP 18 – Bericht aus dem AK DSK 2.0

RP berichtet über die Sitzung des AK DSK 2.0 vom 24. Oktober 2024.

Zur Sicherstellung eines gemeinsamen Verständnisses wurde zwischen den Mitgliedern der DSK Einigkeit darüber hergestellt, dass Entschließungen nicht nur das Endprodukt eines längeren Arbeitsprozesses sein können, sondern auch als inhaltlich vorläufige Festhaltung eines Standpunktes, um schnell auf Entwicklungen reagieren zu können.

In Anlehnung an die Diskussionen zu Art. 64 DSGVO-Verfahren wurde zudem die Frage der Einsetzung eines UAK zu Verfahrensregelungen zur Vereinfachung der Entscheidungsfindung der deutschen Behörden bei übergreifenden Sachverhalten erörtert. Das Thema soll zunächst weiter vertieft werden.

Schließlich wird noch einmal über die Folgen des Scheiterns der Koalition für die Novellierung des BDSG diskutiert (siehe TOP 6a). Zwischen den Mitgliedern der DSK wird erörtert, welche Möglichkeiten der DSK zur Institutionalisierung zur Verfügung stehen (z. B. durch Vertrag/Verwaltungsvereinbarung der Aufsichtsbehörden). RP schlägt vor, dass der AK DSK 2.0 weitere Überlegungen zur Verbesserung der Selbstorganisation der DSK (etwa zum weiteren Vorgehen bezüglich einer DSK-Geschäftsstelle) anstellt und hierzu Vorschläge erarbeitet. Der Vorsitzende schlägt zusätzlich vor, dass der AK Öffentlichkeitsarbeit eine Strategie zur Verbesserung der Öffentlichkeitsarbeit der DSK erarbeitet. Beide Vorschläge treffen unter den Mitgliedern der DSK auf Zustimmung.

Die DSK nimmt den Bericht zur Kenntnis.

TOP 19 – Ergebnis der Befassung des AK Medien mit der TTPW-VO und dem PWG-E

BE berichtet über das Ergebnis der Arbeit im AK Medien zu dem Auftrag der DSK, sich mit der Verordnung 2024/900 über die Transparenz und das Targeting politischer Werbung (TTPW-VO) und dem Entwurf zu dem zugehörigen Umsetzungsgesetz (PWG-E) zu befassen.

Der AK Medien fühlt sich grundsätzlich zuständig für das Thema "Political Targeting" und wird die weiteren Entwicklungen im Blick behalten.

Der AK hat eine Unterarbeitsgruppe gegründet, um zu erörtern, wie die Targeting-VO in die Praxis umzusetzen ist, und um möglicherweise Handlungsempfehlungen zu erarbeiten, wie zukünftig zu verfahren ist. An dieser Stelle erfolgte ein ausdrücklicher Appell, sich an der Unterarbeitsgruppe zu beteiligen.

Die DSK nimmt den Bericht zur Kenntnis.

TOP 20 – Beschäftigtendatengesetz

TOP entfällt.

TOP 21 – Verschiedenes

NI berichtet aus der 45. Sitzung des IT-Planungsrats und zum Beschluss des Vertragsentwurf über die Errichtung, den Betrieb und die Weiterentwicklung des Nationalen Once-Only-Technical-Systems (NOOTS) (Vertrag zur Ausführung von Art. 91c Abs. 1, Abs. 2 GG).

BE kündigt an, dass in die Vorlage zur Anmeldung von Tagesordnungspunkten ein weiterer Punkt zur „Entscheidungsreife und/oder Abstimmungsoptionen“ eingefügt wurde. Es wird darum gebeten, diesen zu nutzen. Wenn es keine konsensfähigen und entscheidungsreifen Texte gibt, sollen alternative Texte bereitgestellt werden.

RP informiert kurz über ein Forschungsprojekt zum Thema „Datenschutz-Sandbox“. Ziel des Projekts ist die Erarbeitung von juristischen und technischen Richtlinien für Reallabore.