Stellungnahme vom 1. September 2023 zum Entwurf der Europäischen Kommission: VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES zur Festlegung zusätzlicher Verfahrensregeln für die Durchsetzung der Verordnung (EU) 2016/679 (COM(2023) 348 final)

I. Einführung und Zusammenfassung
II. Rechtsgrundlage des VVO-E und Auswirkungen aufs nationale Verfahrensrecht
III. Anwendungsbereich des Kapitels III des VVO-E
IV. Auswirkungen auf den Haushalt
V. Stellungnahme zu den einzelnen Artikeln des Entwurfes
VI. Fehlende Regelungen in der Verfahrensverordnung

I. Einführung und Zusammenfassung

In Fällen einer grenzüberschreitenden Verarbeitung i.S.v. Art. 4 Nr. 23 DSGVO arbeiten die europäischen Aufsichtsbehörden im Kooperationsverfahren nach Art. 60 DSGVO¹ bei der Entscheidungsfindung zusammen, vor allem bei der Bearbeitung von Beschwerden gem. Art. 77 DSGVO. Die federführende Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen oder Auftragsverarbeiters führt die Untersuchung durch und erarbeitet einen Beschlussentwurf gem. Art. 60 Abs. 3 S. 2 DSGVO zum Abschluss des Falles. Die betroffenen Aufsichtsbehörden werden an der Entscheidungsfindung beteiligt. Grundsätzlich ist das Kooperationsverfahren auf einen Konsens zwischen der federführenden Aufsichtsbehörde und den betroffenen Aufsichtsbehörden ausgerichtet. Sofern betroffene Aufsichtsbehörden mit dem Beschlussentwurf der federführenden Aufsichtsbehörde nicht einverstanden sind, können sie einen maßgeblichen und begründeten Einspruch gem. Art. 60 Abs. 4 DSGVO einlegen.² Das gibt der federführenden Aufsichtsbehörde die Möglichkeit, ihren Beschlussentwurf zu überarbeiten oder das Streitbeilegungsverfahren einzuleiten, damit der Streit zwischen federführender Aufsichtsbehörde und betroffenen Aufsichtsbehörden durch den Europäischen Datenschutzausschuss im Verfahren nach Art. 65 Abs. 1 lit. a) DSGVO entschieden werden kann.

Bisher wendet jede am Kooperationsverfahren betroffene Behörde, namentlich die federführende Behörde, ihr eigenes nationales Verfahrensrecht an, welches durch die in Art. 60 DSGVO enthaltenen Verfahrensregeln ergänzt wird. Aus den bisher in mehr als fünf Jahren unter der Geltung der Datenschutz-Grundverordnung (DSGVO) gesammelten Erfahrungen hat sich aus Sicht der DSK der Bedarf nach weitergehenden Verfahrensregelungen ergeben, um das Ziel des unionsweit einheitlich hohen Datenschutzniveaus und der harmonisierten Durchsetzung des dafür erlassenen Rechts zu verwirklichen. Da gemäß Art. 17 Abs. 2 S. 1 EUV i.V.m. Art. 289 Abs. 1 S. 1 AEUV alleine die Europäische Kommission das zum Erlass solcher Regelungen notwendige Initiativrecht besitzt, hat sich der Europäische Datenschutzausschuss (EDSA) im Frühjahr 2022 mit einer „Wishlist“³ an die Kommission gewandt und darin die erkannten Regelungsbedarfe mitgeteilt.

Die Europäische Kommission hat diese Vorschläge des EDSA zur Harmonisierung bestimmter Aspekte des Verfahrensrechts zur effektiven Durchsetzung für Fälle mit grenzüberschreitenden Datenverarbeitungen aufgegriffen und am 04.07.2023 den Entwurf einer Verordnung des Europäischen Parlamentes und des Rates zur Festlegung zusätzlicher Verfahrensregeln für die Durchsetzung der DSGVO (im Folgenden „Entwurf“ oder „VVO-E“) vorgelegt. Durch die Verordnung sollen ergänzende Verfahrensregeln zur Verbesserung der Zusammenarbeit der europäischen Datenschutzaufsichtsbehörden bei der Durchführung von Kooperations- und Kohärenzverfahren gemäß Kapitel VII der DSGVO eingeführt werden. Zudem sollen die Verfahrensrechte der Parteien in grenzüberschreitenden Untersuchungen harmonisiert sowie Verfahrensregeln für die Beteiligung der Beschwerdeführenden am Verfahren festgelegt werden.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz, DSK) begrüßt grundsätzlich, dass die Europäische Kommission wesentliche Anregungen der „Wishlist“ aufgegriffen und mit dem vorgelegten Verordnungsentwurf einen Umsetzungsvorschlag unterbreitet hat. Gleichwohl geht der Verordnungsentwurf deutlich über die „Wishlist“ hinaus und greift mit zahlreichen Regelungen tief in bewährte und positive Aspekte der Zusammenarbeit der europäischen Aufsichtsbehörden ein. Diese Eingriffe würden nicht nur die Anpassung zahlreicher Prozesse auf Seiten der Aufsichtsbehörden erfordern, deren Gewinn an zeitlicher Straffung, effizienterer Zusammenarbeit und letztlich erfolgreicher Rechtsdurchsetzung fraglich erscheint, sondern würden in bestimmten Fällen auch die Rechte der europäischen betroffenen Aufsichtsbehörden im Kooperationsverfahren im Verhältnis zur federführenden Aufsichtsbehörde schwächen.

Aus Sicht der DSK sollte bei dem VVO-E die Zielsetzung des Kooperationsverfahrens, die im Finden eines Konsenses zwischen den Aufsichtsbehörden besteht, an erster Stelle stehen. Umgekehrt sollte vermieden werden, dass mit den neuen Regelungen die Rechte der europäischen Aufsichtsbehörden einseitig zugunsten der federführenden Aufsichtsbehörde verschoben werden. Darüber hinaus sollte mit dem VVO-E das Ziel verfolgt werden, keine zusätzlichen unnötigen bürokratischen Erfordernisse für die Arbeit der Aufsichtsbehörden zu begründen.

Ohne grundlegende Nachbesserungen, wie im Einzelnen nachfolgend aufgezeigt, hält die DSK die Ziele der Vereinheitlichung und Verbesserung des Kooperations- und Kohärenzmechanismus für gefährdet, in wichtigen Teilen sogar für konterkariert.⁴

1. Beschränkung des Anwendungsbereichs des Kapitels III des VVO-E zur Zusammenarbeit der Aufsichtsbehörden auf „high impact“-Fälle

Die DSK begrüßt grundsätzlich neue Verfahrensregelungen für die verbesserte Zusammenarbeit der Aufsichtsbehörden in Fällen grenzüberschreitender Datenverarbeitung und die beabsichtigte Förderung der Konsensfindung im Kooperationsverfahren. Allerdings erscheint fraglich, ob der mit den zusätzlich vorgeschlagenen Verfahrensschritten einhergehende zusätzliche erhebliche Verwaltungsaufwand bei der federführenden Aufsichtsbehörde und den betroffenen Aufsichtsbehörden für sämtliche Fälle gleichermaßen angemessen ist. Aus Sicht der DSK erscheint es vorzugswürdig, die zusätzlichen Verfahrensregelungen zur Zusammenarbeit der Aufsichtsbehörden auf „high impact“-Fälle zu beschränken.

2. Streichung der Rücknahmefiktionen in Art. 5 S. 3 VVO-E u. Art. 11 Abs. 3 VVO-E

Nach dem Verordnungsentwurf gilt eine Beschwerde i.S.v. Art. 77 DSGVO als zurückgezogen, wenn die Beschwerdeführenden innerhalb eines Monats keine Einwände gegen die von der Aufsichtsbehörde vorgeschlagene gütliche Einigung erheben oder sich nicht fristgerecht zu der von der Aufsichtsbehörde beabsichtigten vollständigen oder teilweisen Abweisung der Beschwerde äußern. Diese Rücknahmefiktion begründet eine unangemessene Verkürzung des Rechtsschutzes der Beschwerdeführenden, weil seine Klagebefugnis aus Art. 78 DSGVO beseitigt wird. Außerdem sollte beibehalten werden, dass die Entscheidung darüber, ob die Beschwerde tatsächlich durch eine gütliche Einigung erledigt werden kann, im Wege eines Konsenses zwischen der federführenden Aufsichtsbehörde und den betroffenen Aufsichtsbehörden getroffen wird.

3. Streichung von Art. 6 Abs. 1 lit. a) VVO-E, der Vorgaben zur Übersetzung macht

Nach dem Wortlaut von Art. 6 Abs. 1 VVO-E müssten die Aufsichtsbehörden nicht nur Texte aus der englischen Sprache in ihre Amtssprache oder umgekehrt übersetzen, sondern Übersetzungen für oder in sämtliche Amtssprachen des EWR bereitstellen. Dieser Umstand würde nicht unerhebliche zusätzliche Haushaltsmittel bei den Aufsichtsbehörden erfordern und zu Verfahrensverzögerungen führen. Die Geschäftsordnung des EDSA sieht aktuell vor, dass die Arbeitssprache Englisch ist. Diese Regelung hat sich bewährt und sollte unverändert erhalten bleiben. Dem Gedanken aus Abs. 2 folgend sollte Art. 6 keinerlei inhaltliche Festlegungen für Übersetzungen treffen und stattdessen lediglich beinhalten, dass der EDSA in seiner Geschäftsordnung und seinen Leitlinien Regelungen zu Übersetzungen trifft.

4. Keine neuen Formvorgaben/Zulässigkeitskriterien für die Einlegung von Beschwerden in Fällen grenzüberschreitender Verarbeitung; Verzicht auf den Identitätsnachweis bei der Einreichung von Beschwerden

Das Beschwerderecht nach Art. 77 DSGVO sollte in Fällen grenzüberschreitender Verarbeitung nicht durch neue Formvorgaben oder Zulässigkeitsanforderungen erschwert werden. Statt der europaweiten Einführung bürokratischer Hürden, die bislang nur in sehr wenigen Mitgliedsstaaten überhaupt gelten, sollten die bürokratischen Hürden europaweit abgebaut werden. Insbesondere sollte auf die zwingende Bereitstellung einer Ausweiskopie, Abgabe einer Unterschrift und Angabe einer Telefonnummer verzichtet werden, weil diese personenbezogenen Daten für die Beschwerdebearbeitung nicht erforderlich sind. Sollte dieses Ziel des Bürokratieabbaus nicht zu erreichen sein, sollte der zwischen den Aufsichtsbehörden verabredete Modus in die Verordnung übernommen werden, demzufolge die Zulässigkeitskriterien nach dem nationalen Verfahrensrecht der Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, maßgeblich und verbindlich sind.

5. Einführung einer Regelfrist für die federführende Aufsichtsbehörde zur Vorlage der „Zusammenfassung der wichtigsten Aspekte“ und der „vorläufigen Feststellungen“

Für eine weitere Beschleunigung des Kooperationsverfahrens nach Maßgabe des Verordnungsentwurfs sollten Zielvorgaben, zum Beispiel Regelfristen für die federführende Aufsichtsbehörde zur Vorlage der Zusammenfassung der wichtigsten Aspekte (Art. 9 VVO-E) und der vorläufigen Feststellungen (Art. 14 VVO-E) eingeführt werden.

6. Die betroffenen Aufsichtsbehörden müssen auch zu den „vorläufigen Feststellungen“ Stellung nehmen können

Die betroffenen Aufsichtsbehörden erhalten mit der Zusammenfassung der wichtigsten Aspekte (Art. 9 Abs. 1 VVO-E) nur eine erste Feststellung möglicher Korrekturmaßnahmen. Erst die vorläufigen Feststellungen (Art. 14 Abs. 1 VVO-E) enthalten umfassende und hinreichend klar dargelegte Anschuldigungen. Ein Konsens zum Ergebnis der Untersuchung zwischen federführender Aufsichtsbehörde und betroffenen Aufsichtsbehörden könnte daher nur auf der Grundlage der vorläufigen Feststellungen erfolgen, zu denen die betroffenen Aufsichtsbehörden aber keine Stellungnahme abgeben können. In Art. 14 des VVO-E ist daher vorzusehen, dass die betroffenen Aufsichtsbehörden auch zu den vorläufigen Feststellungen Stellung nehmen können.

7. Keine Eingriffe in die Beteiligungsrechte der Beschwerdeführenden durch Zweckbindungsverpflichtungen und Vertraulichkeitserklärungen vornehmen

Art. 15 VVO-E begründet in Abs. 4 eine Zweckbindung, dass die Beschwerdeführenden die nichtvertrauliche Fassung der vorläufigen Feststellungen gemäß Art. 14 VVO-E nur für die Zwecke der konkreten Untersuchung erhalten und sieht in Abs. 5 die Abgabe einer Vertraulichkeitserklärung durch die Beschwerdeführenden vor, Informationen oder Bewertungen aus der nichtvertraulichen Fassung der vorläufigen Feststellungen nicht offenzulegen oder für andere Zwecke zu verwenden. Damit wäre eine Verwendung dieser Informationen beispielsweise in zivil- oder arbeitsrechtlichen Verfahren ausgeschlossen. Hierdurch werden die Beteiligungsrechte der Beschwerdeführenden unangemessen eingeschränkt und Rechtsnachteile für sie begründet, die nicht mit ihrer Verfahrensstellung gem. Art. 77 und 78 DSGVO in Einklang stehen.

8. Schwächung der Rolle der betroffenen Aufsichtsbehörden im Kooperationsverfahren verhindern; Federführende Aufsichtsbehörde darf nicht einseitig den Umfang der Anschuldigungen festlegen; Streichung der Längenbegrenzung für Einsprüche und Stellungnahmen

Nach Art. 18 VVO-E sollen betroffene Aufsichtsbehörden mit dem Einspruch nach Art. 60 Abs. 4 DSGVO den Umfang der Anschuldigungen im Sinne von Art. 14 VVO-E nicht mehr ändern dürfen, d. h. keine zusätzlichen Vorwürfe mehr vorbringen und auch den Wesensgehalt der Anschuldigungen nicht mehr ändern dürfen, und das obwohl die betroffenen Aufsichtsbehörden zuvor keine Gelegenheit hatten, zu den in den vorläufigen Feststellungen enthaltenen Anschuldigungen Stellung zu nehmen. Das bedeutet, dass die federführende Aufsichtsbehörde einseitig die Anschuldigungen festlegen darf, ohne dass die betroffenen Aufsichtsbehörden oder der EDSA hierauf Einfluss nehmen könnten. Hiermit wird die Rolle der betroffenen Aufsichtsbehörden im Kooperationsverfahren ebenso geschwächt wie die Bedeutung des Streitbeilegungsverfahrens. Diese Regelung in Art. 18 Abs. 1 lit. b) VVO-E sollte daher gestrichen werden. Entsprechendes gilt für die Regelung in Art. 18 Abs. 1 lit. a) VVO-E, weil sonst die federführende Aufsichtsbehörde in ihrem Beschlussentwurf relevante Fakten folgenlos ignorieren könnte, die in der Zusammenfassung der wichtigsten Aspekte oder in den vorläufigen Feststellungen noch enthalten waren.

Weiter sollte Art. 18 Abs. 2 lit. a) VVO-E gestrichen werden, weil eine Beschränkung des Umfangs eines Einspruchs auf drei bzw. sechs Seiten weder eindeutig noch sachgemäß ist und die betroffenen Aufsichtsbehörden auch den etablierten hohen Anforderungen an die Formulierung eines zulässigen und begründeten Einspruchs nicht gerecht werden würden. Entsprechendes gilt für die Regelung in Art. 9 Abs. 5 VVO-E.

9. Streichung der in Art. 24 VVO-E vorgesehenen Verpflichtung des EDSA, während laufender Streitbeilegungsverfahren die Parteien anzuhören

Nach Art. 24 VVO-E soll der EDSA den von der Untersuchung betroffenen Parteien und/oder den Beschwerdeführenden vor Erlass eines verbindlichen Beschlusses nach Art. 65 Abs. 1 lit. a) DSGVO eine Begründung übermitteln, in der die Gründe erläutert sind, die der Ausschuss in seinem Beschluss zu erlassen beabsichtigt. Eine solche Anhörungspflicht im Streitbeilegungsverfahren ist abzulehnen. Zum einen ist die Anhörung nicht erforderlich, da die Parteien/die Beschwerdeführenden vor der Eröffnung des Streitbeilegungsverfahrens hinreichend Gelegenheit zur Stellungnahme hatten. Zum anderen könnte die Einführung einer Anhörungspflicht des EDSA dessen Rolle im Streitbeilegungsverfahren und sein Verhältnis zu den Parteien verändern und Klagen gegen dessen verbindliche Beschlüsse gem. Art. 65 Abs. 1 DSGVO eröffnen, die das EuG bislang mangels unmittelbarer Betroffenheit abgelehnt hat.

10. Beibehaltung der unionsweiten Gültigkeit von EDSA-Entscheidungen im Dringlichkeitsverfahren nach Art. 66 Abs. 2 DSGVO; Streichung der in Art. 28 VVO-E vorgesehenen Beschränkung des geographischen Wirkungsbereiches von im Dringlichkeitsverfahren gem. Art. 66 Abs. 2 DSGVO erlassenen Stellungnahmen und verbindlichen Beschlüssen

Als Ausnahme vom One Stop Shop darf eine betroffene Aufsichtsbehörde gem. Art. 66 Abs. 1 DSGVO unter außergewöhnlichen Umständen bei dringendem Handlungsbedarf anstelle des Zuwartens auf die federführende Aufsichtsbehörde sofort selbst einstweilige Maßnahmen mit festgelegter Geltungsdauer von bis zu drei Monaten in ihrem Hoheitsgebiet treffen. Sofern anschließend darüber hinaus dringend endgültige Maßnahmen erlassen werden müssen, kann die betroffene Aufsichtsbehörde dies beim EDSA gem. Art. 66 Abs. 2 DSGVO beantragen. Es dürfte dem bisherigen Verständnis der Aufsichtsbehörden entsprechen, dass die endgültigen Maßnahmen nach Art. 66 Abs. 2 DSGVO infolge der Beteiligung des EDSA Gültigkeit im gesamten EWR beanspruchen können. Daher ist es abzulehnen, dass Art. 28 VVO-E die Gültigkeit von endgültigen Maßnahmen auf das Hoheitsgebiet der Aufsichtsbehörde beschränkt, welche die endgültigen Maßnahmen beantragt hat.

II. Rechtsgrundlage des VVO-E und Auswirkungen aufs nationale Verfahrensrecht

Als Kompetenzgrundlage zur Schaffung zusätzlicher Verfahrensregeln für die Durchsetzung der DSGVO stützt sich die Kommission auf die Ermächtigung aus Art. 16 AEUV, Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union sowie durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen, zu erlassen. Auch die DSGVO enthält bereits jetzt in den Kapiteln VI, VII und VIII vielfältige (Verfahrens-)Regeln zum administrativen und justiziellen, indirekten mitgliedstaatlichen Vollzug. Insofern bestehen auf Seiten der DSK keine strukturellen Bedenken mit Blick auf Subsidiarität oder Verhältnismäßigkeit des Entwurfs. Er trägt den Grundsätzen der Durchführung des Unionsrechts unter dem Leitgedanken Rechnung, die Verwirklichung der Rechtsgemeinschaft der EU so leicht, vollständig und dauerhaft wie möglich zu machen. Damit soll die Zielsetzung der DSGVO eines einheitlichen Datenschutzstandards im Binnenmarkt unterstützt werden. Gleichwohl sollte aus Sicht des Bundesgesetzgebers berücksichtigt werden, dass die vorgesehenen Verfahrensregelungen sowohl das deutsche Verwaltungsverfahren als auch das Verfahren nach dem Ordnungswidrigkeitengesetz (OWiG) betreffen. Punktuell sind nicht unerhebliche Abweichungen zur derzeitigen Rechtslage vorgesehen, was gerade mit Blick auf das OWiG einer vertieften Untersuchung bedürfte.

III. Anwendungsbereich des Kapitels III des VVO-E

Eines der Hauptmotive der Kommission für die Erstellung des Entwurfes war die Wiener Erklärung, in der der EDSA eine verstärkte Zusammenarbeit der Aufsichtsbehörden und eine starke und rasche Durchsetzung der DSGVO in strategischen Fällen forderte.⁵ Die Vielzahl der vorgeschlagenen neuen formalen Verfahrensschritte kann in vielen Punkten zu einer Verbesserung der Zusammenarbeit führen, erhöht allerdings auch den bürokratischen Aufwand erheblich. Dieser zusätzliche Verwaltungsaufwand kann bei komplexen und kontroversen Fällen durchaus gerechtfertigt sein. Umgekehrt stellt sich aber die Frage, ob bei dem gewählten Regelungsansatz nicht möglicherweise die Vielzahl der unstreitigen, einfach gelagerten Fälle im Art. 60 DSGVO-Verfahren aus dem Blick verloren wurden. Die DSK hat Anlass zur Sorge, dass diese neuen Verfahrensschritte die tägliche Arbeit vieler Aufsichtsbehörden erschweren und letztlich zu Verzögerungen in nicht strategischen Fällen⁶ (und indirekt auch in strategischen Fällen) führen könnten. In einfachen Fällen, in denen die Konsensfeststellung unproblematisch ist, sind keine zusätzlichen Verfahrensschritte erforderlich. Das Verfahren nach Kapitel III wäre somit nur auf Fälle mit nachhaltiger Wirkung („high impact“) anwendbar.

Vor diesem Hintergrund schlägt die DSK Änderungen des derzeitigen Entwurfs vor, um eine Überlastung der Aufsichtsbehörden zu vermeiden. Verschiedene Ansätze sind denkbar:

„Weggabelung“-Lösung: Der gesamte Abschnitt 1 von Kapitel 3 (und möglicherweise auch Abschnitte 2 und 3) ist nur auf „high impact“-Fälle anwendbar. Dabei sollten jedoch unbedingt Streitigkeiten zwischen den federführenden und betroffenen Aufsichtsbehörden darüber vermieden werden, ob es sich wirklich um einen „high impact“-Fall handelt. Dies könnte zum einen durch eine sehr klare und einfache Definition solcher Kategorien von Fällen erreicht werden:⁷ Ein „high impact“-Fall könnte beispielsweise als ein Fall definiert werden, in dem der Verantwortliche oder Auftragsverarbeiter als „Torwächter“ nach dem DMA⁸ oder als „sehr große Online-Plattform“ nach dem DSA benannt wurde,⁹ es sei denn, der potenzielle Verstoß bezieht sich ausschließlich auf Kapitel III¹⁰ der DSGVO im Einzelfall. Dieser Ansatz würde zudem zu einer kohärenten und zielgerichteten Durchsetzung der gesamten EU-Digitalgesetzgebung führen.¹¹ Alternativ könnten entweder die betroffene oder die federführende Aufsichtsbehörde nach eigenem Ermessen einen Fall als „high impact“ einordnen, z. B. wenn sie wegen der Komplexität des Falles oder der grundlegenden Natur einer neuen Rechtsfrage (etwa im Zusammenhang mit KI-Anwendungen) die erweiterten Verfahrensregeln nach Kapitel III des VVO-E für den Fall als zielführend erachten. Diese beiden Ansätze könnten auch miteinander kombiniert werden.

Das Konzept der „nichtstreitigen Fälle“ (vgl. Art. 9 Abs. 6 VVO-E) könnte ausgeweitet werden. In „nichtstreitigen” Fällen könnte die federführende Aufsichtsbehörde verpflichtet werden, binnen neun Monaten, nachdem ein Fall gemäß Art. 9 Abs. 6 des Vorschlags als nichtstreitig eingestuft wurde, anstelle der vorläufigen Feststellungen einen Beschlussentwurf gem. Art. 60 Abs. 3 DSGVO vorzulegen. Der Vorteil dieser Regelung wäre, dass die im Entwurf enthaltene Beschleunigung der Zusammenarbeit hinsichtlich „lower impact“-Fälle beibehalten würde.

IV. Auswirkungen auf den Haushalt

Der Verordnungsentwurf enthält in der vorliegenden Fassung eine Reihe von zusätzlichen Erfordernissen wie die Einführung und der Betrieb eines Identifikationsverfahrens oder die Aufgabenzuweisung an die betroffenen Aufsichtsbehörden zur Anfertigung von Übersetzungen und erhöht den Aufwand der Abstimmung der Aufsichtsbehörden untereinander. Anders als in Punkt 4 der Begründung der Verordnung angegeben, wird die Umsetzung für die Datenschutzaufsichtsbehörden mit personellem und sachlichem Mehraufwand für die nationalen Haushalte - in Deutschland die des Bundes und vor allem der Länder – einhergehen, soweit es nicht gelingt, die nachstehenden Nachbesserungsforderungen durchzusetzen.

V. Stellungnahme zu den einzelnen Artikeln des Entwurfes

1. Kapitel II VVO-E: Einreichung und Bearbeitung von Beschwerden

a) Art. 3 VVO-E: Grenzüberschreitende Beschwerden

Wie von der Kommission in der Begründung des VVO-E dargestellt, stellen Beschwerden im Sinne von Art. 77 DSGVO eine wesentliche Informationsquelle zur Aufdeckung von Verstößen gegen Datenschutzbestimmungen dar. In der Praxis hat sich gezeigt, dass zurzeit unterschiedliche formelle Anforderungen an die Einreichung einer „zulässigen“ Beschwerde bei grenzüberschreitenden Fällen bestehen. Das kann zu Problemen führen, wenn eine nach den Anforderungen in dem Mitgliedstaat, in dem die Beschwerde eingereicht wird, als zulässig erachtete Beschwerde den Anforderungen des Mitgliedsstaates, in dem die verantwortliche Stelle ihren Sitz hat, nicht genügt. Daher ist eine Vereinheitlichung der Regelungen zur Einreichung und Bearbeitung von Beschwerden zu begrüßen.

Allerdings sollten bei der Vereinheitlichung der Regelungen zur Einreichung und Bearbeitung von Beschwerden aus der Sicht der deutschen Aufsichtsbehörden keine zusätzlichen und unnötigen bürokratischen Hürden eingefügt werden, wie sie der Verordnungsentwurf vorsieht. Die Vorlage eines Identitätsnachweises oder das Unterschriftserfordernis wird zu einem Rückgang von Beschwerden und damit solcher wichtigen Hinweise für die aufsichtliche Tätigkeit führen, ohne dass dem ein erkennbarer Nutzen gegenübersteht – im Gegenteil würden die Aufsichtsbehörden noch intensiver mit Formalitäten beschäftigt wie der Einrichtung und Pflege von elektronischen Identifikationsverfahren und dem aufwändigen Schutz von nicht erforderlichen, aber gleichwohl sehr „sensiblen“ Daten wie Ausweiskopien und Telefonnummern, statt mit den eigentlichen Anliegen der Betroffenen.

Ziel der Verhandlungen sollte es also sein, bürokratische Hürden für Bürger, die derzeit in wenigen Mitgliedsstaaten bestehen, abzubauen, statt diese Hürden mit der Verordnung nun in allen Mitgliedsstaaten zu etablieren. Insbesondere sollte die Anforderung eines Identitätsnachweises und die einer Unterschrift gestrichen werden.

Sollte dies nicht zu erreichen sein, wäre auch eine Festschreibung der bisher vom EDSA getroffenen Regelung¹² ausreichend, dass allein die Zulässigkeitskriterien der Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, gelten, um ein Ausscheren von diesen Regeln durch einzelne Aufsichtsbehörden auszuschließen, weil sie nationale Verfahrensregelungen als vorrangig vor den Leitlinien des EDSA ansehen.

Ferner prüft die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, gemäß Art. 3 Abs. 3 VVO-E innerhalb eines Monats, ob die im Beschwerdeformular geforderten Angaben vollständig sind. Nach hiesigem Verständnis soll diese Monatsfrist nicht für die Identifizierung der federführenden Aufsichtsbehörde gelten, d. h. die Identifizierung der federführenden Aufsichtsbehörde soll nach Ablauf der Monatsfrist erfolgen. Zur Vermeidung von Missverständnissen sollte eine entsprechende Klarstellung im Wortlaut von Art. 3 Abs. 3 VVO-E erfolgen.

In Art. 3 Abs. 4 VVO-E bleibt offen, was zu tun ist, wenn die Angaben unvollständig sind. Hier sollte klargestellt werden, dass die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, den Beschwerdeführer auffordert, die Angaben zu vervollständigen und dass die Anforderung fehlender Informationen nicht unter die Einmonatsfrist in Art. 3 Abs. 3 VVO-E fällt. Zu klären wäre darüber hinaus, wie zu verfahren ist, wenn die Beschwerde nicht vervollständigt wird, insbesondere welche Behörde dann über die Beschwerde entscheidet.

Art. 3 Abs. 5 VVO-E erschwert zudem Beschwerdeführenden die Beschwerde unnötig, indem die Vorlage einer nichtvertraulichen Fassung der Beschwerde verlangt wird, wenn eine vertrauliche Bearbeitung beantragt wird.

Darüber hinaus bleibt der erforderliche Inhalt der nicht vertraulichen Fassung gem. Art. 3 Abs. 5 VVO-E unklar.

Zuletzt dürfte die kurze Frist für Empfangsbestätigungen gem. Art. 3 Abs. 6 VVO-E lediglich zu automatisierten Antworten führen, deren Zweckmäßigkeit zu bezweifeln ist. Zwecks Effizienz sollten Empfangsbestätigungen und Prüfung nach Art. 3 Abs. 3 VVO-E zusammengelegt werden.

b) Art. 4 VVO-E: Untersuchung von Beschwerden

Grundsätzlich wird die Klarstellung begrüßt, dass es den Aufsichtsbehörden im Rahmen sachgerechter Ermessensausübung gestattet bleibt, die Bearbeitung von Beschwerden zu gewichten. Durch die gewählte Formulierung „inwieweit“ wird deutlich gemacht, dass die Aufsichtsbehörde Ermessen hinsichtlich des Untersuchungsumfangs hat. Zugleich liefert die Norm einen nicht abschließenden Katalog von Kriterien, die die Aufsichtsbehörde bei der Bestimmung des Untersuchungsumfangs berücksichtigt. Der letzte Satz des Erwägungsgrundes 6 stellt klar, dass bei der Beurteilung des Umfangs der erforderlichen Untersuchungsmaßnahmen die Schwere des mutmaßlichen Verstoßes, sein systematischer oder wiederholter Charakter oder die Tatsache, dass die Beschwerdeführenden auch ihre Rechte nach Art. 79 DSGVO wahrgenommen haben, berücksichtigt werden können. Die DSK ist allerdings der Ansicht, dass es in der Praxis nicht allein darauf ankommen sollte, ob die Beschwerdeführenden ihre Rechte nach Art. 79 DSGVO bereits wahrgenommen haben. Allenfalls bei leichten Verstößen mag es im Rahmen des pflichtgemäßen Ermessens zur Bestimmung des Untersuchungsumfangs als ein Kriterium mit herangezogen werden, dass Beschwerdeführende bereits eine zivilrechtliche Klage eingereicht haben oder in der Lage wären, ihre Rechte selbst zivilgerichtlich geltend zu machen. Zusätzlich könnte außerdem als Erwägungskriterium aufgenommen werden, ob Beschwerdeführende ihre Rechte bereits selbst außergerichtlich gegenüber dem Verantwortlichen geltend gemacht haben.

Nicht eindeutig festgelegt in Art. 4 VVO-E ist, wer „die Aufsichtsbehörde“ ist. Hier sollte eine Klarstellung im Text erfolgen, ob nur die federführende Aufsichtsbehörde gemeint ist oder auch die die Beschwerde empfangende Behörde oder auch alle anderen betroffenen Aufsichtsbehörden.

c) Art. 5 VVO-E: Gütliche Einigung

Es ist zu begrüßen, dass der Verordnungsentwurf einheitliche Regelungen zu gütlichen Einigungen enthält. Während Art. 5 VVO-E nicht zwischen federführender und betroffener Aufsichtsbehörde unterscheidet, bleibt die genaue Rolle der betroffenen Aufsichtsbehörden in gütlichen Einigungen, welche von der federführenden Aufsichtsbehörde initiiert wurden, jedoch unklar. Dies betrifft einerseits die direkte Kommunikation mit den Beschwerdeführenden, welche gem. Art. 77 DSGVO allein der Aufsichtsbehörde, die die Beschwerde erhalten hat, obliegen sollte.

Aus der Rücknahmefiktion für gütliche Einigungen ergibt sich zudem eine veränderte Position der betroffenen Aufsichtsbehörde. Derzeitig ist den EDSA-Leitlinien entsprechend auch bei gütlichen Einigungen das Abstimmungsverfahren gemäß Art. 60 ff. DSGVO einzuhalten, was insbesondere auch die Vorlage eines Beschlussentwurfs der federführenden Aufsichtsbehörde gemäß Art. 60 Abs. 3 S. 2 DSGVO umfasst. Dadurch wird die Entscheidung darüber, ob eine gütliche Einigung zur Beilegung der Beschwerde gefunden wurde, konsensual von der betroffenen und der federführenden Aufsichtsbehörde getroffen. Bei einer Rücknahme der Beschwerde wäre dieses Verfahren nach dem Verordnungsentwurf jedoch nicht mehr vorgesehen.

Auch aus Sicht der Beschwerdeführenden ist die Anordnung bzw. Fiktion einer Beschwerderücknahme als Rechtsfolge des Nichteinhaltens der Rückmeldefrist von einem Monat kritisch zu betrachten, weil hierdurch seine Klagebefugnis aus Art. 78 DSGVO beseitigt wird. Die Rücknahmefiktion sollte daher gestrichen werden.

Im Falle einer Beibehaltung müsste eine erforderliche Belehrungspflicht ergänzt werden, wie sie anderweitig etwa Art. 11 Abs. 2 S. 2 VVO-E vorgesehen ist. Zudem sollten Beschwerdeführenden mindestens zwei Monate Rückmeldefrist eingeräumt werden.

Zuletzt bliebe angesichts der uneingeschränkten Gewährleistung des Beschwerderechts durch Art. 77 DSGVO klarzustellen, dass die Rücknahme einer Beschwerde nicht i.S.e. Sperrwirkung oder Verwirkung zum Verlust des Beschwerderechts in derselben Angelegenheit für die Zukunft verstanden werden darf, sondern als nachteilige Rechtsfolge für Beschwerdeführende nur zur Einstellung des aktuellen Beschwerdeverfahrens führen kann.

Des Weiteren sollte entsprechend der bisherigen Praxis der Aufsichtsbehörden klargestellt werden, dass es im Ermessen der Aufsichtsbehörde steht, die Angelegenheit auch nach einer gütlichen Einigung weiter zu untersuchen, wenngleich im Rahmen eines anderen oder amtswegigen Verfahrens. Darüber hinaus sollte eine gütliche Einigung die betroffene Person nicht daran hindern, sich an die Aufsichtsbehörde zu wenden, sollte sich (später) herausstellen, dass der Verantwortliche seiner Pflicht nicht wie vereinbart nachgekommen ist.

d) Art. 6 VVO-E: Übersetzung

Art. 6 Abs. 1 lit. a) VVO-E sieht vor, dass die Aufsichtsbehörden nicht nur Texte aus oder in ihre Amtssprache übersetzen, sondern Übersetzungen für oder in sämtliche Sprachen bereitstellen. Diese geplante Neuregelung würde nicht unerhebliche zusätzliche Haushaltsmittel bei den Aufsichtsbehörden erfordern, während eine spürbare Arbeitserleichterung jedoch nicht zu erwarten ist. Die Geschäftsordnung des EDSA sieht bereits jetzt vor, dass die Arbeitssprache Englisch ist¹³. Diese Regelung hat sich bewährt und sollte unverändert erhalten bleiben. Art. 6 Abs. 1 lit. a) VVO-E sollte dementsprechend gestrichen werden. Dem Gedanken aus Abs. 2 folgend sollte Art. 6 keinerlei inhaltliche Festlegung hinsichtlich Übersetzungen treffen und stattdessen lediglich festlegen, dass der EDSA in seiner Geschäftsordnung und seinen Leitlinien Regelungen zu Übersetzungen treffen kann.

2. Kapitel III VVO-E: Zusammenarbeit gemäß Art. 60 DSGVO

a) Vorbemerkung zu Abschnitt 1

Die zentrale Neuerung des Kapitels 3 ist die in Art. 9 des Entwurfes vorgesehene Verpflichtung der federführenden Aufsichtsbehörde, einen vorläufigen Standpunkt zu den wichtigsten Fragen einer Untersuchung („Zusammenfassung der wichtigsten Aspekte“) zu erarbeiten und den betroffenen Aufsichtsbehörden zur Verfügung zu stellen. Dieser Verfahrensschritt soll dazu dienen, zwischen den Aufsichtsbehörden frühzeitig einen Konsens hinsichtlich der wichtigsten Fragen einer Untersuchung herzustellen. Insbesondere sollen Meinungsverschiedenheiten zum Umfang einer Untersuchung, die auf einer Beschwerde basiert, bereits in einem frühen Verfahrensstadium geklärt werden.

Die DSK begrüßt diesen Ansatz, bereits in einem frühen Verfahrensstadium die Konsensfindung zu verbessern. Allerdings sieht die DSK die Gefahr, dass durch weitere im Kapitel 3 vorgesehene Regelungen die Konsensfindung nicht verbessert, sondern erschwert oder sogar partiell ausgeschlossen wird. Insbesondere gemäß Art. 14 Abs. 2 und in Art. 18 Abs. 1 soll sich die Konsensfindung in einigen Fallgestaltungen nicht mehr wie bisher auf die Feststellung von Verstößen gegen die DSGVO und die Durchführung von Abhilfemaßnahmen beziehen, sondern nur noch auf den Umfang der Untersuchung. Eine solche Einschränkung der Mitsprachemöglichkeiten der Aufsichtsbehörden im Kooperationsverfahren sollte auf jeden Fall unterbleiben.

aa) Art. 7 VVO-E: Zusammenarbeit der Aufsichtsbehörden

In den Art. 7 ff. VVO-E werden neue Verfahrensschritte im Kooperationsverfahren etabliert, die schon deutlich vor der möglichen Einspruchseinlegung gegen einen Beschlussentwurf zu einer noch engeren Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den übrigen betroffenen Aufsichtsbehörden führen sollen. Die DSK begrüßt diesen Ansatz und regt an, dass der VVO-E zusätzlich dem EDSA die Möglichkeit einräumen sollte, durch den Erlass spezifischerer Bestimmungen die Zusammenarbeit der Behörden noch weiter zu verbessern.

Allerdings ist unklar, wie die verpflichtende Amtshilfe gem. Art. 61 DSGVO und gemeinsame Maßnahmen nach Art. 62 DSGVO, die in Art. 7 Abs. 1 VVO-E besonders erwähnt sind, Unstimmigkeiten etwa über den Untersuchungsumfang oder geeignete Maßnahmen verhindern bzw. Einsprüche vermeiden können.

bb) Art. 8 VVO-E: Zweckdienliche Informationen i.S.d. Art. 60 Abs. 1 u. 3 DSGVO

Die DSK begrüßt den Ansatz in Art. 8 VVO-E, den in Art. 60 Abs. 1 u. 3 DSGVO vorgesehenen Informationsaustausch zu spezifizieren, insbesondere die Ausdifferenzierung des Begriffs „relevante Informationen“ in Abs. 2.

Eine weitere Klarstellung ist jedoch auch hinsichtlich des Zeitpunkts der Übermittlung der Informationen durch die federführende Aufsichtsbehörde nötig. Die DSK schlägt vor, den Wortlaut „so bald wie möglich“ („at the earliest convenience“) nicht zu verwenden, da der Zeitpunkt des Informationsaustauschs dann im völligen Ermessen der federführenden Aufsichtsbehörde läge. Die DSK weist darauf hin, dass Rn. 54 der EDSA-Leitlinien 02/2022 zur Anwendung des Artikels 60 DSGVO klarstellt, dass eine wirksame Durchsetzung der DSGVO in der gesamten Union verlangt, dass alle betroffenen Aufsichtsbehörden rechtzeitig, d. h. so schnell wie möglich, alle relevanten Informationen erhalten. Daher sollte der Begriff „so bald wie möglich“ ersetzt werden, indem klargestellt wird, dass die zweckdienlichen Informationen, auf die in Art. 8 Abs. 2 Bezug genommen wird, unverzüglich von der federführenden Aufsichtsbehörde geteilt werden, sobald sie ihr zur Verfügung stehen.

Ein anderer, ausgewogener Ansatz wäre die Einführung einer Regelfrist für die Einreichung der „Zusammenfassung der wichtigsten Aspekte“ sowie der „vorläufigen Feststellungen.“ Die DSK ist sich bewusst, dass solche Fristen in bestimmten, besonders komplexen Verfahren die Aufsichtsbehörden vor Herausforderungen stellen könnten. In solchen Fällen könnten die Fristen jedoch durch einen Beschluss des EDSA-Vorsitzes verlängert werden. Sollte dem Vorschlag der DSK gefolgt werden, das neue Verfahren nur auf „high impact“-Fälle anzuwenden (s. o.), wären die hier vorgeschlagenen Fristen entsprechend auch nur auf diese Verfahren anwendbar.

Die DSK ist der Auffassung, dass die Zusammenfassung der wichtigsten Aspekte (Art. 9 VVO-E) und die vorläufigen Feststellungen (Art. 14 VVO-E) gem. Art. 9 Abs. 2, lit. e), g) für die betroffenen Aufsichtsbehörden von großer Bedeutung sind. Die DSK begrüßt daher, dass diese Punkte ausdrücklich erwähnt werden. Die DSK möchte jedoch empfehlen, Art. 14 zu ergänzen, um klarzustellen, dass die vorläufigen Feststellungen den betroffenen Aufsichtsbehörden noch vor der Offenlegung gegenüber den Parteien zur Stellungnahme vorgelegt werden müssen, da die betroffenen Aufsichtsbehörden in die Lage versetzt werden müssen, zu beurteilen, ob sie diesen Feststellungen zustimmen können.

Die DSK regt an, in einem Art. 8 Abs. 3 dem EDSA die Möglichkeit einzuräumen, in Leitlinien weitere Informationen festzulegen, die von der federführenden Aufsichtsbehörde zur Verfügung zu stellen sind.

cc) Art. 9 VVO-E: Zusammenfassung der wichtigsten Aspekte

Die DSK begrüßt den neuen Verfahrensschritt in Art. 9 des VVO-E und ist der Auffassung, dass die Zusammenfassung der wichtigsten Aspekte das Potenzial hat, einen guten Überblick über komplexe Verfahren, und insbesondere einen frühzeitigen Konsens über den Gegenstand der Untersuchung, herzustellen. Um die erforderliche Frühzeitigkeit zu gewährleisten, empfiehlt die DSK, eine Frist für diesen Schritt einzuführen. Die DSK geht davon aus, dass die Zusammenfassung der wichtigsten Aspekte und die vorläufigen Feststellungen gem. Art. 14 VVO-E darauf abzielen, die Zusammenarbeit zwischen den Aufsichtsbehörden zu verbessern. Unklar ist jedoch, warum die betroffenen Aufsichtsbehörden das Recht haben sollen, zu der Zusammenfassung der wichtigsten Aspekte (Art. 9 Abs. 3) Stellung zu nehmen, nicht aber zu den vorläufigen Feststellungen (Art. 14). Die DSK ist der Auffassung, dass zum Zeitpunkt der Vorlage der Zusammenfassung der wichtigsten Aspekte nur vorläufige Entscheidungen über den weiteren Verlauf und das Ergebnis der Untersuchung getroffen werden können. Das wird vor allem daran deutlich, dass erst die vorläufigen Feststellungen nach Art. 14 Abs. 2 umfassende und hinreichend klar dargelegte Anschuldigungen enthalten, wohingegen die Zusammenfassung der wichtigsten Aspekte nur „eine erste Feststellung möglicher Korrekturmaßnahmen“ beinhaltet. Folglich kann auf der Grundlage der Zusammenfassung der wichtigsten Aspekte noch kein Konsens über das Ergebnis der Untersuchung erzielt werden.

In Art. 9 Abs. 2 wird der Inhalt der Zusammenfassung der wichtigsten Aspekte, einschließlich der wichtigsten maßgeblichen Fakten, festgelegt. Unter Berücksichtigung mehrerer Diskussionen im Rahmen der Verfahren nach Art. 65 Abs. 1 Buchstabe a begrüßt die DSK, dass in dem Vorschlag klargestellt wird, dass gem. Art. 9 Abs. 2 lit. b) VVO-E frühzeitig über den Umfang der Untersuchung informiert werden muss.

Allerdings sollte die Beschränkung in Art. 9 Abs. 2 lit. c) VVO-E auf die Ermittlung „komplexer“ rechtlicher und technologischer Bewertungen entfallen. Die betroffenen Aufsichtsbehörden sollten in der Lage sein, zu der gesamten von der federführenden Aufsichtsbehörde vorgenommenen sachlichen und rechtlichen Beurteilung Stellung zu nehmen, unabhängig von ihrer Komplexität. Daher sollte in Art. 9 Abs. 2 lit. c) VVO-E der Begriff „komplexer“ gestrichen werden.

Gemäß Art. 9 Abs. 3 können die betroffenen Aufsichtsbehörden innerhalb von vier Wochen zur Zusammenfassung der wichtigsten Aspekte Stellung nehmen. Da nach dem Verständnis der DSK in der Zusammenfassung der wichtigsten Aspekte auch rechtliche Bewertungen enthalten sein können, sollte die Verfahrensverordnung eine Regelung enthalten, welche klarstellt, dass auf der Ebene der Stellungnahme keine Präklusion für etwaige spätere Einsprüche entsteht. Ebenso sollte folglich auch die federführende Behörde noch zulässigerweise ihre Rechtsauffassung ändern oder ergänzen dürfen. Andernfalls ist zu befürchten, dass die weiteren betroffenen Aufsichtsbehörden eine mit der Erarbeitung eines Beschlussentwurfs vergleichbare Prüfung und eine dem Einspruch ähnelnde Stellungnahme für alle Fälle erarbeiten müssten, ohne dass dafür die notwendige Verfahrensreife vorhanden ist. Eine solche Prüfung wäre dennoch geboten, weil die betroffenen Aufsichtsbehörden ansonsten für das spätere Einbringen von wichtig oder kritisch erscheinenden Aspekten präkludiert wären.

Die DSK schlägt vor, in den Entwurf eine Regelung aufzunehmen, binnen welcher Frist und in welcher Art und Weise die federführende Aufsichtsbehörde auf die erhaltenen Stellungnahmen eingehen soll. Ohne eine solche Regelung ist zu besorgen, dass die gewünschte Verfahrensbeschleunigung nicht erreicht werden kann.

Nach Art. 9 Abs. 5 kann der EDSA in seiner Geschäftsordnung Beschränkungen für die maximale Länge der Stellungnahmen der betroffenen Aufsichtsbehörden zur Zusammenfassung der wichtigsten Aspekte festlegen. Die DSK schlägt vor, diesen Absatz zu streichen, da solche Vorgaben die Behörden ggf. zu sehr einschränken.

dd) Art. 10 VVO-E: Einsatz von Mitteln zur Erzielung eines Konsenses

Als allgemeine Beobachtung weist die DSK darauf hin, dass der Einsatz von Instrumenten zur Konsensfindung derzeit auf beschwerdebasierte Verfahren beschränkt ist. Es sollte erwogen werden, diesen Anwendungsbereich auch auf von Amts wegen eingeleitete Verfahren auszudehnen.

Der Anwendungsbereich von Art. 10 sollte außerdem erweitert werden, um die Konsensfindung noch weiter zu fördern. Der Entwurf fördert eine frühzeitige Konsensfindung zum Umfang einer Untersuchung, nicht aber bezüglich der rechtlichen oder technologischen Bewertung der Untersuchungsergebnisse. Die DSK empfiehlt, den Anwendungsbereich von Art. 10 auch auf die Verfahrensschritte gemäß der Abschnitte 2 und 3 des Kapitels 3 auszudehnen, d. h., dass die vorläufigen Feststellungen (Art. 14) formell mit den Aufsichtsbehörden abgestimmt werden.

In Bezug auf Art. 10 Abs. 1 schlägt die DSK vor, klarzustellen, was das „Ersuchen“ hier genau umfassen soll (Untersuchungsbereich, komplexe rechtliche Beurteilungen, komplexe technologische Bewertungen?). Unklar ist zudem, warum im Wortlaut von Art. 10 Abs. 1 kein Konsens über die geplanten Korrekturmaßnahmen (die Teil der Zusammenfassung der Kernfragen gemäß Art. 9 Abs. 2 lit. d) sind) berücksichtigt ist. Eine entsprechende Ergänzung sollte in Art. 10 Abs. 1 aufgenommen werden, um diesen Absatz an Art. 9 Abs. 2 lit. d) VVO-E anzugleichen.

Darüber hinaus ist die Bezugnahme auf Art. 62 in Art. 10 Abs. 1 nicht vollständig klar. Gemäß Art. 62 DSGVO können die Aufsichtsbehörden gemeinsame Maßnahmen einschließlich gemeinsamer Untersuchungen und gemeinsamer Durchsetzungsmaßnahmen durchführen, an denen Mitglieder oder Bedienstete der Aufsichtsbehörden anderer Mitgliedstaaten teilnehmen. Es ist unklar, auf welche Art solche gemeinsamen Maßnahmen zur Konsensfindung beitragen können.

Auch die Bezugnahme auf Art. 61 DSGVO ist nicht vollständig klar. Verpflichtende Amtshilfe nach Art. 61 DSGVO scheint kein geeignetes Instrument zur Klärung von unterschiedlichen Bewertungen. Denn Art. 61 DSGVO enthält Regelungen dazu, dass ein Ersuchen grundsätzlich nicht abgelehnt werden darf (Abs. 4); auch dies kann nicht der Einigung über unterschiedliche Bewertungen dienen.

Es bleibt zudem unklar, warum die Notwendigkeit vorgesehen ist, die in Art. 61 und 62 DSGVO vorgesehenen Verfahren zu durchlaufen, bevor ein Dringlichkeitsverfahren eingeleitet werden könnte. Insbesondere wenn das Fehlen eines Konsenses über den Umfang einer auf einer Beschwerde basierten Untersuchung bereits nach Vorlage der Zusammenfassung der wichtigsten Aspekte zutage tritt, erscheint ein verpflichtender Antrag nach Art. 61 oder 62 ein unnötiger Umweg zu sein, der zu einer weiteren Verzögerung des Verfahrens führt. Das Dringlichkeitsverfahren nach Art. 10 Abs. 4 sollte daher unmittelbar nach der Vorlage einer Stellungnahme gem. Art. 9 Abs. 3 des Entwurfes zur Verfügung stehen. Ersuchen nach den Artikeln 61 und 62 sollten fakultativ bleiben. Art. 10 Abs. 4 regelt die Fälle, in denen nach Art. 61 oder 62 kein Konsens erzielt werden konnte. In diesem Fall ist die federführende Aufsichtsbehörde verpflichtet, ein Dringlichkeitsverfahren gemäß Art. 66 Abs. 3 DSGVO einzuleiten.

Art. 10 Abs. 4 stellt klar, dass in diesem Fall die Voraussetzungen für die Beantragung einer verbindlichen Entscheidung gemäß Art. 66 Abs. 3, d. h. die dringende Handlungsnotwendigkeit des EDSA, als erfüllt gelten. Die DSK begrüßt den Ansatz des Vorschlags, Meinungsverschiedenheiten in Bezug auf den Umfang der beschwerdebasierten Untersuchungen so frühzeitig wie möglich beizulegen. Die Einleitung eines Dringlichkeitsverfahrens in dieser Situation scheint ein geeigneter Ansatz zu sein. Die DSK stellt fest, dass nur die federführende Aufsichtsbehörde berechtigt und verpflichtet ist, das Dringlichkeitsverfahren nach Art. 10 Abs. 4 einzuleiten. Für die betroffenen Aufsichtsbehörden besteht jedoch keine entsprechende Berechtigung. Die DSK ist der Auffassung, dass in einer beschwerdegestützten Untersuchung, in der es keinen Konsens zwischen der federführenden Aufsichtsbehörde und einer betroffenen Aufsichtsbehörde über den Umfang der Untersuchung gibt, sowohl die federführende Aufsichtsbehörde als auch die betroffenen Aufsichtsbehörden das Recht haben sollten, eine dringende verbindliche Entscheidung des EDSA gemäß Art. 66 Abs. 3 DSGVO zu beantragen. Darüber hinaus erscheint die gesetzliche Frist von zwei Wochen nach Art. 66 Abs. 4 für die Entscheidung über den Umfang der Untersuchung recht kurz, insbesondere bei komplexen Untersuchungen, wie z. B. bei Mehrfachbeschwerden oder bei der mutmaßlichen Verletzung mehrerer Bestimmungen der DSGVO. Innerhalb von zwei Wochen wird es schwierig sein, komplexe sachliche oder rechtliche Fragen zu lösen. Der Vorsitz des EDSA sollte daher die Möglichkeit haben, diese Frist nach pflichtgemäßem Ermessen auf bis zu vier Wochen zu verlängern, sofern sie oder er das für erforderlich hält.

Die DSK stellt fest, dass wegen Art. 10 Abs. 5 des Entwurfes die Liste der Dokumente, welche die federführende Aufsichtsbehörde bei der Einleitung des Verfahrens nach Art. 66 Abs. 3 vorlegen muss, nur einen Teil der Zusammenfassung der wichtigsten Aspekte umfasst. Die Liste der Dokumente beinhaltet nicht die „Ermittlung komplexer rechtlicher und technologischer Bewertungen”, die für die vorläufige Ausrichtung ihrer Bewertung relevant sind;“ (Art. 9 Abs. 2 lit. c)) und „eine erste Feststellung möglicher Korrekturmaßnahmen“ (Art. 9 Abs. 2 lit. d)). Die DSK ist der Auffassung, dass dem EDSA bei der Einleitung des Dringlichkeitsverfahrens auch diese Dokumente vorgelegt werden sollten.

In Art. 10 Abs. 6 VVO-E wird klargestellt, dass der EDSA auf der Grundlage der Stellungnahmen der betroffenen Aufsichtsbehörden und des Standpunkts der federführenden Aufsichtsbehörde einen verbindlichen Beschluss über den Umfang der Untersuchung erlässt. Die DSK ist der Ansicht, dass der EDSA seine Entscheidung nicht nur „auf der Grundlage der Stellungnahmen der Aufsichtsbehörde und des Standpunkts der federführenden Aufsichtsbehörde“ treffen sollte, sondern auf der Grundlage aller eingegangenen Dokumente, so dass die entsprechende Beschränkung hier nicht sinnvoll erscheint.

Schließlich stellt die DSK fest, dass weder Art. 10 noch Kapitel VI des Vorschlags klarstellen, wie das Recht auf Anhörung der untersuchten Parteien und der Beschwerdeführenden auf Dringlichkeitsverfahren Anwendung findet. Dies sollte präzisiert werden.

b) Vorbemerkungen zu Abschnitten 2 und 3

Die DSK unterstützt die in den Abschnitten 2 und 3 des Kapitels III enthaltenen Ergänzungen der Regelungen zur Zusammenarbeit zwischen den Aufsichtsbehörden durch klare und rechtssichere Regelungen der Beteiligtenrechte, um unterschiedliche Anforderungen mitgliedstaatlichen Rechts zu überbrücken und die Aufgaben der beteiligten Behörden bei der gemeinsamen Bewertung grenzüberschreitender Fälle abzugrenzen. Auch wenn im Laufe des Rechtsetzungsverfahrens mit den Entscheidungen des EuGH unter anderem in den Rechtssachen C-26/22 und C-64/22 (SCHUFA) möglicherweise noch weitere Konkretisierungen der Anforderungen an die Ausgestaltung des aufsichtlichen Verfahrens zu erwarten sind, geht die DSK bei der Bewertung der vorliegenden Vorschläge von dem Ziel aus, dass nicht nur für Verantwortliche und Auftragsverarbeiter, sondern auch für Beschwerdeführende anknüpfend an Art. 47 der Grundrechtecharta und Art. 78 der DSGVO wirksame und faire Bedingungen zur Beteiligung, Darlegung ihrer Bewertung und Prüfung der Grundlagen behördlicher Entscheidungen zu gewährleisten sind.

Unabhängig davon hält es die DSK für erforderlich, ergänzend die Notwendigkeit weiterer Regelungen zu überprüfen, die die Rechtsfolgen von Verletzungen der Verfahrensvorschriften zur Beteiligung von Beschwerdeführenden und betroffenen Parteien unionsweit einheitlich regeln. Regelungen wie etwa die Möglichkeit zur Nachholung einer erforderlichen Anhörung (im nationalen Recht z. B. als Heilung eines Verfahrensfehlers durch § 45 Abs. 1 Nr. 3 VwVfG gestattet) haben grundlegende Bedeutung für die Beurteilung der Rechtmäßigkeit der im Kooperations- und Kohärenzverfahren zustande gekommene Entscheidungen und sollten deshalb schon im Interesse der Rechtssicherheit unionsweit festgelegt werden.

aa) Art. 11 VVO-E: Anhörung der Beschwerdeführenden vor Abweisung

Die Stellung des gesamten Artikels und sein Zusammenspiel mit weiteren Bestimmungen der Abschnitte 2 und 3 erscheinen unsystematisch oder zumindest unnötig differenziert. So ergeben sich für die Variante „Teilabweisung“ aus Art. 15 des Entwurfs widersprüchliche Verfahrensanforderungen, etwa bei der in Art. 15 Abs. 1 anders als in Art. 11 Abs. 2 nicht näher bestimmten Frist zur Rückäußerung. Insgesamt ergeben sich in zahlreichen Details substantielle Schlechterstellungen des Betroffenen gegenüber Verantwortlichen und Auftragsverarbeitern. Während diese nach Art. 14 Abs. 1 den mit näheren inhaltlichen Anforderungen verbundenen „Entwurf vorläufiger Feststellungen“ erhalten, werden Beschwerdeführende nach Art. 11 Abs. 1 lediglich „Gründe für die (…) vorläufige Auffassung“ der federführenden Behörde mitgeteilt, die eine qualifizierte Gegenäußerung als Kernaufgabe effektiver Anhörung gefährden und zudem mangels genauerer Anforderungen unterschiedliche Anwendungspraktiken begünstigen. Die Anforderungen an die inhaltliche Ausgestaltung der „Gründe für [die] vorläufige Auffassung“ im Sinne des Abs. 1 sollten daher mindestens dem in Art. 14 Abs. 2 Satz 2 und 3 vorgesehenen Maßstäben entsprechen.

Die Festsetzung einer Mindestfrist von drei Wochen gemäß Art. 11 Abs. 2 VVO-E stellt einen angemessenen Ausgleich zwischen den Zielen der Verfahrensbeschleunigung und effektiven Rechtsverteidigung dar. Angesichts absehbarer praktischer Erfordernisse wie z. B. Schwierigkeiten bei der Gewährleistung wirksamer Rechtsverteidigung verkürzen, wenn anwaltliche Beratung ggf. nicht kurzfristig erreichbar sein sollte, sollte der zuständigen Aufsichtsbehörde aber ausdrücklich eine Befugnis zur Verlängerung einer ersten Äußerungsfrist eingeräumt werden, die mit der Verpflichtung zur Unterrichtung der übrigen beteiligten Behörden verknüpft werden sollte.

Die Fiktion einer Beschwerderücknahme nach fruchtlosem Ablauf der Anhörungsfrist gem. Art. 11 Abs. 3 VVO-E ist mit dem Charakter des Anhörungsverfahrens nicht zu vereinbaren, da sie die Gewährung des Anhörungsrechts mit einer Sanktion bzw. Handlungspflicht verknüpft und damit im Ergebnis nichts anderes begründet als eine Rechtsbehelfsfrist. Sie führt im Übrigen auch zu einer gänzlich unangemessenen Verkürzung des Rechtsschutzes der Beschwerdeführenden: die Rücknahmefiktion beseitigt einerseits schon ihre Klagebefugnis aus Art. 78 DSGVO, da ihnen die Rolle als Beschwerdeführende genommen wird und gleichzeitig fehlt eine gerichtlich überprüfbare Behördenentscheidung, sodass das bloße Anhörungsschreiben mit „vorläufigen Auffassungen“ keine Regelungswirkung entfaltet. Letztlich erzeugt die Rücknahmefiktion nur Rechtsunsicherheit für Behörden, Verantwortliche und Auftragsverarbeiter sowie potentiell doppelten Verfahrensaufwand. Sollten die Beschwerdeführenden auf Grundlage desselben Sachverhalts erneut ihre als zurückgenommen geltende Beschwerde einreichen, kann diese jedenfalls weder wegen entgegenstehender Bestandskraft noch wegen Verwirkung des Rechtsschutzbedürfnisses abgewiesen werden, da es an einem eindeutigen, zurechenbaren Verhalten der Beschwerdeführenden fehlt. Daher sollte Art. 11 Abs. 3 einschließlich der in Abs. 2 enthaltenen Bezugnahmen ersatzlos entfallen. Wenn die Vorschrift beibehalten werden sollte, müsste für den Fall der schuldlosen Fristversäumnis eine Regelung für die Wiedereinsetzung der Beschwerdeführenden in den vorigen Stand getroffen werden, ähnlich wie in § 32 VwVfG.

Art. 11 Abs. 4 VVO-E lässt offen, welche Aufsichtsbehörde die nichtvertrauliche Fassung der Dokumente erstellt. Die DSK spricht sich hier ebenso wie bei der Parallelbestimmung des Art. 15 Abs. 1 dafür aus, diese Aufgabe der mit dem Gesamtverfahren am besten vertrauten federführenden Behörde vorzubehalten.

Die Regelung trifft für den Sonderfall eines Anhörungsverfahrens, das zu keiner Änderung der Sachentscheidung Anlass gegeben hat, eine von Art. 60 Abs. 3 und Abs. 8 abweichende Aufgabenverteilung, indem sie der Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, die Aufgabe zuweist, den Beschlussentwurf nach Art. 60 Abs. 3, und nicht erst den abschließenden, den Beschwerdeführenden und Verantwortlichen mitzuteilenden abschließenden Beschluss zu erstellen.

Die Erforderlichkeit der Regelung und ihre Stimmigkeit sollten überprüft werden, da sie unnötige Abstimmungserfordernisse provoziert, zumal schon die Grundentscheidung, ob eine Änderung des vorläufigen Standpunkts erforderlich ist, nur von der federführenden Behörde getroffen werden kann.

bb) Art. 12 VVO-E: Überarbeiteter Beschlussentwurf über die Abweisung einer Beschwerde

Art. 12 sieht eine begrüßenswerte zusätzliche Einbeziehung der Beschwerdeführenden vor, wenn ein überarbeiteter Beschlussentwurf Anlass dazu gibt. Fraglich ist jedoch, warum nur die federführende Aufsichtsbehörde dieses Verfahren auslösen können soll und nicht auch die Eingangsbehörde, welche schließlich den abweisenden Bescheid erlassen und vor Gericht verteidigen müsste. Regelungsbedürftig erscheint auch die Frage, welche Folgen sich für das Konsultationsverfahren nach Art. 9 ff. VO-E ergeben, wenn die Beschwerdeführenden in ihrer Stellungnahme neue relevante Aspekte vorbringt.

cc) Art. 13 VVO-E: Beschluss über die Abweisung einer Beschwerde

Art. 13 des VO-Entwurfs beschäftigt sich mit der Unterrichtung der Beschwerdeführenden über den ihnen gemäß Art. 78 DSGVO zur Verfügung stehenden gerichtlichen Rechtsbehelf, was eine essentielle Information an die Beschwerdeführenden darstellt. Als Wiederholung von Art. 77 Abs. 2 DSGVO ist jedoch kein neuer Regelungsgehalt erkennbar.

dd) Art. 14 VVO-E: Vorläufige Feststellungen und Antwort

Art. 14 des Entwurfes führt einen weiteren Verfahrensschritt ein, der die Gewährung des Anhörungsrechtes der von der Untersuchung betroffenen Parteien sicherstellen soll. Die Norm soll die federführende Aufsichtsbehörde, wenn sie beabsichtigt einen Verstoß gegen die DSGVO festzustellen, verpflichten, vor Erstellung eines Beschlussentwurfes den von der Untersuchung betroffenen Parteien einen Entwurf vorläufiger Feststellungen vorzulegen. Die DSK ist sich bewusst, dass die von der Untersuchung betroffenen Parteien vor dem Erlass eines Beschlusses anzuhören sind und begrüßt daher grundsätzlich die im Entwurf vorgesehene Harmonisierung der Anhörungsrechte.

Die in den vorläufigen Feststellungen enthaltenen Anschuldigungen sollen alle Fakten und die gesamte rechtliche Würdigung, die den von der Untersuchung betroffenen Parteien zur Last gelegt wird, enthalten. Ebenso sollen bereits sämtliche Abhilfemaßnahmen einschließlich etwaiger Geldbußen nach Art. 83 DSGVO, welche die federführende Aufsichtsbehörde zu ergreifen beabsichtigt, aufgeführt sein. Art. 14 Abs. 6 VVO-E begründet mit der Regelung, dass die federführende Aufsichtsbehörde in ihrem Beschlussentwurf nur Sachverhalte und auch Bewertungen zu Grunde legen darf, zu den sich die Untersuchung betroffenen Parteien äußern konnten, eine zwar im Hinblick auf Art. 41 und 47 EU-Grundrechte-Charta legitime, aber verfahrensentscheidende Sperrwirkung für spätere Änderungen der tatsächlichen oder rechtlichen Untersuchungsgegenstände. Solche Veränderungen sind aber im weiteren Verlauf des Kooperationsverfahrens in diesem Verfahrensstadium noch nicht auszuschließen.

Vor diesem Hintergrund weist die DSK darauf hin, dass in der Praxis die Notwendigkeit bestehen kann, die von der Untersuchung betroffenen Parteien mehrmals anzuhören. In Deutschland ist das schon deshalb der Fall, weil das Verwaltungsverfahren und das Bußgeldverfahren formal getrennte Verfahren sind, die nach unterschiedlichen Verfahrensordnungen durchzuführen sind. Ebenso kann es vorkommen, dass nach einer ersten Anhörung neue Fakten, ggf. auf Anregung von betroffenen Aufsichtsbehörden, ermittelt werden, die eine Erweiterung der in der ersten Anhörung erhobenen Anschuldigungen erforderlich machen. In Art. 14 sollte daher klargestellt werden, dass die Möglichkeit besteht, die den von der Untersuchung betroffenen Parteien mitgeteilten vorläufigen Feststellungen im weiteren Verlauf der Untersuchung zu ergänzen.

Es ist zudem nicht sichergestellt, dass in allen Fällen durch die in Art. 10 des Entwurfes vorgesehenen Instrumente ein Konsens hinsichtlich der Feststellung von Verstößen gegen die DSGVO und der Ergreifung von Abhilfemaßnahmen erzielt werden kann. Bei Meinungsverschiedenheiten zwischen den Aufsichtsbehörden soll der EDSA in Dringlichkeitsverfahren gem. Art. 66 Abs. 3 DSGVO nämlich nur eine Entscheidung zum Umfang der Untersuchung in beschwerdebasierten Kooperationsverfahren, nicht aber zu anderen für den weiteren Verlauf der Untersuchung wichtigen Fragen treffen dürfen. Hinzu kommt, dass gem. Art. 18 Abs. 2 lit. b) ein maßgeblicher und begründeter Einspruch den Umfang der Anschuldigungen nicht dadurch ändern darf, dass Punkte vorgebracht werden, die darauf hindeuten, dass zusätzliche Vorwürfe eines Verstoßes gegen die DSGVO vorliegen oder der Wesensgehalt der vorgebrachten Anschuldigungen geändert wird.

Vor diesem Hintergrund ist die DSK der Auffassung, dass den betroffenen Aufsichtsbehörden im Interesse einer fairen Verteilung der Verantwortlichkeiten von federführenden und betroffenen Aufsichtsbehörden, aber auch der Verfahrensökonomie, die Möglichkeit eingeräumt werden muss, wirksam auf den Inhalt der von der federführenden Aufsichtsbehörde erhobenen Anschuldigungen Einfluss zu nehmen. Es sollte auf jeden Fall zwischen der federführenden Aufsichtsbehörde und den betroffenen Aufsichtsbehörden Konsens hinsichtlich des Inhaltes der Anschuldigungen bestehen.

Nach alledem ist die DSK der Auffassung, dass die hinreichend klar dargelegten Anschuldigungen erst dann vorgelegt werden sollten, wenn zwischen der federführenden Aufsichtsbehörde und den betroffenen Aufsichtsbehörden ein Konsens hinsichtlich ihres Inhaltes erzielt wurde und Änderungen im weiteren Verfahrensverlauf nicht mehr zu erwarten sind.

Unabhängig von dieser Frage der Abstimmung der Anschuldigungen hält es die DSK für erforderlich, etwaige Rückwirkungen auf das für das Sanktionsverfahren nach Art. 83 DSGVO vorgesehene nationale Verfahrensrecht – im deutschen Recht das OWiG – zu prüfen, soweit Art. 14 Abs. 2 Unterabs. 3 des Verordnungsvorschlags unverändert Bestand hat.

Mit dem unionsrechtlichen Erfordernis, im Rahmen der an Verantwortliche oder Auftragsverarbeiter zu eröffnenden Anschuldigungen bereits zur möglichen Verhängung einer Geldbuße Stellung zu nehmen und dabei u. a. auch die für den Kernbereich der tatangemessenen Bußgeldzumessung gem. Art. 83 Abs. 1 und 2 DSGVO relevanten Umstände darzulegen, werden künftig für grenzüberschreitende Fälle Verfahrenselemente des aufsichtlichen Verfahrens und des Bußgeldverfahrens unionsrechtlich zusammengeführt. Für Verantwortliche und Auftragsverarbeiter ergeben sich daraus auch für die Bußgeldentscheidung maßgebliche Äußerungsfristen mit Präklusionsmöglichkeiten (Art. 14 Abs. 4 VVO-E) und ggf. Mitwirkungs- bzw. Darlegungspflichten (Art. 14 Abs. 6 VVO-E, der als Verpflichtung zur Erbringung von Nachweisen verstanden werden kann). Außerdem ergeben sich ähnlich einer Nebenklage im Strafverfahren Informations- und Beteiligungsrechte der Beschwerdeführenden, die auf Grund der nachfolgenden Bestimmung des Art. 15 VVO-E zu den Anschuldigungen einschließlich ihrer Feststellungen zu Sanktionen nach Art. 83 DSGVO ggf. in reduzierter, „nicht vertraulicher Form“ angehört werden.

ee) Art. 15 VVO-E: Übermittlung vorläufiger Feststellungen an die Beschwerdeführenden

Die DSK begrüßt diese Regelungen als Beitrag zur Überbrückung verfahrensrechtlicher Unterschiede in den Mitgliedstaaten, hält aber Einzelheiten ihrer Ausgestaltung für grundlegend überarbeitungsbedürftig.

Im weiteren Rechtssetzungsverfahren sollte klargestellt werden, dass die nichtvertrauliche Fassung der vorläufigen Feststellungen oder zugänglich zu machender Unterlagen durch die federführende Aufsichtsbehörde zur Verfügung gestellt wird, da nur dort der vollständige Überblick über sämtliche für die Beurteilung von Geheimhaltungserfordernissen der Untersuchung benötigte Überblick gewährleistet ist. Dies gilt insbesondere für die in Absatz 2 angesprochenen komplexen Verfahrenssituationen mit mehreren Verfahrensbeteiligten.

Die Regelungen in Art. 15 Abs. 4 und 5 VVO-E begründen Zweckbindungsverpflichtungen und das Erfordernis der Eingehung von Vertraulichkeitserklärungen, deren Notwendigkeit angesichts der vorangehenden Absicherungen zur Gewährleistung von Geheimhaltungserfordernissen in Gestalt nichtvertraulicher Dokumente schon im Ansatz nicht erkennbar ist. Auch wenn der Verordnungsvorschlag offenlässt, welche Rechtsfolgen Verletzungen dieser Verpflichtungen begründen oder ob es sich um bloße Ordnungsvorschriften handelt, ergeben sich daraus unangemessene Einschränkungen der Beteiligungsrechte der Beschwerdeführenden und weit über ihre Verfahrensstellung nach Art. 77 und 78 DSGVO hinausgehende Rechtsnachteile. So würde etwa die Beschränkung, aus der nichtvertraulichen Fassung ersichtliche Informationen „nicht für andere Zwecke als die konkrete Untersuchung zu verwenden“ dazu führen, dass Beschwerdeführenden jedenfalls bis zum Zugang einer verfahrensabschließenden Entscheidung auch in durch die DSGVO gestatteten Parallelverfahren wie nach Art. 82 DSGVO oder im Rahmen arbeitsgerichtlicher Auseinandersetzungen zu ihrer Rechtsverteidigung einzuführen, obwohl derartige Ziele z. B. im Rahmen des Rechts auf Auskunftserteilung nicht als illegitim angesehen werden dürfen. Ob und in welchem Umfang es für Beschwerdeführende statthaft sein sollte, von Informationen über vorläufige Verfahrensstände aufsichtlicher Verfahren Gebrauch zu machen, sollte stattdessen den allgemeinen Regelungen der gerichtlichen Prozessordnungen oder dem Recht zivilrechtlichen Regelungen über Schutz und Grenzen freier Meinungsäußerung vorbehalten bleiben, da diese, wie das Fehlen Art. 15 Abs. 4 und 5 VVO-E entsprechender Bestimmungen im deutschen Recht belegt, insoweit hinreichende Schutzmechanismen bieten. Ergänzend würde im Übrigen auch die DSGVO selbst für Verfahrensinformationen, die personenbezogene Daten umfassen, die Verarbeitung solcher Daten in je nach Verarbeitungszweck keineswegs unbegrenztem Umfang gestatten, sodass auch insoweit der Regelungsbedarf für Art. 15 Abs. 4 und 5 VVO-E fraglich bleibt.

ff) Art. 16 VVO-E: Erlass eines endgültigen Beschlusses

Art. 16 des Entwurfes stellt klar, dass die federführende Aufsichtsbehörde ihren Beschluss gemäß Art. 60 Abs. 7 DSGVO zu erlassen hat, sofern keine der betroffenen Aufsichtsbehörden innerhalb der in Art. 60 Abs. 4 und 5 DSGVO genannten Fristen Einspruch gegen den Beschlussentwurf erhoben hat. Diese Klarstellung ist aus Sicht der DSK nicht erforderlich, denn sie ist eine bloße Wiederholung der eindeutigen Regelung des Art. 60 Abs. 7 DSGVO. Daher wird die Streichung dieser Regelung empfohlen. Art. 16 des Entwurfes verpflichtet zudem die federführende Aufsichtsbehörde, die betroffenen Aufsichtsbehörden und den EDSA über den endgültigen Beschluss, einschließlich einer Zusammenfassung der maßgeblichen Fakten und Gründe, in Kenntnis zu setzen. Auch diese Regelung ist eine Wiederholung von Art. 60 Abs. 7 S. 1 DSGVO und kann deshalb gestrichen werden.

gg) Art. 18 VVO-E: Maßgeblicher und begründeter Einspruch

Art. 18 des Entwurfes stellt zusätzliche Anforderungen an die Zulässigkeit von maßgeblichen und begründeten Einsprüchen auf und konkretisiert dadurch Art. 4 Nr. 24 DSGVO.

Art. 18 Abs. 1 des Entwurfes enthält zwei neue für die Praxis sehr bedeutsame Zulässigkeitsanforderungen: Zukünftig soll sich ein maßgeblicher und begründeter Einspruch ausschließlich auf Fakten stützen dürfen, die im Beschlussentwurf enthalten sind. Zudem soll ein Einspruch den Umfang der Anschuldigungen nicht dadurch ändern dürfen, dass Punkte vorgebracht werden, die darauf hindeuten, dass zusätzliche Vorwürfe eines Verstoßes gegen die DSGVO vorliegen, oder der Wesensgehalt der vorgebrachten Anschuldigungen geändert wird.

Die DSK ist der Auffassung, dass die in Art. 18 Abs. 1 vorgesehenen neuen Zulässigkeitsanforderungen die Möglichkeit zur Einlegung von Einsprüchen und damit die Beteiligungsrechte der betroffenen Aufsichtsbehörden zu sehr einschränken würden. Art. 18 Abs. 1 lit. a) des Entwurfes schließt es aus, dass eine betroffene Aufsichtsbehörde von der federführenden Aufsichtsbehörde innerhalb des festgelegten Untersuchungsumfangs die Durchführung von weiteren Ermittlungen fordert, weil ihrer Ansicht nach wichtige Fakten bisher noch nicht ermittelt wurden. Da die Möglichkeit solcher Einsprüche weiterhin bestehen sollte, sollte Art. 18 Abs. 1 lit. a) gestrichen werden. In jedem Fall sollte Art. 18 Abs. 1 lit. a) auch Fakten umfassen, die in der Zusammenfassung der wichtigsten Aspekte und in den vorläufigen Feststellungen enthalten sind. Andernfalls könnte die federführende Aufsichtsbehörde in ihrem Beschlussentwurf relevante Fakten einfach ignorieren, ohne dass die betroffenen Aufsichtsbehörden dies später monieren können.

Ebenso sollte Art. 18 Abs. 1 lit. b) des Entwurfes gestrichen werden, denn dadurch, dass durch den Einspruch der Umfang der Anschuldigungen nicht geändert werden darf, würde die Legaldefinition des maßgeblichen und begründeten Einspruches in Art. 4 Nr. 24 DSGVO geändert werden. Zukünftig könnte eine betroffene Aufsichtsbehörde nicht mehr geltend machen, dass ein (weiterer) Verstoß gegen die DSGVO vorliegt, denn der Umfang der Anschuldigungen dürfte nicht erweitert werden. Ebenso wenig könnte im Gegensatz zu heute in einem Einspruch die Verhängung eines Bußgeldes statt der Verhängung einer Verwarnung gefordert werden, weil dadurch der Wesensgehalt der vorgebrachten Anschuldigungen geändert werden würde. Die DSK weist darauf hin, dass in den bisherigen Streitbeilegungsverfahren aufgrund von Einsprüchen häufig der Umfang der von der LSA vorgesehenen Anschuldigungen erweitert wurde und dadurch ein kohärenter Vollzug der DSGVO erreicht wurde. Die vorgeschlagene Neuregelung würde dem EDSA diese Möglichkeit nehmen und dadurch zu weniger Kohärenz im Vollzug der DSGVO führen. Ferner stellt die DSK fest, dass durch den vorgesehenen Art. 18 Abs. 1 die Rolle der betroffenen Aufsichtsbehörden im Kooperationsverfahren erheblich geschwächt werden würde, weil betroffene Aufsichtsbehörden den von der federführenden Aufsichtsbehörde festgelegten Umfang der Anschuldigungen akzeptieren müssten, würden die entsprechenden Kooperationsverfahren ohne die Herstellung eines vollständigen Konsenses zwischen der federführenden Aufsichtsbehörde und der betroffenen Aufsichtsbehörde abgeschlossen werden. In diesen Fällen darf Art. 18 zumindest keine Änderung des Beschlussentwurfes im Kohärenzverfahren versperren, denn ansonsten könnte die federführende Aufsichtsbehörde einseitig wesentliche Inhalte des Beschlussentwurfes festlegen.

Schließlich widerspricht die Vorschrift dem bisherigen Verständnis eines Einspruchs gem. Art. 60 Abs. 6 S. 1 DSGVO, wonach er maßgeblich ist, wenn er eine Änderung zur Folge hätte, die zu einer anderen Schlussfolgerung in Bezug darauf führen würde, ob ein Verstoß gegen die DSGVO vorliegt.¹⁴ Nach Art. 18 Abs. 1 lit. b VVO-E wäre er aber unzulässig, wenn der Wesensgehalt der vorgebrachten Anschuldigungen geändert wird oder zusätzliche Vorwürfe eines Verstoßes gegen die DSGVO sich daraus ergeben würden. Die Erhebung eines solchen Einspruchs für die betroffene Aufsichtsbehörde würde dadurch erschwert, wenn nicht gar unmöglich gemacht. Art. 18 Abs. 2 lit. a) sollte gestrichen werden: Eine Einschränkung auf drei bzw. sechs Seiten erscheint unsachgemäß und wird weder der Bedeutung des Einspruchs gerecht noch könnten hierdurch die hohen Anforderungen an die Zulässigkeit und Begründetheit eines Einspruchs nach den RRO-Guidelines, der EDSA-Praxis und Art. 4 lit. b) und c) erfüllt werden. Anstelle einer Seitenvorgabe erscheint die Vorgabe in lit. b), „präzise“ Ausführungen zu machen, ausreichend.

3. Kapitel IV VVO-E: Zugang zur Verwaltungsakte u. Behandlung vertraulicher Informationen

a) Art. 19 VVO-E: Inhalt der Verwaltungsakte

Art. 19 legt den Umfang der Verwaltungsakte für grenzüberschreitende Verfahren fest, der Anknüpfungspunkt von z. B. in Art. 20 VVO-E gesondert geregelten Informationszugangsrechten sein kann.

Die DSK begrüßt diese Festlegung als notwendige Vorbedingung einheitlicher Verfahrensrechte. Sie hält es allerdings für erforderlich, im weiteren Verfahren bereits in Art. 19 zu präzisieren, dass der Begriff der „Verwaltungsakte“ lediglich für die behördlichen Unterlagen der federführenden Behörde gilt, wie bislang nur im Umkehrschluss aus Art. 19 Abs. 3 VVO-E deutlich wird.

Entsprechend dem weiten Anwendungsbereich des Verordnungsvorschlags sollte Abs. 1 außerdem nicht an „Untersuchungen“, sondern an „Verfahren“ anknüpfen, um deutlicher nicht beschwerdebasierte Vorgänge einzubeziehen und auch etwaige der Untersuchung nachgelagerte Verfahrensschritte z. B. zur Durchsetzung von Abhilfemaßnahmen oder insgesamt den abschließenden Entscheidungsprozess nach einer Streitbeilegungsentscheidung zu erfassen.

Zur Abgrenzung des Akteninhalts wählt Absatz 1 mit der Formulierung „während der Untersuchung“ außerdem einen sehr weiten, ggf. nicht sachgerechten chronologischen Anknüpfungspunkt. Die DSK regt daher an, zu überprüfen, ob der relevante Akteninhalt besser durch „für Zwecke der Untersuchung“ bzw. – bei Berücksichtigung der vorangehenden Überlegungen – „zu Zwecken der Durchführung des Verfahrens“ bestimmt werden sollte.

Es ist unklar, warum interne Dokumente vom Zugangsrecht ausgenommen sind. Im Vergleich zum deutschen Akteneinsichtsrecht aber auch zu bestimmten Informationsfreiheitsrechten ist dies eine deutliche Einschränkung.

b) Art. 20 VVO-E: Zugang zur Verwaltungsakte und Verwendung von Dokumenten

Art. 20 VVO-E regelt die Bedingungen zur Gewährung von Akteneinsicht durch die von einer Untersuchung betroffenen Parteien. Anknüpfend an ihre bereits zu Art. 14 VVO-E aufgezeigten grundsätzlichen Vorbehalte hält es die DSK für dringend erforderlich, in den weiteren Beratungen nicht nur nachstehende Detailnachbesserungen sondern auch eine grundsätzliche Erweiterung der Regelungen zu Gunsten eines über Art. 14 VVO-E hinausgehenden Informationszugangsrechts der Beschwerdeführenden zu betrachten.

Anders als das nationale Recht in § 29 VwVfG stellt die Regelung in Art. 20 Abs. 1 VVO-E nicht klar, ob Aktenzugang nur auf Antrag gewährt wird oder ob eine grundsätzliche Pflicht zur Aktenzugangsgewährung ab einer bestimmten, allerdings nicht näher benannten abschließenden Phase des Verfahrens besteht, wie die finale Formulierung „damit sie ihr Recht auf rechtliches Gehör wahrnehmen kann“. Ebenso abweichend vom deutschen Verfahrensrecht enthält Absatz 1 S. 2 einen unbedingten Ausschluss des Aktenzugangsrechts bis zur Phase der vorläufigen Feststellungen. Dadurch wird die in hiesigen Verfahren nicht selten zu beobachtende Rechtsverteidigung Verantwortlicher erschwert, sich bereits nach Zugang eines Informationsersuchens nach Art. 58 Abs. 1 a) DSGVO durch eine Akteneinsicht einen Überblick über die der Behörde vorliegenden Beschwerden und ihre genauen Ziele zu verschaffen. Überdies wäre dieser zeitliche Ausschluss der Akteneinsicht jedenfalls nach Maßstab des nationalen deutschen Verfassungsrechts bedenklich mit Blick auf das rechtliche Gehör.

Aus Sicht der DSK sind beide Abweichungen nicht zu unterstützen. Akteneinsicht auch ohne Antrag der betroffenen Parteien zu gewähren, erscheint durch die Besonderheiten grenzüberschreitender Verfahren ebenso wenig gerechtfertigt wie eine Beschneidung ihrer Rechtsverteidigungsmöglichkeiten in einer Startphase der Verfahren.

Die Bestimmung in Art. 20 Abs. 2 VVO-E regelt letztlich zutreffende Anforderungen an den Akteninhalt und nicht den Umfang des Zugangsrechts. Sie sollte daher bei Art. 19 Abs. 1 VVO-E angefügt werden.

Die Bestimmung in Art. 20 Abs. 3 VVO-E regelt letztlich in Verfahrensbestimmungen gekleidete materielle Anhörungsrechte und sollte daher bei den korrespondierenden Bestimmungen von Art. 14 Abs. 6 VVO-E angefügt werden.

Wie bei den korrespondierenden Bestimmungen zum Informationszugang von Beschwerdeführenden kann die DSK bezüglich Art. 20 Abs. 4 VVO-E weder die Erforderlichkeit noch die Zielsetzung einer Zweckbeschränkung von Informationen unterstützen, die die betroffenen Parteien im Wege des Aktenzugangs erhalten haben. Die dort dargestellte Grundsatzkritik¹⁵ gilt ohne Abstriche auch für Art. 20 Abs. 4 VVO-E, zumal die Bestimmung mit der Formulierung „nur für die Zwecke von Gerichts- und Verwaltungsverfahren [zur Anwendung der DSGVO] in dem Einzelfall verwendet werden, für den die Dokumente bereit gestellt wurden“ eine nochmals engere Zweckbindung zu fordern scheint.

c) Art. 21 VVO-E: Kenntlichmachung und Schutz vertraulicher Informationen

Art. 21 enthält über ihre Überschrift hinausgehend nicht nur Regelungen, wie dieser Vertraulichkeitsschutz im Einzelnen gewährleistet und durch Verfahrensschritte der betroffenen Parteien abgegrenzt wird, sondern auch eine Grundsatzbestimmung zum Schutz der Vertraulichkeit von Verfahrensinformationen.

Die DSK unterstützt das grundsätzliche Anliegen, die sog. Amtsverschwiegenheit als Grundbedingung aufsichtlichen Handelns unionsweit verbindlich auszugestalten. Allerdings enthält Absatz 1 wie auch Absatz 2 einen rein formalen, mit kollidierenden Informationszugangsrechten wie z. B. der durch Art. 11 EU-Grundrechte-Charta geschützten Pressefreiheit nicht abwägungsfähigen Schutz von Geschäftsgeheimnissen und vertraulichen Informationen. Da insoweit schon kompetenzrechtliche Fragen aufgeworfen werden, sollte Absatz 2 wenigstens durch die Einschränkung „Rechtsvorschriften im Anwendungsbereich des Unionsrechts“ begrenzt werden, um eine klare Abgrenzung zur Informationszugangsgewährung nach Maßgabe nationaler presserechtlicher Bestimmungen zu gewährleisten.

Die in den Absätzen 4 bis 7 enthaltenen Regelungen überfordern die Aufsichtsbehörden mit dem Ziel, die Vertraulichkeit sicherzustellen. Unabhängig davon hält es die DSK für erforderlich, nicht nur durch die in den Absätzen 4 bis 7 beschriebenen Kennzeichnungspflichten der betroffenen Parteien den Umfang von Vertraulichkeitserfordernissen festlegen zu lassen, sondern auch zum Schutz anderer Grundrechte der federführenden Behörde bei der Gewährung des Informationszugangs ein Prüfungsrecht einzuräumen, ob und inwieweit Geheimhaltungsinteressen im konkreten Einzelfall der Informationsgewährung entgegen stehen, wie es etwa § 29 Abs. 2 VwVfG vorsieht.

4. Kapitel V VVO-E: Streitbeilegung

a) Art. 22 VVO-E: Verweisung nach Art. 65 DSGVO

Die Vorschrift sieht korrespondierend zu Art. 60 Abs. 4 DSGVO vor, dass die federführende Behörde eine Angelegenheit in das Streitbeilegungsverfahren im EDSA verweist, wenn sie einem Einspruch einer betroffenen Aufsichtsbehörde nicht folgen möchte oder diesen für nicht maßgeblich und begründet hält.

Folge dieser Regelung wäre, dass in derartigen Fällen immer ein Streitbeilegungsverfahren zwingend durchzuführen ist. Möglicherweise ist dies aber auch von der einspruchführenden Behörde nicht stets gewollt. Ein Streitbeilegungsautomatismus sollte vermieden werden. Vorzugswürdig wäre es, wenn der einspruchsführenden betroffenen Aufsichtsbehörde die fristgebundene Entscheidung obläge, die Angelegenheit dem Streitbeilegungsverfahren zuzuführen. Mindestens sollte aber klargestellt werden, dass die betroffene Aufsichtsbehörde ihren Einspruch jederzeit zurückziehen kann mit der Folge, dass kein Streitbeilegungsverfahren eingeleitet wird. Letzteres entspricht der derzeitigen Praxis der Aufsichtsbehörden.

Die Vier-Wochen-Frist im jetzigen Art. 22 Abs. 3 des Entwurfs der Verfahrensverordnung sollte als fristauslösendes Ereignis an die Feststellung der Vollständigkeit der Akte durch das EDSA-Sekretariat anknüpfen. Dies müsste in der Regelung klargestellt werden.

b) Art. 23 VVO-E: Registrierung im Zusammenhang mit einem Beschluss nach Art. 65 Abs. 1 lit. a) DSGVO

In Art. 23 des Entwurfs der Verfahrensverordnung ist unklar, was unter der „Registrierung“ durch den EDSA-Vorsitz gemeint ist. Denkbar, aber klarzustellen, wäre, etwa in den Erwägungsgründen, dass damit der Start des Streitbeilegungsverfahrens in dem von Aufsichtsbehörden zur Zusammenarbeit eingesetzten Binnenmarkt-Informationssystem (IMI) gemeint ist, und hierdurch der Beginn des Fristenlaufs der Monatsfrist bzw. Zweimonatsfrist aus Art. 65 Abs. 2 DSGVO bestimmt wird. Aus Sicht der DSK erschiene darüber hinaus eine Regelfrist für die Abgabe einer Angelegenheit ins Streitbeilegungsverfahrens von sechs Monaten sinnvoll.

c) Art. 24 VVO-E: Begründung vor Erlass eines Beschlusses nach Art. 65 Abs. 1 lit. a) DSGVO

Art. 24 des Entwurfes zielt darauf ab, die Anhörungsrechte der Parteien bei Durchführung eines Streitbeilegungsverfahrens gem. Art. 65 Abs. 1 lit. a) DSGVO sicherzustellen. Zu diesem Zweck soll zukünftig die oder der Vorsitzende des EDSA den von der Untersuchung betroffenen Parteien und/oder – im Falle einer vollständigen oder teilweisen Abweisung einer Beschwerde – den Beschwerdeführenden eine Begründung übermitteln, in der er die Gründe erläutert, die der EDSA in seinem Beschluss zu erlassen beabsichtigt. Im Anschluss solle diese die Möglichkeit haben, binnen einer Woche ihre Standpunkte darzulegen. Die DSK weist darauf hin, dass gem. Randnummer 101 der Guidelines 03/2021 on the application of Article 65(1)(a) GDPR¹⁶ des EDSA solche Anhörungen zurzeit nicht vom EDSA, sondern von den nationalen Aufsichtsbehörden vor der Eröffnung des Streitbeilegungsverfahrens durchgeführt werden. Diese Praxis hat sich in den vergangenen Streitbeilegungsverfahren aus Sicht der DSK bewährt und sollte daher nicht durch die Verfahrensverordnung verändert werden. Solange die Parteien die Möglichkeit haben, zu den Tatsachen und Rechtsfragen, auf die sich der EDSA bei seiner verbindlichen Entscheidung tatsächlich stützen wird, vor der Eröffnung des Streitbeilegungsverfahrens Stellung zu nehmen, gibt es für den EDSA keine Verpflichtung oder Notwendigkeit, diese (erneut) anzuhören.

Die DSK ist zudem der Auffassung, dass der Vorschlag der Kommission zur Durchführung von Anhörungen durch den EDSA während des laufenden Streitbeilegungsverfahrens nicht im Einklang mit dem Beschluss des EuG vom 07.12.2022 in der Rechtssache T‑709/21(WhatsApp)¹⁷ ist. In diesem Beschluss hat das EuG die Klage gegen einen verbindlichen Beschluss des EDSA als unzulässig abgewiesen. Das zentrale Argument des Gerichtes für die Unzulässigkeit der Klage bestand darin, dass die Verantwortliche von dem verbindlichen Beschluss des EDSA nicht unmittelbar betroffen war. Der Entwurf der Kommission scheint jedoch auf der Annahme zu beruhen, dass verbindliche Beschlüsse des EDSA unmittelbare Auswirkungen auf die Parteien haben und sieht deshalb die Anhörungspflicht vor. Damit greift die Kommission der Rechtsmittel-Entscheidung des EuGH in der oben zitierten Rechtssache vor und sorgt für eine nicht unwesentliche Änderung der Rolle des EDSA in Streitbeilegungsverfahren.

Bislang ist die Rolle des EDSA auf die Beilegung eines Streits zwischen Aufsichtsbehörden beschränkt. Zukünftig soll der EDSA Verfahrenshandlungen vornehmen, die unmittelbare Wirkung für die Verfahrensparteien haben. Diese Rollenänderung hätte zur Folge, dass unmittelbare Entscheidungen des EDSA direkt vor dem EuG angreifbar wären. Aus Sicht der DSK sollte das vermieden werden, weil dadurch die Arbeitsbelastung des EDSA weiter ansteigen würde. Der Rechtsschutz der von der Untersuchung betroffenen Parteien ist im ausreichenden Maße vor den nationalen Gerichten des Mitgliedsstaates der federführenden Aufsichtsbehörde gewährleistet. Eine Rechtsschutzlücke in den nationalen Verfahrensrechten, die eine erneute Anhörung durch den EDSA rechtfertigen könnte, ist nicht ersichtlich. Zudem wäre zu erwarten, dass die Parteien/Beschwerdeführenden keine neuen, weitergehenden Argumente vortragen würden als bereits gegenüber der federführenden Aufsichtsbehörde.

Sofern trotz dieser erheblichen Bedenken an der Verpflichtung zur Anhörung der Parteien im Streitbeilegungsverfahren festgehalten werden soll, weist die DSK darauf hin, dass es trotz der in Art. 24 Abs. 4 vorgesehenen Regelung in der Praxis kaum möglich sein wird, innerhalb der kurzen Fristen des Art. 65 Abs. 2 DSGVO auf die zu erwartenden Stellungnahmen, die durchaus den Umfang von mehreren hundert Seiten haben können, sachgerecht zu reagieren. Es besteht daher die Befürchtung, dass die Streitbeilegungsverfahren zukünftig nicht mehr in der gleichen Qualität wie heute durchgeführt werden können. Der Entwurf berücksichtigt zudem bisher nicht die Notwendigkeit der Übersetzung von Verfahrensunterlagen und eingegangenen Stellungnahmen. Während der in Art. 24 Abs. 2 und 3 des Entwurfes vorgesehenen Fristen werden sich diese Übersetzungen mit an Sicherheit grenzender Wahrscheinlichkeit nicht anfertigen lassen.

Aus Sicht der DSK könnte eine mögliche Alternative so aussehen, dass die Fristen des Art. 65 Abs. 2 DSGVO zukünftig erst dann zu laufen beginnen, wenn der EDSA die notwendigen Anhörungen und die Prüfung der Zulässigkeit der Einsprüche durchgeführt hat.

Bezüglich der in Art. 24 Abs. 1 S. 1 des Entwurfes vorgesehenen Verpflichtung des EDSA, zu entscheiden, ob in Fällen, in denen voraussichtlich ein verbindlicher Beschluss, mit dem die federführende Aufsichtsbehörde aufgefordert wird, ihren Beschlussentwurf oder den überarbeiteten Beschlussentwurf zu ändern, erlassen wird, bereits der Anhörung eine Begründung für die beabsichtigte Änderung beizufügen ist, möchte die DSK Bedenken geltend machen. Eine solche Verpflichtung scheint angesichts der in Art. 65 Abs. 2 DSGVO festgelegten Fristen in der Praxis kaum durchführbar, denn in den bisherigen Streitbeilegungsverfahren wurde die Entscheidung darüber, ob tatsächliche Änderungen am Beschlussentwurf erforderlich sind, erst zu einem sehr späten Zeitpunkt im Verfahren nach gründlichen Beratungen der Sach- und Rechtslage im EDSA getroffen. Zu diesem Zeitpunkt müsste die Anhörung bereits erfolgt sein. Die DSK empfiehlt daher die Streichung von Art. 24 des Entwurfes.

d) Art. 25 und Art. 26 VVO-E: Zur Verfügung zu stellende Dokumente

Art. 25 und 26 des Entwurfes zählen auf, welche Dokumente dem EDSA von einer Aufsichtsbehörde, die ein Streitbeilegungsverfahren gem. Art. 65 Abs. 1 lit. b) DSGVO bzw. Art. 65 Abs. 1 lit. c) DSGVO einleitet, zur Verfügung zu stellen sind. Es handelt sich dabei um Parallelvorschriften zu Art. 23 des Entwurfes.

Die DSK weist darauf hin, dass in Rn. 20 der Guidelines 03/2021 on the application of Article 65(1)(a) bisher die Möglichkeit für das Sekretariat zur Anforderung weiterer Informationen vorgesehen ist. Da auch in Streitbeilegungsverfahren gem. Art. 65 Abs. 1 lit. b) DSGVO und Art. 65 Abs. 1 lit. c) DSGVO eine entsprechende Interessenlage besteht, sollte in Art. 25 und Art. 26 ausdrücklich die Möglichkeit für den EDSA zur Anforderung weiterer Informationen und Dokumente, die nicht in diesen Normen enthaltenden Aufzählungen ausdrücklich aufgezählt sind, mit aufgenommen werden.

Art. 26 Abs. 2 S. 2 des Entwurfes legt fest, dass eine Aufsichtsbehörde, die ihren Standpunkt zu der Angelegenheit nach Art. 65 Abs. 1 lit. c) DSGVO darlegen möchte, dies innerhalb einer Frist von zwei Wochen nach der Befassung des EDSA mit der Angelegenheit tun muss. Aus Sicht der DSK ist unklar, ob diese Frist als eine Ausschlussfrist zu verstehen ist, oder ob die Aufsichtsbehörde ihren Standpunkt auch noch zu einem späteren Zeitpunkt im Streitbeilegungsverfahren einbringen darf. Da die DSK in der Einführung einer derartigen Ausschlussfrist keine Vorteile erkennen kann, wird die Streichung von Art. 26 Abs. 2 S. 2 des Entwurfes empfohlen.

e) Art. 27 und Art. 28 VVO-E: Dringlichkeitsverfahren

Die Art. 27 und 28 des Entwurfs der Verfahrensverordnung betreffen das Dringlichkeitsverfahren nach Art. 66 DSGVO. Art. 27 Abs. 2 und Art. 28 Abs. 1 lit. d) des Vorschlags beschränken entgegen der derzeitigen Rechtslage gem. Art. 66 Abs. 2 DSGVO die Anwendung der endgültigen Maßnahmen auf das Hoheitsgebiet der vorlegenden Aufsichtsbehörde, die diese endgültigen Maßnahmen erlässt (Art. 27 Abs. 2 und Art. 28 Abs. 3 des Vorschlags). Diese Einschränkung muss unbedingt gestrichen werden. Eine solche Einschränkung bei grenzüberschreitenden Verarbeitungen, die gegen die DSGVO verstoßen, ist nicht im Sinne einer einheitlichen Rechtsanwendung zum Schutz aller betroffenen Personen. Gerade wenn große, EU-weit tätige Datenverarbeiter betroffen sind, würde der Vorschlag nämlich verlangen, dass jede einzelne betroffene Aufsichtsbehörde vorläufige Maßnahmen ergreift und eine dringende Stellungnahme/verbindlichen Beschluss beim EDSA beantragt, woraufhin wiederum jede betroffene Aufsichtsbehörde endgültige Maßnahmen ergreifen würde. Die Beschränkung auf das Gebiet der ersuchenden Aufsichtsbehörde ist problematisch, da sie zu einer Zersplitterung und Vervielfachung der Entscheidungen führt. Außerdem steht dies im Widerspruch zu Art. 10 des Verordnungsvorschlags, in dem Art. 66 DSGVO gerade für Entscheidungen über den Umfang grenzüberschreitender Beschwerden vorgesehen ist. Es wäre daher nicht sinnvoll, den geografischen Anwendungsbereich nur für einen Teil von Art. 66 DSGVO zu begrenzen.

Vor diesem Hintergrund erscheint es ferner nicht zielführend, dass eine Stellungnahme des EDSA oder ein Beschluss nach Art. 27 Abs. 2 und Art. 28 Abs. 2 des Entwurfs der Verfahrensverordnung nur an die ersuchende Behörde gerichtet und lediglich für diese verbindlich sein soll. Stattdessen sollten neben der ersuchenden Behörde die federführende Aufsichtsbehörde Adressat der Stellungnahmen bzw. Beschlüsse des EDSA werden und von diesen gebunden werden. Die federführende Aufsichtsbehörde wird dann verpflichtet, eine endgültige Maßnahme zu erlassen. Wenn die um das Dringlichkeitsverfahren ersuchende Aufsichtsbehörde nicht federführende Aufsichtsbehörde ist, kann diese lediglich für ihren eigenen Mitgliedstaat Maßnahmen treffen, was das Problem oftmals nur unzureichend löst. Bei Untätigkeit der federführenden Aufsichtsbehörde besteht ansonsten das Risiko, dass mehrere Aufsichtsbehörden aus unterschiedlichen Mitgliedstaaten Dringlichkeitsverfahren einleiten müssen, um jeweils eigene Maßnahmen erlassen zu können.

Um hierfür eine schnelle Lösung zu finden, sollte der verbindliche Beschluss des EDSA im Dringlichkeitsverfahren zumindest den kompletten Europäischen Wirtschaftsraum erfassen können, sofern dies von der ersuchenden Behörde beantragt wird. Sofern eine federführende Aufsichtsbehörde für den Verantwortlichen nach Art. 56 Abs. 1 DSGVO bereits ermittelt wurde, sollte der Beschluss des EDSA an sie gerichtet werden und sie verpflichten, den Beschluss in geeigneter Weise gegenüber dem Verantwortlichen umzusetzen. Liegt diese Bedingung nicht vor, müssen alle Aufsichtsbehörden von dem EDSA-Beschluss verpflichtet werden, bezogen auf ihr Territorium den EDSA-Beschluss in geeigneter Weise umzusetzen.

Im Übrigen fehlt eine zu Art. 23 des Entwurfs der Verfahrensverordnung vergleichbare Regelung für das Dringlichkeitsverfahren. Dadurch mangelt es an Klarheit, innerhalb welchen Zeithorizonts der EDSA-Vorsitz das Dringlichkeitsverfahren „registrieren“ soll. Es sollte geprüft werden, ob es einer Art. 23 entsprechenden Vorschrift bedarf.

Darüber hinaus sollte die Regelung ergänzt werden um eine Befugnis für den EDSA-Vorsitz, die ersuchende Behörde vor und nach der „Registrierung“ um weitere Informationen zu bitten. Ersucht der EDSA-Vorsitz die initiierende Behörde nach der „Registrierung“ um weitere Informationen, sollte der Vorsitz die Möglichkeit haben, den Fristenlauf zu unterbrechen, bis die Informationen erteilt wurden.

Der im Vorschlag vorgesehene Zeitrahmen von drei Wochen für die Beantragung einer dringenden Stellungnahme/eines dringenden Beschlusses vor Ablauf der vorläufigen Maßnahmen (Art. 27 Abs. 1 und Art. 28 Abs. 1) lässt dem EDSA-Sekretariat zu wenig Zeit, um im Namen des Vorsitzes die Vollständigkeit der Akte zu beurteilen. In der Praxis haben die beiden bisher ausgelösten Ersuchen nach Art. 66 Abs. 2 DSGVO drei Wochen und viele Gespräche mit den ersuchenden Aufsichtsbehörden benötigt, um überhaupt erst die Vollständigkeit zu erreichen und an die EDSA-Mitglieder weitergeleitet zu werden. Außerdem wird in dem Vorschlag nicht erwähnt, welche Übersetzungen möglicherweise in diesem Zeitraum angefertigt werden müssen und ob die für die Übersetzungen aufgewendete Zeit auf die gesetzlichen Fristen angerechnet werden würde.

VI. Fehlende Regelungen in der Verfahrensverordnung

1. Preliminary Vetting

Nach Einschätzung der DSK sollten einige wichtige Regelungen ergänzt werden, die bisher nicht Eingang in den Verordnungsentwurf gefunden haben: Zum einen sollten Klarstellung zum sogenannten „preliminary vetting“¹⁸ erfolgen. Dabei geht es darum, dass bestimmte Schritte der Sachverhaltsermittlung – vor allem eine erste Plausibilitätsprüfung – von der beschwerdeempfangenden Aufsichtsbehörde vorgenommen werden, bevor die Beschwerde an die federführende Aufsichtsbehörde übermittelt wird. Beispielsweise soll die beschwerdeempfangende Behörde im Falle einer Beschwerde über Nichteinhaltung von Betroffenenrechten die tatsächliche Geltendmachung des Rechts durch den Petenten gegenüber dem Verantwortlichen nachvollziehen. Dies würde in einigen Fällen auch eine direkte Kontaktaufnahme der nicht-federführenden betroffenen Aufsichtsbehörde, welche die Beschwerde erhalten hat, mit dem Verantwortlichen im Ausland voraussetzen. Die DSK befürwortet eine klarstellende Regelung, dahingehend dass sich das preliminary vetting auf eine Plausibilitätsprüfung und die Beratung der Beschwerdeführenden durch die beschwerdeempfangende Behörde beschränkt, aber keine verpflichtende Kontaktaufnahme mit Verantwortlichen oder Auftragsverarbeitern im Ausland beinhaltet. Die beschwerdeempfangene Behörde ist nicht berechtigt, selbst zu entscheiden, dass Beschwerden, die nach ihrer Auffassung auch nach Beratung unplausibel oder unvollständig sind, zurückgewiesen werden.

2. Fehlende Frist zur Vorlage des finalen Beschlusses gem. Art. 60 Abs. 7 DSGVO

Während der Entwurf der Verfahrensverordnung gleich mehrere Fristen für die betroffenen Aufsichtsbehörden regelt, mangelt es insbesondere hinsichtlich der Vorlage des finalen Beschlusses gemäß Art. 60 Abs. 7 DSGVO an einer Frist für die federführende Aufsichtsbehörde. Aktuell gilt eine Monatsfrist zur Vorlage des finalen Beschlusses nur, wenn zuvor ein Streitbeilegungsverfahren durchgeführt wurde (Art. 65 Abs. 6 Satz 1 DSGVO), nicht aber bei unstreitig gebliebenen Fällen. Angemessen erschiene für die Vorlage des finalen Beschlusses durch die federführende Aufsichtsbehörde eine Frist von drei Monaten nach Eintritt der Bindungswirkung an den Beschlussentwurf gem. Art. 60 Abs. 6 DSGVO.

3. Übergang Beschwerdebearbeitung zu ex officio-Untersuchung

Regelungsbedürftig erscheinen des Weiteren die Möglichkeiten der federführenden Behörde zur Umwandlung der Untersuchung einer Beschwerde in eine amtswegige Untersuchung. Nach Art. 1 des Entwurfs der Verordnung sind sowohl beschwerdebasierte Fälle als auch amtswegige Untersuchungen von der Verordnung umfasst, allerdings knüpfen die meisten Regelungen an beschwerdebasierte Fälle an. Im Sinne der Wahrung der Rolle und Aufgaben der betroffenen Aufsichtsbehörden sollte durch eine eindeutige Regelung vermieden werden, dass eine federführende Aufsichtsbehörde durch eigenmächtige Verfahrensgestaltungen die Vorschriften zur Zusammenarbeit der betroffenen und federführenden Aufsichtsbehörde und Beteiligung der Beschwerdeführenden umgehen kann. Wenn in der amtswegigen Untersuchung nicht alle Aspekte des Beschwerdefalls untersucht wurden, besteht bei der späteren beschwerdebezogenen Untersuchung die Gefahr, dass sich die federführende Aufsichtsbehörde an der Verhängung weiterer Abhilfemaßnahmen gehindert sieht, weil es sich um denselben Lebenssachverhalt handelt. Ins Feld geführt werden dann das Verbot der Doppelbestrafung (ne bis in idem), durch die erste Entscheidung gesetzte Vertrauenstatbestände sowie die Unverhältnismäßigkeit weiterer Abhilfemaßnahmen.

¹ Siehe Leitlinien 02/2022 zur Anwendung des Artikels 60 DSGVO, Version 1.1 vom 14.03.2022, abrufbar unter https://www.edpb.europa.eu/system/files/2022-10/guidelines_202202_on_the_application_of_article_60_gdpr_de.pdf.

² Siehe hierzu die Leitlinien 09/2020 zum maßgeblichen und begründeten Einspruch im Sinne der Verordnung (EU) 2016/679, Fassung 2.0 vom 09.03.2021, abrufbar unter https://www.edpb.europa.eu/system/files/2021-06/edpb_guidelines_202009_rro_final_de.pdf.

³ https://www.edpb.europa.eu/news/news/2022/edpb-adopts-wish-list-procedural-aspects-first-eu-data-protection-seal-and-statement_de.

⁴ Ergänzend zu dieser Stellungnahme wird angemerkt, dass auch der Europäische Datenschutzausschuss in Zusammenarbeit mit dem Europäischen Datenschutzbeauftragten an einer gemeinsamen Stellungnahme zum VVO-E arbeitet, die voraussichtlich im Laufe des Septembers veröffentlicht werden wird.

⁵ Erklärung zur Zusammenarbeit bei der Durchsetzung, angenommen am 28. April 2022.

⁶ Beispiel: In einer Beschwerde wird moniert, der Verantwortliche reagiere nicht auf ein Auskunftsersuchen nach Art. 15 DSGVO. Auf Nachfrage der federführenden Aufsichtsbehörde stellt sich heraus, dass das Ersuchen in dem Spam-Ordner des Verantwortlichen Unternehmen gelandet ist. Der Verantwortliche kommt dem Auskunftsersuchen dann unmittelbar nach. Nach dem VVO-E müsste die federführende Aufsichtsbehörde u. a. gem. Art. 9 eine „Zusammenfassung der wichtigsten Aspekte“, inkl. eine „Ermittlung komplexer rechtlicher und technologischer Bewertungen“ erstellen und den betroffenen Aufsichtsbehörden übermitteln, Kommentierungsfristen notieren und abwarten, etc., und das, obwohl der Sachverhalt längst reif ist, durchbeschieden zu werden.

⁷ Die Wiener Erklärung definiert „strategische Fälle“ als solche, „die eine Reihe quantitativer und qualitativer Kriterien erfüllen (z. B. Fälle, die eine große Zahl von betroffenen Personen im EWR betreffen, Fälle, die ein strukturelles oder wiederkehrendes Problem in mehreren Mitgliedstaaten betreffen, Fälle im Zusammenhang mit der Schnittstelle des Datenschutzes mit anderen Rechtsbereichen,...).“ Die DSK erkennt, dass diese Definition zu viele vage Elemente enthält und weiter konkretisiert werden müsste.

⁸ Verordnung (EU) 2022/1925 des Europäischen Parlaments und des Rates vom 14. September 2022 über bestreitbare und faire Märkte im digitalen Sektor und zur Änderung der Richtlinien (EU) 2019/1937 und (EU) 2020/1828 (ABl. L 265 vom 12.10.2022, S. 1).

⁹ Verordnung (EU) 2022/2065 des Europäischen Parlaments und des Rates vom 19. Oktober 2022 über einen Binnenmarkt für digitale Dienste und zur Änderung der Richtlinie 2000/31/EG (Gesetz über digitale Dienste), ABl. L 277 vom 27.10.2022, S. 1–102, Art. 33.

¹⁰ Beschwerden zu Betroffenenrechten nach Kapitel III DSGVO betreffen häufig Einzelfälle oder einfach gelagerte Sachverhalte, die sich relativ leicht aufklären lassen (siehe dazu das obige Fallbsp. in Fn 6.) „High impact“-Fälle könnten noch weiter auf spezifische Bestimmungen der DSGVO, wie die Artikel 5, 6, 9 und 46, beschränkt werden.

¹¹ Betont sei dabei, dass dies nicht bedeuten soll, dass die Datenschutzbehörden unzulässigerweise in die Zuständigkeiten für die für DMA u. DSA zuständigen Behörden eingreifen. Die Datenschutzbehörden sind nicht zuständig, selbst “Torwächter” oder “sehr große Online Plattformen” als solche zu benennen. Statt einer eigenständigen Prüfung (die auch aufwendig und nicht sachgerecht wäre) müssten sie sich an die offiziell bekannt gegebenen Benennungen nach Art. 3 DMA und 33 DSA halten.

¹² Internes EDSA Dokument 6/2020, Abs. 16.

¹³ Art. 23 Nr. 1 S. 1 GO EDSA.

¹⁴ Siehe hierzu Leitlinien 09/2020 zum maßgeblichen und begründeten Einspruch im Sinne der Verordnung (EU) 2016/679 v. 9.3.2021, Rn. 13.

¹⁵ Siehe oben S. 28.

¹⁶ Abrufbar in englischer Sprache unter https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-032021-application-article-651a-gdpr_en.

¹⁷https://curia.europa.eu/juris/document/document.jsf?docid=268419&mode=req&pageIndex=1&dir=&occ=first&part=1&text=&doclang=DE&cid=106990.

¹⁸ Siehe hierzu Internes EDSA Dokument 6/2020.

Seite drucken