Protokoll der 2. Zwischenkonferenz vom 25. Juni 2019
TOP 01) Begrüßung und Organisatorisches
Der Vorsitzende begrüßt die Teilnehmerinnen und Teilnehmer der 2. Zwischenkonferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder im Plenarsaal des rheinland-pfälzischen Landtags und erläutert die technischen Gegebenheiten.
TOP 02) Tagesordnung und Protokoll
Der Vorsitzende stellt dar, dass das Protokoll der zurückliegenden Sitzung versandt und angenommen wurde. Hinsichtlich der Tagesordnung der 2. Zwischenkonferenz 2019 ergeben sich die nachfolgenden Änderungen:
- TOP 05 entfällt und wird unter TOP 15 behandelt.
- Auf Bitte von Berlin soll TOP 22 gemeinsam mit TOP 13 behandelt werden.
- Angesichts der umfangreichen Tagesordnung, wird der Tagesordnungspunkt 21 von Hessen zurückgezogen.
Sofern es die Zeit zulässt, sollen zudem unter dem TOP „Verschiedenes“ die vom Bund nachgemeldete Thematik „Koordinierung der Datenschutzaufsicht bei bundesweit tätigen nichtöffentlichen Stellen mit föderaler Struktur“ sowie die von Hamburg nachgemeldete Thematik „Sachliche Zuständigkeit für E-Mail und andere OTT-Dienste“ behandelt werden.
Die Konferenz nimmt die geänderte Tagesordnung einstimmig an.
[17, 0, 0] (Zustimmung, Enthaltung, Ablehnung)
TOP 03) Informationen zu Umlaufverfahren
Die Konferenz nimmt die mit E-Mail vom 13.06.2019 versendete Übersicht bestehender und abgeschlossener Umlaufverfahren im Jahr 2019 zustimmend zur Kenntnis. Seitens Sachsen-Anhalts erfolgt eine Hinweis auf die Benennung des Beschlusses im Umlaufverfahren 4/2019, seitens Sachsens ein Hinweis auf das Abstimmungsergebnis zum Verfahren 12/2019. Der Vorsitz wird eine entsprechend angepasste Übersicht bereitstellen.
TOP 04) Bericht aus dem Europäischen Datenschutzausschuss
Der Vorsitzende dankt Hamburg und dem BfDI für die Teilnahme an der vergangenen Plenumssitzung und Hamburg für die Bereitschaft, auch an kommenden Plenumssitzungen teilzunehmen. Anschließend berichten der BfDI und Hamburg aus dem EDSA, u.a. zu folgenden Themen:
- Cloud Act (Clarifying Lawful Overseas Use of Data Act) und das dahinterstehende Anliegen der US-Regierung, Daten von Servern die im europäischen Ausland sitzen herausverlangen zu können.
- Facebook und die für Facebook zuständige irische Aufsichtsbehörde.
- Überprüfung der Einsatzmöglichkeiten von Microsoft auf EU-Ebene durch die europäische Datenschutzbehörde EDPS
- Entwicklung von Leitlinien und Verhaltensregeln sowie Einrichtung spezifischer Aufsichtsbehörden für Überwachungsstellen
TOP 05) Bericht der Zentralen Anlaufstelle über die Zusammenarbeit der Aufsichtsbehörden
Der Tagesordnungspunkt wird unter TOP 15 behandelt.
TOP 06) Bericht des Vorsitzes / Sachstandsberichte zu den TOPs 8, 13, 24, 26 und 33 der 97. DSK
Zu den von der Konferenz auf der 97. DSK an Rheinland-Pfalz herangetragenen Aufgaben und Bitten berichtet der Vorsitzende Folgendes:
TOP 8 der 97. DSK: Der Tagesordnungspunkt wurde vor der Sitzung von der Tagesordnung des 977. Bundesratsplenums genommen. Der aktuell zwischen den Regierungsparteien ausgehandelte Kompromiss sehe vor, das Quorum für die Benennung eines Datenschutzbeauftragten auf 20 zu erhöhen.
TOP 13 der 97. DSK: Das Schreiben an die Stiftung Datenschutz bezüglich einer Vertretung der Datenschutzkonferenz im Beirat erfolgte am 15.04.2019.
TOP 14 und TOP 15 der 97. DSK: Hierüber berichtet Rheinland-Pfalz unter dem TOP 07 und dem TOP 14
TOP 24 der 97. DSK. Der Zuordnungsvorschlag wurde seitens Rheinland-Pfalz am 17.06.2019 versendet.
TOP 26 der 97. DSK: Das Schreiben an die Innenministerkonferenz wurde seitens Rheinland-Pfalz am 07.05.2019 versendet. Eine Antwort liegt zum Zeitpunkt der Konferenz noch nichtvor.
TOP 33 der 97. DSK: Die Auswertung der Rückmeldungen ist noch nicht abgeschlossen. Die entsprechende Übersicht wird nach Fertigstellung im Nachgang der Zwischenkonferenz versendet.
TOP 07) Zusammenarbeit mit den spezifischen Aufsichtsbehörden
Der Vorsitzende berichtet über das Treffen mit den spezifischen Aufsichtsbehörden, welches am 21.05.2019 in Mainz stattfand. Hieran teilgenommen haben verschiedene Vertreterinnen und Vertreter aus der Kirche und dem Rundfunkbereich. Für eine weitere Beteiligung der spezifischen Aufsichtsbehörden ist diesen angeboten worden, auf Antrag einen Gaststatus in Arbeitskreisen der DSK zu erhalten. Das Protokoll zu dem Treffen befindet sich derzeit in der Abstimmung und wird den Teilnehmerinnen und Teilnehmern im Anschluss zur Verfügung gestellt.
Im Hinblick auf die im September stattfindende Zwischenkonferenz sowie die im November stattfindende 98. DSK verständigt sich die Konferenz, den für den 15. Oktober 2019 ins Auge gefassten Termin für eine weitere Zwischenkonferenz stattdessen für einen weiteren Austausch mit den spezifischen Aufsichtsbehörden zu nutzen.
TOP 08) Positionierung der DSK zu Windows 10, Zwischenbericht
Niedersachsen berichtet, dass der AK-Technik unter Beteiligung des LDA Bayern, dem BfDI und Mecklenburg-Vorpommern eine ad hoc AG „Windows 10“ gegründet hat. Anfang Mai 2019 hat sich diese erstmals getroffen und einen Katalog mit datenschutzrechtlichen Fragestellungen erstellt. Dieser wurde zudem bereits an Microsoft übermittelt. Niedersachsen teilt des Weiteren mit, dass Microsoft um eine Fristverlängerung zur Beantwortung des Fragenkatalogs gebeten habe. Die Fristverlängerung sei aufgrund des Umfangs des Fragenkatalogs genehmigt worden.
Es ist angestrebt den Fragenkatalog und die Antworten von Microsoft in der 3. Zwischenkonferenz der DSK am 12. September 2019 zu besprechen.
Ein Prüfschema für den Einsatz von Windows 10 wurde parallel von der ad hoc AG „Windows 10“ in Umlauf gegeben und wird abschließend vom AK Technik bearbeitet.
Mecklenburg-Vorpommern berichtet in diesem Zusammenhang über den IT-Planungsrat, welcher beabsichtige eine Arbeitsgruppe einzurichten, die sich mit einer gemeinsamen Positionierung der deutschen öffentlichen Verwaltung befasst, welche das Ziel hat Einfluss auf die technische Entwicklung zu nehmen.
Um die bereits vorhandenen Erkenntnisse der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder ebenfalls in eine solche Positionierung miteinfließen zu lassen, wurde daher vorgeschlagen der ad hoc AG „Windows 10“ das Mandat zu erteilen ein Mitglied in die Arbeitsgruppe des IT-Planungsrats zu entsenden.
Die DSK fasst einstimmig den Beschluss, der ad hoc AG „Windows 10“ das Mandat zu erteilen eine Person zu entsenden, die an den Sitzungen der Arbeitsgruppe des IT-Planungsrats teilnimmt.
[17, 0, 0] (Zustimmung, Enthaltung, Ablehnung)
TOP 09) Evaluation der Datenschutz-Grundverordnung
Baden-Württemberg berichtet über die Arbeit des UAK Evaluierung.
Der Arbeitsauftrag der DSK an den UAK Evaluierung sei in Bearbeitung. Ende August solle die Übersendung des Berichts an den AK Grundsatz erfolgen. In der 98. Sitzung der DSK im November 2019 sollen dann die Ergebnisse und ein Beschlussvorschlag zur Evaluation der Datenschutz-Grundverordnung für die Konferenz vorgelegt werden.
TOP 10) Standard-Datenschutzmodell
Mecklenburg-Vorpommern berichtet über die Arbeit der UAG Standarddatenschutzmodell (SDM) und teilt mit, dass in der 98. Sitzung der DSK im November 2019 die Version 2.0 des Standarddatenschutzmodells vorgelegt werden soll.
Mecklenburg-Vorpommern weist darauf hin, dass sich alle Gewährleistungsziele des SDM aus der Datenschutz-Grundverordnung ableiten ließen. Dies unterscheide das SDM beispielsweise vom Konzept der CNIL (FR), welches keine explizite Grundrechtsorientierungs aufweise. Die zeige jedoch, wie wichtig es sei, die Situation auf europäischer Ebene in den Blick zu nehmen, auf der die SDM-Methodik eine von mehreren sei. Daher sei vorgesehen, auch die Version 2.0 des SDM ins Englische zu übersetzen.
TOP 11) Bericht aus der Taskforce Künstliche Intelligenz
Rheinland-Pfalz berichtet aus der Taskforce Künstliche Intelligenz und teilt mit, dass die Taskforce den Entwurf eines Grundlagenpapiers des AK Technik bereits diskutieren konnte. Nach der endgültigen Fertigstellung des Papiers, das von der Task Force ergänzt werde, solle dieses die Grundlage der weiteren Arbeit der Taskforce bilden. Dabei sollen Elemente für eine Datenschutzfolgenabschätzung eingebunden werden. Des Weiteren soll die Besichtigung einer Diagnose-App erfolgen. Das Grundlagenpapier soll in der 98. Sitzung der DSK im November 2019 vorgestellt werden.
TOP 12) Digitalisierung der Verwaltung ohne einheitliche, verwaltungsübergreifende Personenkennzeichen
Mecklenburg-Vorpommern berichtet vom Treffen mit dem Bundesinnenministerium und den Datenschutzaufsichtsbehörden zum Thema Registermodernisierung am 9. Mai 2019 und weist auf die Aktualität des Themas hin, da die nächste Sitzung des IT-Planungsrates bereits am 27. Juni 2019 stattfindet. In dieser Sitzung soll das Koordinierungsprojekt „Registermodernisierung“ beauftragt werden, in dem die Anforderungen an eine Registermodernisierung identifiziert, ein Architekturmodell für eine Registerlandschaft auf der Basis vernetzter Register erstellt, die Anforderungen für gesetzliche Änderungen erfasst und eine konkrete Maßnahmenplanung erstellt werden. Als wesentliche Punkte werden vom IT-Planungsrat ein Identifikator sowie ein Kerndatensystem erachtet.
Es erfolgt ein Austausch zu einzelnen Inhalten der vorgelegten Entschließung.
- Für das nächste Treffen mit dem BMI soll insbesondere deutlich gemacht werden, dass die Konferenz einheitliche, verwaltungsübergreifende Personenkennzeichen ablehnt. Im Bereich Zensus und dem Abgleich von Daten mit Sicherheitsbehörden müsse es besondere Sicherheitsgarantien geben. Weiterhin sollen alternative Möglichkeiten föderaler Registerstrukturen geprüft werden. Der Nutzen für Bürgerinnen und Bürger soll im Kontext der Umsetzung des OZG zudem von Anfang an fester Bestandteil sein. Mit Hilfe eines Daten-Cockpits sollen Betroffene Auskunft erhalten können, welche Daten in welchem Register gespeichert und ggf. verknüpft werden und wer zu welchem Zweck auf welche Daten zugegriffen hat.
- Unter Berücksichtigung der unter Nr. 1 genannten Aspekte soll der Entschließungstext gemeinsam vom BfDI und von Mecklenburg-Vorpommern überarbeitet und der Septemberkonferenz erneut zur Abstimmung vorgelegt werden.
- Die Konferenz erteilt Mecklenburg-Vorpommern anschließend einstimmig das Mandat, die unter Nr. 1 genannten Aspekte als Grundlage für die Diskussion in der kommenden Sitzung des IT-Planungsrates heranzuziehen.
- Wie am 9. Mai 2019 bei den Gesprächen mit dem Bundesinnenministerium vereinbart, wird eine Kontaktgruppe gegründet, welche sich aus Vertretern der Arbeitskreise Grundsatz, Verwaltung und Technik zusammensetzt. Der BfDI als Vorsitzender des AK Grundsatz übernimmt die Federführung der Arbeitsgruppe und koordiniert die Zusammenarbeit mit dem BMI.
Der Vorsitz holt ein Meinungsbild ein, ob die DSK mit der dargelegten Vorgehensweise einverstanden ist. Die Vorgehensweise wird einstimmig befürwortet.
[17, 0, 0] (Zustimmung, Enthaltung, Ablehnung)
TOP 13) Position der Konferenz zu Facebook-Fanpages
Schleswig-Holstein und Sachsen-Anhalt berichten zu Erfahrungen, Entwicklungen und laufende Verfahren in Bezug auf Facebook und Facebook-Fanpages.
Es erfolgt ein Meinungs- und Erfahrungsaustausch zwischen den Teilnehmerinnen und Teilnehmern.
Die Taskforce Fanpages wird gebeten ein Gesprächsangebot an Facebook zu richten.
Berlin berichtet zu seinen Erfahrungen bezüglich der Nutzung von Twitter durch Behörden und weist auf die Problematik hin, die bezüglich der Nutzung von Twitter durch Aufsichtsbehörden aufgekommen ist.
Es erfolgt diesbezüglich ein Meinungsaustausch.
TOP 14) Änderung des Rundfunkgebührenstaatsvertrags
Der Tagesordnungspunkt wird von Rheinland-Pfalz zurückgezogen.
TOP 15) Aktuelles Verfahren nach Art. 64 Abs. 2 DS-GVO
a) Zusammenarbeit der deutschen Aufsichtsbehörden in Verfahren nach Art. 64 Abs. 2 DS-GVO
Der Bund regt an der ZAST den Auftrag zu erteilen im Einzelfall bei einem Verfahren nach Art. 64 Abs. 2 DS-GVO ein Meinungsbild bei den anderen unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder einzuholen, damit die antragstellende Behörde deren Meinung in ihre Arbeit einfließen lassen kann und so eine möglichst einheitliche deutsche Rechtsauffassung innerhalb Europas vertreten wird.
Es erfolgt zwischen den Teilnehmerinnen und Teilnehmern eine Diskussion über den Vorschlag des Bundes.
Die DSK bittet den AK Organisation und Struktur auf Grundlage des ZAST-Konzeptes und mit Blick auf deren in diesem Zusammenhang bestehende Dienstleistungsfunktion ein Papier zu erstellen, das die Rolle der ZASt bzw. der Aufsichtsbehörden in den o.g. Verfahren und die verschiedenen Alternativen der Einbindung der ZAST darstellt. Des Weiteren wird der AK Organisation und Struktur um die Erstellung eines Erläuterungstextes diesbezüglich gebeten.
In der Zwischenzeit soll vorläufig die bisherige Handhabung beibehalten werden, um handlungsfähig zu bleiben.
Der Tagesordnungspunkt wird auf der 98. Sitzung der DSK im November 2019 erneut beraten.
b) Umgang mit Fällen, in denen eine Beschwerde vor dem 25.05.2018 eingereicht wurde, die beanstandete Datenverarbeitung aber über den 25.05.2018 hinaus andauert
Der Unterpunkt konnte aus Zeitgründen nicht auf der Konferenz behandelt werden und wird auf die Septemberkonferenz vertagt.
TOP 16) Konzept zur Bußgeldzumessung bei Verstößen gegen die DS-GVO
Berlin stellt das vom AK Sanktionen erstellte Konzept zur Bußgeldzumessung vor und erläutert die diesem zugrunde liegenden Kriterien. Berlin weist darauf hin, dass der Entwurf auch in der Taskforce Finings des EDSA vorgestellt wurde. Dieser sei dort auf Interesse gestoßen, da er im Gegensatz zu anderen Modellen eine systematische, transparente und nachvollziehbare Bußgeldbemessung gewährleiste Im Anschluss erfolgt ein Austausch über das Konzept.
Die DSK begrüßt mehrheitlich das Konzept als geeignete Grundlage für die Zumessung von Bußgeldern und bittet den AK Sanktionen das Konzept unter Einbeziehung der damit gemachten praktischen Erfahrungen der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder weiterzuentwickeln.
[16, 1, 0] (Zustimmung, Enthaltung, Ablehnung)
TOP 17) Koordinierung der Verarbeitung von Meldungen nach Art. 33 DS-GVO
Der Tagesordnungspunkt konnte aus Zeitgründen nicht auf der Konferenz behandelt werden und wird auf die Septemberkonferenz vertagt.
TOP 18) Bericht aus dem AK Organisation und Struktur
Der Tagesordnungspunkt konnte aus Zeitgründen nicht auf der Konferenz behandelt werden und wird auf die Septemberkonferenz vertagt.
TOP 19) Rahmenvertrag für Übersetzungsdienstleistungen
Der Tagesordnungspunkt konnte aus Zeitgründen nicht auf der Konferenz behandelt werden und wird auf die Septemberkonferenz vertagt.
TOP 20) Verwaltung / Anpassung von Orientierungshilfen an die DS-GVO
Rheinland-Pfalz erarbeitet derzeit eine Übersicht über bestehende Orientierungshilfen. Sobald diese finalisiert ist, wird Rheinland-Pfalz diese den AK-Vorsitzenden zustellen.
TOP 21) Auswirkungen des § 29 Abs. 3 BDSG auf die Prüftätigkeit der Aufsichtsbehörden
Die Anmeldung des Tagesordnungspunktes wird von Hessen zurückgezogen
TOP 22) Betreiben von Twitter-Accounts von Datenschutzaufsichtsbehörden
Der Tagesordnungspunkt wird auf Wunsch von Berlin unter TOP 13 behandelt.
TOP 23) Verhaltensbasierte Werbung (Initiative „#StopSpyingonUs“ der Deutschen Vereinigung für Datenschutz e.V.)
Der Tagesordnungspunkt konnte aus Zeitgründen nicht auf der Konferenz behandelt werden und soll nunmehr im schriftlichen Umlaufverfahren behandelt werden. Bayern wird einen entsprechenden Beschlussvorschlag erarbeiten.
TOP 24) Vollzug der Orientierungshilfen für Anbieter von Telemedien
Der Tagesordnungspunkt konnte aus Zeitgründen nicht auf der Konferenz behandelt werden und wird auf die Septemberkonferenz vertagt.
TOP 25) Verschiedenes
a) Koordinierung der Datenschutzaufsicht bei bundesweit tätigen nichtöffentlichen Stellen mit föderaler Struktur
Der Bund berichtet zu der an ihn von diversen Institutionen mit föderalem Unterbau herangetragenen Problematik, dass diese je nach örtlicher Zuständigkeit der Landesdatenschutzaufsichtsbehörden mit unterschiedlichen Rechtsauffassungen konfrontiert worden seien.
Der AK Grundsatz wird gebeten die aufgeworfene Problematik zu analysieren und Handlungsoptionen bis zur 98. Sitzung der DSK im November 2019 zu entwickeln.
b) Sachliche Zuständigkeit für E-Mail- und andere OTT-Dienste
Der Tagesordnungspunkt konnte aus Zeitgründen nicht auf der Konferenz behandelt werden und wird auf die Septemberkonferenz vertagt.
c) Entscheidung des EuGH, den Dienst „Google Gmail“ nicht als Telekommunikationsdienst anzusehen
Hamburg bringt die Thematik ein. Der AK Medien wird gebeten, das Urteil zu analysieren und zur September-Konferenz eine Bewertung zu erarbeiten.
TOP 01) Begrüßung und Organisatorisches
Der Vorsitzende begrüßt die Teilnehmerinnen und Teilnehmer der 2. Zwischenkonferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder im Plenarsaal des rheinland-pfälzischen Landtags und erläutert die technischen Gegebenheiten.
TOP 02) Tagesordnung und Protokoll
Der Vorsitzende stellt dar, dass das Protokoll der zurückliegenden Sitzung versandt und angenommen wurde. Hinsichtlich der Tagesordnung der 2. Zwischenkonferenz 2019 ergeben sich die nachfolgenden Änderungen:
- TOP 05 entfällt und wird unter TOP 15 behandelt.
- Auf Bitte von Berlin soll TOP 22 gemeinsam mit TOP 13 behandelt werden.
- Angesichts der umfangreichen Tagesordnung, wird der Tagesordnungspunkt 21 von Hessen zurückgezogen.
Sofern es die Zeit zulässt, sollen zudem unter dem TOP „Verschiedenes“ die vom Bund nachgemeldete Thematik „Koordinierung der Datenschutzaufsicht bei bundesweit tätigen nichtöffentlichen Stellen mit föderaler Struktur“ sowie die von Hamburg nachgemeldete Thematik „Sachliche Zuständigkeit für E-Mail und andere OTT-Dienste“ behandelt werden.
Die Konferenz nimmt die geänderte Tagesordnung einstimmig an.
[17, 0, 0] (Zustimmung, Enthaltung, Ablehnung)
TOP 03) Informationen zu Umlaufverfahren
Die Konferenz nimmt die mit E-Mail vom 13.06.2019 versendete Übersicht bestehender und abgeschlossener Umlaufverfahren im Jahr 2019 zustimmend zur Kenntnis. Seitens Sachsen-Anhalts erfolgt eine Hinweis auf die Benennung des Beschlusses im Umlaufverfahren 4/2019, seitens Sachsens ein Hinweis auf das Abstimmungsergebnis zum Verfahren 12/2019. Der Vorsitz wird eine entsprechend angepasste Übersicht bereitstellen.
TOP 04) Bericht aus dem Europäischen Datenschutzausschuss
Der Vorsitzende dankt Hamburg und dem BfDI für die Teilnahme an der vergangenen Plenumssitzung und Hamburg für die Bereitschaft, auch an kommenden Plenumssitzungen teilzunehmen. Anschließend berichten der BfDI und Hamburg aus dem EDSA, u.a. zu folgenden Themen:
- Cloud Act (Clarifying Lawful Overseas Use of Data Act) und das dahinterstehende Anliegen der US-Regierung, Daten von Servern die im europäischen Ausland sitzen herausverlangen zu können.
- Facebook und die für Facebook zuständige irische Aufsichtsbehörde.
- Überprüfung der Einsatzmöglichkeiten von Microsoft auf EU-Ebene durch die europäische Datenschutzbehörde EDPS
- Entwicklung von Leitlinien und Verhaltensregeln sowie Einrichtung spezifischer Aufsichtsbehörden für Überwachungsstellen
TOP 05) Bericht der Zentralen Anlaufstelle über die Zusammenarbeit der Aufsichtsbehörden
Der Tagesordnungspunkt wird unter TOP 15 behandelt.
TOP 06) Bericht des Vorsitzes / Sachstandsberichte zu den TOPs 8, 13, 24, 26 und 33 der 97. DSK
Zu den von der Konferenz auf der 97. DSK an Rheinland-Pfalz herangetragenen Aufgaben und Bitten berichtet der Vorsitzende Folgendes:
TOP 8 der 97. DSK: Der Tagesordnungspunkt wurde vor der Sitzung von der Tagesordnung des 977. Bundesratsplenums genommen. Der aktuell zwischen den Regierungsparteien ausgehandelte Kompromiss sehe vor, das Quorum für die Benennung eines Datenschutzbeauftragten auf 20 zu erhöhen.
TOP 13 der 97. DSK: Das Schreiben an die Stiftung Datenschutz bezüglich einer Vertretung der Datenschutzkonferenz im Beirat erfolgte am 15.04.2019.
TOP 14 und TOP 15 der 97. DSK: Hierüber berichtet Rheinland-Pfalz unter dem TOP 07 und dem TOP 14
TOP 24 der 97. DSK. Der Zuordnungsvorschlag wurde seitens Rheinland-Pfalz am 17.06.2019 versendet.
TOP 26 der 97. DSK: Das Schreiben an die Innenministerkonferenz wurde seitens Rheinland-Pfalz am 07.05.2019 versendet. Eine Antwort liegt zum Zeitpunkt der Konferenz noch nichtvor.
TOP 33 der 97. DSK: Die Auswertung der Rückmeldungen ist noch nicht abgeschlossen. Die entsprechende Übersicht wird nach Fertigstellung im Nachgang der Zwischenkonferenz versendet.
TOP 07) Zusammenarbeit mit den spezifischen Aufsichtsbehörden
Der Vorsitzende berichtet über das Treffen mit den spezifischen Aufsichtsbehörden, welches am 21.05.2019 in Mainz stattfand. Hieran teilgenommen haben verschiedene Vertreterinnen und Vertreter aus der Kirche und dem Rundfunkbereich. Für eine weitere Beteiligung der spezifischen Aufsichtsbehörden ist diesen angeboten worden, auf Antrag einen Gaststatus in Arbeitskreisen der DSK zu erhalten. Das Protokoll zu dem Treffen befindet sich derzeit in der Abstimmung und wird den Teilnehmerinnen und Teilnehmern im Anschluss zur Verfügung gestellt.
Im Hinblick auf die im September stattfindende Zwischenkonferenz sowie die im November stattfindende 98. DSK verständigt sich die Konferenz, den für den 15. Oktober 2019 ins Auge gefassten Termin für eine weitere Zwischenkonferenz stattdessen für einen weiteren Austausch mit den spezifischen Aufsichtsbehörden zu nutzen.
TOP 08) Positionierung der DSK zu Windows 10, Zwischenbericht
Niedersachsen berichtet, dass der AK-Technik unter Beteiligung des LDA Bayern, dem BfDI und Mecklenburg-Vorpommern eine ad hoc AG „Windows 10“ gegründet hat. Anfang Mai 2019 hat sich diese erstmals getroffen und einen Katalog mit datenschutzrechtlichen Fragestellungen erstellt. Dieser wurde zudem bereits an Microsoft übermittelt. Niedersachsen teilt des Weiteren mit, dass Microsoft um eine Fristverlängerung zur Beantwortung des Fragenkatalogs gebeten habe. Die Fristverlängerung sei aufgrund des Umfangs des Fragenkatalogs genehmigt worden.
Es ist angestrebt den Fragenkatalog und die Antworten von Microsoft in der 3. Zwischenkonferenz der DSK am 12. September 2019 zu besprechen.
Ein Prüfschema für den Einsatz von Windows 10 wurde parallel von der ad hoc AG „Windows 10“ in Umlauf gegeben und wird abschließend vom AK Technik bearbeitet.
Mecklenburg-Vorpommern berichtet in diesem Zusammenhang über den IT-Planungsrat, welcher beabsichtige eine Arbeitsgruppe einzurichten, die sich mit einer gemeinsamen Positionierung der deutschen öffentlichen Verwaltung befasst, welche das Ziel hat Einfluss auf die technische Entwicklung zu nehmen.
Um die bereits vorhandenen Erkenntnisse der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder ebenfalls in eine solche Positionierung miteinfließen zu lassen, wurde daher vorgeschlagen der ad hoc AG „Windows 10“ das Mandat zu erteilen ein Mitglied in die Arbeitsgruppe des IT-Planungsrats zu entsenden.
Die DSK fasst einstimmig den Beschluss, der ad hoc AG „Windows 10“ das Mandat zu erteilen eine Person zu entsenden, die an den Sitzungen der Arbeitsgruppe des IT-Planungsrats teilnimmt.
[17, 0, 0] (Zustimmung, Enthaltung, Ablehnung)
TOP 09) Evaluation der Datenschutz-Grundverordnung
Baden-Württemberg berichtet über die Arbeit des UAK Evaluierung.
Der Arbeitsauftrag der DSK an den UAK Evaluierung sei in Bearbeitung. Ende August solle die Übersendung des Berichts an den AK Grundsatz erfolgen. In der 98. Sitzung der DSK im November 2019 sollen dann die Ergebnisse und ein Beschlussvorschlag zur Evaluation der Datenschutz-Grundverordnung für die Konferenz vorgelegt werden.
TOP 10) Standard-Datenschutzmodell
Mecklenburg-Vorpommern berichtet über die Arbeit der UAG Standarddatenschutzmodell (SDM) und teilt mit, dass in der 98. Sitzung der DSK im November 2019 die Version 2.0 des Standarddatenschutzmodells vorgelegt werden soll.
Mecklenburg-Vorpommern weist darauf hin, dass sich alle Gewährleistungsziele des SDM aus der Datenschutz-Grundverordnung ableiten ließen. Dies unterscheide das SDM beispielsweise vom Konzept der CNIL (FR), welches keine explizite Grundrechtsorientierungs aufweise. Die zeige jedoch, wie wichtig es sei, die Situation auf europäischer Ebene in den Blick zu nehmen, auf der die SDM-Methodik eine von mehreren sei. Daher sei vorgesehen, auch die Version 2.0 des SDM ins Englische zu übersetzen.
TOP 11) Bericht aus der Taskforce Künstliche Intelligenz
Rheinland-Pfalz berichtet aus der Taskforce Künstliche Intelligenz und teilt mit, dass die Taskforce den Entwurf eines Grundlagenpapiers des AK Technik bereits diskutieren konnte. Nach der endgültigen Fertigstellung des Papiers, das von der Task Force ergänzt werde, solle dieses die Grundlage der weiteren Arbeit der Taskforce bilden. Dabei sollen Elemente für eine Datenschutzfolgenabschätzung eingebunden werden. Des Weiteren soll die Besichtigung einer Diagnose-App erfolgen. Das Grundlagenpapier soll in der 98. Sitzung der DSK im November 2019 vorgestellt werden.
TOP 12) Digitalisierung der Verwaltung ohne einheitliche, verwaltungsübergreifende Personenkennzeichen
Mecklenburg-Vorpommern berichtet vom Treffen mit dem Bundesinnenministerium und den Datenschutzaufsichtsbehörden zum Thema Registermodernisierung am 9. Mai 2019 und weist auf die Aktualität des Themas hin, da die nächste Sitzung des IT-Planungsrates bereits am 27. Juni 2019 stattfindet. In dieser Sitzung soll das Koordinierungsprojekt „Registermodernisierung“ beauftragt werden, in dem die Anforderungen an eine Registermodernisierung identifiziert, ein Architekturmodell für eine Registerlandschaft auf der Basis vernetzter Register erstellt, die Anforderungen für gesetzliche Änderungen erfasst und eine konkrete Maßnahmenplanung erstellt werden. Als wesentliche Punkte werden vom IT-Planungsrat ein Identifikator sowie ein Kerndatensystem erachtet.
Es erfolgt ein Austausch zu einzelnen Inhalten der vorgelegten Entschließung.
- Für das nächste Treffen mit dem BMI soll insbesondere deutlich gemacht werden, dass die Konferenz einheitliche, verwaltungsübergreifende Personenkennzeichen ablehnt. Im Bereich Zensus und dem Abgleich von Daten mit Sicherheitsbehörden müsse es besondere Sicherheitsgarantien geben. Weiterhin sollen alternative Möglichkeiten föderaler Registerstrukturen geprüft werden. Der Nutzen für Bürgerinnen und Bürger soll im Kontext der Umsetzung des OZG zudem von Anfang an fester Bestandteil sein. Mit Hilfe eines Daten-Cockpits sollen Betroffene Auskunft erhalten können, welche Daten in welchem Register gespeichert und ggf. verknüpft werden und wer zu welchem Zweck auf welche Daten zugegriffen hat.
- Unter Berücksichtigung der unter Nr. 1 genannten Aspekte soll der Entschließungstext gemeinsam vom BfDI und von Mecklenburg-Vorpommern überarbeitet und der Septemberkonferenz erneut zur Abstimmung vorgelegt werden.
- Die Konferenz erteilt Mecklenburg-Vorpommern anschließend einstimmig das Mandat, die unter Nr. 1 genannten Aspekte als Grundlage für die Diskussion in der kommenden Sitzung des IT-Planungsrates heranzuziehen.
- Wie am 9. Mai 2019 bei den Gesprächen mit dem Bundesinnenministerium vereinbart, wird eine Kontaktgruppe gegründet, welche sich aus Vertretern der Arbeitskreise Grundsatz, Verwaltung und Technik zusammensetzt. Der BfDI als Vorsitzender des AK Grundsatz übernimmt die Federführung der Arbeitsgruppe und koordiniert die Zusammenarbeit mit dem BMI.
Der Vorsitz holt ein Meinungsbild ein, ob die DSK mit der dargelegten Vorgehensweise einverstanden ist. Die Vorgehensweise wird einstimmig befürwortet.
[17, 0, 0] (Zustimmung, Enthaltung, Ablehnung)
TOP 13) Position der Konferenz zu Facebook-Fanpages
Schleswig-Holstein und Sachsen-Anhalt berichten zu Erfahrungen, Entwicklungen und laufende Verfahren in Bezug auf Facebook und Facebook-Fanpages.
Es erfolgt ein Meinungs- und Erfahrungsaustausch zwischen den Teilnehmerinnen und Teilnehmern.
Die Taskforce Fanpages wird gebeten ein Gesprächsangebot an Facebook zu richten.
Berlin berichtet zu seinen Erfahrungen bezüglich der Nutzung von Twitter durch Behörden und weist auf die Problematik hin, die bezüglich der Nutzung von Twitter durch Aufsichtsbehörden aufgekommen ist.
Es erfolgt diesbezüglich ein Meinungsaustausch.
TOP 14) Änderung des Rundfunkgebührenstaatsvertrags
Der Tagesordnungspunkt wird von Rheinland-Pfalz zurückgezogen.
TOP 15) Aktuelles Verfahren nach Art. 64 Abs. 2 DS-GVO
a) Zusammenarbeit der deutschen Aufsichtsbehörden in Verfahren nach Art. 64 Abs. 2 DS-GVO
Der Bund regt an der ZAST den Auftrag zu erteilen im Einzelfall bei einem Verfahren nach Art. 64 Abs. 2 DS-GVO ein Meinungsbild bei den anderen unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder einzuholen, damit die antragstellende Behörde deren Meinung in ihre Arbeit einfließen lassen kann und so eine möglichst einheitliche deutsche Rechtsauffassung innerhalb Europas vertreten wird.
Es erfolgt zwischen den Teilnehmerinnen und Teilnehmern eine Diskussion über den Vorschlag des Bundes.
Die DSK bittet den AK Organisation und Struktur auf Grundlage des ZAST-Konzeptes und mit Blick auf deren in diesem Zusammenhang bestehende Dienstleistungsfunktion ein Papier zu erstellen, das die Rolle der ZASt bzw. der Aufsichtsbehörden in den o.g. Verfahren und die verschiedenen Alternativen der Einbindung der ZAST darstellt. Des Weiteren wird der AK Organisation und Struktur um die Erstellung eines Erläuterungstextes diesbezüglich gebeten.
In der Zwischenzeit soll vorläufig die bisherige Handhabung beibehalten werden, um handlungsfähig zu bleiben.
Der Tagesordnungspunkt wird auf der 98. Sitzung der DSK im November 2019 erneut beraten.
b) Umgang mit Fällen, in denen eine Beschwerde vor dem 25.05.2018 eingereicht wurde, die beanstandete Datenverarbeitung aber über den 25.05.2018 hinaus andauert
Der Unterpunkt konnte aus Zeitgründen nicht auf der Konferenz behandelt werden und wird auf die Septemberkonferenz vertagt.
TOP 16) Konzept zur Bußgeldzumessung bei Verstößen gegen die DS-GVO
Berlin stellt das vom AK Sanktionen erstellte Konzept zur Bußgeldzumessung vor und erläutert die diesem zugrunde liegenden Kriterien. Berlin weist darauf hin, dass der Entwurf auch in der Taskforce Finings des EDSA vorgestellt wurde. Dieser sei dort auf Interesse gestoßen, da er im Gegensatz zu anderen Modellen eine systematische, transparente und nachvollziehbare Bußgeldbemessung gewährleiste Im Anschluss erfolgt ein Austausch über das Konzept.
Die DSK begrüßt mehrheitlich das Konzept als geeignete Grundlage für die Zumessung von Bußgeldern und bittet den AK Sanktionen das Konzept unter Einbeziehung der damit gemachten praktischen Erfahrungen der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder weiterzuentwickeln.
[16, 1, 0] (Zustimmung, Enthaltung, Ablehnung)
TOP 17) Koordinierung der Verarbeitung von Meldungen nach Art. 33 DS-GVO
Der Tagesordnungspunkt konnte aus Zeitgründen nicht auf der Konferenz behandelt werden und wird auf die Septemberkonferenz vertagt.
TOP 18) Bericht aus dem AK Organisation und Struktur
Der Tagesordnungspunkt konnte aus Zeitgründen nicht auf der Konferenz behandelt werden und wird auf die Septemberkonferenz vertagt.
TOP 19) Rahmenvertrag für Übersetzungsdienstleistungen
Der Tagesordnungspunkt konnte aus Zeitgründen nicht auf der Konferenz behandelt werden und wird auf die Septemberkonferenz vertagt.
TOP 20) Verwaltung / Anpassung von Orientierungshilfen an die DS-GVO
Rheinland-Pfalz erarbeitet derzeit eine Übersicht über bestehende Orientierungshilfen. Sobald diese finalisiert ist, wird Rheinland-Pfalz diese den AK-Vorsitzenden zustellen.
TOP 21) Auswirkungen des § 29 Abs. 3 BDSG auf die Prüftätigkeit der Aufsichtsbehörden
Die Anmeldung des Tagesordnungspunktes wird von Hessen zurückgezogen
TOP 22) Betreiben von Twitter-Accounts von Datenschutzaufsichtsbehörden
Der Tagesordnungspunkt wird auf Wunsch von Berlin unter TOP 13 behandelt.
TOP 23) Verhaltensbasierte Werbung (Initiative „#StopSpyingonUs“ der Deutschen Vereinigung für Datenschutz e.V.)
Der Tagesordnungspunkt konnte aus Zeitgründen nicht auf der Konferenz behandelt werden und soll nunmehr im schriftlichen Umlaufverfahren behandelt werden. Bayern wird einen entsprechenden Beschlussvorschlag erarbeiten.
TOP 24) Vollzug der Orientierungshilfen für Anbieter von Telemedien
Der Tagesordnungspunkt konnte aus Zeitgründen nicht auf der Konferenz behandelt werden und wird auf die Septemberkonferenz vertagt.
TOP 25) Verschiedenes
a) Koordinierung der Datenschutzaufsicht bei bundesweit tätigen nichtöffentlichen Stellen mit föderaler Struktur
Der Bund berichtet zu der an ihn von diversen Institutionen mit föderalem Unterbau herangetragenen Problematik, dass diese je nach örtlicher Zuständigkeit der Landesdatenschutzaufsichtsbehörden mit unterschiedlichen Rechtsauffassungen konfrontiert worden seien.
Der AK Grundsatz wird gebeten die aufgeworfene Problematik zu analysieren und Handlungsoptionen bis zur 98. Sitzung der DSK im November 2019 zu entwickeln.
b) Sachliche Zuständigkeit für E-Mail- und andere OTT-Dienste
Der Tagesordnungspunkt konnte aus Zeitgründen nicht auf der Konferenz behandelt werden und wird auf die Septemberkonferenz vertagt.
c) Entscheidung des EuGH, den Dienst „Google Gmail“ nicht als Telekommunikationsdienst anzusehen
Hamburg bringt die Thematik ein. Der AK Medien wird gebeten, das Urteil zu analysieren und zur September-Konferenz eine Bewertung zu erarbeiten.