Evaluierung der DSGVO, aber keine Änderung

Seit 25. Mai 2018 gilt mit der Datenschutz-Grundverordnung (DSGVO) ein europaweit einheitliches Datenschutzrecht. Nach Art. 97 DSGVO hat die Europäische Kommission bis 25. Mai 2020 eine erste Bewertung und Überprüfung des Rechtsaktes vorzulegen.

Bis zum 25. Mai 2020 und danach alle vier Jahre muss die Europäische Kommission dem Europäischen Parlament und dem Rat einen Bericht über die Bewertung und Überprüfung dieser Verordnung vorlegen (Art. 97 Abs. 1 DSGVO), der auch veröffentlicht wird.

Schwerpunkte der Evaluierung sind gemäß Art. 97 Abs. 2 DSGVO die Anwendung und die Wirkungsweise

des Kapitels V der DSGVO über die Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen insbesondere im Hinblick auf die gemäß Artikel 45 Absatz 3 (Richtlinie 95/46/EG) der DSGVO bzw. gemäß Artikel 25 Absatz 6 der Richtlinie 95/46/EG (ehemalige Datenschutz-Richtlinie) erlassenen Beschlüsse und Feststellungen,
des Kapitels VII über Zusammenarbeit und Kohärenz zwischen den Aufsichtsbehörden.

Im Rahmen der Evaluierung müssen u. a. Standpunkte und Feststellungen des Europäischen Parlaments, des Rates und anderer einschlägiger Quellen (Art. 97 Abs. 4 DSGVO) berücksichtigt werden. Falls erforderlich, wird die Kommission auf dieser Basis Vorschläge zur Änderung der Datenschutz-Grundverordnung vorlegen. Dies ist aber derzeit nicht geplant.

Aus Deutschland haben sich bereits neben dem Bundesrat und der Datenschutzkonferenz auch einige Verbände und Organisationen (z. B. die Gesellschaft zu Datenschutz und Datensicherheit) bezüglich der Evaluierung zu Wort gemeldet. Dabei wird insbesondere der Wunsch nach Konkretisierung und Spezifizierung der Datenschutz-Grundverordnung geäußert, da der Rechtsanwender regelmäßig mit Unsicherheiten bei der Anwendung des Datenschutzrechts konfrontiert ist. Deshalb sollte sich die Evaluation auf weitere Fragestellungen als nur die in Art. 97 Abs. 2 der DSGVO genannten Kapitel V und VII der DSGVO erstrecken. Insbesondere wird bei folgenden Punkten der DSGVO Klärungsbedarf gesehen:

Frage der informierten Einwilligung,
Transparenz- und Informationspflichten nach Art. 12 ff. DSGVO,
Recht auf Kopie nach Art. 15 Abs. 3 DSGVO,
gemeinsame Verantwortlichkeit gem. Art. 26 DSGVO,
Auftragsverarbeitung nach Art. 28 DSGVO,
Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO,
Datenpannenmeldungen gemäß Art. 33 Abs. 1 DSGVO,
Begriffe „Risiko“ bzw. „hohes Risiko“ in Art. 33 und 34 DSGVO,
Pflicht zur Meldung von Datenschutzbeauftragten nach Art. 37 Abs. 7 DSGVO,
Verhaltensregeln und Zertifizierungen nach Art. 40 ff. DSGVO,
Befugnisse der Aufsichtsbehörden und Sanktionspraxis und
Verhängung von Geldbußen im Sinne von Art. 83 DSGVO.

Der Freistaat Bayern ist zudem der Auffassung, dass die weitere Bewährung der DSGVO als Instrument zum Schutz personenbezogener Daten und des freien Datenverkehrs auch davon abhängt, dass die Kommission die Aufforderung in Art. 97 Abs. 5 DSGVO ernst nimmt und kontinuierlich die Entwicklungen in der Informationstechnologie und die Fortschritte in der Informationsgesellschaft berücksichtigt und den Zielsetzungen der DSGVO gegenüberstellt. Insbesondere seien hier die zunehmende Datenkonzentration bei einzelnen Anbietern und Plattformen, die zunehmende Verbreitung von Scoring und Profiling, die Chancen und Risiken künstlicher Intelligenz sowie Blockchain-Anwendungen genannt, deren Auswirkungen auf den Schutz personenbezogener Daten schon bei einer ersten Evaluation berücksichtigt werden sollten.