{"id":7499,"date":"2024-01-11T11:24:22","date_gmt":"2024-01-11T10:24:22","guid":{"rendered":"https:\/\/www.cr-online.de\/blog\/?p=7499"},"modified":"2024-01-12T14:23:46","modified_gmt":"2024-01-12T13:23:46","slug":"eu-plant-schaerfere-regelungen-zu-dsgvo-sanktionen","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2024\/01\/11\/eu-plant-schaerfere-regelungen-zu-dsgvo-sanktionen\/","title":{"rendered":"EU plant sch\u00e4rfere Regelungen zu DSGVO-Sanktionen"},"content":{"rendered":"

Ein \u00dcberblick \u00fcber die Pl\u00e4ne f\u00fcr eine EU-Verordnung zur effektiveren Vollstreckung der DSGVO<\/strong><\/h2>\n

Von Dr. Isabelle Brams und Tim Wybitul<\/em><\/p>\n

Auch wenn die EU-Datenschutzbeh\u00f6rden mittlerweile regelm\u00e4\u00dfig Rekordbu\u00dfgelder gegen Unternehmen verh\u00e4ngen, sind die EU-Kommission und die Beh\u00f6rden der Ansicht, dass es derzeit Defizite bei der Durchsetzung des Datenschutzrechts sowie der Sanktionierung von Datenschutzverst\u00f6\u00dfen bei grenz\u00fcberschreitenden Sachverhalten gibt. Die EU-Kommission hat daher am 4. Juli 2023 den Entwurf f\u00fcr eine neue EU-Verordnung<\/strong> ver\u00f6ffentlicht<\/a>, die sich auf die Verh\u00e4ngung von Bu\u00dfgelder nach der EU-Datenschutz-Grundverordnung<\/strong> (\u201eDSGVO<\/strong>\u201c) bezieht (sog. \u201eEnforcement-Verordnung<\/strong>\u201c). Konkret zielt die Enforcement-Verordnung insbesondere auf eine Vereinheitlichung von Sanktionsverfahren bei grenz\u00fcberschreitenden Datenverarbeitungen ab. Zudem sieht die geplante Enforcement-Verordnung weitreichende Beteiligungs- und Akteneinsichtsrechte f\u00fcr Beschwerdef\u00fchrer vor.<\/p>\n

Der vorliegende Beitrag gibt einen \u00dcberblick \u00fcber die Hintergr\u00fcnde und wesentlichen Inhalte dieses \u2013 bislang noch in der \u00d6ffentlichkeit weitgehend unbeachteten \u2013 Gesetzesvorhabens. Zudem zeigt der Beitrag m\u00f6gliche Risiken, die sich f\u00fcr Unternehmen infolge der Enforcement-Verordnung ergeben k\u00f6nnten.<\/p>\n

I.\u00a0 \u00a0 \u00a0 \u00a0Worum geht es?<\/strong><\/h2>\n

Datenschutzverst\u00f6\u00dfe sind h\u00e4ufig nicht nur auf einen EU-Mitgliedstaat begrenzt. Bei der Sanktionierung entsprechender Verst\u00f6\u00dfe sind dann auch oft mehrere Datenschutzaufsichtsbeh\u00f6rden beteiligt. Sie entscheiden dann im Rahmen von sog. Kooperationsverfahren \u00fcber die Sanktionierung des Unternehmens. Die Zust\u00e4ndigkeit f\u00fcr die Leitung und Organisation entsprechender grenz\u00fcberschreitender Verfahren<\/strong> liegt bei der f\u00fcr das Unternehmen zust\u00e4ndigen federf\u00fchrenden Aufsichtsbeh\u00f6rde (Lead Supervisory Authority<\/em> \u2013 \u201eLSA<\/strong>\u201c), sog. \u201eOne-Stop-Shop\u201c-Mechanismus.<\/p>\n

Unter anderem aufgrund der unterschiedlichen Verfahrensregelungen in den einzelnen Mitgliedstaaten sind grenz\u00fcberschreitende Verfahren oftmals sehr komplex und zeitintensiv. Dies gilt umso mehr, wenn sich die LSA und die anderen an dem Verfahren beteiligten Aufsichtsbeh\u00f6rden (Concerned Supervisory Authortities<\/em> \u2013 \u201eCSAs<\/strong>\u201c) nicht auf ein einheitliches Vorgehen einigen k\u00f6nnen<\/strong> und den Europ\u00e4ischen Datenschutzausschuss (\u201eEDSA<\/strong>\u201c) im Rahmen eines sog. Koh\u00e4renzverfahrens um den Erlass einer abschlie\u00dfenden Entscheidung bitten. Der EDSA erl\u00e4sst dann einen verbindlichen Streitbeilegungsbeschluss<\/strong> nach Art. 65 DSGVO<\/a>.<\/p>\n

Die EU-Kommission beabsichtigt, die entsprechenden Verfahren und Prozesse zuk\u00fcnftig zu vereinheitlichen und hierdurch effizienter zu gestalten. Hierdurch verspricht sich die EU-Kommission eine schnellere \u2013 und vor allem sch\u00e4rfere \u2013 Sanktionierung von Unternehmen. Dazu soll unter anderem die Rolle der CSA und des EDSA gest\u00e4rkt werden.<\/p>\n

II.\u00a0 \u00a0 \u00a0Welche Regelungen sieht die Enforcement-Verordnung konkret vor?<\/strong><\/h2>\n

Nachstehend fassen wir die wesentlichen Elemente der Enforcement-Verordnung zusammen. Dieser \u00dcberblick ber\u00fccksichtigt bereits die \u2013 teils sogar noch weitergehenden \u2013 Vorschl\u00e4ge von Vertretern des EU-Parlaments.<\/p>\n

1.\u00a0 \u00a0 \u00a0 \u00a0<\/strong>Auswirkungen auf \u201eOne Stop Shop\u201c-Mechanismus<\/strong><\/h3>\n

Die Enforcement-Verordnung d\u00fcrfte insbesondere zu einer erheblichen Verschiebung von Kompetenzen<\/strong> von der LSA hin zu den CSAs und dem EDSA f\u00fchren. Nach dem derzeitigen Entwurf k\u00f6nnten die CSAs den EDSA beispielsweise bereits in sehr einer fr\u00fchen Phase von grenz\u00fcberschreitenden Verfahren um eine verbindliche Entscheidung ersuchen \u2013 und nicht erst im Rahmen von Koh\u00e4renzverfahren. Dies gilt etwa dann, wenn die LSA und die beteiligten Beh\u00f6rden keine Einigung \u00fcber den Umfang der Untersuchung erzielen k\u00f6nnen. Der EDSA kann nach den Vorschl\u00e4gen der Enforcement-Verordnung in diesem Fall eine Dringlichkeitsentscheidung<\/strong> nach Art. 66 DSGVO<\/a> erlassen. Hierdurch k\u00f6nnte der EDSA direkten Einfluss auf den Umfang der Untersuchung<\/strong> nehmen. Da der EDSA in der Vergangenheit eine eher verbraucherfreundliche Position vertreten hat, k\u00f6nnte dies zu einer weiteren Versch\u00e4rfung der Sanktionspraxis auf EU-Ebene f\u00fchren.<\/p>\n

2.\u00a0 \u00a0 \u00a0 \u00a0<\/strong>Ausweitung der Rechte von Beschwerdef\u00fchrern<\/strong><\/h3>\n

Die Enforcement-Verordnung sieht eine Ausweitung der Beteiligungsrechte von Beschwerdef\u00fchrern vor. Dies gilt etwa f\u00fcr das Recht auf rechtliches Geh\u00f6r<\/strong> und Einsichtsrechte<\/strong>. So sollen Beschwerdef\u00fchrer beispielsweise Zugriff auf eine sog. gemeinsame Fallakte erhalten, in der die einzelnen Verfahrensschritte dokumentiert sind.<\/p>\n

Nach dem derzeit vorliegenden Entwurf sollen die genannten Regelungen nicht nur f\u00fcr Beschwerdef\u00fchrer selbst, sondern auch f\u00fcr Verbraucher- und Datenschutzorganisationen<\/strong> gelten, die Beschwerdef\u00fchrer in entsprechenden Beschwerdeverfahren vertreten. Auf Basis dieser weitgehenden Beteiligungs- und Einsichtsrechte w\u00fcrde es beispielsweise f\u00fcr sp\u00e4tere Kl\u00e4ger in Schadensersatzprozessen voraussichtlich deutlich einfacher, sich Informationen zu verschaffen, die sie in anschlie\u00dfenden Zivilverfahren gegen Unternehmen nutzen k\u00f6nnten.<\/p>\n

3.\u00a0 \u00a0 \u00a0 \u00a0<\/strong>Beschr\u00e4nkung von Verteidigungsrechten<\/strong><\/h3>\n

Zudem sieht die Enforcement-Verordnung weitgehende Beschr\u00e4nkungen der Verfahrensrechte von beschuldigten Unternehmen<\/strong> vor. Beispielsweise soll die L\u00e4nge von Schrifts\u00e4tzen und sonstigen Stellungnahmen auf voraussichtlich 20 bis 30 Seiten beschr\u00e4nkt werden. Erfahrungsgem\u00e4\u00df lassen sich die relevanten Angaben zum Sachverhalt und Rechtsausf\u00fchrungen kaum auf so wenig Raum sinnvoll darstellen. Es erscheint vor diesem Hintergrund fraglich, ob der Vorschlag der EU-Kommission in dieser Form mit den Vorgaben der Justizgrundrechte in der EU-Grundrechtecharta vereinbar ist.<\/p>\n

4.\u00a0 \u00a0 \u00a0 \u00a0 \u00a0<\/strong>Beschr\u00e4nkung von Verst\u00e4ndigungen<\/strong><\/h3>\n

\u00dcberdies schr\u00e4nkt die Enforcement-Verordnung die M\u00f6glichkeit von Unternehmen ein, Verst\u00e4ndigungen mit dem Beschwerdef\u00fchrer zu vereinbaren<\/strong>. So sehen beispielsweise die Vorschl\u00e4ge des EU-Parlaments vor, dass Verst\u00e4ndigungen nur zul\u00e4ssig sind, wenn das Unternehmen die in Rede stehenden Datenverarbeitungen zugunsten des Beschwerdef\u00fchrers ab\u00e4ndert oder einstellt. Zugleich stellt die Enforcement-Verordnung klar, dass Aufsichtsbeh\u00f6rden auch nach einer erfolgten Verst\u00e4ndigung das Verfahren von Amts wegen (ex-officio<\/em>) fortf\u00fchren oder neu aufrollen d\u00fcrfen.<\/p>\n

III.\u00a0 \u00a0 \u00a0 \u00a0 Wie geht es weiter?<\/strong><\/h2>\n

Das EU-Parlament wird voraussichtlich Anfang Februar 2024 \u00fcber die m\u00f6gliche Annahme der Enforcement-Verordnung entscheiden. Sollte das EU-Parlament die Enforcement-Verordnung annehmen, schlie\u00dfen sich Verhandlungen mit dem Ministerrat an. Es ist nach derzeitigem Stand offen, ob die entsprechenden Verhandlungen vor der Europawahl im Juni 2024 abgeschlossen sein werden. Selbst wenn dies nicht der Fall sein sollte, h\u00e4tte eine entsprechende Verordnung voraussichtlich eine Signalwirkung auch f\u00fcr die neue Legislaturperiode des EU-Parlaments. Es ist daher denkbar, dass der EU-Gesetzgeber die Enforcement-Verordnung \u2013 in der geplanten oder einer angepassten Form \u2013 auch nach den Europawahlen weiter vorantreiben k\u00f6nnte.<\/p>\n

IV.\u00a0 \u00a0 \u00a0Worauf m\u00fcssen sich Unternehmen einstellen?<\/strong><\/h2>\n

Aufgrund der geplanten Kompetenzverschiebung<\/strong> ist es sehr wahrscheinlich, dass die Aufsichtsbeh\u00f6rden schneller und mit weniger Abstimmungsaufwand hohe Geldbu\u00dfen gegen Unternehmen<\/strong> verh\u00e4ngen k\u00f6nnten. Unternehmen mit einem hohen Umsatz und grenz\u00fcberschreitenden Gesch\u00e4ftsmodellen d\u00fcrften hierbei insbesondere im Fokus der Beh\u00f6rden stehen.<\/p>\n

Unternehmen m\u00fcssen sich daher k\u00fcnftig darauf einstellen, dass die Verteidigung in DSGVO-Bu\u00dfgeldverfahren noch komplexer<\/strong> und aufwendiger werden. Diese Entwicklung zeichnet sich auch anhand der aktuellen Rechtsprechung des EuGH bereits heute ab. Dies zeigt sich etwa an zwei aktuellen Entscheidungen zu DSGVO-Bu\u00dfgeldern<\/strong> (C-807\/21<\/strong><\/a> und C-683\/21<\/strong><\/a>). Daher sind Unternehmen, die sich mit entsprechenden Verfahren konfrontiert sehen, gut beraten, bereits fr\u00fchzeitig Verteidigungsstrategien zu entwickeln<\/strong>, um sich gegen Vorw\u00fcrfe von Beh\u00f6rden effektiv zu verteidigen. Hierzu z\u00e4hlen insbesondere prozessuale Aspekte. Wie die aktuellen Entwicklungen anschaulich zeigen, werden die prozessualen Anforderungen f\u00fcr Bu\u00dfgeldverfahren zunehmend komplexer. Diese Komplexit\u00e4t und die daraus folgende Rechtsunsicherheit kann f\u00fcr Unternehmen aber auch gute Verteidigungsm\u00f6glichkeiten<\/strong> bieten. Die Erfahrung zeigt, dass nationale Gerichte unverh\u00e4ltnism\u00e4\u00dfigen Forderungen oder Rechtspositionen der Datenschutzbeh\u00f6rden bei einer effektiven Verteidigung durchaus auch Absagen erteilen.<\/p>\n

* * *<\/p>\n

Die Verfasser dieses Blogbeitrags sind Rechtsanw\u00e4lte in der Privacy & Cyber Gruppe von Latham & Watkins LLP. Sie verteidigen regelm\u00e4\u00dfig Unternehmen gegen DSGVO-Bu\u00dfgelder bis hin zum EuGH. Weitere Informationen dem aktuellen Verfahren C-807\/21 sowie einen entsprechenden Faktencheck zu den Folgen dieser EuGH-Entscheidung finden Sie hier:\u00a0https:\/\/www.linkedin.com\/pulse\/faktencheck-eugh-urteil-zu-dsgvo-bu%C3%9Fgelder-c-80721-tim-wybitul-knyde\/<\/em><\/p>\n

Weitere Beitr\u00e4ge zur Verteidigung von Unternehmen gegen DSGVO-Geldbu\u00dfen und -Schadensersatzanspr\u00fcche sowie zu anderen datenschutzrechtlichen Praxisthemen finden Sie unter\u00a0https:\/\/www.lathamgermany.de\/category\/data-privacy\/.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"

Ein \u00dcberblick \u00fcber die Pl\u00e4ne f\u00fcr eine EU-Verordnung zur effektiveren Vollstreckung der DSGVO Von Dr. Isabelle Brams und Tim Wybitul Auch wenn die EU-Datenschutzbeh\u00f6rden mittlerweile regelm\u00e4\u00dfig Rekordbu\u00dfgelder gegen Unternehmen verh\u00e4ngen, sind die EU-Kommission und die Beh\u00f6rden der Ansicht, dass es derzeit Defizite bei der Durchsetzung des Datenschutzrechts sowie der Sanktionierung von Datenschutzverst\u00f6\u00dfen bei grenz\u00fcberschreitenden Sachverhalten […]<\/p>\n","protected":false},"author":5227,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[1,34,9,58],"tags":[1028,1031,804,1032,1029,739,1004,1030],"_links":{"self":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/7499"}],"collection":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/users\/5227"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/comments?post=7499"}],"version-history":[{"count":14,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/7499\/revisions"}],"predecessor-version":[{"id":7513,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/7499\/revisions\/7513"}],"wp:attachment":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/media?parent=7499"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/categories?post=7499"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/tags?post=7499"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}