Der EDPB fordert eine Rechtsgrundlage für den Informationsaustausch zwischen Regulierungsbehörden

Hintergrund

Während eines hochrangigen Treffens am 16. und 17. Juli 2026 in Dublin hat der Europäische Datenschutzausschuss (EDPB) die Notwendigkeit einer klaren Rechtsgrundlage hervorgehoben, die den Austausch von Informationen, auch vertraulichen, zwischen Regulierungsbehörden mit unterschiedlichen Zuständigkeiten im Rahmen des EU-Rechts erleichtert. Diese Forderung wird durch direkte Erfahrungen in der Zusammenarbeit mit anderen europäischen digitalen Regulierungsbehörden motiviert, die Hindernisse für eine effektive Zusammenarbeit und die Erzielung kohärenter Ergebnisse bei der Rechtsanwendung aufgezeigt haben.
Der Ausschuss hat außerdem Maßnahmen zur Ausweitung der Bemühungen zur Unterstützung einer konsistenten Anwendung der Datenschutz-Grundverordnung (DSGVO) erörtert, indem eine intensivere Zusammenarbeit zwischen den Datenschutzbehörden (DPAs) gefördert wird. Es wurde ein erheblicher Anstieg der Anzahl und Komplexität von Beschwerden festgestellt, der teilweise auf die zunehmende Nutzung künstlicher Intelligenz zurückzuführen ist. Dies setzt die bereits begrenzten Ressourcen der DPAs unter Druck und behindert ihre Fähigkeit, ihre Aufgaben gemäß der DSGVO effizient zu erfüllen.
Um diesen Herausforderungen zu begegnen, haben die DPAs die Notwendigkeit praktischer und legislativer Lösungen betont, einschließlich der Möglichkeit, Ressourcen zu bündeln, um die Zusammenarbeit zu vertiefen und Workshops zu Durchsetzungsmaßnahmen und nationalen Praktiken zu organisieren. Der EDPB hat sich verpflichtet, den Dialog mit anderen Akteuren im Datenschutz-Ökosystem auszuweiten, um eine größere Kohärenz bei der Anwendung der DSGVO zu unterstützen, und hat eine Bilanz der Maßnahmen gezogen, die im Anschluss an die Helsinki-Erklärung von 2025 ergriffen wurden, um die Qualität der Leitlinien und die Einbindung der Stakeholder zu verbessern.

Warum es wichtig ist

Diese Initiative ist für Organisationen, die personenbezogene Daten verarbeiten, von großer Bedeutung, da sie eine Stärkung der Kohärenz und Effizienz bei der Anwendung der DSGVO auf europäischer Ebene ankündigt. Die Forderung nach einer Rechtsgrundlage für den Informationsaustausch zwischen verschiedenen Regulierungsbehörden impliziert, dass Unternehmen mit koordinierteren Untersuchungen und Durchsetzungsmaßnahmen rechnen müssen, wodurch Fragmentierungen zwischen Sektoren und Gerichtsbarkeiten überwunden werden. Dies erfordert einen integrierteren und robusteren Compliance-Ansatz, der die Unsicherheiten reduziert, die sich aus unterschiedlichen Auslegungen der Vorschriften ergeben.
Der Anstieg der Beschwerden im Zusammenhang mit der Nutzung künstlicher Intelligenz signalisiert eine wachsende Aufmerksamkeit der Behörden und der Öffentlichkeit für die mit KI verbundenen Datenschutzrisiken. Organisationen, die KI-Lösungen entwickeln oder implementieren, müssen ihre DSGVO-Compliance-Maßnahmen und die des bevorstehenden AI Act verstärken, indem sie die Prinzipien von Privacy by Design und Privacy by Default anwenden und strenge Datenschutz-Folgenabschätzungen (DSFA) durchführen. Die verstärkte Zusammenarbeit und gemeinsame Operationen zwischen DPAs bedeuten, dass Nichtkonformitäten wahrscheinlich weitreichendere und koordiniertere grenzüberschreitende Konsequenzen haben werden, was für Datenschutzbeauftragte (DPOs) und IT-Verantwortliche unerlässlich macht, eine hohe DSGVO-Konformität zu gewährleisten und die Ausrichtung an Standards des Informationssicherheitsmanagements zu berücksichtigen.

Was zu tun ist

• Verstärkung der DSGVO-Compliance-Maßnahmen, insbesondere für grenzüberschreitende und komplexe Verarbeitungsvorgänge.
• Überwachung der legislativen Entwicklungen und Leitlinien zum Informationsaustausch zwischen Regulierungsbehörden und zur zukünftigen Verfahrensverordnung.
• Sorgfältige Bewertung der Datenschutzimplikationen und Risiken für personenbezogene Daten aus der Nutzung von Systemen künstlicher Intelligenz, unter Anwendung der Prinzipien von Privacy by Design und Privacy by Default.
• Vorbereitung auf eine mögliche Zunahme koordinierter Untersuchungen und Durchsetzungsmaßnahmen zwischen verschiedenen europäischen Regulierungsbehörden.

Was zu vermeiden ist

• Ignorieren der wachsenden Komplexität von KI-bezogenen Beschwerden und ihrer Datenschutzimplikationen.
• Unterschätzung der Bedeutung der Zusammenarbeit zwischen verschiedenen Regulierungsbehörden und der daraus resultierenden Notwendigkeit eines integrierten Compliance-Ansatzes.
• Mangelnde Vorbereitung auf eine koordiniertere und konsistentere DSGVO-Durchsetzung auf europäischer Ebene, sowohl hinsichtlich Ressourcen als auch Prozessen.

Praktische Auswirkungen

Organisationen werden in einem regulatorischen Umfeld agieren, in dem die Zusammenarbeit zwischen den Datenschutzbehörden und anderen Regulierungsbehörden stärker und koordinierter sein wird. Dies erfordert, dass das Compliance-Management nicht mehr nach Zuständigkeitsbereichen fragmentiert wird, sondern einen ganzheitlichen Ansatz verfolgt. Die Nutzung künstlicher Intelligenz wird zunehmend im Fokus stehen, was die Notwendigkeit erhöht, angemessene technische und organisatorische Maßnahmen zum Datenschutz bereits in der Design- und Entwicklungsphase von Systemen zu implementieren.

Empfohlene Maßnahmen

• Implementierung interner Prozesse für das koordinierte Management von Beschwerden und Untersuchungen durch mehrere Behörden (DPAs, sektorale Behörden usw.).
• Schulung des Personals, insbesondere von Datenschutzbeauftragten (DPOs) und IT-Teams, zu den neuen Herausforderungen der DSGVO-Anwendung und des verantwortungsvollen Einsatzes künstlicher Intelligenz.
• Regelmäßige Überprüfung der Konformität eigener KI-Lösungen mit den Datenschutzprinzipien und relevanten gesetzlichen Anforderungen durch Durchführung regelmäßiger DSFA.

Zu vermeidende Fehler

• Betrachtung von Datenschutz und Cybersicherheit als isolierte anstatt miteinander verbundene Bereiche, insbesondere in regulatorischen Kontexten, die eine verstärkte Zusammenarbeit zwischen Behörden erfordern.
• Verzögerung der Anpassung eigener Richtlinien und Verfahren an die Entwicklung des Rechtsrahmens, insbesondere für künstliche Intelligenz, indem auf das Inkrafttreten neuer Gesetze gewartet wird, ohne Risiken zu antizipieren.

Fragen zur Selbsteinschätzung

• Verfügt unsere Organisation über einen robusten und integrierten Prozess für die Bearbeitung von Untersuchungen und Beschwerden durch verschiedene Regulierungsbehörden (z. B. DPAs und andere sektorale oder digitale Behörden)?
• Wie bewerten und mindern wir die Datenschutzrisiken, die sich aus der Nutzung von Systemen künstlicher Intelligenz ergeben, und sind unsere DSFA aktuell und umfassend?
• Spiegeln unsere internen Richtlinien und Verfahren die Notwendigkeit einer stärkeren Kohärenz und Zusammenarbeit bei der Anwendung der DSGVO wider, insbesondere bei grenzüberschreitenden oder komplexen Vorgängen?

Verweise

Nationales Recht: Regolamento Generale sulla Protezione dei Dati (GDPR) · Futura Regolamentazione Procedurale