Aktuelle Nachricht

Mangelnde Ressourcen untergraben die Durchsetzung des EU-Datenschutzes

GDPR report cover image
Song/Adobe Stock
Eine große Anzahl von Beschwerden, fehlende personelle und finanzielle Ressourcen und eine zunehmende Arbeitsbelastung – dies sind einige der Herausforderungen, mit denen die meisten Datenschutzbehörden bei der Umsetzung der Datenschutz-Grundverordnung (DSGVO) konfrontiert sind, so der neue Bericht der EU-Agentur für Grundrechte (FRA). Die FRA fordert die EU-Länder auf, dafür zu sorgen, dass die Datenschutzbehörden über die erforderlichen Ressourcen verfügen, um den Schutz der personenbezogenen Daten der Bürgerinnen und Bürger zu gewährleisten.

In dem Bericht der FRA „DSGVO in practice – Experiences of data protection authorities“ (DSGVO in der Praxis – Erfahrungen von Datenschutzbehörden) werden die wichtigsten Probleme aufgezeigt, bewährte Verfahren vorgestellt und Lösungen vorgeschlagen:

  • Fehlende Ressourcen – Unterfinanzierung und Personalmangel hindern die Behörden daran, ihre Aufgaben vollumfänglich wahrzunehmen. Durch neue EU-Rechtsvorschriften wie das KI-Gesetz oder EU-Grenzverwaltungssysteme werden noch weitere Aufgaben für auf sie zukommen. Ohne angemessene Ressourcen wird es schwierig sein, sie umzusetzen. Die EU-Länder sollten die erforderlichen finanziellen und personellen technischen Ressourcen sicherstellen, damit die Datenschutzbehörden ihre Aufgaben wahrnehmen können.
  • Aufsichtsbefugnisse – Die Datenschutzbehörden verfügen bereits über Ermittlungsbefugnisse, aber sie benötigen mehr Instrumente, um ihre Aufsichtskapazitäten zu stärken. Dazu gehört die Fähigkeit, verdeckte Untersuchungen durchzuführen, oder die Möglichkeit, Geldbußen gegen Organisationen zu verhängen, die die Zusammenarbeit verweigern. Die Europäische Kommission und der Europäische Datenschutzausschuss (EDSA) sollten prüfen, welche Instrumente benötigt werden, und den Rechtsrahmen bei Bedarf stärken.
  • Austausch bewährter Praktiken – Aufgrund mangelnder Ressourcen müssen die Datenschutzbehörden der Bearbeitung von Beschwerden oft Vorrang vor anderen Aufgaben einräumen. Um die Behörden bei der Bearbeitung einer großen Zahl von Beschwerden besser zu unterstützen, sollte der EDSA mehr Leitlinien bereitstellen und den Austausch bewährter Verfahren erleichtern. Dies kann auch bedeuten, dass dem EDSA mehr Ressourcen zur Verfügung gestellt werden müssen.
  • Konsultation und Beratung – Datenschutzbehörden werden häufig nicht zu neuen Rechtsvorschriften konsultiert oder es werden ihnen nur knappe Fristen eingeräumt. Zudem konsultieren einige Behörden die Datenschutzbehörden nicht, bevor sie einen Datenverarbeitungsvorgang einleiten. Um sicherzustellen, dass die Datenschutzgrundsätze in Gesetzgebungsvorschlägen berücksichtigt werden, sollten die EU-Länder die Datenschutzbehörden vorab konsultieren und deren Rat einholen. Sie sollten auch öffentliche Einrichtungen ermutigen, die Datenschutzbehörden systematischer zu konsultieren.
  • Sensibilisierung – Bürgerinnen und Bürger wissen mitunter nicht genau, welche Rechte sie im Hinblick auf personenbezogene Daten haben. Organisationen, die personenbezogene Daten verarbeiten, haben Probleme damit, Datenschutzrisiken zu erkennen und diesen vorzubeugen, insbesondere wenn es um KI-Systeme geht. Deshalb gibt es nur sehr wenige datenschutzrechtliche Folgenabschätzungen. Die EU-Organe und die EU-Länder sollten die Sensibilisierung für die Datenschutzvorschriften und -pflichten fördern. Der EDSA sollte spezifische Leitlinien für die Datenverarbeitung im Zusammenhang mit neuen Technologien ausarbeiten.
  • Zugang zu Daten für die Forschung – Wissenschaftler haben nach wie vor Schwierigkeiten, auf Daten zuzugreifen, obwohl die EU-Datenschutzvorschriften die Verarbeitung von Daten zu wissenschaftlichen Zwecken erlauben. Der EDSA sollte spezifische Leitlinien ausarbeiten und klarstellen, was nach EU-Recht möglich ist.
  • Neue Technologien – die DSGVO bietet nützliche Instrumente für den Umgang mit neuen technologischen Herausforderungen, aber viele Datenschutzbehörden haben Probleme, diese angemessen zu regulieren. Gemeinsam mit den Datenschutzbehörden sollte der EDSA spezifische technologiebezogene Bereiche ermitteln, in denen mehr Klarheit erforderlich ist. Die Datenschutzbehörden sollten bei der Beratung zu neuen Technologien enger zusammenarbeiten.

Im Vorfeld der zweiten Bewertung der DSGVO ersuchte die Europäische Kommission die FRA, Daten über die Erfahrungen, Herausforderungen und Praktiken von Datenschutzbehörden zu sammeln.

Für diesen Bericht befragte die FRA 70 Vertreter von Datenschutzbehörden aus allen 27 EU-Mitgliedstaaten. Die Befragungen fanden zwischen Juni 2022 und Juni 2023 statt.