- Anlass, Gegenstand und Ziel der Verordnung
Verletzen Verantwortliche oder Auftragsverarbeiter Vorschriften der DSGVO, können betroffene Personen eine Beschwerde nach Art. 77 DSGVO bei einer Aufsichtsbehörde einreichen. Betrifft eine Beschwerde grenzüberschreitende Datenverarbeitungen gem. Art. 4 Nr. 23 DSGVO, müssen sich mehrere mitgliedstaatliche Aufsichtsbehörden abstimmen und zu einer einheitlichen Entscheidung kommen. Sie teilen sich in eine zuständige „federführende Aufsichtsbehörde“ und die „betroffenen Aufsichtsbehörde(n)“ auf. Die Abstimmung der Behörden erfolgt im Rahmen des Verfahrens der Zusammenarbeit (Art. 60 ff. DSGVO). Können sich die Behörden nicht einigen, entscheidet der Europäische Datenschutzausschuss (EDSA) durch einen für die Behörden verbindlichen Beschluss im Kohärenzverfahren (Art. 63 ff. DSGVO) über die Beschwerde. Dies soll eine einheitliche Anwendung der DSGVO in allen Mitgliedstaaten sicherstellen. Zuletzt häufte sich Kritik an dem Verfahren,insbesondere wegen der extremen Verfahrensdauer. Von der Einreichung der Beschwerde bis zu einem endgültigen Beschluss vergehen im Schnitt mehr als vier Jahre. Hierdurch leiden betroffene Personen und der objektive Datenschutz. Als Gründe identifizierte man unterschiedliche Anforderungen und Verfahrensschritte der nationalen Aufsichtsbehörden und die Unbestimmtheit der Fristen im Verfahren der Zusammenarbeit.
Die Verordnung zur Festlegung zusätzlicher Verfahrensregeln (VO 2025/2518) soll Abhilfe schaffen, indem sie die bestehenden Regelungen der DSGVO um einheitliche Verfahrensschritte, Anforderungen und Fristen konkretisiert. Die Verordnung stellt ein Nebengesetz zur DSGVO dar und gilt ab dem 02.04.2027 (Art. 37 Abs. 2).
- Wichtigste Vorschriften
Art. 4 der Verordnung legt einheitliche Zulässigkeitsanforderungen für Beschwerden von betroffenen Personen nach Art. 77 DSGVO und das Verfahren zur Bestimmung der zuständigen federführenden Aufsichtsbehörde fest. Ist die federführende Aufsichtsbehörde bestimmt, hat sie gem. Art. 12 Abs. 1 grundsätzlich 15 Monate Zeit, um einen verbindlichen Beschlussentwurf vorzulegen, der eine vorläufige Entscheidung zu der Beschwerde enthält. Die Einhaltung der in der Verordnung festgelegten Fristen durch die Aufsichtsbehörden ist zwar keine Rechtmäßigkeitsvoraussetzung für den Beschluss (vgl. Art. 14), kann aber im Rahmen einer Untätigkeitsklage der betroffenen Person nach Art. 78 Abs. 2 DSGVO relevant werden, wenn es darum geht, ob sich die Behörde mit der Beschwerde befasst hat (vgl. Art. 15).
Die Verordnung führt darüber hinaus neue Verfahrensschritte ein, welche die Effizienz des Verfahrens steigern sollen. Das Beilegungsverfahren gem. Art. 5 bietet Aufsichtsbehörden die Möglichkeit, durch eine schnelle Beseitigung des Verstoßes und Vermittlung zwischen Beschwerdeführer und dem Verantwortlichen bzw. Auftragsverarbeiter, eine schnelle Beendigung des Verfahrens zu erreichen. Zudem besteht nach Art. 6 die Möglichkeit eines vereinfachten Verfahrens in Fällen, in denen der Kreis betroffener Personen klein ist und deren Bedeutung nicht über den Einzelfall hinaus reicht. In diesen Fällen entfallen die in der Verordnung nachfolgend aufgeführten Verfahrensschritte.
Art. 10 und 11 der VO konkretisieren das Verfahren der Zusammenarbeit. Zunächst erstellt die federführende Aufsichtsbehörde eine Zusammenfassung mit den wichtigsten Aspekten (Art. 10 Abs. 1 und 2) und leitet sie zwecks Stellungnahme an die betroffenen Aufsichtsbehörden weiter (Art. 10 Abs. 3). Bestehen nach diesem Austausch Meinungsverschiedenheiten zwischen einer betroffenen Aufsichtsbehörde und der federführenden Aufsichtsbehörde, kann die betroffene Aufsichtsbehörde ein Ersuchen an die federführende Aufsichtsbehörde richten. Daran schließt sich eine Phase der Zusammenarbeit an, um einen Konsens zu erzielen (Art. 11 Abs. 5). Kann keine Einigung zum Untersuchungsumfang erreicht werden, entscheidet der Europäische Datenschutzausschuss (EDSA) im Dringlichkeitsverfahren nach Art. 66 Abs. 3 DSGVO (Art. 11 Abs. 6). In allen anderen Fällen erstellt die federführende Aufsichtsbehörde entweder die vorläufigen Feststellungen (Art. 19 ff.) oder einen Beschlussentwurf zur vollständigen oder teilweisen Ablehnung der Beschwerde (Art. 16 ff.).
Ist nach Ansicht der federführenden Aufsichtsbehörde ein Verstoß gegeben, erstellt sie vorläufige Feststellungen, welche die Ergebnisse der Untersuchung und hinreichend klar dargelegte Vorwürfe enthalten (Art. 19 Abs. 2). Die betroffenen Aufsichtsbehörden nehmen zu den vorläufigen Feststellungen nochmal Stellung (Art. 19 Abs. 3). Danach ist der Verantwortliche bzw. Auftragsverarbeiter über die vorläufigen Feststellungen zu informieren (Art. 19 Abs. 4) und kann Stellung nehmen (Art. 19 Abs. 5 und 7). Anschließend erstellt die federführende Aufsichtsbehörde den Beschlussentwurf und übermittelt ihn den betroffenen Aufsichtsbehörden (Art. 60 Abs. 3 DSGVO).
Die betroffenen Aufsichtsbehörden können gem. Art. 60 Abs. 4 oder 5 DSGVO einen maßgeblichen und begründeten Einspruch gegen den Beschlussentwurf einlegen. Art. 23 enthält hierzu Einschränkungen. Der Untersuchungsumfang darf nicht mehr Gegenstand des maßgeblichen und begründeten Einspruchs sein, damit das Verfahren nicht durch eine erneute Änderung zurückgesetzt wird. Der Umfang umfasst vor allem die Frage, welche Bestimmungen der DSGVO betroffen sein könnten. Bestehen hierzu Meinungsverschiedenheiten, sind diese zu einem früheren Zeitpunkt im Dringlichkeitsverfahren nach Art. 11 Abs. 6 in Verbindung mit Art. 66 Abs. 3 zu klären (s.o.).
Schließt sich die federführende Aufsichtsbehörde dem Einspruch an, überarbeitet sie den Beschlussentwurf entsprechend und leitet ihn an die betroffenen Aufsichtsbehörden weiter (Art. 60 Abs. 5 DSGVO). Lehnt sie den Einspruch ab oder meint, der Einspruch entspreche nicht den Anforderungen an einen solchen, so leitet sie das Streitbeilegungsverfahren ein (Art. 60 Abs. 4 DSGVO). Die Verordnung enthält keine erheblichen Änderungen des Streitbeilegungsverfahrens. Der EDSA trifft dementsprechend einen verbindlichen Beschluss, der von den Aufsichtsbehörden zu beachten ist (Art. 65 Abs. 1 lit. a DSGVO). Die Verordnung konkretisiert lediglich einige Fristen und Anforderungen an Verfahrensschritte im Streitbeilegungsverfahren (Art. 27 ff.).
- Fazit
Die Einheitlichkeit der Verfahrensanforderungen und -schritte sollte das Verfahren der Zusammenarbeit beschleunigen. Die Möglichkeiten der Beilegung des Verfahrens und das reduzierte Prüfprogramm im vereinfachten Verfahren entlasten die nationalen Aufsichtsbehörden in einfach gelagerten Fällen. Die Einschränkung der Einspruchsmöglichkeiten bezogen auf den Umfang der Untersuchung sorgt für eine frühzeitige abschließende Klärung der möglicherweise beeinträchtigten Vorschriften der DSGVO und entlastet hierdurch das Kohärenzverfahren. Betroffene Personen können leichter Untätigkeitsklage erheben, wenn Aufsichtsbehörden das Verfahren nicht in den vorgegebenen Fristen durchführen. Ob die Änderungen das Beschwerdeverfahren für betroffene Personen attraktiver machen, bleibt abzuwarten. Schließlich steht das Beschwerdeverfahren zunehmend in Konkurrenz zum kollektiven Rechtsschutz, dessen Möglichkeiten durch die jüngere Rechtsprechung des EuGH und die Verbandsklage Richtlinie ausgeweitet wurden.
- Auswirkungen auf unsere Mandanten
Die VO 2025/2518 behandelt hauptsächlich das behördliche Verfahren der Zusammenarbeit und damit die Frage, wie Behörden die Durchsetzung der DSGVO organisieren. Konkrete Auswirkungen auf Verantwortliche und Auftragsverarbeiter ergeben sich nur an wenigen Stellen. Eine schnelle Beseitigung des Verstoßes und frühzeitige Kommunikation mit den Aufsichtsbehörden kann nunmehr dazu führen, dass diese zugunsten des Verantwortlichen bzw. Auftragsverarbeiters auf eine Beendigung des Verfahrens gem. Art. 5 hinwirken. Zudem stellen die Art. 19–22 sicher, dass Verantwortliche und Auftragsverarbeiter zu allen Vorwürfen, die von behördlicher Seite erhoben werden, Stellung nehmen können. Art. 24 Abs. 2 gewährt ihnen zu diesem Zweck ein Recht auf Akteneinsicht. Verantwortliche und Auftragsverarbeiter können hierdurch nachvollziehen, wann und wie ihre Verfahrensrechte gewährleistet werden. Das verschafft ihnen Klarheit bei der Vorbereitung ihrerStellungnahmen.
Der europäische Gesetzgeber hat das Durchsetzungsdefizit erkannt und ergreift Gegenmaßnahmen, die eine effektivere Durchsetzung der DSGVO in Zukunft ermöglichen sollen. Je einfacher sich die Durchsetzung der DSGVO gestaltet, desto wichtiger wird die Einhaltung der DSGVO für Verantwortliche und Auftragsverarbeiter. KREMER LEGAL berät sie bei der Erstellung datenschutzkonformer Konzepte, durch die sich behördliche und gerichtliche Verfahren von vornherein vermeiden lassen.