WD 3 - 3000 - 258/20 (16. November 2020) © 2020 Deutscher Bundestag Die Wissenschaftlichen Dienste des Deutschen Bundestages unterstützen die Mitglieder des Deutschen Bundestages bei ihrer mandatsbezogenen Tätigkeit. Ihre Arbeiten geben nicht die Auffassung des Deutschen Bundestages, eines seiner Organe oder der Bundestagsverwaltung wieder. Vielmehr liegen sie in der fachlichen Verantwortung der Verfasserinnen und Verfasser sowie der Fachbereichsleitung. Arbeiten der Wissenschaftlichen Dienste geben nur den zum Zeitpunkt der Erstellung des Textes aktuellen Stand wieder und stellen eine individuelle Auftragsarbeit für einen Abgeordneten des Bundestages dar. Die Arbeiten können der Geheimschutzordnung des Bundestages unterliegende, geschützte oder andere nicht zur Veröffentlichung geeignete Informationen enthalten. Eine beabsichtigte Weitergabe oder Veröffentlichung ist vorab dem jeweiligen Fachbereich anzuzeigen und nur mit Angabe der Quelle zulässig. Der Fachbereich berät über die dabei zu berücksichtigenden Fragen. 1. Art. 51 Abs. 1 DS-GVO erlaubt es den Mitgliedstaaten, eine oder mehrere unabhängige Aufsichtsbehörden für die Überwachung der Anwendung der DS-GVO einzurichten. In Deutschland wurde davon Gebrauch gemacht und auf dieser Grundlage das föderale deutsche Aufsichtsbehördensystem mit den Datenschutzbehörden des Bundes und der Länder unter Geltung der DS-GVO erhalten.1 § 8 Bundesdatenschutzgesetz (BDSG) bestimmt dabei, dass der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) als oberste Bundesaufsichtsbehörde mit Dienstsitz in Bonn eigerichtet wird. § 17 S. 1 BDSG regelt, dass der BfDI als gemeinsamer Vertreter Deutschlands im Europäischen Datenschutzausschuss und als zentrale Anlaufstelle agiert. Die Verteilung der Zuständigkeit zwischen den Aufsichtsbehörden der Bundesländer bestimmt sich gemäß Art. 55 DS-GVO in Verbindung mit § 40 Abs. 1, 2 BDSG grundsätzlich nach der Hauptniederlassung des Betroffenen.2 Die DS-GVO schreibt für Aufsichtsbehörden an mehreren Stellen bestimmte Fristen vor, innerhalb von welchen ein Anliegen des Betroffenen erledigt werden soll. Insbesondere ist hier das Verfahren der vorherigen Konsultation nach Art. 36 DS-GVO anzuführen. Die Acht-Wochen-Frist in Art. 36 Abs. 2 S. 1 DS-GVO, innerhalb der die Aufsichtsbehörde dem Verantwortlichen grundsätzlich antworten muss, ist als Kompromiss anzusehen: Einerseits benötigt die Aufsichtsbehörde eine gewisse Bearbeitungszeit, um die erforderliche Datenschutz-Folgenabschätzung vorzunehmen. Andererseits hat der Verantwortliche ein Interesse an einer möglichst kurzfristigen Beantwortung seines Konsultationsersuchens, das in der Regel wirtschaftliche Konsequenzen haben wird, indem beispielsweise die Markteinführung eines neuen Online-Verfahrens davon abhängig ist.3 1 Siehe Kisker, in: BeckOK Datenschutzrecht, Wolff/Brink (Hrsg.), 33. Edition Stand: 1. August 2020, BDSG § 17 Vorbemerkung. 2 Nguyen/Stroh, in: Gola (Hrsg.), Datenschutz-Grundverordnung, 2. Auflage 2018, DS-GVO Art. 55 Rn. 9 f. 3 Jandt, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, 3. Auflage 2020, DS-GVO Art. 36 Rn. 9. Wissenschaftliche Dienste Kurzinformation Ausgewählte Fragen zur Umsetzung der EU-Datenschutz- Grundverordnung (DS-GVO) in Deutschland Kurzinformation Ausgewählte Fragen zur Umsetzung der EU- Datenschutz-Grundverordnung (DS-GVO) in Deutschland Fachbereich WD 3 (Verfassung und Verwaltung) Wissenschaftliche Dienste Seite 2 Gemäß Art. 36 Abs. 2 S. 2 DS-GVO wird der Aufsichtsbehörde eine Fristverlängerung um sechs Wochen zugestanden, sofern die geplante Verarbeitung eine besondere Komplexität aufweist. Dies kann insbesondere bei einem Einsatz neuer Technologien der Fall sein. Benötigt die Aufsichtsbehörde mehr als acht Wochen für die Überprüfung, ist sie gem. Art. 36 Abs. 2 S. 3 DS-GVO verpflichtet , den Verantwortlichen hierüber mit einer entsprechenden Begründung innerhalb eines Monats nach Eingang des Antrags auf Konsultation zu unterrichten. Diese Fristen können gem. Art. 36 Abs. 2 S. 4 DS-GVO ausgesetzt werden, bis die Aufsichtsbehörde alle für die Konsultation erforderlichen Informationen erhalten hat.4 Art. 36 DS-GVO enthält keine Aussage darüber, welche Rechtsfolge eintreten soll, wenn die Aufsichtsbehörde nicht fristgemäß reagiert. Nach Fristablauf steht es dem Verantwortlichen daher frei, eine Beschwerde einzulegen und, sofern die Aufsichtsbehörde weiterhin untätig bleibt, nach den nationalen Vorschriften ein verwaltungsgerichtliches Verfahren, z.B. eine Leistungsklage gemäß § 40 i.V.m. § 43 Abs. 2 S. 1 VwGO, zu betreiben.5 Die praktische Relevanz der vorherigen Konsultation der Aufsichtsbehörde durch den Verantwortlichen nach Art. 36 DS-GVO scheint in Deutschland bisher eher gering zu sein. Jedenfalls ist in den Tätigkeitsberichten der Landesdatenschutzbeauftragten aus Bayern, Hamburg, Baden-Württemberg und Niedersachsen für das Jahr 2019 nicht über ein solches Verfahren berichtet worden.6 Dementsprechend wird in Deutschland – soweit ersichtlich – gegenwärtig keine Diskussion darüber geführt, ob die oben genannten Fristen innerhalb des Verfahrens nach Art. 36 DS-GVO angemessen sind. 2. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz) hat einen Erfahrungsbericht der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder zur Anwendung der DS-GVO, November 2019, 7 erarbeitet und auf der Datenschutzkonferenz am 6. November 2019 verabschiedet. Dieser Bericht spiegelt die Erfahrungen der deutschen Aufsichtsbehörden der Länder und des Bundes aus der praktischen Anwendung der DS-GVO seit ihrem Geltungsbeginn am 25. Mai 2018 wider und leistet einen Beitrag zum EU-weiten Evaluierungsprozess nach Art. 97 DS-GVO. 4 Jandt, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, 3. Auflage 2020, DS-GVO Art. 36 Rn. 9. 5 Jandt, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, 3. Auflage 2020, DS-GVO Art. 36 Rn. 9a. 6 Jandt, in: Kühling/Buchner (Hrsg.), DS-GVO BDSG, 3. Auflage 2020, DS-GVO Art. 36 Rn. 4a 7 Erfahrungsbericht der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder zur Anwendung der DS-GVO, November 2019, https://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads /2019/12/20191209_Erfahrungsbericht-zur-Anwendung-der-DS-GVO.pdf (letzter Abruf: 13. November 2020). Kurzinformation Ausgewählte Fragen zur Umsetzung der EU- Datenschutz-Grundverordnung (DS-GVO) in Deutschland Fachbereich WD 3 (Verfassung und Verwaltung) Wissenschaftliche Dienste Seite 3 Ferner haben Landesdatenschutzbeauftragte aller deutschen Bundesländer – außer Sachsen – Jahresberichte für das Jahr 2019 veröffentlicht, die auf der Internetseite der Stiftung Datenschutz eingesehen werden können.8 Schließlich hat der Bundesbeauftragte für Datenschutz und die Informationsfreiheit seinen 28. Tätigkeitsbericht für das Jahr 2019 zum Datenschutz9 dem Deutschen Bundestag vorgelegt, in dem als eines der Schwerpunktthemen unter Punkt 4.1 die Evaluierung der DS-GVO behandelt wurde. *** 8 Stiftung Datenschutz, Termine Tätigkeitsberichte in 2020, https://www.zaftda.de/46-allgemein/meldungen/223- termine-tb-in-2020 (letzter Abruf: 13. November 2020). 9 Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, 28. Tätigkeitsbericht zum Datenschutz 2019, https://www.bfdi.bund.de/SharedDocs/Publikationen/Taetigkeitsberichte/TB_BfDI/28TB_19.html (letzter Abruf: 13. November 2020).