Ein Dokument des Europäischen Datenschutzausschusses kann eine praktische Datenschutzfrage erheblich klären. Es muss aber das richtige Dokument in der richtigen Fassung sein. Eine Pressemitteilung, ein Konsultationsentwurf und ein verbindlicher Beschluss haben unterschiedliche Funktionen. Wer nur einen passenden Satz kopiert, kann daraus eine Pflicht ableiten, die der Text so nicht enthält.
Der EDSA, auf Englisch EDPB, soll die einheitliche Anwendung der DSGVO unterstützen. Für Unternehmen besteht die nützliche Aufgabe darin, seine Auslegung mit dem eigenen Sachverhalt zu verbinden und daraus eine überprüfbare Entscheidung zu treffen. Dieser Leitfaden zeigt, wie eine solche Quellenprüfung aussieht und wie sie in einer konkreten Dienstleisterakte dokumentiert werden kann.
EDSA, nationale Aufsicht und EDSB unterscheiden
Artikel 68 DSGVO errichtet den EDSA als Einrichtung der Union. Ihm gehören die Leitung einer Aufsichtsbehörde jedes Mitgliedstaats und der Europäische Datenschutzbeauftragte beziehungsweise ihre Vertretungen an. Hat ein Mitgliedstaat mehrere Aufsichtsbehörden, wird eine gemeinsame Vertretung nach nationalem Recht bestimmt. Die Kommission kann ohne Stimmrecht teilnehmen.
Der Europäische Datenschutzbeauftragte, auf Englisch EDPS, ist eine andere Einrichtung mit einer eigenen Aufsichtsfunktion für die EU-Institutionen und weitere erfasste Unionsstellen. Er ist nicht einfach eine alternative Bezeichnung für den Ausschuss. Die Unterscheidung ist etwa bei Gerichtsurteilen wichtig, deren Ausgangsverfahren die Datenverarbeitung einer Unionsstelle betrifft.
Für eine gewöhnliche Beschwerde gegen ein Unternehmen ist der EDSA nicht der allgemeine Eingangsschalter. Die zuständige Aufsichtsbehörde bearbeitet den Fall innerhalb ihrer Befugnisse; bei grenzüberschreitenden Sachverhalten können Zusammenarbeit und Streitbeilegung hinzukommen. Die Einordnung der BfDI und der deutschen Aufsichtszuständigkeit ist daher eine andere Aufgabe als die Suche nach einer europäischen Leitlinie.
Auch eine Meldung nach Artikel 33 oder eine erforderliche vorherige Konsultation wird nicht allein deshalb an den Ausschuss geschickt, weil eine europäische Leitlinie den Anlass erklärt. Der Beitrag zur vorherigen Konsultation nach Artikel 36 zeigt, welche Entscheidung dort gesondert zu treffen ist.
Die Dokumentart bestimmt ihren Einsatz
Der EDSA veröffentlicht insbesondere Leitlinien, Empfehlungen, Stellungnahmen und verbindliche Beschlüsse. Artikel 70 beschreibt seine Aufgaben. Die folgende Übersicht dient dazu, einen gefundenen Text richtig zu verwenden, bevor seine einzelnen Aussagen auf die Verarbeitung übertragen werden.
| Dokumentart | Funktion | Praktischer Umgang |
|---|---|---|
| Leitlinie oder Empfehlung | Unterstützt eine einheitliche Auslegung und praktische Anwendung | Relevante Kriterien auf den eigenen Sachverhalt anwenden; nicht mit einem neuen Gesetz gleichsetzen |
| Konsultationsfassung | Veröffentlicht einen zur Rückmeldung gestellten Arbeitsstand | Status sichtbar festhalten; Änderungen bis zur endgültigen Fassung verfolgen |
| Stellungnahme nach Artikel 64 | Beurteilt bestimmte Entwürfe oder Fragen im Kohärenzverfahren | Anlass, Adressaten und Verfahrensfolgen lesen; nicht auf einen unverbindlichen Blogkommentar reduzieren |
| Verbindlicher Beschluss nach Artikel 65 | Entscheidet bestimmte Streitfragen zwischen Aufsichtsbehörden | Bindungswirkung und anschließende endgültige Behördenentscheidung auseinanderhalten |
| Pressemitteilung | Erläutert eine Veröffentlichung oder Entscheidung | Als Einstieg nutzen, den maßgeblichen Volltext zusätzlich lesen |
Leitlinien sind keine Verordnungen. Das macht sie für die Aufsichtspraxis nicht bedeutungslos: Sie erläutern gemeinsame Auffassungen und geben wichtige Kriterien für die Bewertung. Eine begründete Umsetzung beschreibt deshalb, wie diese Kriterien im konkreten Verfahren berücksichtigt werden. Sie verspricht nicht, dass das Zitieren eines Dokuments jede spätere Beanstandung ausschließt.
Bei Stellungnahmen und Beschlüssen die Verfahrenswirkung lesen
Stellungnahmen nach Artikel 64 dürfen nicht pauschal als beliebig übergehbar dargestellt werden. Die betroffene Aufsichtsbehörde muss ihnen nach Absatz 7 weitestgehend Rechnung tragen und mitteilen, ob sie ihren Entwurf beibehält oder ändert. Beabsichtigt sie, der Stellungnahme ganz oder teilweise nicht zu folgen, sieht Absatz 8 den Bezug zur Streitbeilegung nach Artikel 65 vor.
Ein Beschluss nach Artikel 65 richtet sich an die federführende und die betroffenen Aufsichtsbehörden und bindet sie. Die endgültige Entscheidung gegenüber dem Verantwortlichen oder Auftragsverarbeiter wird anschließend von der zuständigen Behörde auf dieser Grundlage erlassen. Eine Übersicht, die jede Geldbuße unmittelbar als „vom EDSA verhängt“ beschreibt, kann diese Abfolge verschleiern.
Für die interne Auswertung eines bekannten Falls werden deshalb mindestens der EDSA-Beschluss, die endgültige Behördenentscheidung und gegebenenfalls spätere gerichtliche Entscheidungen unterschieden. Die rechtliche Aussage wird aus dem maßgeblichen Teil des jeweiligen Textes abgeleitet. Die Höhe einer Geldbuße ersetzt keine Prüfung, ob der eigene Sachverhalt vergleichbar ist.
Titel, Datum und Fassung zuverlässig erfassen
Eine Dokumentnummer enthält häufig das Jahr, in dem die Arbeit begonnen hat. Sie ist nicht zwingend das Jahr der endgültigen Annahme. Die Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern werden auf der offiziellen Seite als endgültige Fassung vom 7. Juli 2021 geführt. Die Seite verweist gesondert auf die erste Fassung vor der Konsultation.
Für eine Quellenakte werden Dokumentnummer, vollständiger Titel, Versionsdatum, Status, URL und die verwendeten Abschnitte gespeichert. Das Abrufdatum ist zusätzlich sinnvoll, ersetzt aber nicht das Dokumentdatum. Eine Datei mit dem Namen „Leitlinie aktuell.pdf“ lässt später nicht erkennen, welcher Text die Entscheidung getragen hat.
Bei übersetzten Dokumenten wird geprüft, ob es sich um die entsprechende Fassung handelt. Eine ältere deutsche Übersetzung kann neben einer später geänderten englischen Version stehen. Die Überschrift allein genügt nicht. Wenn eine fachlich wichtige Aussage sprachlich unklar bleibt, wird der Abgleich dokumentiert und die entscheidende Passage sorgfältig geprüft, statt eine vereinfachte Übersetzung als gesicherte Regel weiterzugeben.
Einen konkreten Sachverhalt vor der Suche festhalten
Ein fiktives Beratungsunternehmen prüft eine Umfrageplattform. Der Anbieter bietet an, Antworten nach Vorgaben des Kunden auszuwerten. Zusätzlich sehen seine Bedingungen vor, einzelne Informationen für eine eigene dienstübergreifende Produktanalyse zu nutzen. Die praktische Frage lautet nicht „Ist die Plattform DSGVO-konform?“, sondern: „Für welche Verarbeitung handelt der Anbieter auf Weisung und bei welcher bestimmt er eigene Zwecke?“
Diese Sachverhaltsbeschreibung grenzt die Suche ein. Die Leitlinien zu Verantwortlichen und Auftragsverarbeitern sind für die Rollenprüfung relevant. Eine allgemeine Veröffentlichung über Datenschutzverletzungen würde die Frage nicht beantworten, selbst wenn sie denselben Anbieter oder dieselbe Technologie erwähnt.
Vor der Auswertung sammelt das Team Leistungsbeschreibung, tatsächliche Einstellungen, Datenfelder und Vertragsbedingungen. Widersprechen sich Vertragsüberschrift und realer Betrieb, wird dieser Widerspruch als offene Frage notiert. Ein Dokument mit der Überschrift „Auftragsverarbeitungsvertrag“ legt die tatsächliche Rolle nicht allein fest; die Definitionen in Artikel 4 und die Voraussetzungen des Artikels 28 sind am Sachverhalt zu prüfen.
Aus Kriterien eine ausgefüllte Arbeitsentscheidung machen
Das Team erstellt im Beispiel folgenden Vermerk. Er ist eine interne Anwendung auf einen fiktiven Fall und keine Feststellung über einen realen Anbieter.
| Prüfpunkt | Feststellung | Erforderliche Folge |
|---|---|---|
| Auftrag des Beratungsunternehmens | Fragen und Zweck der Kundenbefragung werden vom Unternehmen bestimmt | Umfang der weisungsgebundenen Leistung konkret beschreiben |
| Eigene Produktanalyse des Anbieters | Bedingungen nennen einen zusätzlichen eigenen Zweck | Datenfluss und Rollen hierfür gesondert klären |
| Standardeinstellungen | Zusatzanalyse ist zunächst aktiviert | Abschaltbarkeit und tatsächliche Wirkung prüfen |
| Unklare Rückgabe | Export enthält weitere technische Kennungen | Erforderlichkeit, Zugriff und Löschung dieser Felder bewerten |
| Freigabe | Tatsächliche Rollen und Datenverwendung noch nicht vollständig geklärt | Produktive Erhebung bis zur Klärung dieser Punkte nicht freigeben |
Die Schlussfolgerung lautet nicht, dass jede Umfrageplattform zwangsläufig mehrere Rollen hat. Sie lautet, dass die konkrete Zusatzverarbeitung im Beispiel nicht unter einem pauschalen Weisungslabel verborgen werden darf. Werden die Bedingungen oder Funktionen geändert, wird der Befund neu bewertet.
Die fachliche Gestaltung der Erhebung wird anschließend im Umfrage- und Fragebogenverfahren festgehalten. Die Fragen nach Rechtsgrundlage, Information und Speicherfristen verschwinden durch die Rollenklärung nicht. Ebenso liefert ein Verweis auf den EDSA noch keinen ausgefüllten Eintrag im Verzeichnis der Verarbeitungstätigkeiten.
Beispiele und rechtliche Aussagen nicht gleich behandeln
Leitlinien enthalten häufig Beispiele, die einen bestimmten Unterschied verdeutlichen. Übertragbar ist zunächst das zugrunde liegende Kriterium. Wenn ein Beispiel eine einfache dienstliche Kontaktdatenverarbeitung beschreibt, beantwortet es nicht ohne Weiteres die Lage einer umfangreichen Gesundheitsanalyse mit zusätzlichen Empfängern.
Das Team notiert deshalb auch die Unterschiede: andere Datenkategorien, andere Personengruppe, andere Entscheidungsfolgen oder weitere Verknüpfungen. Eine tragfähige Begründung erklärt, weshalb diese Unterschiede das Ergebnis verändern oder im konkreten Punkt nicht verändern. Ohne diesen Schritt wird aus einem Anschauungsfall leicht eine vermeintliche pauschale Erlaubnis.
Für das berechtigte Interesse gilt dasselbe. Ein allgemein anerkennungsfähiger Zweck entscheidet nicht allein über Erforderlichkeit und Abwägung. Die Arbeitsakte braucht die tatsächlichen Alternativen und Auswirkungen. Ein kopiertes Beispiel kann die eigene Interessenabwägung strukturieren, aber nicht an ihrer Stelle stehen.
Rechtsprechung und spätere Änderungen mit einbeziehen
Die rechtliche Prüfung endet nicht mit dem Erscheinungsdatum einer Leitlinie. Gerichtsurteile, Gesetzesänderungen und überarbeitete Fassungen können Aussagen präzisieren oder eine neue Bewertung notwendig machen. Besonders bei noch konsultierten Texten ist der Status ausdrücklich zu verfolgen.
Ein konkretes Beispiel bietet die Pseudonymisierung: Das Urteil C-413/23 P befasst sich mit der Identifizierbarkeit in unterschiedlichen Empfängerkontexten unter der Verordnung 2018/1725. Wer hierzu eine frühere Aussage nutzt, muss deren Reichweite mit der späteren gerichtlichen Klärung zusammenlesen. Der Umstand, dass ein Text auf einer offiziellen Website steht, macht jede ältere Zusammenfassung nicht automatisch vollständig aktuell.
Im Quellenvermerk steht deshalb, welche späteren Entscheidungen geprüft wurden und ob sie die interne Schlussfolgerung berühren. Eine neue Veröffentlichung wird nicht ungeprüft als sofortige Gesetzesänderung dargestellt. Umgekehrt kann ein bestehender Verfahrensbeschluss nicht allein deshalb unverändert bleiben, weil das Unternehmen seine Vorlage seit Jahren verwendet.
Die laufende Beobachtung nach Relevanz organisieren
Ein Unternehmen muss nicht jede Veröffentlichung in jede Richtlinie einarbeiten. Sinnvoll ist eine Zuordnung von Themen zu tatsächlichen Verarbeitungen und Verantwortlichen. Die Datenschutzfunktion beobachtet relevante Änderungen; die zuständige Fachseite beurteilt mit ihr die Auswirkungen auf Prozesse und Kontrollen.
Im Beispiel führt die Projektakte drei aktive Quellenbezüge: Rollenklärung für die Plattform, Rechtsgrundlage der Befragung und technische Behandlung von Kennungen. Eine Änderung am Exportverfahren löst eine Prüfung der Kennungen und Rechteprozesse aus. Eine neue Rollenleitlinie würde dagegen zunächst die Vertragseinstufung betreffen. Auf diese Weise entsteht eine gezielte Prüfung statt einer unüberschaubaren Sammlung von Links.
Bei einem Datenschutzaudit kann die Organisation anschließend zeigen, welcher Volltext gelesen wurde, welche Tatsachen entscheidend waren und welche Änderung daraus folgte. Für das Umfrageprojekt sind dies die deaktivierte Zusatzanalyse, die geklärte Rollenverteilung und die überprüfte Exportbegrenzung. Genau diese nachvollziehbare Verbindung zwischen Quelle und betrieblicher Entscheidung macht europäische Leitlinien im Alltag nutzbar.