ZVEI e.V. - Verband der Elektro- und Digitalindustrie

ZVEI e.V. Verband der Elektro- und Digitalindustrie Stellungnahme Bericht 2024 der EU-Kommission zur DSGVO Evaluation der EU-Kommission zur Vorlage eines Berichts über die Bewertung und Überprüfung der Datenschutzgrund- verordnung (DSGVO) gemäß Art. 97 DSGVO Ref. Ares(2024)970749 - 08/02/2024 ZVEI-Stellungnahme von Februar 2024 Seite 2 von 6 I. Vorbemerkung Seit dem 25. Mai 2018 findet die Datenschutzgrundverordnung (DSGVO) direkte Anwendung in der gesamten Europäischen Union (EU). In erster Linie sollte hiermit der grundrechtlich ga- rantierte Schutz personenbezogener Daten sowie das Recht des Einzelnen auf informationelle Selbstbestimmung gestärkt werden.

Schutz personenbezogener Daten sowie das Recht des Einzelnen auf informationelle Selbstbestimmung gestärkt werden. Darüber hinaus wurde sie auch gerade deswegen forciert und erarbeitet, um in der EU einheitliche datenschutzrechtliche Regelungen zu etablieren, un- gleiche Wettbewerbsbedingungen abzuschaffen und im Ergebnis ein datenschutzrechtliches Level-Playing-Field für die EU-Marktteilnehmer zu generieren. Dies sind Prinzipien und Ziele, die die deutsche Elektro- und Digitalindustrie teilt und unterstützt. Jedoch wird die DSGVO in der praktischen Anwendung diesen Zielen leider nicht in vollem Umfang gerecht. Neben den bereits im Verordnungstext selbst angelegten Rechtsunsicherheiten für Unterneh- men liegt dies auch maßgeblich an der inkonsistenten Anwendung und Durchsetzung der DSGVO durch die Datenschutzaufsichtsbehörden der EU-Mitgliedstaaten.

…der inkonsistenten Anwendung und Durchsetzung der DSGVO durch die Datenschutzaufsichtsbehörden der EU-Mitgliedstaaten. Darüber hinaus sind Daten die Grundlage für eine Vielzahl von zukunftsträchtigen Geschäfts- modellen, die für die wirtschaftliche Prosperität der EU und all ihrer Mitgliedstaaten unabding- bar sind. Um im internationalen Wettbewerb nicht abgehängt zu werden und im Zeitalter der Digitalisierung weiterhin auf Gebieten wie Industrieautomation, Mobilität, Smart Living, Medi- zintechnik etc. weltweite Spitze zu bleiben, benötigen die europäischen Entwicklerinnen und Entwickler qualitativ hochwertige Datensätze. Gleichzeitig werden den Unternehmen durch die DSGVO in der Praxis massive bürokratischen Aufwände auferlegt, deren Sinnhaftigkeit in vie- len Fällen fraglich ist.

…in der Praxis massive bürokratischen Aufwände auferlegt, deren Sinnhaftigkeit in vie- len Fällen fraglich ist. Um den durch die aktuelle Fassung der DSGVO sowie deren Anwendung – insbesondere für kleine und mittlere Unternehmen (KMU) – hervorgerufenen Rechtsunsicherheiten und Innova- tionshemmnissen wirksam entgegenzutreten, bedürfte es einer umfassenden Gesetzesre- form. Vor diesem Hintergrund bringen wir mit dem vorliegenden Papier die Anforderungen der deut- schen Elektro- und Digitalindustrie in den Evaluationsprozess ein, in dem wir auf die Praxis- probleme hinweisen, welche durch die aktuelle Fassung der DSGVO und ihre derzeitige Aus- legung (insbesondere durch die Aufsichtsbehörden) hervorgerufen werden.

Fassung der DSGVO und ihre derzeitige Aus- legung (insbesondere durch die Aufsichtsbehörden) hervorgerufen werden. Dabei sind unsere Hauptforderungen: • Das Verbotsprinzip der DSGVO sollte grundsätzlich überdacht werden • Klarstellung zur Anonymisierung und Pseudonymisierung personenbezoge- ner Daten • Mehr Rechtsicherheit im internationalen Datentransfer • Kohärentere Anwendung der DSGVO durch die Aufsichtsbehörden • Abbau bürokratischer Hürden • Klare Unterscheidung zwischen B2C und B2B Aufgrund der sehr knapp bemessenen Rückmeldungsfrist gehen wir nachfolgend jeweils kurz auf unsere Hauptforderungen ein und zeigen durch die DSGVO und deren Auslegung hervor- gerufene Praxisprobleme auf, mit denen sich unsere Mitglieder konfrontiert sehen. ZVEI-Stellungnahme von Februar 2024 Seite 3 von 6 II. Anforderungen der deutschen Elektro- und Digitalindustrie 1.

ZVEI-Stellungnahme von Februar 2024 Seite 3 von 6 II. Anforderungen der deutschen Elektro- und Digitalindustrie 1. Verbotsprinzip überdenken Wie bereits oben dargelegt, stufen unsere Mitglieder den Datenschutz und das Grundrecht auf informationelle Selbstbestimmung als hohe und besonders schützenwerte Güter ein. Insofern unterschreiben wir auch die vorgetragenen Ziele der DSGVO, z.B. auch die Angleichung der Wettbewerbsbedingungen und die Schaffung eines datenschutzrechtlichen Level-Playing Fields. Leider werden die tatsächlichen Regelungen der DSGVO und deren Auslegung diesen Zielen nicht in vollem Umfang gerecht und stellen Unternehmen – insbesondere KMU – vor große Anwendungshindernisse. Hierdurch kommt es zunehmend zu massiven Innovationshemmnis- sen. Dies ist nicht zuletzt auch der technologischen Entwicklung geschuldet.

…zunehmend zu massiven Innovationshemmnis- sen. Dies ist nicht zuletzt auch der technologischen Entwicklung geschuldet. Gerade in den Bereichen der Plattformwirtschaft oder der künstlichen Intelligenz (KI) wurden in den letzten Jahren extreme Fortschritte gemacht. Um wettbewerbsfähig zu bleiben und an diesen Ent- wicklungen partizipieren zu können, dürfen europäische Unternehmen nicht vor unnötig hohe Hürden gestellt werden. Dabei plädieren wir dafür, dass der europäische Datenschutz „ermög- lichend“ wird; derzeit ist er an vielen Stellen eher „verhindernd“. Daran anknüpfend ergeben sich für die Unternehmen eine Fülle an bürokratischen Aufwänden wie Informations-, Dokumentations- und Rechenschaftspflichten (siehe näher unter 5.).

Fülle an bürokratischen Aufwänden wie Informations-, Dokumentations- und Rechenschaftspflichten (siehe näher unter 5.). Dies beschränkt in erster Linie KMU in ihrer wirtschaftlichen Betätigung, da selbst Verarbeitungs- prozesse, die mit sehr geringen Risiken verbunden sind – wie beispielsweise das Speichern von Daten zu Archivierungszwecken – diesen Verpflichtungskanon auslösen. Unsere mittel- ständischen Mitglieder berichten uns weiter, dass durch die bestehenden Rechtsunsicherhei- ten die meisten Erlaubnistatbestände – insbesondere das „berechtigte Interesse“ – nur schwer nutzbar sind. Im Zweifel wird als „sichere Variante“ die Einwilligung gewählt, was wiederrum einen erhöhten Bürokratieaufwand mit sich bringt. Vor diesem Hintergrund regen wir an, das grundsätzliche Verbotsprinzip der DSGVO zu über- denken und perspektivisch zu überwinden.

Hintergrund regen wir an, das grundsätzliche Verbotsprinzip der DSGVO zu über- denken und perspektivisch zu überwinden. Das in der DSGVO verankerte Verbotsprinzip stammt ursprünglich aus dem Bundesdatenschutzgesetz (BDSG) in seiner Erstfassung von 1977. Es passt in seiner jetzigen Form nicht mehr zu einer modernen datengetriebenen Wirt- schaft. Dies gilt insbesondere auch im Zusammenhang mit bestehenden und zukünftigen EU- Rechtsakten – wie dem Data Act – die die Datenverarbeitung und den Datenaustausch be- schleunigen sollen. Der ZVEI plädiert daher für einen „ermöglichenden“ Datenschutz. 2. Klarstellung zur Anonymisierung und Pseudonymisierung perso- nenbezogener Daten Die Anonymisierung personenbezogener Daten stellt ein wichtiges Instrument für Unterneh- men dar, um (große Mengen an) Daten verarbeiten zu können, ohne in den Anwendungsbe- reich der DSGVO zu fallen.

…dar, um (große Mengen an) Daten verarbeiten zu können, ohne in den Anwendungsbe- reich der DSGVO zu fallen. Eine ordnungsgemäße Anonymisierung ist für einen starken Da- tenschutz somit elementar. Nicht nur in den Bereichen Statistik und Forschung spielen anony- misierte Daten eine große Rolle. Gerade im Zusammenhang mit neuen Technologien wird eine rechtsichere Anonymisierung noch an Bedeutung gewinnen, z.B. bei der Anlernung von KI-Systemen. In der DSGVO selbst wird die Anonymisierung ausschließlich in Erwägungsgrund 26 genannt und es wird nur festgestellt, dass die Verordnung keine Anwendung auf die Verarbeitung ano- nymer Daten findet. ZVEI-Stellungnahme von Februar 2024 Seite 4 von 6 Wie eine rechtssichere Anonymisierung ausgestaltet sein muss, wird indes daraus nicht er- sichtlich, was Unternehmen – insbesondere KMU – stark in ihrer Betätigung einschränkt.

…wird indes daraus nicht er- sichtlich, was Unternehmen – insbesondere KMU – stark in ihrer Betätigung einschränkt. Zwar gibt es durch Interessenverbände und Behörden erarbeitete Leitlinien, die als Richt- schnur hilfreich sein können. Diese fallen aber je nach Urheber (z.B. Industrieverband vs. Da- tenschutzaufsichtsbehörde) äußerst unterschiedlich aus. Hier wären Klarstellungen im Artikeltext der DSGVO – ebenfalls im Sinne eines „ermöglichen- den“ Datenschutzes – äußerst wünschenswert. „Ermöglichender“ Datenschutz würde bei- spielsweise bedeuten, dass klargestellt wird, dass der Anonymisierung ein relatives Verständ- nis zugrunde liegt, also dass eine Anonymisierung auch dann vorliegt, wenn eine Re-Identifi- zierbarkeit der betroffenen Person nicht gänzlich ausgeschlossen ist aber aufgrund eines un- verhältnismäßig hohen Aufwands ausscheidet.

Person nicht gänzlich ausgeschlossen ist aber aufgrund eines un- verhältnismäßig hohen Aufwands ausscheidet. Darüber hinaus sollte klargestellt werden, dass es sich bei dem Anonymisierungsprozess selbst nicht um eine Verarbeitung im Sinne der DSGVO handelt oder die Anonymisierung zu- mindest einen eigenständigen Erlaubnistatbestand darstellt, der in Artikel 6 Absatz 1 DSGVO aufgenommen wird. Ferner sollte auch die Verarbeitung pseudonymisierter personenbezogener Daten weiter pri- vilegiert werden. Durch die explizite Nennung in den Erwägungsgründen 28 und 29 der DSGVO wird deutlich, dass die Pseudonymisierung im Rahmen der technischen und organi- satorischen Maßnahmen (TOM) ein besonders wichtiges datenschutzrechtliches Instrument darstellt. Dieser herausragenden Stellung sollte über die einfache Nennung in Artikel 32 Ab- satz 1 lit. a) DSGVO hinaus Rechnung getragen werden.

25 → 12

originalus šaltinis (PDF) ↗