Grenzüberschreitender Datenschutz neu gedacht: Die geplante DSGVO-Verfahrensverordnung im Überblick

Juli 3, 2025

Kategorien:

Datenschutz in Europa

Am 27. Juni 2025 hat der Rat der Europäischen Union den Entwurf einer Verordnung zur Festlegung zusätzlicher Verfahrensvorschriften für die Durchsetzung der DSGVO in grenzüberschreitenden Fällen angenommen. Ziel ist es, grenzüberschreitende Datenschutzverfahren gemäß Art. 60 ff. DSGVO zu harmonisieren und effizienter zu gestalten. Der Vorschlag reagiert auf bekannte strukturelle Defizite in der Zusammenarbeit zwischen den Aufsichtsbehörden und soll eine transparentere, zügigere und einheitlichere Bearbeitung solcher Fälle ermöglichen. Im Folgenden geben wir einen Überblick über die wichtigsten Punkte.

Hintergrund und Zielsetzung

Die DSGVO wurde mit dem Ziel eingeführt, ein einheitliches Datenschutzrecht in der EU zu schaffen. Dabei setzt sie auf ein dezentrales Durchsetzungsmodell: Die nationalen Datenschutzbehörden der Mitgliedstaaten sind weiterhin für die Überwachung und Durchsetzung zuständig. Bei grenzüberschreitenden Sachverhalten, etwa wenn ein Unternehmen mit Sitz in einem EU-Land personenbezogene Daten von Personen in mehreren anderen Ländern verarbeitet, müssen mehrere Datenschutzbehörden zusammenarbeiten. Dabei übernimmt eine sogenannte federführende Behörde die Koordination des Verfahrens, unterstützt durch den Europäischen Datenschutzausschuss (EDSA).

In der Praxis hat dieses Modell jedoch zu Problemen geführt. Unterschiedliche Verfahrensregeln, uneinheitliche Interpretationen und lange Bearbeitungszeiten haben den Schutz betroffener Personen geschwächt und bei Beschwerdeführern und Unternehmen zu Frustration geführt. Gerade komplexe Verfahren, wie sie bei großen internationalen Tech-Unternehmen anfallen, konnten nur schleppend abgeschlossen werden.

Die neue DSGVO-Verfahrensverordnung will hier Abhilfe schaffen. Sie zielt darauf ab, die Zusammenarbeit zwischen den Datenschutzbeauftragten (DSBs) zu vereinfachen, Verfahrensregeln zu harmonisieren und Betroffenen sowie Verantwortlichen mehr Rechtssicherheit zu bieten. Dazu werden klare Fristen, standardisierte Abläufe und transparente Rechte für alle Verfahrensbeteiligten eingeführt. Gleichzeitig sollen strukturierte Streitbeilegungsverfahren beim EDSA eine schnellere und konsistentere Entscheidungsfindung ermöglichen. Die Verordnung reagiert damit auf langjährige Kritik aus Praxis und Wissenschaft und setzt wichtige Impulse für eine effektivere Durchsetzung des europäischen Datenschutzrechts.

Systematik der DSGVO-Verfahrensverordnung

Die DSGVO-Verordnung ist in sieben Kapitel untergliedert und umfasst mehr als 30 Einzelbestimmungen. Die Systematik der Verordnung umfasst im Wesentlichen vier Kernelemente:

Beschwerdeverfahren
Im Zentrum stehen einheitliche Anforderungen an Beschwerden, wie etwa die Nutzung eines standardisierten Formulars. Dieses Formular soll EU-weit Anwendung finden und dabei helfen, Verfahrensverzögerungen durch formale Fehler zu vermeiden. Zudem wird die bislang in vielen Mitgliedstaaten bestehende Voraussetzung aufgehoben, dass sich betroffene Personen zunächst direkt an das betroffene Unternehmen wenden müssen, bevor sie eine Beschwerde einreichen dürfen. Das „Early Resolution“-Verfahren ermöglicht es, Beschwerdefälle bereits frühzeitig und informell zu lösen. Etwa wenn der Verantwortliche die rechtswidrige Datenverarbeitung einstellt oder die Daten löscht.
Kooperationsmechanismus
Die Verordnung unterscheidet zwischen komplexen und einfachen grenzüberschreitenden Fällen. Für unkomplizierte Sachverhalte sieht sie ein beschleunigtes Verfahren vor. Zentrales Instrument ist die Einführung einer Zusammenfassung der Schlüsselfragen („Summary of Key Issues“), die die federführende Aufsichtsbehörde verpflichtend mit den anderen betroffenen Datenschutzbehörden teilen muss. Darüber hinaus setzt die Verordnung verbindliche Fristen: Innerhalb von sechs Wochen muss geklärt werden, ob eine Beschwerde zulässig ist. Spätestens 15 Monate nach Eingang muss der Entwurf einer Entscheidung vorgelegt werden.
Rechte der Parteien
Sowohl Beschwerdeführer als auch betroffene Unternehmen erhalten klar geregelte Verfahrensrechte. Dazu zählt insbesondere das Recht auf rechtliches Gehör, also die Möglichkeit zur Stellungnahme zu allen wesentlichen Verfahrensschritten. Auch ein Anspruch auf Akteneinsicht wird eingeräumt, wobei sensible Informationen und Betriebsgeheimnisse geschützt werden.
Streitbeilegung vor dem EDSA
Wenn trotz der strukturierten Abstimmung keine Einigung zwischen den beteiligten Datenschutzbehörden erzielt wird, kann der Fall dem EDSA zur Streitbeilegung vorgelegt werden. Die Verordnung konkretisiert, was unter einem „relevanten und begründeten Einwand” zu verstehen ist. Gleichzeitig erhalten Beschwerdeführer das Recht, am Streitbeilegungsverfahren beteiligt zu werden. Zudem wurde ein Eilverfahren eingeführt, mit dem kurzfristig eine verbindliche Entscheidung des EDSA herbeigeführt werden kann, wenn andernfalls gravierende Nachteile für betroffene Personen drohen.

Rechtspolitische Bewertung der DSGVO-Verfahrenverordnung

Die DSGVO-Verfahrensverordnung ist nicht nur ein technisches Regelwerk zur Beschleunigung von Datenschutzverfahren, sondern hat auch erhebliche rechtspolitische Tragweite. Sie berührt zentrale Grundfragen des Ausgleichs zwischen der Effektivität der Rechtsdurchsetzung, dem Rechtsschutz für betroffene Personen und der Planungssicherheit für Unternehmen, die Daten verarbeiten.

Stärkung der Betroffenenrechte

Durch klarere Beteiligungsrechte, transparente Entscheidungsverfahren und definierte Fristen wird die Position betroffener Personen deutlich gestärkt. Insbesondere die Möglichkeit, sich vor der Ablehnung einer Beschwerde zu äußern, und der strukturierte Zugang zu den Verfahrensunterlagen schaffen ein höheres Maß an prozeduraler Fairness. Auch das Recht auf gerichtliche Überprüfung bei Untätigkeit der Aufsichtsbehörden nach Art. 78 DSGVO wird durch die neuen Fristen greifbarer und kann effektiver genutzt werden.

Verfahrenssicherheit für Unternehmen

Für Unternehmen, die Daten in mehreren EU-Mitgliedstaaten verarbeiten, schafft die Verordnung ein vorhersehbareres regulatorisches Umfeld. Durch die Einführung eines einheitlichen Beschwerdeverfahrens, konsistenter Verfahrensschritte und verbindlicher Fristen werden langwierige und unklare Verfahren reduziert. Auch die Rechte auf Akteneinsicht und Stellungnahme geben Unternehmen ein effektives Mittel zur Verteidigung an die Hand. Zudem wird durch die Möglichkeit zur vertraulichen Behandlung sensibler Informationen auch wirtschaftlichen Interessen Rechnung getragen.

Entlastung des EDSA

Die neue Verfahrensstruktur fördert eine frühzeitige Klärung zwischen den betroffenen Datenschutzbehörden und verringert damit die Notwendigkeit eines förmlichen Streitbeilegungsverfahrens. Der Europäische Datenschutzausschuss (EDSA) kann sich somit künftig verstärkt auf grundsätzliche und komplexe Fragen konzentrieren. Die Effizienz und Kohärenz der Datenschutzdurchsetzung auf europäischer Ebene dürfte dadurch insgesamt steigen.

Herausforderungen und offene Fragen

In der praktischen Umsetzung bestehen einige offene Punkte und Herausforderungen, die sowohl technischer als auch rechtlicher Natur sind.

Ein zentrales Thema ist die technische Umsetzung der neuen Kooperationsstruktur. Die Verordnung sieht den Aufbau einer europaweiten elektronischen Plattform vor, über die Aufsichtsbehörden Informationen effizient austauschen und Verfahrensstände dokumentieren sollen. Dieses digitale System muss jedoch erst noch konzipiert, entwickelt und finanziert werden. Dabei sind die Interoperabilität mit bestehenden nationalen Systemen sowie Fragen der IT-Sicherheit und Datenintegrität kritisch zu klären.

Ein weiterer Problembereich sind die unterschiedlichen nationalen Verwaltungs- und Verfahrensrechte, die weiterhin bestehen bleiben. Zwar harmonisiert die Verordnung viele Aspekte der grenzüberschreitenden Verfahren, jedoch nicht das gesamte Verwaltungsprozessrecht. So können beispielsweise Fristen unterschiedlich berechnet oder Beteiligungsrechte unterschiedlich gewährt werden, was die Einheitlichkeit des Vollzugs gefährden könnte.

Hinzu kommt die lange Übergangsfrist: Die Verordnung wird erst 15 Monate nach ihrer Veröffentlichung anwendbar. Das bedeutet, dass laufende Verfahren nach altem Recht abgeschlossen werden müssen und die neuen Standards zunächst keine Wirkung entfalten. Dies könnte für eine Übergangszeit zu Unsicherheit oder uneinheitlicher Praxis führen.

Von besonderer Relevanz sind diese Herausforderungen für große, grenzüberschreitend tätige Konzerne mit Hauptsitz in bestimmten Mitgliedstaaten wie Irland oder Luxemburg. Diese Länder fungieren häufig als federführende Aufsichtsbehörden in prominenten Fällen gegen große Technologieunternehmen. Die neue Verordnung zielt explizit darauf ab, sogenanntes „Forum-Shopping” zu verhindern. Also die strategische Wahl eines Mitgliedstaats mit einer als besonders wirtschaftsfreundlich wahrgenommenen Aufsichtsbehörde. Ob diese Zielsetzung tatsächlich erreicht wird, hängt maßgeblich von der konsequenten und einheitlichen Anwendung der Verordnung durch alle Mitgliedstaaten ab.

Lese-Tipp: Einheitliche Standards für Datenschutz-Bußgeldverfahren – die neuen DSK-Musterrichtlinien (MRiDaVG)

Fazit

Die neue Verfahrensverordnung ist ein bedeutender Fortschritt für die praktische Umsetzung des europäischen Datenschutzrechts. Sie behebt zentrale Schwächen der bisherigen grenzüberschreitenden Durchsetzungspraxis, indem sie einheitliche Verfahren, klare Fristen und transparente Beteiligungsrechte schafft. Davon profitieren nicht nur betroffene Personen, deren Rechte nun besser durchgesetzt werden können, sondern auch Unternehmen, die sich auf ein berechenbares und geregeltes Verwaltungsverfahren verlassen können.

Zudem wird die Rolle der Aufsichtsbehörden gestärkt und der Europäische Datenschutzausschuss entlastet, da eine frühzeitige Koordinierung und eine strukturierte Streitbeilegung nun verbindlich geregelt sind. Die Verordnung ist somit ein wesentlicher Baustein auf dem Weg zu einer effektiveren und kohärenteren Datenschutzdurchsetzung in der Europäischen Union. Für ihren Erfolg entscheidend wird jedoch sein, wie konsequent sie in der Praxis angewandt wird und ob die geplanten technischen und organisatorischen Maßnahmen rechtzeitig umgesetzt werden können. Nur so lässt sich das Ziel eines einheitlichen, bürgernahen und wirtschaftlich tragfähigen Datenschutzrahmens nachhaltig verwirklichen.

Der Vorschlag wurde am 30. Juni 2025 an das Europäische Parlament geschickt, das ihn nun prüfen wird.

Quelle: Verfahrensverordnung zur DSGVO (Entwurf, veröffentlicht am 30.06.2025)

Tags: