ctrl + law | Ausgabe 22

25.08.2026

ctrl + law – Vom Algorithmus bis zur Lieferkette | Gernot Fritz

Die zweiundzwanzigste Ausgabe von ctrl + law zeigt, wie sehr sich Digital- und Technologierecht von einzelnen Compliance-Pflichten zu einer Frage der Systemgestaltung entwickelt. Im Mittelpunkt stehen automatisierte Entscheidungen, Datenzugang, Cloud- und KI-Infrastruktur, Kreislaufwirtschaft und die Unabhängigkeit von Datenschutzbeauftragten. Gemeinsam ist allen Themen: Rechtliche Anforderungen greifen immer tiefer in technische, organisatorische und wirtschaftliche Strukturen ein.

Besonders deutlich wird das bei der Rekordgeldbuße der niederländischen Datenschutzbehörde gegen Uber. Rund EUR 825 Mio soll das Unternehmen zahlen, weil Fahrer-Accounts nach Ansicht der Behörde vollständig automatisiert gesperrt wurden. Die Entscheidung zeigt, wie praktisch Art 22 DSGVO inzwischen geworden ist. Entscheidend ist nicht, ob „KI“ eingesetzt wird, sondern ob ein Mensch tatsächlich Einfluss auf eine Entscheidung mit erheblichen Folgen nehmen kann.

Auch beim DMA wird Regulierung zunehmend operativ. Die Kommission hat konkretisiert, wie Alphabet konkurrierenden Suchmaschinen und KI-Chatbots Zugang zu Ranking-, Anfrage-, Klick- und Ansichtsdaten gewähren muss. Datenzugang soll Wettbewerb ermöglichen, zugleich aber durch Anonymisierung, Zweckbindungen und weitere Schutzmaßnahmen begrenzt werden.

Noch eine Ebene tiefer setzt die „Cloud & AI Study“ der Kommission an. Sie macht deutlich, dass Europas KI-Strategie nicht nur von Regeln für Modelle und Anwendungen abhängt, sondern ebenso von Rechenzentren, Stromnetzen, Genehmigungen und Cloud-Strukturen. Wenn der Bedarf an Rechenkapazität schneller wächst als das Angebot, wird Infrastruktur selbst zum regulatorischen und strategischen Thema.

Dass Regulierung zunehmend den gesamten Produktlebenszyklus erfasst, zeigt die neue Verordnung über kreislauforientierte Fahrzeugkonstruktion und Altfahrzeuge. Design, Rezyklatquoten, Lieferkettendaten, Ersatzteilinformationen und Herstellerverantwortung werden miteinander verknüpft. Für Hersteller, Importeure und Händler wird Circularity damit zu einer Compliance-Aufgabe entlang der Wertschöpfungskette.

Schließlich erinnert die neue Praxishilfe der französischen CNIL daran, dass auch Governance-Strukturen rechtlich belastbar sein müssen. Bei Doppelrollen von Datenschutzbeauftragten zählt nicht die Stellenbezeichnung, sondern wer tatsächlich über Zwecke und Mittel von Verarbeitungen entscheidet. Interessenkonflikte entstehen nicht erst im Organigramm, sondern in konkreten Entscheidungsbefugnissen.

Die gemeinsame Klammer dieser Ausgabe lautet daher: Regulierung richtet sich immer weniger nur an einzelne Rechtsakte oder Dokumentationspflichten. Sie adressiert Systeme – technische Systeme, Entscheidungsprozesse, Datenzugänge, Lieferketten und Governance-Strukturen. Für Unternehmen wird es damit entscheidend, rechtliche Anforderungen frühzeitig in Prozesse, Architektur und Verantwortlichkeiten zu übersetzen.

Und weil digitale Realität keine ctrl + law Pausen kennt, haben wir am E+H News Portal laufend nachgeschärft:

Wir wünschen eine anregende Lektüre.

825 Millionen Euro gegen Uber: wenn der Algorithmus den Zugang sperrt | Tanja Pfleger

Die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens – AP) hat am 21. August 2026 gegen Uber eine Geldbuße von rund EUR 825 Millionen verhängt. Der Vorwurf war, dass Uber die Entscheidungen über die Sperre von Fahrer-Accounts vollständig automatisiert getroffen habe – ohne ausreichende menschliche Beteiligung.

Ausgangspunkt waren Beschwerden von mehr als 170 französischen Uber-Fahrern. Nach den Feststellungen der Behörde konnten Accounts bei Betrugsverdacht vorübergehend sowie aufgrund niedriger Kundenbewertungen vorübergehend oder dauerhaft deaktiviert werden. Die Entscheidung darüber erfolgte nach Ansicht der Behörde vollständig automatisiert. Für die betroffenen Fahrer waren die Folgen erheblich: Mit gesperrtem Account konnten sie keine Fahrten mehr über Uber anbieten und damit auch keine Einnahmen erzielen.

Art 22 DSGVO schützt Personen grundsätzlich davor, einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Vollautomatisierte Entscheidungen sind allerdings nicht ausnahmslos verboten: Die DSGVO lässt sie insbesondere zu, wenn sie für den Abschluss oder die Erfüllung eines Vertrags erforderlich, gesetzlich zugelassen oder aufgrund einer ausdrücklichen Einwilligung zulässig sind. Je nach Fall müssen dann aber besondere Schutzmaßnahmen für die betroffene Person vorgesehen werden.

Der Uber-Fall zeigt dabei vor allem, dass ein Mensch tatsächlich Einfluss auf das Ergebnis nehmen können muss. Entscheidungen dürfen nicht ausschließlich automatisiert erfolgen. Eine bloß formale Freigabe eines automatisch erzeugten Ergebnisses reicht dafür nicht. Auch eine nachgelagerte Beschwerdemöglichkeit ändert für sich genommen nichts daran, dass die ursprüngliche Entscheidung automatisiert getroffen wurde.

Für Unternehmen ist die Entscheidung deshalb weit über Plattformverarbeitungen hinaus relevant. Automatisierte Fraud-Detection, Sperren von Kundenkonten, Bonitätsprüfungen, HR-Tools, Versicherungsentscheidungen oder automatisierte Zugangs- und Vertragsentscheidungen werfen vergleichbare Fragen auf. Entscheidend ist nicht, ob dabei ein modernes KI-System oder ein klassischer Algorithmus eingesetzt wird, sondern, wer am Ende tatsächlich entscheidet und welche Auswirkungen diese Entscheidung für die betroffene Person hat.

Darüber hinaus wurden die Fahrer nach Ansicht der niederländischen Behörde auch nicht ausreichend über die automatisierte Entscheidungsfindung informiert. Unternehmen sollten daher nicht nur ihre Entscheidungsprozesse selbst prüfen, sondern auch Datenschutzhinweise und Auskunftsprozesse daraufhin kontrollieren, ob automatisierte Entscheidungen korrekt und verständlich abgebildet werden.

Uber hat angekündigt, gegen die Entscheidung vorzugehen, und verweist darauf, dass die beanstandeten Prozesse aus früheren Jahren stammten und mittlerweile menschliche Überprüfungen und Beschwerdemöglichkeiten vorgesehen seien. Die weitere rechtliche Entwicklung bleibt daher abzuwarten.

Key Take-Aways

Automatisierung hat Grenzen: Treffen Systeme Entscheidungen mit erheblichen Auswirkungen auf Personen vollständig automatisiert, ist Art 22 DSGVO frühzeitig mitzudenken.
Entscheidungsfindung: Eine menschliche Kontrolle muss tatsächlich Einfluss auf die Entscheidung haben können. Ein bloß formaler Zwischenschritt genügt nicht.
Prozesse und Informationen gemeinsam prüfen: Neben dem Entscheidungsprozess selbst müssen auch Datenschutzhinweise, Auskunftsprozesse und Möglichkeiten zur menschlichen Überprüfung passen.

Europäische Kommission: Durchführungsbeschluss zum Zugang zu Suchdaten | Fabian Duschnig

Die Europäische Kommission hat am 16. Juli 2026 einen Durchführungsbeschluss nach dem Gesetz über digitale Märkte (Digital Markets Act, DMA) erlassen, der festlegt, wie Alphabet (Google) seiner Verpflichtung nachkommen muss, Drittanbietern von Online-Suchmaschinen Zugang zu bestimmten Suchdaten zu gewähren. Eine Zusammenfassung des Beschlusses wurde am 14. August 2026 im Amtsblatt der Europäischen Union veröffentlicht.

Alphabet wurde bereits 2023 als sogenannter „Torwächter” nach dem DMA benannt, unter anderem für seine Suchmaschine Google Search. Artikel 6 Absatz 11 DMA verpflichtet Torwächter, Drittanbietern von Online-Suchmaschinen zu fairen, zumutbaren und diskriminierungsfreien Bedingungen (sogenannten FRAND-Bedingungen, d.h. „fair, reasonable and non-discriminatory”) Zugang zu anonymisierten Ranking-, Anfrage-, Klick- und Ansichtsdaten zu gewähren, die Nutzer bei der Suche generieren.

Im Jänner 2026 leitete die Kommission ein Präzisierungsverfahren ein. Nach einem sechsmonatigen Verfahren mit intensivem Austausch mit Alphabet und einer öffentlichen Konsultation mit über 140 Stellungnahmen liegt nun der finale Beschluss vor. Drittanbieter kritisierten unter anderem, dass Alphabet zu weitreichend anonymisiere, wichtige Datentypen fehlten, Daten nur verzögert bereitgestellt würden und die Preisgestaltung nicht FRAND-konform sei.

Der Beschluss präzisiert Maßnahmen in fünf Bereichen. Bei der Zulassung erhalten nur rechtmäßige, vertrauenswürdige Online-Suchmaschinen im Europäischen Wirtschaftsraum (einschließlich KI-Chatbots mit Suchfunktion) Zugang.

Beim Datenumfang muss Alphabet vier Arten von Daten bereitstellen: Anfragedaten (die von Nutzern eingegebenen Suchbegriffe und deren Änderungen), Ansichtsdaten (welche URLs und visuellen Elemente auf der Ergebnisseite angezeigt wurden), Rankingdaten (an welcher Position ein Ergebnis auf der Seite erschien) und Klickdaten (wie Nutzer mit den Ergebnissen interagiert haben, etwa was sie angeklickt haben und wie lange).

Da es sich bei den Suchdaten teilweise um personenbezogene Daten handelt, müssen sie anonymisiert werden, bevor sie an Dritte weitergegeben werden. Dazu muss Alphabet zwei Arten von Schutzmaßnahmen kombinieren: Zum einen werden die Daten technisch so verändert, dass einzelne Nutzer daraus nicht mehr identifiziert werden können (Namen und andere eindeutige Kennungen werden entfernt), sehr seltene oder ausgefallene Suchanfragen werden aus dem Datensatz genommen, Standortangaben werden nur noch grob statt exakt angegeben, und genaue Zeitangaben (etwa wie lange ein Nutzer auf einem Ergebnis verweilt hat) werden nur noch in Zeitspannen statt auf die Sekunde genau ausgewiesen. Zum anderen wird der Empfänger der Daten vertraglich verpflichtet, die Daten nur für die Verbesserung seiner eigenen Suchmaschine zu nutzen, sie in einem gesicherten, abgeschotteten System zu verarbeiten, sie nach spätestens 13 Monaten zu löschen, sie nicht an weitere Dritte weiterzugeben und keinen Versuch zu unternehmen, aus den Daten wieder einzelne Personen zu identifizieren.

Bei den Preiskonditionen darf Alphabet mangels vergleichbarer Marktpreise nur die ihnen entstehenden Mehrkosten zuzüglich einer angemessenen Kapitalrendite an die Empfänger verrechnen; außergewöhnliche Umstände können eine zusätzliche Marge rechtfertigen. Beim Verfahren muss Alphabet unter anderem kostenlose und synthetische Stichproben sowie eine 5-%-Stichprobe der Suchdaten zur Prüfung bereitstellen.

Der Beschluss betrifft in erster Linie Anbieter konkurrierender Suchmaschinen und KI-Chatbot-Betreiber mit Suchfunktion, die nun einen konkretisierten, überprüfbaren Rahmen für den Datenzugang zu Google Search erhalten.

Für Unternehmen, die selbst als Torwächter benannt sind oder werden könnten, liefert der Beschluss zudem ein Beispiel dafür, wie detailliert die Kommission Verpflichtungen aus Artikel 6 DMA im Streitfall ausgestalten kann, insbesondere im Zusammenspiel mit datenschutzrechtlichen Anforderungen der DSGVO.

Key Take-Aways

Die EU-Kommission hat am 16. Juli 2026 verbindlich festgelegt, wie Alphabet Drittanbietern von Suchmaschinen (einschließlich KI-Chatbots mit Suchfunktion) Zugang zu Such-, Ranking-, Klick- und Ansichtsdaten gewähren muss.
Der Zugang unterliegt strengen Zulassungs-, Anonymisierungs- und Datenschutzvorgaben; die Vergütung darf nur Alphabets Mehrkosten zuzüglich einer angemessenen Rendite abdecken.
Der Beschluss zeigt exemplarisch, wie konkret die Kommission DMA-Pflichten im Streitfall ausgestaltet, ein relevanter Präzedenzfall für aktuelle und künftige Torwächter sowie für Unternehmen, die auf solche Daten angewiesen sind.

Mehr als Algorithmen: Neue EU-Studie zu Cloud- und AI-Infrastruktur | Amina Kovacevic

Am 11. August 2026 veröffentlichte die Europäische Kommission ihre umfassende „Cloud & AI Study“ zur Entwicklung der europäischen Cloud- und KI-Infrastruktur. Die Studie soll eine eigentlich sehr praktische Frage beantworten: Verfügt Europa überhaupt über genügend Rechenkapazität, um seine KI-Ambitionen in den kommenden Jahren umzusetzen? Die Antwort fällt zumindest teilweise ernüchternd aus. Bereits heute bestehen Kapazitätsengpässe und ohne zusätzliche Investitionen könnte die Lücke in den kommenden Jahren erheblich wachsen.

Cloud- und Recheninfrastrukturen sind längst nicht mehr bloß technische Infrastruktur im Hintergrund. Sie bilden die Grundlage für das Training, Fine-Tuning und den Einsatz von KI-Modellen und werden damit zunehmend zu einem Wettbewerbsfaktor. Die von der Europäischen Kommission bereits 2024 beauftragte Studie untersucht daher nicht nur den aktuellen Bestand an Rechenkapazitäten, sondern modelliert Angebot und Nachfrage bis 2036. Grundlage sind unter anderem umfangreiche Marktdaten, Stakeholder-Interviews, Befragungen und quantitative Modellierungen.

Die Zahlen zeigen die Dimension des Problems: Für 2025 schätzt die Studie den Bedarf an Rechenzentrumskapazität in der EU auf rund 15,3 GW, während lediglich rund 12,4 GW verfügbar waren. Damit bestand bereits eine Lücke von rund 3 GW. Im Basisszenario könnte diese bis 2030 auf rund 14 GW und bis 2036 sogar auf rund 20 GW anwachsen. Besonders stark steigt dabei der Bedarf an speziell für KI optimierter Infrastruktur. Die Studie betont allerdings, dass diese Entwicklung nicht unvermeidbar ist, sondern maßgeblich davon abhängt, wie schnell zusätzliche Kapazitäten geschaffen werden.

Genau das ist derzeit jedoch alles andere als einfach. Der Bau neuer Rechenzentren wird unter anderem durch langwierige und zwischen den Mitgliedstaaten unterschiedliche Genehmigungsverfahren gebremst, die teilweise bis zu 48 Monate dauern können. Hinzu kommen begrenzte Netzkapazitäten, der Zugang zu erneuerbarer Energie sowie Flächen- und Wasserbedarf. Auch finanziell ist der Ausbau erheblich: Die Studie geht von durchschnittlichen Baukosten von rund EUR 12,7 Mio. pro MW aus. Um die prognostizierten Kapazitätslücken zu schließen, wären daher Investitionen in Höhe von mehreren zehn Milliarden Euro erforderlich.

Fehlende Rechenzentren sind jedoch nur ein Teil des Problems. Die Studie verweist zugleich auf die starke Abhängigkeit Europas von drittstaatlichen Cloud-Anbietern. Rund 72 % des europäischen Cloud-Marktes entfallen auf Nicht-EU-Hyperscaler. Gleichzeitig sank der Marktanteil europäischer Anbieter von 27 % im Jahr 2017 auf lediglich 13 % im Jahr 2022. Unterschiedliche Beschaffungspraktiken, Sicherheitsanforderungen und Compliance-Vorgaben innerhalb der EU erschweren es europäischen Anbietern zusätzlich, ihre Leistungen grenzüberschreitend zu skalieren. Hinzu kommen Lock-in-Risiken entlang des AI-Compute-Stacks, etwa wenn ein Wechsel zwischen Anbietern durch fehlende Interoperabilität oder Portabilität erschwert wird.

Die Studie bleibt allerdings nicht bei der Problembeschreibung. Für die beiden zentralen Herausforderungen (fehlende Rechenkapazitäten sowie die begrenzte Nutzung bzw. europäische Souveränität bei Cloud- und KI-Diensten) untersucht sie jeweils verschiedene politische Optionen. Diese reichen von freiwilliger Zusammenarbeit und gemeinsamen Leitlinien über vereinfachte Genehmigungsverfahren und Fast-Track-Gebiete für Rechenzentren bis hin zu EU-Förderungen, gemeinsamen Beschaffungsmechanismen, einem europäischen Cloud- und AI-Marktplatz und Maßnahmen zur Förderung von Open Source im öffentlichen Sektor. Die verschiedenen Ansätze wurden dabei nicht nur qualitativ, sondern auch anhand einer monetarisierten Kosten-Nutzen-Analyse bewertet.

Die Studie diente als empirische Grundlage für das Impact Assessment zum von der Kommission am 3. Juni 2026 vorgeschlagenen Cloud and AI Development Act (CADA). Der Verordnungsvorschlag soll die nächste Generation nachhaltiger Cloud- und KI-Technologien fördern, den Ausbau von Rechenzentren erleichtern und zugleich die technologische Autonomie Europas stärken. Damit wird deutlich: Die europäische KI-Politik verlagert ihren Fokus zunehmend von der Regulierung einzelner KI-Systeme auf die Infrastruktur, ohne die diese Systeme überhaupt nicht entwickelt und betrieben werden können.

Für Unternehmen dürfte diese Entwicklung in mehrfacher Hinsicht relevant werden. Betreiber von Rechenzentren und Cloud-Anbieter könnten von vereinfachten Genehmigungen, Förderprogrammen und zusätzlichen Investitionen profitieren. Gleichzeitig dürften Themen wie Interoperabilität, Anbieterwechsel, digitale Souveränität und die Herkunft von Cloud- und KI-Diensten – insbesondere bei öffentlichen Auftraggebern – weiter an Bedeutung gewinnen.

Key Take-Aways

Der Bedarf an Rechenzentrumskapazität in der EU übersteigt bereits heute das Angebot; bis 2036 könnte die Lücke auf rund 20 GW anwachsen.
Langwierige Genehmigungsverfahren, begrenzte Strom¬netzkapazitäten sowie der Zugang zu Energie, Flächen und Wasser bremsen den Ausbau der europäischen Cloud- und KI-Infrastruktur.
Rund 72 % des europäischen Cloud-Marktes entfallen auf Nicht-EU-Hyperscaler. Die Studie sieht darin eine zentrale Herausforderung für Europas technologische Souveränität und Resilienz.
Die Studie liefert eine wesentliche empirische Grundlage für den vorgeschlagenen Cloud and AI Development Act, der den Ausbau nachhaltiger Rechenkapazitäten beschleunigen und Europas Cloud- und KI-Autonomie stärken soll.

Neue EU-Verordnung: Fahrzeugkreislauf wird zur Compliance-Aufgabe | Gernot Fritz

Mit der Verordnung (EU) 2026/1738 über Anforderungen an die kreislauforientierte Konstruktion von Fahrzeugen und die Bewirtschaftung von Altfahrzeugen hat die EU das bisherige Altfahrzeugrecht grundlegend neu geordnet. Die Verordnung ersetzt schrittweise die Altfahrzeug-Richtlinie 2000/53/EG und die Richtlinie 2005/64/EG und verbindet erstmals Anforderungen an Fahrzeugdesign, Rezyklateinsatz, Typgenehmigung, Ersatzteilinformationen und Herstellerverantwortung in einem unmittelbar anwendbaren Rechtsakt.

Die meisten Bestimmungen werden ab 1. September 2028 gelten; zahlreiche zentrale Pflichten greifen jedoch erst gestaffelt in den Folgejahren. Kernbereich sind zunächst insbesondere Pkw und leichte Nutzfahrzeuge der Klassen M1 und N1.

Besonders weitreichend sind die neuen Vorgaben bereits für das Fahrzeugdesign. Neue Fahrzeugtypen, die ab 1. September 2032 typgenehmigt werden, müssen zu mindestens 85 % ihrer Masse wiederverwendbar oder recyclingfähig und zu mindestens 95 % wiederverwendbar oder verwertbar sein. Fahrzeuge müssen außerdem so konstruiert sein, dass bestimmte Teile leichter entfernt werden können. Batterien von Elektrofahrzeugen, Batteriepacks und elektrische Antriebsmotoren müssen grundsätzlich ohne Zerstörung aus- und wieder eingebaut werden können. Auch Softwareupdates dürfen deren Entfernung und Austausch grundsätzlich nicht behindern.

Gleichzeitig führt die Verordnung verbindliche Mindestquoten für recycelten Kunststoff ein. Bei ab 1. September 2032 typgenehmigten neuen Fahrzeugtypen müssen mindestens 15 % des verwendeten Kunststoffs aus recycelten Post-Consumer-Kunststoffabfällen stammen; ab 1. September 2036 steigt die Quote auf 25 %. Mindestens 20 % der jeweils geltenden Zielquote müssen aus Altfahrzeugen oder während der Nutzungsphase aus Fahrzeugen entfernten Teilen und Komponenten stammen. Für Stahl, Aluminium und weitere Materialien sind zusätzliche Mindestquoten bzw deren Prüfung durch die Kommission vorgesehen.

Die regulatorische Herausforderung liegt damit auch in der Lieferkette. Hersteller müssen Materialdaten entlang der gesamten Lieferkette sammeln und Verfahren zur Prüfung der von Zulieferern erhaltenen Angaben etablieren. Ab 1. September 2029 ist zudem eine unternehmensweite „Circularity Strategy“ zu erstellen, die unter anderem beschreibt, wie die Einhaltung der Kreislaufanforderungen sichergestellt und wie Lieferantendaten erhoben und überprüft werden.

Hinzu kommen weitreichende Informationspflichten. Ab 1. September 2029 müssen bestimmte Informationen über Ausbau, Austausch und Verwertung von Fahrzeugteilen für Abfallbewirtschafter sowie Reparatur- und Wartungsunternehmen zugänglich gemacht werden. Ab 1. September 2032 erhält schließlich jedes neu auf den Markt gebrachte Fahrzeug einen kostenlosen Digital Circularity Vehicle Passport, der unter anderem Angaben zu Recyclinganteilen, bestimmten problematischen Stoffen und den offiziellen Ersatzteilkatalog enthalten soll.

Auch für Importeure und Händler kann die Verordnung unmittelbar relevant werden. Der Begriff des „Herstellers“ im Rahmen der erweiterten Herstellerverantwortung umfasst auch Einführer oder Vertreiber, wenn diese ein Fahrzeug erstmals gewerblich im jeweiligen Mitgliedstaat bereitstellen. Ab 1. September 2029 müssen Hersteller die Finanzierung der Sammlung und Behandlung der von ihnen erstmals bereitgestellten Fahrzeuge sicherstellen.

Eine zusätzliche praktische Änderung betrifft den Gebrauchtwagenhandel: Wirtschaftsteilnehmer müssen bei der Übertragung eines Gebrauchtfahrzeugs innerhalb der EU künftig Unterlagen vorlegen, aus denen hervorgeht, dass es sich nicht bereits um ein Altfahrzeug handelt. Dies gilt unabhängig vom Vertriebskanal und damit auch bei Online-Verkäufen und Auktionen.

Key Take-Aways

Die Verordnung verlagert Kreislaufwirtschaft weit nach vorne in den Produktlebenszyklus: Design, Typgenehmigung und Lieferkettendaten werden zu zentralen Compliance-Themen.
Ab 2032 gelten verbindliche Design- und Rezyklatvorgaben; bereits ab 2029 greifen unter anderem Circularity Strategy, Informationspflichten und erweiterte Herstellerverantwortung.
Nicht nur Fahrzeughersteller sind betroffen: Je nach Vertriebsmodell können auch Importeure und Händler Pflichten treffen; für den Gebrauchtwagenhandel kommen zusätzliche Nachweispflichten hinzu.

DPO oder Entscheider: CNIL konkretisiert Interessenkonflikte | Tanja Pfleger

Datenschutzbeauftragte (“data protection officers”, DPO) müssen unabhängig kontrollieren können. In der Praxis übernehmen sie aber häufig noch andere Funktionen, etwa im Legal-, Compliance-, HR- oder IT-Bereich. Wann diese Doppelrolle zum Problem wird, konkretisiert die französische Datenschutzbehörde CNIL nun in einer neuen Praxishilfe zu Interessenkonflikten von DPOs.

Nach Art 38 Abs 6 DSGVO darf ein DPO andere Aufgaben übernehmen, solange daraus kein Interessenkonflikt entsteht. Entscheidend ist dabei nicht allein die Stellenbezeichnung. Die CNIL empfiehlt vielmehr, auf die tatsächlichen Entscheidungsbefugnisse zu schauen. Kritisch wird es insbesondere dann, wenn der DPO in seiner zweiten Funktion selbst über Zwecke oder Mittel einer Verarbeitung entscheidet und anschließend deren Datenschutzkonformität kontrollieren soll. Er wäre dann „Richter in eigener Sache“.

Führungsfunktionen wie Geschäftsführung oder HR-Leitung sind nach Ansicht der CNIL daher regelmäßig problematisch. Ein Interessenkonflikt kann aber auch auf niedrigeren Hierarchieebenen entstehen. Umgekehrt ist etwa die Kombination von DPO und IT-Sicherheitsfunktion nicht automatisch ausgeschlossen. Relevant ist beispielsweise, ob der DPO in seiner Security-Rolle selbst über Aufbewahrungsfristen von Logfiles, Zugriffe auf Mitarbeiterdaten oder andere wesentliche Elemente einer Verarbeitung entscheidet. Es kommt also auf die konkrete Aufgabenverteilung an – nicht auf den Titel auf der Visitenkarte.

Die Praxishilfe trifft auch Aussagen zu externen DPOs. Die CNIL empfiehlt etwa zu prüfen, ob ein externer DPO als Rechtsanwalt das Unternehmen bereits in einem datenschutzrechtlichen Rechtsstreit vertreten hat oder zugleich Organisationen betreut, deren Interessen einander entgegenstehen können. Auch bei einem gemeinsamen DPO für mehrere Unternehmen oder für Verantwortlichen und Auftragsverarbeiter können Konflikte entstehen.

Besonders interessant ist die vorgeschlagene Lösung für Fälle, in denen nur einzelne Aufgabenbereiche betroffen sind. Statt den DPO zwingend vollständig auszutauschen, kann sich dieser für den konfliktbehafteten Bereich zurückziehen und ein unabhängiger „DPO-Stellvertreter“ übernimmt dort seine Aufgaben. Dafür müssen Zuständigkeiten und Gründe für den Rückzug dokumentiert sein. Der Stellvertreter muss tatsächlich unabhängig handeln können und darf in diesem Bereich insbesondere nicht dem eigentlichen DPO unterstellt sein. Eine gesonderte Meldung des Stellvertreters sieht die CNIL nicht als erforderlich an. Ob die österreichische Datenschutzbehörde eine solche Aufteilung akzeptieren würde, bleibt abzuwarten.

Inhaltlich setzt die CNIL die Linie des EuGH fort. Dieser hatte bereits 2023 in der Rechtssache EuGH, 9.2.2023, C-453/21 (X-FAB) klargestellt, dass ein Interessenkonflikt insbesondere dann entstehen kann, wenn zusätzliche Aufgaben dazu führen, dass der DPO selbst Zwecke und Mittel einer Datenverarbeitung festlegt. Ob das der Fall ist, muss jeweils anhand der konkreten Organisationsstruktur und Aufgaben beurteilt werden.

Für Unternehmen ist die neue Praxishilfe daher ein guter Anlass, bestehende DPO-Strukturen nicht nur anhand des Organigramms zu prüfen.

Key Take-Aways

Doppelfunktionen sind nicht automatisch unzulässig: Entscheidend sind die tatsächlichen Aufgaben und Entscheidungsbefugnisse des DPO.
Eigene Entscheidungen dürfen nicht selbst kontrolliert werden: Wer in einer anderen Funktion Zwecke oder Mittel einer Verarbeitung festlegt, kann auf diesem Gebiet nicht zugleich unabhängig als DPO tätig sein.
Auch externe DPOs sollten geprüft werden: Mandate, Vertretung in Datenschutzstreitigkeiten oder Tätigkeiten für Unternehmen mit gegenläufigen Interessen können Konflikte begründen.

ctrl + law – ordnet ein, was rechtlich relevant wird.

Klar, kompakt, praxisnah.

Jetzt abonnieren und dranbleiben.