EDSA (Europäischer Datenschutzausschuss)
Der Europäische Datenschutzausschuss (EDSA, englisch EDPB) ist eine unabhängige EU-Einrichtung mit Rechtspersönlichkeit, die seit 2018 die einheitliche Anwendung der DSGVO in allen Mitgliedstaaten sicherstellt und die Zusammenarbeit zwischen nationalen Datenschutzbehörden koordiniert.
Ausführliche Erklärung
Der EDSA wurde mit der Datenschutz-Grundverordnung (Artikel 68–76 DSGVO) geschaffen und ersetzte am 25. Mai 2018 die Artikel-29-Datenschutzgruppe. Er besteht aus den Leiterinnen und Leitern der Aufsichtsbehörden aller EU-Mitgliedstaaten, der EWR-Staaten (Island, Liechtenstein, Norwegen) sowie dem Europäischen Datenschutzbeauftragten. Geleitet wird er von einer für fünf Jahre gewählten Vorsitzenden oder einem Vorsitzenden.
Zu den wichtigsten Aufgaben des EDSA gehören die Herausgabe von Leitlinien, Empfehlungen und Best Practices zur Auslegung der DSGVO, die Beratung der Europäischen Kommission in Datenschutzfragen sowie die Förderung der Zusammenarbeit zwischen den nationalen Aufsichtsbehörden. Im sogenannten Kohärenzverfahren erlässt der EDSA bei grenzüberschreitenden Datenschutzfällen verbindliche Beschlüsse, etwa wenn Aufsichtsbehörden unterschiedlicher Mitgliedstaaten zu keiner Einigung kommen. Diese Beschlüsse sind rechtlich bindend, während die Leitlinien und Empfehlungen zwar nicht verbindlich sind, jedoch die Mehrheitsmeinung der Aufsichtsbehörden repräsentieren und auch vom Europäischen Gerichtshof herangezogen werden.
Für österreichische und deutsche KMU ist der EDSA vor allem deshalb relevant, weil seine Leitlinien die praktische Auslegung der DSGVO maßgeblich prägen. Die Entscheidungen beeinflussen, wie nationale Datenschutzbehörden Verstöße bewerten, etwa bei der Berechnung von Bußgeldern, bei Einwilligungen auf Webseiten oder beim internationalen Datentransfer. Der EDSA stellt zudem spezielle Informationsressourcen für KMU bereit und veröffentlicht jährlich einen Tätigkeitsbericht über seine Aktivitäten.
Praxisbeispiel
Ein österreichischer Online-Shop mit 35 Mitarbeitern betreibt eine E-Commerce-Plattform und nutzt einen Cloud-Dienst eines US-Anbieters. Als die österreichische Datenschutzbehörde Bedenken bezüglich der Datenübermittlung äußert, orientiert sich das Unternehmen an den EDSA-Leitlinien zu Standardvertragsklauseln und Zusatzmaßnahmen nach Schrems II. Diese Leitlinien geben konkrete Hinweise, welche Schutzmaßnahmen erforderlich sind und helfen dem Unternehmen, rechtskonform zu handeln.