Hintergrund
Im Oktober 2019 veröffentlichte die Fokusgruppe Datenschutz des Digital Gipfels einen "Entwurf für einen Code of Conduct zum Einsatz DS-GVO konformer Pseudonymisierung". Der Entwurf entstand durch die Zusammenarbeit verschiedener Experten aus Wirtschaft und Behörden, etwa der Datenschutzaufsicht und dem Bundesamt für Sicherheit in der Informationstechnik.
Mehrere Mitglieder der Fokusgruppe haben sich entschlossen, den Entwurf weiterzuentwickeln und für eine offizielle Anerkennung durch die Datenschutzaufsichtsbehörden einzureichen gemäß Art. 40 DS-GVO. In Rücksprache mit der Fokusgruppe werden der Bitkom e.V. (Bundesverband Informationswirtschaft, Telekommunikation und neue Medien) sowie der GDD e.V. (Gesellschaft für Datenschutz und Datensicherheit) die Weiterentwicklung inhaltlich und organisatorisch koordinieren und die Code-Ownership übernehmen. Als private und unabhängige Überwachungsstelle nach Art. 41 DS-GVO ist SCOPE Europe bvba bzw. der SRIW e.V. (Selbstregulierung Informationswirtschaft) vorgesehen.
Zielsetzung
Verhaltensregeln bieten Verantwortlichen und Auftragsverarbeitern die Möglichkeit, die Datenschutzgrundverordnung für bestimmte Verarbeitungskontexte zu konkretisieren und durch die Anerkennung einer abstrakten Vorabprüfung der Datenschutzaufsicht zukommen zu lassen.
Anerkannte Verhaltensregeln bieten somit insbesondere in solchen Bereichen rechtliche und praktische Mehrwerte, in denen eine Vielzahl von verarbeitenden Stellen stets den gleichen Fragestellungen gegenüberstehen. Die Anerkennung durch die Datenschutzaufsicht hat zudem das Potential, insbesondere kleinen und mittelständischen Unternehmen (KMU) unnötige Ängste, Sorgen und letztlich Risiken bei der Implementierung zeitgemäßer Verarbeitungsprozesse zu nehmen. Diese Funktion des Compliance-Nachweises sieht auch die DS-GVO explizit vor, da die Einhaltung anerkannter Verhaltensregeln etwa gem. Art. 83 Abs. 2 Buchst. j) als Faktor bei der Bußgeldzumessung zu berücksichtigen ist.
Um eine Zersplitterung der Anforderungen in Europa zu vermeiden und einen aktiven Beitrag zur Harmonisierung der Implementierung der Datenschutzgrundverordnung zu leisten, ist beabsichtigt, die Verhaltensregel als transnationale, also europaweite, Verhaltensregel einzureichen.
Wesentlicher Inhalt
Die Verhaltensregel Pseudonymisierung konkretisiert in der aktuellen Version einen angemessenen Management-Prozess für die Pseudonymisierung personenbezogener Daten. Als Management- Prozess legt die Verhaltensregel einen Schwerpunkt auf den Prozess und dessen Dokumentation und regelmäßige Evaluation. Diese Herangehensweise wird dem Umstand gerecht, dass einerseits die konkrete, angemessene technisch und organisatorische Umsetzung je nach Anwendungsfall sehr heterogen ist und andererseits durch einen gesteuerten Management- Prozess eine grundsätzliche und kontinuierliche Angemessenheit der Implementierung sichergestellt werden kann. Gerade für verarbeitende Stellen, die nicht alltäglich mit der Implementierung von Pseudonymisierungsverfahren in Kontakt kommen, bietet ein Management-Prozess zielführende Anleitung und vermeidet, dass wesentliche Aspekte unbeabsichtigt nicht rechtzeitig berücksichtigt werden.
Nächste Schritte
Auf der sehr guten Arbeit der Fokusgruppe aufbauend gilt es nun die materiellen Anforderungen des Entwurfs in eine anerkennungsfähige Verwaltung und Überwachung zu überführen. Entsprechend der Leitlinien des Europäischen Datenschutzausschusses gilt es insbesondere zu klären, wie und unter welchen Voraussetzungen künftige materielle Änderungen erfolgen, wie und unter welchen Voraussetzungen verarbeitende Stellen sich der Verhaltensregel unterwerfen können und welche grundsätzlichen, konzeptionellen Anforderungen an die Überwachung gestellt werden. Nicht zuletzt bedeutet dies auch die Entwicklung eines Kosten- und Gebührenmodells, ohne dabei die Zugänglichkeit für KMU zu gefährden.
Für künftige Versionen der Verhaltensregel ist angedacht, den Management-Prozess um sektorspezifische Module zu ergänzen. Derartige Module könnten dann auf spezielle Einsatzszenarien zugeschnitten sein. Hierdurch könnten auch Interessenabwägungen oder konkrete technisch-organisatorische Maßnahmen in die Verhaltensregel aufgenommen werden. Entsprechend besteht die Möglichkeit, dies dann auch durch die Datenschutzaufsichtsbehörden anerkennen zu lassen.
Beteiligte
Der Entwurf wird von unterschiedlichen Stakeholdern aktiv unterstützt. Dies sind neben den genannten Bitkom, GDD und SRIW / SCOPE Europe
- Axciom Deutschland GmbH
- Bundesdruckerei GmbH
- Deutsche Telekom AG
- Media Broadcast GmbH
- United Internet AG
- Stiftung Datenschutz
Mitwirkungsmöglichkeiten
Aktuell werden die formellen Rahmenbedingungen entwickelt, damit weitere interessierte Stakeholder aktiv an der Entwicklung mitwirken können. Ungeachtet der unmittelbaren Mitwirkung empfehlen die Leitlinien für Verhaltensregeln des Europäischen Datenschutzausschusses die Durchführung von Konsultationen. Die Erforderlichkeit weiterer Konsultationen wird derzeit geprüft. Auch unabhängig einer offiziellen Konsultation können jederzeit Anmerkungen eingereicht werden.
Für die Verantwortlichen ist es ausgesprochen wichtig, dass die Verhaltensregel nicht nur formal bei der Implementierung der Datenschutzgrundverordnung unterstützt, sondern auch tatsächlich möglichst vielen Interessierten zugänglich ist. Entsprechend werden aktuell unterschiedliche Modelle diskutiert, die sowohl hinsichtlich organisatorischer als auch finanzieller Lasten zu angemessenen Lösungen führen.
Die Rolle des SRIW / SCOPE Europe im Detail
Verhaltensregeln sollte stets ein glaubwürdiges Kontrollsystem zur Seite gestellt werden. Für das spannende Projekt Code of Conduct Pseudonymisierung stellen SRIW / SCOPE Europe ihre Expertise zur Verfügung. Hierdurch kann dieses Kontrollsystem effizient ausgestaltet werden, sodass sich im Sinne eines flächendeckenden Beitrags zur Umsetzung der DS-GVO bereits kleinste Unternehmen diesem CoC unterwerfen können. An dieser Schnittstelle konnte SRIW / SCOPE Europe aus unterschiedlichen Projekten essenzielle Erfahrungen sammeln.
Weitergehende Informationen und aktuelle Meldungen
Weitere Informationen können Sie auch unseren Meldungen zur entnehmen.
Bitkom und GDD vereinheitlichen Pseudonymisierung in der Datenverarbeitung
Der Digitalverband Bitkom und die Gesellschaft für Datenschutz und Datensicherheit wollen EU-weite Verhaltensregeln für Pseudonymisierungen in der…