{"id":5518,"date":"2020-11-26T13:34:45","date_gmt":"2020-11-26T12:34:45","guid":{"rendered":"http:\/\/emr-sb.de\/?p=5518"},"modified":"2020-11-26T13:41:13","modified_gmt":"2020-11-26T12:41:13","slug":"edpb-trifft-erste-verbindliche-entscheidung-in-grenzueberschreitendem-verfahren-zu-datenschutzverletzungen-von-twitter","status":"publish","type":"post","link":"https:\/\/emr-sb.de\/gb\/edpb-trifft-erste-verbindliche-entscheidung-in-grenzueberschreitendem-verfahren-zu-datenschutzverletzungen-von-twitter\/","title":{"rendered":"EDPB trifft erste verbindliche Entscheidung in grenz\u00fcberschreitendem Verfahren zu Datenschutzverletzungen von Twitter"},"content":{"rendered":"

Am 9.11.2020 hat der Europ\u00e4ische Datenschutzausschuss (EDPB), in dem Vertreter nationaler Datenschutzbeh\u00f6rden in einem Gremium auf EU-Ebene zusammengeschlossen sind, seinen ersten Streitbeilegungsbeschluss auf der Grundlage von Art. 65 GDPR angenommen. Dabei handelt es sich um die erste verbindliche Entscheidung in einem grenz\u00fcberschreitenden Verfahren, die der EDPB trifft. Sie betrifft das Verfahren gegen die Social Media Plattform Twitter<\/em>, das von der irischen Datenschutzbeh\u00f6rde (Date Protection Commission<\/em>, DPC) gef\u00fchrt wird, aber auch eine Vielzahl von Twitter-Nutzern in anderen EU-Mitgliedstaaten betrifft.<\/p>\n

In der Sache geht es um einen Vorfall auf der Plattform Twitter aus Ende 2018\/Anfang 2019. Durch einen Fehler in der Android-App waren Posts und Accounts, die von den Nutzern der Plattform als privat gekennzeichnet worden waren, fehlerhafter Weise frei \u00f6ffentlich zug\u00e4nglich gemacht worden. Hiervon waren nicht nur irische Nutzer, sondern Nutzer in der ganzen Welt, insbesondere auch in andere EU-Mitgliedstaaten betroffen. Die Plattform meldete den Versto\u00df gegen\u00fcber der DPC<\/em>, die aufgrund der europ\u00e4ischen Niederlassung von Twitter in Irland federf\u00fchrend als Aufsichtsbeh\u00f6rde zust\u00e4ndig ist (Art. 56 DS-GVO) und hieraufhin ein Untersuchungsverfahren einleitete. Im Ergebnis stellte die DPC<\/em> insbesondere (insoweit auch im Wesentlichen unbestritten) Verst\u00f6\u00dfe gegen Datenschutz- und Datensicherheitsrecht fest. Da hiervon allerdings auch Nutzer in anderen Mitgliedstaaten betroffen waren und deshalb auch die Zust\u00e4ndigkeit der dortigen Datenschutzbeh\u00f6rden begr\u00fcndet war \u2013 weil die Datenschutz-Grundverordnung (DS-GVO) das Marktortprinzip zugrundlegt (Art. 3 i.V.m 55, 56 DS-GVO) \u2013 leitete die DPC<\/em> das f\u00fcr grenz\u00fcberschreitende Sachverhalte vorgesehene Koh\u00e4renzverfahren (Art. 60 ff. DS-GVO). In diesem Rahmen wurde von der federf\u00fchrenden DPC<\/em> den anderen betroffenen Aufsichtsbeh\u00f6rden insbesondere der Entwurf einer endg\u00fcltigen Entscheidung gegen Twitter mit beabsichtigten Sanktionen vorgelegt (Art. 60 Abs. 3 DS-GVO). Von ihrem Recht, einen begr\u00fcndeten Einspruch gegen den Beschlussentwurf der federf\u00fchrenden Datenschutzbeh\u00f6rde einzulegen (Art. 60 Abs. 4 DS-GVO), machten daraufhin einige nationale Aufsichtsbeh\u00f6rden Gebrauch. Die Kritik bezog sich dabei weniger darauf, dass ein Versto\u00df gegen die DS-GVO festgestellt worden war, sondern auf den Umfang der festgestellten Verst\u00f6\u00dfe, die Feststellungen zur Rolle von Twitter als (alleinige) f\u00fcr die Datenverarbeitung Verantwortliche sowie die H\u00f6he der vorgeschlagenen Geldbu\u00dfe. Die DPC<\/em> wiederum, die nach Art. 60 Abs. 5 DS-GVO die Gelegenheit gehabt h\u00e4tte, sich diesen Einspr\u00fcchen anzuschlie\u00dfen und den Beschlussentwurf entsprechend zu \u00fcberarbeiten, wies die Einspr\u00fcche der anderen betroffenen Beh\u00f6rden als “nicht sachdienlich und unbegr\u00fcndet” zur\u00fcck und leitete somit das in Art. 63 DS-GVO vorgesehene Streitbeilegungsverfahren nach Art. 63 ff. DS-GVO ein, das in F\u00e4llen von Streitigkeiten grenz\u00fcberschreitender Natur zwischen mehreren zust\u00e4ndigen Aufsichtsbeh\u00f6rden auch das Treffen einer verbindlichen Entscheidung durch den EDPB vorsieht (Art. 65 Abs. 1 lit. a) DS-GVO), um \u201edie ordnungsgem\u00e4\u00dfe und einheitliche Anwendung dieser Verordnung in Einzelf\u00e4llen sicherzustellen\u201c. Eine solche Entscheidung hat der EDPB nun unter Einhaltung der erforderlichen 2\/3-Mehrheit getroffen, wobei aufgrund der \u201eKomplexit\u00e4t des Sachverhalts\u201c bereits die Verl\u00e4ngerung der hierf\u00fcr vorgesehenen zweimonatigen Frist (Art. 65 Abs. 3 DS-GVO)in Anspruch genommen wurde.<\/p>\n

Die Entscheidung selbst sowie die Begr\u00fcndung sind noch nicht ver\u00f6ffentlicht. Sie wird in K\u00fcrze der irischen DPA formell mitgeteilt werden. Unabh\u00e4ngig vom Ausgang der Entscheidung, ist aber die Tatsache, dass eine solche verbindliche Entscheidung von einem \u00fcbergeordneten Gremium auf EU-Ebene zusammengesetzt aus nationalen Regulierern getroffen wurde, von (h\u00f6herem) Informationsinteresse. Anders als viele andere Instrumente auf EU-Sekund\u00e4rrechtsebene ist die DS-GVO n\u00e4mlich eines der wenigen Regelungswerke, die das Marktortprinzip verbunden mit konkretisierten Kooperations- und Koh\u00e4renzmechanismen f\u00fcr den Bereich des Internets und der dort agierenden Plattformen zugrundlegt. Unabh\u00e4ngig davon, wie die Entscheidung des EDPB ausf\u00e4llt, wird die irische DPC ihre Entscheidung gegen\u00fcber Twitter \u201eunverz\u00fcglich und sp\u00e4testens einen Monat, nachdem der EDPB seinen Beschluss mitgeteilt hat\u201c und \u201eauf der Grundlage\u201c des genannten EDPB-Beschlusses treffen m\u00fcssen (Art. 60 Abs. 6 DS-GVO). Durch diesen Mechanismus wird Beh\u00f6rden in anderen Mitgliedstaaten, deren B\u00fcrger ebenfalls von Datenschutzverst\u00f6\u00dfen betroffen sind, die M\u00f6glichkeit gegeben, Einfluss zu nehmen, obwohl Plattformbetreiber (teils bewusst) einen anderen Niederlassungsstandort gew\u00e4hlt haben. Das ist vor allem deshalb interessant, weil Koh\u00e4renzmechanismen f\u00fcr Aufsichtsbeh\u00f6rden im Bereich Plattformregulierung auch im Hinblick auf die Bestrebungen der Europ\u00e4ischen Kommission im Zusammenhang mit dem Digital Services Act Package diskutiert werden. Ein vergleichbares Verfahren l\u00e4uft im \u00dcbrigen auch gegen Facebook in Bezug auf den Betrieb von WhatsApp.<\/p>\n

Die Pressemitteilung des EDPB ist abrufbar (englisch) unter<\/p>\n

https:\/\/edpb.europa.eu\/news\/news\/2020\/edpb-adopts-first-art-65-decision_de<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Am 9.11.2020 hat der Europ\u00e4ische Datenschutzausschuss (EDPB), in dem Vertreter nationaler Datenschutzbeh\u00f6rden in einem Gremium auf EU-Ebene zusammengeschlossen sind, seinen ersten Streitbeilegungsbeschluss auf der Grundlage von Art. 65 GDPR angenommen. Dabei handelt es sich um die erste verbindliche Entscheidung in einem grenz\u00fcberschreitenden Verfahren, die der EDPB trifft. Sie betrifft das Verfahren gegen die Social Media […]<\/p>\n","protected":false},"author":4,"featured_media":3851,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_et_pb_use_builder":"","_et_pb_old_content":"","_et_gb_content_width":"","footnotes":""},"categories":[224,1,23],"tags":[],"class_list":["post-5518","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-nachrichten","category-aktuelles","category-datenschutz","et-has-post-format-content","et_post_format-et-post-format-standard"],"translation":{"provider":"WPGlobus","version":"3.0.2","language":"gb","enabled_languages":["de","fr","gb"],"languages":{"de":{"title":true,"content":true,"excerpt":false},"fr":{"title":false,"content":false,"excerpt":false},"gb":{"title":false,"content":false,"excerpt":false}}},"_links":{"self":[{"href":"https:\/\/emr-sb.de\/gb\/wp-json\/wp\/v2\/posts\/5518","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/emr-sb.de\/gb\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/emr-sb.de\/gb\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/emr-sb.de\/gb\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/emr-sb.de\/gb\/wp-json\/wp\/v2\/comments?post=5518"}],"version-history":[{"count":2,"href":"https:\/\/emr-sb.de\/gb\/wp-json\/wp\/v2\/posts\/5518\/revisions"}],"predecessor-version":[{"id":5520,"href":"https:\/\/emr-sb.de\/gb\/wp-json\/wp\/v2\/posts\/5518\/revisions\/5520"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/emr-sb.de\/gb\/wp-json\/wp\/v2\/media\/3851"}],"wp:attachment":[{"href":"https:\/\/emr-sb.de\/gb\/wp-json\/wp\/v2\/media?parent=5518"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/emr-sb.de\/gb\/wp-json\/wp\/v2\/categories?post=5518"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/emr-sb.de\/gb\/wp-json\/wp\/v2\/tags?post=5518"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}