Mit Ausnahme der Schweiz ist der Europäische Wirtschaftsraum (EWR) ein Zusammenschluss der Staaten der Europäischen Union (EU) und der Europäischen Freihandelsassoziation (EFTA). Der EWR hat nun die Datenschutz-Grundverordnung in das EWR-Abkommen aufgenommen. Dies geschah durch einen Beschluss des Gemeinsamen EWR-Ausschusses vom 6. Juli 2018, der am 20. Juli 2018 in Kraft getreten ist.

Mit dem EWR werden die vier Binnenmarktfreiheiten (freier Personen-, Waren-, Dienstleistungs- und Kapitalverkehr) von der EU auf drei EFTA-Staaten ausgedehnt. Sie unterliegen somit auch der DSGVO-Harmonisierung des Datenschutzes.

Dieser Artikel zeigt auf, was dies für die EFTA-Staaten bedeutet, welche Gründe für die Umsetzung der EWR-DSGVO sprechen, welche Vorteile sie bietet und wie die wirksame Anwendung der DSGVO gewährleistet werden kann.

Die Verbindung zwischen EWR und DSGVO

Die Umsetzung des EWR bedeutet, dass die Datenschutz-Grundverordnung trotz der EU-Gesetzgebung auch speziell für die drei EWR-EFTA-Staaten gilt: Island, Norwegen und Liechtenstein.

Auch die Regierung Liechtensteins hat kürzlich eine Erklärung über die vollständige Überarbeitung ihres Datenschutzgesetzes mit Wirkung vom 1. Januar 2019 verabschiedet. In Liechtenstein ist inzwischen ein Übergangsgesetz in Kraft, das als Aktualisierung des aktuellen Datenschutzgesetzes eingeführt wurde.

Auf der anderen Seite setzten Island und Norwegen ihre nationalen Datenschutzgesetze am 15. bzw. 20. Juli 2018 in Kraft.

Warum wurde die Datenschutz-Grundverordnung im EWR eingeführt?

Die Datenschutz-Grundverordnung sieht die Harmonisierung der Rechtsvorschriften zum Schutz personenbezogener Daten innerhalb der EU vor, um den Fluss personenbezogener Daten zwischen den Mitgliedstaaten zu erleichtern und so das Wachstum der digitalen Wirtschaft im Binnenmarkt zu steuern.

Dies sorgt für europaweite Transparenz in Bezug auf die Datenverarbeitung. Die Datenschutz-Grundverordnung erkennt daher im Kern die Größe der datengesteuerten Wirtschaft und ihr künftiges Wachstum angesichts des technologischen Fortschritts in diesem Bereich an und versucht, dies auf eine Weise zu fördern, die den Binnenmarkt nicht gefährdet.

Die Datenschutz-Grundverordnung war ein entscheidender Rechtsakt, der in das EWR-Abkommen aufgenommen werden musste, um diese Harmonisierung im EWR in der digitalen Wirtschaft zu gewährleisten.

Durch eine Entschließung des Gemeinsamen EWR-Ausschusses werden geltende EU-Rechtsvorschriften wie die Datenschutz-Grundverordnung in das EWR-Abkommen aufgenommen, das erst dann umgesetzt wird, wenn die Zustimmung sowohl der EFTA-Staaten als auch der EU unter Anwendung klar definierter Verfahren eingeholt worden ist.

Warum ist die Umsetzung der DSGVO relevant?

Die Verabschiedung der Datenschutz-Grundverordnung durch den Gemeinsamen EWR-Ausschuss bedeutet, dass Island, Norwegen und Liechtenstein nun unmittelbar unter die Datenschutz-Grundverordnung fallen und dass personenbezogene Daten zwischen diesen Staaten und allen EU-Mitgliedstaaten frei fließen werden.

Andernfalls fällt die Übermittlung personenbezogener Daten aus den EU-Mitgliedstaaten in diese Mitgliedstaaten, wie in der Datenschutz-Grundverordnung vorgesehen, unter das Paradigma der internationalen Datenübermittlung, was möglicherweise dazu beiträgt, dass ein Angemessenheitsbeschluss erforderlich ist.

Die umfassende Einbeziehung der EWR-Staaten in den Prozess der einzigen Anlaufstelle ist ein weiterer wichtiger Vorteil der Einführung der Datenschutz-Grundverordnung in das EWR-Abkommen.

Dies trägt dazu bei, die federführende Datenschutzbehörde zu bestimmen, die für die Kontrolle der Tätigkeiten eines für die Datenverarbeitung Verantwortlichen oder eines Auftragsverarbeiters, der in mehr als einem Staat tätig ist, verantwortlich ist. Diese Bestimmung verlangt, dass die für die Verarbeitung Verantwortlichen/Verarbeiter unabhängig von den einzelnen Staaten, in denen sie tätig sind, Rechtssicherheit haben.

DSGVO konsequent anwenden

Die Datenschutz-Grundverordnung ist eine neue Rechtsvorschrift, und es ist zu erwarten, dass sich ihre Bedeutung und Umsetzung mit der Zeit ändern wird. Da das zentrale Konzept hinter der DSGVO die Harmonisierung und Rechtssicherheit ist, sollte sie in allen Staaten einheitlich umgesetzt werden.

Es wird davon ausgegangen, dass sowohl der Europäische Datenschutzausschuss („EDPB“) als auch der Gerichtshof der Europäischen Union („EuGH“) eine wesentliche Rolle dabei spielen werden, dies sicherzustellen.

Daher sind die EWR-Staaten erleichtert, dass die Zusammensetzung des EDSB für die EWR-Staaten gilt. Derzeit haben die Mitglieder der EWR-Staaten jedoch kein Stimmrecht im EDSB und sind nicht für den Vorsitz bzw. den stellvertretenden Vorsitz des EDSB wählbar. Dies deutet darauf hin, dass es den EWR-Staaten an konkreter Macht mangelt, um zur Weiterentwicklung der Datenschutzgrundverordnung beizutragen.

Dies kann insbesondere als Nachteil im Sinne der in Artikel 65 der Datenschutz-Grundverordnung genannten verbindlichen Entscheidungen angesehen werden, wenn der Gegenstand gegensätzliche Auffassungen zwischen den Datenschutzbehörden der EU-Mitgliedstaaten und denen eines EWR-Staates umfasst. Ob sich dieser Status in Zukunft ändert, bleibt abzuwarten.

Der Gemeinsame EWR-Ausschuss ist verpflichtet, in Bezug auf die Entscheidungen des EuGH die Entwicklung der Rechtsprechung kontinuierlich zu verfolgen und so zu arbeiten, dass das Verständnis des Abkommens einheitlich bleibt. Eine Zusammenarbeit und ein Informationsaustausch zwischen dem EuGH und dem EFTA-Gerichtshof sind ebenfalls gewährleistet.