Brüssel, 11. November – Auf seiner letzten Plenartagung hat der EDSA eine Erklärung zur ersten Überprüfung der Funktionsweise des Angemessenheitsbeschlusses der Republik Korea und die endgültige Fassung der Empfehlungen zum Antrag auf Genehmigung sowie zu den Elementen und Grundsätzen angenommen, die in den verbindlichen internen Datenschutzvorschriften für Auftragsverarbeiter (BCR-P) enthalten sind. Darüber hinaus wählte der Ausschuss das Thema für seine sechste koordinierte Durchsetzungsmaßnahme (CEF) aus.

Die Erklärung des EDSA zur ersten Überprüfung des Angemessenheitsbeschlusses der Republik Korea konzentriert sich hauptsächlich auf die Bewertung von Änderungen des koreanischen Rechtsrahmens für den Datenschutz, sowohl in Bezug auf die kommerziellen Aspekte als auch in Bezug auf den Zugang und die Nutzung personenbezogener Daten durch koreanische Behörden*.

„Die gegenseitige Anerkennung gleichwertiger Datenschutzstandards zwischen der EU und der Republik Korea im Jahr 2025 war ein wichtiger Schritt, der die zunehmende Angleichung beider Rechtsrahmen bestätigte.

Wir begrüßen Änderungen der koreanischen Datenschutzvorschriften, die das Schutzniveau für Einzelpersonen erhöht und die Verarbeitung von Daten durch Verantwortliche erleichtert haben, während gleichzeitig ein Schutzniveau aufrechterhalten wird, das dem der DSGVO im Wesentlichen gleichwertig ist.“

EDSA-Vorsitzender, Anu Talus

So wurde beispielsweise das Gesetz über den Schutz personenbezogener Daten (PIPA) geändert, um ein neues allgemeines Recht auf Widerruf der Einwilligung, ein Recht auf Aussetzung der Verarbeitung personenbezogener Daten sowie ein Recht auf Verweigerung einer automatisierten Entscheidung (einschließlich durch KI-Systeme) oder ein Recht auf eine Erklärung einzuführen, wenn sich die Entscheidung erheblich auf die Rechte oder Pflichten der betroffenen Personen auswirkt.

Darüber hinaus begrüßt der EDSA in Bezug auf die Weiterübermittlung die Änderungen des PIPA in Bezug auf die rechtliche Regelung für die internationale Übermittlung personenbezogener Daten. Mit den Änderungen wird klargestellt, dass bei der grenzüberschreitenden Übermittlung personenbezogener Daten auf spezifische Übermittlungsinstrumente zurückgegriffen werden muss (Artikel 28 bis 8 PIPA), sodass alternative Lösungen für die Einwilligung angeboten werden.

Der EDSA begrüßt ferner die Stärkung der Durchsetzungs- und Sanktionsbefugnisse der koreanischen Datenschutzbehörde (PIPC).

Der EDSA stimmt dem Vorschlag der Kommission zu, den nach Artikel 93 Absatz 1 DSGVO eingesetzten Ausschuss zu konsultieren, um den Angemessenheitsbeschluss alle vier Jahre zu überprüfen.

Endgültige Version der Empfehlungen zu BCR-P angenommen

Nach einer öffentlichen Konsultation hat der EDSA die endgültige Fassung der Empfehlungen zum Antrag auf Genehmigung und zu den Elementen und Grundsätzen des BCR-P angenommen. BCR-P ist ein Übermittlungsinstrument, das von einer Gruppe von Unternehmen oder Unternehmen genutzt werden kann, um personenbezogene Daten außerhalb Europas an Auftragsverarbeiter innerhalb derselben Gruppe zu übermitteln. Mit den BCR werden durchsetzbare Rechte geschaffen und Verpflichtungen zur Festlegung eines Datenschutzniveaus festgelegt, das dem der DSGVO im Wesentlichen gleichwertig ist.

Die Empfehlungen gelten nun für alle BCR-P-Inhaber. Alle BCR-P-Inhaber sowie alle neuen und laufenden BCR-P-Antragsteller sollten ihre BCR-P je nach ihrer spezifischen Situation entweder während des Antragsverfahrens oder im Rahmen ihrer jährlichen Aktualisierung für 2028 mit den Empfehlungen in Einklang bringen.

Im Einklang mit dem Ziel der Helsinki-Erklärung, den Dialog mit den Interessenträgern zu stärken, hat der Ausschuss auch einen Bericht über die Ergebnisse der speziellen öffentlichen Konsultation sowie eine Version der Empfehlungen zu den Änderungen veröffentlicht.

Koordinierter Durchsetzungsrahmen: Thema für 2027 ausgewählt

Der EDSA wählte das Thema für seine sechste koordinierte Durchsetzungsmaßnahme aus, die die automatisierte Entscheidungsfindung (ADM), einschließlich KI-gesteuerter ADM, bei der Einstellung betreffen wird. Im Einzelnen wird sich die koordinierte Maßnahme auf die Durchsetzung des Rechts, nicht allein auf der Grundlage einer automatisierten Verarbeitung zu entscheiden, und des damit verbundenen Auskunftsrechts im Zusammenhang mit dem Einsatz automatisierter Instrumente zur Überprüfung von Bewerberinnen und Bewerbern, einschließlich KI-gestützter Instrumente, konzentrieren. Die Datenschutzbehörden werden sich dieser Maßnahme in den kommenden Wochen auf freiwilliger Basis anschließen, und die Maßnahme selbst wird im Laufe des Jahres 2027 eingeleitet.

Weitere Informationen über den koordinierten Durchsetzungsrahmen (CEF) sowie die Berichte über die früheren CEF-Maßnahmen finden Sie hier.

Hinweis für Redakteure:

* Am 17. Dezember 2021 hat die Europäische Kommission einen Angemessenheitsbeschluss angenommen, in dem anerkannt wird, dass der Datenschutzrahmen der Republik Korea ein angemessenes Datenschutzniveau bietet. Die Annahme eines Angemessenheitsbeschlusses umfasst Folgendes:

• einen Vorschlag der Europäischen Kommission;
• eine Stellungnahme des Europäischen Datenschutzausschusses;
• eine Genehmigung von Vertretern der EU-Länder;
• die Annahme des Beschlusses durch die Europäische Kommission.

Die Kommission ist verpflichtet, die Angemessenheitsbeschlüsse regelmäßig zu überprüfen und dem Europäischen Parlament und dem Rat über ihre Ergebnisse Bericht zu erstatten. Regelmäßige Überprüfungen stellen sicher, dass der wesentliche Äquivalenzstandard erhalten bleibt.

Das Verfahren für die erste Überprüfung der Funktionsweise des Angemessenheitsbeschlusses fand 2025 statt und bestand insbesondere aus einer Online-Überprüfungssitzung am 17. Oktober 2025. Die Kommission forderte den EDSA auf, im Einklang mit Erwägungsgrund 221 des Angemessenheitsbeschlusses Koreas an der Überprüfungssitzung teilzunehmen.

Am 23. Juli 2026 veröffentlichte die Europäische Kommission den Bericht an das Europäische Parlament und den Rat über die erste Überprüfung der Funktionsweise des Angemessenheitsbeschlusses für die Republik Korea zusammen mit einer Arbeitsunterlage der Kommissionsdienststellen (SWD(2026) 231 final). Die Kommission kam zu dem Schluss, dass die Republik Korea vorbehaltlich ihres geänderten Datenschutzrahmens weiterhin ein angemessenes Schutzniveau für personenbezogene Daten aus der Europäischen Union für Einrichtungen in der Republik Korea gewährleistet.

Angesichts des Ergebnisses der Überprüfung stimmt der EDSA dem Vorschlag der Europäischen Kommission zu, zu einem vierjährigen Überprüfungszyklus dieses Angemessenheitsbeschlusses überzugehen.

Dies ist eine automatische Übersetzung einer öffentlichen Konsultation und kann Fehler enthalten. Sie ersetzt nicht die offizielle englische Version.