Verfahrensverordnung (EU) 2025/2518 zur DSGVO

Schon der Begriff „Verfahrensregelungen“ löst oft eine gewisse Unlust aus. Derartige Vorgaben scheinen nur Behörden zu betreffen, hier also die Aufsichtsbehörden für den Datenschutz. Doch dieser Eindruck täuscht. Sobald sich ein Unternehmen in der Rolle einer „untersuchten Partei“ wiederfindet, die bei einer grenzüberschreitenden Verarbeitung von personenbezogenen Daten möglicherweise gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen hat, muss es diese Regelungen kennen. Denn dann ist das Unternehmen einer der Akteure des Verfahrens, ob es will oder nicht.

Zwei Ebenen der Durchsetzung sind wichtig

Die DSGVO ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat der EU. So legt es ihr letzter Satz fest. Um diese Vorgabe mit Leben zu füllen, muss die praktische Umsetzung der DSGVO auf gerichtlicher und behördlicher Ebene funktionieren:

• Falls es Unklarheiten über die Auslegung ihrer rechtlichen Vorgaben gibt, bedarf es einer EU-weiten Koordination der Rechtsprechung. Diese Funktion erfüllt der Europäische Gerichtshof (EuGH). Wichtigstes Instrument dafür sind die sogenannten „Vorabentscheidungsersuchen“.
• Mit ihnen können sich die Gerichte der EU-Mitgliedstaaten an den EuGH wenden und ihm Fragen zur Auslegung des EU-Rechts stellen. Die Einzelheiten hierzu sind geregelt in Art. 267 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV). Zur DSGVO sind inzwischen mindestens 150 solche Entscheidungen ergangen.
• Die alltägliche Durchsetzung der ­DSGVO durch die Behandlung von Be…