Was sich geändert hat
- Der EDPB befürwortete einen 4-jährigen Prüfungszyklus für den Angemessenheitsbeschluss Südkoreas nach gesetzlichen PIPA-Aktualisierungen zu Einwilligung, Aussetzung der Verarbeitung und Rechten bei automatisierten Entscheidungen.
- Es wurden die finalen Empfehlungen für verbindliche interne Datenschutzvorschriften für Auftragsverarbeiter (BCR-P) verabschiedet, die eine Konformitätsanpassung während des Antragsverfahrens oder bis zum jährlichen Update 2028 erfordern.
- Die Aktion des koordinierten Durchsetzungsrahmens (CEF) 2027 wird sich auf KI-gestützte Recruiting-Tools und die Rechte von Bewerbern in Bezug auf automatisierte Entscheidungsfindung konzentrieren.
Am 10. November 2026 verabschiedete der Europäische Datenschutzausschuss (EDPB) eine Erklärung zur ersten Überprüfung des Angemessenheitsbeschlusses für die Republik Korea, veröffentlichte finale Empfehlungen zu verbindlichen internen Datenschutzvorschriften für Auftragsverarbeiter (BCR-P) und gab KI-gestütztes Recruiting als Thema für seine Aktion im Rahmen des koordinierten Durchsetzungsrahmens (CEF) 2027 bekannt. Diese Entwicklungen betreffen multinationale Unternehmensgruppen, Auftragsverarbeiter, die grenzüberschreitende Datenübermittlungen ausserhalb Europas durchführen, sowie Arbeitgeber, die automatisierte HR-Tools einsetzen.
Bezüglich der Republik Korea bewertete der EDPB jüngste Aktualisierungen des Gesetzes zum Schutz personenbezogener Informationen (PIPA). Zu den wesentlichen gesetzlichen Änderungen gehören ein allgemeines Recht auf Widerruf der Einwilligung, ein Recht auf Beantragung der Aussetzung der Verarbeitung sowie ein Recht auf Widerspruch gegen oder Anforderung von Erklärungen zu automatisierten Entscheidungen – einschliesslich solcher, die über Systeme der künstlichen Intelligenz (KI) getroffen werden –, die die Rechte oder Pflichten betroffener Personen erheblich beeinträchtigen. Artikel 28-8 PIPA klärte zudem Mechanismen für den internationalen Datentransfer und etablierte spezifische Alternativen zur Einwilligung. Nach dem Bericht der Europäischen Kommission vom 23. Juli 2026 [SWD(2026) 231 final] zur Bewertung des Angemessenheitsbeschlusses von 2021 (ursprünglich am 17. Dezember 2021 verabschiedet) befürwortete der EDPB die Umstellung des Prüfungszyklus für die Angemessenheit Südkoreas auf alle vier Jahre.
Für grenzüberschreitende Datenübermittlungen verabschiedete der EDPB nach einer öffentlichen Konsultation finale Empfehlungen zu BCR-P. BCR-P ermöglichen es Unternehmensgruppen, personenbezogene Daten ausserhalb Europas an konzerneigene Auftragsverarbeiter zu übermitteln und gleichzeitig durchsetzbare Rechte zu gewährleisten, die der Datenschutz-Grundverordnung (DSGVO) entsprechen. Die aktualisierten Empfehlungen gelten ab sofort für alle BCR-P-Inhaber, laufenden Antragsteller und neuen Antragsteller. Unternehmen müssen ihre BCR-P-Rahmenwerke entweder während des laufenden Antragsverfahrens oder im Rahmen ihrer jährlichen Updates für 2028 anpassen.
Schliesslich bestimmte der EDPB die automatisierte Entscheidungsfindung im KI-gestützten Recruiting zum CEF-Thema für 2027. Die Initiative konzentriert sich auf Tools zur Bewerbervorauswahl und setzt das Recht gemäss DSGVO durch, nicht einer ausschliesslich automatisierten Entscheidungsfindung unterworfen zu werden, zusammen mit dem entsprechenden Auskunftsrecht. Datenschutzbehörden werden auf freiwilliger Basis teilnehmen; die offiziellen Durchsetzungsmassnahmen starten 2027.
Wer betroffen sein kann
Multinationale Unternehmensgruppen, die personenbezogene Daten ausserhalb Europas übermitteln, Auftragsverarbeiter, die sich auf BCR-P stützen, Arbeitgeber, die automatisierte KI-Tools zur Bewerberauswahl nutzen, sowie betroffene Personen in der EU und in Südkorea.
Grenzüberschreitender Kontext
Gilt für grenzüberschreitende Datenflüsse zwischen der EU und Südkorea im Rahmen der Angemessenheitsregelung sowie für konzerninterne Übermittlungen ausserhalb Europas über BCR-P-Mechanismen.
Was als Nächstes zu prüfen ist
- Amtliches EDPB-Dokument zu den finalen Empfehlungen zu BCR-P sowie die Version mit nachverfolgten Änderungen prüfen.
- Unternehmenseigene BCR-P-Rahmenwerke bewerten, um die Anpassung für das jährliche Update 2028 oder das aktive Antragsverfahren zu terminieren.
- Ankündigungen nationaler Datenschutzbehörden bezüglich der freiwilligen Teilnahme an der CEF-Aktion 2027 zu KI-Recruiting-Tools verfolgen.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.