Was sich geändert hat
- Billigung eines vierjährigen Überprüfungszyklus für den Angemessenheitsbeschluss der Republik Korea auf der Grundlage von PIPA-Gesetzesänderungen.
- Annahme der endgültigen Empfehlungen für bindende interne Datenschutzvorschriften für Auftragsverarbeiter (BCR-P), deren Einhaltung spätestens mit der jährlichen Aktualisierung 2028 erforderlich ist.
- Auswahl KI-gestützter automatisierter Entscheidungsfindung bei der Bewerberrekrutierung für den Koordinierten Durchsetzungsrahmen 2027.
Der Europäische Datenschutzausschuss (EDSA) hat auf seiner jüngsten Plenartagung drei wesentliche regulatorische Aktualisierungen verabschiedet, die sich direkt auf Instrumente für den internationalen Datentransfer, konzerninterne Datenverarbeitungsvorschriften sowie die aufsichtsrechtliche Durchsetzung in der gesamten Europäischen Union auswirken.
Erstens nahm der EDSA eine Erklärung zur ersten Überprüfung des Angemessenheitsbeschlusses für die Republik Korea an. Im Anschluss an eine Online-Überprüfungssitzung am 17. Oktober 2025 und den anschliessenden Bericht der Europäischen Kommission vom 23. Juli 2026 (SWD(2026) 231 final) begrüsste der EDSA wesentliche Änderungen am südkoreanischen Gesetz zum Schutz personenbezogener Informationen (PIPA). Gesetzliche Änderungen führten ein allgemeines Recht auf Widerruf der Einwilligung, Rechte auf Beantragung der Aussetzung der Verarbeitung sowie Rechte auf Ablehnung oder Anforderung von Erklärungen für automatisierte Entscheidungen ein, einschliesslich solcher, die durch KI-Systeme unterstützt werden. Darüber hinaus klärte Artikel 28-8 PIPA den Rechtsrahmen für internationale Übermittlungen, indem er spezifische Übermittlungsinstrumente als Alternativen zur Einwilligung bereitstellte, während die Durchsetzungsbefugnisse der Kommission zum Schutz personenbezogener Informationen (PIPC) gestärkt wurden. Infolgedessen stimmte der EDSA dem Vorschlag der Kommission zu, zu einem vierjährigen Überprüfungszyklus für die Angemessenheit überzugehen.
Zweitens hat der EDSA Empfehlungen zu bindenden internen Datenschutzvorschriften für Auftragsverarbeiter (BCR-P) fertiggestellt und angenommen. BCR-P dienen Unternehmensgruppen oder Unternehmungen als rechtliches Instrument zur Übermittlung personenbezogener Daten ausserhalb Europas an Auftragsverarbeiter innerhalb derselben Unternehmensgruppe, während Datenschutzstandards aufrechterhalten werden, die im Wesentlichen der DSGVO entsprechen. Diese Empfehlungen gelten ab sofort für alle derzeitigen Inhaber von BCR-P sowie für neue und laufende Antragsteller. Organisationen müssen ihre BCR-P-Rahmenwerke während des Antragsverfahrens oder im Rahmen ihrer jährlichen Aktualisierung 2028 anpassen.
Drittens wählte der Ausschuss automatisierte Entscheidungsfindung (ADM), einschliesslich KI-gestützter Tools bei der Bewerberrekrutierung, als Thema für seine sechste Massnahme im Rahmen des Koordinierten Durchsetzungsrahmens (CEF) aus. Die für 2027 geplante Massnahme wird bewerten, wie Datenschutzbehörden das Recht von Einzelpersonen durchsetzen, nicht einer ausschliesslich automatisierten Entscheidung unterworfen zu werden, sowie das damit verbundene Auskunftsrecht bezüglich der automatisierten Bewerbervorauswahl.
Organisationen, die Daten zwischen der EU und Südkorea übermitteln, multinationale Konzerne, die BCR-P-Übermittlungsmechanismen nutzen, und Arbeitgeber, die automatisierte Rekrutierungssoftware einsetzen, sollten ihre Betriebsabläufe im Hinblick auf diese aktualisierten regulatorischen Standards überprüfen.
Wer betroffen sein kann
Organisationen, die Datenübermittlungen zwischen der EU und Südkorea durchführen, Unternehmensgruppen, die sich bei konzerninternen internationalen Datenübermittlungen auf Auftragsverarbeiter-BCR stützen, und Arbeitgeber, die automatisierte oder KI-basierte Instrumente zur Bewerbervorauswahl nutzen.
Grenzüberschreitender Kontext
Betrifft Datenübermittlungen aus der EU in die Republik Korea im Rahmen des DSGVO-Angemessenheitsrahmens und regelt Übermittlungen ausserhalb Europas an Konzern-Auftragsverarbeiter im Rahmen von bindenden internen Datenschutzvorschriften für Auftragsverarbeiter.
Was als Nächstes zu prüfen ist
- Prüfen Sie die fertiggestellten EDSA-Empfehlungen und das Dokument mit Nachverfolgung der Änderungen für bindende interne Datenschutzvorschriften für Auftragsverarbeiter.
- Verfolgen Sie die freiwilligen Anmeldungen nationaler Datenschutzbehörden für die CEF-Durchsetzungsmassnahme 2027 zur Rekrutierung.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.