EDPB setzt bei seiner koordinierten Maßnahme 2026 auf Transparenz bei der Datennutzung

Der Europäische Datenschutzausschuss (EDPB) hat Transparenz und die Pflicht zur Information als Thema seiner fünften koordinierten Aufsichtsmaßnahme ausgewählt. Die Initiative befasst sich mit den Pflichten aus den Artikeln 12, 13 und 14 der Datenschutz-Grundverordnung (DSGVO). Diese legen fest, wie Personen informiert werden müssen, wenn ihre Daten verarbeitet werden. Die am 14. Oktober 2025 bekannt gegebene Maßnahme sieht vor, dass die beteiligten Behörden im Laufe des Jahres 2026 zu diesem Thema arbeiten. Sie führt keine neue Pflicht ein: Vielmehr bündelt sie die Aufmerksamkeit der Behörden auf bereits in der DSGVO festgelegte Pflichten. Quelle: EDPB.

Diese Unterscheidung ist wichtig, weil die Überschrift einer Aufsichtsinitiative mit einer Gesetzesänderung, einem Urteil oder einer Sanktionskampagne verwechselt werden kann. Die Mitteilung kündigt nichts davon an. Sie beschreibt einen gemeinsamen Schwerpunkt für Datenschutzaufsichtsbehörden, die sich freiwillig mit dem Thema befassen können; ihre nationalen Ergebnisse werden später zusammengeführt und ausgewertet. Die Nachricht betrifft somit den gewählten Schwerpunkt und die Koordinierungsmethode, nicht eine Aussage über den Stand der Regelkonformität von Unternehmen oder Behörden. Zum Zeitpunkt dieses Artikels enthält die Ankündigung keine Ergebnisse der Überprüfungen.

Im Sinne der DSGVO bedeutet Informieren nicht lediglich, eine umfangreiche Erklärung auf einer Website zu veröffentlichen. Der EDPB verbindet die Maßnahme mit den Informationspflichten aus den Artikeln 12, 13 und 14. Artikel 12 betrifft die Form der Bereitstellung von Informationen und die Kommunikation mit betroffenen Personen; Artikel 13 und 14 regeln die Informationen, die bereitzustellen sind, wenn Daten bei der betroffenen Person selbst oder aus einer anderen Quelle erhoben werden. Die Themenauswahl deutet daher darauf hin, dass untersucht werden soll, wie Organisationen die Datenverarbeitung erklären – und nicht nur, ob ein Dokument mit der Überschrift „Datenschutz“ vorhanden ist. Quelle: EDPB.

Die Mitteilung der Behörde stellt das Recht auf Information als zentralen Bestandteil von Transparenz und als Voraussetzung dafür dar, dass Menschen mehr Kontrolle über ihre Daten ausüben können. Das hat praktische Bedeutung: Eine Erklärung, aus der nicht hervorgeht, was mit den Daten geschieht, kann es erschweren, die eigenen Möglichkeiten einzuschätzen oder Rechte wahrzunehmen. Das ist eine Auslegung des erklärten Ziels und kein Ergebnis bereits veröffentlichter Prüfungen. Die Ankündigung nennt weder bestimmte Branchen oder Unternehmen noch konkrete Praktiken als rechtswidrig; daraus einzelne Feststellungen abzuleiten, würde über die verfügbaren Belege hinausgehen.

Der EDPB erläutert, dass der Ausschuss bei einer koordinierten Maßnahme ein vorrangiges Thema festlegt, mit dem sich die nationalen Behörden in ihrem jeweiligen Zuständigkeitsbereich befassen können. Die Teilnahme ist freiwillig. Zu einem späteren Zeitpunkt werden die nationalen Ergebnisse zusammengeführt und ausgewertet, um ein umfassenderes Bild zu gewinnen und mögliche Folgemaßnahmen auf nationaler oder europäischer Ebene zu unterstützen. Laut Ankündigung soll die neue Maßnahme im Laufe des Jahres 2026 anlaufen; ein einheitlicher Starttermin oder ein gemeinsamer Prüfkalender wird jedoch nicht genannt. Quelle: EDPB.

Dieses Modell verbindet einen gemeinsamen thematischen Schwerpunkt mit einer dezentralen Durchführung. Es handelt sich nicht um eine einzige, von Brüssel aus geleitete Untersuchung, und es bedeutet auch nicht, dass alle Behörden dieselben Fälle im gleichen Zeitplan prüfen. Zudem sollten drei Phasen auseinandergehalten werden: die Auswahl eines Themas, die Arbeit, für die sich die einzelnen Behörden entscheiden, und die spätere Veröffentlichung zusammengefasster Schlussfolgerungen. Der vorliegende Text belegt die erste Phase und beschreibt die weiteren als geplante Schritte, enthält aber noch keine Ergebnisse dieses Durchgangs. Angaben zu geprüften Organisationen oder festgestellten Verstößen benötigen deshalb eine konkrete spätere Quelle.

Für eine Organisation, die personenbezogene Daten verarbeitet, ist die Initiative ein Signal für die aufsichtliche Aufmerksamkeit gegenüber der Art der Information. Sie belegt nicht, dass eine Prüfung im konkreten Fall begonnen hat, und ersetzt keine individuelle rechtliche Bewertung. Als allgemeine Orientierung ist es sinnvoll zu prüfen, ob Erläuterungen zur Verarbeitung verständlich sind und ob die erforderlichen Informationen zum passenden Zeitpunkt und im jeweiligen Zusammenhang bereitgestellt werden. Das ist eine praktische Empfehlung, die sich aus dem angekündigten Thema ergibt, keine vom Kommuniqué vorgeschriebene Maßnahmenliste. Welche Pflicht gilt, hängt weiterhin von der DSGVO und den Umständen der Verarbeitung ab.

Für Nutzer bedeutet die Ankündigung zunächst weder eine neue Funktion noch einen zusätzlichen Beschwerdemechanismus des EDPB. Ihre Bedeutung liegt darin, dass die Behörden gemeinsam darauf achten wollen, ob Menschen Informationen zur Verwendung ihrer Daten erhalten. Wer wissen möchte, wie ein bestimmtes Unternehmen eigene Daten verarbeitet, erhält die Antwort nicht durch diese Nachricht allein: Dafür müssen die Informationen der Organisation eingesehen und gegebenenfalls die zuständige Aufsichtsbehörde kontaktiert werden. Die Auswahl eines Aufsichtsthemas belegt für sich genommen nicht, dass eine Stelle die Vorschriften einhält oder verletzt.

Die Mitteilung vom Oktober 2025 ist eine Primärquelle für die Entscheidung des EDPB und das angekündigte Vorgehen. Sie ist kein Ergebnisbericht zur Maßnahme von 2026. Die Seite erklärt, dass die Ergebnisse nationaler Maßnahmen zusammengeführt und analysiert werden, um Erkenntnisse zu gewinnen und Folgemaßnahmen zu ermöglichen. Sie sagt jedoch nicht, dass jede Maßnahme zu Sanktionen führt, und nimmt keine späteren Schlussfolgerungen vorweg. Solange keine späteren Veröffentlichungen vorliegen, lässt sich anhand dieses Materials nicht belegen, wie viele Behörden teilnehmen, welche Organisationen sie prüfen oder welche Mängel sie feststellen werden. Quelle: EDPB.

Die treffendste Einordnung ist daher konkret, aber begrenzt: Europa hat Transparenz und die Information von Personen als Schwerpunkt einer für 2026 geplanten koordinierten Maßnahme festgelegt. Das ist ein relevantes Signal für alle, die Datenverarbeitungsprozesse und Datenschutzhinweise gestalten, aber weder eine Änderung der Vorschriften noch eine Bewertung der Regelkonformität. Die nächsten hilfreichen Informationen werden die Durchführung dokumentieren und später Ergebnisse vorlegen. Bis dahin verhindert die Unterscheidung zwischen dem Angekündigten und dem Nachgewiesenen, dass aus einer Aufsichtspriorität eine von der Quelle nicht gestützte Schlussfolgerung wird.