Zusammenfassung der Stellungnahme des Europäischen Datenschutzbeauftragten zu dem Vorschlag für eine Pilotregelung für auf der Distributed-Ledger-Technologie basierende Marktinfrastrukturen

(Der vollständige Text dieser Stellungnahme ist in englischer, französischer und deutscher Sprache auf der Internetpräsenz des EDSB unter www.edps.europa.euwww.edps.europa.eu

(2021/C 229/04)

Am 24. September 2020 nahm die Europäische Kommission ihren Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über eine Pilotregelung für auf der Distributed-Ledger-Technologie basierende Marktinfrastrukturen (COM (2020) 594 final) an. In dem Vorschlag werden harmonisierte Anforderungen an bestimmte Marktteilnehmer festgelegt, die eine Genehmigung für die Einrichtung einer DLT-Marktinfrastruktur beantragen und erhalten möchten.

Der EDSB betont, dass der Schutz personenbezogener Daten kein Hindernis für die Innovation und insbesondere für die Entwicklung neuer Technologien im Finanzsektor darstellt. Gleichzeitig weist er darauf hin, dass Maßnahmen auf EU-Ebene in Bezug auf innovative Technologien, bei denen personenbezogene Daten verarbeitet werden, den allgemeinen Grundsätzen der Notwendigkeit und Verhältnismäßigkeit entsprechen müssen. Da wir bisher keinen umfassenden Überblick über die Auswirkungen dieser neuen Technologien auf unsere Gesellschaft haben, ist der EDSB zudem der Auffassung, dass das Vorsorgeprinzip befolgt werden sollte.

Der EDSB stellt fest, dass je nach Konfiguration der DLT die darin gespeicherten Meta- oder Transaktionsdaten als personenbezogene Daten gelten können, wenn sie sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Daher müssen die für die Verarbeitung Verantwortlichen die Konfiguration der DLT sorgfältig analysieren und dokumentieren, um festzustellen, ob damit personenbezogene Daten verarbeitet werden und die Vorgänge somit den Datenschutzverpflichtungen unterliegen.

Der EDSB hebt hervor, dass die für Digital Ledgers verwendete Technologie, insbesondere im Fall öffentlicher und genehmigungsfreier Ledgers, entscheidende Fragen hinsichtlich ihrer Vereinbarkeit mit den Datenschutzanforderungen aufwirft.

Der EDSB ist der Auffassung, dass vor Inkrafttreten des Vorschlags eine Diskussion über die Vereinbarkeit von DLT-Systemen im Allgemeinen mit den Datenschutz-Rahmenbestimmungen stattfinden sollte.

Der EDSB stellt fest, dass wenn DLT in der Blockchain personenbezogene Daten enthalten, die damit verbundenen Verarbeitungsvorgänge wahrscheinlich die Kriterien für die Einstufung als Verarbeitungsvorgang mit hohem Risiko erfüllen. Daher muss der für die Verarbeitung Verantwortliche vor der Verarbeitung personenbezogener Daten eine Datenschutz-Folgenabschätzung für die geplanten Verarbeitungsvorgänge durchführen. Darüber hinaus kann eine vorherige Genehmigung durch die zuständige Datenschutzbehörde erforderlich sein.

Der EDSB empfiehlt, dass in dem Vorschlag als Teil des Antrags auf eine Genehmigung für den Betrieb einer DLT-Marktinfrastruktur entsprechende Informationen, gegebenenfalls die Kerninformationen zu den geplanten Verarbeitungsvorgängen, gefordert werden. Darüber hinaus empfiehlt er, dass Betreiber von DLT-Marktinfrastrukturen den Datenschutzhinweis an derselben Stelle ihrer Betriebsinformationen veröffentlichen sollten, wie im Vorschlag gefordert.

Der EDSB betont, dass die im Vorschlag für den Betrieb von DLT-Marktinfrastrukturen vorgesehenen IT- und Cyber-Strukturen auch im Einklang mit den Verpflichtungen gemäß Artikel 22 und 32 der DSGVO stehen müssen. (1)

Schließlich empfiehlt der EDSB, im Zusammenhang mit der Meldung operativer Probleme durch die Betreiber von DLT-Marktinfrastrukturen in einem Erwägungsgrund darauf hinzuweisen, dass der Betreiber im Falle von Verletzungen des Schutzes personenbezogener Daten diese auch der zuständigen Datenschutzbehörde gemäß Artikel 33 der DSGVO und gegebenenfalls den betroffenen Personen gemäß Artikel 34 der DSGVO melden muss.

3.   HINTERGRUND

5.   SCHLUSSFOLGERUNGEN

Vor diesem Hintergrund

(1)  Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1).

(2)  Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über Märkte für Kryptowerte und zur Änderung der Richtlinie (EU) 2019/1937, COM(2020) 593 final. Abrufbar unter EUR-Lex - 52020PC0593 - EN - EUR-Lex (europa.eu)

(3)  Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über die Betriebsstabilität digitaler Systeme des Finanzsektors und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014 und (EU) Nr. 909/2014, COM/2020/595 final, abrufbar unter EUR-Lex - 52020PC0595 - EN - EUR-Lex (europa.eu)

(4)  Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates zur Änderung der Richtlinien 2006/43/EG, 2009/65/EG, 2009/138/EG, 2011/61/EU, 2013/36/EU, 2014/65/EU, (EU) 2015/2366 und (EU) 2016/2341, COM/2020/596 final. Abrufbar unter EUR-Lex - 52020PC0596 - EN - EUR-Lex (europa.eu)