Sicherheit der Verarbeitung: Ist ein Verzicht möglich?

Angestoßen hatte die Diskussion die österreichische Datenschutzbehörde. Sie kam bereits 2018 zu dem Ergebnis, dass die betroffene Person nicht in eine Beschränkung von Art. 32 DSGVO einwilligen könne (Bescheid vom 16.11.2018, Az. D213.692/0001-DSB/2018; siehe dazu auch die Analyse von Dr. Ehmann, Heft 07/2019, Seite 1–4, https://ogy.de/dp-mangelhafte-datensicherheit).

Der Beschluss der DSK

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) positioniert sich nun ebenfalls zu dieser Frage. Der Beschluss „Zur Möglichkeit der Nichtanwendung technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO auf ausdrücklichen Wunsch betroffener Personen“ vom 24.11.2021 fiel gegen die Stimme Sachsens und ist abrufbar unter https://ogy.de/Beschluss-Verzicht-auf-TOMs. In ihrem Beschluss heißt es:

• „Die vom Verantwortlichen nach Art. 32 DSGVO vorzuhaltenden technischen und organisatorischen Maßnahmen beruhen auf objektiven Rechtspflichten, die nicht zur Disposition der Beteiligten stehen.
• Ein Verzicht auf die vom Verantwortlichen vorzuhaltenden technischen und organisatorischen Maßnahmen oder die Absenkung des gesetzlich vorgeschriebenen Standards auf der Basis einer Einwilligung nach Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO ist nicht zulässig.
• Unter Beachtung des Selbstbestimmungsrechts der betroffenen Person und der Rechte weiterer betroffener Personen kann es in zu dokumentierenden Einzelfällen möglich sein, dass der Verantwortliche auf ausdrücklichen, eigeninitiativen Wunsch der informierten betroff…