EDPB: Europas Digitalaufsicht braucht Schnittstellen

Die EU hat in den vergangenen Jahren ein dichtes Regelwerk für digitale Märkte gebaut. Datenschutz, Plattformpflichten, Wettbewerb, KI-Systeme: Auf dem Papier sind die Zuständigkeiten verteilt. In der Praxis laufen viele Fälle nicht sauber entlang dieser Linien. Ein KI-Dienst kann Datenschutzfragen auslösen, Plattformrisiken berühren und zugleich Marktverhalten betreffen. Genau an dieser Stelle setzt die neue Forderung des Europäischen Datenschutzausschusses an.

Der EDPB fordert die Europäische Kommission auf, eine klare Rechtsgrundlage für den Informationsaustausch zwischen Regulierungsbehörden mit unterschiedlichen Zuständigkeiten vorzuschlagen. Es geht nicht nur um freundliche Abstimmung oder Arbeitsgruppen. Gemeint ist ein belastbarer Rechtsrahmen, der auch den Austausch vertraulicher Informationen erlaubt, soweit diese für die Durchsetzung im jeweiligen Zuständigkeitsbereich relevant sind. Die Mitteilung des Europäischen Datenschutzausschusses folgt auf ein hochrangiges Treffen in Dublin am 16. und 17. Juli 2026.

Der Engpass sitzt zwischen den Behörden

Die Hauptthese ist schlicht: Europas Digitalaufsicht scheitert nicht zuerst an fehlenden Normen, sondern an den Schnittstellen zwischen den Institutionen. Die DSGVO ist seit Jahren in Kraft. Daneben sind weitere EU-Regime für digitale Dienste, Märkte und KI entstanden. Doch Behörden können Informationen nicht beliebig weiterreichen, nur weil ein Fall fachlich in mehrere Bereiche fällt. Vertraulichkeit, Amtsgeheimnisse, nationale Verfahrensregeln und unterschiedliche Mandate setzen Grenzen.

Für die großen Plattformbetreiber ist diese Trennung lange Teil der operativen Realität gewesen. Eine Datenschutzbehörde sieht einen Ausschnitt, eine Wettbewerbsbehörde einen anderen, eine Plattformaufsicht wiederum einen dritten. Das heißt nicht, dass Durchsetzung unmöglich ist. Aber sie wird langsamer, fragmentierter und personalintensiver. Wer über mehrere Rechtsräume hinweg reguliert werden soll, trifft bisher oft auf Behörden, die zwar ähnliche Gegenstände betrachten, aber nicht immer dieselben Aktenräume betreten dürfen.

Der EDPB beschreibt diesen Punkt vorsichtig, aber deutlich. Erfahrungen mit anderen digitalen EU-Regulierern auf nationaler und europäischer Ebene hätten gezeigt, dass stärkere gesetzliche Grundlagen nötig seien, um Kooperation und Informationsaustausch zu erleichtern. Das ist ein infrastruktureller Satz. Er handelt weniger von Datenschutzdogmatik als von Verwaltungskapazität.

Warum vertrauliche Informationen der Kern sind

Der entscheidende Begriff in der Forderung ist nicht „Kooperation“, sondern „vertrauliche Informationen“. Öffentliche Berichte, Pressemitteilungen und allgemeine Leitlinien lassen sich ohnehin austauschen. Für Durchsetzung zählen andere Dinge: Beschwerdeakten, technische Feststellungen, interne Einschätzungen, Marktinformationen, Verfahrensstände. Genau dort werden Behörden vorsichtig, weil falscher Austausch Verfahren angreifbar machen oder gesetzliche Geheimhaltungspflichten verletzen kann.

Eine neue Rechtsgrundlage würde diesen Raum nicht automatisch grenzenlos öffnen. Der EDPB verlangt keinen gemeinsamen Datentopf für alle Aufseher. Er fordert eine Grundlage, damit zuständige Regulierer Informationen austauschen können, wenn diese für ihre jeweilige Durchsetzungsarbeit relevant sind. Das klingt trocken, wäre aber für komplexe Digitalfälle eine erhebliche Veränderung.

Für Unternehmen hätte das eine direkte Folge: Compliance ließe sich weniger stark nach Aufsichts-Silos organisieren. Ein Sachverhalt, der in einem Datenschutzverfahren sichtbar wird, könnte leichter für eine andere Behörde relevant werden, sofern der Gesetzgeber den Austausch entsprechend ermöglicht. Umgekehrt kann eine Plattformaufsicht Informationen besitzen, die für Datenschutzfragen wichtig sind. Der operative Spielraum zwischen den Zuständigkeiten würde kleiner.

KI verschärft das Ressourcenproblem

Der EDPB verknüpft die Forderung mit einem zweiten Problem: Die Datenschutzbehörden sehen sich mit mehr und komplexeren Beschwerden konfrontiert, unter anderem wegen des stärkeren Einsatzes von KI. Das ist keine abstrakte Belastung. KI-Dienste erzeugen oft Verfahren, die technische Analyse, rechtliche Bewertung und Marktkenntnis gleichzeitig verlangen. Trainingsdaten, automatisierte Entscheidungen, Transparenzpflichten, Betroffenenrechte und Verantwortlichkeiten lassen sich nicht mit Standardformularen abarbeiten.

Die Behörden arbeiten dabei bereits unter knappen Ressourcen. Der Ausschuss weist darauf hin, dass diese Belastung die Fähigkeit der Datenschutzaufsichten einschränkt, ihre Aufgaben und Befugnisse nach der DSGVO effizient wahrzunehmen. Deshalb diskutierte der EDPB in Dublin auch praktische Ansätze: intensivere Zusammenarbeit zwischen Datenschutzbehörden, gemeinsamer Ressourceneinsatz und die Möglichkeit, dass Behörden, bei denen Beschwerden eingehen, die federführende Aufsicht unterstützen.

Das ist für die Plattformstrategie großer Anbieter relevant. Viele Verfahren hängen nicht nur an juristischen Argumenten, sondern an Geschwindigkeit und Ausdauer der Aufsicht. Wer viele Nutzer in mehreren Mitgliedstaaten hat, erzeugt schnell Verfahren mit hoher Fallzahl und grenzüberschreitender Struktur. Wenn Behörden Ressourcen bündeln und Informationen sauber austauschen können, sinkt der Vorteil, den große Organisationen aus der Komplexität ihrer eigenen Struktur ziehen.

Mehr Kohärenz heißt weniger Flucht in Grauzonen

Der EDPB spricht auch über die konsistente Anwendung der DSGVO. Das ist ein alter Schwachpunkt europäischer Datenschutzdurchsetzung: dieselbe Verordnung, aber unterschiedliche nationale Verfahrensweisen, verschiedene Gerichte, unterschiedliche Ressourcen und abweichende Fallgeschwindigkeiten. Der Ausschuss verweist zwar auf Fortschritte bei der grenzüberschreitenden Durchsetzung. Zugleich bleibt sichtbar, dass Kohärenz nicht allein durch eine europäische Regel entsteht.

Geplant sind Workshops zu Durchsetzungsverfahren und zum Austausch über nationale Praktiken, auch mit Blick auf die kommende DSGVO-Verfahrensverordnung. Des Hogan, der irische Datenschutzkommissar und Vorsitzende der irischen Behörde, betont in der EDPB-Mitteilung den Nutzen gemeinsamer Operationen und des Informationsaustauschs für effizientere Verfahren, besseren Schutz von Personen und mehr regulatorische Klarheit für Unternehmen.

Die irische Rolle ist dabei nicht nebensächlich. Viele große Technologieunternehmen haben ihre europäischen Strukturen in Irland. Dadurch lag ein erheblicher Teil wichtiger grenzüberschreitender DSGVO-Verfahren bei der irischen Aufsicht. Jede Diskussion über Ressourcen, federführende Behörden und Unterstützung durch andere Aufsichten berührt deshalb auch die Frage, wie Europa Verfahren gegen große Plattformen praktisch organisiert.

Der nächste Schritt liegt bei der Kommission

Noch ist die Forderung des EDPB kein Gesetz. Die Kommission müsste einen Vorschlag vorlegen, der anschließend das übliche EU-Gesetzgebungsverfahren durchläuft. Dabei wird es um mehr gehen als um Verwaltungsbequemlichkeit. Ein solcher Rahmen müsste klären, welche Behörden beteiligt sind, welche Informationen geteilt werden dürfen, welche Schutzvorkehrungen gelten und wie Verfahrensrechte gewahrt bleiben.

Für die Industrie wäre eine saubere Regelung nicht nur Risiko. Sie könnte auch Unsicherheit reduzieren. Wenn Behörden koordinierter arbeiten, werden Maßstäbe sichtbarer und Doppelarbeit kann sinken. Der Preis dafür ist eine Aufsicht, die weniger leicht an institutionellen Grenzen stehenbleibt.

Der EDPB formuliert damit keinen großen politischen Entwurf, sondern eine operative Forderung. Genau das macht sie wichtig. Digitale Regulierung wird nicht allein dadurch wirksam, dass neue Pflichten beschlossen werden. Sie braucht Wege, auf denen Behörden Fälle gemeinsam sehen können, ohne ihre Mandate zu überschreiten. Europas nächster Test liegt daher nicht im nächsten Regelbuch, sondern in der Frage, ob die Aufsicht ihre eigenen Schnittstellen rechtssicher schließen kann.