Einleitung und Rechtsgrundlage

Am 9. Dezember 2025 wurde die Europäische Zentralbank (EZB) vom Europäischen Parlament um Stellungnahme zu einem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnungen (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725, (EU) 2023/2854 und der Richtlinien 2002/58/EG, (EU) 2022/2555 und (EU) 2022/2557 hinsichtlich der Vereinfachung des digitalen Rechtsrahmens und zur Aufhebung der Verordnungen (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868 und der Richtlinie (EU) 2019/1024 (Digital-Omnibus-Verordnung) (1) (nachfolgend der „Verordnungsvorschlag“) ersucht.

Die Zuständigkeit der EZB zur Abgabe einer Stellungnahme beruht auf Artikel 127 Absatz 4 und Artikel 282 Absatz 5 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV), da der Verordnungsvorschlag Bestimmungen enthält, die in den Zuständigkeitsbereich der EZB fallen; hierzu gehören insbesondere die Ausführung der Geldpolitik gemäß Artikel 127 Absatz 2 erster Gedankenstrich und Artikel 282 Absatz 1 AEUV, das reibungslose Funktionieren der Zahlungssysteme gemäß Artikel 127 Absatz 2 vierter Gedankenstrich und Artikel 282 Absatz 1 AEUV, die Aufsicht über Kreditinstitute gemäß Artikel 127 Absatz 6 AEUV und die Aufgaben der EZB in Zusammenhang mit der Erhebung von statistischen Daten gemäß Artikel 5 der Satzung des Europäischen Systems der Zentralbanken und der Europäischen Zentralbank (nachfolgend die „ESZB-Satzung“). Diese Stellungnahme wurde gemäß Artikel 17.5 Satz 1 der Geschäftsordnung der Europäischen Zentralbank vom EZB-Rat verabschiedet.

1.   Allgemeine Anmerkungen

1.1.

Die EZB unterstützt den Verordnungsvorschlag, der eine wichtige Reform darstellt, die auf die Vereinfachung und Optimierung der Anwendung des digitalen Regelwerks in der Union abzielt. Soweit der Verordnungsvorschlag seine Ziele der Förderung von Strategien, die die Wettbewerbsfähigkeit der Union stärken und der Verringerung des Regelungsaufwands für die Menschen, Unternehmen und Verwaltungen wirksam umsetzt, wird er Hindernisse bei der Erbringung von Dienstleistungen beseitigen und die Entwicklung der digitalen Wirtschaft in der Union unterstützen. Gleichzeitig trägt er der Notwendigkeit Rechnung, bei der Förderung der Werte der Union höchste Standards zu wahren, einschließlich der Achtung der Grundrechte. Die digitale Wirtschaft gewinnt zunehmend an Bedeutung und kann Auswirkungen auf die Durchführung der Geldpolitik haben, da sie sich auf das Umfeld, das den Rahmen für die Geldpolitik bildet, auswirkt, indem sie Konsum- und Produktionsmuster, Geschäftsmodelle und relative Preise im Euro-Währungsgebiet und in den Mitgliedstaaten uneinheitlich verändert. Diese Entwicklungen haben erheblichen Einfluss auf für die Geldpolitik relevante Variablen und deren Messung, einschließlich Beschäftigung, Produktivität, Produktionspotenzial und Inflation. Sie wirken sich auch auf die Art und Weise der Transmission geldpolitischer Entscheidungen auf private Haushalte und Unternehmen erfolgt und erhöhen die Unsicherheit und Komplexität, mit der die politischen Entscheidungsträger konfrontiert sind.

1.2.

Die EZB begrüßt insbesondere die Vorschläge zur Vereinfachung der Regelungen für die Datenweitergabe durch Behörden an Unternehmen und durch Unternehmen an Behörden, sowie der Bestimmungen über die Verarbeitung personenbezogener Daten in der Verordnung (EU) 2023/2854 des Europäischen Parlaments und des Rates (2) (nachfolgend die „Datenverordnung“). Die EZB ist in großem Umfang an der Erhebung, Entwicklung, Erstellung und Verbreitung von Daten beteiligt, die sie zur Wahrnehmung der in ihren Zuständigkeitsbereich fallenden Aufgaben und Tätigkeiten nutzt. Diese Zuständigkeit umfasst die Erhebung statistischer Daten, wenn dies zur Wahrnehmung der Aufgaben des Europäischen Systems der Zentralbanken (ESZB) gemäß Artikel 5 der ESZB-Satzung erforderlich ist. Die EZB ist auch an vielen Kooperationsinitiativen beteiligt, die den Datenaustausch und die Zusammenarbeit mit anderen Organen, Einrichtungen und sonstigen Stellen der Union sowie mit den zuständigen Behörden der Mitgliedstaaten, Drittländern und internationalen Organisationen fördern. Bei der Wahrnehmung ihrer Aufgaben darf sie in Einklang mit der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates (3) (nachfolgend die „EU-DSVO“) unter bestimmten Umständen auch personenbezogene Daten verarbeiten. Aus diesen Gründen unterstützt die EZB Maßnahmen zur Schaffung eines kohärenten und einenden Rechtsrahmens zur Förderung der Verfügbarkeit und Nutzung von Daten.

1.3.

Die EZB ist auch dafür verantwortlich, die Einhaltung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (4) (nachfolgend die „DORA-Verordnung“), im Einklang mit den durch die genannte Verordnung übertragenen Aufsichtsbefugnissen und -aufgaben, durch Kreditinstitute sicherzustellen, die gemäß Artikel 6 Absatz 4 der Verordnung (EU) Nr. 1024/2013 des Rates (5) als bedeutend eingestuft werden (6). In dieser Eigenschaft erhält die EZB Meldungen bedeutender Kreditinstitute an deren zuständige nationale Behörden über schwerwiegende Vorfälle im Zusammenhang mit Informations- und Kommunikationstechnologie (nachfolgend „IKT-bezogene Vorfälle“) sowie über erhebliche Cyberbedrohungen. Darüber hinaus besteht gemäß Artikel 127 Absatz 2 vierter Gedankenstrich AEUV, der sich in Artikel 3.1 der ESZB-Satzung widerspiegelt, eine der grundlegenden Aufgaben des ESZB darin, das reibungslose Funktionieren der Zahlungssysteme zu fördern. In diesem Zusammenhang erhält die EZB gemäß der DORA-Verordnung Vorfallmeldungen von Zahlungsinstituten und E-Geld-Instituten sowie von Kreditinstituten. Angesichts dieser Zuständigkeiten und Aufgaben begrüßt die EZB generell die Bemühungen, den Rahmen für die Meldung IKT-bezogener Vorfälle innerhalb der Union stärker zu vereinfachen und zu harmonisieren und eine zentralisierte Meldung schwerwiegender IKT-bezogener Vorfälle einzuführen. Da der Finanzsektor bei der Umsetzung eines harmonisierten, umfassenden und wirksamen Rahmens für die Meldung von Vorfällen eine Vorreiterrolle gespielt hat, unterstützt die EZB auf der Grundlage der im Finanzsektor gewonnenen Erfahrungen Maßnahmen, die die Einhaltung der Anforderungen an die Meldung von Vorfällen vereinfachen.

1.4.

Die EZB hat jedoch Bedenken, inwieweit der Verordnungsvorschlag dem Ziel der Vereinfachung in den Fällen gerecht wird, in denen er den Aufwand für die Einhaltung der Regulierungsvorschriften für Unternehmen und Behörden nicht verringert. Dementsprechend macht die EZB in dieser Stellungnahme einige spezifische technische Anmerkungen und gibt Anregungen zu dem Verordnungsvorschlag.

1.5.

Angesichts dieser Bedenken begrüßt die EZB auch, dass die Kommission bis zum 12. September 2028 eine Bewertung der Hauptkapitel der Datenverordnung und innerhalb von fünf Jahren nach Inkrafttreten des Verordnungsvorschlags eine Bewertung der neuen Kapitel durchführen wird (7). Ebenso wichtig ist, dass die Überprüfungsklausel in der DORA-Verordnung (8) unverändert bestehen bleibt, in der vorgesehen ist, dass die Kommission eine Überprüfung durchzuführen und einen Bericht über die Funktionsweise vieler Aspekte der DORA-Verordnung vorzulegen hat. Dieser Überprüfungsprozess sollte sicherstellen, dass die Funktionsfähigkeit der betreffenden Verordnungen gewährleistet bleibt, damit ihre Ziele erreicht werden und so die Entwicklung der digitalen Wirtschaft in der Union zu unterstützt wird.

2.   Digitale Vorschriften

2.1.

Die EZB unterstützt den Verordnungsvorschlag uneingeschränkt als ersten Schritt zur Vereinfachung des digitalen Regelwerks und zu dessen optimierter Anwendung. Das Regelwerk digitaler Vorschriften, das im Laufe der Zeit in den Bereichen Daten, künstliche Intelligenz, Online-Plattformen, Datenschutz und Cybersicherheit entwickelt wurde, ist komplex geworden und enthält derzeit fragmentierte und sich überschneidende Bestimmungen, die sowohl bei Behörden als auch bei Unternehmen zu Unsicherheit führen.

2.2.

Die Konsolidierung von in der Verordnung (EU) 2022/868 des Europäischen Parlaments und des Rates (9) enthaltenen Vorschriften über die Weiterverwendung geschützter Daten im Besitz öffentlicher Stellen der Mitgliedstaaten mit in der Richtlinie (EU) 2019/1024 des Europäischen Parlaments und des Rates (10) enthaltenen Vorschriften über die Weiterverwendung von Dokumenten im Besitz öffentlicher Stellen der Mitgliedstaaten oder öffentlicher Unternehmen im Rahmen der Datenverordnung schafft kohärentere Strukturen und einheitlichere Definitionen von Schlüsselbegriffen und erleichtert so die Anwendung der Vorschriften über die gemeinsame Datennutzung. Dies wird durch die Aufhebung überholter Vorschriften, insbesondere der Vorschriften der Verordnung (EU) 2018/1807 des Europäischen Parlaments und des Rates, unterstützt (11).

2.3.

Für die nationalen Zentralbanken (NZBen), bei denen es sich allgemein um öffentliche Stellen der Mitgliedstaaten handelt und die daher den Vorschriften zur Erleichterung der Weiterverwendung von Daten unterliegen, schafft dies willkommene Klarheit. Die EZB und die NZBen werden auch von klareren Regelungen zur Verfügbarkeit von Daten, insbesondere zu Quellen offener Daten, die als hochwertige Datensätze eingestuft wurden, profitieren (12). Diese Datensätze werden von der EZB bei der Erfüllung ihrer Aufgabe nach Artikel 5.1 der ESZB-Satzung, statistische Daten einzuholen, die für die Wahrnehmung der Aufgaben des ESZB erforderlich sind, in großem Umfang genutzt.

2.4.

So werden beispielsweise Informationen über Unternehmen und das Eigentum an Unternehmen verwendet, um das Datenregister über Institute und verbundene Unternehmen (Register of Institutions and Affiliates Data — RIAD) zu führen, bei dem es sich um einen gemeinsam genutzten Datensatz an Referenzdaten zu rechtlichen und anderen statistischen Einheiten handelt, deren Erhebung die Geschäftsabläufe des Eurosystems und die Durchführung der Aufgaben des ESZB und des einheitlichen Aufsichtsmechanismus (SSM) unterstützt (13). Sofern sich die EZB auf offene Daten stützen kann, d. h. auf Daten in einem offenen Format, die von allen zu jedem Zweck frei verwendet, weiterverwendet und weitergegeben werden können (14), kann sie den Meldeaufwand für solche Daten für Berichtspflichtige verringern und diese Informationen innerhalb des ESZB und an andere Behörden, mit denen sie zusammenarbeitet, uneingeschränkt weitergeben. Die EZB begrüßt, dass die Regelungen über die Zurverfügungstellung von Daten und Dokumenten von Behörden an Unternehmen (15) die Rechtsvorschriften der Union über den Ausschluss des Zugangs zu sensiblen Daten und Dokumenten aus Gründen der statistischen Geheimhaltung und des Berufsgeheimnisses unberührt lassen.

2.5.

Mit dem Verordnungsvorschlag wird eine wichtige Änderung (16) der Verpflichtung der Dateninhaber eingeführt, der EZB — sowie anderen öffentlichen Stellen, der Kommission und Einrichtungen der Union — Daten zur Verfügung zu stellen, wenn eine außergewöhnliche Notwendigkeit der Nutzung dieser Daten besteht (17). Diese Bestimmung ermöglicht der EZB von Dateninhabern zu verlangen, Daten zur Verfügung zu stellen, wenn dies erforderlich ist, um auf einen öffentlichen Notstand zu reagieren, oder wenn eine außergewöhnliche Notwendigkeit nachgewiesen wird. Da der Begriff der Dateninhaber weit definiert ist (18), ermöglicht die Bestimmung der EZB, in diesen Ausnahmefällen Daten von einem breiteren Personenkreis zu erheben, als dies zulässig ist, wenn die EZB statistische Daten auf der Grundlage ihrer bestehenden Befugnisse erhebt. Die EZB darf statistische Daten lediglich von Mitgliedern des Kreises der Berichtspflichtigen im Sinne der Verordnung (EG) Nr. 2533/98 des Rates erheben (19), die in erster Linie dem Sektor „finanzielle Kapitalgesellschaften“ im Sinne des Europäischen Systems Volkswirtschaftlicher Gesamtrechnungen angehören (20) oder juristische und natürliche Personen sind, die bestimmte finanzielle Positionen halten oder finanzielle Transaktionen durchführen.

2.6.

Wie die EZB bereits in einer früheren Stellungnahme festgestellt hat, bringt es erhebliche Vorteile mit sich, wenn Behörden für festgelegte Zwecke des öffentlichen Interesses auf Daten privater Dateninhaber zugreifen und diese nutzen können (21). Bei der Wahrnehmung ihrer geldpolitischen Aufgaben nutzt die EZB in großem Umfang nicht nur amtliche Statistiken, die von der EZB mit Unterstützung der NZBen und des Europäischen Statistischen Systems (ESS) erstellt werden, sondern auch nicht amtliche und nicht traditionelle Datenquellen. Nicht traditionelle Daten können z. B. aus hochfrequenten Preisinformationen und Indikatoren für die Mobilität der Bevölkerung oder aus anderen Datenquellen stammen, die sich nicht unbedingt im Besitz finanzieller Kapitalgesellschaften befinden. Die EZB ist nur dann befugt, diese Daten von privaten Dateninhabern anzufordern, wenn eine außergewöhnliche Notwendigkeit besteht.

2.7.

Die wichtigste Änderung, die mit dem Verordnungsvorschlag eingeführt würde, besteht darin, die Fälle, in denen diese Befugnis ausgeübt werden kann, auf öffentliche Notstände zu beschränken, und andere Fälle auszuschließen, in denen möglicherweise eine außergewöhnliche Notwendigkeit zur Datennutzung besteht. Die EZB müsste nachweisen, dass eine außergewöhnliche Notwendigkeit besteht, bestimmte Daten zur Wahrnehmung ihrer gesetzlichen Aufgaben im öffentlichen Interesse zu nutzen, um auf einen öffentlichen Notstand zu reagieren, ihn abzumildern oder die Erholung nach einem öffentlichen Notstand zu unterstützen.

2.8.

Die EZB unterstützt die Ziele dieser Änderungen und hält es für angemessen, den Rahmen der gemeinsamen Datennutzung zwischen Unternehmen und Behörden gemäß der Datenverordnung zu vereinfachen und etwaige Unklarheiten über die den Unternehmen auferlegten Verpflichtungen zu klären. Sie teilt auch die Auffassung, dass die Rolle amtlicher Statistiken gemäß der Datenverordnung unbedingt gewahrt werden muss, da der aktualisierte Rahmen der Union zu europäischen Statistiken gemäß der Verordnung (EG) Nr. 223/2009 des Europäischen Parlaments und des Rates (22) nicht auf öffentliche Notstände eingeht (23).

2.9.

Die EZB ist jedoch im Gegensatz zu den Mitgliedern des ESS, die unter bestimmten Bedingungen Daten von privaten Dateninhabern erheben können, um ihre statistischen Aufgaben wahrzunehmen (24), nicht befugt, statistische Daten von privaten Dateninhabern zu erheben, die keine Berichtspflichtigen sind, es sei denn, es besteht eine außergewöhnliche Notwendigkeit. Die EZB kann sich zur Beschaffung solcher Daten nur auf Mechanismen stützen, die den Datenaustausch zwischen dem ESS und dem ESZB ermöglichen. Wird der Anwendungsbereich der betreffenden Bestimmung auf das Vorliegen eines öffentlichen Notstands beschränkt, so muss unbedingt sichergestellt werden, dass die Bestimmung in dringenden Fällen, in denen zusätzliche Datenquellen benötigt werden, damit die EZB entweder ihre Aufgabe der statistischen Datenerhebung oder andere Zentralbank- oder Aufsichtsaufgaben wahrnehmen kann, reibungslos und eindeutig angewandt werden kann. Die EZB empfiehlt daher eine weitergehende Vereinfachung der Bedingungen, die Behörden erfüllen müssen, damit sie Daten anfordern können, da dies auch dazu beitragen würde, die Komplexität zu reduzieren, mit der Dateninhaber im Rahmen der Überprüfung, ob diese Bedingungen erfüllt sind, konfrontiert sind.

2.10.

Darüber hinaus ist die EZB der Ansicht, dass weitere Schritte zur Präzisierung der Definition des Begriffs „öffentlicher Notstand“ unternommen werden sollten. Ein Element der Definition besteht darin, dass dieser „nach den einschlägigen Verfahren des Unionsrechts oder des nationalen Rechts festgestellt und amtlich ausgerufen“ werden muss (25). Da es jedoch im Primär- und Sekundärrecht eine Reihe fragmentierter Rechtsgrundlagen gibt, auf deren Grundlage ein öffentlicher Notstand festgestellt oder ausgerufen werden kann, sollte eindeutiger herausgestellt werden, dass, wenn eine solche Feststellung oder Ausrufung erfolgt, die Definition des Begriffs „öffentlicher Notstand“ angesichts der Dringlichkeit, mit der ein öffentlicher Notstand bewältigt werden muss, nicht die Erfüllung zusätzlicher Kriterien erfordert. Beispielsweise kann der Rat gemäß der Verordnung (EU) 2024/2747 des Europäischen Parlaments und des Rates (26) im Fall einer drohenden Krise einen Wachsamkeitsmodus für den Binnenmarkt aktivieren, wenn eine Krise droht, die über das Potenzial verfügt, sich innerhalb der folgenden sechs Monate zu einem Binnenmarkt-Notfall zu verschärfen. Es sollte eindeutiger herausgestellt werden, dass wenn die Abmilderung des öffentlichen Notstands zu den Aufgaben der Behörde gehört, die Gefahr eines öffentlichen Notstands die außergewöhnliche Notwendigkeit der Datenanforderung rechtfertigen sollte. Darüber hinaus beschränkt der Beschluss 2014/415/EU des Rates (27), in dem die Integrierte Regelung für die politische Reaktion auf Krisen im Hinblick auf die Anwendung der Solidaritätsklausel (Artikel 222 AEUV) geschaffen wird, nicht die Bandbreite der Gegebenheiten, unter denen der Beschluss auf „zeitlich begrenzte“ Ausnahmesituationen Anwendung findet (28). Es sollte daher klargestellt werden, dass die Definition des öffentlichen Notstands sich vollständig mit den Situationen deckt, in denen Notfallvorkehrungen nach Unionsrecht und nationalem Recht getroffen werden, und nicht restriktiver ist als diese.

2.11.

In Bezug auf die Regelungen im Hinblick auf eine Gegenleistung (29) begrüßt die EZB die Verpflichtung, Daten kostenlos zur Verfügung zu stellen, um einen öffentlichen Notstand bewältigen zu können, es sei denn, bei dem Dateninhaber handelt es sich um ein Kleinst- oder Kleinunternehmen. Gleichwohl hält sie es für wichtig sicherzustellen, dass Behörden, denen Zugang zu Daten in Privatbesitz gewährt wird, keine unverhältnismäßigen Kosten entstehen. Da jede Anforderung von Daten dem öffentlichen Interesse dient, sollten die Daten gegen einen angemessenen Ausgleich der für die Bereitstellung der Daten entstandenen Kosten und ohne Berechnung einer „angemessenen Marge“ zur Verfügung gestellt werden (30).

3.   Datenschutz

3.1.

Die EZB begrüßt die im Verordnungsvorschlag enthaltenen Änderungen, mit denen die Datenschutzvorschriften vereinfacht werden sollen. Innerhalb der Zuständigkeitsbereiche der EZB gibt es mehrere Punkte, die weiterer Erwägung bedürfen, um das Ziel der Vereinfachung, sowohl im Hinblick auf die Verringerung des Verwaltungsaufwands als auch hinsichtlich der Gewährleistung einer wirksamen, rechtzeitigen und sicheren Meldung von Vorfällen zu erreichen.

3.2.

Die EZB führt in Zusammenarbeit mit den NZBen ein breites Spektrum von Verarbeitungen personenbezogener Daten durch. Darüber hinaus arbeitet die EZB mit den nationalen zuständigen Behörden (NCAs) zusammen, um Tätigkeiten zur Verarbeitung personenbezogener Daten im Bereich der Bankenaufsicht durchzuführen. Als Organ der Union verarbeitet die EZB personenbezogene Daten im Einklang mit der EU-DSVO, während die NZBen und NCAs personenbezogene Daten im Einklang mit der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (31) (nachfolgend die „DSGVO“) verarbeiten.

3.3.

In Fällen, in denen die EZB und die NZBen und/oder NCAs gemeinsam die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegen, wird diese Verarbeitung von ihnen als gemeinsam Verantwortliche durchgeführt (32). Legt hingegen eine Stelle die Zwecke und Mittel der Verarbeitung fest und die andere verarbeitet personenbezogene Daten in ihrem Namen, ist ihre Beziehung die eines Verantwortlichen zu einem Auftragsverarbeiter (33). In beiden Fällen verarbeitet die EZB personenbezogene Daten gemäß der EU-DSVO, während die NZBen und die NCAs personenbezogene Daten gemäß der DSGVO verarbeiten. Folglich unterliegt ein und derselbe Verarbeitungsvorgang gleichzeitig zwei unterschiedlichen, sich jedoch ergänzenden Rechtsinstrumenten der Union.

3.4.

Ein solcher Fall liegt vor, wenn sowohl die EZB als auch die an TARGET Instant Payment Settlements (TIPS) teilnehmenden NZBen personenbezogene Daten innerhalb des TIPS-Systems verarbeiten. In diesem Fall wurde eine Vereinbarung über die gemeinsame Verantwortlichkeit geschlossen. Ebenso kann die Verarbeitung personenbezogener Daten im Zusammenhang mit dem künftigen digitalen Euro den Abschluss eines Datenschutzvertrags oder einer Datenschutzvereinbarung zwischen der EZB und den NZBen des Euro-Währungsgebiets erfordern.

3.5.

Bei der Wahrnehmung der Aufgaben des ESZB und des SSM in Zusammenarbeit mit den NZBen und den NCAs ist es für die EZB von größter Bedeutung, dass die Rechtsakte, die die Verarbeitung personenbezogener Daten regeln, so weit wie möglich aufeinander abgestimmt und miteinander vereinbar sind. Die EZB begrüßt daher, dass die vorgeschlagenen Änderungen der DSGVO und der EU-DSVO parallel vorangebracht werden, was zur Schaffung eines kohärenten und einheitlichen Rechtsrahmens beiträgt. Dadurch wird sichergestellt, dass es nicht durch unterschiedliche Fristen für das Inkrafttreten und die Anwendung der Rechtsakte zu einer Rechtsunsicherheit kommt.

3.6.

Die EZB gibt daher vor dem Hintergrund der Zusammenarbeit der EZB mit den NZBen und den NCAs bei der zur Wahrnehmung der Aufgaben des ESZB und des SSM erforderlichen Verarbeitung personenbezogener Daten folgende Aspekte zu bedenken:

3.7.

In Bezug auf den Mechanismus der zentralen Anlaufstelle empfiehlt die EZB, gemeinsam Verantwortlichen die Befugnis zu erteilen, eine Verletzung des Schutzes personenbezogener Daten im Namen aller gemeinsam Verantwortlichen zu melden (34). Dies ist möglich, da mit dem Verordnungsvorschlag eine einheitliche zentrale Anlaufstelle eingeführt wird, über die Einrichtungen mittels einer einzigen Meldung gleichzeitig ihre sich aus unterschiedlichen Rechtsakten der Union ergebenden Meldepflichten für Vorfälle erfüllen können. Durch die Operationalisierung des Grundsatzes „einmal melden, mehrfach benachrichtigen“ („report once, share many“) soll die zentrale Anlaufstelle den Verwaltungsaufwand für die Einrichtungen verringern und eine wirksame, zeitnahe und sichere Meldung von Vorfällen gewährleisten. Aus diesem Grund soll die zentrale Anlaufstelle als gemeinsamer Kanal für die Übermittlung von Meldungen, die auf der Grundlage unterschiedlicher Rechtsinstrumente erfolgen, dienen (35). Die EZB hat bereits zuvor dahingehend Stellung genommen, dass sie ausdrücklich den Informationsaustausch zwischen den Behörden befürwortet, um sektorübergreifende Erkenntnisse zu ermöglichen, zur Verhinderung und wirksamen Bewältigung von Cyberangriffen beizutragen und die einheitliche Bewertung IKT-bezogener Risiken in der gesamten Union zu fördern (36). Vor diesem Hintergrund unterstützt die EZB die Einführung der zentralen Anlaufstelle im Zusammenhang mit der Meldung von Verletzungen des Schutzes personenbezogener Daten.

3.8.

Bei der Anwendung des Mechanismus der zentralen Anlaufstelle auf von der EZB in Zusammenarbeit mit den NZBen (und den NCAs) gemeinsam durchgeführte Verarbeitungstätigkeiten würden die NZBen gemäß dem Verordnungsvorschlag von der Nutzung der zentralen Anlaufstelle für den Empfang von Meldungen über Vorfälle profitieren. Umgekehrt würde sich die EZB als Organ der Union auch gemäß dem Verordnungsvorschlag weiterhin auf den durch die EU-DSVO eingerichteten Meldekanal stützen, über den sie dem Europäischen Datenschutzbeauftragten (EDSB) Vorfälle meldet (37).

3.9.

Die EZB bekräftigt das Erfordernis, dass der Informationsaustausch über Vorfälle gestrafft, beschleunigt und maximiert und die Kohärenz zwischen der DSGVO und der EU-DSVO sichergestellt werden muss. Daher wäre es angemessen, die EU-DSVO in den Kreis der Rechtsakte der Union aufzunehmen, für welchen die zentrale Anlaufstelle für die Meldung von Verletzungen des Schutzes personenbezogener Daten genutzt werden muss.

3.10.

In Bezug auf die zentrale Meldung von Datenschutzverletzungen in Fällen gemeinsamer Verantwortlichkeit vertritt die EZB die Auffassung, dass es den gemeinsam Verantwortlichen freistehen sollte, zu bestimmen, ob und unter welchen Bedingungen sie von dieser Möglichkeit Gebrauch machen. Der EDSB hat kürzlich bestätigt, dass es für die Feststellung, ob die EZB verpflichtet ist, dem EDSB eine Verletzung des Schutzes personenbezogener Daten zu melden, unerheblich ist, ob die EZB als gemeinsam Verantwortliche für das Auftreten dieser Verletzung verantwortlich ist. Die bloße Tatsache, dass die EZB ein gemeinsam Verantwortlicher für den Verarbeitungsvorgang ist, in dessen Rahmen die Verletzung des Schutzes personenbezogener Daten stattgefunden hat, reicht aus, um ihre Verpflichtung zur Meldung an den EDSB auszulösen, wenn die einschlägigen Bedingungen der EU-DSVO erfüllt sind (38).

3.11.

Es sei darauf hingewiesen, dass in den zahlreichen Fällen, in denen eine Vereinbarung über die gemeinsame Verantwortlichkeit zwischen der EZB und allen NZBen des Eurosystems besteht, eine einzige Verletzung des Schutzes personenbezogener Daten zu bis zu 22 Meldungen führen könnte, die aller Wahrscheinlichkeit nach inhaltlich ähnlich oder identisch wären. Ein solches System würde dem Ziel, den Verwaltungsaufwand für die Behörden zu vereinfachen, zuwiderlaufen. Es wäre daher angemessen vorzusehen, dass es gemeinsam Verantwortlichen erlaubt ist, den zuständigen Aufsichtsbehörden Verletzungen des Schutzes personenbezogener Daten nur einmal über die zentrale Anlaufstelle zu melden. Im Einklang mit den Vereinfachungszielen würde ein solches Meldesystem nicht zur Anwendung kommen, wenn die betreffende Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (39).

3.12.

Aus diesen Gründen empfiehlt die EZB, dass es den gemeinsam Verantwortlichen überlassen bleiben sollte, zu entscheiden, ob und unter welchen Bedingungen sie von der Möglichkeit Gebrauch machen möchten, eine Meldung im Namen aller gemeinsam Verantwortlichen im Rahmen einer spezifischen Vereinbarung über die gemeinsame Verantwortlichkeit abzugeben. Eine solche Meldung würde einmalig über die zentrale Anlaufstelle abgegeben und somit an alle zuständigen Aufsichtsbehörden gerichtet werden, ohne die Funktion der Meldepflichten für die Gewährleistung vollständiger Transparenz und einen umfassenden Informationsaustausch zu beeinträchtigen.

4.   Meldung von Vorfällen

4.1.

Wie in Nummer 1.3 erwähnt, begrüßt die EZB die Initiative zur Vereinfachung und Harmonisierung der Meldeverfahren für IKT-bezogene Vorfälle und zur Einführung einer zentralisierten Meldung von schwerwiegenden IKT-bezogenen Vorfällen. Dies sollte allerdings in jedem Fall den Verwaltungsaufwand für beaufsichtigte Kreditinstitute, Zahlungsinstitute, E-Geld-Institute und Behörden verringern. In diesem Zusammenhang ist es wichtig anzuerkennen, dass durch die Umsetzung der DORA-Verordnung im Finanzsektor bereits eine gewisse Vereinfachung der Meldeverfahren erreicht wurde. Durch die DORA-Verordnung wurden verschiedene Meldepflichten für IKT-bezogene Vorfälle für Finanzunternehmen wirksam ersetzt (40), wodurch der Meldeaufwand, dem sie unterlagen, erheblich verringert und wirksame und effiziente Koordinierungsmechanismen zwischen den verschiedenen zuständigen Behörden umgesetzt wurden (41). Mit der DORA-Verordnung wurde dieses Ziel erreicht, indem gemeinsame Taxonomien, Vorlagen und Meldeverfahren festgelegt und eine zentrale Anlaufstelle für diese Meldungen benannt wurden.

4.2.

Die EZB unterstützt zwar diese Bemühungen um Vereinfachung, hat aber aus drei Hauptgründen auch Vorbehalte gegenüber bestimmten Aspekten der im Verordnungsvorschlag vorgesehenen Maßnahmen zur Meldung von IKT-bezogenen Vorfällen.

4.3.

Erstens ist der Vorschlag für eine zentrale Anlaufstelle kein wirksames Mittel zu Verringerung des Meldeaufwands für Finanzunternehmen und anderer Meldepflichten für Vorfälle unterliegenden Unternehmen. Durch die zentrale Anlaufstelle ist zwar sichergestellt, dass es ein zentrales Portal für die Meldung von Sicherheitsvorfällen gibt, sie ändert jedoch nichts daran, dass es nach wie vor unterschiedliche Taxonomien, Vorlagen und Meldeverfahren für jede Meldung von Sicherheitsvorfällen in den verschiedenen regulatorischen Rahmen außer der DORA-Verordnung gibt. Für die Meldung eines Vorfalls muss ein Finanzunternehmen verschiedene Meldungen gemäß unterschiedlichen Rechtsvorschriften (z. B. im Rahmen der DSGVO und der DORA) erstellen. Die bloße Möglichkeit, diese Meldungen an einen einzigen Empfänger zu übermitteln, verringert den Verwaltungsaufwand nicht wesentlich. Aus diesem Grund wäre es angemessen, den gemäß der DORA-Verordnung eingeführten technischen Regulierungsstandards gebührend Rechnung zu tragen, um effizientere und gestrafftere Meldeverfahren zu ermöglichen (42). Die EZB würde auch eine weitere Angleichung und gegebenenfalls Zusammenführung von Taxonomien, Vorlagen und Meldeverfahren für Vorfälle gemäß den verschiedenen Rahmen begrüßen, um eine echte Vereinfachung zu erreichen.

4.4.

Zweitens löst die Meldung eines Vorfalls nach der DORA-Verordnung zeitkritische Prozesse aus, die möglicherweise die Aktivierung von Krisenverfahren umfassen. Die Aufnahme eines neuen Akteurs und Systems für den Empfang dieser Meldungen von Vorfällen birgt zusätzliche Risiken in Bezug auf die Verfügbarkeit und rechtzeitige Meldung der erforderlichen Informationen. Aus diesem Grund besteht die wirksamste und belastbarste Option darin, diese Meldungen, wie in der DORA-Verordnung (43) vorgesehen, direkt an die zuständige Behörde zu übermitteln, um unangemessene Verzögerungen der aufsichtlichen Reaktion auf eine potenziell kritische Situation zu vermeiden.

4.5.

Drittens sollten die vom Finanzsektor bereits für die Umsetzung der erst seit dem 17. Januar 2025 geltenden DORA-Verordnung getätigten Anstrengungen und Ausgaben berücksichtigt werden. Beaufsichtigte Kreditinstitute und zuständige Behörden haben erhebliche Ressourcen in die Umsetzung des neuen Rahmens investiert. Unter diesem Gesichtspunkt wäre es von Vorteil, die Integration der Meldung IKT-bezogener Vorfälle über die zentrale Anlaufstelle zeitlich aufzuschieben. Dadurch würde mehr Zeit zur Verfügung stehen, um mögliche Verbesserungen und Möglichkeiten zur weiteren Vereinfachung des Verwaltungsaufwands für den SSM und beaufsichtigte Kreditinstitute gleichermaßen auszumachen.

4.6.

Aus diesen Gründen schlägt die EZB vor, die DORA-Verordnung von der vorgeschlagenen Verordnung auszunehmen. Es wäre zweckmäßig, Erfahrungswerte mit der neuen zentralen Anlaufstelle (welche die anderen Verordnungen, einschließlich der EU-DSVO, abdeckt) und der neu eingeführten DORA-Melderegelung separat zu sammeln und anschließend zu prüfen, wie die beiden zu einem späteren Zeitpunkt am besten integriert werden können. Sofern die EZB Änderungen des Verordnungsvorschlags empfiehlt, ist ein spezifischer Redaktionsvorschlag mit Begründung in einem gesonderten technischen Arbeitsdokument aufgeführt. Das technische Arbeitsdokument steht in englischer Sprache auf EUR-Lex zur Verfügung.

---

(1)  COM (2025) 837 final.

(2)  Verordnung (EU) 2023/2854 des Europäischen Parlaments und des Rates vom 13. Dezember 2023 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung sowie zur Änderung der Verordnung (EU) 2017/2394 und der Richtlinie (EU) 2020/1828 (Datenverordnung) (ABl. L, 2023/2854, 22.12.2023, ELI:http://data.europa.eu/eli/reg/2023/2854/oj).

(3)  Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. L 295 vom 21.11.2018, S. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(4)  Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 (ABl. L 333 vom 27.12.2022, S. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

(5)  Verordnung (EU) Nr. 1024/2013 des Rates vom 15. Oktober 2013 zur Übertragung besonderer Aufgaben im Zusammenhang mit der Aufsicht über Kreditinstitute auf die Europäische Zentralbank (ABl. L 287 vom 29.10.2013, S. 63), ELI: http://data.europa.eu/eli/reg/2013/1024/oj).

(6)  Siehe Artikel 46 Buchstabe a der DORA-Verordnung.

(7)  Artikel 1 Nummer 26 des Verordnungsvorschlags zur Änderung von Artikel 49 der Datenverordnung. Siehe auch Nummer 1.2 der Stellungnahme der Europäischen Zentralbank vom 5. September 2022 zu einem Vorschlag für eine Verordnung über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung (Datenverordnung) (CON/2022/30) (ABl. C 402 vom 19.10.2022, S. 5).

(8)  Artikel 58 der DORA-Verordnung.

(9)  Verordnung (EU) 2022/868 des Europäischen Parlaments und des Rates vom 30. Mai 2022 über europäische Daten-Governance und zur Änderung der Verordnung (EU) 2018/1724 (Daten-Governance-Rechtsakt) (ABl. L 152 vom 3.6.2022, S. 1, ELI:http://data.europa.eu/eli/reg/2022/868/oj).

(10)  Richtlinie (EU) 2019/1024 des Europäischen Parlaments und des Rates vom 20. Juni 2019 über offene Daten und die Weiterverwendung von Informationen des öffentlichen Sektors (ABl. L 172 vom 26.6.2019, S. 56, ELI: http://data.europa.eu/eli/dir/2019/1024/oj).

(11)  Verordnung (EU) 2018/1807 des Europäischen Parlaments und des Rates vom 14. November 2018 über einen Rahmen für den freien Verkehr nicht personenbezogener Daten in der Europäischen Union (ABl. L 303 vom 28.11.2018, S. 59, ELI: http://data.europa.eu/eli/reg/2018/1807/oj).

(12)  Gemäß Artikel 13 Absatz 1 der Richtlinie über offene Daten sind die thematischen Kategorien hochwertiger Datensätze Georaum, Erdbeobachtung und Umwelt, Meteorologie, Statistiken, Unternehmen und Eigentümerschaft von Unternehmen, Mobilität. Nach Artikel 13 Absatz 2 wird der Kommission die Befugnis übertragen, delegierte Rechtsakte zur Änderung des Anhangs I durch Aufnahme neuer thematischer Kategorien hochwertiger Datensätze zu erlassen, um Technologie- und Marktentwicklungen Rechnung zu tragen.

(13)  Leitlinie (EU) 2018/876 der Europäischen Zentralbank vom 1. Juni 2018 zum Datenregister über Institute und verbundene Unternehmen (EZB/2018/16) (ABl. L 154 vom 18.6.2018, S. 3) ELI: http://data.europa.eu/eli/guideline/2018/876/oj).

(14)  Siehe Erwägungsgrund 16 der Richtlinie (EU) 2019/1024 des Europäischen Parlaments und des Rates vom 20. Juni 2019 über offene Daten und die Weiterverwendung von Informationen des öffentlichen Sektors ( ABl. L 172 vom 26.6.2019, S. 56,ELI: http://data.europa.eu/eli/dir/2019/1024/oj).

(15)  Artikel 1 Absatz 18 des Verordnungsvorschlags, mit dem ein neues Kapitel VIIc in die Datenverordnung eingefügt wird.

(16)  Artikel 1 Nummer 7 des Verordnungsvorschlags, mit dem ein neuer Artikel 15a in die Datenverordnung eingefügt wird.

(17)  Artikel 14 und 15 der Datenverordnung.

(18)  Der Begriff „Dateninhaber“ wird in Artikel 2 Nummer 13 der Datenverordnung definiert als „eine natürliche oder juristische Person, die nach dieser Verordnung, nach geltendem Unionsrecht oder nach nationalen Rechtsvorschriften zur Umsetzung des Unionsrechts berechtigt oder verpflichtet ist, Daten — soweit vertraglich vereinbart, auch Produktdaten oder verbundene Dienstdaten — zu nutzen und bereitzustellen, die sie während der Erbringung eines verbundenen Dienstes abgerufen oder generiert hat“.

(19)  Artikel 2 der Verordnung (EG) Nr. 2533/98 des Rates vom 23. November 1998 über die Erfassung statistischer Daten durch die Europäische Zentralbank (ABl. L 318 vom 27.11.1998, S. 8, ELI: http://data.europa.eu/eli/reg/1998/2533/oj).

(20)  Siehe Europäisches System Volkswirtschaftlicher Gesamtrechnungen auf nationaler und regionaler Ebene (ESVG 2010), abrufbar auf der Eurostat-Website unter www.ec.europa.eu/eurostat.

(21)  Nummer 2.3 der Stellungnahme CON/2022/30.

(22)  Verordnung (EG) Nr. 223/2009 des Europäischen Parlaments und des Rates vom 11. März 2009 über europäische Statistiken und zur Aufhebung der Verordnung (EG, Euratom) Nr. 1101/2008 des Europäischen Parlaments und des Rates über die Übermittlung von unter die Geheimhaltungspflicht fallenden Informationen an das Statistische Amt der Europäischen Gemeinschaften, der Verordnung (EG) Nr. 322/97 des Rates über die Gemeinschaftsstatistiken und des Beschlusses 89/382/EWG, Euratom des Rates zur Einsetzung eines Ausschusses für das Statistische Programm der Europäischen Gemeinschaften (ABl. L 87 vom 31.3.2009, S. 164, ELI: http://data.europa.eu/eli/reg/2009/223/oj).

(23)  Erwägungsgrund 15 des Verordnungsvorschlags.

(24)  Artikel 17b der Verordnung (EG) Nr. 223/2009.

(25)  Artikel 2 Nummer 29 der Verordnung (EU) 2023/2854.

(26)  Verordnung (EU) 2024/2747 des Europäischen Parlaments und des Rates vom 9. Oktober 2024 zur Schaffung eines Rahmens von Maßnahmen für einen Binnenmarkt-Notfall und die Resilienz des Binnenmarkts und zur Änderung der Verordnung (EG) Nr. 2679/98 des Rates (Verordnung über Binnenmarkt-Notfälle und die Resilienz des Binnenmarkts) (ABl. L, 2024/2747, 8.11.2024, ELI:http://data.europa.eu/eli/reg/2024/2747/oj).

(27)  Beschluss 2014/415/EU des Rates vom 24. Juni 2014 über die Vorkehrungen für die Anwendung der Solidaritätsklausel durch die Union (ABl. L 192 vom 1.7.2014, S. 53, ELI:http://data.europa.eu/eli/dec/2014/415/oj).

(28)  Artikel 2 Absatz 29 der Verordnung (EU) 2023/2854.

(29)  Artikel 1 Absatz 12 des Verordnungsvorschlags, der Artikel 20 der Datenverordnung ersetzt.

(30)  Siehe Nummer 2.3.3 der Stellungnahme CON/2022/30.

(31)  Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1. ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(32)  Im Sinne von Artikel 26 der DSGVO und Artikel 28 der EU-DSVO.

(33)  Im Sinne von Artikel 28 der DSGVO und Artikel 29 der EU-DSVO.

(34)  Wie nach Artikel 34 EU-DSVO erforderlich.

(35)  Dazu zählen die DSGVO und Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie) (ABl. L 333, 27.12.2022, S. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj); die Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG, (ABl L 257, vom 28.8.2014, S. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj) (eIDAS-Verordnung) und die Richtlinie (EU) 2022/2557 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die Resilienz kritischer Einrichtungen und zur Aufhebung der Richtlinie 2008/114/EG des RateS (ABl. L 333, 27.12.2022, S. 164, ELI: http://data.europa.eu/eli/dir/2022/2557/oj) (CER-Richtlinie).

(36)  Siehe Randnummer 3.3.1 der Stellungnahme CON/2022/14 der Europäischen Zentralbank vom 11. April 2022 zu einem Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union und zur Aufhebung der Richtlinie (EU) 2016/1148 (ABl. C 233 vom 16.6.2022, S. 22).

(37)  Wie nach Artikel 34 EU-DSVO erforderlich.

(38)  EDPS Supervisory Opinion 18/2025 on a draft joint controllership arrangement between the European Central Bank and National Competent Authorities in the context of the Single Supervisory Mechanism (Case 2024-1002), abrufbar auf der Website des EDSB unter www.edps.europa.eu.

(39)  Artikel 34 der EU-DSVO.

(40)  Siehe hierzu die Erwägungsgründe 16, 18, 19 und 23 der DORA-Verordnung.

(41)  Dadurch konnte das Problem paralleler Meldungen im Rahmen der DORA-Verordnung, der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates vom 25. November 2015 über Zahlungsdienste im Binnenmarkt, zur Änderung der Richtlinien 2002/65/EG, 2009/110/EG und 2013/36/EU und der Verordnung (EU) Nr. 1093/2010 sowie zur Aufhebung der Richtlinie 2007/64/EG (ABl. L 337 vom 23.12.2015, S. 35, ELI: http://data.europa.eu/eli/dir/2015/2366/oj) und der entsprechenden EBA-Leitlinien angegangen werden, wie in Abschnitt 4.2.2 der Stellungnahme CON/2021/20 der Europäischen Zentralbank vom 4. Juni 2021 zu einem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über die Betriebsstabilität digitaler Systeme des Finanzsektors (ABl. C 343 vom 26.8.2021, S. 1) dargelegt.

(42)  Wie in Erwägungsgrund 54 des Verordnungsvorschlags vorgesehen.

(43)  Artikel 19 der DORA-Verordnung.