Das Betroffenenrecht der Beschwerde bei einer Aufsichtsbehörde nach Art. 77 DSGVO steht einem zu, wenn man der Ansicht ist, dass bei der Verarbeitung von personenbezogenen Daten eine Verletzung von datenschutzrechtlichen Vorschriften vorliegt. Lesen Sie in diesem Artikel alles Wichtige zum Erheben einer Beschwerde und zum Ablauf des Verfahrens.
Der Inhalt im Überblick
- Ein Betroffenenrecht aus der DSGVO
- Was sind Gründe für eine Beschwerde?
- Welche Aufsichtsbehörde ist für mich zuständig
- Wo und wie kann ich Beschwerde bei der Aufsichtsbehörde einlegen?
- Die fristgerechte Reaktion durch die Aufsichtsbehörde
- Klage bei Unzufriedenheit über die Bearbeitung der Beschwerde möglich?
- Ist die Beschwerde also das scharfe Schwert der DSGVO?
Ein Betroffenenrecht aus der DSGVO
Betroffenenrechte sind die Rechte, die einer Person, dessen personenbezogene Daten verarbeitet werden, aufgrund der DSGVO gegenüber dem Verantwortlichen innehat. Zu diesen Rechten gehören nach Art. 15 ff. DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit.
Ein besonderes Recht steht der betroffenen Person zu, wenn diese der Ansicht ist, dass die Verarbeitung gegen die DSGVO verstößt. Es steht dann das Recht auf Beschwerde bei einer Aufsichtsbehörde nach Art. 77 DSGVO zu. Mit diesem Recht hat der Betroffene die Möglichkeit einer einfachen Rechtsdurchsetzung, abseits von einem Gerichtsverfahren. Die Behörde muss sich mit der Beschwerde befassen und sie rechtlich bewerten. Ein Recht auf eine konkrete Maßnahme besteht hingegen nicht.
In diesem Artikel erfahren Sie mehr zum Prüfumfang bei der Datenschutzaufsicht.
Was sind Gründe für eine Beschwerde?
Der häufigste Grund für eine Beschwerde ist die nicht oder nicht ausreichend beantwortete Betroffenenanfrage. So kann sich aus einem einfachen Auskunftsanspruch ein behördliches Verfahren und ein Bußgeld entwickeln. Für Unternehmen sind daher feste Prozesse für Betroffenenanfragen ein wichtiger Punkt im Rahmen des betrieblichen Datenschutzes.
Ein weiteres Feld ist der (un-)beliebte Bereich der Cookie-Banner. Hier können regelmäßig noch viele Fehler entdeckt werden, aufgrund dessen ist er auch eine Quelle des Unmuts vieler Nutzer. Etwa wenn Cookies ohne Einwilligung gesetzt oder rechtswidriges Nudging eingesetzt. Nudging (engl. = Schubsen), meint, dass der Cookie-Banner so designt ist, dass das Ablehnen von Cookies erschwert wird und der Nutzer so zur Einwilligung bewegt („geschubst“) wird.
Welche Aufsichtsbehörde ist für mich zuständig
Grundsätzlich kann eine Beschwerde bei einer Aufsichtsbehörde im Mitgliedstaat des gewöhnlichen Aufenthaltsorts, des Arbeitsplatzes oder am Ort des mutmaßlichen Verstoßes erhoben werden. Zur Vereinfachung und Beschleunigung des Verfahrens ist es jedoch sinnvoll, sich direkt an die Aufsichtsbehörde zu wenden, die für das jeweilige Unternehmen/Verantwortlichen zuständig ist.
Es gibt innerhalb Deutschlands verschiedene Datenschutzbehörden mit unterschiedlichen Zuständigkeiten. Hierzu gehören der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), die jeweilige Landesdatenschutzbehörde sowie die sog. spezifischen Datenaufsichtsbehörden. Für die Beschwerde gegen Unternehmen ist grundsätzlich die Landesdatenschutzbehörde zuständig. Eine Ausnahme sind Unternehmen, die unter Sicherheitsüberprüfungsgesetz fallen.
Der BfDI ist für folgende Stellen zuständig:
- Behörden des Bundes
- sonstige öffentliche Stellen des Bundes
- gemeinsame Einrichtungen nach dem Sozialgesetzbuch II („Jobcenter“)
- Telekommunikationsunternehmen
- Postdienstleistungsunternehmen
- Unternehmen, die unter das Sicherheitsüberprüfungsgesetz fallen
- bundesweit tätige gesetzliche Kranken- und Pflegekassen, Renten- und Unfallversicherungsträger.
Die Landesdatenschutzbehörden sind für die folgende Stellen zuständig:
- Behörden des jeweiligen Landes
- sonstige öffentliche Stelle des jeweiligen Landes oder einer Kommune
- Unternehmen und sonstige nicht-öffentliche Stellen, die nicht in die Sonderzuständigkeit des BfDI fallen
Spezifischen Datenaufsichtsbehörden gibt es für folgende Stellen:
- Kirchliche Träger (kirchlicher Datenschutzbeauftragter)
- Rundfunk (Rundfunkdatenschutzbeauftragter)
- Presse (Presserat)
Wo und wie kann ich Beschwerde bei der Aufsichtsbehörde einlegen?
Die Beschwerde nach Art. 77 DSGVO ist an keine Form und an keine Frist gebunden. Das entscheidende Kriterium ist allein die Prüffähigkeit. Es muss also sichergestellt werden, dass der Sachverhalt aufgeklärt und eine rechtliche Prüfung vorgenommen werden kann. Hierfür sind Angaben über die betroffene Person, den Verantwortlichen oder Auftragsverarbeiter sowie alle wesentlichen Angaben über den Verstoß erforderlich.
Die Aufsichtsbehörden können über verschiedene Kanäle kontaktiert werden. Im Folgenden finden Sie die Links zu den Online-Beschwerdeformularen und die jeweiligen Telefonnummern der Aufsichtsbehörden:
- Baden-Württemberg | Telefon: 0711 / 615 541 0
- Bayern | für privaten Bereich | Telefon: 0981 / 180 093 0
- Bayern | für öffentlichen Bereich | Telefon: 089 / 212 672 0
- Berlin | Telefon: 030 / 138 890
- Brandenburg | Telefon: 033203 / 356 0
- Bremen | Telefon: 0421 / 361 201 0
- Hamburg | Telefon: 040 / 428 544 040
- Hessen | Telefon: 0611 / 140 80
- Mecklenburg-Vorpommern | Telefon: 0385 / 594 940
- Niedersachsen | Telefon: 0511 / 120 450 0
- Nordrhein-Westfalen | Telefon: 0211 / 384 240
- Rheinland-Pfalz | Telefon: 06131 / 892 00
- Saarland | Telefon: 0681 / 947 810
- Sachsen | Telefon: 0351 / 854 711 01
- Sachsen-Anhalt | Telefon: 0391 / 818 030
- Schleswig-Holstein | Telefon: 0431 / 988 120 0
- Thüringen | Telefon: 0361 / 573 112 900
Die fristgerechte Reaktion durch die Aufsichtsbehörde
Der Betroffene hat einen Anspruch auf den Erhalt des Ergebnisses der Prüfung durch die Behörde sowie die rechtliche Bewertung, sofern es sich nicht um eine exzessive Beschwerde (= missbräuchlich, z.B. es wurde bereits eine identische Beschwerde erhoben) handelt. Der Anspruch bezieht sich nur auf die Prüfung, hingegen nicht auf eine bestimmte Entscheidung. Weiter besteht ein Anspruch, dass der Betroffene innerhalb einer angemessenen Frist (maximal 3 Monate) über den Stand bzw. das Ergebnis der Beschwerde unterrichtet wird.
Nach Art. 78 Abs. 2 DSGVO hat der Betroffene die Möglichkeit bei Untätigkeit der Behörde, die länger als 3 Monate andauert, Untätigkeitsklage gegen die Behörde zu erheben. Das Klageziel ist hierbei nur die Tätigkeit der Behörde, folglich auf ein Befassen mit der Beschwerde und Information innerhalb der Frist. Es wird also gerade keine Entscheidung in der Sache getroffen.
Klage bei Unzufriedenheit über die Bearbeitung der Beschwerde möglich?
Neben der Möglichkeit eine Untätigkeitsklage zu erheben, nach Art. 78 Abs. 2 DSGVO, besteht die Klagemöglichkeit nach Art. 78 Abs.1, wenn die Beschwerde zurückgewiesen wurde. Die Klage ist dann vor dem Verwaltungsgericht zu erheben.
Umstritten ist die Frage, ob dem Betroffenen ein subjektiver Rechtsanspruch auf die Ergreifung einer bestimmten Maßnahme durch die Behörde zusteht. Einige Gerichte sehen in Art. 77 DSGVO keinen subjektiven Anspruch auf die Ergreifung einer Abhilfemaßnahme (SG Frankfurt (Oder), Urt. v. 08.05.2019 – Az: S 49 SF 8/19). Andere Gerichte nehmen aufgrund der DSGVO eine Stärkung der Rechte der Betroffenen an und sehen zumindest einen Anspruch auf eine ermessensfehlerfreie Entscheidung, die gerichtlich voll überprüfbar ist (OVG Hamburg, Urt. v. 07.10.2019 – Az.: 5 Bf 279/17). Ein Ermessensfehler liegt vor, wenn Ermessen nicht ausgeübt wurde („Ermessensausfall“), dem Ermessen gesetzeswidrige Erwägungen zugrunde liege, wie etwa sachfremde Erwägungen („Ermessensmissbrauch“) oder der gesetzliche Rahmen des Ermessens überschritten wird („Ermessensüberschreitung“).
Ist die Beschwerde also das scharfe Schwert der DSGVO?
Das Recht der Beschwerde bei einer Aufsichtsbehörde nach Art. 77 DSGVO ist ein wichtiges Recht für Betroffene. Es stellt einen einfachen Weg dar gegen Rechtsverletzung in Bezug auf die DSGVO vorzugehen. Das Recht ist insoweit eingeschränkt, dass grundsätzlich nur ein Anspruch darauf besteht, dass die Aufsichtsbehörde sich mit dem Sachverhalt beschäftigt und diesen rechtlich bewertet sowie fristgerecht (max. 3 Monate) den Betroffenen über den Stand bzw. das Ergebnis informiert. Eine Klage vor dem Verwaltungsgericht auf Durchsetzung einer Maßnahme ist, wie oben beschrieben, noch umstritten. Hier kann es sinnvoller sein den Anspruch direkt gegen den Verantwortlichen im zivilrechtlichen Verfahren durchzusetzen.
Die DSGVO enthält keine Fristenregelung, innerhalb welchen Zeitraums eine Beschwerde bei einer Aufsichtsbehörde anzubringen ist. Mit anderen Worten: Kann die Behörde wegen Zeitablaufs eine Beschwerde abweisen, weil es am Rechtsschutzbedürfnis fehlt (Verwirkung)?
Zu Art. 78 stellt Erwägungsgrund 143 bei gerichtlichen Rechtsbehelfen auf die Fristenregelung des § 263 AEUV ab.
Andernfalls – ohne Fristenregelung – wäre es nach Jahren oder Jahrzehnten möglich, Rechtsverstöße nach der DSGVO als Beschwerde bei der Aufsichtsbehörde anzubringen. Die Beschwerde wäre dann nur noch fruchtlos, wenn der Verantwortliche aufgrund von Löschfristen keine pbD mehr verarbeitet und der Sachverhalt dementsprechend nicht mehr zu ermitteln ist.
Eine Frist besteht bezüglich der Einreichung der Beschwerde grundsätzlich nicht. Bei fortbestehenden Verstößen ergibt sich dies daraus, dass die Rechtsverletzung noch andauert. Bei bereits seit längerem beendeten Rechtsverstößen tritt grundsätzlich ebenfalls keine Unzulässigkeit ein. Ist ein Verstoß jedoch zusätzlich bereits verjährt kann die Behörde von einer Untersuchung absehen.