Datenschutzbeschwerde bei der Aufsichtsbehörde

Wenn sie der Ansicht sind, dass ein Unternehmen gegen den Datenschutz verstößt, können Betroffene eine Beschwerde bei einer Aufsichtsbehörde einlegen. Dieses Recht aus der DSGVO ermöglicht eine einfache Rechtsdurchsetzung und wird aktuell häufiger den je in Anspruch genommen. Wir zeigen auf, wie eine Datenschutzbeschwerde funktioniert, welche Gründe es dafür gibt und welche Datenschutzaufsichtsbehörde zuständig ist, um das Verfahren zu verstehen.

Was sind Gründe für eine Beschwerde?

Der häufigste Grund für eine Beschwerde ist die nicht oder nicht ausreichend beantwortete Betroffenenanfrage. So kann sich aus einem einfachen Auskunftsanspruch ein behördliches Verfahren und ein Bußgeld entwickeln. Für Unternehmen sind daher feste Prozesse für Betroffenenanfragen ein wichtiger Punkt im Rahmen des betrieblichen Datenschutzes.

Ein weiteres Feld ist der Bereich der Cookie-Banner. Hier können regelmäßig noch viele Fehler entdeckt werden, weshalb er auch eine Quelle des Unmuts vieler Nutzer ist. Etwa wenn Cookies ohne Einwilligung gesetzt oder rechtswidriges Nudging eingesetzt wird. Nudging (engl. = Schubsen) meint, dass der Cookie-Banner so designt ist, dass das Ablehnen von Cookies erschwert wird und der Nutzer so zur Einwilligung bewegt („geschubst“) wird.

Ein aktueller Treiber für die steigende Zahl an Eingaben ist zudem der Einsatz von KI-Chatbots. Datenschutzbehörden, z.B. in Berlin, Niedersachsen und Hamburg verzeichnen massive Anstiege an Datenschutzbeschwerden von 50 bis über 70 Prozent. Dies liegt zum einen daran, dass KI-Tools Nutzern die Beschwerdeeinreichung vorschlagen und Textentwürfe liefern. Zum anderen wird mangelhafter, KI-gestützter Kundenservice, etwa bei Social-Media-Plattformen, selbst zum Datenschutzproblem, wenn Auskunftsansprüche oder die Durchsetzung anderer Betroffenenrechte durch Chatbot-Schleifen faktisch verwehrt werden. Die Behörden warnen jedoch, dass von KI generierte Inhalte oft unvollständig oder falsch sind und teils sogar erfundene Gerichtsurteile enthalten, was bei Beschwerdeführern falsche Erwartungen weckt.

Welche Datenschutzaufsichtsbehörde ist für eine Beschwerde zuständig?

Grundsätzlich kann eine Beschwerde bei einer Aufsichtsbehörde im Mitgliedstaat des gewöhnlichen Aufenthaltsorts, des Arbeitsplatzes oder am Ort des mutmaßlichen Verstoßes erhoben werden. Zur Vereinfachung und Beschleunigung des Verfahrens ist es jedoch sinnvoll, sich direkt an die Aufsichtsbehörde zu wenden, die für das jeweilige Unternehmen bzw. den Verantwortlichen zuständig ist. In Deutschland gibt es verschiedene Datenschutzbehörden mit unterschiedlichen Zuständigkeiten.

• Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist für Behörden und sonstige öffentliche Stellen des Bundes, Jobcenter, Telekommunikations- und Postdienstleistungsunternehmen, bundesweit tätige gesetzliche Kranken- und Pflegekassen sowie Renten- und Unfallversicherungsträger und Unternehmen, die unter das Sicherheitsüberprüfungsgesetz fallen, zuständig.
• Die Landesdatenschutzbehörden sind für Behörden des jeweiligen Landes, sonstige öffentliche Stellen des Landes oder einer Kommune sowie Unternehmen und sonstige nicht-öffentliche Stellen, die nicht in die Sonderzuständigkeit des BfDI fallen, zuständig.
• Spezifische Datenaufsichtsbehörden gibt es für kirchliche Träger (kirchlicher Datenschutzbeauftragter), den Rundfunk (Rundfunkdatenschutzbeauftragter) und die Presse (Presserat).

Wie kann ich eine Beschwerde bei der Aufsichtsbehörde einlegen?

Die Beschwerde nach Art. 77 DSGVO ist an keine Form und an keine Frist gebunden. Das entscheidende Kriterium ist allein die Prüffähigkeit. Es muss also sichergestellt werden, dass der Sachverhalt aufgeklärt und eine rechtliche Prüfung vorgenommen werden kann. Hierfür sind Angaben über die betroffene Person, den Verantwortlichen oder Auftragsverarbeiter sowie alle wesentlichen Angaben über den Verstoß erforderlich. Die Aufsichtsbehörden können über verschiedene Kanäle kontaktiert werden.

• Baden-Württemberg | Telefon: 0711 / 615 541 0
• Bayern | für privaten Bereich | Telefon: 0981 / 180 093 0
• Bayern | für öffentlichen Bereich | Telefon: 089 / 212 672 0
• Berlin | Telefon: 030 / 138 890
• Brandenburg | Telefon: 033203 / 356 0
• Bremen | Telefon: 0421 / 361 201 0
• Hamburg | Telefon: 040 / 428 544 040
• Hessen | Telefon: 0611 / 140 80
• Mecklenburg-Vorpommern | Telefon: 0385 / 594 940
• Niedersachsen | Telefon: 0511 / 120 450 0
• Nordrhein-Westfalen | Telefon: 0211 / 384 240
• Rheinland-Pfalz | Telefon: 06131 / 892 00
• Saarland | Telefon: 0681 / 947 810
• Sachsen | Telefon: 0351 / 854 711 01
• Sachsen-Anhalt | Telefon: 0391 / 818 030
• Schleswig-Holstein | Telefon: 0431 / 988 120 0
• Thüringen | Telefon: 0361 / 573 112 900

Wie schnell muss die Aufsichtsbehörde auf eine Beschwerde reagieren?

Der Betroffene hat einen Anspruch auf den Erhalt des Ergebnisses der Prüfung durch die Behörde sowie die rechtliche Bewertung, sofern es sich nicht um eine exzessive Beschwerde handelt. Der Anspruch bezieht sich nur auf die Prüfung, hingegen nicht auf eine bestimmte Entscheidung. Weiter besteht ein Anspruch, dass der Betroffene innerhalb einer angemessenen Frist von maximal drei Monaten über den Stand bzw. das Ergebnis der Beschwerde unterrichtet wird.

Nach Art. 78 Abs. 2 DSGVO hat der Betroffene die Möglichkeit, bei Untätigkeit der Behörde, die länger als drei Monate andauert, eine Untätigkeitsklage gegen die Behörde zu erheben. Das Klageziel ist hierbei nur die Tätigkeit der Behörde, folglich auf ein Befassen mit der Beschwerde und Information innerhalb der Frist. Es wird also keine Entscheidung in der Sache getroffen.

Kann ich bei Unzufriedenheit über die Bearbeitung klagen?

Neben der Möglichkeit, eine Untätigkeitsklage nach Art. 78 Abs. 2 DSGVO zu erheben, besteht die Klagemöglichkeit nach Art. 78 Abs. 1, wenn die Beschwerde zurückgewiesen wurde. Die Klage ist dann vor dem Verwaltungsgericht zu erheben.

Umstritten ist die Frage, ob dem Betroffenen ein subjektiver Rechtsanspruch auf die Ergreifung einer bestimmten Maßnahme durch die Behörde zusteht. Einige Gerichte sehen in Art. 77 DSGVO keinen subjektiven Anspruch auf die Ergreifung einer Abhilfemaßnahme. Andere Gerichte nehmen aufgrund der DSGVO eine Stärkung der Rechte der Betroffenen an und sehen zumindest einen Anspruch auf eine ermessensfehlerfreie Entscheidung, die gerichtlich voll überprüfbar ist.

Die Datenschutzbeschwerde: Ein wichtiges, aber kein allmächtiges Recht

Das Recht der Beschwerde bei einer Aufsichtsbehörde nach Art. 77 DSGVO ist ein wichtiges Instrument für Betroffene. Es stellt einen einfachen Weg dar, gegen Rechtsverletzungen im Bereich Datenschutz vorzugehen. Das Recht ist jedoch insoweit eingeschränkt, als dass grundsätzlich nur ein Anspruch darauf besteht, dass die Aufsichtsbehörde sich mit dem Sachverhalt beschäftigt, diesen rechtlich bewertet und den Betroffenen fristgerecht informiert.

Eine Klage vor dem Verwaltungsgericht auf Durchsetzung einer konkreten Maßnahme ist, wie beschrieben, rechtlich noch umstritten. In manchen Fällen kann es daher sinnvoller sein, den Anspruch direkt gegen den Verantwortlichen in einem zivilrechtlichen Verfahren durchzusetzen, um seine Rechte im Datenschutz wirksam zu verfolgen.