Eine Datenschutz-Aufsichtsbehörde ist eine von einem Mitgliedstaat eingerichtete unabhängige staatliche Stelle, die in ihrem Hoheitsgebiet die Anwendung der Datenschutz-Grundverordnung überwacht und durchsetzt und bei der Erfüllung ihrer Aufgaben völlig unabhängig handelt.
Auf einen Blick
Jede Aufsichtsbehörde handelt bei der Erfüllung ihrer Aufgaben und bei der Ausübung ihrer Befugnisse völlig unabhängig.
Deutschland hat ein föderales System der Datenschutzaufsicht aus Behörden in Bund und Ländern, zwischen denen kein hierarchisches Verhältnis besteht.
Jede Aufsichtsbehörde verfügt über Abhilfebefugnisse, etwa einen Verantwortlichen oder Auftragsverarbeiter zu verwarnen, ihn anzuweisen, Verarbeitungsvorgänge in Einklang mit der Verordnung zu bringen, oder eine Beschränkung der Verarbeitung einschließlich eines Verbots zu verhängen (Art. 58 Abs. 2).
Was ist eine Datenschutz-Aufsichtsbehörde?
Jeder Mitgliedstaat sieht vor, dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung der Verordnung zuständig sind. In Deutschland besteht nach Darstellung des BfDI ein föderales System der Datenschutzaufsicht aus den Behörden in Bund und Ländern. Zwischen diesen Behörden besteht kein hierarchisches Verhältnis; der BfDI führt nicht die Aufsicht über die Landesdatenschutzbehörden. Die Datenschutzbehörden haben nach Darstellung des BfDI unterschiedliche sachliche Zuständigkeiten, die sich danach bestimmen, gegen welche Stelle sich die Beschwerde richtet.
Sind Versicherte der Ansicht, dass ihr Versicherer ihre Daten unrechtmäßig verarbeitet, können sie Beschwerde bei einer Datenschutz-Aufsichtsbehörde einreichen, die die Einhaltung des Datenschutzrechts überwacht und durchsetzt. Das Recht auf Beschwerde besteht nach Art. 77 Abs. 1 unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs. Die zuständige Aufsichtsbehörde geht der Beschwerde in angemessenem Umfang nach und unterrichtet die betroffene Person über den Stand und das Ergebnis. Für den größten Teil der Unternehmen der Privatwirtschaft ist nach Darstellung des BfDI nicht der BfDI zuständig, sondern die Aufsichtsbehörde des Landes. Die oder der Bundesbeauftragte ist zuständig für die Aufsicht über die öffentlichen Stellen des Bundes sowie über Unternehmen, soweit diese für die geschäftsmäßige Erbringung von Telekommunikationsdienstleistungen Daten verarbeiten (§ 9 Abs. 1 BDSG, § 29 TDDDG).
Welche Aufgaben hat eine Datenschutz-Aufsichtsbehörde?
Jede Aufsichtsbehörde muss in ihrem Hoheitsgebiet die Anwendung der Verordnung überwachen und durchsetzen (Art. 57 Abs. 1 lit. a). Die Aufsichtsbehörde befasst sich mit Beschwerden einer betroffenen Person, untersucht den Gegenstand der Beschwerde in angemessenem Umfang und unterrichtet den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung (Art. 57 Abs. 1 lit. f). Zu den Untersuchungsbefugnissen gehört, den Verantwortlichen und den Auftragsverarbeiter anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung der Aufgaben erforderlich sind. Nach § 40 Abs. 1 BDSG überwachen die nach Landesrecht zuständigen Behörden im Anwendungsbereich der Verordnung bei den nichtöffentlichen Stellen die Anwendung der Vorschriften über den Datenschutz.
Bei Verstößen kann der BfDI nach eigener Darstellung die beaufsichtigten Stellen warnen, verwarnen und Verbote oder Geldbußen verhängen, Geldbußen aber nur gegenüber nicht-öffentlichen Stellen. Die Aufsichtsbehörde stellt sicher, dass Geldbußen im Einzelfall wirksam, verhältnismäßig und abschreckend sind. Anordnungen können nach Darstellung der Datenschutzkonferenz mit Zwangsmitteln wie Zwangsgeldern durchgesetzt werden; gegen rechtsverbindliche Entscheidungen steht nach Art. 78 DSGVO der Rechtsweg offen.
Woran erkenne ich die zuständige Datenschutz-Aufsichtsbehörde?
| Merkmal | Worauf es ankommt |
|---|---|
| Zuständigkeit des BfDI | Die oder der Bundesbeauftragte ist zuständig für die Aufsicht über die öffentlichen Stellen des Bundes sowie über Unternehmen, soweit diese für die geschäftsmäßige Erbringung von Telekommunikationsdienstleistungen Daten verarbeiten (§ 9 Abs. 1 BDSG, § 29 TDDDG). |
| Private Unternehmen | Für den größten Teil der Unternehmen der Privatwirtschaft sowie für Vereine, Verbände oder Freiberufler ist nach dem BfDI nicht der BfDI zuständig, sondern die Aufsichtsbehörde des Landes. |
| Beschwerdeort | Die Beschwerde kann nach Art. 77 Abs. 1 bei einer Aufsichtsbehörde eingelegt werden, unter anderem in dem Mitgliedstaat, in dem die betroffene Person ihren Aufenthaltsort oder Arbeitsplatz hat oder in dem der mutmaßliche Verstoß geschehen ist. |
| Gegenstand der Beschwerde | Die sachliche Zuständigkeit bestimmt sich danach, gegen welche Stelle sich die Beschwerde richtet. |
Wann ist die Datenschutz-Aufsichtsbehörde einzuschalten?
Was tun im Ernstfall
- Der Verantwortliche meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der nach Art. 51 zuständigen Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33).
- Betroffene Personen haben das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht sind, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die Verordnung verstößt (Art. 77 Abs. 1).
- Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, unterrichtet den Beschwerdeführer über den Stand und die Ergebnisse der Beschwerde einschließlich der Möglichkeit eines gerichtlichen Rechtsbehelfs nach Art. 78 (Art. 77).
Beispiele aus der Praxis
- Eine betroffene Person, die die Verarbeitung ihrer Daten für verordnungswidrig hält, reicht eine Beschwerde ein; die Aufsichtsbehörde untersucht den Gegenstand in angemessenem Umfang und unterrichtet sie innerhalb einer angemessenen Frist über Fortgang und Ergebnis.
- Eine öffentliche Stelle des Bundes untersteht der Aufsicht der oder des Bundesbeauftragten.
- Im April 2023 entschied der EDPB eine Streitigkeit über eine Geldbuße gegen Meta Platforms Ireland Limited; nach seiner verbindlichen Entscheidung 1/2023 verhängte die irische Datenschutzbehörde gegen Meta IE eine Geldbuße von 1,2 Milliarden Euro (EDPB-Jahresbericht 2023).
- Ein Versicherter, der die Verarbeitung seiner Daten durch seinen Versicherer für verordnungswidrig hält, kann Beschwerde bei einer Aufsichtsbehörde einreichen, unter anderem in dem Mitgliedstaat seines Aufenthaltsorts.
