Eine Aufsichtsbehörde überwacht die Einhaltung der datenschutzrechtlichen Vorschriften und setzt diese gegenüber Unternehmen und öffentlichen Stellen durch. Nach Art. 51 DS-GVO müssen die Mitgliedstaaten der Europäischen Union unabhängige Datenschutzaufsichtsbehörden vorsehen. Zu ihren Aufgaben gehören die Prüfung von Datenschutzverstößen, die Bearbeitung von Beschwerden und die Beratung zu datenschutzrechtlichen Fragen. Bei Verstößen können sie insbesondere Anordnungen erlassen und Geldbußen verhängen.
Welche Aufgaben hat eine Datenschutzaufsichtsbehörde?
Die Aufgaben der Datenschutzaufsichtsbehörden ergeben sich insbesondere aus Art. 57 DS-GVO. Sie überwachen die Anwendung der Datenschutzvorschriften und tragen dazu bei, die Rechte betroffener Personen zu schützen.
Zu ihren wesentlichen Aufgaben gehören:
- Überwachung und Durchsetzung der DS-GVO
- Bearbeitung von Beschwerden betroffener Personen
- Untersuchung möglicher Datenschutzverstöße
- Sensibilisierung und Beratung zu datenschutzrechtlichen Pflichten
- Zusammenarbeit mit anderen europäischen Datenschutzaufsichtsbehörden
Darüber hinaus beraten die Behörden öffentliche Stellen und informieren über die datenschutzrechtlichen Anforderungen an die Verarbeitung personenbezogener Daten.
Nach Art. 52 DS-GVO müssen sie ihre Aufgaben unabhängig wahrnehmen.
Welche Befugnisse hat eine Datenschutzaufsichtsbehörde?
Art. 58 DS-GVO unterscheidet zwischen Untersuchungs-, Abhilfe-, Genehmigungs- und Beratungsbefugnissen.
Im Rahmen ihrer Untersuchungsbefugnisse können Aufsichtsbehörden beispielsweise Informationen von Unternehmen verlangen, Datenschutzprüfungen durchführen und unter den gesetzlichen Voraussetzungen Zugang zu personenbezogenen Daten und Geschäftsräumen erhalten.
Stellen sie einen Datenschutzverstoß fest, können sie insbesondere:
- Verwarnungen oder Verweise aussprechen
- Die Erfüllung von Betroffenenrechten anordnen
- Unternehmen zur Anpassung ihrer Datenverarbeitung verpflichten
- Die Verarbeitung personenbezogener Daten vorübergehend oder dauerhaft beschränken
- Die Löschung rechtswidrig verarbeiteter Daten anordnen
- Geldbußen nach Art. 83 DS-GVO verhängen
Welche Maßnahme im Einzelfall ergriffen wird, richtet sich insbesondere nach der Art und Schwere des Verstoßes sowie den gesetzlichen Voraussetzungen.
Welche Datenschutzaufsichtsbehörde ist in Deutschland zuständig?
In Deutschland bestehen Datenschutzaufsichtsbehörden auf Bundes- und Landesebene. Die Zuständigkeit richtet sich insbesondere danach, welche Stelle personenbezogene Daten verarbeitet und welche gesetzlichen Zuständigkeitsregelungen gelten.
Für private Unternehmen sind grundsätzlich die Datenschutzaufsichtsbehörden der Bundesländer zuständig. Auch die meisten öffentlichen Stellen der Länder und Kommunen unterliegen der jeweiligen Landesdatenschutzaufsicht.
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist insbesondere für öffentliche Stellen des Bundes und bestimmte weitere gesetzlich zugewiesene Bereiche zuständig.
In Bayern besteht eine Besonderheit: Für private Unternehmen ist das Bayerische Landesamt für Datenschutzaufsicht zuständig, während der Bayerische Landesbeauftragte für den Datenschutz insbesondere die öffentlichen Stellen des Freistaats überwacht.
Bei grenzüberschreitenden Datenverarbeitungen innerhalb der EU können die Zuständigkeits- und Kooperationsregelungen der Art. 56 und 60 DS-GVO relevant werden.
Wann können sich Betroffene an eine Aufsichtsbehörde wenden?
Nach Art. 77 DS-GVO hat jede betroffene Person das Recht, Beschwerde bei einer Datenschutzaufsichtsbehörde einzulegen, wenn sie der Ansicht ist, dass die Verarbeitung ihrer personenbezogenen Daten gegen die DS-GVO verstößt.
Mögliche Beschwerdegründe sind beispielsweise:
- Unzulässige Weitergabe personenbezogener Daten
- Fehlende oder unzureichende Auskunft über gespeicherte Daten
- Rechtswidrige Videoüberwachung
- Unberechtigte Verarbeitung von Gesundheitsdaten
- Nichtbeachtung eines berechtigten Löschungsanspruchs
Eine Beschwerde kann insbesondere bei einer Aufsichtsbehörde im Mitgliedstaat des gewöhnlichen Aufenthalts, des Arbeitsplatzes oder des mutmaßlichen Verstoßes eingereicht werden.
Die Behörde muss die Beschwerde in angemessenem Umfang prüfen und die betroffene Person über den Fortgang und das Ergebnis informieren.
Welche Folgen haben Datenschutzverstöße für Unternehmen?
Stellt eine Aufsichtsbehörde einen Verstoß gegen die DS-GVO fest, kann sie Maßnahmen nach Art. 58 DS-GVO ergreifen.
Dazu gehören beispielsweise verbindliche Anordnungen zur Änderung einer Datenverarbeitung oder die Verhängung von Geldbußen.
Art. 83 DS-GVO sieht abhängig vom jeweiligen Verstoß unterschiedliche Bußgeldrahmen vor. Bei bestimmten Verstößen können Geldbußen von bis zu 20 Millionen Euro oder bei Unternehmen von bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden, je nachdem, welcher Betrag höher ist.
Die tatsächliche Höhe einer Geldbuße richtet sich nach den Umständen des Einzelfalls. Dabei sind insbesondere die Schwere und Dauer des Verstoßes, das Verschulden und die Zusammenarbeit mit der Aufsichtsbehörde zu berücksichtigen.
Nicht jeder Datenschutzverstoß führt automatisch zu einer Geldbuße. Die Behörde muss eine geeignete und verhältnismäßige Maßnahme wählen.
Praxisbeispiel: Prüfung durch eine Datenschutzaufsichtsbehörde
Ein Unternehmen betreibt einen Onlineshop und speichert personenbezogene Kundendaten. Aufgrund unzureichender Sicherheitsmaßnahmen können unbefugte Personen auf bestimmte Kundendaten zugreifen. Ein betroffener Kunde reicht daraufhin Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde ein.
Die Behörde prüft den Sachverhalt und fordert das Unternehmen auf, Informationen zu den eingesetzten Sicherheitsmaßnahmen vorzulegen. Dabei stellt sie fest, dass die Maßnahmen den Anforderungen des Art. 32 DS-GVO nicht entsprechen.
Die Aufsichtsbehörde kann das Unternehmen daraufhin verpflichten, geeignete Sicherheitsmaßnahmen umzusetzen. Abhängig von den Umständen des Verstoßes kommt zusätzlich eine Geldbuße nach Art. 83 DS-GVO in Betracht.
legal data Einschätzung: Unternehmen sollten Anfragen und Prüfungen durch Datenschutzaufsichtsbehörden ernst nehmen und die erforderlichen Informationen nachvollziehbar bereitstellen. Eine dokumentierte Datenschutzorganisation, angemessene technische und organisatorische Maßnahmen sowie klare interne Zuständigkeiten erleichtern die Zusammenarbeit mit der Behörde. Werden Datenschutzmängel festgestellt, sollten Unternehmen erforderliche Korrekturmaßnahmen zeitnah umsetzen.
Rechtsgrundlagen
- Art. 51–59 DS-GVO
- Art. 60 DS-GVO
- Art. 77 DS-GVO
- Art. 83 DS-GVO
- ergänzend die Zuständigkeitsregelungen des BDSG und der jeweiligen Landesdatenschutzgesetze
Häufige Fragen zur Datenschutzaufsichtsbehörde
Was ist eine Datenschutzaufsichtsbehörde?
Eine Datenschutzaufsichtsbehörde ist eine unabhängige staatliche Stelle, die die Einhaltung der Datenschutzvorschriften überwacht. Sie bearbeitet Beschwerden, untersucht mögliche Verstöße und kann Maßnahmen zur Durchsetzung der DS-GVO ergreifen.
Kann jeder eine Beschwerde bei der Datenschutzaufsichtsbehörde einreichen?
Betroffene Personen können nach Art. 77 DS-GVO Beschwerde einreichen, wenn sie der Ansicht sind, dass die Verarbeitung ihrer personenbezogenen Daten gegen die DS-GVO verstößt. Eine vorherige gerichtliche Klärung ist dafür nicht erforderlich.
Darf eine Aufsichtsbehörde ein Unternehmen kontrollieren?
Ja. Nach Art. 58 DS-GVO verfügen Datenschutzaufsichtsbehörden über Untersuchungsbefugnisse. Dazu gehören unter den gesetzlichen Voraussetzungen die Anforderung von Informationen, Datenschutzüberprüfungen und der Zugang zu bestimmten Geschäftsräumen.
Kann eine Datenschutzaufsichtsbehörde Geldbußen verhängen?
Ja. Aufsichtsbehörden können bei Datenschutzverstößen Geldbußen nach Art. 83 DS-GVO verhängen. Ob und in welcher Höhe eine Geldbuße festgesetzt wird, hängt von den gesetzlichen Voraussetzungen und den Umständen des Einzelfalls ab.
Was ist der Unterschied zwischen Datenschutzbeauftragtem und Aufsichtsbehörde?
Ein Datenschutzbeauftragter berät und überwacht innerhalb einer Organisation die Einhaltung der Datenschutzvorschriften. Eine Datenschutzaufsichtsbehörde ist dagegen eine unabhängige staatliche Stelle mit gesetzlichen Untersuchungs- und Durchsetzungsbefugnissen.
Verwandte Begriffe.
Datenschutzbeauftragter (DSB) Ein Datenschutzbeauftragter ist eine fachkundige Person, die Unternehmen oder öffentliche Stellen bei der Einhaltung datenschutzrechtlicher Vorschriften berät und deren Umsetzung überwacht. Seine Benennung ist unter bestimmten Voraussetzungen nach Art. 37 der Datenschutz-Grundverordnung (DS-GVO) und § 38 Bundesdatenschutzgesetz (BDSG) verpflichtend. Die Aufgaben und die unabhängige Stellung des Datenschutzbeauftragten sind insbesondere in Art. 38 und 39 DS-GVO geregelt. Art. 37 DS-GVO Meldepflicht bei Datenschutzverletzungen Die Meldepflicht bei Datenschutzverletzungen verpflichtet Verantwortliche, eine Datenpanne innerhalb von 72 Stunden nach Bekanntwerden der Aufsichtsbehörde zu melden. Art. 33 DSGVO 