Ablauf

Ein Schreiben der Aufsichtsbehörde ist eingegangen

Der Umfang der Antwort bemisst sich am Anlass des Schreibens und nicht am Fragenkatalog. Eine Beschwerde nach Art. 77 DSGVO verpflichtet die Aufsichtsbehörde zur Untersuchung in angemessenem Umfang und zur Unterrichtung des Beschwerdeführers, nicht aber zu einer Geldbuße. Nach dem EuGH besteht darauf kein subjektives Recht.

Ein Brief der Aufsicht mit Frist

Im Posteingang liegt ein Schreiben der Landesbeauftragten für den Datenschutz, mit einem Fragenkatalog und einer Frist von zwei Wochen. Wer sich beschwert hat, steht nicht darin. Die erste Diskussion dreht sich regelmäßig darum, was beantwortet werden muss und welcher Ton dabei angemessen ist.

Der Umfang bemisst sich am Anlass, nicht am Fragenkatalog

Wie ausführlich zu antworten ist, entscheidet sich an der Frage, worum es in der Sache geht. Art. 31 DSGVO verpflichtet zur Zusammenarbeit auf Anfrage. § 40 Abs. 4 S. 1 BDSG verpflichtet zur Auskunft, soweit sie für die Aufgaben der Behörde erforderlich ist. Der Maßstab ist damit die Erforderlichkeit und nicht die Länge des Katalogs.

Was eine brauchbare Antwort enthält

Den Sachverhalt in der Reihenfolge, in der er geschehen ist, mit Daten und Zuständigkeiten
Die Rechtsgrundlage der beanstandeten Verarbeitung, benannt und nicht angedeutet
Die Unterlagen, auf die der Text sich stützt, als Anlage und nicht als Angebot
Was bereits geändert wurde, mit Datum, sowie was bis wann geändert wird
Eine Ansprechperson mit Durchwahl

Daraus ergibt sich auch der Ton der Antwort. Eine Behörde, die einen Sachverhalt aufklärt, benötigt Tatsachen und keine Ausführungen darüber, warum ihre Fragen für unzulässig gehalten werden. Umgekehrt erfüllt auch eine ungeordnete Aktenübersendung die Pflicht zur Zusammenarbeit nicht, weil sie die Auswertung auf die Behörde verlagert.

Der Anlass sagt mehr über den Verlauf als der Ton des Schreibens

Der Anlass eines Verfahrens ist einem behördlichen Formschreiben selten anzusehen. Folglich wird ein Formschreiben häufig überinterpretiert. Steht eine Beschwerde nach Art. 77 DSGVO dahinter, ist die Behörde nach Art. 57 Abs. 1 Buchst. f DSGVO zur Untersuchung und Unterrichtung verpflichtet. Zugleich läuft die Frist des Art. 78 Abs. 2 DSGVO. Erhält die beschwerdeführende Person binnen drei Monaten keine Nachricht über den Stand oder das Ergebnis, kann sie gerichtlichen Rechtsschutz suchen. Die kurze Antwortfrist erklärt sich deshalb oft aus dem Verfahrensrecht und nicht aus einer Vorbewertung des Falls.

Warum die Frist im Schreiben kurz ausfällt

Die Beschwerde geht ein
Eine betroffene Person wendet sich nach Art. 77 DSGVO an die Aufsichtsbehörde.
Die Behörde untersucht
Art. 57 Abs. 1 Buchst. f DSGVO verpflichtet sie zur Untersuchung in angemessenem Umfang und zur Unterrichtung.
nach drei Monaten
Der Rechtsweg steht offen
Ohne Nachricht über Stand oder Ergebnis kann die beschwerdeführende Person nach Art. 78 Abs. 2 DSGVO gerichtlichen Rechtsschutz suchen.

Vier Anlässe und was sie erwarten lassen

Eine Beschwerde einer betroffenen Person

Der Gegenstand ist eng und ergibt sich aus dem Vortrag der beschwerdeführenden Person. Die Untersuchung hat nach Art. 57 Abs. 1 Buchst. f DSGVO in angemessenem Umfang zu erfolgen, also nicht umfassend. Sie endet mit einer Unterrichtung.

Die eigene Meldung nach Art. 33 DSGVO

Der Sachverhalt ist bereits gesetzt, nämlich durch die eigene Meldung. Nachgefragt wird typischerweise zu den Maßnahmen nach Art. 32 DSGVO und zur Benachrichtigung der Betroffenen.

Eine Prüfung von Amts wegen

Häufig eine Reihenprüfung zu einem Thema, etwa Einwilligungsbannern oder Beschäftigtendaten. Der Fragenkatalog ist dann für viele Adressaten gleich. Die Antwort darf sich auf die eigene Lage beschränken.

Ein Hinweis aus dem Umfeld

Ein Hinweis aus der Presse, von einem Wettbewerber oder aus der Belegschaft. Der Gegenstand ist offen. Deshalb lohnt eine Rückfrage nach dem Anlass, bevor der Sachverhalt geschrieben wird.

Die Feststellung eines Verstoßes führt nicht automatisch zur nächsten Eskalationsstufe. Nach dem Urteil des Europäischen Gerichtshofs vom 26.09.2024 begründet sie weder eine Pflicht zum Erlass einer Abhilfemaßnahme noch eine Pflicht zur Verhängung einer Geldbuße. Ein subjektives Recht der beschwerdeführenden Person auf ein bestimmtes aufsichtsbehördliches Einschreiten besteht nicht. Die Behörde schuldet eine angemessene Reaktion. Art. 58 Abs. 2 DSGVO eröffnet ihr dafür einen Rahmen, der von der Warnung bis zum Verarbeitungsverbot reicht.

So unterstützen wir Sie bei der Antwort an die Behörde

Die Antwort entsteht in drei Schritten. Zuerst wird der Anlass geklärt, notfalls durch Rückfrage bei der Behörde. Dann wird der Sachverhalt geschrieben, mit Daten, Zuständigkeiten und Unterlagen. Zuletzt kommt die rechtliche Einordnung hinzu, nur zu den Punkten des Schreibens. In dieser Reihenfolge kann die Anfrage einer Aufsichtsbehörde am effizientesten erledigt werden.

Häufige Fragen

Müssen wir alles beantworten?

Die Auskunftspflicht aus § 40 Abs. 4 S. 1 BDSG reicht so weit, wie die Auskunft zur Erfüllung der Aufgaben der Behörde erforderlich ist. Satz 2 räumt ein Verweigerungsrecht ein, soweit die Antwort der Gefahr einer strafgerichtlichen Verfolgung oder eines Bußgeldverfahrens aussetzen würde. Darauf ist nach Satz 3 hinzuweisen. Wo dieser Fall im Raum steht, gehört anwaltlicher Rat dazu.

Lässt sich die Frist verlängern?

In aller Regel ja. Ein begründeter Antrag vor Fristablauf, der einen konkreten neuen Termin nennt, wird häufig gewährt. Ein Verstreichenlassen ohne Nachricht wird dagegen als fehlende Zusammenarbeit gewertet. Diese ist nach Art. 83 Abs. 2 Buchst. f DSGVO ein Zumessungskriterium.

Sollten wir Mängel selbst benennen?

Häufig ja. Ein Mangel, der zugleich mit einem Plan zu seiner Behebung genannt wird, steht anders da als einer, den die Behörde findet. Art. 83 Abs. 2 DSGVO nennt die Zusammenarbeit ausdrücklich als Zumessungskriterium. Die Grenze zieht das Verweigerungsrecht des § 40 Abs. 4 S. 2 BDSG.

Endet eine Beschwerde in einer Geldbuße?

Selten. Nach dem Urteil des EuGH vom 26.09.2024 in der Sache C-768/21 folgt aus einer festgestellten Verletzung keine Pflicht zur Abhilfemaßnahme und erst recht keine zur Geldbuße. Die Behörde muss in geeigneter Weise reagieren. Art. 58 Abs. 2 DSGVO stellt ihr dafür von der Warnung bis zum Verarbeitungsverbot mehrere Mittel zur Verfügung.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.