Ablauf

Ein Schreiben der Aufsichtsbehörde ist eingegangen

Der Umfang der Antwort bemisst sich am Anlass des Schreibens und nicht am Fragenkatalog. Eine Beschwerde nach Art. 77 DSGVO verpflichtet die Aufsichtsbehörde zur Untersuchung in angemessenem Umfang und zur Unterrichtung des Beschwerdeführers, nicht aber zu einer Geldbuße. Nach dem EuGH besteht darauf kein subjektives Recht.

Ein Brief der Aufsicht mit Frist

Im Posteingang liegt ein Schreiben der Landesbeauftragten für den Datenschutz, mit einem Fragenkatalog und einer Frist von zwei Wochen. Wer sich beschwert hat, steht nicht darin. In der Runde geht es sogleich darum, wie viel gesagt werden muss und in welchem Ton.

Der Umfang bemisst sich am Anlass, nicht am Fragenkatalog

Wie ausführlich zu antworten ist, entscheidet sich an der Frage, worum es in der Sache geht. Art. 31 DSGVO verpflichtet zur Zusammenarbeit auf Anfrage. § 40 Abs. 4 S. 1 BDSG verpflichtet zur Auskunft, soweit sie für die Aufgaben der Behörde erforderlich ist. Der Maßstab ist damit die Erforderlichkeit und nicht die Länge des Katalogs.

Was eine brauchbare Antwort enthält

Den Sachverhalt in der Reihenfolge, in der er geschehen ist, mit Daten und Zuständigkeiten
Die Rechtsgrundlage der beanstandeten Verarbeitung, benannt und nicht angedeutet
Die Unterlagen, auf die der Text sich stützt, als Anlage und nicht als Angebot
Was bereits geändert wurde, mit Datum, sowie was bis wann geändert wird
Eine Ansprechperson mit Durchwahl

Der Ton folgt daraus. Eine Behörde, die einen Sachverhalt aufklärt, braucht Angaben und keine Rechtsauffassung über die Zulässigkeit ihrer Fragen. Eine Aktenlieferung ohne Gliederung ist umgekehrt keine Zusammenarbeit, denn sie verlagert die Arbeit.

Der Anlass sagt mehr über den Verlauf als der Ton des Schreibens

Was der Anlass über das Verfahren aussagt, lässt sich einem Formschreiben oft nicht ansehen. Aus seiner Schärfe wird regelmäßig Falsches geschlossen. Steht eine Beschwerde nach Art. 77 DSGVO dahinter, hat die Behörde nach Art. 57 Abs. 1 Buchst. f DSGVO zu untersuchen und zu unterrichten. Nach Art. 78 Abs. 2 DSGVO kann die beschwerdeführende Person nach drei Monaten ohne Nachricht gerichtlich vorgehen. Die knappe Frist im Schreiben stammt häufig aus dieser Uhr und nicht aus einer Bewertung der Sache.

Vier Anlässe und was sie erwarten lassen

Eine Beschwerde einer betroffenen Person

Der Gegenstand ist eng und ergibt sich aus dem Vortrag der beschwerdeführenden Person. Die Untersuchung hat nach Art. 57 Abs. 1 Buchst. f DSGVO in angemessenem Umfang zu erfolgen, also nicht umfassend. Sie endet mit einer Unterrichtung.

Die eigene Meldung nach Art. 33 DSGVO

Der Sachverhalt ist bereits gesetzt, nämlich durch die eigene Meldung. Nachgefragt wird typischerweise zu den Maßnahmen nach Art. 32 DSGVO und zur Benachrichtigung der Betroffenen.

Eine Prüfung von Amts wegen

Häufig eine Reihenprüfung zu einem Thema, etwa Einwilligungsbannern oder Beschäftigtendaten. Der Fragenkatalog ist dann für viele Adressaten gleich. Die Antwort darf sich auf die eigene Lage beschränken.

Ein Hinweis aus dem Umfeld

Ein Hinweis aus der Presse, von einem Wettbewerber oder aus der Belegschaft. Der Gegenstand ist offen. Deshalb lohnt eine Rückfrage nach dem Anlass, bevor der Sachverhalt geschrieben wird.

Am Ende steht selten das, was befürchtet wird. Nach dem Urteil vom 26.09.2024 folgt aus einer festgestellten Verletzung keine Pflicht zur Abhilfemaßnahme und insbesondere keine zur Geldbuße. Ein subjektives Recht darauf hat die beschwerdeführende Person nicht. Geschuldet ist eine geeignete Reaktion. Die Mittel des Art. 58 Abs. 2 DSGVO reichen von der Warnung bis zum Verarbeitungsverbot.

So unterstützen wir Sie bei der Antwort an die Behörde

Die Antwort entsteht in drei Schritten. Zuerst wird der Anlass geklärt, notfalls durch Rückfrage bei der Behörde. Dann wird der Sachverhalt geschrieben, mit Daten, Zuständigkeiten und Unterlagen. Zuletzt kommt die rechtliche Einordnung hinzu, nur zu den Punkten des Schreibens. In dieser Reihenfolge dauert die Arbeit typischerweise zwei bis drei Tage.

Häufige Fragen

Müssen wir alles beantworten?

Die Auskunftspflicht aus § 40 Abs. 4 S. 1 BDSG reicht so weit, wie die Auskunft zur Erfüllung der Aufgaben der Behörde erforderlich ist. Satz 2 räumt ein Verweigerungsrecht ein, soweit die Antwort der Gefahr einer strafgerichtlichen Verfolgung oder eines Bußgeldverfahrens aussetzen würde. Darauf ist nach Satz 3 hinzuweisen. Wo dieser Fall im Raum steht, gehört anwaltlicher Rat dazu.

Lässt sich die Frist verlängern?

In aller Regel ja. Ein begründeter Antrag vor Fristablauf, der einen konkreten neuen Termin nennt, wird häufig gewährt. Ein Verstreichenlassen ohne Nachricht wird dagegen als fehlende Zusammenarbeit gewertet. Diese ist nach Art. 83 Abs. 2 Buchst. f DSGVO ein Zumessungskriterium.

Sollten wir Mängel selbst benennen?

Häufig ja. Ein Mangel, der zugleich mit einem Plan zu seiner Behebung genannt wird, steht anders da als einer, den die Behörde findet. Art. 83 Abs. 2 DSGVO nennt die Zusammenarbeit ausdrücklich als Zumessungskriterium. Die Grenze zieht das Verweigerungsrecht des § 40 Abs. 4 S. 2 BDSG.

Endet eine Beschwerde in einer Geldbuße?

Selten. Nach dem Urteil des EuGH vom 26.09.2024 in der Sache C-768/21 folgt aus einer festgestellten Verletzung keine Pflicht zur Abhilfemaßnahme und erst recht keine zur Geldbuße. Die Behörde muss in geeigneter Weise reagieren. Art. 58 Abs. 2 DSGVO stellt ihr dafür von der Warnung bis zum Verarbeitungsverbot mehrere Mittel zur Verfügung.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.