Glossar · Datenschutz
Aufsichtsbehörde
Eine nach der DSGVO eingerichtete unabhängige öffentliche Stelle, die deren Anwendung überwacht, Beschwerden bearbeitet und Abhilfebefugnisse ausübt.
Aufgabe und Unabhängigkeit
Artikel 51 DSGVO verpflichtet jeden EU-Mitgliedstaat, eine oder mehrere unabhängige öffentliche Stellen einzurichten. Sie überwachen die Anwendung der Verordnung und schützen die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten. Üblich ist auch die Bezeichnung Datenschutzbehörde.
Aufgaben und Befugnisse
Nach den Artikeln 57 und 58 informiert eine Aufsichtsbehörde Öffentlichkeit und Organisationen, bearbeitet Beschwerden, führt Untersuchungen durch und berät öffentliche Stellen. Sie kann Auskünfte verlangen, Datenschutzüberprüfungen durchführen, Warnungen oder Verwarnungen aussprechen, die Einhaltung anordnen, Verarbeitungen beschränken oder verbieten und in den von der DSGVO vorgesehenen Fällen Geldbußen verhängen. Eine Beschwerde und eine Untersuchung aus eigener Initiative sind somit unterschiedliche Wege zur selben Behörde.
Welche Behörde ist zuständig?
Ausgangspunkt ist die örtliche Zuständigkeit nach Artikel 55. Bei grenzüberschreitender Verarbeitung ist nach Artikel 56 grundsätzlich die Behörde der Hauptniederlassung oder einzigen Niederlassung des Verantwortlichen oder Auftragsverarbeiters im Kooperationsverfahren federführend. Die federführende Behörde ist nicht frei wählbar und nicht für jede Verarbeitung einschlägig; örtliche Behörden bleiben in den von der DSGVO bestimmten Fällen zuständig. Eine Organisation sollte daher Niederlassungen und Verarbeitungstätigkeiten abbilden, bevor sie die maßgeblichen Kontakte dokumentiert.
Datenschutzverletzungen melden
Nach Artikel 33 meldet ein Verantwortlicher eine Verletzung der nach Artikel 55 zuständigen Behörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Ein Auftragsverarbeiter informiert stattdessen den Verantwortlichen unverzüglich. Für die gesonderte Benachrichtigung betroffener Personen nach Artikel 34 gilt die höhere Schwelle eines voraussichtlich hohen Risikos. Ein praxistauglicher Reaktionsplan hält Behörde, Meldeweg, verantwortliche Rollen und benötigte Angaben schon vor einem Vorfall fest.