Datenschutzbeschwerde einreichen: Welche Behörde ist zuständig?

Ein Unternehmen oder eine Behörde geht mit Ihren Daten anders um, als es sein sollte. Sie haben vielleicht schon nachgefragt, bekommen aber keine brauchbare Antwort. Dann können Sie sich an eine Datenschutzaufsichtsbehörde wenden. In Deutschland gibt es davon mehrere, und welche zuständig ist, hängt davon ab, gegen wen sich Ihre Beschwerde richtet.

Dieser Artikel stützt sich auf drei Seiten, die am Ende verlinkt sind: zwei Seiten des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) und die Liste der Aufsichtsbehörden der Datenschutzkonferenz. Was diese Seiten nicht regeln, geben wir nicht wieder.

Ihr Recht auf Beschwerde

Artikel 77 Absatz 1 der Datenschutz-Grundverordnung (DSGVO) gibt Ihnen das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Voraussetzung ist, dass Sie der Ansicht sind, die Verarbeitung Sie betreffender personenbezogener Daten verstoße gegen die DSGVO.

Die zuständige Aufsichtsbehörde geht der Beschwerde im angemessenen Umfang nach. Sie hat umfassende Kontrollbefugnisse und ist bei ihren Aufgaben unabhängig und nur dem Gesetz unterworfen.

Zusätzlich nennt der BfDI § 60 des Bundesdatenschutzgesetzes. Danach können Sie sich beim BfDI beschweren, wenn Sie annehmen, dass Stellen Ihre Rechte verletzt haben, die Ihre Daten zur Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten verarbeiten.

Mehrere Behörden mit unterschiedlichen Zuständigkeiten

Es gibt in Deutschland nicht die eine Datenschutzbehörde. Der BfDI nennt drei Gruppen:

• den BfDI selbst,
• die jeweilige Landesdatenschutzbehörde,
• die sogenannten spezifischen Datenschutzaufsichtsbehörden.

Zwischen diesen Behörden besteht kein hierarchisches Verhältnis. Der BfDI beaufsichtigt die Landesdatenschutzbehörden nicht. Welche Behörde zuständig ist, richtet sich nach der Stelle, gegen die sich Ihre Beschwerde richtet.

Wann ist der BfDI zuständig?

Der BfDI ist laut seiner Seite für die Verarbeitungen folgender Stellen zuständig:

• Behörden des Bundes,
• sonstige öffentliche Stellen des Bundes,
• gemeinsame Einrichtungen nach dem Sozialgesetzbuch II (Jobcenter),
• Telekommunikationsunternehmen,
• Postdienstleistungsunternehmen,
• Unternehmen, die unter das Sicherheitsüberprüfungsgesetz fallen,
• bundesweit tätige gesetzliche Kranken- und Pflegekassen sowie Renten- und Unfallversicherungsträger.

Vermuten Sie bei einer dieser Stellen einen Verstoß, können Sie Ihre Beschwerde beim BfDI einreichen.

Wann ist die Landesdatenschutzbehörde zuständig?

Die Landesdatenschutzbehörden sind insbesondere zuständig für Behörden des jeweiligen Landes, für sonstige öffentliche Stellen des Landes oder einer Kommune sowie für Unternehmen und sonstige nicht-öffentliche Stellen, die nicht in die Sonderzuständigkeit des BfDI fallen.

Der BfDI schreibt dazu im Kontaktfinder: Privatunternehmen werden meist von den Landesbehörden beaufsichtigt, es gibt jedoch einige Ausnahmen. Auch Vereine und Verbände fallen in diese Kategorie.

Die Beschwerde kann bei der Datenschutzbehörde des Landes eingelegt werden, in dem Sie Ihren Aufenthalt oder Ihren Arbeitsplatz haben oder in dem der mutmaßliche Verstoß geschehen ist.

Für Bayern nennt die Liste der Datenschutzkonferenz zwei Stellen: eine für den öffentlichen Bereich und das Bayerische Landesamt für Datenschutzaufsicht für den privaten Bereich. Die Datenschutzkonferenz führt außerdem alle übrigen Landesbehörden mit Link auf. Die Liste sei, so die Seite selbst, nicht als abschließend zu betrachten.

Besondere Aufsichtsbehörden: Kirche, Rundfunk, Presse

Für einige Bereiche gelten Besonderheiten:

• Religionsgemeinschaften: Wegen des verfassungsrechtlich garantierten Selbstbestimmungsrechts müssen Sie sich mit Beschwerden an die kirchlichen Datenschutzbeauftragten wenden.
• Rundfunk: Die Einhaltung der Datenschutzvorschriften bei den öffentlich-rechtlichen Rundfunkanstalten wie ARD und ZDF wird insbesondere von Rundfunkdatenschutzbeauftragten überwacht. In Berlin, Brandenburg, Bremen und Hessen sind für den Verwaltungsbereich der Rundfunkanstalten die jeweiligen Landesdatenschutzbeauftragten zuständig.
• Presse: Anfragen und Beschwerden zum redaktionellen Datenschutz können an den Deutschen Presserat gerichtet werden.

Der BfDI weist im Kontaktfinder außerdem darauf hin, dass für andere Organisationen die Aufsichtsbehörden des Bundes und der Länder nicht zuständig sind.

Was nach der Einreichung passiert

Die Behörde ist verpflichtet, der Beschwerde im angemessenen Umfang nachzugehen. Sie muss Sie über den Stand und die Ergebnisse unterrichten, einschließlich eines etwaigen gerichtlichen Rechtsbehelfs. Nach spätestens drei Monaten muss sie Sie über den Verfahrensstand informieren.

Ist eine Datenschutzbehörde eines anderen EU-Mitgliedstaats für die Stelle zuständig, über die Sie sich beschweren, stimmt sich die deutsche Behörde mit ihr ab. Die deutsche Behörde, bei der Sie die Beschwerde eingereicht haben, bleibt Ihr Ansprechpartner. Sie müssen sich deshalb nicht in einer fremden Sprache an eine ausländische Behörde wenden.

Was die Quellen nicht sagen

Die drei Seiten beschreiben, wer zuständig ist und welche Rechte Sie haben. Sie sagen nicht, ob für die Beschwerde eine bestimmte Form vorgeschrieben ist, welche Unterlagen Sie beifügen sollen oder ob die Behörde zuvor eine Anfrage an die Stelle selbst verlangt. Das erfahren Sie auf den Seiten der jeweiligen Aufsichtsbehörde, die Sie über die verlinkten Listen erreichen.

Wo Sie die richtige Behörde finden

Die Datenschutzkonferenz führt die Aufsichtsbehörden des Bundes und der Länder alphabetisch mit Links auf, dazu die Datenschutzbeauftragten der Religionsgemeinschaften und der Rundfunkanstalten. Der BfDI bietet zusätzlich einen Kontaktfinder an, mit dem Sie in wenigen Klicks herausfinden, wer für Ihre Anfrage oder Beschwerde zuständig ist.

Wenn Sie vorab wissen möchten, welche Angaben zu Ihnen öffentlich im Netz sichtbar sind, bietet Remove Me eine kostenlose Analyse ohne Konto. Sie durchsucht öffentlich sichtbare Webergebnisse, bekannte Datenlecks (Have I Been Pwned) und ein Register von Datenhändlern. Den Bericht schalten Sie mit einem sechsstelligen Code frei, der per E-Mail kommt. Löschanfragen versendet Remove Me bisher nicht für Sie.