Kurzdefinition: Die Aufsichtsbehörde ist die staatliche Datenschutzkontrolle. Nach Art. 58 DSGVO verfügt sie über Untersuchungs-, Abhilfe- und Genehmigungsbefugnisse gegenüber Verantwortlichen und Auftragsverarbeitern. [N-DSGVO-58]
Der Normwortlaut
Art. 58 Abs. 1 DSGVO gibt jeder Aufsichtsbehörde Untersuchungsbefugnisse, etwa „Untersuchungen in Form von Datenschutzüberprüfungen durchzuführen“. Absatz 2 verleiht Abhilfebefugnisse, darunter Verwarnungen, Anweisungen, Beschränkungen oder Verbote von Verarbeitungen sowie Geldbußen gemäß Art. 83 DSGVO. [N-DSGVO-58]
Welche Befugnisse hat die Aufsichtsbehörde?
Drei Gruppen. Nach Art. 58 DSGVO sind das die Untersuchungsbefugnisse (Informationen anfordern, Prüfungen durchführen, Zugang erhalten), die Abhilfebefugnisse (Warnungen, Anweisungen, Beschränkungen, Verbote, Geldbußen) und die Genehmigungs- und Beratungsbefugnisse. Damit kann sie Datenschutzverstöße aufklären und abstellen. [N-DSGVO-58]
Kann sie Bußgelder verhängen?
Ja. Zu den Abhilfebefugnissen nach Art. 58 Abs. 2 DSGVO gehört die Verhängung von Geldbußen gemäß Art. 83 DSGVO. Der Bußgeldrahmen reicht dort bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. [N-DSGVO-58] [N-DSGVO-83]
Kann sie eine Verarbeitung verbieten?
Ja. Art. 58 Abs. 2 DSGVO erlaubt es der Aufsichtsbehörde, eine Verarbeitung vorübergehend oder endgültig zu beschränken oder zu verbieten. Das ist eine der schärfsten Abhilfemaßnahmen, weil sie den Datenfluss unmittelbar stoppen kann. [N-DSGVO-58]
Welche Untersuchungsbefugnisse hat die Aufsichtsbehörde?
Weitreichende. Nach Art. 58 Abs. 1 DSGVO kann die Aufsichtsbehörde unter anderem Untersuchungen in Form von Datenschutzüberprüfungen durchführen und Informationen anfordern. Sie kann den Sachverhalt also aktiv aufklären. [N-DSGVO-58]
Worauf stützt sie Geldbußen?
Auf Art. 83 DSGVO. Zu den Abhilfebefugnissen des Art. 58 Abs. 2 DSGVO gehört die Verhängung von Geldbußen gemäß Art. 83 DSGVO. Die Bußgeldbefugnis ist damit ausdrücklich verankert. [N-DSGVO-58]
Sind ihre Befugnisse auf Untersuchungen beschränkt?
Nein. Neben den Untersuchungsbefugnissen des Absatzes 1 verfügt die Aufsichtsbehörde nach Absatz 2 über Abhilfebefugnisse — von Verwarnungen und Anweisungen bis zu Beschränkungen oder Verboten von Verarbeitungen. [N-DSGVO-58]
Häufige Fehlannahmen
- „Die Aufsichtsbehörde kann nur beraten.“ Nein. Sie hat neben Beratungs- und Sensibilisierungsaufgaben auch Untersuchungs- und Abhilfebefugnisse nach Art. 58 DSGVO. [N-DSGVO-58]
- „Für Unternehmen ist der Bundesbeauftragte (BfDI) zuständig.“ In der Regel nicht. Der BfDI beaufsichtigt öffentliche Stellen des Bundes; für Unternehmen sind die Datenschutz-Aufsichtsbehörden der 16 Länder zuständig. [N-DSGVO-58]
- „Bußgelder verhängen nur Gerichte.“ Nein. Die Aufsichtsbehörde kann nach Art. 58 und 83 DSGVO selbst Geldbußen verhängen. [N-DSGVO-58]
- „Die Behörde darf keine Geschäftsräume betreten.“ Doch. Zu den Untersuchungsbefugnissen des Art. 58 DSGVO gehört der Zugang zu Geschäftsräumen und Datenverarbeitungsanlagen. [N-DSGVO-58]
- „Ein Verarbeitungsverbot ist nicht möglich.“ Doch. Art. 58 Abs. 2 DSGVO sieht die Beschränkung und das Verbot der Verarbeitung vor. [N-DSGVO-58]
Was die Geschäftsleitung tun sollte
- Zuständigkeit kennen. Die zuständige Aufsichtsbehörde und Ansprechwege festhalten.
- Kooperationsfähig sein. Auf Auskunfts- und Prüfungsersuchen vorbereitet sein.
- Risiko einordnen. Abhilfebefugnisse bis zum Verarbeitungsverbot ernst nehmen.
- Bußgeldrahmen bedenken. Verstöße können nach Art. 83 DSGVO teuer werden.
Für die Geschäftsleitung
Die Aufsichtsbehörde ist mehr als eine Beratungsstelle: Sie kann untersuchen, anweisen, Verarbeitungen verbieten und Bußgelder in Millionenhöhe verhängen. Für das Unternehmen ist der kooperative, vorbereitete Umgang mit ihr Teil des Datenschutz-Risikomanagements — gerade nach einer Datenpanne.
Quellen
- [N-DSGVO-58] Art. 58 DSGVO (Befugnisse der Aufsichtsbehörde). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-83] Art. 83 DSGVO (Allgemeine Bedingungen für die Verhängung von Geldbußen). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
