DSGVO Aufsichtsbehörde: Zusammenarbeit und Verfahren

Art. 31 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, auf Anfrage mit der Datenschutzbehörde zusammenzuarbeiten. Dies umfasst die Beantwortung von Anfragen, die Bereitstellung von Dokumenten wie dem Verarbeitungsverzeichnis und die Unterstützung bei Prüfungsverfahren. Die Pflicht gilt gegenüber jeder zuständigen Aufsichtsbehörde, ob BfDI auf Bundesebene oder Landesdatenschutzbeauftragter. Eine Verweigerung kann als eigenständiger DSGVO-Verstoß gewertet werden.

Deutschland hat ein zweistufiges System der Datenschutzaufsicht. Der Bundesbeauftragte für den Datenschutz (BfDI) ist zuständig für Bundesbehörden und Telekommunikationsunternehmen. Die 16 Landesdatenschutzbeauftragten überwachen Unternehmen, Vereine und Landesbehörden in ihrem jeweiligen Bundesland. Die zuständige Aufsichtsbehörde richtet sich nach dem Sitz des Unternehmens. Für grenzüberschreitende Datenverarbeitung in der EU greift Art. 56 DSGVO mit dem One-Stop-Shop-Prinzip.

Eine gründliche Vorbereitung umfasst mehrere Schritte: Stellen Sie sicher, dass Ihr Verarbeitungsverzeichnis nach Art. 30 DSGVO aktuell ist. Halten Sie Datenschutz-Folgenabschätzungen, Auftragsverarbeitungsverträge und Einwilligungsdokumentationen bereit. Benennen Sie einen internen Ansprechpartner für die Aufsichtsbehörde und briefen Sie Geschäftsführung, Datenschutzbeauftragten und IT-Leitung. Bei Vor-Ort-Prüfungen sollte ein Ablaufplan mit klaren Zuständigkeiten vorliegen.

Bei einer Vor-Ort-Prüfung kommen Mitarbeiter der Datenschutzbehörde in Ihr Unternehmen. Sie führen Gespräche mit Geschäftsführung, Datenschutzbeauftragtem und IT-Verantwortlichen. Die Prüfer verlangen typischerweise Einsicht in das Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen sowie Nachweise zur DSGVO-Konformität. Unternehmen müssen gemäß Art. 58 DSGVO Zugang zu Räumlichkeiten und Datenverarbeitungssystemen gewähren.

Ja. Art. 83 Abs. 2 DSGVO nennt den Grad der Zusammenarbeit mit der Aufsichtsbehörde ausdrücklich als Faktor bei der Bußgeldbemessung. Unternehmen, die proaktiv kooperieren, Verstöße selbst melden und Maßnahmen zur Behebung ergreifen, erhalten erfahrungsgemäß 40 bis 60 % geringere Bußgelder. Umgekehrt kann mangelnde Kooperation als erschwerender Umstand gewertet werden.

Art. 58 DSGVO verleiht Aufsichtsbehörden weitreichende Befugnisse in drei Kategorien: Untersuchungsbefugnisse (Auskunftsverlangen, Zugang zu Räumlichkeiten, Datenschutzüberprüfungen), Abhilfebefugnisse (Verwarnungen, Anweisungen, Verarbeitungsverbote, Bußgelder) und Genehmigungsbefugnisse (Zertifizierungsstellen, Standardvertragsklauseln). Die Aufsichtsbehörde kann Bußgelder von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes verhängen.

Das One-Stop-Shop-Prinzip nach Art. 56 DSGVO regelt die Zuständigkeit bei grenzüberschreitender Datenverarbeitung in der EU. Die Datenschutzbehörde am Standort der Hauptniederlassung wird zur federführenden Aufsichtsbehörde. Sie koordiniert die Zusammenarbeit mit anderen betroffenen Behörden über den Kohärenzmechanismus. Für Unternehmen bedeutet dies einen zentralen Ansprechpartner trotz EU-weiter Datenverarbeitung.