4.3 Aufsichtsbehörden weltweit

Datenschutzgesetze entfalten ihre Wirkung nur, wenn jemand ihre Einhaltung überwacht. Diese Aufgabe übernehmen Datenschutzaufsichtsbehörden — unabhängige staatliche Stellen, die Beschwerden entgegennehmen, Untersuchungen durchführen und Sanktionen verhängen können.

Die Aufgaben einer Datenschutzbehörde

Eine Datenschutzbehörde (DSB) erfüllt typischerweise vier Kernfunktionen:

1. Beratung: Sie gibt Leitlinien für Unternehmen und Bürger heraus und beantwortet Fragen zur Rechtslage.
2. Untersuchung: Sie kann Beschwerden von Betroffenen nachgehen und von sich aus Prüfungen einleiten.
3. Sanktionierung: Sie kann Verwarnungen, Anordnungen und — nach der DSGVO — empfindliche Bußgelder verhängen.
4. Internationale Kooperation: Behörden tauschen Informationen aus und koordinieren bei grenzüberschreitenden Fällen.

Europäische Struktur: EDPB und nationale Behörden

In der EU gibt es ein zweistufiges System. Der Europäische Datenschutzausschuss (EDPB) koordiniert die nationalen Behörden und erlässt verbindliche Entscheidungen bei grenzüberschreitenden Verarbeitungen. Jeder EU-Mitgliedstaat hat eine oder mehrere nationale Datenschutzbehörden.

In Deutschland existiert eine besondere föderale Struktur: Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist für Bundesbehörden und bundesrechtlich regulierte Unternehmen (z. B. Telekommunikation) zuständig. Für alle anderen Verantwortlichen — also die große Mehrheit der Unternehmen — sind die Landesdatenschutzbehörden zuständig. Jedes der 16 Bundesländer hat eine eigene Behörde, beispielsweise den Landesbeauftragten für Datenschutz in Bayern (BayLDA) oder die Berliner Beauftragte für Datenschutz und Informationsfreiheit. Die Datenschutzkonferenz (DSK) koordiniert die Positionen der deutschen Behörden bundesweit.

Wichtige Behörden international

• ICO (Information Commissioner's Office), Großbritannien: Seit dem Brexit eigenständig, aber weiterhin an DSGVO-ähnliche Standards (UK GDPR) gebunden. Bekannt für hohe Bußgelder gegen Unternehmen wie British Airways und Marriott.
• FTC (Federal Trade Commission), USA: Zuständig für Datenschutz im Bereich unlauterer Handelspraktiken; kein vollwertiges Datenschutzmandat, aber de-facto wichtigste Bundesstelle.
• OPC (Office of the Privacy Commissioner), Kanada: Zuständig für PIPEDA (Bundesebene); macht Empfehlungen, hat aber begrenzte Sanktionsbefugnisse.
• OAIC (Office of the Australian Information Commissioner): Zuständig für den australischen Privacy Act 1988; überwacht Beschwerden und berät Unternehmen.
• Informationsbeauftragter, Südafrika: Zuständig für POPIA (Protection of Personal Information Act, 2013/2021); zunehmend aktiv bei der Durchsetzung.

Die zuständige Behörde für den eigenen Fall finden

Bei Fragen oder Beschwerden gilt folgende Faustregel: Handelt es sich um eine deutsche Bundesbehörde oder ein Telekommunikationsunternehmen? → BfDI. Handelt es sich um ein anderes Unternehmen oder eine Landesbehörde? → Landesdatenschutzbehörde des Bundeslands, in dem das Unternehmen seinen Hauptsitz hat. Handelt es sich um ein EU-Unternehmen mit Sitz in einem anderen Mitgliedstaat? → Behörde des Hauptsitzlands (One-Stop-Shop-Prinzip der DSGVO). Der IAPP Global Privacy Law Tracker (iapp.org) bietet eine aktuelle Übersicht aller Behörden weltweit.

Fazit

Aufsichtsbehörden sind die Zähne des Datenschutzrechts. Sie zu kennen — und zu wissen, wann und wie man sie kontaktiert — ist ein praktischer Schlüssel zur Durchsetzung eigener Rechte.