Marketing Glossar

2.413 Fachbegriffe aus 22 Bereichen des Online Marketings

Datenschutzaufsichtsbehörde

Definition: Eine Datenschutzaufsichtsbehörde (englisch: Data Protection Authority, DPA; supervisory authority) ist eine unabhängige staatliche Institution, die gemäß Art. 51 DSGVO in jedem EU-Mitgliedstaat eingerichtet werden muss, um die Anwendung der DSGVO zu überwachen und durchzusetzen. Datenschutzaufsichtsbehörden handeln vollständig unabhängig von Regierungen und Wirtschaft; ihre Mitglieder dürfen keinerlei Weisungen entgegennehmen. Zu ihren Kernaufgaben zählen die Bearbeitung von Beschwerden betroffener Personen, die Durchführung von Untersuchungen und Audits, die Verhängung von Bußgeldern und anderen Sanktionen, die Beratung von Unternehmen und Behörden sowie die Kooperation mit anderen nationalen und europäischen Datenschutzbehörden. In Deutschland existiert aufgrund des föderalen Systems eine besonders komplexe Aufsichtsstruktur mit 16 Landesdatenschutzbeauftragten und dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI). Auf EU-Ebene koordiniert der Europäische Datenschutzausschuss (EDPB) die Zusammenarbeit aller nationalen Behörden und sorgt für eine einheitliche Anwendung der DSGVO.

Erläuterung

Die Datenschutzaufsichtsbehörden leiten ihre Rechtsgrundlage aus Kapitel VI der DSGVO (Art. 51–59) sowie aus nationalem Recht ab. Sie sind mit umfangreichen Untersuchungsbefugnissen ausgestattet: Sie dürfen Unternehmen prüfen, Zugang zu Datenverarbeitungsanlagen und -dokumenten verlangen, Auskunft über Verarbeitungsverzeichnisse fordern sowie die Vorlage von Datenschutz-Folgenabschätzungen verlangen. Darüber hinaus können sie Abhilfemaßnahmen anordnen, Verarbeitungen vorübergehend oder dauerhaft untersagen und Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes verhängen – je nachdem, welcher Betrag höher ist.

Im deutschen Föderalsystem sind die Landesdatenschutzbeauftragten für private Unternehmen zuständig, die ihren Sitz im jeweiligen Bundesland haben. Der BfDI hingegen ist für Bundesbehörden und bestimmte bundesweit regulierte Branchen (z. B. Telekommunikation, Post) zuständig. Diese Zersplitterung hat in der Vergangenheit zu unterschiedlichen Auslegungen und Vollzugspraktiken geführt. Die Datenschutzkonferenz (DSK) – das Gremium der deutschen Aufsichtsbehörden – veröffentlicht gemeinsame Positionen und Orientierungshilfen, um eine einheitlichere Praxis zu fördern.

Das One-Stop-Shop-Prinzip des Art. 56 DSGVO ermöglicht es Unternehmen, die in mehreren EU-Mitgliedstaaten tätig sind, grundsätzlich nur mit der Aufsichtsbehörde am Ort ihrer Hauptniederlassung in der EU zu interagieren. Diese federführende Behörde koordiniert bei grenzüberschreitenden Verarbeitungen die Zusammenarbeit mit den betroffenen Behörden anderer Mitgliedstaaten. Für viele große US-amerikanische Technologieunternehmen mit EU-Hauptsitz in Irland ist deshalb die irische Data Protection Commission (DPC) federführende Behörde – was aufgrund der wahrgenommenen Durchsetzungspassivität der DPC immer wieder zu europäischen Debatten geführt hat.

Für Online-Marketer sind die Behörden als Orientierungsrahmen unverzichtbar: Sie veröffentlichen Leitlinien, Orientierungshilfen und FAQ zu spezifischen Marketing-Themen wie Cookie-Einwilligung, E-Mail-Marketing, Tracking und Profiling. Entscheidungen wie das Verbot von Google Analytics durch österreichische und französische Behörden (2022) oder die Millionenbußgelder gegen Meta haben direkte operative Konsequenzen für Marketing-Setups europäischer Unternehmen.

Wichtige Datenschutzaufsichtsbehörden in Deutschland

Behörden auf EU-Ebene und international

Praxistipp: Identifizieren Sie frühzeitig die für Ihr Unternehmen zuständige Datenschutzaufsichtsbehörde und abonnieren Sie deren Newsletter und Pressemitteilungen. Viele Behörden veröffentlichen konkrete Leitlinien zu Marketing-Themen wie Cookie-Einwilligung oder E-Mail-Marketing, die direkt in Ihre Compliance-Praxis einfließen sollten. Bereiten Sie sich auf eine mögliche Anfrage der Behörde vor, indem Sie Ihr Verarbeitungsverzeichnis, Ihre DSFA-Dokumentation und Ihre AVV stets aktuell halten – im Ernstfall haben Sie oft nur kurze Zeit, um Unterlagen vorzulegen.