One-Stop-Shop Datenschutz

Definition: Das One-Stop-Shop-Prinzip (auch Einheitlicher Ansprechpartner-Mechanismus) ist in Art. 56 der Datenschutz-Grundverordnung (DSGVO) geregelt und ermöglicht es Verantwortlichen sowie Auftragsverarbeitern, die eine grenzüberschreitende Verarbeitung personenbezogener Daten in der EU durchführen, bei behördlichen Fragen, Beschwerden und Verfahren primär nur mit einer einzigen Datenschutz-Aufsichtsbehörde zu interagieren – der sogenannten federführenden Aufsichtsbehörde (lead supervisory authority). Diese ist die Behörde des Mitgliedstaates, in dem das Unternehmen seine Hauptniederlassung hat, d. h. den Ort, an dem die Entscheidungen über Zweck und Mittel der Datenverarbeitung zentral getroffen werden. Das Prinzip soll den Verwaltungsaufwand für grenzüberschreitend tätige Unternehmen reduzieren, da diese nicht mit bis zu 27 verschiedenen nationalen Behörden gleichzeitig kommunizieren müssen. Die federführende Behörde koordiniert Verfahren im Kohärenzverfahren mit den anderen betroffenen Aufsichtsbehörden (concerned supervisory authorities) der Mitgliedstaaten, in denen die Datenverarbeitung Auswirkungen auf betroffene Personen hat. Der Europäische Datenschutzausschuss (EDPB) kann bei Streitigkeiten zwischen Behörden oder bei unzureichendem Vorgehen der federführenden Behörde verbindliche Beschlüsse erlassen.

Erläuterung

Das One-Stop-Shop-Prinzip ist eines der praktisch bedeutendsten Kooperationsinstrumente der DSGVO für international tätige Unternehmen. Ohne diesen Mechanismus müsste ein Unternehmen, das beispielsweise in allen 27 EU-Mitgliedstaaten Nutzer hat, theoretisch mit jeder nationalen Datenschutzbehörde direkt kommunizieren, Meldungen erstatten und auf Anfragen reagieren. Das Prinzip vereinfacht dies erheblich: Die federführende Behörde wird zum zentralen Ansprechpartner und koordiniert alle Verfahren, die grenzüberschreitende Verarbeitungen betreffen.

Die Bestimmung der federführenden Behörde richtet sich nach dem Ort der Hauptniederlassung, also dem Ort, an dem die Entscheidungen über Zweck und Mittel der Datenverarbeitung zentral getroffen werden – was nicht zwingend der Sitz des Unternehmens ist. Bei Tochtergesellschaften oder Niederlassungen multinationaler Konzerne kann die Bestimmung der Hauptniederlassung komplex sein. Ist ein Unternehmen nur in einem Mitgliedstaat tätig, kommt das One-Stop-Shop-Prinzip nicht zur Anwendung; dann ist ausschließlich die Behörde dieses Mitgliedstaates zuständig.

In der Praxis ist das One-Stop-Shop-Prinzip nicht unumstritten. Kritiker bemerkten, dass einige große Technologieunternehmen ihre europäische Hauptniederlassung bewusst in Länder wie Irland verlegt haben, in denen die Datenschutzbehörde (die irische DPC) als ressourcenschwach galt und Verfahren besonders langsam abwickelte. Der EDPB hat reagiert und kann mittlerweile in solchen Fällen Dringlichkeitsentscheidungen treffen oder die federführende Behörde zur Tätigwerden auffordern, um den Schutz der Betroffenen sicherzustellen.

Für betroffene Personen ändert das One-Stop-Shop-Prinzip wenig: Sie können Beschwerden weiterhin bei der Aufsichtsbehörde ihres eigenen Mitgliedstaates einreichen (Art. 77 DSGVO). Diese lokale Behörde leitet die Beschwerde dann an die federführende Behörde weiter, bleibt aber am Verfahren beteiligt. Betroffene aus verschiedenen Ländern können also trotz des Prinzips in ihrer Landessprache und bei der ihnen vertrauten Behörde Beschwerde einlegen.

Bestimmung der federführenden Aufsichtsbehörde

Hauptniederlassung: Der Ort, an dem die wesentlichen Entscheidungen über Zweck und Mittel der Datenverarbeitung zentral getroffen werden; nicht unbedingt der Hauptsitz des Unternehmens oder der Ort der größten Mitarbeiterzahl.
Konzernstrukturen: Bei Unternehmensgruppen kann die Hauptniederlassung der Muttergesellschaft maßgeblich sein, wenn sie die Entscheidungen über die Datenverarbeitung trifft; alternativ kann jede Tochtergesellschaft eine eigene federführende Behörde haben.
Einzige Niederlassung: Unternehmen mit Niederlassungen nur in einem Mitgliedstaat, die aber Daten von Personen in anderen Mitgliedstaaten verarbeiten, unterliegen grundsätzlich der Behörde des Niederlassungslandes.
Kein Sitz in der EU: Unternehmen ohne EU-Niederlassung müssen nach Art. 27 DSGVO einen EU-Vertreter benennen; das One-Stop-Shop-Prinzip greift für sie nicht in gleicher Weise.

Kohärenzverfahren und EDPB

Kohärenzverfahren (Art. 63–67 DSGVO): Mechanismus, durch den die federführende Behörde Beschlussentwürfe bei grenzüberschreitenden Verfahren den anderen betroffenen Behörden zur Stellungnahme vorlegt und eine einheitliche Anwendung der DSGVO sicherstellt.
EDPB-Verbindlichkeit: Der Europäische Datenschutzausschuss kann bei Streitigkeiten zwischen Behörden verbindliche Beschlüsse erlassen, die die federführende Behörde zur Umsetzung verpflichten.
Dringlichkeitsverfahren: In dringenden Fällen können betroffene Behörden einstweilige Maßnahmen ergreifen und den EDPB um eine Dringlichkeitsentscheidung ersuchen.
Amtshilfe (Art. 61 DSGVO): Aufsichtsbehörden sind verpflichtet, sich gegenseitig Informationen zu übermitteln und Ermittlungsmaßnahmen durchzuführen, um eine effektive Durchsetzung der DSGVO zu gewährleisten.

Praxistipp: Ermitteln Sie frühzeitig, welche Datenschutzaufsichtsbehörde für Ihr Unternehmen federführend zuständig ist – insbesondere wenn Sie in mehreren EU-Ländern aktiv sind oder dort Nutzer haben. Pflegen Sie proaktiv den Kontakt zu dieser Behörde, etwa durch freiwillige Vorabkonsultationen bei großen Datenprojekten. Beachten Sie, dass trotz des One-Stop-Shop-Prinzips lokale Behörden für Beschwerden von Nutzern ihres Landes zuständig bleiben – eine gute Compliance-Struktur muss daher auch lokale Anfragen professionell bearbeiten können.