Müssen Händler in Datenschutzhinweisen über eine konkrete Datenschutzbehörde informieren?

In der Datenschutzerklärung und bei der Beantwortung von Auskunftsanfragen nach der DSGVO müssen Verantwortliche im datenschutzrechtlichen Sinne neben vielen anderen Informationen auch über das Recht der Betroffenen informieren, sich bei einer Aufsichtsbehörde über die Datenverarbeitung zu beschweren. Muss dabei die konkret zuständige Datenschutzbehörde genannt werden?

Die Datenschutzerklärung ist Pflicht

Unabhängig davon, wie die Informationen bezeichnet werden, ob „Datenschutzerklärung“, „Datenschutzhinweise“, „Datenschutzinformationen“ oder ganz anders: Nach Art. 13 und 14 der Datenschutz-Grundverordnung („DSGVO“) sind Verantwortliche i.S.d. Datenschutzrechts, hierzu zählen auch Online-Händler, dazu verpflichtet, die betroffenen Personen bei der Erhebung von personenbezogenen Daten über die Zusammenhänge und Hintergründe der Datenverarbeitung zu informieren.

Zu diesen Informationen zählen u.a. etwa:

• die Kontaktdaten des Verantwortlichen und des Datenschutzbeauftragten,
• die Zwecke, für die die Daten verarbeitet werden,
• die gesetzlichen Rechtsgrundlagen der Datenverarbeitung und
• die Empfänger der Daten, falls die Daten an Dritte weitergegeben werden.

Darüber hinaus müssen die Verantwortlichen auch über die einzelnen Betroffenenrechte informieren. Diese umfassen neben dem Auskunftsrecht (Art. 15 DSGVO) auch das allgemeine Recht, sich im Zusammenhang mit der Verarbeitung der eigenen personenbezogenen Daten bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).

Unsere Mandanten können zur Erfüllung dieser Informationspflichten auf die stets aktuell gehaltenen Rechtstexte der IT-Recht Kanzlei zurückgreifen.

Jeder darf sich beschweren, wo er will

Das Recht auf Beschwerde bei einer Aufsichtsbehörde ist in Art. 77 Abs. 1 DSGVO geregelt:

"Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt."

Zwar können sich die betroffenen Personen demnach insbesondere in dem EU-Mitgliedstaat bzw. an dem Ort beschweren, wo sie ihren gewöhnlichen Aufenthalt haben, also wo sie wohnen und arbeiten, oder etwa auch dort, wo der mutmaßliche Datenschutzverstoß stattgefunden hat. Allerdings ist dies keineswegs zwingend: Die betroffenen Personen dürfen sich schon nach dem Wortlaut der Vorschrift in Art. 77 Abs. 1 DSGVO genauso auch bei anderen Datenschutzbehörden beschweren („Recht auf Beschwerde bei einer Aufsichtsbehörde“), sie sind insoweit also nicht auf eine bestimmte Aufsichtsbehörde beschränkt.

Welche Datenschutzbehörde ist in der Datenschutzerklärung anzugeben?

Schon vor Inkrafttreten der DSGVO wurde in Deutschland und in anderen EU-Mitgliedstaaten diskutiert, ob in der Datenschutzerklärung angegeben werden muss, welche konkrete Datenschutzbehörde für die jeweiligen Beschwerden zuständig ist, und etwa auch, wie deren Kontaktdaten (Anschrift, E-Mail-Adresse und Telefonnummer) lauten. Ansonsten müssten die betroffenen Personen selbst recherchieren, an welche Aufsichtsbehörde sie sich im Beschwerdefall wenden können.

Allerdings hat sich diese Rechtsauffassung aus guten Gründen nicht durchgesetzt. Zum einen folgt diese Pflicht schon nicht aus dem Wortlaut des Gesetzes, der nur davon spricht, dass über „das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde“ zu informieren ist. Hieraus lässt sich nicht ableiten, dass auch Informationen über eine konkrete Aufsichtsbehörde angegeben werden müssen.

Zudem gibt es aus Sicht der einzelnen betroffenen Personen nicht die eine, konkret für ihre Beschwerden zuständige Aufsichtsbehörde, da sie sich an verschiedene Behörden wenden dürfen. Somit könnte in vielen Fällen auch nicht über eine konkrete Aufsichtsbehörde informiert werden.

Ist beim Auskunftsrecht nach Art. 15 DSGVO alles ganz anders?

Dieselben Fragen stellen sich auch im Zusammenhang mit dem Auskunftsrecht der betroffenen Personen nach Art. 15 DSGVO.

Danach hat eine betroffene Person das Recht, vom Verantwortlichen für ihren spezifischen Einzelfall eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat sie weiter das Recht auf Auskunft über diese personenbezogenen Daten und auch auf Information u.a. – so der Wortlaut – über „das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde“.

Nun könnte man auf die Idee kommen, bei einer solch spezifischen Anfrage einer Einzelperson wäre der Verantwortliche verpflichtet, die konkret zuständige Aufsichtsbehörde gegenüber der betroffenen Person anzugeben. Denn durch die Kenntnis des Verantwortlichen darüber, wer die konkret betroffene Person ist, könnte der Verantwortliche nun im Unterschied zur Situation bei der allgemeinen Datenschutzerklärung in der Lage sein, die konkrete Aufsichtsbehörde zu nennen.

Gegen diese Rechtsauffassung sprechen aber im Wesentlichen dieselben Argumente wie im Falle der Datenschutzerklärung. Der Wortlaut des Art. 15 Abs. 1 Hs. 2 Buchst. f DSGVO gibt dies nicht her und an sich kennt das Recht auf Beschwerde bei einer Aufsichtsbehörde eben keine Zuständigkeit im eigentlichen Sinne.

Eine aktuelle Entscheidung sieht es genauso

Dieser Sichtweise hat sich in diesem Jahr auch das AG Wiesbaden (Urt. v. 3. März 2022 – Az. 93 C 2338/20 (22) angeschlossen und führt hierzu aus:

"Dass ein Recht auf Berichtigung oder Löschung personenbezogener Daten besteht, hat die Beklagte dem Kläger mit Schriftsatz v. 5.11.2021 mitgeteilt, ebenso das Bestehen einer Beschwerdemöglichkeit bei einer Aufsichtsbehörde."

"Die Nennung der konkreten Aufsichtsbehörde oder ihrer Kontaktdaten war insofern nicht erforderlich. Eine solche Pflicht enthält Art. 15 Abs. 1 Hs. 2 lit. f DS-GVO anders als noch im Beschluss des Europäischen Parlaments vorgesehen ausdrücklich nicht."

Was bedeutet dies für Online-Händler, die DSGVO-Auskunftsanfragen von ihren Kunden erhalten?

Für Online-Händler ist dies eine Erleichterung. Sie müssen sich weder Gedanken darüber machen, welche konkrete Datenschutzbehörde samt Kontaktdaten sie im Zusammenhang mit dem Beschwerderecht der betroffenen Personen in ihrer Datenschutzerklärung angeben müssen. Noch müssen sie dies später im Zuge der Beantwortung von einzelnen Auskunftsanfragen von betroffenen Personen recherchieren und angeben.

Sprechen Sie uns gerne an, wenn Sie hierzu Fragen haben oder Mandant der IT-Recht Kanzlei werden möchten.

Tipp: Fragen zum Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook .