Beschwerde zu einem Datenschutzverstoß einreichen

Die Sächsische Datenschutz- und Transparenzbeauftragte ist hinsichtlich des Datenschutzes nur für in Sachsen ansässige öffentliche und nicht-öffentliche Stellen (Verantwortliche) zuständig. Bei Filialbetrieben oder bei unselbständigen Niederlassungen von Unternehmen richtet sich die örtliche Zuständigkeit der Aufsichtsbehörde nach dem Hauptsitz beziehungsweise dem Sitz der Geschäftsleitung. Bei Religionsgemeinschaften, Rundfunkanstalten, Finanzbehörden im Anwendungsbereich der Abgabenordnung, bundesweiten gesetzlichen Kranken- und Pflegekassen sowie Telekommunikations- und Postdienstunternehmen ist die sachliche Zuständigkeit der Sächsischen Datenschutz- und Transparenzbeauftragten nicht gegeben.
Eine Übersicht zu den Datenschutzaufsichtsbehörden des Bundes und der Länder sowie den spezifischen Datenschutzbeauftragten der Religionsgemeinschaften und Rundfunkanstalten finden Sie auf der Website der Datenschutzkonferenz.

Ihre Eingabe wertet die Sächsische Datenschutz- und Transparenzbeauftragte dann als Beschwerde im Sinne des Artikels 77 Datenschutz-Grundverordnung, wenn Sie nachvollziehbar darlegen, dass die Stelle, über die Sie sich beschweren, Sie betreffende personenbezogene Daten so verarbeitet, dass Ihre Rechte verletzt werden. Mit einer Kontrollanregung können Sie der Sächsischen Datenschutz- und Transparenzbeauftragten einen allgemeinen Hinweis zu einem Datenschutzverstoß mitteilen, bei dem Ihre Rechte selbst nicht verletzt wurden. Ihre Eingabe, die bei einer Kontrollanregung auch anonym erfolgen kann, wird sorgfältig bearbeitet und der Sachverhalt geprüft. Bitte beachten Sie, dass Ihnen in diesem Fall – insbesondere mangels eigener Betroffenheit – keine weiteren Informationen über das Verfahren mitgeteilt werden können.

In Ihrer Beschwerde müssen Sie nachvollziehbar darlegen, dass die Stelle, über die Sie sich beschweren, Sie betreffende personenbezogene Daten so verarbeitet, dass Ihre Rechte verletzt werden. Ansonsten bearbeitet die Sächsische Datenschutz- und Transparenzbeauftragte (SDTB) Ihre Eingabe als Kontrollanregung.

Zu den Mindestanforderungen gehört auch, dass Sie (Beschwerdeführer) mindestens Ihren vollständigen Namen und Ihre gültige Postanschrift sowie den Namen und die Anschrift des Verantwortlichen (Beschwerdegegner) – sofern bekannt – mitteilen. Hinweis: Ihre E-Mail-Adresse reicht nicht aus, da die SDTB mit Ihnen nicht auf dem unsicheren Weg des E-Mail-Verkehrs kommunizieren darf.

Der Beschwerdesachverhalt muss von Ihnen verständlich dargestellt werden. Rechtliche Ausführungen und Wertungen sind nicht erforderlich. Jedoch sollten Sie alle wesentlichen Punkte zum vermeintlichen Datenschutzverstoß benennen. Unterlagen, die den Sachverhalt belegen, insbesondere der vollständige bisherige Schriftwechsel sowie Fotos, sind beizufügen. Wenn schon andere Institutionen/öffentliche Stellen bei der Angelegenheit eingebunden wurden, übermitteln Sie der SDTB bitte den Namen der Stelle, das Aktenzeichen und den vollständigen Schriftwechsel.

Bei Beschwerden benötigt die SDTB Ihr Einverständnis, dass Ihre Identität gegenüber dem Verantwortlichen preisgegeben werden darf. Liegt Ihr Einverständnis nicht vor, kann Ihr Anliegen unter Umständen nicht oder nur allgemein bearbeitet werden. Des Weiteren wird Ihre Zustimmung benötigt, dass Ihre Eingabe an die zuständige Aufsichtsbehörde weitergeleitet werden darf – sofern die SDTB für Ihren Fall nicht zuständig ist.

In bestimmten Fällen kann Ihre Beschwerde zur Vermeidung von Doppel- bzw. Parallelermittlungen erst nach Abschluss der polizeilichen Ermittlungen bearbeitet werden. 

Am 10. Juli 2023 wurde der Angemessenheitsbeschluss für den Datenschutzrahmen EU-USA (EU-US Data Privacy Framework) verabschiedet. Im Rahmen dieses Beschlusses wurde ein neues Beschwerdeverfahren eingerichtet, mit dem Betroffene die Verarbeitung personenbezogener Daten durch US-Nachrichtendienste in den Vereinigten Staaten überprüfen lassen können. Neben diesem neuen Beschwerdemechanismus existieren weitere Beschwerdewege bei möglichen Verstößen gegen den Datenschutzrahmen EU-USA durch zertifizierte US-Organisationen/-Unternehmen.

Beschwerdeverfahren gegenüber US-Organisationen/-Unternehmen (gewerbliche Angelegenheiten)

Wenn Sie der Meinung sind, dass ein unter dem Datenschutzrahmen EU-USA zertifiziertes US-Unternehmen, an welches Ihre Daten übermittelt worden sind, gegen seine Pflichten aus dem Datenschutzrahmen EU-USA verstoßen hat oder die Rechte, die Ihnen nach dem Datenschutzrahmen EU-USA zustehen, verletzt hat, können Sie sich mit Ihrer Beschwerde direkt an die Sächsische Datenschutz- und Transparenzbeauftragte wenden.

Für Rechtsbehelfe gegenüber den US-Organisationen/-Unternehmen besteht für betroffene Personen unter anderem die Möglichkeit eine Beschwerde bei ihrer nationalen Datenschutzaufsichtsbehörde einzureichen. Je nach Fallgestaltung kann es erforderlich sein, dass die Beschwerde an das informelle Gremium der EU-Datenschutzbehörden und die darin vertretenen Datenschutzaufsichtsbehörden oder an die zuständigen US-Behörden weitergeleitet wird. Außerdem kann es sein, dass die Bearbeitung der Beschwerde die Übermittlung Ihrer personenbezogenen Daten an das betroffene US-Unternehmen erfordert. In einer gesonderten Geschäftsordnung finden Sie weitere Informationen.

Wenn Sie von dieser Möglichkeit Gebrauch machen und eine Beschwerde bei bzw. über die Sächsische Datenschutz- und Transparenzbeauftragte einreichen möchten, nutzen Sie bitte das hierfür vorgesehene Formular.

Das ausgefüllte Beschwerdeformular können Sie der Sächsischen Datenschutz- und Transparenzbeauftragten per Post oder per E-Mail zukommen lassen.

Beschwerdeverfahren bzgl. Verarbeitung personenbezogener Daten durch US-Nachrichtendienste

Ein wichtiges Element, auf das sich der Angemessenheitsbeschluss stützt, ist das unter dem Datenschutzrahmen EU-USA eingeführte neue Beschwerdeverfahren, mit dem Betroffene die Verarbeitung ihrer personenbezogenen Daten durch US-Nachrichtendienste in den USA überprüfen lassen können. Damit Personen in der Europäischen Union dieses neue Verfahren möglichst einfach nutzen können, nehmen die Datenschutzbehörden der EU-Mitgliedstaaten entsprechende Beschwerden entgegen und leiten diese anschließend über das Sekretariat des Europäischen Datenschutzausschusses an die zuständigen Stellen in den Vereinigten Staaten weiter. Dort werden die Beschwerden geprüft und entschieden.

Wenn Sie von dieser Möglichkeit Gebrauch machen und eine Beschwerde über die Sächsische Datenschutz- und Transparenzbeauftragte einreichen möchten, nutzen Sie bitte das hierfür vorgesehen Formular. Im Hinweisdokument finden Sie zusätzliche Informationen zu den rechtlichen Grundlagen und Einzelheiten des Beschwerdeverfahrens. Die vom Europäischen Datenschutzausschuss verabschiedeten Rules of Procedure regeln dabei die Zusammenarbeit der Datenschutzbehörden und des Sekretariats bei der Beschwerdebearbeitung.

Das ausgefüllte Beschwerdeformular können Sie der Sächsischen Datenschutz- und Transparenzbeauftragten per Post oder per E-Mail zukommen lassen.

• EU-US DPF Beschwerdeformular gewerbliche Angelegenheiten (*.pdf, 0,16 MB)
• EU-US DPF Beschwerdeformular Nachrichtendienste (*.pdf, 0,17 MB)
• EU-US DPF Hinweise zum Beschwerdeverfahren Nachrichtendienste (*.pdf, 0,12 MB)
• EU-US DPF Geschäftsordnung Informelles Gremium der EU-Datenschutzbehörden (*.pdf, 0,84 MB)

Hier ist zwischen Beschwerde und Kontrollanregung zu unterscheiden (siehe oben). Sie können Ihre eigene Betroffenheit durch Wahrnehmung des Auskunftsrechts in einem ersten Schritt selbst ermitteln. Die Datenschutz-Grundverordnung (DSGVO) gibt betroffenen Personen mit dem in Artikel 15 DSGVO festgeschriebenen Auskunftsrecht ein Mittel an die Hand, selbst zu überprüfen, ob von ihnen personenbezogene Daten zu welchen Zwecken, auf welcher Rechtsgrundlage und wie lange verarbeitet werden. Werden keine personenbezogenen Daten verarbeitet, haben sie Anspruch auf eine Negativauskunft. Das – aus Nachweisgründen vorzugsweise schriftlich geltend zu machende – Auskunftsbegehren ist an den datenschutzrechtlich Verantwortlichen zu richten. Empfehlung: Fügen Sie einen Hinweis auf die gesetzliche Antwortfrist von einem Monat ein. Diese ergibt sich aus Artikel 12 Absatz 3 Satz 1 DSGVO. Im Ausnahmefall kann der Verantwortliche diese Frist um weitere zwei Monate verlängern, muss den Antragsteller aber innerhalb der Monatsfrist darüber unterrichten (Artikel 12 Absatz 3 Sätze 2 und 3 DSGVO). Der Auskunftsanspruch ist vom Umfang her beschränkt. Welche Auskünfte konkret erteilt und welche Informationen gegebenenfalls zusätzlich bereitgestellt werden müssen, ergibt sich abschließend aus Artikel 15 Absätze 1 bis 3 DSGVO.

Die Kommunikation mit Ihnen erfolgt grundsätzlich auf dem Briefpostweg. Wenn Sie der Sächsischen Datenschutz- und Transparenzbeauftragten (SDTB) Ihren öffentlichen PGP-Schlüssel übermittelt haben, kann die SDTB auch per verschlüsselter E-Mail mit Ihnen kommunizieren. Die Entscheidung trifft diesbezüglich die Bearbeiterin oder der Bearbeiter Ihrer Eingabe. Den öffentlichen PGP-Schlüssel der SDTB finden Sie auf der Kontaktseite.

Unabhängig davon ist in jedem Beschwerdefall die Angabe Ihres vollständigen Namens und Ihrer Postanschrift für Identifizierungszwecke erforderlich. Kontrollanregungen sind davon ausgenommen.

Für eventuelle Nachfragen und Hinweise bittet Sie die SDTB im Interesse einer effektiven Bearbeitung Ihre Telefonkontaktdaten anzugeben. Die Angabe Ihrer Telefonkontaktdaten ist aber freiwillig. Ihre Telefonnummer wird nur behördenintern für Rückfragen verwendet.

Wegen des erheblichen Geschäftsanfalls bei Beschwerden, Anfragen und Hinweisen/Kontrollanregungen kommt es aktuell leider zu großen zeitlichen Verzögerungen bei der Bearbeitung, zumal Beschwerden und Anfragen grundsätzlich vorrangig, aber dennoch in der Reihenfolge ihres Posteingangs zu bearbeiten sind. Vor diesem Hintergrund bittet die Sächsische Datenschutz- und Transparenzbeauftragte von Rückfragen zum Bearbeitungsstand abzusehen und dankt für Ihr Verständnis.

Wenn Sie persönlich Betroffene/r sind, werden Sie unaufgefordert benachrichtigt, sobald das Ergebnis der Prüfung feststeht. Sollte Ihnen nichtsdestoweniger in diesem Fall nach Ablauf von drei Monaten jedoch noch keine Zwischeninformation zugegangen sein, können Sie sich gleichwohl gern noch einmal an die Sächsische Datenschutz- und Transparenzbeauftragte wenden.