Beschwerdeverfahren
Ein Beschwerdeverfahren ist das in der DSGVO verankerte Recht jeder betroffenen Person, bei einer Datenschutzbehörde gegen vermutete Datenschutzverstöße vorzugehen. Es ermöglicht KMU-Kund:innen oder Mitarbeitenden, einen förmlichen Antrag auf Prüfung einzureichen.
Ausführliche Erklärung
Das Beschwerdeverfahren nach Artikel 77 DSGVO ist eines der wichtigsten Rechtsschutzinstrumente für Betroffene im Datenschutzrecht. Jede Person kann sich bei der zuständigen Datenschutzbehörde beschweren, wenn sie der Ansicht ist, dass ihre personenbezogenen Daten rechtswidrig verarbeitet werden. Die Beschwerde kann per E-Mail, Brief oder über Online-Formulare eingereicht werden und ist grundsätzlich kostenfrei.
Für KMU bedeutet dies, dass sie jederzeit Adressat einer formellen Beschwerde werden können – sei es von Kund:innen, Mitarbeitenden oder Dienstleister:innen. In Österreich führt die Datenschutzbehörde ein kontradiktorisches Zwei- oder Mehrparteienverfahren, bei dem sich Beschwerdeführer:in und Beschwerdegegner:in wie vor Gericht gegenüberstehen. Die Behörde ermittelt den Sachverhalt, kann Stellungnahmen einfordern oder mündliche Verhandlungen anberaumen. Binnen drei Monaten muss die Behörde über den Stand der Beschwerde informieren. Das Verfahren endet entweder mit einem Bescheid, der bei berechtigten Beschwerden Rechtsverletzungen feststellen und Aufträge zur Einhaltung des Datenschutzrechts erteilen kann, oder mit einer formlosen Einstellung, wenn die Rechtsverletzung nachträglich beseitigt wurde.
Organisationen wie noyb (None of Your Business) nutzen Beschwerdeverfahren gezielt und systematisch, um Datenschutzverstöße zu verfolgen. Dies hat zu einer deutlich gestiegenen Zahl von Verfahren geführt, insbesondere gegen internationale Konzerne, aber auch KMU können betroffen sein. Bei grenzüberschreitenden Fällen kooperieren die Datenschutzbehörden über das One-Stop-Shop-Verfahren, was die Verfahrensdauer allerdings erheblich verlängern kann. Ein Beschwerdeverfahren selbst führt nicht zu Schadenersatz – hierfür sind die ordentlichen Gerichte zuständig. Die Datenschutzbehörde kann jedoch Geldbußen verhängen, wobei dies in einem separaten Verwaltungsstrafverfahren geschieht.
Praxisbeispiel
Eine oberösterreichische Steuerberatungskanzlei mit 12 Mitarbeitenden erhält eine Beschwerde bei der österreichischen Datenschutzbehörde von einem ehemaligen Mandanten, der sein Auskunftsrecht geltend gemacht hatte. Die Kanzlei hatte erst nach 60 Tagen geantwortet. Die Datenschutzbehörde fordert eine Stellungnahme an, woraufhin die Kanzlei nachweisen kann, dass sie zwischenzeitlich ihre Prozesse optimiert und dem Mandanten umfassend Auskunft erteilt hat. Das Verfahren wird formlos eingestellt.