Das Symptom
Ein Onlineshop hat dir nach dem Löschen des Kontos weiter Werbung geschickt, dein Arbeitgeber wertet Daten aus, von denen du nichts wusstest, oder eine Auskunftei führt einen Eintrag, den du nicht nachvollziehen kannst. Du suchst nach der Stelle, die dafür zuständig ist, tippst „Datenschutzbeauftragter“ ein und landest bei der obersten Adresse, die Deutschland zu bieten hat: der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit. Klingt richtig. Bundesbehörde, Bundesgesetz, bundesweit tätiges Unternehmen. Du schreibst eine ausführliche Beschwerde, hängst Screenshots an – und bekommst Wochen später eine höfliche Nachricht, in der es um Zuständigkeit geht und nicht um deinen Fall. Der Ärger ist unverändert, nur drei Wochen älter.
Die „Layer 8“-Wahrheit
Der Denkfehler ist nachvollziehbar und trotzdem einer: Du hast nach der wichtigsten Behörde gesucht, nicht nach der zuständigen. Beides ist in Deutschland nicht dasselbe, und die Datenschutzaufsicht ist der Bereich, in dem das am deutlichsten auseinanderfällt. Die DSGVO selbst verteilt die Zuständigkeit nämlich gar nicht. Artikel 51 Absatz 1 verlangt nur, dass jeder Mitgliedstaat vorsieht, dass „eine oder mehrere unabhängige Behörden“ für die Überwachung der Anwendung der Verordnung zuständig sind – und Absatz 3 rechnet ausdrücklich damit, dass es mehr als eine wird. Deutschland hat sich für „mehrere“ entschieden. Wer die Aufsicht ausübt, steht deshalb nicht in Brüssel, sondern im Bundesdatenschutzgesetz.
Und dort ist die Linie unromantisch klar gezogen. § 9 Absatz 1 BDSG gibt der oder dem Bundesbeauftragten die Aufsicht über „die öffentlichen Stellen des Bundes, auch soweit sie als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen“ – plus einen schmalen privatwirtschaftlichen Streifen: Unternehmen, „soweit diese für die geschäftsmäßige Erbringung von Telekommunikationsdienstleistungen Daten von natürlichen oder juristischen Personen verarbeiten“. Das war die Aufzählung. Der Gegenpol steht einunddreißig Paragrafen später, und schon die Überschrift des Kapitels sagt alles: „Aufsichtsbehörde für die Datenverarbeitung durch nichtöffentliche Stellen“. Darunter § 40 Absatz 1 BDSG, ein einziger Satz: Die nach Landesrecht zuständigen Behörden überwachen im Anwendungsbereich der Verordnung (EU) 2016/679 bei den nichtöffentlichen Stellen die Anwendung der Vorschriften über den Datenschutz. Der Onlineshop, der Arbeitgeber, die Auskunftei, der Verein – alles nichtöffentliche Stellen, alles Land.
Der Bund ist dabei auch keine Beschwerdeinstanz über den Ländern, an die man sich wenden könnte, wenn es unten hakt. Diesen Satz muss man nicht herleiten, die BfDI schreibt ihn selbst hin: „Zwischen diesen Behörden besteht kein hierarchisches Verhältnis, insbesondere obliegt dem BfDI nicht die Aufsicht über die Landesdatenschutzbehörden.“ Es ist kein Instanzenzug, sondern eine Arbeitsteilung nach Sachgebieten. Auf derselben Seite steht der Maßstab dafür in einem Nebensatz, den man sich merken sollte: Die Zuständigkeiten bestimmen sich danach, gegen welche Stelle sich die Beschwerde richtet. Nicht danach, wie gravierend der Verstoß ist, und auch nicht danach, wie bundesweit die Firma auftritt.
Die Ausnahmen sind echt, aber sie sind kurz, und sie sind nicht die, die man rät. Telekommunikationsunternehmen stehen im Gesetz, Postdienstleistungsunternehmen führt die BfDI auf ihrer Beschwerdeseite. Wer sich also über seinen Mobilfunkanbieter oder seinen Paketdienst beschwert, ist beim Bund tatsächlich richtig – über den Shop, der die Pakete verschickt, dagegen nicht. Dazu kommen Jobcenter, der Kreis des Sicherheitsüberprüfungsgesetzes sowie bundesweit tätige gesetzliche Kranken- und Pflegekassen und die Renten- und Unfallversicherungsträger. Und ein Stück weiter draußen liegt eine dritte Kategorie, in der weder Bund noch Land helfen: Kirchen haben eigene Datenschutzbeauftragte, für die öffentlich-rechtlichen Rundfunkanstalten gibt es Rundfunkdatenschutzbeauftragte, für den redaktionellen Datenschutz der Presse nennt die BfDI den Deutschen Presserat. Ihr eigener Satz dazu ist der ehrlichste auf der ganzen Seite: „Auch für andere Organisationen sind die Aufsichtsbehörden des Bundes und der Länder nicht zuständig.“
Das Beruhigende zum Schluss, und zwar mit Maß. Artikel 77 Absatz 1 DSGVO gibt dir das Beschwerderecht bei „einer“ Aufsichtsbehörde, insbesondere im Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes – die Wahl bezieht sich also auf Geografie, nicht auf Sachgebiete. Eine Beschwerde an der falschen Adresse ist keine Katastrophe, aber sie kostet Zeit, und die Zeit ist an einer Stelle sogar rechtlich aufgeladen: Artikel 78 Absatz 2 DSGVO knüpft den gerichtlichen Rechtsbehelf nach drei Monaten Untätigkeit ausdrücklich an „die nach den Artikeln 55 und 56 zuständige Aufsichtsbehörde“. Der Aufwand, das vorher zu klären, ist überschaubar: Die BfDI betreibt einen Kontaktfinder und verspricht dort, man finde in wenigen Klicks heraus, wer für die eigene Beschwerde zuständig ist. Zwei Minuten dort sind besser investiert als drei Seiten Sachverhalt an eine Behörde, die den Fall gar nicht prüfen darf.