Wer personenbezogene Daten verarbeitet, muss sich im Zweifel an die zuständige Datenschutzbehörde wenden. Für Unternehmen mit mehreren Standorten ist das nicht immer einfach, denn die Auslegung der DSGVO kann sich zwischen den Bundesländern unterscheiden. Eine geplante Reform soll Zuständigkeiten beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, kurz BfDI, bündeln und dadurch einheitlichere Regeln schaffen.

Wer beaufsichtigt Unternehmen heute?

Die Datenschutzaufsicht ist in Deutschland föderal organisiert. Für die meisten privaten Unternehmen sind grundsätzlich die Datenschutzbehörden der Bundesländer zuständig. Maßgeblich ist regelmäßig, wo das Unternehmen beziehungsweise seine Hauptniederlassung sitzt.

Betreibt ein Unternehmen mehrere Niederlassungen, bleibt normalerweise eine federführende Behörde zuständig. Dennoch können weitere Landesbehörden beteiligt sein, etwa wenn Datenverarbeitungen Beschäftigte oder Kunden in mehreren Bundesländern betreffen.

Der BfDI überwacht derzeit vor allem öffentliche Stellen des Bundes. Darüber hinaus ist die Bundesbehörde insbesondere für bestimmte Telekommunikations- und Postdienstleister zuständig. Für gewöhnliche Handels-, Industrie- oder Dienstleistungsunternehmen liegt die Aufsicht dagegen bislang meist bei den Ländern.

Welche Rolle spielt die Datenschutzkonferenz?

In der Datenschutzkonferenz, kurz DSK, arbeiten die Datenschutzbehörden des Bundes und der Länder zusammen. Sie veröffentlicht unter anderem Beschlüsse, Orientierungshilfen und gemeinsame Stellungnahmen.

Diese Dokumente helfen Unternehmen bei der Anwendung der DSGVO. Die DSK ist jedoch bislang keine einheitliche Bundesbehörde. Ihre Beschlüsse ersetzen weder Gesetze noch verbindliche gerichtliche Entscheidungen. In einzelnen Fragen können deshalb weiterhin unterschiedliche Auffassungen oder Vollzugspraktiken der Landesbehörden bestehen.

Was soll künftig gebündelt werden?

Geplant ist, die Datenschutzaufsicht über die Privatwirtschaft stärker beim BfDI zu konzentrieren. Ziel sind einheitlichere Entscheidungen, branchenspezifische Beratung und schlankere Aufsichtsstrukturen. Die BfDI hat erklärt, für eine solche Bündelung zur Verfügung zu stehen.

Außerdem soll die DSK gesetzlich verankert werden. Dadurch könnten ihre Aufgaben, Verfahren und gemeinsamen Standards eine klarere rechtliche Grundlage erhalten. Noch ist allerdings offen, wie die Zuständigkeiten zwischen Bund und Ländern im Einzelnen verteilt werden und welche Bereiche bei den Landesbehörden verbleiben.

Eine Zentralisierung ist nach Art. 51 DSGVO grundsätzlich möglich. Die Verordnung erlaubt den Mitgliedstaaten ausdrücklich, eine oder mehrere unabhängige Aufsichtsbehörden einzurichten. Nach einer Untersuchung der Wissenschaftlichen Dienste des Bundestages kommt eine Bündelung der Aufsicht über den privaten Sektor auf Bundesebene rechtlich grundsätzlich in Betracht.

Was würde sich für Unternehmen verbessern?

Unternehmen mit Standorten in mehreren Bundesländern könnten besonders profitieren. Eine zentrale Behörde könnte einheitliche Ansprechpartner, vergleichbarere Prüfungsverfahren und klarere Vorgaben schaffen. Auch Meldungen von Datenschutzverletzungen könnten möglicherweise über einen einheitlichen Weg erfolgen.

Bislang kann es vorkommen, dass Aufsichtsbehörden einzelne DSGVO-Fragen unterschiedlich bewerten. Das betrifft beispielsweise Tracking-Technologien, Beschäftigtendaten, Löschfristen oder die Voraussetzungen bestimmter Einwilligungen. Eine stärker vereinheitlichte Aufsicht könnte hier mehr Planungs- und Rechtssicherheit schaffen.

Welche Risiken sind zu beachten?

Eine zentrale Aufsicht ist nicht automatisch schneller oder praxisnäher. Die BfDI müsste über ausreichendes Personal, Fachwissen und regionale Erreichbarkeit verfügen. Andernfalls könnten längere Verfahren oder eine zu große Distanz zu kleineren Unternehmen entstehen. Auch vorhandene Branchenkenntnisse und Beratungsstrukturen der Landesbehörden sollten nicht verloren gehen.

Einheitlichere Aufsicht schafft Chancen

Die geplante Bündelung könnte insbesondere für standortübergreifend tätige Unternehmen erhebliche Vorteile bringen. Einheitliche Auslegungen und klare Meldewege würden die Datenschutzorganisation vereinfachen. Solange keine gesetzlichen Änderungen in Kraft getreten sind, bleibt jedoch die bisherige Zuständigkeitsverteilung bestehen.