Die DSGVO stellt ein mehrstufiges Rechtsschutzsystem zur Verfügung, wenn Verantwortliche die Rechte betroffener Personen missachten.
Stufe 1: Erneute Aufforderung mit Fristsetzung
Setzen Sie dem Verantwortlichen eine angemessene Frist (z.B. zwei Wochen) und weisen Sie ausdrücklich darauf hin, dass Sie bei Nichtreaktion die Aufsichtsbehörde einschalten werden. Oft führt bereits dieser Schritt zum Erfolg.
Stufe 2: Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO)
Jede betroffene Person hat das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die Beschwerde kann eingelegt werden:
- am Aufenthaltsort der betroffenen Person,
- am Arbeitsplatz oder
- am Ort des vermuteten Verstoßes.
In Deutschland sind die Landesdatenschutzbehörden (für nichtöffentliche Stellen und Landesbehörden) sowie der Bundesbeauftragte für den Datenschutz (für Bundesbehörden und Telekommunikation) zuständig. Die Beschwerde ist kostenlos. Die Aufsichtsbehörde muss die betroffene Person innerhalb von drei Monaten über den Stand oder das Ergebnis informieren (Art. 78 Abs. 2 DSGVO).
Stufe 3: Gerichtlicher Rechtsbehelf (Art. 79 DSGVO)
Unabhängig von einer Beschwerde kann die betroffene Person direkt vor Gericht klagen. Der Gerichtsstand ist wählbar: entweder am Niederlassungsort des Verantwortlichen oder am Wohnort der betroffenen Person (Paragraph 44 BDSG). Das erleichtert Klagen erheblich.
Stufe 4: Schadensersatzklage (Art. 82 DSGVO)
Bei einem materiellen oder immateriellen Schaden durch den DSGVO-Verstoß kann Schadensersatz verlangt werden. Der EuGH hat klargestellt, dass keine Erheblichkeitsschwelle besteht, aber ein tatsächlicher Schaden nachgewiesen werden muss.
Vertretung durch Verbände (Art. 80 DSGVO):
Betroffene können sich auch durch gemeinnützige Organisationen (z.B. Verbraucherschutzverbande) vertreten lassen. In Deutschland hat die Verbraucherzentrale Bundesverband bereits mehrfach Datenschutzklagen geführt.