Die Aufsichtsbehörden verfügen über ein breites Spektrum an Befugnissen, das weit über die bloße Verhängung von Bußgeldern hinausgeht.
Untersuchungsbefugnisse (Art. 58 Abs. 1 DSGVO)
- Den Verantwortlichen und Auftragsverarbeiter anweisen, alle für die Untersuchung erforderlichen Informationen bereitzustellen
- Datenschutzüberprüfungen (Audits) durchführen
- Zugang zu Geschäftsräumen und Datenverarbeitungsanlagen erhalten
- Überprüfung von Zertifizierungen
Abhilfebefugnisse (Art. 58 Abs. 2 DSGVO)
- Warnungen aussprechen (bei beabsichtigten Verarbeitungen, die voraussichtlich gegen die DSGVO verstoßen)
- Verwarnungen erteilen (bei erfolgten Verstößen)
- Anweisungen erteilen: Betroffenenanfragen beantworten, Verarbeitungen in Einklang bringen, Betroffene über Datenpannen informieren, Drittlandsübermittlungen aussetzen
- Beschränkung oder Verbot von Verarbeitungen anordnen
- Berichtigung, Löschung oder Einschränkung von Daten anordnen
- Zertifizierungen widerrufen
- Bußgelder verhängen (Art. 83 DSGVO)
Genehmigungsbefugnisse (Art. 58 Abs. 3 DSGVO)
- Beratung des Verantwortlichen bei der DSFA-Konsultation (Art. 36)
- Genehmigung von Vertragsklauseln und Binding Corporate Rules für Drittlandstransfers
- Genehmigung von Verhaltensregeln und Zertifizierungskriterien
Struktur in Deutschland
Deutschland hat ein föderales System mit 18 Aufsichtsbehörden:
- BfDI (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit): zuständig für Bundesbehörden sowie Telekommunikations- und Postdienstleister
- 17 Landesbehörden: zuständig für Unternehmen und Landesbehörden in ihrem Bundesland. Bayern hat zwei: das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) für Unternehmen und den Bayerischen Landesbeauftragten für den Datenschutz für öffentliche Stellen
- Die DSK (Datenschutzkonferenz) koordiniert die Zusammenarbeit
Durchsetzung: Alle Maßnahmen können mit Zwangsgeldern durchgesetzt werden. Die Nichtbefolgung von Anweisungen der Aufsichtsbehörde ist eigenständig bußgeldbewehrt (Art. 83 Abs. 6 DSGVO: bis 20 Mio. EUR / 4 %).
Wie eine Prüfung abläuft, erklärt der Artikel Wie laufen behördliche Prüfungen ab?. Ein Datenschutz-Audit zeigt vorher, wo Lücken sind.