Erfahrungen mit Aufsichtsbehörden

[Bit]

Verzögerung durch die Behörde bis die Gesetzeslage den Fall erledigt

Das darf doch nicht sein! Was ist denn das für ein Recht?

[GLenk]

...Das darf doch nicht sein! Was ist denn das für ein Recht?

Standortpolitik.

noyb nennt diese "Durchsetzung" auch schon

homöopathische

Das Verfahren lief in 2 Phasen:

1. Zuerst gab es bzgl. Trackingeinbettungen vor ca. 2 Jahren die Information des dafür noch zuständigen Referats, dass der Verantwortliche dafür gebührenpflichtig verwarnt, Art. 58 Abs. 2 lit. b DSGVO, worden sein (zum Verständnis: also kein Bußgeld, sondern bayrisches Gebührenrecht). Von da an würde er nun eine rechtswirksame Einwilligung einholen.
Auch die Löschung der Daten bei Drittanbietern habe der Seitenbetreiber der Behörde gegenüber glaubwürdig zugesichert und für die technische Umsetzung einen Drittanbieter beauftragt.

2. "Erwartungsgemäß" (EDRi-Mangel d) fehlende Informationen über den Stand der Beschwerde) hatte es in der Zwischenzeit von ca 25 Monaten nach der Abgabe an das interne Fachreferat internationaler Datenverkehr  bis gestern keine weiteren Informationen (Status, Information über den Fortgangs o.ä.) in den letzten zwei Jahren gegeben.

[GLenk]

Auf den Einwand, dass die Seite so fehlerhaft noch, kam die "abwimmelnde" Antwort: Dann sei der Verantwortliche wohl noch nicht mit allen Nachbesserungen bei den Links fertig und ich solle nach einem angemessenen Zeitraum eine neue Beschwerde einlegen.

Nach nun gut 6 Monaten habe ich die Webseite besucht und konnte Google Analytics und Facebook-Pixel ohne viel Aufhebens feststellen. Einwilligungsbanner wurden  gar nicht mehr angezeigt.

Mit Verweis auf die geschlossene Beschwerde habe ich also eine neue Beschwerde in Sachsen eingereicht. Ich hoffe, das wird mir nicht als Ungeduld ausgelegt.
Vielleicht ist der Seitenbetreiber doch noch mit allen Nachbesserungen beschäftigt.  Im März teilte mir die Behörde mit, dass mit dem bisher für die alte Webseite genutzten Baukasten keine rechtskonforme Umsetzung möglich sei und als Maßnahme würde eine Migration auf eine (wohl neue Software? neue Plattform?) mittelfristig vom Verantwortlichen abgeschlossen werden.
Sind 6-Monate mittelfristig? Die Consentbanner wurden scheinbar deaktiviert und fbp ist mir jetzt neu aufgefallen..

[GLenk]

2) Irische DPC ...leitete mir die deutsche Behörde nun überraschenderweise auch ein 1-Wochen-altes Schreiben der DPC weiter , was sie auch übersetzte! Darin informiert die DPC, dass sie der Ansicht sei, die federführende Behörde zu sein, es sich um eine grenzüberschreitende Datenverarbeitung handele und ggf. Kooperations- und Kohärenzverfahren anwendbar sind sowie über meine Rechte, also zB über die 3-Monatsfrist, in der ein betroffener einen Status erhalten müsse . Verlauf der Beschwerde lt. DPC: Die Aufsichtsbehörde möchte mich gesetzeskonform innerhalb der 3-Monatsfrist (??) informieren. Der Fall wurde an eine Beschwerdebearbeitungstelle weitergeleitet. Sobald ein Ergebnis vorläge, würde die deutsche Behörde informiert. Anm.: Wir sprechen über eine Beschwerde aus 06/21.

Jetzt geht es Schlag auf Schlag
Schon ca. 2 Monate später kommt die Beschwerdebearbeitungstelle der DPC zu folgendem Zwischenergebnis:

1) Die Beschwerde wurde "jetzt schon" an die Cross Border Complaint Handling Unit 1 der DPC weitergeleitet,

2) Der Beschwerdegegenstand (Tracking mit Google Analytics) wird aufgeteilt:
  a) ePrivacy-Cookie -> Soll NRW für zuständig sein. Aus dem bisherigen Verlauf war das nicht ersichtlich, die betroffene dt. Behörde hatte den Vorgang damals (07/21) mit der Information

Da es sich dabei um Fälle grenzüberschreitender Verarbeitung handelt, habe ich die Angelegenheiten inzwischen im Binnenmarkt-Informationssystem eingegeben und die EU-interne Abstimmung eingeleitet. Ziel ist, dass die für den jeweiligen Verantwortlichen zuständigen EU-Datenschutzbehörden die federführende Bearbeitung Ihrer Beschwerden übernehmen.

b) Weiterverabeitung der Daten -> DPC (DSGVO-Anteil)

Zurück zum realistischen Pessimismus:
Die deutsche betroffene Behörde hat mir dies zur Kenntnisnahme ohne weiteren Kommentar weitergereicht. TTDSG galt in 2021 noch nicht. Vermutung: Bei ryanair werden sie wenig Lust verspürt haben, in Irland die ePrivacy-Richtlinie durchzusetzen.
Da es sich die Tracking - nur mit Google Analytics - handelt wird die DPC da  nach 2 Jahren wenig erreichen (aussichtslos).

[GLenk]

2019 hatte das VG Ansbach die Kosten in einem sehr ähnlichen Fall (Klage auf nur Tätigwerden nach DSGVO, Antrag auf Erledigung durch Kläger nach Tätigwerden) noch hälftig auf Kläger und Land Bayern aufgeteilt! Das BayLDA hatte seine Untätigkeit mit dem üblichen Lamentieren (Überlastung, Ressourcenmangel) verteidigt.

Anm.: Untätigkeitsklagen sind nicht wirkungsvoll, siehe dazu z.B. den Beitrag von daghwan » 9. Jun 2020, 06:56 unter LDI: Erfahrungen mit der Bearbeitungsdauer, der einleitend mit " kleine Warnung :!: zum Thema Untätigkeitsklagen am Beispiel Bayern" beginnt, exakte Verlinkung geht nicht)

Aktueller Lichtblick: §161 Abs. 3 VwGO ist analog anwendbar!

In den Fällen des § 75 fallen die Kosten stets dem Beklagten zur Last, wenn der Kläger mit seiner Bescheidung vor Klageerhebung rechnen durfte.

VG Ansbach, Beschluss vom 03.08.2023, Az. AN 14 K
Datenschutzbehörden haben sich an Fristen zu halten – sagt das VG Ansbach