Erfahrungen mit Aufsichtsbehörden

[GLenk]

Die Aufsichtsbehörden sind teuer und ineffektiv. Die immer wieder geforderte Aufstockung von Ressourcen ändert bei grenzüberschreitenden Fällen sicher nichts und wäre mE die falsche Maßnahme. Gerade dt. Behörden sollen im europäischen Vergleich gut aufgestellt sein.

Ich habe noch einen guten Hinweis erhalten, der die obige Aussage untermauert:
Zahlen des EDSA. Den deutschen Behörden stünden danach die meisten Ressourcen zur Verfügung. Resultate seien leider kaum sichtbar.

Die im europäischer Vergleich gute Ausstattung erklärt die schlechten Leistungen der deutschen Behörden noch weniger.

[Kopinski]

Den deutschen Behörden stünden danach die meisten Ressourcen zur Verfügung. Resultate seien leider kaum sichtbar.

Die im europäischer Vergleich gute Ausstattung erklärt die schlechten Leistungen der deutschen Behörden noch weniger.

Danke für die Infos zum Thema. Spannend.
Ich muss auch sagen, dass die Behörde in Berlin relativ zeitnah zu einer Zoom-Beschwerde einer Bekannten (musste das im Unterricht nutzen mit Kamera!) reagiert hat und die Nutzung dann verboten hat.

Könnte es nicht auch sein, das es in Deutschland tendenziell mehr Eingaben von Privatpersonen gibt wegen der Geschichte und das die Behörden deshalb langsamer sind?

[GLenk]

Könnte es nicht auch sein, das es in Deutschland tendenziell mehr Eingaben von Privatpersonen gibt wegen der Geschichte und das die Behörden deshalb langsamer sind?

Vergleichzahlen hätte ich dazu auch gerne, ohne die bleibt es nur eine Vermutung.
Deshalb hatte ich mich über das EDPB-Dokument gefreut.

Vergleichsversuch:
DE vs das Bußgeld-fleissige (abgeschlossene Verfahren) ES.
In 2022 hat DE 6,7-fache Budget (17 Mio zu 114 Mio) und nur 1/7 (163/733) an bekannten, abgeschlossenen Bußgeldern (nach wie vor sehr unterschiedliche Transparenz der Länderbehörden, vor allem der 17+x deutschen Behörden). Gezählt habe ich über enforcementtrackers.com

Code Auswählen Erweitern

Gesamt                           2023
SPAIN                             733
ITALY                             297
GERMANY                           163
ROMANIA                           152
HUNGARY                            67
GREECE                             59
POLAND                             57
NORWAY                             50
BELGIUM                            40
CYPRUS                             37
FRANCE                             37
SWEDEN                             34
LUXEMBOURG                         31
CZECH REPUBLIC                     26
IRELAND                            26
DENMARK                            25
BULGARIA                           24
CROATIA                            21
THE NETHERLANDS                    21
AUSTRIA                            20
FINLAND                            18
ICELAND                            14
MALTA                              14
UNITED KINGDOM                     13
LITHUANIA                          10
SLOVAKIA                            9
LATVIA                              8
PORTUGAL                            7
ESTONIA                             6
ISLE OF MAN                         3
LIECHTENSTEIN                       1
Ein Abbau der deutschen Länderbehörden und eine Kürzung des Budgets auf 1/7 ist sicher passend in Zeiten.
In DE werden offenbar Steuergelder durch ineffektive Strukturen verpulvert.
Die Notwendigkeit eines DatenSchutz(debattier)Kreises entfiele damit auch. Noch mal gespart.

Selbst wenn Beschwerden als solche bearbeitet und nicht nur als nice-to-check Hinweise angenommen würden (passiert in Berlin, Bayern), kommt es wie in Berlin selten zu Bußgeldern. Rechtsverstöße bleiben so ohne Konsequenzen(iSv Generalprävention), es sei denn sensibilisierende Hinweise begreift mal als solche.

Das merke ich mir dann für meinen nächsten Verstoß im Straßenverkehr:
Ich gelobe nach Belehrung dann einfach Besserung und gut ist.

Oder:
Zu der Massenabschlussmitteilung und zB der Bemerkung, eine Webseite sei nun nicht mehr erreichbar, habe ich folgende Einschätzung erhalten: Eine Beschwerde erledige sich nicht unbedingt, weil eine Webseite nicht mehr erreichbar bzw. angepasst worden sei. Der (vermeintliche) vergangene Rechtsverstoß sei von der Behörde schlicht nicht untersucht. Eine konstante Verletzung der DSGVO sei nicht erforderlich, um sich mit einer Beschwerde zu befassen oder um Maßnahmen zu ergreifen.

Das ist mE aktive, gelebte Betroffenenabwehr, nachdem der Betroffene vorher beim Verantworlichen schon auf Granit gestoßen ist (keine oder falsche Erfüllung von Betroffenenrechten).

Alle Gegner (Verantwortliche und unwillige und/oder unfähige Behörden) pokern damit, dass der individuelle Einzellfall seltenst vor Gericht kommt. Von den Streitwerten her werden Rechtsanwälte diesen Herausforderungen nicht hinterher rennen.

Anm.: Sorry wegen der zahlreichen Nachbesserungen. In der letzten Stunde ist mein Rechner gefühlt 10-mal abgestürzt. Qualität von Tuxedo. Macht er über Software und OD-grenzen hinweg immer mal.

[Kopinski]

In 2022 hat DE 4,5-fache Budget (17 Mio zu 114 Mio) und

Hier eine kleine Korrektur.
114 Mio in DE und 17 Mio in ES?
Dann hätte DE 6,7 x so viel Budget.

Um meine Position noch ein wenig zu untermauern: In ES wird vom Beschwerdeführer gleich mal eine Ausweiskopie und ein Haufen Daten verlangt. Das ist nicht im Sinne des Datenschutzes und der Datensparsamkeit.
Könnte jedoch Beschwerdeführer abhalten.

Wenns wer so ohne Hintergrundwissen beschaut, könnt wer denken, das man in DE zu wenig für sein Geld bekommt.

Das merke ich mir dann für meinen nächsten Verstoß im Straßenverkehr: Ich gelobe nach Belehrung dann einfach Besserung und gut ist.

Langsam ist die "Einführungsphase" vorbei, find' ich auch. Jetzt darf in DE die Datenschutzbehörde(n) gröberes "Besteck" auspacken.

[Bit]

Eine Beschwerde erledige sich nicht unbedingt, weil eine Webseite nicht mehr erreichbar bzw. angepasst worden sei.

Wahrscheinlich ist doch, daß der Delinquent die Webseite unter neuem Namen/Domain identisch weiter betreibt.
Da man das nun als Beschwerdeführer kaum wissen kann, versandet die Beschwerde.

Der (vermeintliche) vergangene Rechtsverstoß sei von der Behörde schlicht nicht untersucht. Eine konstante Verletzung der DSGVO sei nicht erforderlich, um sich mit einer Beschwerde zu befassen oder um Maßnahmen zu ergreifen.

Mit anderen Worten: sie ,,macht sich einen schlanken Fuß", wie man so sagt. Auf unsere Kosten!

Wenns wer so ohne Hintergrundwissen beschaut, könnt wer denken, das man in DE zu wenig für sein Geld bekommt.

Das ist ein Eindruck, der bei mir sogar mit Hintergrundwissen nicht zu vertreiben ist ...

[GLenk]

In 2022 hat DE 4,5-fache Budget (17 Mio zu 114 Mio) und

Hier eine kleine Korrektur.
114 Mio in DE und 17 Mio in ES?
Dann hätte DE 6,7 x so viel Budget.

Vielen Dank! Da waren natürlichen die Abstürze zwischendurch

Apropos: Anzahl der Beschäftigten 1155 (DE) / 184 (ES) = 6,24

Ein Referent bekommt m.W. E14 nach Tarif, vereinfacht nehmen wir mal 5000€/Monat.
Bei einer Freistellung überflüssiger föderaler Juristen auf 1/7 hätten wir für DE 165, also 990 Gehälter gespart: 5000 * 13,5 * 990 = 66.825.000 weniger.
Dazu kommen zB noch eingesparte Sozialabgaben, Gebäude, Ausstattungen und Reisetätigkeiten zu überflüssigen Abstimmungsrunden.

Um meine Position noch ein wenig zu untermauern: In ES wird vom Beschwerdeführer gleich mal eine Ausweiskopie und ein Haufen Daten verlangt. Das ist nicht im Sinne des Datenschutzes und der Datensparsamkeit.
Könnte jedoch Beschwerdeführer abhalten.

Mit Spanien ist mir das nicht passiert. Die Beschwerde lief über LDI->Binnenmark-Informationssystem->aepd.
Die aepd hat nur noch meine Anschrift für postalische Kontakte erbeten.

In Österreich wurde eine Ausweiskopie verlangt, da der Verantwortliche Zweifel an meiner Existenz hatte (Beschwerde hatte ich direkt dort eingereicht nach Empfehlung einer deutschen Landesbehörde).
Bei Rechtsverletzung allein durch Seitenaufruf sollte mE die Identität dennoch unerheblich sein.
Nachdem ich eine teilgeschwärzte Ausweiskopie mit einem Link auf die Infoseite meiner betroffenen Behörde zu dem Thema nach Wien gesandt habe, war es erst mal gut.
Dem Abschlussbescheid konnte ich noch entnehmen, dass meine Identität im Rahmen eines Amtshilfeverfahrens von der LDI der österreichischen DSB gegenüber bestätigt wurde.

Das hört sich für mich datenschutzrechtlich unproblematisch an.

Das der Beschwerdegegner in diesem Fall überhaupt mit seinen Zweifeln gehört wurde hatte - und da gebe ich dir Recht - wieder ein Geschmäckle von "gemeinsamer Betroffenenabwehr" oder war es eine Auftragsverarbeiung  ?

[GLenk]

Da man das nun als Beschwerdeführer kaum wissen kann, versandet die Beschwerde

Wenn ich da die Wiener Ratgeber richtig verstanden habe, ist der aktuelle Zustand für den ursprünglichen Rechtsverstoß unerheblich.

Ich weiß, die dt. Behörden werden jetzt auf ihre Untersuchungsverfahren verweisen, wo sie meist monatelang mit mehr (Berlin) oder weniger know-how (Bremen konnte monatelang meine gemeldeten Verstöße nicht festellen) zum Teil mehrfach prüfen bevor sie gegebenenfalls mit diesen Ergebnissen an den Verantwortlichen herantreten.

Beispiel aus Brandenburg:
Hier dauerte zB die Aufnahme des Verfahrens und folgende Untersuchung bis zur ersten Kontaktaufnahme mit dem Verantwortlichen 10 Monate.
Dann folgten 11 Monate der Kommunikation und weiterer Untersuchungen und weiter geht es mit Diensten von Drittanbietern.
Positiv ist dort, dass sie wirklich alle 3 Monaten einen Satz zum Status senden!

Behörden wie zB Baden-Württemberg, Schleswig-Hostein rühren sich kaum.

[Kopinski]

Nachtrag zum Thema Abfrage der gespeicherten Daten in Spanien. Hier ist ein anonymer Ticketkauf bei Touriattraktionen großteils nicht mehr möglich. Das gilt auch gerne mal in wirklich kleinen Museen.

Die Vorlage der Eintrittskarte genügt hier nicht, um weitere Auskünfte über die gespeicherten Daten zu erhalten. Ok, verständlich, denn die ist ja schnell unzerstört im Müll gelandet.
Wer also weiterführende Infos haben möchte, muss dann selbst noch mehr Daten liefern.
Hier exemplarisch Andalusien:
https://www.juntadeandalucia.es/export/drupaljda/002811-A00-V00-00_0_formulario.pdf

Mir stellt sich die Frage, warum solche Prozesse überhaupt genehmigt werden. Im Land wird man argumentieren, um den illegalen Ticketverkauf einzusperren. Reiseanbieter könnten große Kontingente kaufen, so dass nix mehr aufm Markt ist. Hiernach werden die Tickets teuer weiterverkauft.
Es muss da aber auch andre Maßnahmen geben, um das einzusperren.

Ob man der spanischen Behörde noch mal mehr Daten anvertrauen sollte, um an die Infos zu kommen und seine DSGVO Rechte wahrzunehmen?

[Bit]

In Österreich ist ...

der aktuelle Zustand für den ursprünglichen Rechtsverstoß unerheblich

So sollte das nach meinem Rechtsempfinden auch generell sein:
Ein Tatbestand ist zum Zeitpunkt der Anzeige zu bewerten – sowohl, was Zustand und Verhalten, als auch was die Rechtslage betrifft!

Ansonsten wären alle stationären Verkehrskontrollen obsolet, denn wenn man mal angehalten hat, überholt man nicht (mehr) und fährt auch nicht (mehr) zu schnell u. dgl. ...

[GLenk]

So sollte das nach meinem Rechtsempfinden auch generell sein: Ein Tatbestand ist zum Zeitpunkt der Anzeige zu bewerten – sowohl, was Zustand und Verhalten, als auch was die Rechtslage betrifft!

Tja, das ist wohl - wenn überhaupt - eine Lehrmeinung, die aber just heute wieder nicht bestätigt wurde:

Das BayLDA teilte mir nach ~27 1/2 Monaten mit, dass auch in diesem Fall aus 2021 nun das zwischenzeitlich in Kraft getretene "EU-U.S. Data Privacy Framework" (DPF) zu berücksichtigen sei.
Übermittlungen seien demnach nicht zu beanstanden, insbesondere seien die Unternehmen Gg und Meta auch nach DPF zertifiziert.

Dass dem in 2021 nicht so war und der EuGH sogar von den Datenaufsehern nach meinem Verständnis Durchsetzung gefordert hatte, wird nicht thematisiert.

Mit Blick auf den ersten Beitrag zu diesem Thema (Behördenmängel benannt von EDRI)

a) Mangel an Ressourcen b) Weigerung, auf eine Beschwerde zu reagieren c) unerklärliche Verzögerungen bei der Bearbeitung einer Beschwerde d) fehlende Informationen über den Stand der Beschwerde e) Schwierigkeiten bei der Einreichung einer Beschwerde

ist das wohl ein
Sonderfall von c': Erklärlicher Verzögerung durch die Behörde bis die Gesetzeslage den Fall erledigt

[Bit]

Verzögerung durch die Behörde bis die Gesetzeslage den Fall erledigt

Das darf doch nicht sein! Was ist denn das für ein Recht?

[GLenk]

...Das darf doch nicht sein! Was ist denn das für ein Recht?

Standortpolitik.

noyb nennt diese "Durchsetzung" auch schon

homöopathische

Das Verfahren lief in 2 Phasen:

1. Zuerst gab es bzgl. Trackingeinbettungen vor ca. 2 Jahren die Information des dafür noch zuständigen Referats, dass der Verantwortliche dafür gebührenpflichtig verwarnt, Art. 58 Abs. 2 lit. b DSGVO, worden sein (zum Verständnis: also kein Bußgeld, sondern bayrisches Gebührenrecht). Von da an würde er nun eine rechtswirksame Einwilligung einholen.
Auch die Löschung der Daten bei Drittanbietern habe der Seitenbetreiber der Behörde gegenüber glaubwürdig zugesichert und für die technische Umsetzung einen Drittanbieter beauftragt.

2. "Erwartungsgemäß" (EDRi-Mangel d) fehlende Informationen über den Stand der Beschwerde) hatte es in der Zwischenzeit von ca 25 Monaten nach der Abgabe an das interne Fachreferat internationaler Datenverkehr  bis gestern keine weiteren Informationen (Status, Information über den Fortgangs o.ä.) in den letzten zwei Jahren gegeben.

[GLenk]

Auf den Einwand, dass die Seite so fehlerhaft noch, kam die "abwimmelnde" Antwort: Dann sei der Verantwortliche wohl noch nicht mit allen Nachbesserungen bei den Links fertig und ich solle nach einem angemessenen Zeitraum eine neue Beschwerde einlegen.

Nach nun gut 6 Monaten habe ich die Webseite besucht und konnte Google Analytics und Facebook-Pixel ohne viel Aufhebens feststellen. Einwilligungsbanner wurden  gar nicht mehr angezeigt.

Mit Verweis auf die geschlossene Beschwerde habe ich also eine neue Beschwerde in Sachsen eingereicht. Ich hoffe, das wird mir nicht als Ungeduld ausgelegt.
Vielleicht ist der Seitenbetreiber doch noch mit allen Nachbesserungen beschäftigt.  Im März teilte mir die Behörde mit, dass mit dem bisher für die alte Webseite genutzten Baukasten keine rechtskonforme Umsetzung möglich sei und als Maßnahme würde eine Migration auf eine (wohl neue Software? neue Plattform?) mittelfristig vom Verantwortlichen abgeschlossen werden.
Sind 6-Monate mittelfristig? Die Consentbanner wurden scheinbar deaktiviert und fbp ist mir jetzt neu aufgefallen..

[GLenk]

2) Irische DPC ...leitete mir die deutsche Behörde nun überraschenderweise auch ein 1-Wochen-altes Schreiben der DPC weiter , was sie auch übersetzte! Darin informiert die DPC, dass sie der Ansicht sei, die federführende Behörde zu sein, es sich um eine grenzüberschreitende Datenverarbeitung handele und ggf. Kooperations- und Kohärenzverfahren anwendbar sind sowie über meine Rechte, also zB über die 3-Monatsfrist, in der ein betroffener einen Status erhalten müsse . Verlauf der Beschwerde lt. DPC: Die Aufsichtsbehörde möchte mich gesetzeskonform innerhalb der 3-Monatsfrist (??) informieren. Der Fall wurde an eine Beschwerdebearbeitungstelle weitergeleitet. Sobald ein Ergebnis vorläge, würde die deutsche Behörde informiert. Anm.: Wir sprechen über eine Beschwerde aus 06/21.

Jetzt geht es Schlag auf Schlag
Schon ca. 2 Monate später kommt die Beschwerdebearbeitungstelle der DPC zu folgendem Zwischenergebnis:

1) Die Beschwerde wurde "jetzt schon" an die Cross Border Complaint Handling Unit 1 der DPC weitergeleitet,

2) Der Beschwerdegegenstand (Tracking mit Google Analytics) wird aufgeteilt:
  a) ePrivacy-Cookie -> Soll NRW für zuständig sein. Aus dem bisherigen Verlauf war das nicht ersichtlich, die betroffene dt. Behörde hatte den Vorgang damals (07/21) mit der Information

Da es sich dabei um Fälle grenzüberschreitender Verarbeitung handelt, habe ich die Angelegenheiten inzwischen im Binnenmarkt-Informationssystem eingegeben und die EU-interne Abstimmung eingeleitet. Ziel ist, dass die für den jeweiligen Verantwortlichen zuständigen EU-Datenschutzbehörden die federführende Bearbeitung Ihrer Beschwerden übernehmen.

b) Weiterverabeitung der Daten -> DPC (DSGVO-Anteil)

Zurück zum realistischen Pessimismus:
Die deutsche betroffene Behörde hat mir dies zur Kenntnisnahme ohne weiteren Kommentar weitergereicht. TTDSG galt in 2021 noch nicht. Vermutung: Bei ryanair werden sie wenig Lust verspürt haben, in Irland die ePrivacy-Richtlinie durchzusetzen.
Da es sich die Tracking - nur mit Google Analytics - handelt wird die DPC da  nach 2 Jahren wenig erreichen (aussichtslos).

[GLenk]

2019 hatte das VG Ansbach die Kosten in einem sehr ähnlichen Fall (Klage auf nur Tätigwerden nach DSGVO, Antrag auf Erledigung durch Kläger nach Tätigwerden) noch hälftig auf Kläger und Land Bayern aufgeteilt! Das BayLDA hatte seine Untätigkeit mit dem üblichen Lamentieren (Überlastung, Ressourcenmangel) verteidigt.

Anm.: Untätigkeitsklagen sind nicht wirkungsvoll, siehe dazu z.B. den Beitrag von daghwan » 9. Jun 2020, 06:56 unter LDI: Erfahrungen mit der Bearbeitungsdauer, der einleitend mit " kleine Warnung :!: zum Thema Untätigkeitsklagen am Beispiel Bayern" beginnt, exakte Verlinkung geht nicht)

Aktueller Lichtblick: §161 Abs. 3 VwGO ist analog anwendbar!

In den Fällen des § 75 fallen die Kosten stets dem Beklagten zur Last, wenn der Kläger mit seiner Bescheidung vor Klageerhebung rechnen durfte.

VG Ansbach, Beschluss vom 03.08.2023, Az. AN 14 K
Datenschutzbehörden haben sich an Fristen zu halten – sagt das VG Ansbach

[Kopinski]

Es gibt Neuigkeiten in dieser Thematik, die gerade für GLenk interessant sein können:
https://ping.podigee.io/191-new-episode

Dürfen Datenschützer freundlich auffordern oder müssen sie förmlich handeln (ab Minute 22:03)? Das VG Ansbach hat die bayerische Datenaufsicht jüngst gerügt und es für unzureichend erachtet, dass Fehler bei einer Datenauskunft (Art. 15 DSGVO) nicht per Verwaltungsakt sanktioniert wurden (VG Ansbach vom 12.6.2024 -14 K 20.00941).

Interessant auch die Ausführungen von Stefan Brink, warum man lieber keine förmlichen (und einklagbaren) Anordnungen erlassen möchte als Datenschutzbehörde.
Jedenfalls ist eine Klägerin hier (teilweise) erfolgreich gewesen und die Datenschutz-Behörde (eine von beiden in Bayern) muss tätig werden.
Was genau folgen wird, ist aber noch unklar und könnte "Pillepalle" sein.
Wobei auch das Nichtbeachten von "Pillepalle" dann in der Folge, wenn der Kläger noch nicht gestorben oder prozessmüde ist, gravierend sein kann. Denn der Vorfall wäre somit formell aktenkundig und die Verteidigungsmöglichkeiten für den Sünder sehr gering.

Nach der anderen Entscheidung oberhalb, könnte man vielleicht denken, dass VG Ansbach durchaus im Sinne der Kläger entscheidet und man nach Möglichkeit als Betroffener mit seinen Beschwerden dort vorstellig werden sollte.