Drei Monate ohne Verfahrensnachricht: Unterrichtung durch die Datenschutzbehörde einfordern

Wer bei der Datenschutzbehörde eine Beschwerde eingebracht hat, muss nicht unbegrenzt auf jede Nachricht warten. Nach § 24 Abs 7 DSG ist die betroffene Person innerhalb von drei Monaten ab Einbringung über den Stand und das Ergebnis der Ermittlung zu unterrichten. Bleibt diese Information aus, eröffnet § 24 Abs 8 DSG den Weg zum Bundesverwaltungsgericht.

Die Dreimonatsregel betrifft das Beschwerdeverfahren bei der Aufsicht. Sie ist von der Monatsfrist für ein Auskunftsbegehren beim Verantwortlichen und von der allgemeinen Entscheidungspflicht zu unterscheiden. Für die weitere Prüfung zählen der Eingang der Beschwerde, die bisherige Kommunikation und eine klare Zeitlinie.

§ 24 Abs 7 DSG verpflichtet die Datenschutzbehörde, die beschwerdeführende Person innerhalb von drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis der Ermittlung zu unterrichten. Die Regelung beschreibt damit einen Informationsanspruch im laufenden Beschwerdeverfahren. Sie sagt nicht, dass die materielle Prüfung innerhalb dieser drei Monate abgeschlossen sein muss.

§ 24 Abs 8 DSG knüpft daran einen gerichtlichen Rechtsschutz. Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn sich die Datenschutzbehörde mit der Beschwerde nicht befasst oder die betroffene Person nicht innerhalb von drei Monaten über Stand oder Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt wurde. Der Anknüpfungspunkt ist daher das konkrete Beschwerdeverfahren bei der Aufsicht.

Der Beschwerdeweg nach § 24 DSG ist von den allgemeinen Betroffenenrechten und ihrem Beschwerdeweg zu unterscheiden. Für die Prüfung muss feststehen, dass es um eine bereits eingebrachte Beschwerde geht und nicht bloß um eine Anzeige oder eine allgemeine Anregung an die Behörde.

Der Zeitraum beginnt mit der Einbringung der Beschwerde bei der Datenschutzbehörde. Sichern Sie deshalb die eingebrachte Fassung, das Übermittlungsdatum, eine Empfangsbestätigung und das behördliche Aktenzeichen. Bei elektronischer Einbringung gehören auch die Bestätigung des Übermittlungswegs und die übermittelten Anlagen in die Verfahrensakte.

§ 24 Abs 2 DSG nennt den Inhalt einer Beschwerde. Dazu gehören das als verletzt erachtete Recht, der Beschwerdegegner, der Sachverhalt, die Gründe der behaupteten Rechtswidrigkeit, das Begehren und die Angaben zur Rechtzeitigkeit. Nach § 24 Abs 3 DSG sind der zugrunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners gegebenenfalls anzuschließen.

Eine Auskunft nach Art. 15 DSGVO hat einen anderen Fristbeginn und einen anderen Adressaten. Dort richtet sich die Monatsfrist grundsätzlich an den Verantwortlichen. Bei § 24 Abs 7 DSG geht es um die spätere Information der betroffenen Person durch die Datenschutzbehörde nach einer Beschwerde.

Eine Nachricht über den Stand der Ermittlung beantwortet die Frage, wo das Verfahren steht. Sie ist nicht automatisch die abschließende Entscheidung über die behauptete Datenschutzverletzung. Umgekehrt kann ein Schreiben über das Ergebnis der Ermittlung bereits eine wesentliche Verfahrensinformation enthalten, auch wenn weitere formelle Schritte folgen.

§ 27 Abs 1 DSG bestimmt, dass das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide wegen der Verletzung der Unterrichtungspflicht nach § 24 Abs 7 DSG und der Entscheidungspflicht der Datenschutzbehörde entscheidet. Die Bestimmung ordnet damit die gerichtliche Zuständigkeit und die Entscheidungsform ein. Sie garantiert keinen bestimmten Ausgang der ursprünglichen Beschwerde.

Die Unterscheidung hilft auch bei späteren Schreiben. Eine nachträgliche Antwort des Verantwortlichen kann den Inhalt des Verfahrens verändern oder zu einer Anhörung zur möglichen Gegenstandslosigkeit führen. Wie eine solche Nachricht einzuordnen ist, zeigt der Beitrag zur nachgelieferten Datenkopie im DSB-Verfahren.

Für eine belastbare Prüfung braucht es eine kurze, geschlossene Chronologie. Sie sollte die ursprüngliche Datenschutzverletzung, den zugrunde liegenden Antrag, die Einbringung der Beschwerde, die Empfangsbestätigung, das Aktenzeichen und jede spätere Nachricht der Datenschutzbehörde enthalten. Auch Rückfragen und eigene Antworten sollten mit Datum und Inhalt erfasst werden.

Prüfen Sie jede behördliche Nachricht auf drei Punkte: Bezieht sie sich eindeutig auf das richtige Verfahren? Informiert sie über den Stand der Ermittlung oder über ein Ergebnis? Enthält sie eine konkrete weitere Handlung, etwa eine Stellungnahme oder die Übermittlung eines Dokuments? Eine automatische Eingangsbestätigung beantwortet diese Fragen in der Regel nicht.

Nach § 24 Abs 3 DSG kann der zugrunde liegende Antrag samt allfälliger Antwort des Beschwerdegegners für die Beschwerde relevant sein. Diese Unterlagen helfen, den Gegenstand des Verfahrens zu bestimmen. Sie ersetzen aber nicht den Nachweis, wann die Datenschutzbehörde mit der Beschwerde befasst war und welche Information danach ausblieb.

Nach § 24 Abs 8 DSG kann die betroffene Person das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die Dreimonatsunterrichtung über Stand oder Ergebnis fehlt. Vor diesem Schritt muss der konkrete Verfahrensablauf sauber belegt werden. Entscheidend ist die Verbindung zwischen Beschwerde, Eingangstag und fehlender Information.

§ 27 Abs 1 DSG nennt für Beschwerden wegen der Unterrichtungspflicht und der Entscheidungspflicht eine Entscheidung durch Senat. Die weiteren Absätze regeln die Zusammensetzung und fachliche Anforderungen des Senats. Für die konkrete Einbringung müssen die geltenden verfahrensrechtlichen Anforderungen und das passende Begehren anhand der Akte geprüft werden.

Der Rechtsschutz richtet sich gegen die verfahrensrechtliche Untätigkeit oder die Verletzung der Unterrichtungspflicht der Datenschutzbehörde. Er entscheidet nicht automatisch über alle Fragen der ursprünglichen Verarbeitung. Die behauptete Datenschutzverletzung, der Antrag an die Behörde und der gewünschte nächste Verfahrensschritt müssen deshalb getrennt dargestellt werden.

§ 24 Abs 4 DSG betrifft die erstmalige Einbringung der Datenschutzbeschwerde. Der Anspruch auf Behandlung erlischt, wenn die Beschwerde nicht binnen eines Jahres ab Kenntnis des beschwerenden Ereignisses, längstens aber binnen drei Jahren ab dem behaupteten Ereignis eingebracht wird. Diese Fristen beziehen sich auf die Rechtzeitigkeit der ursprünglichen Beschwerde.

§ 24 Abs 7 DSG setzt danach bei der Unterrichtung an. Die drei Monate laufen ab Einbringung der Beschwerde und betreffen die Information über Stand und Ergebnis der Ermittlung. Wer beide Regeln vermischt, kann den falschen Beginn annehmen und die Verfahrensakte unklar darstellen.

Die Normen treffen außerdem keine pauschale Aussage über zivilrechtliche Schadenersatzansprüche oder andere Verwaltungsverfahren. Auch die Monatsfrist bei einer Datenkopie nach Art. 15 DSGVO gehört in einen anderen Prüfungsschritt. Der jeweilige Anspruch, sein Adressat und sein auslösendes Ereignis müssen getrennt festgehalten werden.

Für die Vorbereitung genügt eine klare Darstellung in vier Teilen: Wann wurde die Datenschutzbeschwerde eingebracht? Was war ihr Gegenstand? Welche Nachrichten sind danach eingelangt? Welche Information über Stand oder Ergebnis fehlt nach Ablauf der drei Monate? Diese Reihenfolge hält Tatsachen, Verfahrensstand und Begehren auseinander.

Legen Sie der Prüfung die vollständige Kommunikation und nicht nur einzelne Auszüge zugrunde. Ein behördliches Schreiben kann eine Frist, eine Stellungnahme oder eine ergänzende Unterlage verlangen. Der Inhalt entscheidet, ob bereits eine Unterrichtung vorliegt und welcher nächste Schritt sinnvoll ist.

Auch für Unternehmen ist eine geordnete Akte wichtig, wenn sie als Beschwerdegegner beteiligt sind. Die Dokumentation der ursprünglichen Anfrage, der Antwort und der Kommunikation mit der Datenschutzbehörde zeigt, worüber tatsächlich entschieden werden soll. Für den organisatorischen Rahmen kann die Seite zu Datenschutz-Governance im Unternehmen ergänzend herangezogen werden.

Wir prüfen die eingebrachte Datenschutzbeschwerde, den Eingangsnachweis, die behördliche Kommunikation und den Ablauf der Dreimonatsfrist gemeinsam. So lässt sich einordnen, ob die Unterrichtung nach § 24 Abs 7 DSG erfolgt ist und welcher Schritt nach § 24 Abs 8 DSG in Betracht kommt. Für die erste Prüfung sind die vollständige Beschwerdeakte und alle Schreiben der Datenschutzbehörde erforderlich.