Die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens, AP) ist die unabhängige Aufsichtsbehörde, die die DSGVO in den Niederlanden durchsetzt. Sie wurde durch das DSGVO-Umsetzungsgesetz (Uitvoeringswet AVG) eingerichtet, welches sie als die in Artikel 51 DSGVO genannte Aufsichtsbehörde bestimmt und ihr Rechtspersönlichkeit verleiht. Die AP beaufsichtigt Organisationen des öffentlichen und privaten Sektors, bearbeitet Beschwerden von Einzelpersonen, nimmt Meldungen über Datenschutzverletzungen entgegen und kann Anordnungen und Bußgelder verhängen.
Die AP ist kein Gericht. Sie schlichtet keine Streitigkeiten zwischen Einzelpersonen und Unternehmen und kann keine Entschädigungen zusprechen; diese Fälle werden vor den ordentlichen Gerichten verhandelt und unterliegen eigenen Fristen. Dieser Artikel erläutert die Aufgaben und Befugnisse der AP, den Ablauf einer Beschwerde, die Folgen einer Untersuchung durch die AP gegen Ihr Unternehmen und den Zusammenhang zwischen der Aufsicht durch die AP und Gerichtsverfahren.
Was die AP ist und woher ihre Befugnisse stammen
Die Verwaltungsbehörde ist eine unabhängige Behörde. Ihre Unabhängigkeit ist in der DSGVO selbst vorgeschrieben und im Durchführungsgesetz konkretisiert: Die Regierung darf ihr in Einzelfällen keine Weisungen erteilen, und ihre Mitglieder werden für eine feste Amtszeit ernannt. Gleichzeitig ist sie eine Verwaltungsbehörde im niederländischen Sinne, was bedeutet, dass das Allgemeine Verwaltungsgesetz ihre Entscheidungsfindung und -ergreifung sowie die Anfechtung dieser Entscheidungen regelt.
Ihr Aufgabenbereich geht über die DSGVO hinaus. Neben der DSGVO und dem Umsetzungsgesetz überwacht die Aufsichtsbehörde spezifische Datenschutzgesetze, darunter die Regelungen zu Polizei- und Justizdaten, und erteilt die erforderlichen Lizenzen für bestimmte Warnlisten und Register mit strafrechtlichen Daten. Sie koordiniert außerdem die Überwachung von Algorithmen, und weitere Aufgaben im Bereich der künstlichen Intelligenz ergeben sich aus der nationalen Benennung von Aufsichtsbehörden gemäß der europäischen KI-Verordnung, die in den Umsetzungsgesetzen festgelegt ist.
Räumlich gesehen überwacht die AP die Datenverarbeitung durch in den Niederlanden ansässige Organisationen sowie die Datenverarbeitung durch Organisationen mit Sitz außerhalb der Europäischen Union, die sich an Personen in den Niederlanden richtet. Bieten diese Organisationen Waren oder Dienstleistungen für Personen in der Union an oder überwachen sie deren Verhalten, müssen sie einen Vertreter in der Union benennen. Das Fehlen eines solchen Vertreters stellt in der Praxis einen eigenständigen Grund für ein Eingreifen der AP dar.
Aufgaben der AP: Aufsicht, Beratung und Lizenzvergabe
Artikel 57 der DSGVO legt die Aufgaben jeder Aufsichtsbehörde fest, und die Arbeit der Aufsichtsbehörde orientiert sich eng daran. Sie überwacht und setzt die Anwendung der DSGVO durch, fördert das öffentliche Bewusstsein, berät Regierung und Parlament in Fragen der Gesetzgebung zum Schutz personenbezogener Daten, bearbeitet Beschwerden, kooperiert mit anderen europäischen Behörden und veröffentlicht Leitlinien zur praktischen Anwendung der Vorschriften. Diese Leitlinien sind zwar keine Rechtsvorschriften, zeigen aber, wie die Aufsichtsbehörde in einem Fall vorgeht. Daher ist es ratsam, sie vor der Planung einer Datenverarbeitung zu lesen, anstatt erst im Nachhinein.
Zwei spezifische Funktionen verdienen besondere Erwähnung, da sie die vorherige Konsultation der zuständigen Behörde (AP) erfordern, anstatt im Nachhinein zur Rechenschaft gezogen zu werden. Die erste ist die Vorabkonsultation: Zeigt eine Datenschutz-Folgenabschätzung ein hohes Restrisiko, das der Verantwortliche nicht mindern kann, verpflichtet Artikel 36 DSGVO den Verantwortlichen zur Konsultation der zuständigen Behörde vor Beginn der Datenverarbeitung. Die zweite ist die Lizenzregelung für bestimmte Warnlisten. Demnach dürfen private Parteien Informationen, beispielsweise über Betrugsfälle, nur dann austauschen, wenn die zuständige Behörde die entsprechende Vereinbarung genehmigt hat.
Die Befugnisse der AP: Untersuchung und Korrektur
Artikel 58 der DSGVO unterteilt die Befugnisse der Aufsichtsbehörde in zwei Gruppen, deren Unterscheidung für Ihre Reaktion relevant ist. Die Ermittlungsbefugnisse erlauben es der Aufsichtsbehörde, einen Verantwortlichen oder Auftragsverarbeiter zur Auskunftserteilung zu verpflichten, Prüfungen und Überprüfungen durchzuführen sowie Zugang zu personenbezogenen Daten, Räumlichkeiten und Ausrüstung zu erhalten. Die Mitwirkung ist verpflichtend. In den Niederlanden regeln die allgemeinen Aufsichtsbestimmungen des Allgemeinen Verwaltungsgesetzes, wie die Aufsichtsbehörden diese Befugnisse ausüben.
Die Korrekturbefugnisse reichen von milden bis hin zu strengen Maßnahmen. Die Datenschutzbehörde kann eine Warnung aussprechen, dass die geplante Verarbeitung wahrscheinlich gegen die Vorschriften verstößt, oder eine Rüge erteilen, wenn ein Verstoß vorliegt. Sie kann einen Verantwortlichen anweisen, dem Antrag einer betroffenen Person nachzukommen, die Verarbeitung innerhalb einer bestimmten Frist an die DSGVO anzupassen oder die betroffenen Personen über eine Datenschutzverletzung zu informieren. Sie kann die Verarbeitung vorübergehend oder endgültig einschränken, einschließlich eines Verbots, und die Aussetzung von Datenübermittlungen in Länder außerhalb der Union anordnen. Schließlich kann sie anstelle oder zusätzlich zu diesen Maßnahmen eine Geldbuße verhängen.
Zwei Besonderheiten der niederländischen Praxis sind erwähnenswert. Eine Anordnung ist üblicherweise mit einer regelmäßigen Geldbuße verbunden, sodass fortgesetzte Nichtbeachtung automatisch Kosten verursacht, ohne dass ein neuer Beschluss erforderlich ist. Die Höhe der Geldbuße wird nicht willkürlich festgelegt: Die DSGVO legt den gesetzlichen Höchstbetrag fest, und die niederländische Verwaltungsbehörde (AP) hat Richtlinien für die Verhängung von Geldbußen veröffentlicht. Diese ordnen Verstöße Kategorien zu und legen innerhalb dieser Kategorien einen Strafrahmen fest, wobei Schwere, Dauer, Vorsatz, Anzahl der Betroffenen und die Kooperation mit den Ermittlungsbehörden berücksichtigt werden. Da es sich bei einer Geldbuße um eine Strafmaßnahme handelt, gelten die nachfolgend beschriebenen Schutzmaßnahmen ab dem Zeitpunkt, an dem die AP Ermittlungen aufnimmt. Unser Artikel über die Verwaltungsstrafe in den Niederlanden erläutert dieses System im Allgemeinen.
Eine Beschwerde bei der AP einreichen
Artikel 77 der DSGVO gibt jeder Person das Recht, sich bei einer Aufsichtsbehörde zu beschweren, wenn sie der Ansicht ist, dass die Verarbeitung ihrer personenbezogenen Daten gegen die Vorschriften verstößt. In den Niederlanden ist dies die AP (Agency of Public Informatics), und Beschwerden werden über deren Beschwerdekanal eingereicht.
Die Vorgehensweise ist einfach. Richten Sie Ihre Anfrage oder Ihren Einspruch zunächst schriftlich an die Organisation selbst und geben Sie das geltend gemachte Recht an. Die Organisation muss unverzüglich, in der Regel innerhalb eines Monats, antworten. Bewahren Sie alle Unterlagen auf: die Anfrage, die Antwort, die Daten, die Datenschutzerklärung in ihrer damaligen Fassung und alle Screenshots. Reichen Sie anschließend die Beschwerde ein, in der Sie beschreiben, wer welche Daten wann verarbeitet hat, welches Recht verletzt wurde und welche Folgen dies für Sie hatte. Eine Beschwerde mit Dokumenten und Datumsangaben wird deutlich schneller bearbeitet als eine, die lediglich ein Unbehagen beschreibt.
Seien Sie hinsichtlich der folgenden Schritte realistisch. Die Beschwerdekommission erhält weitaus mehr Beschwerden, als sie einzeln bearbeiten kann, und wählt die Fälle anhand veröffentlichter Prioritäten aus. Daher kann eine Beschwerde zunächst als Hinweis registriert werden, ohne dass eine Untersuchung stattfindet. Die Beschwerdekommission kann die Organisation nicht zur Zahlung von Schadensersatz verpflichten und vertritt Sie nicht. Sie kann die Organisation jedoch zur Einhaltung der Vorschriften anweisen. Eine gut dokumentierte Beschwerde über ein strukturelles Problem ist ein typischer Fall für eine Aufsichtsmaßnahme. Gemäß Artikel 78 DSGVO haben Sie das Recht, innerhalb von drei Monaten über den Stand oder das Ergebnis Ihrer Beschwerde informiert zu werden. Sollte die Beschwerdekommission nicht tätig werden, können Sie dies gerichtlich geltend machen.
Meldung eines Datenlecks an die AP
Eine Verletzung des Schutzes personenbezogener Daten muss der zuständigen Aufsichtsbehörde unverzüglich und, soweit möglich, innerhalb von 72 Stunden nach Kenntniserlangung durch den Verantwortlichen gemeldet werden, es sei denn, die Verletzung birgt voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen (Artikel 33 DSGVO). Bei einer voraussichtlich hohen Gefährdung durch die Verletzung müssen die betroffenen Personen ebenfalls unverzüglich und in verständlicher Sprache informiert werden (Artikel 34 DSGVO). Jede Verletzung des Schutzes personenbezogener Daten muss intern protokolliert werden, unabhängig davon, ob sie gemeldet wird oder nicht. Dieses Protokoll ist das Erste, was die zuständige Aufsichtsbehörde anfordert.
Drei praktische Punkte entscheiden über den weiteren Verlauf dieser Fälle. Die 72-Stunden-Frist beginnt mit der Kenntnisnahme des Verstoßes, nicht mit dessen Abschluss. Eine unvollständige, später nachgereichte Meldung ist besser als eine verspätete. Die Risikobewertung muss dokumentiert werden, da eine Entscheidung gegen eine Meldung im Nachhinein begründet werden muss. Hat die Organisation ihren Hauptsitz in einem anderen EU-Mitgliedstaat, ist die Meldung an die dort zuständige Behörde und nicht an die zuständige Behörde zu richten. Ein Auftragsverarbeiter, der eine Datenschutzverletzung feststellt, muss den Verantwortlichen unverzüglich informieren. Daher sollte die Vereinbarung zur Auftragsverarbeitung eine interne Frist vorsehen, die kürzer ist als die gesetzliche.
Wenn die AP eine Untersuchung gegen Ihre Organisation einleitet
Eine Untersuchung beginnt üblicherweise mit einer schriftlichen Informationsanfrage, nicht mit einem Besuch von Prüfern. Beantworten Sie die Anfrage präzise und fristgerecht und achten Sie darauf, dass Ihre Antwort mit Ihren Unterlagen übereinstimmt. Widersprüche zwischen Ihren schriftlichen Angaben und den Aufzeichnungen richten mehr Schaden an als der ursprüngliche Mangel. Benennen Sie eine Person, in der Regel den Datenschutzbeauftragten, mit der Koordination und führen Sie ein Protokoll darüber, welche Informationen wann übermittelt wurden.
Es gelten die Schutzbestimmungen des niederländischen Verwaltungsrechts. Bevor die Verwaltungsbehörde eine für Sie nachteilige Entscheidung trifft, muss sie Ihnen Gelegenheit zur Anhörung geben und Ihnen den Bericht mit den Feststellungen, auf denen sie sich stützt, zur Kenntnis bringen. Erwägt die Verwaltungsbehörde eine Strafmaßnahme wie beispielsweise eine Geldbuße, ist die befragte Person nicht verpflichtet, Aussagen zum mutmaßlichen Verstoß zu machen und muss entsprechend belehrt werden; dieses Recht steht auch der untersuchten Organisation zu. Die Beweislast für den Verstoß liegt bei der Verwaltungsbehörde.
Sobald eine Entscheidung getroffen wurde, beginnt die Frist. Sie haben sechs Wochen Zeit, um bei der Verwaltungsbehörde (AP) Einspruch einzulegen, und weitere sechs Wochen, um gegen die Entscheidung über diesen Einspruch beim zuständigen Amtsgericht Berufung einzulegen. Eine letzte Instanz ist die Verwaltungsgerichtsbarkeit des Staatsrats. In dringenden Fällen, beispielsweise wenn ein Verarbeitungsverbot den Geschäftsbetrieb zum Erliegen bringen würde, kann parallel zum Einspruch ein Antrag auf einstweilige Verfügung beim Gericht gestellt werden. Die Veröffentlichung ist ein gesonderter Aspekt: Die Verwaltungsbehörde veröffentlicht ihre Vollstreckungsentscheidungen, und der Zeitpunkt dieser Veröffentlichung kann selbst angefochten werden.
Die AP und die Gerichte: zwei getrennte Wege
Die Aufsicht durch die AP und das Verfahren vor Gericht sind parallele Wege, keine Phasen desselben Prozesses; die Wahl des falschen Weges kostet Zeit und manchmal den Anspruch selbst.
Wenn eine private Organisation die Ausübung Ihrer Rechte ablehnt oder ignoriert, sieht das DSGVO-Umsetzungsgesetz ein bestimmtes Verfahren vor: Die betroffene Person kann innerhalb von sechs Wochen nach Erhalt der Antwort des Verantwortlichen beim zuständigen Amtsgericht Beschwerde einlegen. Diese Frist ist kurz und kann leicht versäumt werden, solange eine Beschwerde bei der zuständigen Behörde noch anhängig ist, da eine Beschwerde bei der zuständigen Behörde die Frist nicht verlängert. Handelt es sich bei der Organisation um eine Verwaltungsbehörde, so ist ihre Entscheidung über einen Rechtsantrag eine Verwaltungsentscheidung, sodass stattdessen das Widerspruchs- und Beschwerdeverfahren des Allgemeinen Verwaltungsgesetzes Anwendung findet.
Die Entschädigung ist ausschließlich Sache der Gerichte. Artikel 82 der DSGVO gewährt Anspruch auf Schadensersatz für materielle und immaterielle Schäden, die durch einen Verstoß verursacht wurden. Solche Ansprüche werden vor dem Zivilgericht geltend gemacht. Niederländische Gerichte sprechen für immaterielle Schäden moderate Beträge zu und verlangen vom Kläger den Nachweis konkreter negativer Folgen anstelle bloßer Unannehmlichkeiten. Die zuständige Behörde (AP) spielt bei diesem Anspruch keine Rolle, ihre Feststellungen können jedoch als Beweismittel verwendet werden. Umgekehrt ist eine Entscheidung der AP zu Ihrer Beschwerde, einschließlich der Entscheidung, keine Maßnahmen zu ergreifen, selbst eine Verwaltungsentscheidung, gegen die Einspruch und Beschwerde eingelegt werden können.
Grenzüberschreitende Fälle und die zentrale Anlaufstelle
Wenn die Verarbeitung personenbezogener Daten Personen in mehreren Mitgliedstaaten betrifft, weist die DSGVO der Aufsichtsbehörde des Landes, in dem die Organisation ihren Hauptsitz hat, die führende Rolle zu. Ist dies die Niederlande, fungiert die zuständige Behörde als federführende Behörde und koordiniert sich mit den anderen betroffenen Behörden; befindet sich der Hauptsitz in einem anderen Land, beteiligt sich die zuständige Behörde als betroffene Behörde und kann verlangen, dass ihre Einwände berücksichtigt werden. Meinungsverschiedenheiten zwischen den Behörden werden vom Europäischen Datenschutzausschuss beigelegt, dessen verbindliche Entscheidungen bereits in mehreren hochkarätigen Fällen getroffen wurden.
Für Organisationen ergeben sich praktische Konsequenzen. Legen Sie vor einem Vorfall fest, welche Behörde für Sie die Hauptverantwortung trägt, und dokumentieren Sie die Gründe. Denn die Hauptniederlassung ist der Ort, an dem Entscheidungen über Zweck und Art der Datenverarbeitung tatsächlich getroffen werden, nicht der zufällige Sitz der Unternehmensgruppe. Melden Sie Verstöße dieser Behörde. Gehen Sie nicht davon aus, dass die Hauptniederlassung durch eine andere zuständige Behörde entlastet wird: Sie behält ihre Befugnisse für nicht grenzüberschreitende Datenverarbeitung und für Niederlassungen in den Niederlanden.
Vorbereitung auf die Aufmerksamkeit der AP
Die meisten Durchsetzungsverfahren folgen einem ähnlichen Muster: Eine Beschwerde oder eine Meldung über einen Verstoß lenkt die Aufmerksamkeit auf eine Organisation, und die darauf folgenden Fragen betreffen die Verantwortlichkeit und nicht nur den Vorfall selbst. Die Akte, die diese Fragen beantwortet, ist dieselbe, die Sie ohnehin führen sollten. Sie dokumentiert die Zwecke und Rechtsgrundlagen jeder Datenverarbeitung, die Aufbewahrungsfristen und deren Einhaltung, die tatsächlich den Betroffenen zugänglich gemachten personenbezogenen Daten, die technischen und organisatorischen Sicherheitsmaßnahmen und die Zugriffsrechte, die für risikoreiche Verarbeitungen durchgeführten Datenschutz-Folgenabschätzungen, die Verarbeitungsvereinbarungen mit Lieferanten, die für Übermittlungen außerhalb der Union verwendeten Schutzmaßnahmen sowie das Register der Verstöße und der Anträge auf Rechte mit den jeweiligen Antwortdaten.
In der Praxis sind zwei Dinge entscheidend. Erstens ein funktionierender Prozess für Rechteanfragen mit Protokoll und Standardantwort, da die häufigste Beschwerdeursache darin besteht, dass keine Antwort innerhalb eines Monats erfolgt. Zweitens eine Datenschutzerklärung , die den tatsächlichen Abläufen im Unternehmen entspricht. Aufsichtsbehörden benötigen keine Untersuchung, um eine Diskrepanz zwischen einer veröffentlichten Erklärung und einem Cookie-Banner oder einer App-Berechtigung festzustellen; genau darauf achten sie zuerst. Weiterführende Informationen zu diesem Thema finden Sie in unseren Leitfäden zum IT-Recht . Die AP veröffentlicht zudem eigene Leitfäden und Formulare auf ihrer Website.
Law & More Wir beraten Organisationen und Einzelpersonen im Umgang mit der französischen Datenschutzbehörde (Autoriteit Persoonsgegevens): Beschwerden, Meldungen von Datenschutzverletzungen, Auskunftsersuchen, Einsprüche und Rechtsmittel gegen Anordnungen und Bußgelder sowie die parallelen Verfahren vor den Zivil- und Verwaltungsgerichten. Wenn die Datenschutzbehörde Sie kontaktiert hat oder Sie wissen möchten, ob eine Beschwerde in Ihrem Fall der richtige Weg ist, stehen Ihnen die Datenschutzanwälte von [Name der Kanzlei] gerne zur Verfügung. Law & More beraten Sie gerne.
Wie Law & More Wie wir Ihnen dabei helfen können, wird auf unserer Website erklärt. IT-Anwalt
