Die Landesbeauftragte für den Datenschutz Sachsen-Anhalt kontrolliert die Einhaltung des Datenschutzrechts in ihrem Zuständigkeitsbereich, bearbeitet Beschwerden und berät zu Datenschutzfragen. Für Betroffene und Organisationen ist entscheidend, welches Anliegen vorliegt: eine Beschwerde über die Verarbeitung eigener Daten, eine Datenpannenmeldung oder eine Frage zu einer geplanten Verarbeitung. Diese Verfahren haben unterschiedliche Voraussetzungen und sollten nicht miteinander verwechselt werden.
Maria Christina Rost hat das Amt am 1. August 2024 übernommen. Das bestätigt die aktuelle Darstellung der Landesbeauftragten. Die frühere Vertretung durch Albert Cohaus beschreibt daher nicht die aktuelle Leitung. Der Sitz der Geschäftsstelle ist Magdeburg. Für eine Kontaktaufnahme sind die aktuellen Angaben der Behörde maßgeblich, nicht ältere Anschriften oder allgemeine Verzeichnisse.
Welche Rechtsgrundlagen gelten?
Neben der DSGVO ist insbesondere das Datenschutz-Grundverordnungs-Ausfüllungsgesetz Sachsen-Anhalt, kurz DSAG LSA, relevant. Das frühere allgemeine Datenschutzgesetz DSG LSA trat grundsätzlich am 26. Februar 2020 außer Kraft; besondere Übergangsregelungen sind gesondert zu beachten. Die amtliche Übersicht zum Landesrecht verweist auf die geltenden Regelungsbereiche. Für bestimmte Verarbeitungen im Strafverfolgungsbereich gelten andere Vorschriften als die DSGVO.
Die Aufsicht ist unabhängig. Nach § 21 DSAG LSA wählt der Landtag die Amtsperson; die Berufung erfolgt für fünf Jahre. Aufgaben und Befugnisse ergeben sich insbesondere aus § 23 DSAG LSA und den Artikeln 57 und 58 DSGVO. Die Behörde ist deshalb weder eine allgemeine Rechtsberatung für sämtliche Streitigkeiten noch eine Stelle, die jedes Datenverarbeitungsvorhaben vorab genehmigen muss.
Für die praktische Prüfung kommt es auf den Verantwortlichen und die konkrete Tätigkeit an. Ein Unternehmen, eine kommunale Einrichtung und eine Strafverfolgungsbehörde können unterschiedlichen zusätzlichen Regeln unterliegen. Der Umstand, dass alle personenbezogene Daten verwenden, macht ihre Verfahren nicht rechtlich identisch. Auch spezialgesetzliche Geheimhaltung, Aufbewahrung oder besondere Aufsichtszuständigkeiten müssen berücksichtigt werden.
Zuständigkeit: Der Standort allein genügt nicht
Nach der Aufgabenbeschreibung der Landesbeauftragten umfasst ihre Zuständigkeit öffentliche Stellen des Landes sowie die Datenschutzaufsicht über nichtöffentliche Stellen nach § 40 BDSG. Bei Unternehmen ist die verantwortliche Organisation zu identifizieren. Ein Geschäftslokal in Sachsen-Anhalt bedeutet nicht automatisch, dass dort auch die datenschutzrechtlich maßgebliche Hauptniederlassung liegt.
Bundesbehörden fallen nicht allein wegen ihres Standorts in Sachsen-Anhalt unter die Landesaufsicht. Für sie ist grundsätzlich die Bundesbeauftragte für den Datenschutz zuständig. Für den MDR und seine Beteiligungsunternehmen nennt die Landesbehörde die besondere Rundfunkdatenschutzaufsicht. Gerichte unterliegen ihrer Kontrolle nur in Verwaltungsangelegenheiten; Verarbeitungen im Rahmen ihrer rechtsprechenden Tätigkeit sind ausgenommen. Kirchliche oder andere besondere Aufsichtssysteme können weitere Abgrenzungen erfordern.
Komplexität oder eine besonders hohe mögliche Geldbuße verlagern ein Verfahren nicht automatisch zur Bundesbeauftragten. Bei grenzüberschreitender Verarbeitung innerhalb der EU können vielmehr die Regeln über die federführende Aufsichtsbehörde und die Zusammenarbeit der beteiligten Behörden greifen. Dafür müssen die Voraussetzungen der Artikel 55 und 56 DSGVO geprüft werden; nicht jede Organisation mit mehreren Standorten fällt pauschal unter dasselbe Verfahren.
Eine Beschwerde wegen eigener Daten vorbereiten
Artikel 77 DSGVO gibt Betroffenen ein Beschwerderecht, wenn sie eine rechtswidrige Verarbeitung ihrer personenbezogenen Daten annehmen. Eine Beschwerde kann insbesondere im Mitgliedstaat des gewöhnlichen Aufenthalts, des Arbeitsplatzes oder des mutmaßlichen Verstoßes erhoben werden. Die örtliche Zuständigkeitsprüfung der Landesbehörde ist von diesem Zugang zum Beschwerdeverfahren zu unterscheiden. Bei fehlender eigener Zuständigkeit beschreibt sie eine Weitergabe an die zuständige deutsche Aufsicht.
Für eine verständliche Beschwerde sollten Sie erklären, welche Organisation welche Daten in welcher Situation verarbeitet hat. Trennen Sie eigene Beobachtungen von Vermutungen. Wenn beispielsweise eine Auskunft unvollständig erscheint, benennen Sie den Antrag, das Eingangsdatum, die Antwort und die konkret fehlenden Informationen. Eine nachvollziehbare Darstellung hilft mehr als eine lange Aufzählung denkbarer Rechtsverstöße ohne Bezug zum Sachverhalt.
Die offiziellen Beschwerdehinweise empfehlen passende Nachweise. Dazu können Schriftwechsel, Nachrichten oder Screenshots gehören. Übermitteln Sie nur Unterlagen, die für die Prüfung relevant sind, und vermeiden Sie unnötige Informationen über unbeteiligte Personen. Für umfangreiche oder sensible Anlagen bietet die Behörde einen verschlüsselten Upload nach entsprechender Anfrage an; auch eine postalische Übermittlung ist möglich.
Muss zuerst das Unternehmen angeschrieben werden?
Wer Auskunft, Berichtigung oder Löschung verlangt, sollte das entsprechende Recht gegenüber dem Verantwortlichen geltend machen. Die Landesbeauftragte stellt diesen Antrag nicht stellvertretend für die betroffene Person. Eine Kopie des Antrags und der Antwort macht anschließend nachvollziehbar, welches Recht möglicherweise nicht beachtet wurde. Oft kann bereits eine präzise Nachfrage einen Fehler oder ein Missverständnis klären.
Daraus folgt aber keine allgemeine Pflicht, vor jeder Beschwerde nach Artikel 77 sämtliche internen Kontaktmöglichkeiten auszuschöpfen. Eine Beschwerde über eine bereits erfolgte unzulässige Offenlegung ist nicht dasselbe wie die erstmalige Bitte um Auskunft. Die Behörde weist auch auf Beschwerden hin, wenn Nachteile befürchtet werden. Entscheidend ist, das eigene Anliegen und gegebenenfalls die Gründe für einen unmittelbaren Kontakt zur Aufsicht verständlich darzustellen.
Die Behörde fragt außerdem, ob der Name gegenüber dem Verantwortlichen genannt werden darf. Wenn Sie dies ablehnen, kann die Aufklärung eingeschränkt sein. Bei einer konkret verweigerten Auskunft muss der Verantwortliche möglicherweise wissen, welcher Antrag gemeint ist. Eine anonyme allgemeine Information und eine individuelle Beschwerde mit gewünschter Rückmeldung haben deshalb unterschiedliche praktische Möglichkeiten.
Was bedeutet die Drei-Monats-Frist?
Die Landesbeauftragte kündigt an, innerhalb von drei Monaten über den Stand oder das Ergebnis der Beschwerdeprüfung zu informieren. Das ist keine Zusage, dass jedes Verfahren bis dahin endgültig abgeschlossen ist. Umfangreiche Sachverhalte, erforderliche Stellungnahmen oder die Zusammenarbeit mehrerer Aufsichtsbehörden können weitere Bearbeitung erfordern. Auch eine Zwischeninformation kann daher bedeutsam sein.
Artikel 78 Absatz 2 DSGVO eröffnet Rechtsschutz, wenn die zuständige Aufsichtsbehörde eine Beschwerde nicht bearbeitet oder innerhalb von drei Monaten nicht über den Stand oder das Ergebnis unterrichtet. Gegen eine rechtlich bindende Entscheidung besteht ebenfalls gerichtlicher Rechtsschutz. § 30 DSAG LSA weist die dort geregelten Streitigkeiten dem Verwaltungsgericht Magdeburg zu; ein Vorverfahren findet nicht statt.
Bußgeldbescheide sind davon zu unterscheiden: Für sie gelten besondere Verfahrensregeln. Lesen Sie deshalb die Rechtsbehelfsbelehrung des konkreten Dokuments, statt jeden behördlichen Brief nach demselben Muster zu behandeln. Eine Anfrage, eine Aufforderung zur Stellungnahme, eine verbindliche Anordnung und ein Bußgeldbescheid können unterschiedliche Reaktionen und Fristen verlangen.
Datenpannen: die richtige Meldung durch den Verantwortlichen
Das Formular für Datenschutzverletzungen ist für Verantwortliche oder Personen vorgesehen, die in deren Auftrag melden. Wer sich über die Verarbeitung eigener Daten beschweren möchte, soll das Beschwerdeformular verwenden. Diese Unterscheidung verhindert, dass eine persönliche Beschwerde irrtümlich als betriebliche Selbstmeldung eingeordnet wird.
Nach Artikel 33 DSGVO meldet der Verantwortliche eine Verletzung unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden, sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen nicht unwahrscheinlich ist. Bei einer späteren Meldung sind die Gründe für die Verzögerung anzugeben. Fehlende Einzelheiten dürfen ohne unangemessene weitere Verzögerung schrittweise nachgereicht werden. Ein Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nach Bekanntwerden.
Dokumentiert werden müssen sämtliche Verletzungen des Schutzes personenbezogener Daten, auch wenn keine Behördenmeldung erfolgt. Halten Sie Sachverhalt, Folgen und Abhilfemaßnahmen fest. Eine Benachrichtigung betroffener Personen bei voraussichtlich hohem Risiko ist gesondert nach Artikel 34 einschließlich seiner Ausnahmen zu prüfen. Die Anleitung zum Melden einer Datenpanne hilft, Zuständigkeiten und Entscheidungen im Betrieb zusammenzuführen.
Welche Informationen helfen bei der Aufklärung?
Bei einer Meldung sind insbesondere Art der Verletzung, betroffene Daten und Personen, wahrscheinliche Folgen sowie bereits ergriffene oder geplante Gegenmaßnahmen wichtig. Soweit möglich gehören ungefähre Zahlen der betroffenen Personen und Datensätze dazu. Benennen Sie eine erreichbare Anlaufstelle. Kennzeichnen Sie Schätzungen und offene Fragen, statt vorläufige Annahmen als gesicherte Tatsachen darzustellen.
Angenommen, ein falsch berechtigter Benutzer konnte auf Personalunterlagen zugreifen. Dann sollten die Untersuchung und die Meldung nicht nur das geänderte Passwort erwähnen. Relevant sind auch mögliche Zugriffszeiträume, tatsächlich erreichbare Daten und die Frage, ob Kopien entstanden sein können. Gleichzeitig müssen Berechtigungen korrigiert und Beweise gesichert werden. Die organisatorische Reaktion darf nicht auf einen vollständig abgeschlossenen technischen Bericht warten.
Weitere Meldepflichten können daneben bestehen, etwa bei erfassten Einrichtungen unter der deutschen NIS2-Umsetzung. Eine Datenschutzmeldung ersetzt nicht automatisch die Meldung an eine andere zuständige Stelle. Prüfen Sie die jeweiligen Tatbestände und vermeiden Sie die Annahme, dass jede IT-Störung eine Datenpanne oder jede Datenpanne zugleich ein meldepflichtiger Cybersicherheitsvorfall ist.
Wie Unternehmen auf eine Prüfungsanfrage reagieren
Lesen Sie zunächst den Gegenstand der Anfrage und legen Sie fest, wer die Antwort koordiniert. Geschäftsleitung, Fachbereich, IT und Datenschutzbeauftragte haben unterschiedliche Informationen. Eine abgestimmte Antwort sollte erklären, wie die Verarbeitung tatsächlich abläuft. Allgemeine Richtlinien allein belegen nicht, dass ein einzelner Zugriff, eine Übermittlung oder eine Löschung korrekt erfolgt ist.
Das Verzeichnis der Verarbeitungstätigkeiten kann den Überblick liefern. Je nach Anfrage kommen Datenschutzhinweise, Berechtigungskonzepte, Löschregeln und Vereinbarungen mit Dienstleistern hinzu. Reichen Sie passende, nachvollziehbar bezeichnete Unterlagen ein. Wenn Angaben noch geprüft werden müssen, benennen Sie den offenen Punkt und seinen Bearbeitungsstand. Eine erforderliche Fristverlängerung sollte rechtzeitig und konkret begründet angefragt werden.
Artikel 31 DSGVO verlangt die Zusammenarbeit mit der Aufsichtsbehörde auf deren Anfrage. Daraus folgt keine Empfehlung, ungeprüft sämtliche Datenbestände einzureichen oder rechtliche Einwände zu verschweigen. Prüfen Sie Umfang, Verfahrensrechte und erforderlichen Übermittlungsweg. Korrigieren Sie erkannte Fehler und erläutern Sie die Abhilfe, ohne rückwirkend Nachweise zu erstellen, die eine frühere Umsetzung vortäuschen.
Sicherheit und Dienstleister nachvollziehbar beurteilen
Bei der Sicherheit nach Artikel 32 geht es um angemessene technische und organisatorische Maßnahmen. Maßgeblich sind konkrete Risiken, Verarbeitung und mögliche Folgen für Menschen. Ein Zertifikat oder eine Liste gekaufter Sicherheitsprodukte ersetzt diese Beurteilung nicht. Ebenso wenig schreibt die DSGVO jeder Organisation dieselbe Technik oder einen festen jährlichen Prüfkalender vor.
Der BSI-Grundschutz kann eine strukturierte Vorgehensweise unterstützen. Die Auswahl muss aber zum untersuchten System und zur Organisation passen. Vermeiden Sie die Aussage, ein allgemeiner Standard mache automatisch jede einzelne Verarbeitung rechtmäßig. Rechtsgrundlage, Information, Betroffenenrechte und Speicherfristen bleiben auch bei technisch gut geschützten Systemen gesonderte Aufgaben.
Bei Dienstleistern ist zuerst deren tatsächliche Rolle zu bestimmen. Nicht jeder Vertragspartner verarbeitet Daten im Auftrag. Liegt Auftragsverarbeitung vor, müssen die Anforderungen des Artikels 28 erfüllt werden; ein Auftragsverarbeitungsvertrag sollte die konkrete Leistung, Weisungen und Verantwortlichkeiten erfassen. Bei Auslandsbezug ist zusätzlich das einschlägige Übermittlungsinstrument zu prüfen. Standardvertragsklauseln sind dabei nicht für jede denkbare Drittlandsübermittlung zwingend dasselbe Mittel.
Beratung und vorherige Konsultation auseinanderhalten
Allgemeine Beratung unterstützt die eigene Prüfung. Sie ersetzt nicht die Verantwortung der Organisation für ein tragfähiges Konzept. Formulieren Sie deshalb eine konkrete Frage und beschreiben Sie geplante Zwecke, Beteiligte, Daten und bereits erwogene Schutzmaßnahmen. Eine pauschale Bitte, ein ganzes Softwareprodukt für sämtliche Einsatzfälle freizugeben, lässt wesentliche rechtliche Voraussetzungen offen.
Zeigt eine Datenschutz-Folgenabschätzung ein hohes Risiko, das durch die vorgesehenen Maßnahmen nicht ausreichend eingedämmt wird, ist vor der Verarbeitung die Konsultation nach Artikel 36 erforderlich. Dazu gehören die gesetzlich vorgesehenen Informationen über Verantwortlichkeiten, Zwecke und Mittel, Schutzmaßnahmen, gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten und die Folgenabschätzung. Weitere angeforderte Informationen sind ebenfalls bereitzustellen.
Hält die Aufsicht die geplante Verarbeitung für rechtswidrig, sieht Artikel 36 Absatz 2 eine schriftliche Beratung grundsätzlich binnen acht Wochen nach Eingang der Konsultationsanfrage vor. Bei Komplexität kann sich die Frist um sechs Wochen verlängern; über die Verlängerung und Gründe ist innerhalb eines Monats zu informieren. Die Fristen können bis zum Eingang angeforderter Informationen ausgesetzt werden. Das ist keine allgemeine Bearbeitungsgarantie für jede Beratungsfrage und keine Genehmigung durch bloßes Schweigen.
Befugnisse und Geldbußen richtig einordnen
Die Aufsicht kann Informationen verlangen, Datenschutzüberprüfungen durchführen und die gesetzlich vorgesehenen Abhilfemaßnahmen anordnen. Dazu gehören je nach Fall Warnung, Verwarnung, Herstellung eines rechtmäßigen Zustands oder Beschränkung einer Verarbeitung. Es besteht kein universelles dreistufiges Modell, nach dem vor jeder wirksamen Maßnahme zunächst mehrere unverbindliche Hinweise erfolgen müssten.
Auch Geldbußen folgen keinem regionalen Pauschaltarif. Artikel 83 unterscheidet Tatbestände und verlangt eine Einzelfallbewertung. Die niedrigere Kategorie reicht bis 10 Millionen Euro oder bei Unternehmen 2 Prozent des weltweiten Vorjahresumsatzes; die höhere bis 20 Millionen Euro oder 4 Prozent, jeweils wenn der Umsatzbetrag höher ist. Kooperation und Abhilfe können berücksichtigt werden, vermitteln aber keinen festen prozentualen Rabatt.
Für öffentliche Stellen enthält § 31 Absatz 2 DSAG LSA einen Bußgeldausschluss. Dieser gilt jedoch nicht, soweit öffentliche Stellen als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen. Das ist keine Befreiung von Datenschutzpflichten oder sonstigen Aufsichtsbefugnissen. Eine kommunale Organisation muss daher sowohl ihre konkrete rechtliche Einordnung als auch die betreffende Tätigkeit prüfen.
Andere Behörden und veröffentlichte Orientierungshilfen
Bei mehreren Standorten können die Zuständigkeitsabgrenzungen zu anderen Landesbehörden wichtig werden. Für Bayern ist beispielsweise zwischen den Aufgaben des BayLDA und der öffentlichen Datenschutzaufsicht zu unterscheiden. Auch die Bremer Landesbeauftragte und die Aufsicht in Niedersachsen handeln nach ihrem jeweiligen Zuständigkeitsrahmen. Ein vermuteter milderer Stil erlaubt keine freie Wahl der zuständigen Behörde.
Leitlinien des Europäischen Datenschutzausschusses und Beschlüsse der Datenschutzkonferenz sind wichtige Auslegungshilfen. Sie sind aber nicht mit dem Gesetz oder jedem verbindlichen Einzelbeschluss gleichzusetzen. Prüfen Sie Anwendungsbereich, Datum und zwischenzeitliche Rechtsprechung. Aus einer Empfehlung zu einem bestimmten Verfahren lässt sich nicht ohne Weiteres eine allgemeine Pflicht für sämtliche Organisationen ableiten.
Für den nächsten konkreten Schritt nutzen Sie die Kontaktseite der Behörde. Die Geschäftsstelle befindet sich in der Otto-von-Guericke-Straße 34a, 39104 Magdeburg; die Postadresse lautet Postfach 1947, 39009 Magdeburg. Bereiten Sie eine kurze Beschreibung Ihres Anliegens und die unmittelbar relevanten Unterlagen vor. So bleibt erkennbar, welche Entscheidung, Auskunft oder Prüfung Sie tatsächlich benötigen.