Die Sächsische Datenschutz- und Transparenzbeauftragte, kurz SDTB, ist die unabhängige Datenschutzaufsicht des Freistaates. Sie prüft in ihrem Zuständigkeitsbereich, ob öffentliche und nicht-öffentliche Stellen personenbezogene Daten rechtmäßig verarbeiten. Für Bürgerinnen und Bürger ist sie eine Anlaufstelle bei möglichen Rechtsverletzungen; Unternehmen und Behörden müssen insbesondere Beschwerden, Auskunftsersuchen der Aufsicht und meldepflichtige Datenschutzverletzungen richtig zuordnen.
Dieser Leitfaden erklärt, wann die sächsische Behörde zuständig ist, welches Verfahren zu Ihrem Anliegen passt und welche Unterlagen eine sachgerechte Bearbeitung ermöglichen. Eine Datenschutzbeschwerde, eine Datenpannenmeldung des Verantwortlichen und eine Anfrage zum Informationszugang sind unterschiedliche Vorgänge. Wer diese Wege auseinanderhält, vermeidet unnötige Rückfragen und versendet sensible Unterlagen nicht an eine unpassende Stelle.
Name, Amtsinhaberin und gesetzlicher Auftrag
Nach dem amtlichen Behördenprofil leitet Dr. Juliane Hundert die Dienststelle seit dem 1. Januar 2022. Gewählt wurde sie am 21. Dezember 2021. Seit Anfang 2023 nimmt die Behörde zusätzlich die Aufgaben der Transparenzbeauftragten wahr. Wahlzeitpunkt, Amtsbeginn und Erweiterung des Aufgabenbereichs sollten deshalb nicht miteinander verwechselt werden.
Das Sächsische Datenschutzdurchführungsgesetz regelt unter anderem Zuständigkeit, Stellung und Befugnisse. Die Dienststelle ist eine oberste Staatsbehörde mit Sitz in Dresden. Die Amtszeit beträgt sechs Jahre; eine einmalige Wiederwahl ist zulässig. Bei der Erfüllung der Datenschutzaufsicht handelt die Behörde unabhängig. Die Landesregierung erteilt ihr keine Weisungen zur Entscheidung über eine einzelne Beschwerde.
Die Bezeichnung Datenschutzbeauftragte kann außerdem eine betriebliche oder behördliche Funktion meinen. Die intern oder extern benannte Datenschutzbeauftragte eines Unternehmens berät und überwacht dort die Einhaltung des Datenschutzrechts. Sie ist keine Landesaufsichtsbehörde und verhängt keine behördlichen Sanktionen. Eine Kontaktaufnahme mit dieser Person kann einen Sachverhalt klären, ersetzt aber weder Ihre eigenen Rechte noch die Pflichten des Verantwortlichen gegenüber der SDTB.
Welche Stellen fallen unter die sächsische Aufsicht?
Im üblichen DSGVO-Bereich betrifft die Aufsicht etwa Unternehmen, Vereine, Arztpraxen, Kommunen und Landesbehörden, soweit die sächsische Zuständigkeit besteht. § 14 SächsDSDG unterscheidet die Kontrolle öffentlicher Stellen und die Aufsicht über nicht-öffentliche Stellen nach § 40 BDSG. Nicht allein die Branchenbezeichnung, sondern die konkrete verantwortliche Stelle und das anwendbare Fachrecht sind entscheidend.
Bei Filialen und unselbständigen Niederlassungen verweist die Behörde auf den Hauptsitz beziehungsweise den Sitz der Geschäftsleitung. Ein Geschäft in Leipzig ist deshalb nicht schon wegen seiner Ladenadresse stets ein sächsischer Aufsichtsfall. Ermitteln Sie aus Datenschutzhinweisen, Vertrag oder Impressum, welche Gesellschaft die betreffende Verarbeitung verantwortet. Eine Konzernmarke kann mehrere rechtlich selbstständige Unternehmen umfassen.
Die amtlichen Beschwerdehinweise nennen wichtige Ausnahmen: Religionsgemeinschaften, Rundfunkanstalten, Finanzbehörden im Anwendungsbereich der Abgabenordnung, bundesweite gesetzliche Kranken- und Pflegekassen sowie Telekommunikations- und Postdienstunternehmen. Hier können andere Aufsichtsstellen zuständig sein. Bei journalistischen Verarbeitungen kommen besondere Regeln hinzu; aus einer allgemeinen Medienbezeichnung lässt sich daher keine vollständige Zuständigkeitsantwort ableiten.
Auch innerhalb öffentlicher Einrichtungen bestehen Grenzen. Gerichte unterliegen nach Artikel 55 Absatz 3 DSGVO nicht der Aufsicht der Datenschutzbehörde, soweit sie im Rahmen ihrer justiziellen Tätigkeit handeln. Für parlamentarische Aufgaben enthält § 2 SächsDSDG eine gesonderte Regelung. Verarbeitungen durch Polizei, Strafvollzug oder Verfassungsschutz können besonderen Landesgesetzen unterliegen. Die Aussage, die SDTB kontrolliere ausnahmslos jede staatliche Datenverarbeitung nach derselben DSGVO-Regel, wäre falsch.
Andere Behörden und grenzüberschreitende Sachverhalte
Die Bundesbeauftragte für den Datenschutz ist keine allgemeine nächste Instanz für schwierige sächsische Fälle. Bundes- und Landesaufsicht haben gesetzlich bestimmte Zuständigkeiten. Ein hoher Streitwert, ein großer Konzern oder ein komplizierter Sachverhalt verlagert das Verfahren nicht automatisch auf die Bundesebene.
Bei grenzüberschreitender Verarbeitung innerhalb der EU kann das Verfahren mit einer federführenden Behörde nach Artikel 56 DSGVO relevant sein. Maßgeblich sind die gesetzlichen Voraussetzungen, einschließlich der Hauptniederlassung oder einzigen Niederlassung. Das Beschwerderecht erlaubt Betroffenen insbesondere eine Beschwerde im Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, Arbeitsplatzes oder des mutmaßlichen Verstoßes. Die anschließende Zusammenarbeit der Behörden ist von dieser Eingabemöglichkeit zu unterscheiden.
Bei Verantwortlichen in anderen Bundesländern können beispielsweise das BayLDA in Bayern, der TLfDI in Thüringen oder die Datenschutzaufsicht Sachsen-Anhalt zuständig sein. Eine Unternehmensgruppe sollte die verantwortlichen Gesellschaften ihren tatsächlichen Aufsichtswegen zuordnen. Vergleiche angeblich milder oder strenger Behörden ersetzen diese Zuordnung nicht.
Beschwerde oder Kontrollanregung?
Eine Beschwerde nach Artikel 77 DSGVO betrifft die Verarbeitung Ihrer eigenen personenbezogenen Daten und einen vermuteten Verstoß gegen die Verordnung. Sie müssen den Verstoß nicht bereits juristisch abschließend beweisen. Beschreiben Sie nachvollziehbar, welche Stelle welche Daten auf welche Weise verarbeitet hat und weshalb Sie darin eine Verletzung Ihrer Rechte sehen.
Eine Kontrollanregung kann hingegen einen möglichen Verstoß betreffen, von dem Sie nicht selbst betroffen sind. Die SDTB nimmt solche Hinweise auch anonym entgegen. Daraus entstehen aber nicht dieselben verfahrensbezogenen Informationsansprüche wie aus einer eigenen Beschwerde. Wer etwa eine offen erreichbare Kundendatei entdeckt, sollte den Hinweis sachlich schildern und keine zusätzlichen Datensätze herunterladen, nur um die Entdeckung zu illustrieren.
Die ausführliche Einordnung des Beschwerderechts nach Artikel 77 hilft bei der Wahl des Weges. Bei einem unklaren Auskunftsfall kann es sinnvoll sein, zunächst die verantwortliche Organisation anzuschreiben. Das ist keine pauschale Pflicht, sämtliche internen Beschwerdewege auszuschöpfen, bevor eine Datenschutzbeschwerde zulässig wird. Für bestimmte Rechte muss allerdings erkennbar sein, welches Begehren überhaupt an den Verantwortlichen gerichtet wurde.
Welche Angaben erleichtern eine Beschwerde?
Die SDTB beschreibt im Beschwerdeformular ihre benötigten Angaben: insbesondere vollständiger Name und gültige Postanschrift der beschwerdeführenden Person sowie Name und Anschrift des Verantwortlichen, soweit bekannt. Eine E-Mail-Adresse allein genügt nach diesen Verfahrenshinweisen nicht. Telefonangaben werden für Rückfragen erbeten, sind aber freiwillig. Nutzen Sie die jeweils aktuelle Anleitung statt eine alte Formularversion weiterzureichen.
Eine kurze Chronologie ist oft hilfreicher als eine umfangreiche rechtliche Bewertung. Nennen Sie beispielsweise das Datum Ihres Auskunftsantrags, den Zugangsnachweis und die erhaltene Antwort. Fügen Sie den relevanten Schriftwechsel vollständig bei, statt einzelne Aussagen ohne Zusammenhang herauszukopieren. Haben andere Behörden bereits ein Verfahren aufgenommen, helfen deren Aktenzeichen und die zugehörigen Unterlagen bei der Einordnung.
Prüfen Sie vor dem Hochladen, welche Anlagen für den Sachverhalt wirklich erforderlich sind. Ein kompletter Personal- oder Behandlungsordner ist nicht automatisch nötig, um eine fehlgeleitete Nachricht zu belegen. Zugleich dürfen entscheidende Informationen nicht so geschwärzt werden, dass die Behörde den Vorgang nicht mehr verstehen kann. Bei besonders sensiblen Unterlagen lässt sich der geeignete sichere Übermittlungsweg mit der Dienststelle klären.
Die Hinweise erläutern außerdem die mögliche Offenlegung Ihrer Identität gegenüber dem Verantwortlichen und die Weiterleitung an eine zuständige Aufsichtsbehörde. Fehlt das hierfür erbetene Einverständnis, kann die konkrete Bearbeitung eingeschränkt sein. Lesen Sie diesen Teil bewusst. Ein anonym gehaltener Hinweis und eine Beschwerde, bei der eine individuelle Rechtsverletzung aufgeklärt werden soll, verfolgen nicht immer dasselbe praktische Ziel.
Auskunftsantrag und Beschwerde haben verschiedene Fristen
Ein Auskunftsantrag nach Artikel 15 richtet sich an den Verantwortlichen. Über die ergriffenen Maßnahmen muss er ohne unangemessene Verzögerung, spätestens innerhalb eines Monats nach Eingang informieren. Eine Verlängerung um bis zu zwei weitere Monate setzt die gesetzlichen Voraussetzungen voraus; innerhalb des ersten Monats sind die Verlängerung und ihre Gründe mitzuteilen.
Wird der Verantwortliche nicht tätig, muss er nach Artikel 12 Absatz 4 ebenfalls ohne Verzögerung und spätestens innerhalb eines Monats Gründe sowie Informationen über Beschwerde und gerichtlichen Rechtsbehelf geben. Die Weiterleitung Ihres Antrags an eine interne Fachabteilung startet keine neue gesetzliche Monatsfrist. Für Ihre spätere Beschwerde sind deshalb Eingangsdatum und Antwortverlauf wichtig.
Die Bearbeitung durch die Aufsicht folgt einem anderen Verfahren. Artikel 78 Absatz 2 eröffnet einen gerichtlichen Rechtsbehelf, wenn die zuständige Behörde sich mit der Beschwerde nicht befasst oder innerhalb von drei Monaten nicht über Stand oder Ergebnis informiert. Diese Vorschrift garantiert keinen abschließenden Bescheid in drei Monaten. Die sächsischen Hinweise berichten über Verzögerungen; eine Zwischeninformation ist von einer endgültigen Sachentscheidung zu unterscheiden.
Datenpannen melden: der Weg für Verantwortliche
Das sächsische Formular für Datenpannen dient der Meldung des Verantwortlichen nach Artikel 33 DSGVO. Eine betroffene Privatperson verwendet für ihren eigenen Fall grundsätzlich den Beschwerdeweg. Ein Dienstleister, der als Auftragsverarbeiter tätig ist, muss den Verantwortlichen nach Bekanntwerden einer Verletzung unverzüglich informieren; er hat dafür keine eigene vorgelagerte Wartefrist von 72 Stunden.
Der Verantwortliche meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsicht, es sei denn, dass die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Bei einer späteren Meldung sind die Gründe für die Verzögerung beizufügen. Fehlende Einzelheiten können nach Artikel 33 Absatz 4 schrittweise ohne unangemessene weitere Verzögerung geliefert werden.
Jede personenbezogene Datenschutzverletzung ist nach Artikel 33 Absatz 5 zu dokumentieren, auch wenn sie nicht gemeldet wird. Der Leitfaden zum Melden einer Datenpanne erläutert die operative Bearbeitung. Eine zusätzliche Benachrichtigung betroffener Personen richtet sich nach dem voraussichtlich hohen Risiko und den Bedingungen beziehungsweise Ausnahmen des Artikels 34. Behördliche Meldung und Betroffeneninformation sind somit zwei getrennte Entscheidungen.
Vertraulichkeit, Integrität und Verfügbarkeit beurteilen
Die sächsische Behörde nennt ausdrücklich auch den Verlust der Verfügbarkeit als mögliche Datenschutzverletzung. Ein sicher verschlüsseltes, verlorenes Gerät kann daher weiterhin problematisch sein, wenn die einzige benötigte Datenkopie darauf gespeichert war. Ebenso kann eine zeitweilige Störung im Krankenhaus die rechtzeitige Behandlung beeinträchtigen. Verschlüsselung beantwortet nicht allein, ob für die Menschen ein Risiko besteht.
Für die Bewertung müssen Sachverhalt und Folgen zusammengeführt werden: Welche Daten fehlen oder wurden offengelegt, welche Personen sind betroffen, und was können sie dadurch erleiden? Ein falsch adressierter Brief mit Gesundheitsinformationen ist anders einzuordnen als eine kurze Störung eines nicht benötigten Archivzugriffs. Dokumentieren Sie die tatsächlichen Schutzmaßnahmen und die Unsicherheiten, statt nur eine allgemeine Risikostufe anzukreuzen.
Die Sicherheitsanforderungen aus Artikel 32 verlangen angemessene Maßnahmen anhand des Risikos. Der BSI-Grundschutz kann bei ihrer systematischen Auswahl helfen. Daraus folgt aber nicht, dass jeder sächsische Verein oder Betrieb ausnahmslos jeden Grundschutzbaustein umsetzen muss. Empfehlungen, vertragliche Anforderungen und unmittelbar geltende gesetzliche Pflichten müssen erkennbar auseinandergehalten werden.
Wenn die Behörde Unterlagen anfordert
Die Aufsicht kann Informationen verlangen und Untersuchungen durchführen. Lesen Sie ein Schreiben zunächst daraufhin, welche Stelle, Verarbeitung, Zeitspanne und Rechtsgrundlage es betrifft. Koordinieren Sie die Antwort mit den Personen, die den Vorgang tatsächlich kennen. Eine Sammlung sämtlicher vorhandener Richtlinien ist selten so aussagekräftig wie eine konkrete Erklärung mit passenden Nachweisen.
Das Verzeichnis der Verarbeitungstätigkeiten hilft, Verantwortlichkeiten, Zwecke, Datenkategorien und Empfänger zu identifizieren. Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten ist begrenzt: Sie greift bei den betreffenden Verarbeitungen insbesondere nicht, wenn diese nicht nur gelegentlich erfolgen, ein Risiko für die Rechte und Freiheiten betroffener Personen aufweisen oder Daten nach Artikel 9 beziehungsweise 10 betreffen. Die Unternehmensgröße allein beantwortet die Dokumentationsfrage nicht.
Wer externe Dienste einsetzt, muss zunächst deren tatsächliche Rolle bestimmen. Liegt Auftragsverarbeitung vor, sind die Anforderungen des Artikels 28 zu beachten; praktisch geschieht dies regelmäßig durch einen Auftragsverarbeitungsvertrag. Auch ein anderer bindender Rechtsakt nach Unions- oder mitgliedstaatlichem Recht kann die gesetzlichen Voraussetzungen erfüllen. Die bloße Bezeichnung IT-Dienstleister macht dagegen nicht jede unabhängige Verarbeitung zur Auftragsverarbeitung.
Beratung und vorherige Konsultation unterscheiden
Allgemeine Beratung der Aufsicht ist keine pauschale Freigabe eines Produkts oder einer Cloudkonfiguration. Beschreiben Sie bei einer Anfrage den konkreten Zweck, die Beteiligten, die Daten und die noch offene Frage. Eine Antwort zu einem begrenzten Sachverhalt lässt sich nicht ohne Weiteres auf andere Einstellungen, Empfänger oder Nutzungszwecke übertragen.
Eine Datenschutz-Folgenabschätzung ist vor einer Verarbeitung erforderlich, wenn diese voraussichtlich ein hohes Risiko verursacht. Ergibt die Prüfung ein hohes verbleibendes Risiko, das ohne weitere Maßnahmen nicht ausreichend eingedämmt wird, ist die vorherige Konsultation nach Artikel 36 erforderlich. Sie darf nicht durch den bloßen Versand einer allgemeinen Beratungsfrage ersetzt werden.
Artikel 36 nennt für die schriftliche Beratung grundsätzlich bis zu acht Wochen und erlaubt wegen der Komplexität eine Verlängerung um sechs Wochen. Eine Aussetzung ist möglich, bis die angeforderten Informationen vorliegen. Deshalb sollte die Vorlage insbesondere die Verarbeitung, Risiken, Schutzmaßnahmen, Zuständigkeiten und gegebenenfalls die Kontaktdaten der Datenschutzbeauftragten nachvollziehbar darstellen. Ein gesetzlich vorgeschriebenes einheitliches sächsisches Acht-Wochen-Genehmigungsverfahren für jedes IT-Projekt existiert damit nicht.
Sanktionen und öffentliche Stellen richtig einordnen
Die DSGVO unterscheidet Warnungen, Verwarnungen, Anordnungen, Beschränkungen und Geldbußen. Je nach Verstoß gelten die Bußgeldrahmen von bis zu zehn Millionen Euro beziehungsweise zwei Prozent oder zwanzig Millionen Euro beziehungsweise vier Prozent des weltweiten Vorjahresumsatzes eines Unternehmens, jeweils der höhere Betrag. Das sind gesetzliche Obergrenzen, keine üblichen sächsischen Tarife und keine automatisch bei jedem Fehler fälligen Beträge.
Für Behörden und öffentliche Stellen nach § 2 Absatz 1 und 2 SächsDSDG enthält § 19 Absatz 3 eine wichtige Einschränkung: Gegen sie darf die SDTB Geldbußen verhängen, soweit sie als Unternehmen am Wettbewerb teilnehmen. Daraus folgt weder eine uneingeschränkte Bußgeldbefreiung sämtlicher kommunaler Unternehmen noch eine Befreiung öffentlicher Stellen von der Datenschutzaufsicht. Andere Abhilfebefugnisse und eine mögliche persönliche Verantwortlichkeit sind gesondert zu prüfen.
Eine sachliche Mitwirkung und wirksames Abstellen eines Verstoßes können für die Bewertung relevant sein. Garantierte Nachlässe von bestimmten Prozentsätzen oder eine zwingende informelle Vorwarnung lassen sich daraus nicht ableiten. Gegen behördliche Entscheidungen bestehen die jeweils vorgesehenen Rechtsbehelfe. Beachten Sie die konkrete Rechtsbehelfsbelehrung; eine datenschutzrechtliche Anordnung und ein Bußgeldbescheid sind nicht schlicht dasselbe Verfahren.
Transparenz, Kosten und der praktische nächste Schritt
Der Informationszugang nach dem Sächsischen Transparenzgesetz ist vom Auskunftsrecht über eigene personenbezogene Daten zu unterscheiden. Die SDTB hat auch Aufgaben zur Kontrolle dieses Transparenzgesetzes. Eine Anfrage nach staatlichen Unterlagen wird deshalb nicht automatisch dadurch zum Artikel-15-Antrag, dass sich die anfragende Person mit ihrem Namen ausweisen muss.
Auch die pauschale Aussage, jede Beratung für Unternehmen sei kostenlos, greift zu weit. § 21 SächsDSDG regelt Kosten und Ausnahmen, darunter Untersuchungen oder Beratungen einfacher Art und die Beratung nicht gewinnorientierter nicht-öffentlicher Stellen. Die grundsätzlich unentgeltliche Aufgabenerfüllung gegenüber betroffenen Personen nach Artikel 57 Absatz 3 DSGVO ist davon zu unterscheiden. Klären Sie bei einer besonderen Unternehmensanfrage gegebenenfalls den konkreten Kostenrahmen.
Für IT-Sicherheitsvorfälle können zusätzlich andere Behörden und Rechtsgrundlagen relevant sein; die NIS2-Umsetzung in Deutschland ist ein eigener Prüfungsbereich. Eine Meldung bei einer Cybersicherheitsstelle ersetzt die Datenschutzmeldung nicht automatisch. Beginnen Sie deshalb mit der verantwortlichen Stelle, dem zutreffenden Verfahren und einer nachvollziehbaren Sachverhaltsdarstellung. So erhält jede zuständige Behörde die Informationen, die sie für ihre jeweilige Aufgabe benötigt.