Datenschutzaufsicht : Wir brauchen Wege aus der Überlastung

Von einem „Belastungstest“ für die Behörden spricht die Bayerische Datenschutzaufsicht. Und wenn die aktuelle Richtung der Zahlen anhält, dürfte bald von einem „Überlastungstest“ die Rede sein. Ebenso wie in Bayern stiegen 2025 auch im Bundesland Hamburg die Fallzahlen im Vorjahresvergleich um 60 Prozent, in Baden-Württemberg gar um 80 Prozent. Selbst auf Bundesebene, deren Datenschutzaufsicht für den allergrößten Teil des nicht-öffentlichen Bereichs bislang nicht zuständig ist, stiegen die Beschwerden in nur einem Jahr um ein Drittel an.

Die Ursachensuche ist nicht einfach, eine Statistik zur Motivation gibt es nicht, und rechtfertigen müssen sich Menschen auch nicht, wenn sie sich mit ihrem Anliegen an die Aufsicht wenden. Nach der Datenschutzgrundverordnung (DSGVO) genügt ihre Perspektive: „Jede betroffene Person hat […] das Recht auf Beschwerde bei einer Aufsichtsbehörde, […] wenn die betroffene Person überzeugt ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.“

Mehr Datenschutzsorgen, mehr Beschwerden?

Freude über sehr hohe Beschwerdezahlen könnte allein dann aufkommen, wenn sämtliche Fälle einen datenschutzbezogenen Grund hätten. Denn dies würde für eine erhöhte Sensibilisierung der Bevölkerung beim Schutz der eigenen Daten sprechen: Wer sich kümmert, der will auch, dass die Behörden sich kümmern, und der darf dies auch einfordern. Doch wer mit denen spricht, bei denen die Beschwerden aufschlagen, der hört immer öfter das, was auch der Leiter der bayerischen Aufsicht in seinem Tätigkeitsbericht schreibt: „In einer zunehmenden Zahl an Fällen steht nicht mehr der „Schutz der Personen bei der Verarbeitung personenbezogener Daten“ im Mittelpunkt, sondern klar erkennbar anderweitige Anliegen“. Manche scheinen im Datenschutz auch ein ganz praktisches System zu erblicken. Wenn man die Datenschutzbehörde einschalte, „dann bekomme ich plötzlich die Information, die ich auf Kundenservice-Wege nicht bekommen habe“, sagte im März ein Landesbeauftragter zu diesem Vorgehen. Diese Vermutung passt dann auch zu dem, was wir parallel beim Auskunftsrecht erleben. Auch dort werden mitunter keine datenschutzbezogenen Ziele verfolgt, sondern andere, teilweise wirtschaftliche Ziele in eigener Sache.

Erschweren darf die Aufsicht es an sie Herantretenden aktuell in keiner Weise – ganz im Gegenteil: „Jede Aufsichtsbehörde sollte Maßnahmen zur Erleichterung der Einreichung von Beschwerden treffen“, verlangt die Gesetzesbegründung zur DSGVO. Diese Vorgabe ist jedoch aus einem Gesetzgebungsverfahren hervorgegangen, das vor einem Jahrzehnt abgeschlossen wurde. Damals konnte nicht geahnt werden, welche Lawinen von Eingaben auf die Behörden zustürzen würden. Auf die Schaffung einer ausreichenden Ausstattung der Datenschutzbehörden durfte damals in Brüssel zwar optimistisch gehofft werden. Realistisch erwartet werden konnte sie vielleicht bereits damals nicht.

Daran hat sich nichts geändert – ganz im Gegenteil: Wenn eine Regierungskoalition in einem Bundesland jüngst in ihrem Koalitionsvertrag vorrechnete, wie viele Stellen sie bei der kommenden Bündelung der deutschen Datenschutzaufsicht einsparen kann und will, dann zeigt das: Von ihren Landeshaushalten dürfen die Landesaufsichten nicht viel erwarten.

Unabhängigkeit benötigt Spielraum

Wenn kein Personalsegen zu erhoffen ist, dann muss es eine Möglichkeit zur Konzentration der Aufsicht auf das Wesentliche geben können. Es sollten die auf Dauer knapp bleibenden Ressourcen der Aufsicht zur Bekämpfung bedeutsamer Risiken für die Rechte und Freiheiten der Bürgerinnen und Bürger eingesetzt werden. Eine unabhängige Aufsicht muss entscheiden können, wo und wie sie im Sinne des Allgemeinwohls priorisiert. Die Datenschutzdurchsetzung darf sich nicht im Kleinteiligen verlieren. Zwar würde man am liebsten auch jeglichem kleinen Missstand nachgehen und jedwede Erwartung einzelner erfüllen. Doch hätte es ein Datenschutz schwer, der in der Breite alles bedienen wollen würde. Bereits die Erwartungshaltung, die der erschöpfende Katalog des Art. 57 DSGVO weckte, war nicht hilfreich für die öffentliche Bewertung der heutigen Bilanz der Datenschutzumsetzung.

Es müssen also andere Wege beschritten werden. Einen hat die Konferenz der Aufsichtsbehörden im März aufgezeigt, als sie richtigerweise vom EU-Gesetzgeber mehr Spielraum hinsichtlich des Ob und des Wie einer Bearbeitung forderte. Bereits nach geltendem Recht kann sich die Datenschutzaufsichtsbehörde „bei offenkundig unbegründeten oder exzessiven Anfragen weigern, aufgrund der Anfrage tätig zu werden.“ Es muss darüber hinaus offiziell möglich werden, Beschwerden nicht zu bearbeiten, die keine grundsätzliche Bedeutung haben. Die Bundesregierung sollte sich in den laufenden Verhandlungen zum Digital-Omnibus intensiv für einen Vorstoß in dieser Richtung einsetzen.

Mut zur Nutzung von KI

Ein kluger Einsatz der gegebenen Ressourcen beim Datenschutz in den Ländern und im Bund verlangt einerseits mehr Arbeitsteilung. Andererseits brauchen wir Mut für die Nutzung derjenigen Technologie, die ersichtlich auch beim Erstellen etlicher Beschwerden heutzutage eingesetzt wird: An der Einbindung von Hilfsmitteln mit künstlicher Intelligenz in die Arbeit der Aufsichtsbehörden wird kein Weg vorbeiführen. Diese Einbindung muss ohne Frage verantwortungsvoll sein; ein verselbständigter Einsatz ohne menschliche Aufsicht oder ein Eingehen datenschutzrechtlicher Risiken verbietet sich.

Frederick Richter ist Gründungsvorstand der Stiftung Datenschutz.