Schwarz/Pahlke/Keß, AO § 32i Gerichtlicher Rechtsschutz / 2.1.1 Beschluss der Aufsichtsbehörde (Art. 78 Abs. 1 DSGVO)

Rz. 7

Nach Art. 78 Abs. 1 DSGVO hat jede natürliche oder juristische Person – unbeschadet eines anderweitigen "verwaltungsrechtlichen" oder außergerichtlichen Rechtsbehelfs – das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde. Dies betrifft insbesondere die Ausübung von Untersuchungs-, Abhilfe- und Genehmigungsbefugnissen oder die Ablehnung oder Abweisung von Beschwerden.

Rz. 8

Das Vorliegen eines rechtsverbindlichen Beschlusses setzt nicht voraus, dass ein bindender Verwaltungsakt gegenüber dem Betroffenen selbst ergangen ist.^[1] Der Erlass eines entsprechenden Verwaltungsaktes wird zwar die Regel sein, es handelt sich jedoch nicht um eine zwingende Voraussetzung. Ausreichend ist, wenn sich die Entscheidung der Datenschutzaufsicht auf den Betroffenen in tatsächlicher oder rechtlicher Hinsicht auswirkt.^[2] Ein "rechtsverbindlicher" Beschluss kann somit auch dann vorliegen, wenn dieser sich im Kern an einen Dritten wendet, sich hierdurch jedoch Auswirkungen auf die Rechte des Betroffenen ergeben.^[3] Genehmigt die Aufsichtsbehörde der Finanzverwaltung z. B. eine bestimmte Art der Datenverarbeitung, dann kann der Stpfl. , dessen Rechte hierdurch tangiert werden, gegen diesen Beschluss klagen. Ebenso kann eine datenschutzrechtliche Weisung der Aufsichtsbehörde gegenüber dem Auftragsverarbeiter Auswirkungen auf den Verantwortlichen haben, sodass auch dies ein tauglicher Verfahrensgegenstand im Sinne des § 32i Abs. 1 AO sein kann.

Rz. 9

Wird die Aufsichtsbehörde nur beratend tätig^[4], dann handelt es sich insoweit noch nicht um einen rechtsverbindlichen Beschluss. In diesem Fall ist noch nicht abschließend über die Verarbeitung personenbezogener Daten durch den Verantwortlichen entschieden worden, sodass die Rechtssphäre der betroffenen Person noch nicht tangiert wurde. Warnungen des BfDI sind nicht von Art. 78 Abs. 1 DSGVO und damit auch nicht von § 32i Abs. 1 S. 1 AO erfasst, da es sich insoweit um Maßnahmen ohne Regelungswirkung handelt.^[5]

[1] Schaffland/Holthaus, in Schaffland/Wiltfang, DSGVO, Art. 78 Rz. 3.

[2] Nemitz, in Ehrmann/Selmayer, DSGVO, Art. 78 Rz. 6.

[3] Schaffland/Holthaus, in Schaffland/Wiltfang, DSGVO, Art. 78 Rz. 3.

[4] Z. B. im Rahmen einer Vorabkonsultation nach Art. 58 Abs. 3 Buchst. a i.V.m Art. 36 Abs. 1 DSGVO in Fällen, in denen die Datenschutz-Folgenabschätzung ein hohes Risiko für die Daten des Betroffenen ergibt und dieses Risiko nicht durch entsprechende Maßnahmen eingedämmt werden kann, vgl. hierzu auch Schmitz/von Dall'armi, ZD 2017, 57.

[5] Schober, in Gosch, AO/FGO, § 32i AO Rz. 12.