Kurze Antwort
Ignoriert oder verweigert ein Unternehmen Ihren DSGVO-Antrag – eine Kopie Ihrer Daten, eine Löschung, eine unerklärte Datenpanne –, können Sie sich nach Artikel 77 kostenlos bei einer Datenschutzbehörde beschweren, in der Regel in dem Land, in dem Sie leben oder arbeiten. Für Meta, Google oder TikTok müssen Sie sich nicht nach Irland wenden: Ihre eigene Behörde nimmt die Beschwerde an und arbeitet im One-Stop-Shop der DSGVO mit der federführenden Behörde am EU-Hauptsitz des Unternehmens zusammen. In Deutschland ist für Unternehmen meist die Datenschutzbehörde Ihres Bundeslands zuständig. Geben Sie dem Unternehmen zuerst eine Chance: Es muss binnen eines Monats antworten, bei komplexen Anträgen bis zu zwei Monate länger. Meldet sich eine Behörde nicht binnen drei Monaten zum Stand, können Sie klagen.
Vor der Beschwerde: erst das Unternehmen fragen
Datenschutzbehörden erwarten, dass Sie es zuerst beim Unternehmen versucht haben. Die irische Data Protection Commission (DPC) verlangt, dass Sie die Sache direkt mit der Organisation angesprochen haben; die britische ICO empfiehlt es in den meisten Fällen. Nach Artikel 12 muss das Unternehmen Ihren Antrag binnen eines Monats bearbeiten. Bei komplexen oder zahlreichen Anträgen darf es um zwei Monate verlängern, muss Ihnen das aber innerhalb des ersten Monats mit Gründen mitteilen.
Stellen Sie den Antrag schriftlich über den Datenschutzkontakt aus der Datenschutzerklärung und sichern Sie Belege: Datum, Kopie und gegebenenfalls Referenznummer. Wollen Sie Ihre Daten, lesen Sie so stellen Sie einen DSGVO-Auskunftsantrag; für Löschungen das Recht auf Löschung.
Welche Behörde: Ihre eigene, auch bei Meta, Google oder TikTok
Sie können sich bei der Behörde des Landes beschweren, in dem Sie leben, arbeiten oder in dem der Verstoß geschah. Bei grenzüberschreitenden Fällen macht der One-Stop-Shop der DSGVO die Behörde am EU-Hauptsitz des Unternehmens zur federführenden Behörde; Meta, Google und TikTok etwa haben ihn in Irland, also führt die DPC. Sie bleiben trotzdem bei Ihrer eigenen Behörde, in Ihrer Sprache, und diese arbeitet mit der federführenden zusammen. Der Europäische Datenschutzausschuss veröffentlicht die Mitgliederliste:
| Land | Behörde | Website |
|---|---|---|
| Deutschland | Die Datenschutzbehörde Ihres Bundeslands; die BfDI listet alle auf | bfdi.bund.de |
| Österreich | Datenschutzbehörde (DSB) | dsb.gv.at |
| Schweiz | Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), nach dem DSG | edoeb.admin.ch |
| Irland | Data Protection Commission (DPC) | dataprotection.ie |
| Frankreich | CNIL | cnil.fr |
| Belgien | Datenschutzbehörde (APD/GBA) | autoriteprotectiondonnees.be |
| Niederlande | Autoriteit Persoonsgegevens | autoriteitpersoonsgegevens.nl |
| Luxemburg | CNPD | cnpd.lu |
| Italien | Garante per la protezione dei dati personali | garanteprivacy.it |
| Spanien | AEPD | aepd.es |
| Portugal | CNPD | cnpd.pt |
| Polen | UODO | uodo.gov.pl |
| Schweden | IMY | imy.se |
| Norwegen (EWR) | Datatilsynet | datatilsynet.no |
| Vereinigtes Königreich | Information Commissioner’s Office (ICO), nach der UK GDPR | ico.org.uk · 0303 123 1113 |
So reichen Sie eine starke Beschwerde ein
- Nutzen Sie das Online-Formular der Behörde; das der DPC liegt unter forms.dataprotection.ie/contact. Anwalt und Gebühren sind nicht nötig.
- Schreiben Sie, was Sie wann verlangt haben: „Auskunftsantrag nach Art. 15, gesendet am 2. September“.
- Zeigen Sie, was zurückkam: keine Antwort, Ablehnung, unvollständige Daten, Textbaustein.
- Nennen Sie das betroffene Recht: Auskunft (Art. 15), Löschung (Art. 17), Widerspruch, Sicherheit der Verarbeitung nach einer Panne.
- Fügen Sie Belege bei, wie die DPC sie verlangt: Antrag, Antworten, Screenshots, Referenznummern.
- Sagen Sie, was Sie wollen: die Daten, die Löschung, eine Erklärung. Ausweiskopien nur, wenn die Behörde danach fragt.
Was danach passiert – und die Fristen
| Schritt | Frist |
|---|---|
| Das Unternehmen beantwortet Ihren Antrag | Ein Monat; bei komplexen Anträgen bis zu zwei Monate mehr, wenn es Ihnen das im ersten Monat mitteilt (Art. 12) |
| Die Behörde informiert Sie über die Beschwerde | Binnen drei Monaten; sonst können Sie gegen die Behörde klagen (Art. 78) |
| Selbstverpflichtung der DPC | Zwischenstand oder Ergebnis binnen drei Monaten, danach regelmäßige Updates |
| Klage gegen das Unternehmen | Jederzeit möglich, auch auf Schadenersatz (Art. 79 und 82) |
Die DPC prüft zuerst ihre Zuständigkeit und sucht dann eine gütliche Einigung, wenn diese Aussicht hat. Klappt das nicht, kann die Behörde die Beschwerde ablehnen oder einstellen, beraten, eine Durchsetzungsanordnung erlassen oder ein Verfahren eröffnen; Verfahren bleiben meist schweren oder systemischen Verstößen vorbehalten. Grenzüberschreitende Fälle dauern länger, weil die Behörden kooperieren müssen.
Typische Beschwerden nach einem gehackten oder gesperrten Konto
- Keine Antwort auf einen Auskunftsantrag zu Anmeldeverlauf, Geräten und IP-Adressen nach einer Übernahme.
- Verweigerte Löschung der Daten eines geschlossenen Kontos oder eines Kontos, das in Ihrem Namen angelegt wurde.
- Eine Datenpanne, die das Unternehmen nicht erklärt; siehe was nach einem Datenleck zu tun ist.
- Personenbezogene Daten in Suchergebnissen, die eine Website oder Suchmaschine nicht entfernt; siehe persönliche Daten entfernen.
Eine Datenschutzbehörde kann kein gesperrtes Konto wiederherstellen: Das ist eine Moderationsentscheidung, die über die Plattform und die DSA-Wege angefochten wird. Sie kann aber durchsetzen, dass ein Unternehmen Ihre Daten herausgibt oder löscht. Beide Wege verbinden wir in unserer Arbeit zu Ergebnisentfernung und Privatsphäre.
Häufige Fragen
Muss ich mich bei Meta oder TikTok an die irische Behörde wenden?
Nein. Beschweren Sie sich bei Ihrer eigenen Behörde, auf Deutsch. Im One-Stop-Shop arbeitet sie mit der irischen Data Protection Commission zusammen, die Fälle von Unternehmen mit EU-Hauptsitz in Irland federführend bearbeitet.
Kostet eine DSGVO-Beschwerde etwas?
Nein. Beschwerden bei Datenschutzbehörden sind kostenlos, und Sie brauchen keinen Anwalt.
Welche Behörde ist in Deutschland zuständig?
Für Unternehmen in der Regel die Datenschutzbehörde des Bundeslands; die Bundesbeauftragte (BfDI) ist vor allem für Bundesbehörden sowie Telekommunikations- und Postdienste zuständig und listet die Landesbehörden auf.
Kann die Behörde mein gesperrtes Konto zurückholen?
Nein. Sie setzt Datenschutz durch, nicht Inhaltsregeln. Sie kann erreichen, dass Sie Ihre Daten erhalten oder sie gelöscht werden; Kontosperren laufen über den Einspruch bei der Plattform und die DSA-Wege.
Quellen: Datenschutz-Grundverordnung — Verordnung (EU) 2016/679, Art. 12, 15, 17, 56 und 77–82, Europäischer Datenschutzausschuss — Mitglieder (nationale Behörden), Data Protection Commission (Irland) — Beschwerdeverfahren für Betroffene, ICO — Datenschutzbeschwerden (Vereinigtes Königreich)