§ 19 Zuständigkeiten
(1) Federführende Aufsichtsbehörde eines Landes im Verfahren der Zusammenarbeit und Kohärenz nach Kapitel VII der Verordnung (EU) 2016/679 ist die Aufsichtsbehörde des Landes, in dem der Verantwortliche oder der Auftragsverarbeiter seine Hauptniederlassung im Sinne des Artikels 4 Nummer 16 der Verordnung (EU) 2016/679 oder seine einzige Niederlassung in der Europäischen Union im Sinne des Artikels 56 Absatz 1 der Verordnung (EU) 2016/679 hat. Im Zuständigkeitsbereich der oder des Bundesbeauftragten gilt Artikel 56 Absatz 1 in Verbindung mit Artikel 4 Nummer 16 der Verordnung (EU) 2016/679 entsprechend. Besteht über die Federführung kein Einvernehmen, findet für die Festlegung der federführenden Aufsichtsbehörde das Verfahren des § 18 Absatz 2 entsprechende Anwendung.
(2) Die Aufsichtsbehörde, bei der eine betroffene Person Beschwerde eingereicht hat, gibt die Beschwerde an die federführende Aufsichtsbehörde nach Absatz 1, in Ermangelung einer solchen an die Aufsichtsbehörde eines Landes ab, in dem der Verantwortliche oder der Auftragsverarbeiter eine Niederlassung hat. Wird eine Beschwerde bei einer sachlich unzuständigen Aufsichtsbehörde eingereicht, gibt diese, sofern eine Abgabe nach Satz 1 nicht in Betracht kommt, die Beschwerde an die Aufsichtsbehörde am Wohnsitz des Beschwerdeführers ab. Die empfangende Aufsichtsbehörde gilt als die Aufsichtsbehörde nach Maßgabe des Kapitels VII der Verordnung (EU) 2016/679, bei der die Beschwerde eingereicht worden ist, und kommt den Verpflichtungen aus Artikel 60 Absatz 7 bis 9 und Artikel 65 Absatz 6 der Verordnung (EU) 2016/679 nach.
Kommentar
§ 19 BDSG 2018 wurde neu gefasst mit dem Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU – vom 30.06.2017, BGBl. I, vom 05.07.2017, S. 2097 und tritt am 25.05.2018 in Kraft.
§ 19 trifft ergänzend zu den Verfahrensregelungen nach § 18 Regelungen zur innerstaatlichen Zuständigkeit der Aufsichtsbehörden des Bundes und der Länder im Verfahren der Zusammenarbeit und Kohärenz nach Kapitel VII der DSGVO.
Zuständigkeiten von spezifischen Aufsichtsbehörden im Bereich der Presse, des Rundfunks und der Kirchen und religiösen Vereinigungen bleiben hiervon unberührt (Artikel 85 und 91 DSGVO).
Absatz 1 Satz 1 nimmt Bezug auf die in der DSGVO enthaltenen Definitionen gemäß Artikel 56 Absatz 1 i. V. m. Artikel 4 Nummer 16 „federführende Behörde“ und Artikel 4 Nummer 22 „betroffene Behörde“. Die Vereinheitlichung der Begrifflichkeiten dient der Zuständigkeitsabgrenzung zwischen den Aufsichtsbehörden verschiedener Mitgliedstaaten. Regelungen zur innerstaatlichen Zuständigkeitsverteilung enthält die DSGVO aber nicht, vielmehr richtet sich die DSGVO an die mitgliedstaatliche Aufsicht in ihrer Gesamtheit.
Absatz 1 bestimmt grundsätzlich von dasselbe Konzept wie Artikel 56 Absatz 1 i. V. m. Artikel 4 Nummer 16 (federführende Behörde) DSGVO, indem eine innerstaatliche Festlegung der federführenden Behörde erfolgt.
Absatz 1 Satz 1 bestimmt, dass innerhalb der sachlichen Zuständigkeit der Aufsichtsbehörden der Länder die federführende Aufsichtsbehörde diejenige Aufsichtsbehörde desjenigen Landes ist, in dem der für die Datenverarbeitung Verantwortliche seine Hauptniederlassung im Sinne des Artikel 4 Nummer 16 DSGVO oder einzige Niederlassung in der Europäischen Union im Sinne des Artikel 56 der DSGVO hat.
Absatz 1 Satz 2 enthält eine Sonderregelung für den Bundesbeauftragten. Der Bundesbeauftragte ist seinen sachlichen Zuständigkeitsbereich federführende Aufsichtsbehörde, wenn der Verantwortliche seine Hauptniederlassung oder einzige EU-Niederlassung in der Bundesrepublik Deutschland hat; Artikel 56 DSGVO ist entsprechend anzuwenden.
Absatz 1 Satz 3 verweist im Fall von widersprüchlichen Standpunkten auf den in § 18 Absatz 2 geregelten Mechanismus zur Abstimmung und Entscheidungsfindung. Sofern zwischen den Aufsichtsbehörden des Bundes und der Länder über die federführende Aufsichtsbehörde kein Einvernehmen herzustellen ist, legen der gemeinsame Vertreter und sein Stellvertreter einen Entscheidungsvorschlag vor. Besteht auch zwischen diesen kein Einvernehmen, gibt die Stimme des gemeinsamen Vertreters den Ausschlag. Der gemeinsame Vorschlag kann durch die einfache Mehrheit der Aufsichtsbehörden des Bundes und der Länder ersetzt werden.
Der Bestimmung der federführenden Aufsichtsbehörde kommt eine Doppelfunktion zu: Innerstaatlich sind an den Status der federführenden Behörde Rechte (§ 18 Absatz 2 Satz 1) und Pflichten (§ 19 Absatz 2 Satz 1) geknüpft. Zugleich legt die DSGVO der federführenden Behörde weitere Pflichten auf. Im Verfahren der Zusammenarbeit nach Artikel 60 DSGVO hat die federführende Behörde Koordinierungs- und Informationspflichten. Nach Artikel 60 Absatz 6 DSGVO im Verfahren der Zusammenarbeit und nach Artikel 65 Absatz 2 Satz 3 DSGVO im Verfahren der Kohärenz gefasste Beschlüsse sind für die federführende Behörde und alle betroffenen Aufsichtsbehörden verbindlich und müssen nach Maßgabe von Artikel 60 Absatz 7 bis 9 DSGVO, gegebenenfalls in Verbindung mit Artikel 65 Absatz 6 DSGVO, vollzogen werden.
Artikel 51 Absatz 3 DSGVO verpflichtet die Mitgliedstaaten mit mehreren Aufsichtsbehörden dazu, sicherzustellen, dass alle innerstaatlichen Aufsichtsbehörden die Regeln für das Kohärenzverfahren einhalten müssen.
Absatz 1 trifft insoweit eine Festlegung dazu, welche nationale Aufsichtsbehörde den aus der DSGVO folgenden Verpflichtungen der federführenden Behörde nachzukommen hat.
Bei Vorliegen der Voraussetzungen von Artikel 4 Nummer 22 DSGVO vorliegen, sind die Aufsichtsbehörden des Bundes und der Länder in ihrer Gesamtheit betroffen und an die Einhaltung der aus dem Verfahren der Zusammenarbeit und Kohärenz gemäß Kapitel VII der DSGVO erwachsenden Pflichten gebunden. Beschlüsse mit Bindungswirkung nach der DSGVO sind für alle Aufsichtsbehörden des Bundes und der Länder im Rahmen ihrer Zuständigkeit verbindlich.
Absatz 2 Satz 1 beinhaltet die innerstaatliche Bestimmung, welche Aufsichtsbehörde gegenüber dem Beschwerdeführer, der bei einer deutschen Aufsichtsbehörde Beschwerde eingelegt hat, den Beschluss gemäß Artikel 60 Absatz 7 bis 9, bzw. i. V. m. Artikel 65 Absatz 6 DSGVO zu erlassen hat. Mit unmittelbarer Geltung bestimmt die DSGVO, dass ein Beschwerdeführer, der bei einer deutschen Aufsichtsbehörde eine Beschwerde einlegt, von einer deutschen Aufsichtsbehörde beschieden werden muss. Die DSGVO ermöglicht jedoch die Berücksichtigung innerstaatlicher Zuständigkeiten und somit Abgaben von Beschwerden an die jeweils sachnächste Aufsichtsbehörde.
Absatz 2 Satz 1 bestimmt, dass eingehende Beschwerden an die federführende Aufsichtsbehörde oder an die Aufsichtsbehörde abzugeben sind, bei der der Verantwortliche bzw. der Auftragsverarbeiter eine Niederlassung unterhält. Für den Fall, dass keine inländische Niederlassung in der Bundesrepublik existiert, bestimmt Absatz 1 Satz 2, dass eine sachlich unzuständige Aufsichtsbehörde die Beschwerde an die sachlich zuständige Aufsichtsbehörde am Wohnsitz des Beschwerdeführers abgibt. Wird eine Beschwerde bei einer sachlich zuständigen Aufsichtsbehörde eingereicht, so ist diese unabhängig davon, ob der Beschwerdeführer in einem anderen Bundesland einen Wohnsitz hat, für die Bearbeitung der Beschwerde zuständig, sofern eine Abgabe nach Absatz 2 Satz 1 nach Maßgabe der Hauptniederlassung oder Niederlassung in einem anderen Bundesland nicht in Betracht kommt.
Absatz 2 Satz 3 bestimmt, dass die nach Satz 1 und 2 die Beschwerde übernehmenden Aufsichtsbehörde als zuständige Aufsichtsbehörde gilt, die gegenüber dem Beschwerdeführer nach Maßgabe der DSGVO für zu erlassende Beschlüsse zuständig ist (vgl. Kap. VII, Art. 60 Absatz 7 bis 9, Art. 65 Absatz 6 DSGVO).