Ab dem 19.06.2026 werden für UK Unternehmen primäre Anlaufstelle für Datenschutzbeschwerden
Ab dem 19. Juni 2026 gilt für Unternehmen unter britischem Datenschutzrecht eine wichtige Neuerung: Sie müssen ein formelles und nachvollziehbares Beschwerdemanagementsystem einrichten, speziell für Anliegen, die die Nutzung personenbezogener Daten betreffen. Dieses System ist parallel zu den bereits etablierten Prozessen für Betroffenenrechte zu führen, etwa für Auskunfts- oder Löschanfragen.
Grundlage der Änderung ist der Data (Use and Access) Act 2025 (DUAA). Diese Vorschrift ergänz den britischen Data Protection Act 2018. Konkret geht es Section 164A des Data Protection Act 2018:
164AComplaints by data subjects to controllers
(1)A data subject may make a complaint to the controller if the data subject considers that, in connection with personal data relating to the data subject, there is an infringement of the UK GDPR or Part 3 of this Act.
(2)A controller must facilitate the making of complaints under this section by taking steps such as providing a complaint form which can be completed electronically and by other means.
(3)If a controller receives a complaint under this section, the controller must acknowledge receipt of the complaint within the period of 30 days beginning when the complaint is received.
(4)If a controller receives a complaint under this section, the controller must without undue delay—
(a)take appropriate steps to respond to the complaint, and
(b)inform the complainant of the outcome of the complaint.
(5)The reference in subsection (4)(a) to taking appropriate steps to respond to the complaint includes—
(a)making enquiries into the subject matter of the complaint, to the extent appropriate, and
(b)informing the complainant about progress on the complaint.
Damit werden Unternehmen zur ersten Anlaufstelle für datenschutzrechtliche Beschwerden in Großbritannien. Betroffene Personen können sich auch direkt die britische Aufsichtsbehörde, das Information Commissioner’s Office (ICO) wenden.
Wichtig: Die europäische Datenschutz-Grundverordnung (DSGVO) ist von dieser Änderung nicht betroffen
Für betroffene Unternehmen bedeutet dies:
Beschwerden müssen innerhalb festgelegter Fristen und Verfahren direkt von Unternehmen bearbeitet werden können
Das Beschwerderecht muss in Datenschutzinformationen und bei der Beantwortung von Betroffenenanfragen erwähnt werden
Die Bearbeitung von Beschwerden wird sichtbar, überprüfbar und somit für die Aufsichtsbehörde relevant
Unzureichende oder inkonsistente Bearbeitung erhöht die Wahrscheinlichkeit von aufsichtsbehördlichem, Handeln
Diese Anforderungen bauen auf bestehenden Rechenschafts- und Transparenzpflichten der UK GDPR auf. Dabei findet eine Erweiterung der operative Beschwerdebearbeitung statt.
Welche Unternehmen sind betroffen?
Die neue Pflicht Beschwerden entgegen zu nehmen, richtet sich an jedes Unternehmen, das als Verantwortlicher im Sinne der UK GDPR (https://www.gov.uk/data-protection) personenbezogene Daten verarbeitet und damit unter die Beschwerdepflichten des Data Protection Act 2018 fällt.
Konkret betroffen sind:
Verantwortliche – unabhängig von ihrem Standort –, die über Zweck und Mittel der Verarbeitung britischer personenbezogener Daten entscheiden
Nicht-britische Unternehmen, die Waren oder Dienstleistungen für Personen im Vereinigten Königreich anbieten oder deren Verhalten beobachten
Unternehmen in gemeinsamen Verantwortlichkeiten und Konzernstrukturen, in denen Entscheidungen zur Datenverarbeitung gemeinsam getroffen werden
Hinweis für Auftragsverarbeiter: Auftragsverarbeiter sind von der Pflicht nicht direkt betroffen. Allerdings können hier Unterstützungspflichten bei der Bearbeitung von Beschwerden bestehen.
Was ist neu?
Betroffene Unternehmen müssen ab dem Stichtag Mindeststandards für die Bearbeitung datenschutzrechtlicher Beschwerden erfüllen.
Kernpflichten
Sanktionen bei Nichteinhaltung
Bei Verstößen gegen das Beschwerdeverfahren drohen Geldbußen von bis zu £8,7 Millionen oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist). Bei schwerwiegenden Datenschutzverstößen, die im Rahmen der Untersuchung festgestellt werden, können Bußgelder sogar höher ausfallen.
Weitere Informationen
Das ICO bietet folgende offizielle Guidance (Stand Mai 2026):
Dienstagmittag und wir sitzen im Zug Richtung Brüssel, wie so oft in der Vergangenheit zu Beginn eines jeden Jahres. Der Data Protection Day steht an – am 28. Januar 2026 ist ein Tag, der an die Unterzeichnung des Übereinkommens Nr. 108 (Convention 108) erinnert. Für uns ein guter Grund, mal wieder nach Brüssel zu fahren. Die Konferenz, die gemeinsam vom Europarat (CoE) und dem Europäischen Datenschutzbeauftragten (EDPS) organisiert wurde, versprach spannende Diskussionen. Die Veranstaltung bringt regelmäßig Regulierungsbehörden, Wissenschaftler und Praktiker aus aller Welt zusammen, um über die Zukunft des Datenschutzes in Europa und dessen globaler Rolle zu debattieren. Spoiler vorweg: Es war definitiv erneut die Reise wert!
„When is data personal?“ – Das erste Panel legt direkt los
Im ersten Panel ging es schon direkt zur Sache. Es ging um eine Frage, die wir eigentlich für geklärt hielten: Was sind eigentlich personenbezogene Daten? Hier kam der EuGH mit seiner Entscheidung im Fall EDPS vs. SRB (C-413/23 P) vom September 2025 ins Spiel. Das Urteil hat einiges durcheinandergebracht oder besser gesagt – klargestellt. Der Gerichtshof hat drei zentrale Punkte geklärt: Persönliche Meinungen sind grundsätzlich personenbezogene Daten, pseudonymisierte Daten sind nicht in jedem Fall und für jeden personenbezogene Daten und die Transparenzpflichten der Verantwortlichen bleiben auch bei pseudonymisierten Daten bestehen.
Das wirft in der Praxis natürlich eine ganze Reihe neuer Fragen auf, die wir uns bisher vielleicht nicht gestellt haben. Die Debatte wird hitzig:
Über welche Daten verfügt der Empfänger eigentlich schon?
Welche technischen Möglichkeiten hat er?
Was kann er zusätzlich über Internetsuchen herausfinden?
Verschlüsselte Daten – AVV noch notwendig?
Diskutiert wurde insbesondere, was im Falle von verschlüsselten Daten gelten soll. Braucht man dann noch einen Auftragsverarbeitungsvertrag? Ist der Cloud-Provider in so einem Fall wirklich ein Auftragsverarbeiter? Und was passiert eigentlich im Fall einer Datenpanne, wenn die Daten, zumindest für den Empfänger, nicht personenbezogen sind?
Die Konsequenz: Dokumentation wird noch wichtiger. Verantwortliche müssen nachweisen können, dass es sich bei den übermittelten Daten nicht um personenbezogene Daten handelt. Es kommt maßgeblich darauf an, wie der Verantwortliche die Eingruppierung vornimmt.
Transparenz
Ein weiteres Problem was angesprochen wurde, betraf das Thema Transparenz, die bei der Datenübermittlung komplexer wird. Die Auskunftspflicht nach Art. 15 DSGVO wird detaillierter und Empfänger müssen künftig konkret genannt werden. Denn was für den ersten Empfänger nicht personenbezogen ist, kann beim nächsten Empfänger, der über weitere Informationen oder technische Möglichkeiten verfügt, plötzlich wieder personenbezogen sein.
Spannend war auch die beginnende Diskussion über die Vorschläge zum Digital Omnibus der EU-Kommission. Sind diese überhaupt notwendig? Der Vertreter des EDPS meinte, dass man nicht definieren sollte, was personenbezogene Daten nicht sind, sondern was sie sind. Der Datenschutzbeauftragte der Europäischen Zentralbank sah das etwas anders. Seiner Ansicht nach sei eine Klarstellung notwendig. Dies würde grundsätzlich eine Vereinfachung bringen. Privacy by Design werde noch wichtiger. Prof. Anna Berlee wiederum meinte, eine neue Definition würde alles einfacher machen, der Omnibus sei aber nicht unbedingt das richtige Instrument dafür.
Convention 108 und 108+ – Ein globaler Rahmen für Datenschutz
Im Panel zur Convention 108 und 108+ wurde deutlich, dass die internationale Zusammenarbeit im Datenschutz wichtiger denn je ist. Dies wurde durch einen spannenden Einblick des Behördenvertreters aus Senegal an konkreten Beispielen auch nochmal ganz deutlich. Die Convention 108 ist nach wie vor das einzige rechtlich bindende Instrument, das ein einheitliches Schutzniveau auf internationaler Ebene schaffen kann.
Interessante Randnotiz von Beatriz de Anchorena, Chair of the Committee of Convention 108 and Head of the Agency for Access to Public Information (AAIP), Argentinian Data Protection Authority am Rande: Es gibt einen neuen Angemessenheitsbeschluss zwischen der EU und Brasilien.
Art. 14 der Convention 108+ bringt übrigens neue Regelungen zu automatisierten Entscheidungen sowie Anforderungen zur Datenqualität und -relevanz. Das Prinzip des freien Datenverkehrs spielt dabei eine zentrale Rolle.
Digital Omnibus: Vereinfachung oder Deregulierung?
Die Diskussion zum Digital Omnibus geht weiter und war lebhaft. Geht es hier wirklich um Vereinfachung oder versteckt sich dahinter eine schleichende Deregulierung?
Das Helsinki-Statement der EDPB zeigt, dass die Datenschutzbehörden an verschiedenen Tools arbeiten, wie zu Datenschutz-Folgenabschätzungen, zur Datenpannenmeldung und mehr. Im Februar soll es mehr Klarheit geben. Der Brussels Privacy Hub wird hier sicherlich auch eine wichtige Rolle spielen.
Unsere wichtigsten Take Aways
Die Diskussionen waren auf hohem Niveau, praxisnah und haben uns viele Denkanstöße mitgegeben. Zudem waren sie auch an vielen Stellen sehr unterhaltsam und mitunter sehr kurzweilig. Besonders die Frage, wie wir mit pseudonymisierten Daten umgehen sollen und welche Dokumentationspflichten sich daraus ergeben, wird uns in den nächsten Monaten sicher noch beschäftigen.
Innovation und Spezifikation wurden vorangetrieben und auch die technischen Aspekte kamen nicht zu kurz. Wir haben erneut einen Einblick in die aktuellen Diskussionen der Datenschutz-Community erhalten. Insgesamt hat sich gezeigt, dass sich Austausch lohnt und durch nichts zu ersetzen ist.
Wir sind jetzt schon gespannt, welche Themen uns beim nächsten Mal erwarten werden!
AUTOREN
Matthias Rosa ist Rechtsanwalt und Fachanwalt für IT-Recht und schwerpunktmäßig im Datenschutz-, KI- und Datenrecht tätig.
Sarah Tavcer ist Rechtsanwältin und seit einigen Jahren als externe Datenschutzbeauftragte und Datenschutzberaterin tätig. Außerdem ist die zertifizierte KI-Compliance-Beauftragte.
Der Fall: Eine Chronologie des behördlichen Versagens
Die Fakten des vom Europäischen Gerichtshof für Menschenrechte (EGMR) entschiedenen Falls (3. April 2025, Beschwerde Nr. 56114/181) lesen sich wie ein Lehrstück darüber, wie fatale Folgen entstehen können, wenn Datenschutz und Schweigepflichten über das Leben gestellt werden.
Sachverhalt
Ein Mann, der 1995 wegen Vergewaltigung und Tötung seiner damaligen Partnerin verurteilt worden war, beginnt nach seiner Freilassung 2006 eine Beziehung mit der Beschwerdeführerin. Diese weiß nichts von seiner strafrechtlichen Vergangenheit.
Aufgrund seines gewalttätigen Verhaltens wendet sich die Beschwerdeführerin verzweifelt an seinen Hausarzt, der die Initiative ergreift und die Polizei informiert.
Die Polizei unternimmt keine offiziellen Schritte, um die Frau über die konkrete, aktenkundige Gefahr zu informieren. Lediglich ein einzelner Polizist gibt den vagen Hinweis, dass sie sich lieber von ihm trennen solle, ohne die zuvor begangenen Straftaten auch nur zu erwähnen.
2007 wird die Beschwerdeführerin Opfer von Entführung, elfstündiger Freiheitsberaubung, Vergewaltigung und schwerster körperlicher Misshandlung durch ihn, nachdem sie die Beziehung beenden wollte.
Die rechtliche Bewertung: EMRK schlägt Datenschutz
Der EGMR stellte in seinem Urteil vom 3. April 2025 klar fest: Die Schweiz hat gegen Artikel 2 EMRK (Recht auf Leben) verstoßen.
Die positive Schutzpflicht des Staates
Der Gerichtshof betonte, dass Staaten nicht nur verpflichtet sind, selbst keine Tötungen vorzunehmen, sondern aktiv das Leben ihrer Bürger zu schützen. Dies gilt insbesondere, wenn:
den Behörden eine konkrete, unmittelbare Gefahr bekannt ist oder hätte bekannt sein müssen,
es sich um vulnerable Personen handelt (hier: Opfer häuslicher Gewalt),
zumutbare Schutzmaßnahmen möglich gewesen wären.
Vulnerable Opfer häuslicher Gewalt
Der EGMR bekräftigte seine ständige Rechtsprechung, dass Opfer von Gewalt gegen Frauen und häuslicher Gewalt besonderen staatlichen Schutz genießen. Dieser umfasst:
Wirksame Prävention durch Information und Aufklärung
Schutz vor schweren Verletzungen der persönlichen Integrität
Proaktives Handeln der Behörden bei bekannten Gefährdungen
Das vernichtende Urteil
Die Behörden hatten in diesem Fall alle notwendigen Informationen vorliegen:
Verurteilung wegen Tötung einer Partnerin
Weiteres Verfahren wegen Bedrohung/Nötigung einer anderen Ex-Partnerin
Aktuelle Hinweise des Hausarztes auf gewalttätiges Verhalten
Erkennbares Muster von Partnergewalt
Die ethische Dimension: Wenn Datenschutz den Schutz des Lebens überwiegt…
Dieser Fall wirft fundamentale ethische Fragen auf:
1. Das Persönlichkeitsrecht eines verurteilten Gewalttäters vs. das Leben einer potentiellen Gewaltopfers
Datenschutz dient dem Schutz der Persönlichkeit und der Privatsphäre. Strafrechtliche Verurteilungen, insbesondere nach verbüßter Strafe, sind besonders schützenswerte Daten. Der Resozialisierungsgedanke und das Interesse daran sind wichtige Rechtsgüter.
Aber kann das Persönlichkeitsrecht eines bereits mehrfach auffällig gewordenen Gewalttäters schwerer wiegen als das Leben einer konkreten Person und ihre körperliche Unversehrheit sowie Recht auf sexuelle Selbstbestimmung?
2. Die Ausartung des Schutzzwecks
Datenschutz soll Menschen vor Überwachung, Diskriminierung, missbräuchlicher Datenverwendung schützen.
In diesem Fall wurde Datenschutz jedoch zum Hindernis für den Schutz des Opfers. Die Kantonsplizei Luzern argumentierte faktisch damit, dass sie aufgrund des Datenschutzes die Geschädigte nicht informieren durfte.
Ist das schon eine Instrumentalisierung datenschutzrechtlicher Grundsätze, die ihren eigentlichen Zweck ins Gegenteil verkehrt?
3. Information als Existenzbedingung der Selbstbestimmung
Wie kann eine Person informiert über ihr eigenes Risiko entscheiden, wenn ihr entscheidende Informationen vorenthalten werden?
Die Beschwerdeführerin hatte kein faire Chance, sich zu schützen, da sie die Gefahr nicht einschätzen konnte.
Kann das in Deutschland passieren? Die DSGVO-Perspektive
Dazu schauen wir uns einmal die Rechtslage in der DSGVO, den Polizeigesetzen und zur ärztlichen Schweigepflicht an.
1. Grundsatz
Art. 10 DSGVO regelt die Verarbeitung von Daten über strafrechtliche Verurteilungen. Diese darf grundsätzlich nur unter behördlicher Aufsicht erfolgen. Das Bundeszentralregister (§§ 30 ff. BZRG) erfasst Verurteilungen, gibt sie aber nur unter engen Voraussetzungen weiter.
Führungszeugnisse werden nur auf Antrag der betroffenen Person oder bei gesetzlich geregelten Pflichten (z. B. Arbeit mit Kindern) ausgestellt.
2. Mögliche Rechtsgrundlage für die Datenübermittlung
Eine Weitergabe strafrechtlicher Daten an Dritte, wie hier die gefährdete Partnerin, käme möglicherweise nach folgenden Gesetzesvorgaben in Betracht:
„Die Verarbeitung ist rechtmäßig, wenn sie erforderlich ist, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen.“
Art. 6 Abs. 1 lit. d DSGVO
„Die Verarbeitung personenbezogener Daten sollte ebenfalls als rechtmäßig angesehen werden, wenn sie erforderlich ist, um ein Interesse, das für das Leben der betroffenen Person […] wesentlich ist, zu schützen.“
Erwägungsgrund 46 DSGVO
3. Polizeiliche Befugnisse
Die Polizeigesetze der Länder (z. B. § 8 PolG NRW, Art. 11 BayPAG) ermächtigen zur Gefahrenabwehr, einschließlich der Information gefährdeter Personen, Platzverweise oder Kontaktverbot sowie die Ingewahrsamnahme bei unmittelbarer Gefahr.
Die Polizeidienstvorschriften (PDV) und Leitlinien zur Bekämpfung häuslicher Gewalt betonen ebenfalls die proaktive Gefahrenabwehr.
4. Ärztliche Schweigepflicht – § 203 StGB
Der Hausarzt in diesem Fall hat die Polizei informiert. Das wirft die Frage der Schweigepflicht auf.
§ 203 Abs. 1 Nr. 1 StGB sanktioniert die Verletzung der ärztlichen Schweigepflicht. Aber bei drohender erheblicher Gefahr für Leib oder Leben darf die Schweigepflicht durchbrochen werden. Dies geht aus § 34 StGB zu den Notstandsregelungen hervor. Außerdem gibt es sogar Offenbarungspflichten bei Kenntnis bestimmter Straftaten2.
Man kann grundsätzlich davon ausgehen, dass bei konkreter Gefahr für Leib und Leben Dritter eine Offenbarung zulässig ist.
Deutsche Rechtsprechung zum Opferschutz
Deutsche Gerichte haben wiederholt betont, dass das Recht auf Leben staatliche Schutzpflichten begründet, die auch präventive Maßnahmen umfassen3. Behörden müssen bei erkennbaren Gefährdungslagen aktiv werden und dürfen sich nicht auf formale Hürden zurückziehen. Die Polizei darf und muss potentielle Opfer über konkrete Gefahren informieren, wenn anders kein wirksamer Schutz möglich ist.
Wäre in Deutschland anders gehandelt worden?
Die ernüchternde Antwort: Nicht sicher. Obwohl die Rechtslage in Deutschland ausreichende Handhabe bietet, gibt es erhebliche Defizite in der Praxis:
Behördenmitarbeiter fürchten oft Datenschutzverstöße und dienstrechtliche Konsequenzen, Regressansprüche bei Fehleinschätzungen oder eine mediale Skandalisierung.
Im Zweifel wird in der Folge geschwiegen, selbst wenn Leben oder körperliche Unversehrheit auf dem Spiel steht.
Muss sich was ändern?
Es braucht explizite gesetzliche Vorgaben, dass und unter welchen Voraussetzungen Behörden potentielle Opfer warnen müssen, um den Beschäftigten Sicherheit zu geben und Informationspflichten bei Vorliegen bestimmter Kriterien (z. B. Verurteilung wegen schwerer Gewalt gegen frühere Partner:innen). Eine standardisierte Risikoeinschätzung mit konkreten Schwellenwerten und Dokumentationspflichten für Gefährdungseinschätzungen wären mit Sicherheit ebenfalls sinnvoll.
Die Verhältnismäßigkeitsprüfung muss konsequent zu Ende gedacht werden. Was ist weniger einschneidend?
Die Information einer gefährdeten Person über die strafrechtliche Vergangenheit ihres Partners (begrenzte Offenbarung spezifischer Daten an konkrete Person)
Vergewaltigung, schwere Körperverletzung oder Tod (irreversible Verletzung fundamentaler Rechte)
Die Antwort ist offensichtlich.
Datenschutz als Schutz von Menschen – nicht von Daten
Datenschutz ist kein Selbstzweck. Art. 1 Abs. 2 DSGVO formuliert:
„Diese Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten.“
Art. 1 Abs. 2 DSGVO
Das Recht auf Datenschutz ist ein Mittel, um andere Grundrechte zu schützen. Dazu gehören Würde, Freiheit und Sicherheit. Wenn Datenschutz zum Hindernis für den Schutz von Leben wird, läuft etwas fundamental falsch.
Fazit
Der Fall N.D. gegen die Schweiz ist ein Weckruf. Er zeigt, dass ein formalistisches Verständnis von Datenschutz Leben kosten kann. Die Rechtslage ist ausreichend, das Problem liegt in der Praxis durch Übervorsicht und Risikoaversion. Diese Punkte führen dazu, dass rechtlich mögliche und gebotene Schutzmaßnahmen unterbleiben. Verhältnismäßigkeit muss ernst genommen werden. Das Persönlichkeitsrecht eines mehrfach gewalttätigen Straftäters kann niemals schwerer wiegen als das Leben einer konkreten gefährdeten Person.
Die eigentliche Frage ist nicht: „Dürfen wir warnen?“
Die Frage muss lauten: „Können wir es verantworten, zu schweigen?“
Nach dem Urteil des EGMR ist die Antwort klar: Nein.
AUTORIN
Sarah Tavcer ist Rechtsanwältin und seit einigen Jahren als externe Datenschutzbeauftragte und Datenschutzberaterin tätig.
