Nexvyra

DSGVO Art. 77–79 (VO 2016/679) – Beschwerde bei der Aufsichtsbehörde und gerichtlicher Rechtsbehelf: 3-Monats-Frist, Rechtsweg, EuGH C-414/24

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-08-29 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Nach Artikel 77 Abs. 1 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) hat jede betroffene Person das Recht, sich bei einer Aufsichtsbehörde zu beschweren, wenn sie der Ansicht ist, dass die Verarbeitung ihrer personenbezogenen Daten gegen die DSGVO verstößt. Zuständig ist wahlweise die Aufsichtsbehörde des gewöhnlichen Aufenthaltsorts, des Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die Beschwerde ist für die betroffene Person unentgeltlich (Art. 57 Abs. 3 DSGVO), an keine Frist der DSGVO gebunden und setzt keinen Anwalt voraus.

Die Aufsichtsbehörde muss den Beschwerdeführer nach Art. 77 Abs. 2 DSGVO über Stand und Ergebnis der Beschwerde unterrichten. Befasst sich die zuständige Behörde nicht mit der Beschwerde oder informiert sie nicht innerhalb von drei Monaten über Stand oder Ergebnis, eröffnet Art. 78 Abs. 2 DSGVO den gerichtlichen Rechtsbehelf gegen die Aufsichtsbehörde; in Deutschland ist dafür nach § 20 BDSG grundsätzlich der Verwaltungsrechtsweg eröffnet.

Unabhängig davon kann die betroffene Person nach Art. 79 Abs. 1 DSGVO direkt gegen den Verantwortlichen oder den Auftragsverarbeiter klagen. Der EuGH hat mit Urteil vom 18. Juni 2026, C-414/24 (Datenschutzbehörde), klargestellt, dass beide Wege parallel und unabhängig voneinander offenstehen: Eine Aufsichtsbehörde darf eine Beschwerde nicht allein deshalb zurückweisen, weil in derselben Sache bereits ein Gericht angerufen wurde und dessen Entscheidung noch nicht rechtskräftig ist. Sie darf das Beschwerdeverfahren allenfalls aussetzen.

Kernfakten

PunktWert
Rechtsgrundlage BeschwerdeVerordnung (EU) 2016/679 (DSGVO), Artikel 77
Rechtsgrundlage Klage gegen BehördeArtikel 78 DSGVO
Rechtsgrundlage Klage gegen VerantwortlichenArtikel 79 DSGVO
Beschwerdeberechtigtjede betroffene Person i. S. d. Art. 4 Nr. 1 DSGVO
Wahlrecht der Behörde (Art. 77 Abs. 1)gewöhnlicher Aufenthaltsort oder Arbeitsplatz oder Ort des mutmaßlichen Verstoßes
Kosten der Beschwerdeunentgeltlich (Art. 57 Abs. 3 DSGVO)
Ausnahme Unentgeltlichkeitbei offenkundig unbegründeten oder exzessiven Anträgen: angemessenes Entgelt oder Weigerung (Art. 57 Abs. 4 DSGVO)
Frist für die Beschwerde selbstkeine Frist in der DSGVO geregelt
Unterrichtungspflicht der BehördeStand und Ergebnis, einschließlich Hinweis auf Art. 78 (Art. 77 Abs. 2)
Untätigkeitsfrist (Art. 78 Abs. 2)3 Monate ohne Befassung oder ohne Unterrichtung über Stand/Ergebnis
Rechtsweg gegen Aufsichtsbehörde (DE)Verwaltungsrechtsweg, § 20 Abs. 1 S. 1 BDSG (nicht bei Bußgeldverfahren)
Örtliche Zuständigkeit (DE)Verwaltungsgericht am Sitz der Aufsichtsbehörde, § 20 Abs. 3 BDSG
SonderrechtswegeFinanzgericht bei Finanzbehörden (§ 32i AO); Sozialgericht im Sozialdatenschutz (§ 81a SGB X)
Gerichtsstand Klage gegen VerantwortlichenNiederlassung des Verantwortlichen oder gewöhnlicher Aufenthaltsort der betroffenen Person (Art. 79 Abs. 2 DSGVO, § 44 BDSG)
Ausnahme Wahlgerichtsstandnicht gegen Behörden in Ausübung hoheitlicher Befugnisse (Art. 79 Abs. 2 S. 2)
Verhältnis Art. 77 zu Art. 79parallel und unabhängig, kein Vorrang (EuGH C-132/21; C-414/24)
Zurückweisung wegen paralleler Klageunzulässig (EuGH C-414/24, Urteil vom 18.06.2026)
Anspruch auf Bußgeld gegen den Verantwortlichennein – Auswahlermessen der Behörde (EuGH C-768/21, Urteil vom 26.09.2024)
Vertretung durch VerbändeArt. 80 DSGVO (in Deutschland u. a. über das VDuG umgesetzt)
Schadenersatzeigenständig nach Art. 82 DSGVO

Geltungsbereich

Die Artikel 77 bis 79 DSGVO gelten unmittelbar in allen EU-/EWR-Mitgliedstaaten; als Verordnung bedarf die DSGVO keiner nationalen Umsetzung. Der deutsche Gesetzgeber hat lediglich das Verfahrensrecht ausgestaltet: § 20 BDSG (Rechtsweg und Verfahren gegen Aufsichtsbehörden), § 44 BDSG (Gerichtsstand für Klagen gegen Verantwortliche), ergänzt durch § 32i AO für Finanzbehörden und § 81a SGB X für den Sozialdatenschutz.

Beschwerdeberechtigt ist jede betroffene Person, deren personenbezogene Daten verarbeitet werden – unabhängig von Staatsangehörigkeit, Wohnsitz oder wirtschaftlichem Interesse. In Deutschland ist die Aufsichtslandschaft föderal organisiert: Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist für Bundesbehörden, Finanzbehörden sowie Telekommunikations- und Postdienste zuständig; für den allgemeinen nicht-öffentlichen Bereich (Unternehmen, Vereine, Freiberufler) sind die Aufsichtsbehörden der 16 Länder zuständig, in Bayern getrennt für den öffentlichen und den nicht-öffentlichen Bereich. Für Rundfunk, Presse sowie Kirchen und Religionsgemeinschaften bestehen eigene Aufsichtsstellen.

Die Beschwerde nach Art. 77 DSGVO

Art. 77 Abs. 1 DSGVO gewährt das Beschwerderecht ausdrücklich „unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs". Die betroffene Person muss also nicht wählen: Sie kann sich beschweren und klagen.

Die DSGVO stellt für die Beschwerde selbst keine Formvorgaben und keine Frist auf. Praktisch verlangen die Aufsichtsbehörden regelmäßig eine Darstellung des Sachverhalts, die Benennung des Verantwortlichen sowie den Nachweis, dass die betroffene Person ihre Rechte zuvor beim Verantwortlichen geltend gemacht hat (etwa ein erfolgloser Auskunfts- oder Löschantrag). Die meisten Behörden stellen Online-Beschwerdeformulare bereit.

Nach Art. 57 Abs. 1 lit. f DSGVO ist die Aufsichtsbehörde verpflichtet, sich mit der Beschwerde zu befassen, den Gegenstand in angemessenem Umfang zu untersuchen und die betroffene Person zu unterrichten. Nach Art. 57 Abs. 3 DSGVO ist die Aufgabenerfüllung für die betroffene Person unentgeltlich; nur bei offenkundig unbegründeten oder exzessiven – insbesondere häufig wiederholten – Anträgen darf die Behörde nach Art. 57 Abs. 4 DSGVO ein angemessenes Entgelt verlangen oder das Tätigwerden verweigern (Nachweislast für den exzessiven Charakter liegt bei der Behörde).

Was die Aufsichtsbehörde tun muss – und was nicht

Stellt die Aufsichtsbehörde einen Verstoß fest, stehen ihr die Abhilfebefugnisse des Art. 58 Abs. 2 DSGVO zu: Warnung, Verwarnung, Anweisung, Beschränkung oder Verbot der Verarbeitung, Anordnung der Löschung – und die Geldbuße nach Art. 83 DSGVO.

Daraus folgt für die Praxis: Wer sich beschwert, erzwingt kein bestimmtes Ergebnis. Er hat aber Anspruch auf eine ordnungsgemäße Befassung, eine ermessensfehlerfreie Entscheidung und die Unterrichtung nach Art. 77 Abs. 2 DSGVO.

Die 3-Monats-Frist und die Klage gegen die Aufsichtsbehörde (Art. 78)

Art. 78 Abs. 1 DSGVO eröffnet den gerichtlichen Rechtsbehelf gegen jeden rechtsverbindlichen Beschluss einer Aufsichtsbehörde. Art. 78 Abs. 2 DSGVO ergänzt einen Untätigkeitsrechtsbehelf: Die betroffene Person kann klagen, wenn die nach Art. 55, 56 DSGVO zuständige Aufsichtsbehörde

Die Frist von drei Monaten beginnt mit Eingang der Beschwerde. Eine Zwischennachricht über den Stand genügt dem Wortlaut nach, um die Untätigkeitsklage zu vermeiden – eine abschließende Sachentscheidung ist innerhalb der drei Monate nicht verlangt.

Nach Art. 78 Abs. 3 DSGVO sind die Gerichte des Mitgliedstaats zuständig, in dem die Aufsichtsbehörde ihren Sitz hat. In Deutschland konkretisiert § 20 BDSG:

Sonderrechtswege: Geht es um die Datenverarbeitung durch Finanzbehörden, verweist § 32i AO auf den Finanzrechtsweg; im Sozialdatenschutz eröffnet § 81a SGB X den Sozialrechtsweg. Der BFH hat mit Urteil vom 12.12.2023 – IX R 33/21 zum gerichtlichen Prüfungsmaßstab nach Art. 78 Abs. 1 DSGVO und zur Mitteilung nach Art. 77 DSGVO entschieden.

Die Klage gegen den Verantwortlichen (Art. 79)

Art. 79 Abs. 1 DSGVO gibt der betroffenen Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen den Verantwortlichen oder Auftragsverarbeiter – ausdrücklich „unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77".

Nach Art. 79 Abs. 2 DSGVO kann geklagt werden

es sei denn, der Verantwortliche ist eine Behörde in Ausübung hoheitlicher Befugnisse. § 44 BDSG übernimmt diese Zuständigkeitsregel für das deutsche Recht.

Typische Klageziele sind Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Unterlassung und Schadenersatz nach Art. 82 DSGVO.

EuGH C-414/24 – parallele Rechtsbehelfe (Urteil vom 18.06.2026)

Im Ausgangsverfahren hatte eine österreichische Ärztin gegen die Betreiberin einer Ärztebewertungsplattform die Löschung ihrer Daten verlangt. Sie erhob zunächst im November 2017 eine Zivilklage nach Art. 79 DSGVO und legte im Juli 2018 zusätzlich Beschwerde nach Art. 77 DSGVO bei der österreichischen Datenschutzbehörde ein – in derselben Sache. Die Datenschutzbehörde wies die Beschwerde zurück, weil eine parallele Verfahrensführung dem Rechtsschutzsystem der DSGVO widerspreche. Der österreichische Verwaltungsgerichtshof legte die Frage dem EuGH vor.

Der EuGH entschied:

  1. Art. 77 Abs. 1 und Art. 79 Abs. 1 DSGVO eröffnen parallele und voneinander unabhängige Rechtsbehelfe. Die DSGVO kennt weder einen Vorrang des einen vor dem anderen noch eine ausschließliche Zuständigkeit von Behörden oder Gerichten. Damit setzt der Gerichtshof seine Linie aus C-132/21 (Nemzeti Adatvédelmi és Információszabadság Hatóság, Urteil vom 12.01.2023) fort.
  2. Eine Aufsichtsbehörde darf eine Beschwerde nicht allein deshalb zurückweisen, weil in derselben Sache bereits ein Gericht angerufen wurde und dessen Entscheidung noch nicht rechtskräftig ist. Andernfalls droht die betroffene Person jeden wirksamen Schutz zu verlieren, wenn die Klage aus Verfahrensgründen ohne Sachentscheidung scheitert und nationale Beschwerdefristen inzwischen abgelaufen sind – ein Verstoß gegen den Effektivitätsgrundsatz und gegen Art. 47 GRC.
  3. Die Pflicht der Aufsichtsbehörde, sich nach Art. 57 Abs. 1 lit. f DSGVO mit der Beschwerde zu befassen und bei festgestelltem Verstoß mit geeigneten Mitteln nach Art. 58 Abs. 2 DSGVO einzuschreiten, würde unterlaufen, wenn ein anhängiges Gerichtsverfahren das Tätigwerden sperren würde.
  4. Als unionsrechtskonformen Koordinationsweg nennt der EuGH die Aussetzung des Beschwerdeverfahrens bis zum rechtskräftigen Abschluss des Gerichtsverfahrens mit anschließender gebührender Berücksichtigung der gerichtlichen Entscheidung – nicht aber die Zurückweisung.

Praktische Folge: Betroffene können Behörden- und Gerichtsweg strategisch parallel nutzen. Verantwortliche können sich nicht darauf berufen, ein laufender Zivilprozess blockiere die Beschwerde bei der Aufsichtsbehörde.

Häufige Fehler

Quellen

Änderungsverlauf

Stand