Datenschutz-Aufsichtsbehörden (DE): AI Act, Data Act & DSGVO-Pflichten

Datenschutz-Aufsichtsbehörden (DE) setzen die DSGVO (Art. 51–58) durch: Prüfungen, Untersuchungen, Anordnungen (Art. 58 — Abhilfe, Beschränkung, Verbot), Bußgelder (Art. 83 — bis 20 Mio. EUR oder 4 % Umsatz). Plus BDSG (Bundesdatenschutzgesetz) und Landesdatenschutzgesetze. Bedeutung für AI Act: DSGVO bleibt voll anwendbar — personenbezogene Daten, besondere Datenkategorien (Art. 9 — biometrische, gesundheitsbezogene Daten), automatisierte Entscheidungen (Art. 22 — Recht auf menschliche Prüfung), DSFA (Art. 35 — bei hochriskanter Verarbeitung), Profiling (Art. 4 Nr. 4, 22), Informations-/Auskunfts-/Lösch-Pflichten. Datenschutz-Aufsichten kooperieren mit Marktüberwachung bei AI-Act-/DSGVO-Überschneidung (z. B. HR-KI, Emotionserkennung, biometrische Identifikation). Beide Regime sind kumulativ, nicht alternativ.

Praktisch: (1) Datenschutzkonferenz (DSK) — Gremium der deutschen Aufsichtsbehörden (BfDI + 16 Landesdatenschutzbeauftragte + Kirchen-Aufsichten),_orientierungspapiere (z. B. zur KI, zu Scoring, Beschäftigtendatenschutz), einheitliche Auslegung; (2) Bundesbeauftragter für den Datenschutz (BfDI) — Bundesaufsicht (Behörden, Unternehmen des Bundes), berät Bundestag/Regierung; (3) Landesdatenschutzbeauftragte (16 Länder) — Landesaufsicht (Behörden, Unternehmen mit Landesbezug); One-Stop-Shop bei DSGVO-Verfahren mit grenzüberschreitendem Bezug (Art. 56); (4) EDPB (European Data Protection Board) — EU-Koordination, einheitliche Auslegung; (5) Durchsetzung — Prüfungen, Verfahren (z. B. gegen Clearview AI, ChatGPT, Facebook Gesichtserkennung), Bußgelder; (6) AI-Act-/Marktüberwachung-Kooperation — Datenschutz-Aufsichten melden AI-Act-Verdachtsfälle an Marktüberwachung, kooperative Verfahren. Überlagert: BDSG, Landesdatenschutzgesetze, allgemeines Verwaltungsverfahrensrecht, Verfassungsrecht (informationelle Selbstbestimmung Art. 2 i.V.m. 1 GG, BVerfG). Aufsichtlich: Parlaments-/Rechnungshof-Kontrolle, EU-Kommission. Datenschutzaufsicht ist streng, Bußgelder hoch, Praxis entwickelt sich (viele AI-Act-relevante Verfahren).

Die Grenze der Datenschutz-Aufsicht ist die informationelle Selbstbestimmung (BVerfG-Volkszählungsurteil 1983 — Recht auf Selbstbestimmung über eigene Daten) und die Verhältnismäßigkeit. Aufsichtsbehörden sichern Grundrechtsschutz (Art. 2 i.V.m. 1 GG, Art. 8 GRCh, Art. 8 EMRK), handeln aber im Rahmen der Verhältnismäßigkeit — Sanktionen müssen verhältnismäßig sein (Art. 83 Abs. 2 DSGVO), Anordnungen begründet und gerichtlich überprüfbar. Verwaltungsverfahrensrecht (VwVfG — Anhörung, Begründung § 39, Rechtsbehelfe). Transparenz: Aufsichtsentscheidungen, Bußgeld-Statistik, Orientierungspapiere sichern öffentliche Kontrolle und Rechtssicherheit. Unabhängigkeit: Aufsichtsbehörden brauchen Unabhängigkeit (Art. 52 DSGVO), personelle/fachliche/finanzielle Ausstattung. One-Stop-Shop sichert EU-weite Verfahren (Art. 56 DSGVO). Kooperation mit Marktüberwachung (AI Act), Verbraucherschutz, Strafverfolgung (bei Datenschutzstraftaten § 42 BDSG). Eine unabhängige, gut ausgestattete, transparente Datenschutz-Aufsicht sichert informationelle Selbstbestimmung, Vertrauen und digitale Grundrechte — Datenschutz ist kein Bürokratie-Overhead, sondern Verfassungsschutz.