Datenschutzbeschwerde und Klage: Was Unternehmen wissen sollten
Eine datenschutzrechtliche Beschwerde ist kein allgemeines Instrument, um jede als rechtswidrig empfundene staatliche oder organisatorische Entscheidung überprüfen zu lassen. Das zeigt eine rechtskräftige Entscheidung des Verwaltungsgerichts Magdeburg vom 24.03.2026 mit dem Aktenzeichen 1 A 26/24 MD sehr deutlich. Für Unternehmen, Kanzleien, öffentliche Stellen und Bewerbende ist die Aussage der Entscheidung praxisrelevant, weil sie die Reichweite von Rechten nach der Datenschutz-Grundverordnung klar abgrenzt.
Im entschiedenen Fall hatte sich ein Bewerber um das Amt des Landesbeauftragten für den Datenschutz in Sachsen-Anhalt beworben. Nachdem seine Bewerbung nicht berücksichtigt worden war, versuchte er zunächst im Eilrechtsschutz, also in einem gerichtlichen Schnellverfahren zur vorläufigen Sicherung von Rechten, die Wahl zu verschieben. Nachdem dies ohne Erfolg geblieben war, reichte er eine datenschutzrechtliche Beschwerde bei der zuständigen Datenschutzaufsicht ein. Nach deren Zurückweisung erhob er Klage.
Sein zentrales Argument war, dass die landesrechtliche Regelung zum Auswahl und Wahlverfahren gegen Vorgaben der Datenschutz-Grundverordnung verstoße und er diese Verstöße mit einer Beschwerde geltend machen könne. Das Verwaltungsgericht hat diese Sichtweise nicht geteilt. Entscheidend war aus Sicht des Gerichts, dass eine datenschutzrechtliche Beschwerde nur dann trägt, wenn personenbezogene Daten der beschwerdeführenden Person tatsächlich in einer Weise verarbeitet werden, die gegen die Datenschutz-Grundverordnung verstößt. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen, etwa Name, Anschrift, Bewerbungsunterlagen oder Kontaktdaten.
Für die Praxis ist damit klargestellt, dass Datenschutzrecht nicht automatisch zum Auffangtatbestand für jede behauptete Unregelmäßigkeit in Auswahlverfahren, Vergabeverfahren oder internen Entscheidungsprozessen wird. Gerade kleine und mittelständische Unternehmen, aber auch Krankenhäuser, Pflegeeinrichtungen oder Onlinehändler, sollten diese Trennlinie kennen, wenn sie Beschwerden bearbeiten oder selbst datenschutzrechtliche Ansprüche prüfen.
DSGVO-Verstoß nur bei rechtswidriger Datenverarbeitung der betroffenen Person
Der Kern der Entscheidung liegt in der Frage, wann eine betroffene Person sich mit Erfolg auf Datenschutzrecht berufen kann. Das Gericht hat herausgestellt, dass nicht jede Norm der Datenschutz-Grundverordnung individuelle Rechte vermittelt. Individuelle Rechte sind subjektive Rechte einer einzelnen Person, die sie selbst gegenüber einer Behörde oder einem Verantwortlichen durchsetzen kann. Fehlt ein solches subjektives Recht, kann aus der bloßen Verletzung einer Vorschrift nicht ohne Weiteres eine erfolgreiche Beschwerde oder Klage folgen.
Im konkreten Fall sah das Gericht keinen Datenschutzverstoß bei der Verarbeitung der personenbezogenen Daten des Klägers. Die von ihm angeführten Regelungen dienten nach Auffassung des Gerichts allein dem öffentlichen Interesse an einem transparenten und ordnungsgemäßen Verfahren zur Besetzung der Datenschutzaufsichtsbehörde. Sie richten sich damit an die Mitgliedstaaten und regeln die institutionelle Ausgestaltung, ohne dem einzelnen Bewerber ein unmittelbar einklagbares Datenschutzrecht zu geben.
Diese Differenzierung ist auch im Unternehmensalltag wichtig. Nicht jede Kritik an einer Personalentscheidung ist zugleich ein Datenschutzfall. Nicht jede Unzufriedenheit mit einem Bewerbungsprozess begründet einen Anspruch gegenüber der Datenschutzaufsicht. Maßgeblich bleibt vielmehr, ob bei der Erhebung, Speicherung, Nutzung, Weitergabe oder Löschung personenbezogener Daten ein konkreter Verstoß gegen datenschutzrechtliche Pflichten zulasten der betroffenen Person vorliegt.
Unter Verarbeitung versteht das Datenschutzrecht jeden Vorgang im Zusammenhang mit personenbezogenen Daten. Dazu zählen bereits das Erfassen von Bewerbungsunterlagen, die interne Weiterleitung an Fachabteilungen oder die Aufbewahrung in digitalen Systemen. Wenn diese Verarbeitung rechtmäßig erfolgt, etwa zweckgebunden, auf das Erforderliche beschränkt und organisatorisch abgesichert, führt allein eine Unzufriedenheit mit dem Verfahren regelmäßig nicht zu einem erfolgreichen datenschutzrechtlichen Anspruch.
Praxisfolgen für Bewerbungsverfahren, Personalprozesse und Compliance
Für Unternehmen ergibt sich aus der Entscheidung vor allem ein Compliance-Hinweis. Datenschutz-Compliance bedeutet die rechtssichere organisatorische und technische Umsetzung datenschutzrechtlicher Anforderungen im laufenden Betrieb. Wer Bewerbungsverfahren, interne Auswahlprozesse oder Besetzungen von Leitungsfunktionen organisiert, sollte Datenschutz und Verfahrensrecht zwar sauber voneinander trennen, aber beides konsequent dokumentieren.
Im Personalbereich bedeutet das, dass Bewerbungsunterlagen nur den Personen zugänglich sein sollten, die sie für die Auswahlentscheidung benötigen. Zugriffsrechte, Löschfristen und die interne Kommunikation müssen nachvollziehbar gestaltet sein. Kommt es später zu Beschwerden, ist nicht allein die materielle Rechtmäßigkeit entscheidend, sondern auch die Nachweisbarkeit. Gerade für mittelständische Unternehmen ist eine klare digitale Aktenführung deshalb ein erheblicher Vorteil.
Die Entscheidung zeigt zugleich, dass die Datenschutzaufsicht nicht die richtige Adresse für jede verfahrensbezogene Beanstandung ist. Wer etwa rügt, dass ein Auswahlprozess aus anderen rechtlichen Gründen fehlerhaft war, muss den passenden Rechtsweg wählen. Datenschutzrechtliche Beschwerden eignen sich demgegenüber nur dann, wenn die eigene Datenverarbeitung tatsächlich rechtswidrig war. Diese Abgrenzung spart Zeit, Kosten und unnötige Eskalation.
Besonders praxisnah ist das für Unternehmen mit hohem Bewerbungsaufkommen, etwa im Gesundheitswesen, in Pflegeeinrichtungen oder bei stark wachsenden Onlinehändlern. Dort laufen Auswahlprozesse oft unter erheblichem Zeitdruck. Wenn Rollen, Berechtigungen und Dokumentationspflichten nicht sauber definiert sind, entstehen schnell Unsicherheiten darüber, ob ein Problem arbeitsrechtlich, organisationsrechtlich oder datenschutzrechtlich zu bewerten ist. Die Entscheidung verdeutlicht, dass Datenschutzrecht kein Ersatz für andere Rechtsmaterien ist.
Hinzu kommt ein strategischer Aspekt. Wer Datenschutzbeschwerden intern professionell prüft, kann früh erkennen, ob tatsächlich ein Risiko nach der Datenschutz-Grundverordnung besteht oder ob es sich um eine andere Rechtsfrage handelt. Eine sachgerechte Erstbewertung verhindert, dass falsche Verteidigungslinien aufgebaut oder unnötige Meldungen und Stellungnahmen verfasst werden.
Rechtssichere Einordnung und Fazit für die Unternehmenspraxis
Die rechtskräftige Entscheidung des Verwaltungsgerichts Magdeburg mit dem Aktenzeichen 1 A 26/24 MD schafft Klarheit: Eine Klage gegen die Zurückweisung einer datenschutzrechtlichen Beschwerde bleibt erfolglos, wenn kein konkreter Verstoß bei der Verarbeitung der personenbezogenen Daten der beschwerdeführenden Person vorliegt und die herangezogenen Vorschriften keine individuellen Rechte begründen. Dass ein Verfahren nach Auffassung des Betroffenen nicht europarechtskonform ausgestaltet ist, reicht für sich genommen im Datenschutzrecht nicht aus.
Für Unternehmen folgt daraus eine klare Handlungsmaxime. Datenschutzrechtliche Beschwerden müssen inhaltlich präzise geprüft werden. Entscheidend ist immer die Frage, ob tatsächlich eine rechtswidrige Datenverarbeitung vorliegt oder ob die Beanstandung in Wahrheit einen anderen rechtlichen Bereich betrifft. Wer diese Unterscheidung früh vornimmt, reduziert Haftungsrisiken und verbessert die interne Kommunikation mit Betroffenen, Behörden und Beratern.
Ebenso wichtig ist eine belastbare Prozessorganisation. Digitale Bewerbungsprozesse, dokumentierte Zugriffsrechte und standardisierte Prüfpfade helfen dabei, datenschutzrechtliche Vorwürfe schneller und fundierter einzuordnen. Genau hier unterstützen wir kleine und mittelständische Unternehmen mit einem besonderen Fokus auf Digitalisierung und Prozessoptimierung in der Buchhaltung und in angrenzenden Verwaltungsprozessen. Aus unserer Erfahrung führen sauber strukturierte digitale Abläufe nicht nur zu höherer Rechtssicherheit, sondern regelmäßig auch zu spürbaren Kostenersparnissen im Mittelstand.
Gerichtsentscheidung lesen
