UK-DSGVO-Beschwerderecht: Änderungen zum 19. Juni 2026 und was Organisationen tun müssen

Ab dem 19. Juni 2026 gewährt Abschnitt 103 des Data (Use and Access) Act 2025 Einzelpersonen ein neues gesetzliches Recht, Datenschutzbeschwerden direkt bei den Organisationen einzureichen, die ihre personenbezogenen Daten verarbeiten. Das Recht wird durch die Einfügung von Abschnitt 164A in den Data Protection Act 2018 eingeführt. Bisher war der etablierte gesetzliche Beschwerdeweg der an das Information Commissioner's Office (ICO) gemäß Artikel 77 der UK-DSGVO, und Organisationen hatten keine gesetzliche Verpflichtung, ein formelles Beschwerdeverfahren zu betreiben. Der DUAA 2025 hebt Artikel 77 als direktes individuelles Recht auf; Einzelpersonen müssen Beschwerden nun zunächst bei der Organisation einreichen. Das ICO behält sich das Ermessen vor, in Ausnahmefällen direkt einzugreifen, aber die bisherige Garantie einer ICO-Prüfung ohne vorherige Kontaktaufnahme mit der Organisation gilt nicht mehr. Organisationen, die bis zum 19. Juni keine definierten Beschwerdeverfahren eingerichtet haben, verstoßen gegen die Vorschriften, sobald die erste Beschwerde eingeht.

Was das Beschwerderecht verlangt

Einzelpersonen können eine Datenschutzbeschwerde direkt bei jeder Organisation einreichen, die als für ihre personenbezogenen Daten Verantwortlicher fungiert. Organisationen müssen mindestens einen zugänglichen Weg dafür bereitstellen, den Eingang innerhalb von 30 Tagen bestätigen, ohne unangemessene Verzögerung ermitteln, den Beschwerdeführer über den Fortschritt informiert halten und ihn über das Ergebnis unterrichten. Wenn die Antwort der Organisation die Einzelperson nicht zufriedenstellt, kann sie sich an das UK-ICO wenden, das nach eigenem Ermessen ermitteln kann. Es gibt keine gesetzliche Frist, innerhalb derer die Einzelperson dies tun muss. Das direkte Beschwerderecht ersetzt nicht die Aufsichtsfunktion des UK-ICO; es macht die Organisation zur vorgeschriebenen ersten Anlaufstelle.

Eine Organisation, die eine Beschwerde bestätigt und dann schweigt, hat ihre Verpflichtung nicht erfüllt, selbst wenn sie das Problem schließlich löst.

Was sich ab dem 19. Juni 2026 ändert

Vor dem 19. Juni 2026 hatten Einzelpersonen das Recht, sich gemäß Artikel 77 der UK-DSGVO beim ICO zu beschweren, jedoch kein gesetzliches Recht, von Organisationen zu verlangen, Beschwerden direkt zu bearbeiten. Der DUAA 2025 hebt Artikel 77 als direktes individuelles Recht auf und ersetzt es durch den neuen Rahmen von Abschnitt 164A. Viele Organisationen behandelten datenbezogene Anfragen informell, ohne rechtliche Verpflichtung, den Eingang zu bestätigen, zu ermitteln oder über das Ergebnis Bericht zu erstatten. Ab dem 19. Juni ist diese Verpflichtung gesetzlich vorgeschrieben, und die Organisation ist die vorgeschriebene erste Anlaufstelle.

Das intern bearbeitete Beschwerdeaufkommen dürfte steigen. Einzelpersonen, die zuvor beim ICO Beschwerde einreichten oder sich gar nicht beschwerten, weil der ICO-Weg zu umständlich erschien, haben nun einen reibungsloseren Weg. Das ICO wird bei der Prüfung jeder Eskalation auch Nachweise über die Beschwerdebearbeitung der Organisation erwarten. Eine Organisation, die nicht nachweisen kann, dass sie die Beschwerde erhalten, untersucht und durchgängig kommuniziert hat, wird ein schwierigeres Gespräch mit der Aufsichtsbehörde führen müssen.

Was Organisationen vor dem 19. Juni tun müssen

Das Gesetz verlangt mindestens einen zugänglichen Weg, über den Einzelpersonen Beschwerden einreichen können. Eine dedizierte E-Mail-Adresse oder ein Formular auf der Datenschutzhinweisseite erfüllt diesen Standard; ein allgemeiner, im Footer versteckter Kontaktlink nicht. Die Leitlinien des ICO machen zudem deutlich, dass Beschwerden, die über jeden Kanal eingehen – einschließlich informeller Kontaktaufnahme oder sozialer Medien –, angenommen und bearbeitet werden müssen, nicht nur solche, die über das vorgesehene Formular eingehen. Bevor eine Beschwerde eingeht, sollte ein namentlich benannter Verantwortlicher für diesen Kanal bestimmt werden. Ohne diesen erreichen Beschwerden, die per E-Mail, Webformular oder über einen Posteingang für Betroffenenrechte eingehen, möglicherweise niemanden mit der Befugnis zur Untersuchung. Für Organisationen mit einem Datenschutzbeauftragten (DPO) ist dieser die naheliegende Wahl. Kleinere Organisationen müssen festlegen, wer Datenschutzanfragen bearbeitet, und sicherstellen, dass diese Person Zugriff auf die für die Untersuchung notwendigen Systeme hat.

Die Untersuchung darf nicht ad hoc erfolgen. Teams müssen wissen, welche Datensätze abzurufen sind, wer die Entscheidungsbefugnis hat und welcher Zeitrahmen erwartet wird. Bei einwilligungsbezogenen Beschwerden bedeutet das, den Einwilligungsdatensatz für einen bestimmten Nutzer abrufen zu können: was ihm angezeigt wurde, wann, welche Wahl er getroffen hat und ob die nachfolgende Verarbeitung dieser Wahl entsprach. UniConsent-Nutzer können dies direkt über das Dashboard abrufen, gefiltert nach Zeitraum oder Domain, mit der Banner-Version, der expliziten Wahl des Nutzers und dem Ergebnis der Tag-Unterdrückung, alles mit einem Zeitstempel verknüpft. Bei einwilligungsbezogenen Beschwerden wird so aus einer sonst offenen Untersuchung eine direkte Abfrage. Die Bestätigung muss innerhalb von 30 Tagen nach Eingang erfolgen; die Untersuchung und die inhaltliche Antwort müssen ohne unangemessene Verzögerung folgen. Interne Zielvorgaben, die den gesamten Prozess innerhalb eines Monats halten, stehen im Einklang mit den ICO-Leitlinien zu Fristen für Betroffenenrechte.

Wenn eine Untersuchung Zeit in Anspruch nimmt, benötigt der Beschwerdeführer vor der abschließenden Antwort eine Fortschrittsmitteilung. Eine Eingangsbestätigung, gefolgt von Schweigen, erfüllt die Verpflichtung nicht, selbst wenn das Problem letztlich gelöst wird. Eine kurze Aktualisierung nach etwa zwei Wochen verhindert, dass die Beschwerde ins Leere läuft, und verringert das Risiko einer vorzeitigen Eskalation an das ICO.

Dokumentieren Sie jeden Schritt: die ursprüngliche Beschwerde, die Bestätigung, die Untersuchungsmaßnahmen und die Antwort. Diese Aufzeichnung ist der Nachweis der Organisation, falls das ICO die Bearbeitung bei einer Eskalation überprüft. Aktualisieren Sie außerdem Ihren Datenschutzhinweis. Die meisten Hinweise beschreiben nur den Beschwerdeweg zum ICO; ab dem 19. Juni muss der Hinweis auch erklären, wie eine Beschwerde direkt bei der Organisation eingereicht werden kann, welcher Antwortzeitrahmen zu erwarten ist und welches Recht auf Eskalation an das ICO besteht, falls keine Zufriedenheit erreicht wird.

Einwilligungsdatensätze und Beschwerdeuntersuchung

Viele Datenschutzbeschwerden betreffen die Einwilligung: ob die Organisation sie ordnungsgemäß eingeholt hat, ob sie einen Widerruf respektiert hat oder ob Daten in einer Weise verarbeitet wurden, die die Einzelperson nicht erwartet hat. Bei diesen Beschwerden hängt die Untersuchung vollständig von der Qualität der vorliegenden Einwilligungsdatensätze ab.

Wenn eine Beschwerde eingeht, in der behauptet wird, das Tracking sei fortgesetzt worden, nachdem die Einzelperson Cookies abgelehnt hatte, ist die Frage sachlicher Natur: Zeigt das Einwilligungsprotokoll eine Ablehnung für diesen Nutzer, und bestätigt der Tag-Unterdrückungsdatensatz, dass das Tracking gestoppt wurde? Ohne detaillierte Aufzeichnungen kann die Organisation nicht präzise antworten, und eine auf Vermutungen aufgebaute Antwort wird die Beschwerde auf Organisationsebene wahrscheinlich nicht abschließen können.

Der Consent Audit Trail von UniConsent CMP ermöglicht es Ihnen, Einwilligungsprotokolle mit authentifizierten Nutzer-IDs zu verknüpfen, und speichert Einwilligungsdatensätze auf Ebene der einzelnen Sitzung, einschließlich der angezeigten Banner-Version, der expliziten Wahl des Nutzers, ob ein Global Privacy Control-Signal vorhanden war und respektiert wurde, sowie des daraufhin folgenden Tag-Verhaltens. Reicht ein UK-Nutzer eine Beschwerde ein, in der behauptet wird, seine Daten seien ohne gültige Einwilligung verarbeitet worden, liefert das UniConsent-Dashboard den spezifischen Datensatz, der zur Untersuchung dieser Behauptung benötigt wird. Für Organisationen, die auch Daten unter der DSGVO für EU-Nutzer verarbeiten, unterstützen dieselben Aufzeichnungen Beschwerdeuntersuchungen unter beiden Rahmenwerken.

Über UniConsent

UniConsent ist zertifizierter Google CMP Gold Tier-Partner, zertifiziertes IAB TCF CMP für die EU und Kanada sowie zertifiziertes Microsoft UET CMP. Als Teil der datenschutzorientierten User Experience Platform von Transfon bedient UniConsent täglich zig Millionen Nutzer und bietet sowohl Nutzern als auch Publishern eine nahtlose Datenschutzerfahrung. Kontaktieren Sie uns, um mehr zu erfahren: hello@uniconsent.com