Mit dem Data (Use and Access) Act kommen im Vereinigten Königreich neue Anforderungen an den Umgang mit Datenschutzbeschwerden auf Unternehmen zu. Ab dem 19. Juni 2026 müssen Organisationen einen offiziellen Beschwerdeprozess vorhalten; das britische Information Commissioner’s Office (ICO) hat hierzu bereits eine Guidance veröffentlicht, die praktische Hinweise für die Umsetzung in der Unternehmensorganisation gibt. Damit rückt der interne Umgang mit Betroffenenbeschwerden stärker in den Fokus der Datenschutz-Compliance.

Was ist der Data (Use and Access) Act?

Der Data (Use and Access) Act 2025 (DUAA) ist ein britisches Reformgesetz, das am 19. Juni 2025 durch den Royal Assent Rechtskraft erhielt und dessen erste Vorschriften im August 2025 in Kraft getreten sind. Es ersetzt das bestehende Datenschutzrecht nicht, sondern ergänzt insbesondere die UK General Data Protection Regulation (GDPR), bestehend aus dem Data Protection Act 2018 (DPA) sowie der Privacy and Electronic Communications Regulation (PECR). Ziel der Reform ist es, die praktische Umsetzung des Datenschutzrechts zu erleichtern und die Datennutzung für Innovation und Wirtschaftswachstum zu stärken, ohne den Schutz der Rechte und Privatsphäre betroffener Personen aufzugeben.

Mehr über die Data Reform im Vereinigten Königreich und warum es zu dieser Reform kam finden Sie in unserem Artikel vom 12. Juni 2026.

Was beinhalten die Vorgaben zum Beschwerdeprozess?

Das neue Gesetz verpflichtet Unternehmen und Organisationen dazu:

• den Betroffenen einen klaren und leicht zugänglichen Weg zur Einreichung einer Datenschutzbeschwerde aufzuzeigen,
• den Eingang der Beschwerde innerhalb von 30 Tagen zu bestätigen,
• ohne unnötige Verzögerung geeignete Maßnahmen zur Untersuchung zu ergreifen und die Betroffenen auf dem Laufenden zu halten und
• den Beschwerdeführer über das Ergebnis zu informieren.

Darin liegt ein wesentlicher Unterschied zur Beschwerdeführung nach der Datenschutz-Grundverordnung (DSGVO): Während Art. 77 DSGVO den Beschwerdeweg zur Aufsichtsbehörde vorsieht, schafft der DUAA zusätzlich eine ausdrückliche Pflicht der Organisationen, Datenschutzbeschwerden unmittelbar selbst strukturiert entgegenzunehmen und zu bearbeiten.

Die ICO-Guidance als Umsetzungshilfe

Die Guidance konkretisiert, wie Organisationen die neuen Anforderungen an Datenschutzbeschwerdeprozesse praktisch umsetzen können. Sie behandelt unter anderem, was als Datenschutzbeschwerde gilt, wie sich Unternehmen auf den Eingang und die Bearbeitung solcher Beschwerden vorbereiten sollten, welche Schritte nach Abschluss der Untersuchung erforderlich sind und wie das ICO selbst mit Beschwerden umgeht. Dabei unterscheidet die Guidance ausdrücklich zwischen verbindlichen Anforderungen („must“) und Empfehlungen bzw. Beispielen guter Praxis („should“ und „could“).

Wie bereiten sich betroffene Unternehmen am Besten vor?

Relevant sind die neuen Vorgaben für alle Unternehmen und Organisationen mit UK-Bezug, insbesondere für Unternehmen mit Niederlassung im Vereinigten Königreich oder für britische Unternehmen selbst. Für sie wird es wichtig, bestehende Beschwerdeprozesse frühzeitig zu prüfen und an die neuen Anforderungen anzupassen.

Ein erster Schritt ist die Einrichtung eines klaren und leicht zugänglichen Beschwerdewegs. Das kann etwa über ein Online-Formular, eine zentrale E-Mail-Adresse, ein Beschwerdeportal, Telefon oder auch bestehende interne Beschwerdekanäle erfolgen. Dabei ist entscheidend, dass Datenschutzbeschwerden über jegliche Kanäle angenommen und zuverlässig weitergeleitet werden.

Zudem sollten Unternehmen ihre internen Abläufe dokumentieren. Dazu gehört etwa, wer Beschwerden bearbeitet, wie die Identität der beschwerdeführenden Person geprüft wird, welche Nachweise erforderlich sind und wie Fristen überwacht werden. Auch Mitarbeitende sollten geschult werden, damit sie Datenschutzbeschwerden unabhängig vom Eingangskanal erkennen und an die zuständige Stelle weitergeben können.

Die ICO-Guidance enthält zwar an vielen Stellen Empfehlungen und Beispiele guter Praxis. In der Umsetzung sind diese Hinweise aber besonders relevant. Sie zeigen, wie Unternehmen den gesetzlichen Anforderungen praktisch gerecht werden können. Wer sich an den Best-Practice-Empfehlungen orientiert, kann nicht nur die neuen Pflichten besser erfüllen, sondern auch Transparenz und Vertrauen im Umgang mit Datenschutzbeschwerden stärken.

Gerade im Vergleich zum Beschwerdeweg nach der DSGVO zeigen die neuen ICO-Vorgaben, dass Unternehmen mit Datenverarbeitungen im oder in Bezug auf das Vereinigte Königreich ihre internen Prozesse gezielt überprüfen und anpassen sollten; unsere externen Datenschutzbeauftragten unterstützen Sie in der praxistauglichen Umsetzung der jeweiligen Anforderungen.

Fazit

Die neuen Vorgaben zum Datenschutz-Beschwerdeprozess zeigen, dass die Reformen durch den DUAA auch organisatorische Datenschutzpflichten konkret verschärfen. Über eine ebenfalls praxisrelevante Guidance zu den DUAA-Neuerungen und mehr zur Rolle der britischen Datenschutzaufsicht ICO finden Sie in unserem Beitrag vom 05. Juni 2026. Dabei geht es um sogenannte Storage and Access Technologies – technischen Verfahren wie Cookies oder Trackingwerkzeuge, die Informationen auf Endgeräten speichern oder darauf zugreifen.