Top-Themen im Datenschutz:
Datenschutz-Aufsichtsbehörden, meist Datenschutzbehörden genannt, überwachen die Einhaltung der DSGVO. In Deutschland gibt es 18 davon. Welche ist für Ihr Unternehmen zuständig, was darf sie und wie laufen Meldung eines Datenschutzbeauftragten ab?
Eine Datenschutz-Aufsichtsbehörde, auch Datenschutzbehörde oder Datenschutzaufsicht genannt, ist eine unabhängige staatliche Stelle, die überwacht, ob die Datenschutz-Grundverordnung (DSGVO) eingehalten wird, und Verstöße ahndet. Rechtsgrundlage sind Art. 51 bis 59 DSGVO, ergänzt durch das Bundesdatenschutzgesetz (BDSG) und die Landesdatenschutzgesetze.
Die Behörden arbeiten weisungsfrei (Art. 52 DSGVO). Sie sind dabei weit mehr als eine Bußgeldstelle: Sie beraten Unternehmen und Bürger, bearbeiten Beschwerden, prüfen Datenverarbeitungen und ordnen bei Verstößen Maßnahmen an.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenEs gibt 18 allgemeine staatliche Aufsichtsbehörden für den Datenschutz: den BfDI auf Bundesebene und 17 Landesbehörden. Auf 16 Bundesländer kommen 17 Behörden, weil Bayern die Aufsicht teilt. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) ist für Unternehmen zuständig, der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) für öffentliche Stellen. Daneben gibt es eigene Aufsichten für Kirchen und Rundfunkanstalten.
Die Behörden stimmen sich in der Datenschutzkonferenz (DSK) ab. Die DSK entwickelt gemeinsame Positionen, ist aber selbst keine Aufsichtsbehörde und nimmt keine Beschwerden an. Den Vorsitz hat 2026 Baden-Württemberg.
Art. 57 DSGVO legt die Aufgaben fest. Die Behörden überwachen die Einhaltung der DSGVO, bearbeiten Beschwerden, beraten und sensibilisieren, arbeiten mit anderen Aufsichtsbehörden zusammen und genehmigen etwa Verhaltensregeln und Zertifizierungen. Dafür gibt ihnen Art. 58 DSGVO drei Arten von Befugnissen:
Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erstellen Unternehmen selbst, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene birgt. Die Aufsichtsbehörde müssen sie nur einschalten, wenn trotz geplanter Schutzmaßnahmen ein hohes Risiko bleibt (Art. 36 DSGVO). Eine allgemeine Genehmigung jeder DSFA gibt es nicht.
Zuständig ist in der Regel die Datenschutzbehörde des Bundeslands, in dem Ihr Unternehmen seinen Sitz hat. Genauer prüfen sollten Sie, wenn Ihr Unternehmen mehrere Standorte hat, Telekommunikationsdienste anbietet oder Daten EU-weit verarbeitet.
Nach § 40 Abs. 1 BDSG beaufsichtigen die Landesbehörden alle nichtöffentlichen Stellen, also Unternehmen, Vereine und Selbstständige. Welche Behörde das jeweils ist, regelt das Landesrecht. Daran ändert sich nichts, wenn Sie Kunden in mehreren Bundesländern haben.
Hat Ihr Unternehmen Standorte in mehreren Bundesländern, gilt nach § 40 Abs. 2 BDSG die Regel zur Hauptniederlassung aus Art. 4 Nr. 16 DSGVO entsprechend. Zuständig ist die Behörde am Ort der Hauptverwaltung. Fallen die Entscheidungen über die Datenverarbeitung an einem anderen Standort, ist dessen Landesbehörde zuständig. Halten sich mehrere Behörden für zuständig oder keine, entscheiden sie gemeinsam.
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) beaufsichtigt nach § 9 BDSG vor allem öffentliche Stellen des Bundes sowie Unternehmen, die geschäftsmäßig Telekommunikationsdienste erbringen. Hinzu kommen Sonderzuständigkeiten, etwa im Postbereich. Seit dem 1. Oktober 2026 ist Prof. Dr. Moritz Hennemann Bundesbeauftragter.
Branchenaufseher wie BaFin oder Bundesnetzagentur sind keine Datenschutzbehörden. Banken und Versicherungen unterliegen beim Datenschutz deshalb in der Regel der Landesaufsicht.
Verarbeitet ein Unternehmen Daten grenzüberschreitend (Art. 4 Nr. 23 DSGVO), greift das One-Stop-Shop-Verfahren nach Art. 56 DSGVO. Das ist der Fall, wenn es Niederlassungen in mehreren EU-Staaten hat oder seine Verarbeitung Menschen in mehreren Mitgliedstaaten erheblich betrifft. Federführend ist dann die Aufsichtsbehörde der Hauptniederlassung in der EU. Sie stimmt sich mit den anderen betroffenen Behörden ab (Art. 60 ff. DSGVO). Bei Streit entscheidet der Europäische Datenschutzausschuss (EDSA) verbindlich.
Die Übersicht nennt alle 18 allgemeinen Aufsichtsbehörden mit ihren Leitungen (Stand: 22. Oktober 2026). Bietet eine Behörde ein Onlineformular für die Meldung des Datenschutzbeauftragten an, ist es direkt verlinkt.
Aufsicht / Bundesland | Behördenleitung | Website der Aufsichtsbehörde | DSB-Meldeformular |
|---|---|---|---|
Bund (BfDI) | Prof. Dr. Moritz Hennemann | Website BfDI | – |
Baden-Württemberg | Prof. Dr. Tobias Keber | Website LfDI BW | DSB melden beim LfDI BW |
Bayern – öffentl. Bereich | Prof. Dr. Thomas Petri | Website BayLfD | – |
Bayern – privater Bereich (BayLDA) | Michael Will | Website BayLDA | DSB melden beim BayLDA |
Berlin | Meike Kamp | Website BlnBDI | DSB melden bei der BlnBDI |
Brandenburg | Dagmar Hartge | Website LDA Brandenburg | DSB melden bei der LDA Brandenburg |
Bremen | Dr. Timo Utermark | Website LfDI Bremen | – |
Hamburg | Thomas Fuchs | Website HmbBfDI | DSB melden beim HmbBfDI |
Hessen | Prof. Dr. Alexander Roßnagel | Website HBDI | DSB melden beim HBDI |
Mecklenburg-Vorpommern | Sebastian Schmidt | Website LfDI MV | DSB melden beim LfDI MV |
Niedersachsen | Denis Lehmkemper | Website LfD Niedersachsen | DSB melden bei der LfD Niedersachsen |
Nordrhein-Westfalen | Bettina Gayk | Website LDI NRW | – |
Rheinland-Pfalz | Prof. Dr. Dieter Kugelmann | Website LfDI Rheinland-Pfalz | DSB melden beim LfDI Rheinland-Pfalz |
Saarland | Monika Grethel | Website UDZ Saarland | DSB melden beim UDZ Saarland |
Sachsen | Dr. Juliane Hundert | Website SDTB | DSB melden bei der SDTB |
Sachsen-Anhalt | Maria Christina Rost | Website LfD Sachsen-Anhalt | DSB melden bei der LfD Sachsen-Anhalt |
Schleswig-Holstein | Dr. h. c. Marit Hansen | Website ULD | – |
Thüringen | Tino Melzer | Webseite TLfDI | – |
Leitungen und Portale ändern sich. Maßgeblich sind die aktuellen Angaben auf den Behördenseiten und im Verzeichnis der DSK.
Wer einen Datenschutzbeauftragten (DSB) benennt, muss dessen Kontaktdaten veröffentlichen und der zuständigen Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO). Das gilt für interne und externe Datenschutzbeauftragte gleichermaßen. Die meisten Behörden bieten dafür ein Onlineformular an.
Wichtig: Die DSB-Mitteilung ist keine Meldung einer Datenschutzverletzung. Verwechseln Sie die beiden Formulare nicht.
Verfahren | Rechtsgrundlage | Wann relevant? |
|---|---|---|
DSB-Kontaktdaten mitteilen | Art. 37 Abs. 7 DSGVO | Wenn ein interner oder externer DSB benannt wird oder sich die Angaben ändern. |
Datenschutzverletzung melden | Art. 33 DSGVO | Grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden, wenn ein Risiko für Betroffenenrechte besteht; Ausnahmen und Besonderheiten beachten. |
Beschwerde einreichen | Art. 77 DSGVO | Wenn betroffene Personen vermuten, dass ihre personenbezogenen Daten rechtswidrig verarbeitet wurden. |
Jede betroffene Person kann sich bei der zuständigen Datenschutzbehörde beschweren (Art. 77 DSGVO). Zur Wahl stehen die Behörde am Wohnort, am Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes. Sich vorher beim Unternehmen zu beschweren, ist sinnvoll, aber keine Pflicht.
Eine Beschwerde führt nicht automatisch zu einem Bußgeld. Bearbeitet die Behörde sie nicht oder informiert sie drei Monate lang nicht über den Stand, können Betroffene klagen (Art. 78 Abs. 2 DSGVO).
Auslöser einer Prüfung durch die Datenschutzaufsicht sind meist Beschwerden, gemeldete Datenpannen, Medienberichte oder Schwerpunktprüfungen der Behörde. Eine erste Anfrage heißt nicht, dass ein Verstoß feststeht. Entscheidend ist, dass Sie strukturiert und fristgerecht reagieren.
Unternehmen müssen mit der Behörde zusammenarbeiten (Art. 31 DSGVO) und ihr Auskunft geben (§ 40 Abs. 4 BDSG). Die auskunftspflichtige Person darf aber Antworten verweigern, die sie selbst oder nahe Angehörige der Gefahr eines Straf- oder Bußgeldverfahrens aussetzen würden. Bei Vor-Ort-Prüfungen müssen Unternehmen den Zutritt zu Geschäftsräumen und den Zugang zu IT-Systemen dulden (§ 40 Abs. 5 BDSG). Wie gut ein Unternehmen kooperiert, fließt in die Bemessung eines Bußgelds ein (Art. 83 Abs. 2 lit. f DSGVO).
Zu den Aufgaben des Datenschutzbeauftragten gehört, Anlaufstelle für die Aufsichtsbehörde zu sein und mit ihr zusammenzuarbeiten (Art. 39 Abs. 1 lit. d und e DSGVO). Bei einer Behördenanfrage koordiniert er die Informationen intern und berät die Geschäftsleitung. Die Verantwortung für den Datenschutz bleibt aber beim Unternehmen (Art. 5 Abs. 2 und Art. 24 DSGVO). Ein externer DSB ersetzt keine funktionierenden internen Prozesse, er hilft, sie aufzubauen und zu pflegen.
Für DSGVO-Bußgelder sieht Art. 83 DSGVO zwei Rahmen vor: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, bei schweren Verstößen bis zu 20 Millionen Euro oder 4 %. Es gilt jeweils der höhere Betrag. Das sind Obergrenzen, keine Regelsätze. Die tatsächliche Höhe hängt von Art, Schwere und Dauer des Verstoßes ab.
Nicht alle Stellen unterliegen den 18 staatlichen Behörden. Kirchen und öffentlich-rechtliche Rundfunkanstalten haben eigene Datenschutzaufsichten mit eigenen Rechtsgrundlagen. Wer unsicher ist, findet die richtige Stelle über das Behördenverzeichnis der DSK.
Es sind 18: der BfDI und 17 Landesbehörden. Bayern hat als einziges Bundesland zwei. Hinzu kommen eigene Aufsichten für Kirchen und Rundfunk.
Meist die Landesbehörde am Unternehmenssitz, in Bayern das BayLDA. Bei mehreren Standorten in Deutschland zählt der Ort der Hauptverwaltung oder der Datenschutzentscheidungen (§ 40 Abs. 2 BDSG).
Nein. Bundesweite Geschäftstätigkeit allein begründet keine Zuständigkeit des BfDI. Er beaufsichtigt vor allem Bundesbehörden und Telekommunikationsanbieter (§ 9 BDSG).
Nein. Die Behörden beraten, bearbeiten Beschwerden und genehmigen etwa Verhaltensregeln. Bußgelder sind nur eines von mehreren Mitteln.
Ja. Nach Art. 37 Abs. 7 DSGVO sind die Kontaktdaten jedes benannten DSB zu veröffentlichen und der Aufsichtsbehörde mitzuteilen, egal ob intern oder extern.
Nein. Die Meldung entfällt, wenn die Verletzung voraussichtlich kein Risiko für Betroffene mit sich bringt. Sonst gilt: unverzüglich und möglichst binnen 72 Stunden melden, Verzögerungen begründen (Art. 33 DSGVO).
Ja. Die Behörde darf Geschäftsräume betreten und auf IT-Systeme zugreifen, das Unternehmen muss dies dulden (Art. 58 Abs. 1 DSGVO, § 40 Abs. 5 BDSG).
Ob Meldung des Datenschutzbeauftragten, Anfrage der Aufsichtsbehörde oder Datenschutz-Folgenabschätzung: Mit klaren Prozessen reagieren Sie fristgerecht und fachlich belastbar. Cortina Consult baut Ihre Datenschutzorganisation auf und betreut sie laufend als externer Datenschutzbeauftragter.
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen