Top-Themen im Datenschutz:
Alle 16 deutschen Datenschutz-Aufsichtsbehörden auf einen Blick – Zuständigkeiten, Befugnisse und Beschwerdewege sowie die Rolle eines externen Datenschutzbeauftragten bei Behördenprüfungen erklärt.
Eine Datenschutz-Aufsichtsbehörde ist eine unabhängige staatliche Kontrollinstanz, die die Einhaltung der DSGVO und nationaler Datenschutzgesetze bei Unternehmen, Behörden und sonstigen Organisationen überwacht. Die Behörden agieren vollständig weisungsunabhängig – weder Ministerien noch Regierungen können in ihre Entscheidungen eingreifen.
Art. 51 Abs. 1 DSGVO – Gesetzliche Grundlage
„Jeder Mitgliedstaat sieht vor, dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Verordnung zuständig sind, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden und der freie Verkehr personenbezogener Daten in der Union erleichtert wird.“
In Deutschland gibt es 17 Aufsichtsbehörden: den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) auf Bundesebene sowie 16 Landesbehörden für private Unternehmen. Zusätzlich existieren bereichsspezifische Behörden – etwa für Kirchen, die BaFin für Finanzdienstleister und die Bundesnetzagentur für Telekommunikation.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenDie Aufgaben der Aufsichtsbehörden sind in Art. 57 DSGVO abschließend geregelt. Die Behörde erfüllt gleichzeitig eine Kontroll-, eine Beratungs- und eine Rechtsdurchsetzungsfunktion:
Neben der Kontrollfunktion hat die Aufsichtsbehörde eine aktive Beratungsrolle: Unternehmen können vor der Einführung neuer Datenverarbeitungen vorab Konsultationen beantragen – insbesondere dann, wenn eine Datenschutz-Folgenabschätzung ein hohes Restrisiko ergibt.
Deutschland hat ein zweistufiges System: Auf Bundesebene überwacht der BfDI öffentliche Stellen des Bundes. Für Unternehmen und private Organisationen sind die 16 Landesbehörden zuständig.
Der BfDI kontrolliert Bundesbehörden sowie Telekommunikations- und Postdienstleister – darunter Telekom, Vodafone und Deutsche Post. Er koordiniert die Zusammenarbeit der Landesbehörden und ist erste Anlaufstelle für Beschwerden gegen Bundesbehörden. Die Unabhängigkeit der Aufsichtsbehörden ist in DSGVO Art. 51 verankert.
Unternehmen, die einen Datenschutzbeauftragten bestellt haben und bundesweit tätig sind, melden dessen Kontaktdaten dem BfDI nach DSGVO Art. 37 Abs. 7.
Die zuständige Aufsichtsbehörde richtet sich nach dem Sitz der Hauptniederlassung – unabhängig davon, ob das Unternehmen bundesweit tätig ist. Ein externer Datenschutzbeauftragter kennt die regionalen Anforderungen der zuständigen Behörde und erleichtert die Meldung.
Bundesland | Landesdatenschutz- beauftragter | DSB-Meldung bei der Aufsichtsbehörde |
|---|---|---|
Baden-Württemberg | Prof. Dr. Tobias Kleber | DSB-Meldung in Baden-Württemberg |
Bayern | Prof. Dr. Thomas Petri | DSB-Meldung in Bayern |
Berlin | Meike Kamp | DSB-Meldung in Berlin |
Brandenburg | Dagmar Hartge | DSB-Meldung in Brandenburg |
Bremen | Dr. Imke Sommer | DSB-Meldung in Bremen |
Hamburg | Thomas Fuchs | DSB-Meldung in Hamburg |
Hessen | Prof. Dr. Alexander Roßnagel | DSB-Meldung in Hessen |
Mecklenburg-Vorpommern | Heinz Müller | DSB-Meldung in Mecklenburg-Vorpommern |
Niedersachsen | Denis Lehmkemper | DSB-Meldung in Niedersachsen |
Nordrhein-Westfalen | Bettina Gayk | DSB-Meldung in Nordrhein-Westfalen |
Rheinland-Pfalz | Prof. Dr. Kugelmann | DSB-Meldung in Rheinland-Pfalz |
Saarland | Monika Grethel | DSB-Meldung im Saarland |
Sachsen | Dr. Juliane Hundert | DSB-Meldung in Sachsen |
Sachsen-Anhalt | Maria Rost | DSB-Meldung in Sachsen-Anhalt |
Schleswig-Holstein | Marit Hansen | DSB-Meldung in Schleswig-Holstein |
Thüringen | Tino Melzer | DSB-Meldung in Thüringen |
Die offizielle Datenschutzkonferenz (DSK) führt eine aktuelle Liste aller Aufsichtsbehörden. Neben BfDI und Landesbehörden überwacht die BaFin Banken und Versicherungen, die Bundesnetzagentur Telekommunikationsunternehmen und kirchliche Datenschutzbeauftragte kirchliche Einrichtungen.
Die Zuständigkeit richtet sich nach dem Sitz der Hauptniederlassung. Ein Unternehmen mit Hauptsitz in Bayern fällt unter das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) – auch wenn es bundesweit tätig ist.
Für Unternehmen, die personenbezogene Daten in mehreren EU-Staaten verarbeiten, greift der One-Stop-Shop-Mechanismus nach Art. 56 DSGVO. Als federführende Aufsichtsbehörde gilt die Behörde am Ort der Hauptniederlassung des Unternehmens.
Hauptniederlassung im DSGVO-Sinne ist nicht zwingend der rechtliche Firmensitz, sondern der Ort, an dem die wesentlichen Entscheidungen über Zweck und Mittel der Datenverarbeitung getroffen werden. Ein Unternehmen mit Rechtssitz in München, dessen Datenschutzentscheidungen jedoch in der Berliner Zentrale fallen, kann unter die Berliner Datenschutzbehörde fallen.
Der One-Stop-Shop gilt nur für grenzüberschreitende Verarbeitungen, bei denen Betroffene in mehr als einem EU-Mitgliedstaat betroffen sind. Rein nationale Verarbeitungen bleiben Sache der lokalen Landesbehörde.
Wenn mehrere EU-Behörden betroffen sind, koordiniert die federführende Behörde das Verfahren. Andere Landesbehörden haben das Recht auf Stellungnahme. Bei Einwänden entscheidet der Europäische Datenschutzausschuss (EDSA) verbindlich – ein System, das grenzüberschreitende Konsistenz sicherstellt, aber zu deutlich längeren Verfahrensdauern führen kann.
Bei Unternehmen mit mehreren Niederlassungen kann die Zuständigkeit unklar sein. Betroffene können sich an jede beliebige Behörde wenden – diese leitet die Beschwerde bei Bedarf weiter.
Die konkreten Eingriffsbefugnisse der Aufsichtsbehörden sind in DSGVO Art. 58 geregelt und in drei Kategorien unterteilt:
Wie konsequent die Behörden vorgehen, belegen aktuelle Fälle: Die irische Datenschutzbehörde verhängte 2023 gegen Meta ein Bußgeld von 1,2 Milliarden Euro wegen unzureichender Einwilligungen für Datentransfers in die USA. In Deutschland belegte die Hamburger Behörde Vodafone mit 45 Millionen Euro – wegen Sicherheitsmängeln im Authentifizierungsprozess.
Ob Unternehmen einen externen oder internen DSB beschäftigen, beeinflusst maßgeblich die Vorbereitung auf Behördenprüfungen.
Gerade beim KI-konformen Einsatz von Datenverarbeitungssystemen steigt der Prüfdruck europaweit – Aufsichtsbehörden richten ihren Fokus zunehmend auf algorithmische Entscheidungssysteme.
So treffen Sie die richtige Wahl: mit klaren Auswahlkriterien und den wichtigsten Fragen für das Gespräch mit Ihrem zukünftigen Datenschutzbeauftragten.
Das Beschwerderecht ist in Art. 77 DSGVO verankert und gilt für jede betroffene Person:
Art. 77 Abs. 1 DSGVO – Recht auf Beschwerde
„Jede betroffene Person hat das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.“
Schritt 1: Zuständige Behörde finden. Die Tabelle oben listet alle 16 Landesbehörden. Bei falscher Zuständigkeit leitet die Behörde die Beschwerde automatisch weiter.
Schritt 2: Beschwerde einreichen. Alle Behörden bieten Online-Formulare an. Sachverhalt konkret schildern, verantwortliches Unternehmen benennen, Belege beifügen.
Schritt 3: Bearbeitung abwarten. Die Behörde ermittelt den Sachverhalt – dieser Prozess kann mehrere Monate dauern. Häufig behandeln Behörden Fälle zu Betroffenenrechten wie Auskunft, Löschung und Widerspruch.
Schritt 4: Ergebnis erhalten. Bei begründeter Beschwerde leitet die Behörde Maßnahmen gegen das Unternehmen ein und informiert die beschwerdeführende Person über das Ergebnis.
Unternehmen, die merken, dass ihr DSB nicht optimal aufgestellt ist, sollten einen Datenschutzbeauftragten frühzeitig wechseln – bevor Beschwerden eskalieren.
Der BfDI ist auf Bundesebene für Bundesbehörden, Telekommunikations- und Postdienstleister zuständig. Die 16 Landesbehörden überwachen alle privaten Unternehmen und öffentlichen Stellen des jeweiligen Bundeslandes. Für die meisten Unternehmen ist die Landesbehörde des Hauptsitz-Bundeslandes die relevante Anlaufstelle.
Ja. Nach DSGVO Art. 37 Abs. 7 müssen Unternehmen, die einen Datenschutzbeauftragten bestellen, dessen Kontaktdaten der zuständigen Aufsichtsbehörde mitteilen. Die meisten Landesbehörden bieten dafür Online-Meldeformulare an – eine Übersicht findet sich in der Tabelle oben.
Die Behörde kann Unterlagen anfordern, Prüfungen vor Ort durchführen und Mitarbeitende befragen. Kooperative und transparente Kommunikation wird als strafmildernder Faktor bewertet – Verschweigen oder Verzögern verschärft Bußgelder.
Unternehmen mit einem externen DSB sind auf Prüfungen deutlich besser vorbereitet, da er die Aufgaben des Datenschutzbeauftragten als direkter Ansprechpartner für die Behörde wahrnimmt.
Neben dem DSB kann auch ein Datenschutzkoordinator die interne Compliance-Vorbereitung übernehmen und die Kommunikation mit der Aufsichtsbehörde koordinieren. In beiden Fällen empfiehlt es sich, frühzeitig einen externen DSB zu beauftragen – idealerweise bevor die erste Behördenanfrage eintrifft.
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen