--- title: "Datenschutz-Aufsichtsbehörde: wer für Sie zuständig ist" description: "Welche Datenschutz-Aufsichtsbehörde für Ihr Unternehmen zuständig ist, wonach sich das richtet und was bei Zuständigkeit über Ländergrenzen hinweg gilt." canonical: "https://www.dsb-datenschutz.de/externer-datenschutzbeauftragter/wissen-aufsichtsbehoerden/" --- # Datenschutz-Aufsichtsbehörde Deutschland hat nicht eine **Datenschutz-Aufsichtsbehörde**, sondern achtzehn. Für jedes Bundesland eine, dazu der Bundesbeauftragte und – in Bayern – eine getrennte Aufsicht für den öffentlichen und den nichtöffentlichen Bereich. Welche für Sie gilt, ist deshalb keine triviale Frage, und sie wird regelmäßig falsch beantwortet. ## Wonach sich die Zuständigkeit richtet Für Unternehmen entscheidet der **Sitz der Hauptniederlassung**, nicht der Ort der einzelnen Filiale und nicht der Wohnort des Geschäftsführers. Wer in Hessen sitzt und in Bayern eine Zweigstelle betreibt, hat es weiterhin mit der hessischen Aufsicht zu tun. Zwei Sonderfälle sind häufiger, als man denkt: **Öffentliche Stellen** unterliegen der Aufsicht ihres Trägers – Bundesbehörden dem Bundesbeauftragten, Landesbehörden und Kommunen der jeweiligen Landesaufsicht. **Kirchliche Einrichtungen** unterliegen gar keiner staatlichen Aufsicht, sondern der kirchlichen. Was das bedeutet, steht unter [Datenschutzbeauftragter nach dem KDG](https://www.dsb-datenschutz.de/externer-datenschutzbeauftragter/kdg/). Der rechtliche Rahmen steht in [Art. 55 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-55/) und, für die Zusammenarbeit über Grenzen hinweg, in [Art. 56 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-56/). ## Der häufigste Irrtum: gemeinsame Behörden Mehrere Bundesländer werden regelmäßig zusammengeworfen, weil ihre Behörden ähnlich heißen oder weil eine Behörde früher für zwei Länder zuständig war. Ein Beispiel, das uns oft begegnet: Berlin und Brandenburg haben **getrennte** Aufsichtsbehörden. Wer in Berlin sitzt und seine Benennung nach Potsdam meldet, hat sie nicht gemeldet. Ebenso wird die Kurzbezeichnung „LfDI" verwendet, als sei sie eindeutig. Sie ist es nicht – mehrere Länder führen sie, andere heißen anders. Prüfen Sie den vollständigen Namen der Behörde Ihres Landes, bevor Sie etwas dorthin schicken. Weil sich Namen, Zuständigkeiten und Amtsinhaber ändern, nennen wir hier bewusst keine Liste mit Adressen: Eine gedruckte Liste veraltet, und eine veraltete Liste ist schlimmer als keine. Die aktuelle Übersicht führt die Datenschutzkonferenz der unabhängigen Aufsichtsbehörden; Ihre zuständige Behörde nennen wir Ihnen im Gespräch verbindlich. ## Wann Sie mit der Behörde zu tun bekommen **Bei der Benennung.** Die Kontaktdaten des Datenschutzbeauftragten sind der Aufsichtsbehörde mitzuteilen und zu veröffentlichen – bei jeder Änderung erneut. Die meisten Behörden stellen dafür ein Onlineformular bereit. Zum Ablauf beim Anbieterwechsel siehe [Datenschutzbeauftragten wechseln](https://www.dsb-datenschutz.de/externer-datenschutzbeauftragter/wissen-wechsel/). **Bei einer Datenpanne.** Binnen 72 Stunden nach Kenntnis, [Art. 33 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-33/). Der Ablauf steht unter [Datenschutzvorfall melden](https://www.dsb-datenschutz.de/datenschutz/datenschutzvorfall/). **Bei der vorherigen Konsultation.** Ergibt eine [Datenschutz-Folgenabschätzung](https://www.dsb-datenschutz.de/datenschutz/beratung-datenschutz-folgenabschaetzung/) ein hohes Restrisiko, ist die Behörde vor der Verarbeitung einzuschalten – [Art. 36 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-36/). **Bei einer Beschwerde.** Jede betroffene Person kann sich beschweren, [Art. 77 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-77/). In der Praxis ist das der häufigste Anlass für ein Anschreiben. **Bei einer anlasslosen Prüfung.** Mehrere Behörden führen regelmäßig Schwerpunktprüfungen durch – oft per Fragebogen an eine Zufallsauswahl von Unternehmen einer Branche. ## Wenn Post kommt Ein Schreiben der Aufsichtsbehörde ist noch kein Bußgeldverfahren. Meist ist es eine Aufforderung zur Stellungnahme mit gesetzter Frist. Drei Dinge helfen dann: die Frist notieren, den Sachverhalt vollständig aufnehmen und – falls berechtigt beanstandet – abstellen und den Nachweis mitschicken. Was nicht hilft: die Frist verstreichen lassen, oder einen Zustand behaupten, den die Behörde mit einem Blick widerlegen kann. Kooperation und schnelle Abhilfe wirken sich in der Bemessung aus, [Art. 83 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-83/). ## Zuständigkeit über Ländergrenzen hinweg Verarbeiten Sie grenzüberschreitend in der EU, greift der One-Stop-Shop: Zuständig ist die Behörde am Ort der Hauptniederlassung, die anderen werden beteiligt. Praktisch heißt das für Unternehmen mit Sitz in Deutschland und Tochtergesellschaften im EU-Ausland, dass sie einen Ansprechpartner haben – nicht fünf. Umgekehrt gilt: Wer keine Niederlassung in der EU hat, aber hier anbietet, braucht einen Vertreter nach [Art. 27 DSGVO](https://www.dsb-datenschutz.de/externer-datenschutzbeauftragter/wissen-eu-vertreter-artikel-27-dsgvo/). ## Kontakt Sie wissen nicht, welche Behörde für Sie zuständig ist, oder haben ein Schreiben erhalten? Beides klären wir kurzfristig. - Telefon: [+49 6188 99 04 36](tel:+496188990436) - E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de) - Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns) - [Externer Datenschutzbeauftragter](https://www.dsb-datenschutz.de/externer-datenschutzbeauftragter/)