Datenschutzrecht in Deutschland ist Ländersache — zumindest was die Aufsicht betrifft. Jedes Bundesland hat eine eigene Datenschutz-Aufsichtsbehörde, die Unternehmen überwacht und berät. Zusätzlich gibt es den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) auf Bundesebene. Dieser Artikel gibt Ihnen einen vollständigen Überblick über alle 17 zuständigen Stellen.
Wenn Sie zunächst wissen möchten, ob Ihr Unternehmen einen Datenschutzbeauftragten benennen muss, lesen Sie unseren Hauptartikel: Datenschutzbeauftragter Aufgaben im Überblick. Zum externen DSB: Externer Datenschutzbeauftragter — alle Infos.
Wann braucht Ihr Unternehmen einen Datenschutzbeauftragten?
Art. 37 Abs. 1 DSGVO verpflichtet Unternehmen zur Benennung eines Datenschutzbeauftragten, wenn:
- Die Kerntätigkeit in der umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht (lit. b), oder
- Die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien (Art. 9 DSGVO) oder strafrechtlicher Daten (Art. 10 DSGVO) besteht (lit. c).
Ergänzend regelt § 38 BDSG eine nationale Besonderheit für Deutschland: Unternehmen müssen einen DSB benennen, wenn in der Regel mindestens 20 Personen ständig automatisiert personenbezogene Daten verarbeiten. Diese Schwelle ist niedriger als in vielen anderen EU-Staaten und betrifft auch kleinere Unternehmen.
Das Bundesverwaltungsgericht hat in einem Grundsatzurteil (Az. 6 C 7/20) festgestellt, dass die Anforderungen an die Benennung eines DSB nach europäischem und nationalem Recht eng auszulegen sind — und dass bei Unklarheiten die strengere Auslegung gilt. Im Zweifelsfall sollte daher immer ein DSB benannt werden.
Die 17 Datenschutz-Aufsichtsbehörden in Deutschland
In Deutschland gibt es 16 Landesbehörden und eine Bundesbehörde. Für private Unternehmen ist die Behörde des Bundeslandes zuständig, in dem das Unternehmen seinen Sitz hat.
Bundesebene
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI)
Zuständig für: Bundesbehörden, Post- und Telekommunikationsunternehmen
Website: www.bfdi.bund.de | Tel.: 0228/997799-0
Länderbehörden (privater Bereich)
Baden-Württemberg
Landesbeauftragter für Datenschutz und Informationsfreiheit (LfDI)
Website: www.lfdi.bwl.de
Bayern
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Zuständig für private Stellen in Bayern
Website: www.lda.bayern.de
Berlin
Berliner Beauftragter für Datenschutz und Informationsfreiheit (BlnBDI)
Website: www.datenschutz-berlin.de
Brandenburg
Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht (LDA Brandenburg)
Website: www.lda.brandenburg.de
Bremen
Die Landesbeauftragte für Datenschutz und Informationsfreiheit (LfDI Bremen)
Website: www.datenschutz.bremen.de
Hamburg
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI)
Website: www.datenschutz.hamburg.de
Hessen
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)
Website: www.datenschutz.hessen.de
Mecklenburg-Vorpommern
Der Landesbeauftragte für Datenschutz und Informationsfreiheit (LfDI M-V)
Website: www.datenschutz-mv.de
Niedersachsen
Die Landesbeauftragte für den Datenschutz (LfD Niedersachsen)
Website: www.lfd.niedersachsen.de
Nordrhein-Westfalen
Landesbeauftragte für Datenschutz und Informationsfreiheit NRW (LDI NRW)
Website: www.ldi.nrw.de
Rheinland-Pfalz
Landesbeauftragter für den Datenschutz und die Informationsfreiheit (LfDI RLP)
Website: www.datenschutz.rlp.de
Saarland
Unabhängiges Datenschutzzentrum Saarland (UDSaar)
Website: www.datenschutz.saarland.de
Sachsen
Sächsischer Datenschutz- und Transparenzbeauftragter (SDT)
Website: www.datenschutz.sachsen.de
Sachsen-Anhalt
Landesbeauftragter für den Datenschutz Sachsen-Anhalt (LfD Sachsen-Anhalt)
Website: www.datenschutz.sachsen-anhalt.de
Schleswig-Holstein
Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)
Website: www.datenschutzzentrum.de
Thüringen
Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI)
Website: www.tlfdi.de
Unterschiede zwischen den Bundesländern
Während die DSGVO europaweit einheitlich gilt, gibt es bei der Aufsichtspraxis und den Schwerpunkten der Behörden durchaus Unterschiede:
- Bußgeldhöhe und -praxis: Bayern (BayLDA) und Hamburg (HmbBfDI) sind für besonders aktive Bußgeldpraxis bekannt. NRW (LDI NRW) hat mehrfach hohe Bußgelder gegen Unternehmen verhängt.
- Sektorfokus: Bayern und Baden-Württemberg mit starker Industrie- und Tech-Präsenz haben häufig branchenspezifische Orientierungshilfen veröffentlicht.
- Beschwerdebearbeitung: Reaktionszeiten und Prüfintensität variieren je nach personeller Ausstattung der Behörde.
- Berliner Besonderheit: Berlin überwacht neben privaten Unternehmen auch öffentliche Stellen des Landes Berlin — anders als Bayern, wo es eine separate Behörde für öffentliche Stellen gibt.
Meldung des Datenschutzbeauftragten an die Aufsichtsbehörde
Nach Art. 37 Abs. 7 DSGVO kann (nicht muss) der Datenschutzbeauftragte der zuständigen Aufsichtsbehörde gemeldet werden. In der Praxis empfehlen die meisten Aufsichtsbehörden die freiwillige Meldung, da sie die Kontaktaufnahme bei späteren Prüfungen erleichtert.
Die Meldung erfolgt üblicherweise über das Online-Portal der jeweiligen Landesbehörde. Benötigt werden Name, Kontaktdaten des DSB, Name und Sitz des Unternehmens sowie die Kontaktdaten für die Aufsichtsbehörde.
Das Oberverwaltungsgericht Münster hat in einem Urteil (Az. 16 A 845/20) präzisiert, dass die Aufsichtsbehörde berechtigt ist, die Benennung eines DSB zu überprüfen und bei fehlender Qualifikation die Ablösung zu verlangen. Dies unterstreicht die Bedeutung einer sorgfältigen Auswahl nach Art. 37 Abs. 5 DSGVO.
Zuständigkeit bei mehreren Standorten
Hat Ihr Unternehmen Niederlassungen in mehreren Bundesländern, ist grundsätzlich die Behörde des Bundeslandes zuständig, in dem sich die Hauptniederlassung befindet. Bei EU-weit tätigen Unternehmen kann das „One-Stop-Shop“-Prinzip nach Art. 56 DSGVO greifen.
Unterstützung bei der DSGVO-konformen Verwaltung Ihrer Datenschutzpflichten bietet PLANIT // PRIMA. Mehr über PLANIT // PRIMA erfahren.
Wie kommunizieren Unternehmen mit der Aufsichtsbehörde?
Die meisten Aufsichtsbehörden bieten heute digitale Kommunikationskanäle an. Typische Szenarien für die Kontaktaufnahme:
- Datenpannenmeldung: Bei einer Datenschutzverletzung nach Art. 33 DSGVO müssen Sie innerhalb von 72 Stunden melden. Die Meldung erfolgt über das Online-Portal der zuständigen Landesbehörde. Viele Länder nutzen das gemeinsame DSB-Portal unter meldungen.datenschutz.de.
- Anfragen und Beratung: Die Aufsichtsbehörden bieten kostenfreie Beratung an — besonders nützlich vor der Einführung neuer Datenverarbeitungssysteme oder bei unklaren Rechtsfragen.
- Prüfungsverfahren: Bei Beschwerden von Betroffenen oder auf eigene Initiative können die Behörden Prüfungen einleiten und Informationen anfordern. Der Datenschutzbeauftragte ist hier die erste Anlaufstelle nach Art. 39 Abs. 1 lit. e DSGVO.
- Konsultation vor DSFA: Bei risikoreichen Verarbeitungen nach Art. 36 DSGVO muss der Verantwortliche vor Beginn der Verarbeitung die Aufsichtsbehörde konsultieren, wenn die Datenschutz-Folgeabschätzung ergibt, dass ein hohes Restrisiko verbleibt.
DSB-Pflicht: Checkliste nach Bundesland
Die folgende Übersicht fasst zusammen, welche Faktoren in jedem Bundesland für die Pflicht zur Benennung eines DSB relevant sind. Die DSGVO-Anforderungen gelten bundesweit einheitlich. Zusätzliche nationale Regelungen variieren.
| Kriterium | Rechtsgrundlage | Schwellenwert |
|---|---|---|
| Systematische Überwachung | Art. 37 Abs. 1 lit. b DSGVO | Kerntätigkeit + umfangreich |
| Besondere Datenkategorien | Art. 37 Abs. 1 lit. c DSGVO | Kerntätigkeit + umfangreich |
| Beschäftigtenzahl (DE) | § 38 Abs. 1 BDSG | 20 Personen automatisiert |
| Öffentliche Stellen | Art. 37 Abs. 1 lit. a DSGVO | Immer Pflicht |
Hinweis: Einige Bundesländer haben eigene Datenschutzgesetze für den öffentlichen Bereich (z. B. BayDSG, LDSG BW). Für private Unternehmen gilt bundesweit das BDSG ergänzend zur DSGVO.
Praktische Empfehlungen für den Umgang mit Aufsichtsbehörden
Aus der Praxis des Datenschutzmanagements haben sich folgende Empfehlungen bewährt:
- Transparenz zeigen: Aufsichtsbehörden arbeiten einfacher mit Unternehmen zusammen, die offen kommunizieren. Verständnisfragen proaktiv klären, statt Anfragen hinauszuzögern.
- DSB als Ansprechpartner positionieren: Laut Art. 39 Abs. 1 lit. e DSGVO ist der DSB die offizielle Kontaktperson zur Aufsichtsbehörde. Diese Funktion sollte intern klar kommuniziert werden.
- Dokumentation aktuell halten: Das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) ist das zentrale Dokument bei Prüfungen. Es sollte immer aktuell sein.
- Frühzeitig melden: Bei Datenpannen ist frühzeitiges Melden besser als Abwarten. Behörden bewerten das positiv bei der Bußgeldbemessung — Erwägungsgrund 85 DSGVO betont die Kooperationsbereitschaft als Milderungsgrund.
- Zuständige Behörde kennen: Notieren Sie Name, Adresse und Online-Portal Ihrer zuständigen Aufsichtsbehörde schriftlich in Ihrem Datenschutzkonzept.
PLANIT // PRIMA unterstützt Sie dabei, alle DSGVO-Dokumentationspflichten systematisch zu verwalten — einschließlich der Meldeprozesse gegenüber Aufsichtsbehörden. Mehr über PLANIT // PRIMA erfahren.
Häufige Fragen
Wer muss einen Datenschutzbeauftragten benennen?
Unternehmen und öffentliche Stellen müssen einen Datenschutzbeauftragten benennen, wenn sie bestimmte Kriterien erfüllen, wie zum Beispiel die regelmäßige und systematische Überwachung von Personen oder die umfangreiche Verarbeitung besonderer Kategorien von Daten.
Welche Behörde ist für mein Unternehmen zuständig?
Maßgeblich ist der Sitz Ihres Unternehmens. Ein Hamburger GmbH meldet sich an den Hamburgischen Beauftragten für Datenschutz, eine Münchener GmbH an das BayLDA. Bei Behörden, Sozialversicherungsträgern und Telekommunikationsunternehmen ist der BfDI auf Bundesebene zuständig.
Muss ich meinen Datenschutzbeauftragten der Aufsichtsbehörde melden?
Nein, eine gesetzliche Meldepflicht für private Unternehmen besteht nach Art. 37 Abs. 7 DSGVO nicht. Die freiwillige Meldung ist jedoch empfehlenswert, da sie bei späteren Anfragen der Behörde hilfreich ist.
Was passiert, wenn ich keinen Datenschutzbeauftragten benenne, obwohl ich muss?
Die Nicht-Benennung ist ein Bußgeldtatbestand nach Art. 83 Abs. 4 lit. a DSGVO und kann mit Bußgeldern von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden. Aufsichtsbehörden mahnen in der Regel zunächst ab und setzen eine Frist zur Nachbenennung.
Gilt die 20-Personen-Schwelle des BDSG auch für Minijobber?
Ja. Die Schwelle des § 38 Abs. 1 BDSG zählt alle Personen, die ständig automatisiert personenbezogene Daten verarbeiten — unabhängig vom Beschäftigungsumfang. Minijobber, Teilzeitkräfte und externe Dienstleister, die dauerhaft im Unternehmen tätig sind, können mitzuzählen sein.
Kann ein externer Datenschutzbeauftragter für Unternehmen in verschiedenen Bundesländern tätig sein?
Ja. Ein externer Datenschutzbeauftragter kann für Unternehmen in beliebig vielen Bundesländern tätig sein. Die zuständige Aufsichtsbehörde bleibt die des jeweiligen Unternehmensstandorts — nicht die des Wohnsitzes des Datenschutzbeauftragten.
Kontaktdaten des Datenschutzbeauftragten veröffentlichen: Pflicht nach Art. 37 Abs. 7 DSGVO
Art. 37 Abs. 7 DSGVO verpflichtet Unternehmen, die Kontaktdaten des Datenschutzbeauftragten zu veröffentlichen. Dies geschieht typischerweise in der Datenschutzerklärung auf der Unternehmenswebseite. Zu veröffentlichen sind mindestens: Name (oder Funktion), Telefonnummer oder E-Mail-Adresse und ggf. Postadresse. Der vollständige Name muss nur angegeben werden, wenn der Datenschutzbeauftragte damit einverstanden ist — aus Datenschutzgründen kann er auch nur als „Datenschutzbeauftragte/r“ bezeichnet werden.
