Zuständige Datenschutzbehörde: BfDI oder Landesbehörde?

Deutschland hat keine einzige Datenschutzbehörde. Es gibt eine Behörde auf Bundesebene und siebzehn auf Landesebene, und die Grenze zwischen ihnen ist keine Frage der Praxis oder der Zweckmäßigkeit. Sie ist im Bundesdatenschutzgesetz gezogen, nach der Art der Stelle, und sie entscheidet, an welchen Schreibtisch eine Beschwerde oder eine Meldung geht.

In vielen knappen Erklärungen liest man, BfDI und Landesbehörden würden das deutsche Datenschutzrecht gemeinsam durchsetzen. Diese Beschreibung ist in einem entscheidenden Punkt falsch. § 40 Abs. 1 BDSG weist die Aufsicht über nichtöffentliche Stellen den zuständigen Behörden der Länder zu. § 9 Abs. 1 BDSG beschränkt die oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit auf öffentliche Stellen des Bundes und auf einen abgegrenzten Ausschnitt der Verarbeitung im Bereich der Telekommunikation.

Die praktische Folge ist eindeutig. Für nahezu jedes deutsche Unternehmen ist die Landesbehörde am Sitz des Unternehmens zuständig, und der BfDI ist überhaupt nicht zuständig. Eine Beschwerde über einen privaten Arbeitgeber, einen Webshop oder einen Vermieter beim BfDI einzureichen, schickt sie an den falschen Schreibtisch.

In der üblichen Zusammenfassung steckt zudem eine Zählfalle. Deutschland hat sechzehn Bundesländer, aber siebzehn Landesdatenschutzbehörden, weil Bayern zwei davon unterhält, getrennt nach derselben Logik von öffentlich und nichtöffentlich, die sich durch die ganze Seite zieht.

Diese Seite stellt die gesetzliche Aufteilung dar, eine Regel zur Bestimmung der zuständigen Behörde für eine bestimmte Organisation, die siebzehn Landesbehörden namentlich, die Stellen, die vollständig außerhalb dieses Systems stehen, sowie was eine Datenschutzbeschwerde ist und was nicht.

Informationen zuletzt geprüft am 20. Juli 2026. Diese Seite enthält allgemeine rechtliche Informationen und stellt keine Rechtsberatung im Einzelfall dar.

Die Aufteilung nach Stellenart ist gesetzlich vorgegeben

Beginnen wir mit den beiden Vorschriften, denn alles Weitere folgt aus ihnen.

§ 40 Abs. 1 BDSG, überschrieben mit Aufsichtsbehörden der Länder, bestimmt, dass die zuständigen Behörden der Länder die Anwendung der Datenschutzvorschriften bei nichtöffentlichen Stellen im Anwendungsbereich der DSGVO überwachen. Nichtöffentliche Stellen sind in § 2 Abs. 4 BDSG definiert als natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des Privatrechts. Das ist im Grunde die gesamte Privatwirtschaft: die GmbH, die AG, der Einzelunternehmer, der Verein, die Praxis, der gewerblich handelnde private Vermieter.

§ 9 Abs. 1 BDSG regelt daneben die Seite des Bundes. Der BfDI ist zuständig für die Aufsicht über die öffentlichen Stellen des Bundes, einschließlich solcher, die als öffentlich-rechtliche Wettbewerbsunternehmen am Wettbewerb teilnehmen, sowie über Unternehmen, soweit sie personenbezogene Daten natürlicher oder juristischer Personen für die geschäftsmäßige Erbringung von Telekommunikationsdiensten verarbeiten und sich die Zuständigkeit nicht bereits aus § 29 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes ergibt.

Der BfDI beschreibt seinen eigenen Zuständigkeitsbereich in denselben Begriffen und ergänzt Details. Auf seiner Aufgabenseite stellt er sich als Datenschutzaufsichtsbehörde für sämtliche öffentliche Stellen des Bundes dar und nennt zusätzlich bestimmte Träger der Sozialversicherung, die Finanzbehörden sowie Telekommunikations- und Postunternehmen hinsichtlich der von ihnen erbrachten Dienstleistungen. Das ist eine umfangreichere Liste, als der bloße Gesetzeswortlaut nahelegt, aber es bleibt eine Liste öffentlicher Stellen des Bundes zuzüglich zweier regulierter Netzsektoren. Die Privatwirtschaft gehört nicht dazu.

Liest man beide Vorschriften zusammen, ergibt sich eine Aufteilung, keine geteilte Zuständigkeit. Öffentliche Stellen des Bundes und ein abgegrenzter Telekommunikationsbereich gehen an den BfDI. Die Privatwirtschaft geht an die Landesbehörden. Öffentliche Stellen eines Landes gehen an die eigene Behörde dieses Landes nach dem jeweiligen Landesdatenschutzgesetz.

Auf der Bundesseite gibt es sogar eine ausdrückliche Ausnahme. § 9 Abs. 2 BDSG bestimmt, dass der BfDI nicht zuständig ist für die Aufsicht über die Verarbeitung durch die Gerichte des Bundes in Ausübung ihrer rechtsprechenden Tätigkeit. Die rechtsprechende Tätigkeit wird durch das Gerichtssystem selbst kontrolliert, nicht durch die Datenschutzaufsicht.

Die Landesbehörden sind also keine untergeordneten Partner einer nationalen Aufsichtsbehörde. In dem Bereich, der für nahezu jeden Leser von Bedeutung ist, der Verarbeitung in der Privatwirtschaft, sind sie die einzige zuständige Behörde, und der BfDI hat gegenüber dem Unternehmen überhaupt keine Aufsichtsfunktion.

Warum sich die Version von der gemeinsamen Durchsetzung hartnäckig hält

Zwei Umstände nähren diese Verwechslung, und beide sind real.

Der erste ist, dass der BfDI tatsächlich die sichtbarste Datenschutzstelle in Deutschland ist. Er veröffentlicht einen Tätigkeitsbericht, tritt in bundesweiten Medien auf, sitzt im Europäischen Datenschutzausschuss, und er ist die Behörde, deren Namen die meisten Menschen kennen. Sichtbarkeit ist aber nicht dasselbe wie Zuständigkeit.

Der zweite ist, dass die Behörden tatsächlich zusammenarbeiten, und das steht so in § 18 BDSG. § 18 Abs. 1 BDSG verpflichtet den BfDI und die Landesbehörden zur Zusammenarbeit in Angelegenheiten der Europäischen Union mit dem Ziel einer einheitlichen Anwendung der DSGVO und der Richtlinie (EU) 2016/680, und sieht vor, dass vor der Weitergabe eine gemeinsame Position abgestimmt wird. § 18 Abs. 2 BDSG regelt, was geschieht, wenn keine Einigung erzielt wird, einschließlich einer Abstimmung, bei der Bund und jedes Land je eine Stimme haben und Enthaltungen nicht mitgezählt werden.

Die Abstimmung einer gemeinsamen Position ist nicht dasselbe wie eine parallele Zuständigkeit für ein Unternehmen. § 18 BDSG koordiniert, wie die deutschen Behörden auf europäischer Ebene auftreten. Er verschiebt keinen bayerischen Einzelhändler auf den Schreibtisch des BfDI.

Die zuständige Behörde bestimmen

Für eine Organisation ist die Prüfung kurz.

Erstens: Ist die Stelle öffentlich oder nichtöffentlich im Sinne des § 2 BDSG? Eine öffentliche Stelle des Bundes geht nach § 9 Abs. 1 BDSG an den BfDI. Eine öffentliche Stelle eines Landes geht an die Aufsichtsbehörde dieses Landes nach dessen eigenem Landesdatenschutzgesetz.

Zweitens: Ist die Stelle nichtöffentlich, unterstellt sie § 40 Abs. 1 BDSG den Landesbehörden, und die Frage lautet, welches Land. Die übliche Antwort ist das Land, in dem die Organisation niedergelassen ist.

Drittens: der Fall der Organisation mit Standorten in mehr als einem Land. § 40 Abs. 2 Satz 1 BDSG bestimmt, dass bei mehreren Niederlassungen im Inland Art. 4 Nr. 16 DSGVO entsprechend gilt. Dieser Artikel enthält die DSGVO-Definition der Hauptniederlassung, und § 40 Abs. 2 BDSG überträgt sie unverändert auf den rein innerdeutschen Fall. Die Folge ist, dass ein Unternehmen mit Niederlassungen in fünf Ländern für dieselbe Verarbeitung nicht fünf Aufsichtsbehörden gegenübersteht. Federführend ist die Behörde des Landes, in dem sich die Hauptniederlassung befindet.

Viertens gibt es eine im Gesetz selbst angelegte Lösung für den Fall, dass sich die Frage damit noch nicht klärt. § 40 Abs. 2 Satz 2 BDSG bestimmt, dass die Behörden bei einer gemeinsamen Zuständigkeit oder Unzuständigkeit mehrerer Behörden oder bei sonstigen Zweifeln über die Zuständigkeit eine gemeinsame Entscheidung nach § 18 Abs. 2 BDSG treffen. Der Leser muss einen Zuständigkeitsstreit nicht selbst lösen: Das Gesetz verpflichtet die Behörden, ihn untereinander zu klären.

Ein Beispiel zur Veranschaulichung. Eine GmbH hat ihren Sitz und ihre Geschäftsleitung in Stuttgart, ein Lager in Rheinland-Pfalz und ein kleines Verkaufsbüro in Sachsen. Die Entscheidungen über die Verarbeitung von Kunden- und Personaldaten werden in Stuttgart getroffen. Baden-Württemberg enthält damit die Hauptniederlassung im Sinne des durch § 40 Abs. 2 BDSG übernommenen Begriffs, sodass die baden-württembergische Behörde die Aufsicht führt und auch dieselbe Behörde die Meldung eines Datenschutzbeauftragten entgegennimmt. Würde die Gruppe stattdessen von einer Hamburger Holdinggesellschaft aus geführt und der Standort Stuttgart lediglich Weisungen ausführen, würde sich die Bewertung an der Entscheidungsgewalt orientieren, nicht an der Quadratmeterzahl.

Fünftens: Handelt es sich um Bayern, kommt ein weiterer Schritt hinzu, der Gegenstand des nächsten Abschnitts ist.

Die bayerische Aufteilung: warum es siebzehn Behörden sind

Bayern ist die strukturelle Ausnahme, die jeder Leser kennen sollte, denn es ist das einzige Land, das die Datenschutzaufsicht auf zwei völlig getrennte Behörden aufteilt. Die Aufteilung folgt genau derselben Logik von öffentlich und nichtöffentlich, die § 40 Abs. 1 BDSG und § 9 Abs. 1 BDSG auf Bundesebene anwenden, nur eine Ebene tiefer wiederholt.

Der Bayerische Landesbeauftragte für den Datenschutz, erreichbar unter datenschutz-bayern.de, ist die Behörde für bayerische öffentliche Stellen: die Staatsverwaltung, die Kommunen, öffentliche Krankenhäuser, die Polizei, die Gerichte in ihrer Verwaltungstätigkeit und den übrigen bayerischen öffentlichen Sektor.

Das Bayerische Landesamt für Datenschutzaufsicht, erreichbar unter lda.bayern.de, ist die Behörde für den nichtöffentlichen Bereich in Bayern. Es beschreibt seinen eigenen Zuständigkeitsbereich als die Aufsicht über nichtöffentliche Stellen und ist damit die richtige Adresse für ein bayerisches Unternehmen, einen Verein, eine Freiberuflerin oder eine Praxis, und dort meldet ein bayerischer Verantwortlicher auch seinen Datenschutzbeauftragten.

Ein Leser in Bayern muss die Wahl daher aktiv treffen, statt einfach einen einzelnen Namen nachzuschlagen. Eine Beschwerde über einen Münchner Einzelhändler geht an das Landesamt für Datenschutzaufsicht, eine Beschwerde über ein Münchner Amt an den Landesbeauftragten für den Datenschutz. Sechzehn Länder, siebzehn Landesbehörden, und die siebzehnte gibt es, weil Bayern die Grenze zwischen öffentlich und nichtöffentlich institutionell gezogen hat und nicht nur intern.

Die siebzehn Landesbehörden

Jedes Land hat seine eigene Behörde, mit eigenem Namen, eigener Leitung und eigenen veröffentlichten Hinweisen. Die Namen unterscheiden sich, und mehrere davon folgen keinem naheliegenden Muster: Schleswig-Holstein hat ein Unabhängiges Landeszentrum für Datenschutz, das Saarland ein Unabhängiges Datenschutzzentrum, und Sachsen eine Datenschutz- und Transparenzbeauftragte.

Zwei Besonderheiten bei den Namen verdienen Erwähnung. Mehrere Behörden sind zugleich die Stelle für Informationsfreiheit ihres Landes, weshalb Informationsfreiheit in so vielen der Bezeichnungen vorkommt, und dieselbe Stelle bearbeitet damit ein ganz anderes zweites Rechtsgebiet. Die Brandenburger Behörde trägt aus demselben Grund das Recht auf Akteneinsicht in ihrem Namen.

Die Bezeichnungen ändern sich auch mit der Person im Amt, denn die meisten dieser Namen sind grammatisch geschlechtsspezifisch. Dieselbe Stelle kann je nach aktueller Amtsinhaberin oder aktuellem Amtsinhaber als Der Landesbeauftragte oder Die Landesbeauftragte erscheinen, weshalb eine Landesbehörde manchmal umbenannt wirkt, obwohl sich nur die Person im Amt geändert hat.

Stellen außerhalb des Systems

Zwei Gruppen stehen außerhalb der oben beschriebenen Bundes- und Landesstruktur, und beide werden häufig übersehen.

Die erste sind die Kirchen. Die katholische Kirche und die Evangelische Kirche in Deutschland betreiben ihre eigene Datenschutzaufsicht nach ihrem eigenen Kirchendatenschutzrecht statt nach dem BDSG, und sie verfügen über eigene Aufsichtsstellen. § 18 Abs. 1 BDSG greift dies mittelbar auf, indem er verlangt, dass die nach Art. 85 und Art. 91 DSGVO eingerichteten besonderen Aufsichtsbehörden am Kooperationsverfahren beteiligt werden, soweit sie betroffen sind. Für den Leser ist der Punkt eng, aber entscheidend: Eine Angelegenheit, die einen kirchlichen Arbeitgeber oder eine kirchliche Einrichtung betrifft, ist in der Regel keine Sache der Landesbehörde, sondern gehört zur eigenen Datenschutzstelle der jeweiligen Kirche.

Die zweite ist der Rundfunk. Die öffentlich-rechtlichen Rundfunkanstalten unterliegen für den journalistisch-redaktionellen Teil ihrer Tätigkeit einer eigenen Datenschutzaufsicht statt der allgemeinen Behörde, was sich ebenfalls in der Bezugnahme auf Art. 85 DSGVO in § 18 Abs. 1 BDSG widerspiegelt. Die Grenze zwischen dem journalistisch-redaktionellen und dem gewöhnlichen verwaltenden Teil einer Rundfunkanstalt ist nicht immer eindeutig, und diese Seite versucht nicht, sie zu ziehen.

Über die Feststellung hinaus, dass diese beiden Systeme bestehen und ihre Angelegenheiten außerhalb des gewöhnlichen Wegs behandeln, stellt diese Seite ihre internen Regeln nicht dar. Es handelt sich um eigenständige Rechtsordnungen mit eigenen Verfahren.

Was eine Datenschutzbeschwerde tatsächlich ist

Eine Datenschutzbeschwerde ist eine Beschwerde einer betroffenen Person bei einer Aufsichtsbehörde über die Verarbeitung ihrer personenbezogenen Daten. Es handelt sich um einen aufsichtsrechtlichen Schritt, der bewusst niedrigschwellig gehalten ist.

Sie kostet nichts. Die Behörden erheben für die Bearbeitung einer Beschwerde einer betroffenen Person keine Gebühr.

Sie braucht keinen Anwalt. Eine anwaltliche Vertretung ist keine Voraussetzung dafür, eine Beschwerde einzureichen oder für ein Tätigwerden der Behörde.

Sie braucht keine bestimmte Form. Es gibt keine vorgeschriebene Vorlage, und die Behörden nehmen Beschwerden schriftlich per Post, über eigene Online-Formulare und in den meisten Ländern auch per E-Mail entgegen. Viele Behörden veröffentlichen ein Online-Formular, um den Schritt zu erleichtern, aber dessen Nutzung ist eine Erleichterung und keine Pflicht.

Hilfreich ist der Inhalt, nicht das Format. Eine Beschwerde lässt sich für eine Behörde leichter bearbeiten, wenn sie die verantwortliche Organisation klar benennt, die beanstandete Verarbeitung und deren Zeitpunkt beschreibt und bereits vorhandenen Schriftverkehr beifügt, etwa ein unbeantwortet gebliebenes Auskunftsersuchen. Der Weg über ein Auskunftsersuchen ist unter Auskunftsrecht beschrieben.

Was die Behörde tun kann, und was nicht

Ist eine Beschwerde eingegangen, verfügt die Behörde über echte Ermittlungsbefugnisse, von denen zwei unmittelbar aus § 40 BDSG stammen.

§ 40 Abs. 4 BDSG verpflichtet die beaufsichtigten Stellen, der Behörde die zur Erfüllung ihrer Aufgaben erforderlichen Auskünfte zu erteilen, mit einem begrenzten Auskunftsverweigerungsrecht der auskunftspflichtigen Person, wenn die Auskunft sie der Gefahr einer Strafverfolgung aussetzen würde. § 40 Abs. 5 BDSG erlaubt von der Behörde beauftragten Personen das Betreten von Geschäftsräumen und den Zugriff auf Datenverarbeitungsanlagen. § 40 Abs. 3 BDSG begrenzt, was die Behörde anschließend mit den von ihr gespeicherten Daten tun darf, und erlaubt ihr in bestimmten Fällen, betroffene Personen zu unterrichten, Verstöße zu melden und in schweren Fällen die Gewerbeaufsicht einzubeziehen.

§ 40 Abs. 6 BDSG gibt der Behörde außerdem die Befugnis, die Abberufung eines Datenschutzbeauftragten zu verlangen, dem die erforderliche Fachkunde fehlt, oder, im Fall des Art. 38 Abs. 6 DSGVO, wenn ein schwerwiegender Interessenkonflikt besteht. Die Bestellungsregeln selbst sind unter Datenschutzbeauftragter dargestellt.

Nun zu den Grenzen, die ebenso wichtig sind.

Eine Beschwerde ist ein aufsichtsrechtliches Verfahren, kein Anspruch. Die Behörde handelt im öffentlichen Interesse, um die Verarbeitung mit dem Recht in Einklang zu bringen. Sie tritt nicht als Vertreterin der beschwerdeführenden Person auf und spricht ihr kein Geld zu.

Schadensersatz ist eine gesonderte zivilrechtliche Angelegenheit. Ein Schadensersatzanspruch wird gegen den Verantwortlichen vor den ordentlichen Zivilgerichten geltend gemacht, mit eigenem Zeitrahmen und eigenen Kosten, und läuft nicht über die Aufsichtsbehörde. Ein aufsichtsrechtliches Ergebnis und ein Schadensersatzergebnis ersetzen einander nicht, und keines der beiden ergibt sich automatisch aus dem anderen.

Eine Beschwerde macht auch die Verarbeitung nicht von selbst rückgängig, zwingt ein Unternehmen nicht, ein Konto oder eine Mitarbeiterin oder einen Mitarbeiter wieder einzusetzen, und entscheidet keinen vertraglichen Streit, bei dem zufällig auch Daten eine Rolle spielen.

Was eine Beschwerde erbringt, ist eine Antwort. Die beschwerdeführende Person wird über das Ergebnis unterrichtet, und hält sie die Bearbeitung durch die Behörde für unzureichend, steht ihr der Rechtsweg offen: § 20 Abs. 1 BDSG bestimmt, dass für Streitigkeiten zwischen einer natürlichen oder juristischen Person und einer Aufsichtsbehörde des Bundes oder eines Landes über Rechte aus Art. 78 Abs. 1 und Abs. 2 DSGVO der Verwaltungsrechtsweg gegeben ist.

Wenn die Beschwerde bei der falschen Behörde landet

Dieser Teil nimmt der vorangegangenen Zuständigkeitsprüfung einen Teil ihres Schreckens, und er ist ausdrücklich geregelt.

§ 19 Abs. 2 BDSG behandelt die fehlgeleitete Beschwerde. Die Behörde, bei der eine betroffene Person eine Beschwerde eingereicht hat, leitet sie an die nach § 19 Abs. 1 BDSG bestimmte federführende Aufsichtsbehörde weiter oder andernfalls an die zuständige Behörde. Ist die empfangende Behörde sachlich nicht zuständig, wird die Beschwerde an die Behörde am Wohnsitz der beschwerdeführenden Person weitergeleitet. Die übernehmende Behörde bearbeitet die Beschwerde dann nach den Regeln der Zusammenarbeit und Kohärenz und erfüllt die damit verbundenen Pflichten.

Eine bei der falschen deutschen Behörde eingereichte Beschwerde geht also nicht verloren und muss nicht neu gestellt werden. Sie wird weitergeleitet.

§ 19 Abs. 1 BDSG ist die zugehörige Regel für die federführende Behörde. Federführende Aufsichtsbehörde eines Landes im Kooperations- und Kohärenzverfahren ist die Behörde des Landes, in dem der Verantwortliche oder der Auftragsverarbeiter seine Hauptniederlassung im Sinne des Art. 4 Nr. 16 DSGVO oder seine einzige Niederlassung in der Europäischen Union im Sinne des Art. 56 Abs. 1 DSGVO hat. Sind sich die Behörden uneinig, wer federführend ist, verweist § 19 Abs. 1 BDSG die Frage in das Verfahren nach § 18 Abs. 2 BDSG.

Die praktische Lesart des Ganzen: die Niederlassung im jeweiligen Land bestimmen und sich zunächst dorthin wenden, und stellt sich diese Bestimmung als falsch heraus, verschiebt das Gesetz die Akte, statt sie zu schließen.

Einordnung in das größere Bild

Die Aufsicht ist eines von mehreren deutschen Datenschutzthemen, die vom europäischen Grundmodell abweichen. Die Bestellschwelle für einen Datenschutzbeauftragten hat eine nationale Ebene in § 38 BDSG, Beziehungen zu Dienstleistern werden durch schriftliche Verarbeitungsvereinbarungen geregelt, beschrieben unter Auftragsverarbeitungsverträge, die Überwachung am Arbeitsplatz ist ein eigenes Feld und wird unter Überwachung am Arbeitsplatz behandelt, und der Weg der individuellen Rechte beginnt beim Auskunftsrecht.

Die weiteren deutschen Datenschutzinhalte sind unter Datenschutz in Deutschland gesammelt, und der Länderleitfaden findet sich unter Deutschland.

Diese Seite beschreibt das System und die gesetzlichen Regeln, die die Zuständigkeit darin verteilen. Sie bewertet nicht die Lage einer bestimmten Organisation, berät keinen Leser dazu, ob er eine Beschwerde einreichen sollte, und schätzt nicht die Erfolgsaussichten einer Beschwerde oder eines Anspruchs ein. Eine solche individuelle Bewertung ist in Deutschland eine erlaubnispflichtige Tätigkeit nach § 2 RDG.