Wohin melden Sie eine Datenpanne?

In Deutschland gibt es 18 Datenschutz-Aufsichtsbehörden: eine des Bundes und 17 der Länder, weil Bayern als einziges Land zwei führt. Die Übersicht nennt je Bundesland und Bereich die zuständige Behörde, ihren Meldeweg nach Art. 33 DSGVO, die Hauptadresse und, wo belegt, die Anschrift.

So geht es

1. Bundesland wählenIm nicht-öffentlichen Bereich überwachen die nach Landesrecht zuständigen Behörden die Anwendung der Datenschutzvorschriften (§ 40 Abs. 1 BDSG). Der Bund ist die Ausnahme und nicht der Regelfall.
2. Bereich wählenIn 15 Ländern beaufsichtigt eine Behörde den öffentlichen und den nicht-öffentlichen Bereich. Getrennt ist allein Bayern: das BayLDA für den nicht-öffentlichen, der BayLfD für den öffentlichen Bereich.
3. Meldeweg lesen, Hauptadresse behaltenZu jeder Behörde steht, ob der Meldeweg ein Online-Dienst ist, ein Formular zum Ausfüllen und Einreichen, oder ob er nicht belegt werden konnte. Die Hauptadresse steht immer daneben, weil sie einen Umzug des Formularservers überlebt.
4. Frist nicht mit der Suche verbrauchenDie Suche nach dem richtigen Formular findet innerhalb der 72 Stunden statt (Art. 33 Abs. 1 DSGVO). Führt ein Meldeweg ins Leere, nehmen Sie über die Hauptadresse der Behörde Kontakt auf, statt weiterzusuchen.

Warum Art. 55 die Frage nicht beantwortet

Art. 33 Abs. 1 DSGVO verweist auf die gemäß Artikel 55 zuständige Aufsichtsbehörde. Art. 55 verteilt jedoch zwischen den Mitgliedstaaten und nicht zwischen Bund und Ländern: Jede Aufsichtsbehörde ist im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig. Welche der 18 deutschen Behörden gemeint ist, ergibt sich aus § 9 und § 40 BDSG und aus dem Recht des jeweiligen Landes.

Der oder die Bundesbeauftragte ist dabei nicht die Anlaufstelle des gewöhnlichen Unternehmens. Zuständig ist der Bund für die öffentlichen Stellen des Bundes, auch soweit sie als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen, sowie für Unternehmen, soweit diese für die geschäftsmäßige Erbringung von Telekommunikationsdienstleistungen Daten verarbeiten (§ 9 Abs. 1 BDSG).

Mehrere Niederlassungen: Hauptverwaltung statt Registersitz

§ 40 Abs. 1 BDSG sagt nur, dass die nach Landesrecht zuständigen Behörden überwachen; die Regel für mehrere inländische Niederlassungen steht in Absatz 2. Dann bestimmt sich die zuständige Behörde nach Art. 4 Nr. 16 DSGVO entsprechend: Maßgeblich ist die Hauptverwaltung in der Union, also der Ort, an dem über Zwecke und Mittel der Verarbeitung entschieden wird, und nicht der Handelsregistersitz.

Halten sich mehrere Behörden für zuständig oder für unzuständig oder ist die Zuständigkeit aus anderen Gründen zweifelhaft, entscheiden die Aufsichtsbehörden gemeinsam (§ 40 Abs. 2 Satz 2 BDSG). Diese Übersicht ist deshalb ein Nachschlagewerk und keine Zuordnung für den Einzelfall.

Was „Meldeweg nicht belegt“ bedeutet

Die Einträge stammen aus einem Abruf der Behördenseiten, geprüft am 12.08.2026. Wo der Meldeweg dabei nicht bestätigt werden konnte, steht genau das da und keine plausibel klingende Adresse: Ein Link, der ins Leere führt, kostet Stunden der Frist und hält den Verantwortlichen für erledigt.

Ebenso getrennt geführt ist der Online-Dienst vom Formular. Wo herunterzuladen, auszufüllen und einzureichen ist, steht das dabei. Wer eine Formularseite sucht, die es nicht gibt, sucht mitten in der laufenden Frist – und das ist der Grund, warum bei jeder Behörde auch die Anschrift steht, soweit sie belegt ist.

Häufige Fragen

Diese Übersicht ist ein Nachschlagewerk und keine Zuständigkeitsauskunft für den Einzelfall. BetroffenenRecht24 dokumentiert Fristen und stellt Textbausteine bereit, es ist keine Rechtsberatung im Einzelfall; die Bewertung bleibt beim Verantwortlichen.