Jeder Mitgliedstaat hat mindestens eine Aufsichtsbehörde (Artikel 51 Absatz 1), jede zuständig im Hoheitsgebiet ihres eigenen Staates (Artikel 55 Absatz 1), und ein Softwareunternehmen mit Kunden in der ganzen Union könnte im Grundsatz allen gegenüber verantwortlich sein. Die Antwort der Verordnung darauf ist die federführende Aufsichtsbehörde: für die grenzüberschreitende Verarbeitung ist die Behörde der Hauptniederlassung oder der einzigen Niederlassung des Unternehmens federführend, und sie ist sein einziger Ansprechpartner (Artikel 56 Absätze 1 und 6). Dieser Artikel liest die vier Artikel, die entscheiden, welche Behörde das ist, und das Register, das StandardOS über die Behörden selbst führt, jetzt auf der Meldefrist-Seite und auf jeder Seite eines Mitgliedstaats.

Grenzüberschreitende Verarbeitung: wann sich die Frage stellt

Die Regel der federführenden Behörde gilt für die grenzüberschreitende Verarbeitung, die Artikel 4 Nummer 23 auf zwei Arten definiert: Verarbeitung im Rahmen der Tätigkeiten von Niederlassungen in mehr als einem Mitgliedstaat, oder Verarbeitung im Rahmen einer einzigen Niederlassung, die betroffene Personen in mehr als einem Mitgliedstaat erheblich beeinträchtigt oder voraussichtlich erheblich beeinträchtigen wird. Ein SaaS-Unternehmen mit einem Büro und Kunden in sechs Ländern fällt unter die zweite Variante: eine Niederlassung, betroffene Menschen in mehreren Staaten. Ein Unternehmen mit einem Vertriebsbüro in einem zweiten Staat fällt unter die erste. So oder so liegt grenzüberschreitende Verarbeitung vor, und Artikel 56 gilt. Ein Unternehmen, das nur die Daten der eigenen Beschäftigten in einem Staat verarbeitet, hat keine, und die Behörde seines eigenen Staates ist nach Artikel 55 Absatz 1 zuständig, ganz ohne die Frage nach der federführenden Behörde.

Die Hauptniederlassung: wo die Entscheidungen getroffen werden

Artikel 4 Nummer 16 definiert die Hauptniederlassung für die zwei Rollen unterschiedlich. Für einen Verantwortlichen mit Niederlassungen in mehr als einem Staat ist es der Ort seiner Hauptverwaltung in der Union, es sei denn, die Entscheidungen über Zwecke und Mittel der Verarbeitung werden in einer anderen Niederlassung getroffen, die die Befugnis hat, sie durchsetzen zu lassen; dann ist diese Niederlassung die Hauptniederlassung. Für einen Auftragsverarbeiter ist es der Ort seiner Hauptverwaltung in der Union oder, wenn er keine hat, die Niederlassung, in der die Verarbeitungstätigkeiten hauptsächlich stattfinden. Erwägungsgrund 36 fügt den Maßstab hinzu: die effektive und tatsächliche Ausübung von Managementtätigkeiten, die die Grundsatzentscheidungen über Zwecke und Mittel durch feste Einrichtungen festlegen; das Vorhandensein von Servern oder technischer Mittel in einem Staat macht ihn nicht zur Hauptniederlassung. Ein Softwareunternehmen mit Sitz in einem Staat, Rechenzentrum in einem zweiten und Entwicklern in einem dritten hat seine Hauptniederlassung also dort, wo sein Management entscheidet, was verarbeitet wird und warum, und die Behörden des zweiten und dritten Staates sind betroffene Aufsichtsbehörden (Artikel 4 Nummer 22), nicht die federführende. Ist ein Unternehmen zugleich Verantwortlicher und Auftragsverarbeiter, belässt Erwägungsgrund 36 die Federführung bei der Behörde des Staates, in dem der Verantwortliche seine Hauptniederlassung hat.

Die federführende Behörde und die drei Wege, auf denen eine andere einen Fall behält

Artikel 56 Absatz 1 macht die Behörde der Hauptniederlassung zur federführenden Aufsichtsbehörde für die grenzüberschreitende Verarbeitung, im Verfahren der Zusammenarbeit nach Artikel 60 mit jeder betroffenen Behörde. Artikel 56 Absatz 6 macht sie zum einzigen Ansprechpartner des Verantwortlichen oder Auftragsverarbeiters für diese Verarbeitung: eine Behörde, der gemeldet wird, eine, die antwortet, eine, die den Beschluss entwirft. Artikel 56 Absatz 2 ist die Ausnahme: jede Behörde ist zuständig, eine bei ihr eingereichte Beschwerde oder einen möglichen Verstoß zu behandeln, wenn der Gegenstand nur eine Niederlassung in ihrem Staat betrifft oder betroffene Personen nur in ihrem Staat erheblich beeinträchtigt, der lokale Fall des Erwägungsgrunds 127, dessen Beispiel die Verarbeitung von Beschäftigtendaten im Beschäftigungskontext eines Staates ist. Sie unterrichtet die federführende Behörde unverzüglich, und diese hat drei Wochen, um zu entscheiden, ob sie den Fall übernimmt (Artikel 56 Absatz 3); tut sie es, kann die lokale Behörde einen Beschlussentwurf vorlegen, den die federführende weitestgehend berücksichtigen muss (56 Absatz 4), und tut sie es nicht, behandelt die lokale Behörde ihn nach den Artikeln 61 und 62 (56 Absatz 5). Artikel 55 Absatz 2 nimmt Behörden und Stellen, die nach Artikel 6 Absatz 1 Buchstabe c oder e handeln, ganz aus dem Mechanismus heraus: für sie ist die Behörde des betreffenden Staates zuständig, und Artikel 56 gilt nicht.

Keine Niederlassung in der Union: keine federführende Behörde

Ein Unternehmen außerhalb der Union, das Menschen in ihr Waren oder Dienstleistungen anbietet oder ihr Verhalten beobachtet, unterliegt der Verordnung nach Artikel 3 Absatz 2 und muss nach Artikel 27 Absatz 1 einen Vertreter in der Union benennen, in einem Staat, in dem die Menschen sind, deren Daten es verarbeitet (27 Absatz 3). Der Vertreter begründet keine Hauptniederlassung, und der One-Stop-Shop nach Artikel 56 gilt nicht: Erwägungsgrund 122 macht jede Behörde zuständig für Verarbeitungen eines nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiters, wenn sie sich an betroffene Personen mit Wohnsitz in ihrem Hoheitsgebiet richten. Ein solches Unternehmen kann daher jeder Behörde gegenüber verantwortlich sein, deren Einwohner es anspricht, und seine Meldung einer Datenpanne geht an jede von ihnen. Die kostenlose Bestimmung sagt, welche der Pflichten, der Vertreter und die anderen, für ein bestimmtes Unternehmen gelten.

Wohin die Meldung einer Datenpanne geht

Artikel 33 Absatz 1 verpflichtet den Verantwortlichen, die Verletzung des Schutzes personenbezogener Daten der nach Artikel 55 zuständigen Aufsichtsbehörde zu melden, binnen 72 Stunden, nachdem sie ihm bekannt wurde. Bei grenzüberschreitender Verarbeitung ist das die federführende Behörde nach Artikel 56; bei einem Unternehmen in einem einzigen Staat seine eigene Behörde; bei einem Unternehmen ohne Niederlassung in der Union die Behörde jedes Staates, dessen Einwohner betroffen sind. Das Register, das StandardOS führt, ist die Mitgliederliste des Ausschusses selbst: 27 Behörden für die 27 Mitgliedstaaten und die Behörden von Island, Liechtenstein und Norwegen, Mitglieder in DSGVO-Fragen ohne Stimmrecht, 30 Zeilen, jede mit dem Namen, den der Ausschuss aufführt, und der Website, die er zuerst nennt, gelesen am 12. September 2026. Der Ausschuss vermerkt, dass die Zuständigkeit in zwei Staaten, Österreich und Deutschland, auf mehrere Behörden verteilt ist, und verweist auf die Liste, die die Bundesbeauftragte für die Länder führt; ein in Deutschland niedergelassenes Unternehmen sucht seine Behörde dort nach Land. Wählen Sie den Staat der Hauptniederlassung auf der Meldefrist-Seite, und die Auswertung nennt die Behörde mit ihrer Adresse, und die nach Artikel 33 Absatz 3 geschriebene Meldung führt sie unter einer eigenen Überschrift.

Was damit zu tun ist

Das Verzeichnis der Verarbeitungstätigkeiten fragt bereits, wo das Unternehmen niedergelassen ist; fügen Sie ihm eine Zeile hinzu, die die Hauptniederlassung und den Grund nennt, den Ort der Hauptverwaltung oder die Niederlassung, die die Entscheidungen trifft, und die federführende Behörde, die daraus folgt. Diese Zeile ist es, wonach der Auftragsverarbeitungsvertrag, den ein Kunde schickt, fragen wird, an wen sich die Datenschutz-Folgenabschätzung nach Artikel 36 richtet, wenn eine Konsultation nötig ist, und wen das Verfahren für Datenpannen als Empfänger nennt, bevor jemand unter der Frist steht. StandardOS schreibt sie aus dem Staat im Verzeichnis und öffnet die Frist von 72 Stunden mit der bereits genannten Behörde.