Welche häufigen Fehler gibt es bei DSGVO One-Stop-Shop (VO 2016/679, Art. 56, 60–66)?

„Ich kann mir die Aufsichtsbehörde aussuchen (Forum Shopping)." Nein – die federführende Behörde folgt der tatsächlichen Entscheidungsstruktur in der EU, nicht dem formalen Firmensitz oder der Marketingadresse. „Ein EU-Vertreter nach Art. 27 begründet den One-Stop-Shop." Nein – ohne Niederlassung in der EU gibt es keine Hauptniederlassung und damit keine federführende Behörde.

DSGVO One-Stop-Shop (VO 2016/679, Art. 56, 60–66) – Federführende Aufsichtsbehörde bei grenzüberschreitender Verarbeitung In Kraft

Q: Was regelt DSGVO One-Stop-Shop (VO 2016/679, Art. 56, 60–66) – Federführende Aufsichtsbehörde bei grenzüberschreitender Verarbeitung?

Bei grenzüberschreitender Verarbeitung personenbezogener Daten gilt nach Art. 56 DSGVO (Verordnung (EU) 2016/679) das One-Stop-Shop-Prinzip: Zuständig für Aufsicht und Bußgelder ist eine einzige „federführende Aufsichtsbehörde" – die Behörde des Mitgliedstaats, in dem der Verantwortliche oder Auftragsverarbeiter seine Hauptniederlassung (Art. 4 Nr. 16) oder einzige Niederlassung hat. Sie ist nach Art. 56 Abs.

Q: Für wen gilt DSGVO One-Stop-Shop (VO 2016/679, Art. 56, 60–66)?

Der One-Stop-Shop greift nur bei grenzüberschreitender Verarbeitung im Sinne von Art. 4 Nr. 23 DSGVO. Das ist der Fall, wenn der Verantwortliche oder Auftragsverarbeiter Niederlassungen in mehreren Mitgliedstaaten hat und die Verarbeitung in Tätigkeiten dieser Niederlassungen erfolgt – oder wenn die Verarbeitung erhebliche Auswirkungen auf Betroffene in mehr als einem Mitgliedstaat hat bzw. haben kann.

Kurzantwort Bei grenzüberschreitender Verarbeitung personenbezogener Daten gilt nach Art. 56 DSGVO (Verordnung (EU) 2016/679) das One-Stop-Shop-Prinzip: Zuständig für Aufsicht und Bußgelder ist eine einzige „federführende Aufsichtsbehörde" – die Behörde des Mitgliedstaats, in dem der Verantwortliche oder Auftragsverarbeiter seine Hauptniederlassung (Art. 4 Nr. 16) oder einzige Niederlassung hat. Sie ist nach Art. 56 Abs. 6 der einzige Ansprechpartner des Unternehmens für diese Verarbeitung. Die übrigen „betroffenen" Aufsichtsbehörden wirken über das Kooperationsverfahren des Art. 60 mit (Beschlussentwurf, 4 Wochen für maßgebliche und begründete Einsprüche); bei Streit entscheidet der Europäische Datenschutzausschuss (EDSA) verbindlich nach Art. 65. Als EU-Verordnung gilt die DSGVO unmittelbar in Deutschland; national ergänzen §§ 17–19 und § 40 BDSG die Zuständigkeiten zwischen Bund und Ländern. Für rein innerstaatliche Fälle und für Behörden/öffentliche Stellen (Art. 55 Abs. 2) gilt der One-Stop-Shop nicht. Die DSGVO-Verfahrensverordnung (VO (EU) 2025/2518) ergänzt das Verfahren mit festen Fristen – nach der bestehenden Nexvyra-Seite dazu überwiegend ab 2. April 2027 anwendbar.

Kernfakten

Punkt	Wert
Rechtsgrundlage	Art. 55, 56, 60–66 i. V. m. Art. 4 Nr. 16 und Nr. 23 DSGVO – Verordnung (EU) 2016/679 [eur-lex.europa.eu, CELEX:32016R0679]
Rechtsnatur	EU-Verordnung – unmittelbar in DE anwendbar, kein Umsetzungsgesetz nötig; ergänzend BDSG
Geltungsbeginn	25. Mai 2018 [Art. 99 Abs. 2 DSGVO]
Federführende Behörde	Behörde der Hauptniederlassung bzw. einzigen Niederlassung in der EU [Art. 56 Abs. 1 DSGVO]
Grenzüberschreitende Verarbeitung	Verarbeitung bei Niederlassungen in mehr als einem Mitgliedstaat ODER mit erheblichen Auswirkungen auf Betroffene in mehr als einem Mitgliedstaat [Art. 4 Nr. 23 DSGVO]
Ansprechpartner des Unternehmens	federführende Behörde = einziger Ansprechpartner [Art. 56 Abs. 6 DSGVO]
Ausnahme „lokale Fälle"	Jede Behörde kann Beschwerden bearbeiten, die nur eine Niederlassung in ihrem Mitgliedstaat betreffen oder nur dort erhebliche Auswirkungen haben [Art. 56 Abs. 2 DSGVO]
Übernahmeentscheidung bei lokalen Fällen	federführende Behörde entscheidet innerhalb von 3 Wochen, ob sie den Fall übernimmt [Art. 56 Abs. 3 DSGVO]
Einspruchsfrist gegen Beschlussentwurf	4 Wochen für „maßgebliche und begründete Einsprüche" betroffener Behörden [Art. 60 Abs. 4 DSGVO]
Amtshilfe	Antwort auf Amtshilfeersuchen unverzüglich, spätestens binnen 1 Monat [Art. 61 Abs. 2 DSGVO]
EDSA-Streitbeilegung	Beschluss binnen 1 Monat, einmal um 1 Monat verlängerbar, Zwei-Drittel-Mehrheit [Art. 65 Abs. 2 DSGVO]
Dringlichkeitsverfahren	einstweilige Maßnahmen im eigenen Gebiet für höchstens 3 Monate [Art. 66 Abs. 1 DSGVO]
Bußgeldrahmen	bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes (je nach Verstoß) [Art. 83 Abs. 5 DSGVO]
Nicht erfasst	öffentliche Stellen und Verarbeitung nach Art. 6 Abs. 1 lit. c/e – Zuständigkeit der Behörde des jeweiligen Mitgliedstaats [Art. 55 Abs. 2 DSGVO]
Deutsche Zuständigkeit	Aufsichtsbehörden der Länder für nichtöffentliche Stellen [§ 40 BDSG]; Zusammenarbeit Bund/Länder [§ 18 BDSG]; gemeinsamer Vertreter im EDSA [§ 17 BDSG]
Betroffener Nutzerkreis	Unternehmen mit EU-weiten Diensten (Plattformen, SaaS, E-Commerce, Konzerne), Datenschutzbeauftragte, Beschwerdeführer

Geltungsbereich

Der One-Stop-Shop greift nur bei grenzüberschreitender Verarbeitung im Sinne von Art. 4 Nr. 23 DSGVO. Das ist der Fall, wenn der Verantwortliche oder Auftragsverarbeiter Niederlassungen in mehreren Mitgliedstaaten hat und die Verarbeitung in Tätigkeiten dieser Niederlassungen erfolgt – oder wenn die Verarbeitung erhebliche Auswirkungen auf Betroffene in mehr als einem Mitgliedstaat hat bzw. haben kann. Hat ein Unternehmen nur Niederlassungen in Deutschland und verarbeitet nur Daten mit Bezug zu Deutschland, bleibt es bei der normalen Zuständigkeit der deutschen Landes- oder Bundesbehörde.

Nicht anwendbar ist der Mechanismus nach Art. 55 Abs. 2 DSGVO auf Verarbeitungen durch Behörden oder private Stellen, die im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt handeln: dort ist ausschließlich die Aufsichtsbehörde des betreffenden Mitgliedstaats zuständig. Ebenso gilt er nicht für Verantwortliche ohne Niederlassung in der EU (Art. 3 Abs. 2 DSGVO) – dort kann jede Aufsichtsbehörde tätig werden; der Vertreter nach Art. 27 begründet keine Hauptniederlassung (siehe [DSGVO EU-Vertreter, Art. 27](/fakten/dsgvo-eu-vertreter-art-27.html)).

Details

Federführende Behörde und Hauptniederlassung

Hauptniederlassung ist nach Art. 4 Nr. 16 DSGVO bei einem Verantwortlichen mit Niederlassungen in mehreren Mitgliedstaaten grundsätzlich der Ort der Hauptverwaltung in der Union; entscheidend ist jedoch, wo die Entscheidungen über Zwecke und Mittel der Verarbeitung getroffen werden. Das ist eine Tatsachenfrage, die der Verantwortliche darlegen muss. Die Leitlinien des Europäischen Datenschutzausschusses zur Bestimmung der federführenden Behörde (WP 244 rev.01, vom EDSA übernommen) enthalten Prüfkriterien und Beispiele. Wird keine EU-Entscheidungsstelle nachgewiesen, kann keine federführende Behörde bestimmt werden.

Ablauf des Kooperationsverfahrens (Art. 60)

Die federführende Behörde ermittelt, tauscht Informationen mit den betroffenen Behörden aus und legt ihnen einen Beschlussentwurf vor. Die betroffenen Behörden haben vier Wochen Zeit für maßgebliche und begründete Einsprüche (Art. 60 Abs. 4). Wird kein Einspruch erhoben, gelten sie als mit dem Entwurf einverstanden und daran gebunden. Wird ein Einspruch nicht mitgetragen, leitet die federführende Behörde das Kohärenzverfahren nach Art. 63 ein; der EDSA entscheidet dann nach Art. 65 verbindlich. Die federführende Behörde erlässt den endgültigen Beschluss und teilt ihn der Hauptniederlassung mit; die Behörde, bei der die Beschwerde eingereicht wurde, informiert den Beschwerdeführer.

Lokale Fälle (Art. 56 Abs. 2–5)

Betrifft eine Beschwerde nur eine Niederlassung in einem Mitgliedstaat oder hat sie nur dort erhebliche Auswirkungen, unterrichtet die Behörde die federführende Behörde, die binnen 3 Wochen entscheidet, ob sie den Fall übernimmt. Übernimmt sie nicht, behandelt die meldende Behörde den Fall nach Art. 61 und 62.

Rechtsprechung des EuGH

Im Urteil C-645/19 (Facebook Ireland u. a., 15.06.2021) hat der EuGH klargestellt, dass die federführende Behörde grundsätzlich zuständig bleibt, eine nicht federführende Behörde aber unter den in der DSGVO vorgesehenen Voraussetzungen (insbesondere Art. 55 Abs. 2, Art. 56 Abs. 2, Art. 66) eigene Befugnisse ausüben und Verstöße vor Gericht bringen kann. Zur Rechtsschutzfrage gegen verbindliche EDSA-Beschlüsse siehe [EuGH C-97/23 P (WhatsApp/EDSA)](/fakten/eugh-c-97-23-p-whatsapp-edsa-nichtigkeitsklage-art-65.html). Die genauen Randnummern sind vor einer Zitierung im Volltext zu prüfen.

Deutschland: Bund und Länder

Für nichtöffentliche Stellen sind in Deutschland grundsätzlich die Aufsichtsbehörden der Länder zuständig (§ 40 BDSG). Bei grenzüberschreitenden Fällen stimmen sich Bund und Länder nach § 18 BDSG ab; im EDSA vertritt die/der BfDI als gemeinsame Vertretung Deutschland (§ 17 BDSG). Beschwerden können bei jeder deutschen Aufsichtsbehörde eingereicht werden; sie leitet sie ggf. an die zuständige weiter (§ 19 BDSG).

Verfahrensverordnung (EU) 2025/2518

Die [DSGVO-Verfahrensverordnung](/fakten/dsgvo-verfahrensverordnung-2025-2518.html) ergänzt Art. 56 und 60–65 um einheitliche Zulässigkeitsregeln und Bearbeitungsfristen. Bis zur Anwendbarkeit ihrer Hauptkapitel gilt das Verfahren nach der DSGVO-Grundregelung wie oben beschrieben.

Häufige Fehler

„Ich kann mir die Aufsichtsbehörde aussuchen (Forum Shopping)." Nein – die federführende Behörde folgt der tatsächlichen Entscheidungsstruktur in der EU, nicht dem formalen Firmensitz oder der Marketingadresse.
„Ein EU-Vertreter nach Art. 27 begründet den One-Stop-Shop." Nein – ohne Niederlassung in der EU gibt es keine Hauptniederlassung und damit keine federführende Behörde.
„Der One-Stop-Shop gilt auch für deutsche Behörden." Nein – für öffentliche Stellen gilt Art. 55 Abs. 2 (Zuständigkeit nur im eigenen Mitgliedstaat).
„Beschwerdeführer müssen sich an die irische/federführende Behörde wenden." Nein – Beschwerden können bei der Behörde des eigenen Aufenthaltsorts eingereicht werden (Art. 77); sie wird dann an der Abstimmung beteiligt.
„Nur die federführende Behörde kann je tätig werden." Nein – nach EuGH C-645/19 sind Ausnahmen (lokale Fälle, Dringlichkeit nach Art. 66) möglich.
Beweislast: Der Verantwortliche muss nachweisen, wo die Entscheidungen über Zwecke und Mittel fallen (Rechenschaftspflicht Art. 5 Abs. 2); fehlt der Nachweis, drohen parallele Verfahren in mehreren Mitgliedstaaten.

Änderungsverlauf

2026-11-04: Erstveröffentlichung. Kernwerte (Art. 56 Abs. 1–6, Art. 60 Abs. 4 Vier-Wochen-Frist, Art. 61 Abs. 2, Art. 65 Abs. 2, Art. 66 Abs. 1, Art. 4 Nr. 16/23, §§ 17, 18, 19, 40 BDSG) aus Kenntnis des Verordnungswortlauts zusammengestellt; Primärquellen-Volltextabgleich ausstehend. factcheck_status=review_needed, da die Fristen und Randnummern der EuGH-Entscheidung C-645/19 noch gegen EUR-Lex/curia zu verifizieren sind. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Claude (EU-Recht-Agent)"

Stand

Stand: 2026-11-04
Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO)
Gültig bis: offen (unbefristet in Kraft)
Status: in Kraft (EU-Verordnung – unmittelbar anwendbar, kein Umsetzungsgesetz nötig)
Quellenautorität: A (EUR-Lex CELEX:32016R0679)
Lizenz: CC BY 4.0

Quellen

Verordnung (EU) 2016/679 (DSGVO), Volltext (deutsch): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 A
Art. 56 DSGVO – Zuständigkeit der federführenden Aufsichtsbehörde (dejure.org): https://dejure.org/gesetze/DSGVO/56.html A
Art. 60 DSGVO – Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden (dejure.org): https://dejure.org/gesetze/DSGVO/60.html A
Art. 65 DSGVO – Streitbeilegung durch den Ausschuss (dejure.org): https://dejure.org/gesetze/DSGVO/65.html A
EDSA – Leitlinien zur Bestimmung der federführenden Aufsichtsbehörde (WP 244 rev.01): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-identifying-controller-or-processors-lead_en A
EuGH, Urteil vom 15.06.2021, C-645/19 (Facebook Ireland u. a.): https://curia.europa.eu/juris/liste.jsf?num=C-645/19 A
Verordnung (EU) 2025/2518 (DSGVO-Verfahrensverordnung), EUR-Lex: https://eur-lex.europa.eu/eli/reg/2025/2518/oj A
Bundesdatenschutzgesetz – § 40 BDSG (Aufsichtsbehörden der Länder): https://www.gesetze-im-internet.de/bdsg_2018/__40.html A
Bundesdatenschutzgesetz – § 18 BDSG (Verfahren der Zusammenarbeit): https://www.gesetze-im-internet.de/bdsg_2018/__18.html A

Letzte Änderung:: 2026-11-04
Letzte Prüfung:: 2026-11-04
In Kraft seit:: 2018-05-25
Status:: In Kraft
Quellen-Autorität:: A
Lizenz:: CC BY 4.0

Fehler gefunden? Bitte melden an info@nexvyra.fr.