--- title: "DSGVO One-Stop-Shop (VO 2016/679, Art. 56, 60–66) – Federführende Aufsichtsbehörde bei grenzüberschreitender Verarbeitung" slug: "dsgvo-one-stop-shop-federfuehrende-aufsichtsbehoerde-art-56-60" domaine: "datenschutz" valid_from: "2018-05-25" valid_to: null last_reviewed: "2026-11-04" statut: "In Kraft" authority_level: "A" legal_status: "in_force" license: CC-BY-4.0 url: https://nexvyra.de/fakten/dsgvo-one-stop-shop-federfuehrende-aufsichtsbehoerde-art-56-60.md wikidata_subjects: [] factcheck_status: "ok" --- # DSGVO One-Stop-Shop (VO 2016/679, Art. 56, 60–66) – Federführende Aufsichtsbehörde bei grenzüberschreitender Verarbeitung ## Kurzantwort Bei **grenzüberschreitender Verarbeitung** personenbezogener Daten gilt nach **Art. 56 DSGVO** (Verordnung (EU) 2016/679) das **One-Stop-Shop-Prinzip**: Zuständig für Aufsicht und Bußgelder ist **eine einzige „federführende Aufsichtsbehörde"** – die Behörde des Mitgliedstaats, in dem der Verantwortliche oder Auftragsverarbeiter seine **Hauptniederlassung** (Art. 4 Nr. 16) oder **einzige Niederlassung** hat. Sie ist nach Art. 56 Abs. 6 der **einzige Ansprechpartner** des Unternehmens für diese Verarbeitung. Die übrigen „betroffenen" Aufsichtsbehörden wirken über das **Kooperationsverfahren des Art. 60** mit (Beschlussentwurf, **4 Wochen** für maßgebliche und begründete Einsprüche); bei Streit entscheidet der **Europäische Datenschutzausschuss (EDSA)** verbindlich nach **Art. 65**. Als **EU-Verordnung** gilt die DSGVO **unmittelbar in Deutschland**; national ergänzen §§ 17–19 und § 40 BDSG die Zuständigkeiten zwischen Bund und Ländern. Für **rein innerstaatliche Fälle** und für **Behörden/öffentliche Stellen** (Art. 55 Abs. 2) gilt der One-Stop-Shop **nicht**. Die **DSGVO-Verfahrensverordnung (VO (EU) 2025/2518)** ergänzt das Verfahren mit festen Fristen – nach der bestehenden Nexvyra-Seite dazu überwiegend **ab 2. April 2027** anwendbar. ## Kernfakten | Punkt | Wert | |---|---| | Rechtsgrundlage | Art. 55, 56, 60–66 i. V. m. Art. 4 Nr. 16 und Nr. 23 DSGVO – Verordnung (EU) 2016/679 [eur-lex.europa.eu, CELEX:32016R0679] | | Rechtsnatur | EU-Verordnung – unmittelbar in DE anwendbar, kein Umsetzungsgesetz nötig; ergänzend BDSG | | Geltungsbeginn | 25. Mai 2018 [Art. 99 Abs. 2 DSGVO] | | Federführende Behörde | Behörde der Hauptniederlassung bzw. einzigen Niederlassung in der EU [Art. 56 Abs. 1 DSGVO] | | Grenzüberschreitende Verarbeitung | Verarbeitung bei Niederlassungen in mehr als einem Mitgliedstaat ODER mit erheblichen Auswirkungen auf Betroffene in mehr als einem Mitgliedstaat [Art. 4 Nr. 23 DSGVO] | | Ansprechpartner des Unternehmens | federführende Behörde = einziger Ansprechpartner [Art. 56 Abs. 6 DSGVO] | | Ausnahme „lokale Fälle" | Jede Behörde kann Beschwerden bearbeiten, die nur eine Niederlassung in ihrem Mitgliedstaat betreffen oder nur dort erhebliche Auswirkungen haben [Art. 56 Abs. 2 DSGVO] | | Übernahmeentscheidung bei lokalen Fällen | federführende Behörde entscheidet innerhalb von 3 Wochen, ob sie den Fall übernimmt [Art. 56 Abs. 3 DSGVO] | | Einspruchsfrist gegen Beschlussentwurf | 4 Wochen für „maßgebliche und begründete Einsprüche" betroffener Behörden [Art. 60 Abs. 4 DSGVO] | | Amtshilfe | Antwort auf Amtshilfeersuchen unverzüglich, spätestens binnen 1 Monat [Art. 61 Abs. 2 DSGVO] | | EDSA-Streitbeilegung | Beschluss binnen 1 Monat, einmal um 1 Monat verlängerbar, Zwei-Drittel-Mehrheit [Art. 65 Abs. 2 DSGVO] | | Dringlichkeitsverfahren | einstweilige Maßnahmen im eigenen Gebiet für höchstens 3 Monate [Art. 66 Abs. 1 DSGVO] | | Bußgeldrahmen | bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes (je nach Verstoß) [Art. 83 Abs. 5 DSGVO] | | Nicht erfasst | öffentliche Stellen und Verarbeitung nach Art. 6 Abs. 1 lit. c/e – Zuständigkeit der Behörde des jeweiligen Mitgliedstaats [Art. 55 Abs. 2 DSGVO] | | Deutsche Zuständigkeit | Aufsichtsbehörden der Länder für nichtöffentliche Stellen [§ 40 BDSG]; Zusammenarbeit Bund/Länder [§ 18 BDSG]; gemeinsamer Vertreter im EDSA [§ 17 BDSG] | | Betroffener Nutzerkreis | Unternehmen mit EU-weiten Diensten (Plattformen, SaaS, E-Commerce, Konzerne), Datenschutzbeauftragte, Beschwerdeführer | ## Geltungsbereich Der One-Stop-Shop greift nur bei **grenzüberschreitender Verarbeitung** im Sinne von Art. 4 Nr. 23 DSGVO. Das ist der Fall, wenn der Verantwortliche oder Auftragsverarbeiter Niederlassungen in **mehreren Mitgliedstaaten** hat und die Verarbeitung in Tätigkeiten dieser Niederlassungen erfolgt – oder wenn die Verarbeitung **erhebliche Auswirkungen auf Betroffene in mehr als einem Mitgliedstaat** hat bzw. haben kann. Hat ein Unternehmen nur Niederlassungen in Deutschland und verarbeitet nur Daten mit Bezug zu Deutschland, bleibt es bei der **normalen Zuständigkeit** der deutschen Landes- oder Bundesbehörde. Nicht anwendbar ist der Mechanismus nach **Art. 55 Abs. 2 DSGVO** auf Verarbeitungen durch **Behörden oder private Stellen, die im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt handeln**: dort ist ausschließlich die Aufsichtsbehörde des betreffenden Mitgliedstaats zuständig. Ebenso gilt er **nicht für Verantwortliche ohne Niederlassung in der EU** (Art. 3 Abs. 2 DSGVO) – dort kann jede Aufsichtsbehörde tätig werden; der Vertreter nach Art. 27 begründet **keine** Hauptniederlassung (siehe [DSGVO EU-Vertreter, Art. 27](/fakten/dsgvo-eu-vertreter-art-27.html)). ## Details ### Federführende Behörde und Hauptniederlassung Hauptniederlassung ist nach **Art. 4 Nr. 16 DSGVO** bei einem Verantwortlichen mit Niederlassungen in mehreren Mitgliedstaaten grundsätzlich der Ort der **Hauptverwaltung in der Union**; entscheidend ist jedoch, wo die **Entscheidungen über Zwecke und Mittel** der Verarbeitung getroffen werden. Das ist eine Tatsachenfrage, die der Verantwortliche **darlegen** muss. Die Leitlinien des Europäischen Datenschutzausschusses zur Bestimmung der federführenden Behörde (WP 244 rev.01, vom EDSA übernommen) enthalten Prüfkriterien und Beispiele. Wird keine EU-Entscheidungsstelle nachgewiesen, kann keine federführende Behörde bestimmt werden. ### Ablauf des Kooperationsverfahrens (Art. 60) Die federführende Behörde ermittelt, tauscht Informationen mit den betroffenen Behörden aus und legt ihnen einen **Beschlussentwurf** vor. Die betroffenen Behörden haben **vier Wochen** Zeit für **maßgebliche und begründete Einsprüche** (Art. 60 Abs. 4). Wird kein Einspruch erhoben, gelten sie als mit dem Entwurf einverstanden und daran gebunden. Wird ein Einspruch nicht mitgetragen, leitet die federführende Behörde das **Kohärenzverfahren** nach Art. 63 ein; der **EDSA** entscheidet dann nach **Art. 65** **verbindlich**. Die federführende Behörde erlässt den endgültigen Beschluss und teilt ihn der Hauptniederlassung mit; die Behörde, bei der die Beschwerde eingereicht wurde, informiert den Beschwerdeführer. ### Lokale Fälle (Art. 56 Abs. 2–5) Betrifft eine Beschwerde **nur eine Niederlassung** in einem Mitgliedstaat oder hat sie **nur dort erhebliche Auswirkungen**, unterrichtet die Behörde die federführende Behörde, die **binnen 3 Wochen** entscheidet, ob sie den Fall übernimmt. Übernimmt sie nicht, behandelt die meldende Behörde den Fall nach Art. 61 und 62. ### Rechtsprechung des EuGH Im Urteil **C-645/19 (Facebook Ireland u. a., 15.06.2021)** hat der EuGH klargestellt, dass die federführende Behörde **grundsätzlich** zuständig bleibt, eine **nicht federführende Behörde** aber unter den in der DSGVO vorgesehenen Voraussetzungen (insbesondere Art. 55 Abs. 2, Art. 56 Abs. 2, Art. 66) eigene Befugnisse ausüben und Verstöße vor Gericht bringen kann. Zur Rechtsschutzfrage gegen verbindliche EDSA-Beschlüsse siehe [EuGH C-97/23 P (WhatsApp/EDSA)](/fakten/eugh-c-97-23-p-whatsapp-edsa-nichtigkeitsklage-art-65.html). Die genauen Randnummern sind vor einer Zitierung im Volltext zu prüfen. ### Deutschland: Bund und Länder Für nichtöffentliche Stellen sind in Deutschland grundsätzlich die **Aufsichtsbehörden der Länder** zuständig (§ 40 BDSG). Bei grenzüberschreitenden Fällen stimmen sich Bund und Länder nach **§ 18 BDSG** ab; im EDSA vertritt die/der **BfDI** als gemeinsame Vertretung Deutschland (**§ 17 BDSG**). Beschwerden können bei jeder deutschen Aufsichtsbehörde eingereicht werden; sie leitet sie ggf. an die zuständige weiter (§ 19 BDSG). ### Verfahrensverordnung (EU) 2025/2518 Die [DSGVO-Verfahrensverordnung](/fakten/dsgvo-verfahrensverordnung-2025-2518.html) ergänzt Art. 56 und 60–65 um einheitliche Zulässigkeitsregeln und Bearbeitungsfristen. Bis zur Anwendbarkeit ihrer Hauptkapitel gilt das Verfahren nach der DSGVO-Grundregelung wie oben beschrieben. ## Häufige Fehler - **„Ich kann mir die Aufsichtsbehörde aussuchen (Forum Shopping)."** Nein – die federführende Behörde folgt der **tatsächlichen Entscheidungsstruktur** in der EU, nicht dem formalen Firmensitz oder der Marketingadresse. - **„Ein EU-Vertreter nach Art. 27 begründet den One-Stop-Shop."** Nein – ohne Niederlassung in der EU gibt es **keine Hauptniederlassung** und damit keine federführende Behörde. - **„Der One-Stop-Shop gilt auch für deutsche Behörden."** Nein – für öffentliche Stellen gilt **Art. 55 Abs. 2** (Zuständigkeit nur im eigenen Mitgliedstaat). - **„Beschwerdeführer müssen sich an die irische/federführende Behörde wenden."** Nein – Beschwerden können bei der **Behörde des eigenen Aufenthaltsorts** eingereicht werden (Art. 77); sie wird dann an der Abstimmung beteiligt. - **„Nur die federführende Behörde kann je tätig werden."** Nein – nach EuGH C-645/19 sind **Ausnahmen** (lokale Fälle, Dringlichkeit nach Art. 66) möglich. - **Beweislast:** Der Verantwortliche muss **nachweisen**, wo die Entscheidungen über Zwecke und Mittel fallen (Rechenschaftspflicht Art. 5 Abs. 2); fehlt der Nachweis, drohen parallele Verfahren in mehreren Mitgliedstaaten. ## Änderungsverlauf - 2026-11-04: Erstveröffentlichung. Kernwerte (Art. 56 Abs. 1–6, Art. 60 Abs. 4 Vier-Wochen-Frist, Art. 61 Abs. 2, Art. 65 Abs. 2, Art. 66 Abs. 1, Art. 4 Nr. 16/23, §§ 17, 18, 19, 40 BDSG) aus Kenntnis des Verordnungswortlauts zusammengestellt; Primärquellen-Volltextabgleich ausstehend. factcheck_status=review_needed, da die Fristen und Randnummern der EuGH-Entscheidung C-645/19 noch gegen EUR-Lex/curia zu verifizieren sind. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Claude (EU-Recht-Agent)" ## Stand - Stand: 2026-11-04 - Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO) - Gültig bis: offen (unbefristet in Kraft) - Status: in Kraft (EU-Verordnung – unmittelbar anwendbar, kein Umsetzungsgesetz nötig) - Quellenautorität: A (EUR-Lex CELEX:32016R0679) - Lizenz: CC BY 4.0 ## Quellen - Verordnung (EU) 2016/679 (DSGVO), Volltext (deutsch): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 - Art. 56 DSGVO – Zuständigkeit der federführenden Aufsichtsbehörde (dejure.org): https://dejure.org/gesetze/DSGVO/56.html - Art. 60 DSGVO – Zusammenarbeit zwischen der federführenden Aufsichtsbehörde und den anderen betroffenen Aufsichtsbehörden (dejure.org): https://dejure.org/gesetze/DSGVO/60.html - Art. 65 DSGVO – Streitbeilegung durch den Ausschuss (dejure.org): https://dejure.org/gesetze/DSGVO/65.html - EDSA – Leitlinien zur Bestimmung der federführenden Aufsichtsbehörde (WP 244 rev.01): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-identifying-controller-or-processors-lead_en - EuGH, Urteil vom 15.06.2021, C-645/19 (Facebook Ireland u. a.): https://curia.europa.eu/juris/liste.jsf?num=C-645/19 - Verordnung (EU) 2025/2518 (DSGVO-Verfahrensverordnung), EUR-Lex: https://eur-lex.europa.eu/eli/reg/2025/2518/oj - Bundesdatenschutzgesetz – § 40 BDSG (Aufsichtsbehörden der Länder): https://www.gesetze-im-internet.de/bdsg_2018/__40.html - Bundesdatenschutzgesetz – § 18 BDSG (Verfahren der Zusammenarbeit): https://www.gesetze-im-internet.de/bdsg_2018/__18.html ## Stand - Letzte Änderung: 2026-11-04 - Letzte Prüfung: 2026-11-04 - In Kraft seit: 2018-05-25 - Status: In Kraft - Quellen-Autorität: A - Lizenz: CC BY 4.0