Aufsichtsbehörden im DACH-Raum: Datenschutz, Cybersicherheit, KI und Finanzmarkt
Für Unternehmen in Deutschland ist die Datenschutzbehörde des Bundeslandes zuständig, in dem sie ihren Sitz haben; in Bayern ist das das Landesamt für Datenschutzaufsicht in Ansbach. In der Schweiz ist es der EDÖB, in Österreich die Datenschutzbehörde in Wien. Cyber-Meldungen gehen an das BSI, das BACS oder die österreichische Cybersicherheitsbehörde.
Stand: 13.11.2026
Wer eine Datenpanne melden, einen Cyberangriff anzeigen oder eine Frage zur KI-Aufsicht stellen muss, braucht die richtige Stelle. Diese Übersicht nennt die zuständigen Behörden für Unternehmen in der Schweiz, Deutschland, Österreich und Liechtenstein mit ihrem Sitz.
Für Behörden und öffentliche Stellen gelten teilweise andere Zuständigkeiten, etwa die Landesbeauftragten für öffentliche Stellen in Bayern. Die Übersicht konzentriert sich auf Unternehmen.
| Bereich und Gebiet | Behörde | Sitz | Zuständig für | Erklärung |
|---|---|---|---|---|
| Datenschutz Schweiz | Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) | Bern | Private und Bundesorgane | Erklärung |
| Datenschutz Liechtenstein | Datenschutzstelle | Vaduz | Aufsicht nach DSGVO | |
| Datenschutz Österreich | Datenschutzbehörde | Wien | Aufsicht nach DSGVO und DSG | |
| Datenschutz Deutschland, Bund | Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) | Bonn | Bundesbehörden, Telekommunikation und Post | |
| Datenschutz Baden-Württemberg | Landesbeauftragter für den Datenschutz und die Informationsfreiheit | Stuttgart | Unternehmen mit Sitz im Land | |
| Datenschutz Bayern | Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) | Ansbach | Unternehmen mit Sitz in Bayern | |
| Datenschutz Berlin | Berliner Beauftragte für Datenschutz und Informationsfreiheit | Berlin | Unternehmen mit Sitz in Berlin | |
| Datenschutz Brandenburg | Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht | Kleinmachnow | Unternehmen mit Sitz im Land | |
| Datenschutz Bremen | Landesbeauftragte für Datenschutz und Informationsfreiheit | Bremen | Unternehmen mit Sitz im Land | |
| Datenschutz Hamburg | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit | Hamburg | Unternehmen mit Sitz in Hamburg | |
| Datenschutz Hessen | Hessischer Beauftragter für Datenschutz und Informationsfreiheit | Wiesbaden | Unternehmen mit Sitz in Hessen | |
| Datenschutz Mecklenburg-Vorpommern | Landesbeauftragter für Datenschutz und Informationsfreiheit | Schwerin | Unternehmen mit Sitz im Land | |
| Datenschutz Niedersachsen | Landesbeauftragter für den Datenschutz | Hannover | Unternehmen mit Sitz im Land | |
| Datenschutz Nordrhein-Westfalen | Landesbeauftragte für Datenschutz und Informationsfreiheit | Düsseldorf | Unternehmen mit Sitz in NRW | |
| Datenschutz Rheinland-Pfalz | Landesbeauftragter für den Datenschutz und die Informationsfreiheit | Mainz | Unternehmen mit Sitz im Land | |
| Datenschutz Saarland | Unabhängiges Datenschutzzentrum Saarland | Saarbrücken | Unternehmen mit Sitz im Land | |
| Datenschutz Sachsen | Sächsische Datenschutz- und Transparenzbeauftragte | Dresden | Unternehmen mit Sitz im Land | |
| Datenschutz Sachsen-Anhalt | Landesbeauftragter für den Datenschutz | Magdeburg | Unternehmen mit Sitz im Land | |
| Datenschutz Schleswig-Holstein | Unabhängiges Landeszentrum für Datenschutz (ULD) | Kiel | Unternehmen mit Sitz im Land | |
| Datenschutz Thüringen | Landesbeauftragter für den Datenschutz und die Informationsfreiheit | Erfurt | Unternehmen mit Sitz im Land | |
| Cybersicherheit Schweiz | Bundesamt für Cybersicherheit (BACS) | Bern | Meldungen nach ISG | Erklärung |
| Cybersicherheit Deutschland | Bundesamt für Sicherheit in der Informationstechnik (BSI) | Bonn | Registrierung und Meldungen nach NIS2-Umsetzungsgesetz | Erklärung |
| Cybersicherheit Österreich | Cybersicherheitsbehörde nach NISG 2026 | Wien | Registrierung, Selbstdeklaration und Meldungen | Erklärung |
| KI Deutschland | Bundesnetzagentur | Bonn | Zentrale Marktüberwachung nach KI-MIG | Erklärung |
| KI und Finanzaufsicht Deutschland | Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) | Bonn und Frankfurt am Main | Finanzaufsicht und KI im Finanzsektor | Erklärung |
| KI Österreich | RTR, KI-Servicestelle | Wien | Information zum AI Act | |
| Finanzmarkt Schweiz | Eidgenössische Finanzmarktaufsicht (FINMA) | Bern | Banken, Versicherer, Finanzinstitute | |
| Finanzmarkt Liechtenstein | Finanzmarktaufsicht (FMA) | Vaduz | Finanzintermediäre in Liechtenstein |
Hinweise
- Stand 13. November 2026. In Deutschland ist für Unternehmen grundsätzlich die Behörde des Bundeslandes zuständig, in dem sich die Hauptniederlassung befindet.
- Für Unternehmen mit Niederlassungen in mehreren EU-Staaten gilt bei grenzüberschreitender Verarbeitung das Verfahren der federführenden Aufsichtsbehörde nach DSGVO.
Häufige Fragen
Welche Behörde ist für ein Unternehmen in München zuständig?
Für den Datenschutz das Bayerische Landesamt für Datenschutzaufsicht in Ansbach, für NIS2 das BSI und für den AI Act in der Regel die Bundesnetzagentur.
Wohin melden Schweizer Unternehmen Cyberangriffe?
Betreiberinnen kritischer Infrastrukturen melden innert 24 Stunden an das Bundesamt für Cybersicherheit (BACS). Datenschutzverletzungen mit hohem Risiko gehen zusätzlich an den EDÖB.
Wer beaufsichtigt KI in Österreich?
Die RTR betreibt eine KI-Servicestelle zur Information. Die Zuständigkeiten für die Marktüberwachung ergeben sich aus dem österreichischen Durchführungsrecht.
Quellen
- Datenschutzkonferenz (DSK): Liste der Aufsichtsbehörden in Deutschland
- Art. 55 und 56 DSGVO zur Zuständigkeit der Aufsichtsbehörden
- KI-MIG § 2 zur Zuständigkeit der Marktüberwachungsbehörden
Weitere Übersichten
- Regulierungsfristen 2023 bis 2028: Datenschutz, KI, Cyber und Geldwäscherei
- Schwellenwerte für wirtschaftlich Berechtigte (UBO) nach Jurisdiktion
- Anerkannte Selbstregulierungsorganisationen (SRO) in der Schweiz
- Schwellenwerte im öffentlichen Beschaffungswesen der Schweiz 2026 und 2027
- Regulierungen in der Schweiz, Deutschland und Österreich im Vergleich
- Compliance-Schwellenwerte im DACH-Raum: ab wann welche Pflicht gilt