Post von der Datenschutzbehörde – wie reagiere ich?

Zuletzt aktualisiert: 27.02.2026 | Lesezeit: 7 Minuten

Ein amtliches Schreiben mit dem Absender der Datenschutzbehörde im Briefkasten – das sorgt erst einmal für Unruhe. Vielleicht hat sich ein Kunde beschwert, vielleicht geht es um Ihre Website, vielleicht wissen Sie gar nicht, worum es überhaupt geht. Was Sie spüren: Da will jemand etwas von Ihnen, und es klingt nicht nach einer freundlichen Anfrage. Die Versuchung, das Schreiben schnell selbst zu beantworten oder erst einmal abzuwarten, ist groß – und in beiden Fällen häufig riskant.

Typische Ausgangslage

• Sie erhalten ein Anhörungsschreiben der Landesdatenschutzbehörde und sollen innerhalb einer bestimmten Frist Stellung nehmen – ohne recht zu wissen, worauf genau.
• Ein ehemaliger Kunde oder Mitarbeiter hat offenbar eine Beschwerde eingereicht, und die Behörde verlangt jetzt Auskunft über Ihre Datenverarbeitung.
• Die Behörde fragt nach Ihrem Verarbeitungsverzeichnis, Ihrer Datenschutzerklärung oder dem Vertrag mit einem Dienstleister – und Sie sind sich nicht sicher, ob Ihre Unterlagen den Anforderungen standhalten.
• Sie betreiben einen Onlineshop oder eine Praxis und haben Post bekommen, weil jemand das Cookie-Banner, den Newsletter-Versand oder die Videoüberwachung beanstandet hat.
• Es geht um eine mögliche Datenpanne, die Sie vielleicht gemeldet haben – oder die Ihnen bislang gar nicht bewusst war.
• Sie haben bereits geantwortet, die Behörde hakt aber nach oder kündigt weitergehende Maßnahmen an.

Warum Post von der Datenschutzbehörde oft komplizierter ist als gedacht

Kein harmloses Auskunftsersuchen

Was wie eine routinemäßige Nachfrage aussieht, ist in vielen Fällen der Beginn eines förmlichen Verwaltungsverfahrens. Die Datenschutzbehörde hat weitreichende Befugnisse: Sie kann Auskünfte verlangen, Unterlagen anfordern, Verarbeitungen untersagen und – was die meisten Unternehmer am meisten beunruhigt – erhebliche Bußgelder nach der DSGVO verhängen. Das Schreiben in Ihrem Briefkasten ist deshalb kein Anlass zur Panik, aber auch keiner für Gelassenheit.

Jedes Wort in Ihrer Antwort zählt

Die Stellungnahme, die Sie gegenüber der Behörde abgeben, wird zum Aktenbestandteil. Was Sie dort schreiben – oder versäumen zu schreiben –, kann den weiteren Verlauf des Verfahrens erheblich beeinflussen. Wer ohne juristische Einordnung antwortet, unterschätzt häufig, welche Informationen die Behörde tatsächlich verwerten kann und welche Aussagen unbeabsichtigt eine Pflichtverletzung einräumen. Gleichzeitig kann Schweigen oder eine unvollständige Antwort eigene rechtliche Konsequenzen nach sich ziehen.

Die DSGVO kennt zahlreiche Pflichten – und für jede gibt es Fallstricke

Das Datenschutzrecht stellt an Unternehmen eine Vielzahl organisatorischer und dokumentarischer Anforderungen. Ob es um die Rechtsgrundlage für eine bestimmte Datenverarbeitung geht, um die Ausgestaltung Ihrer Datenschutzerklärung, um den Umgang mit Betroffenenanfragen oder um die Frage, ob Ihr Auftragsverarbeitungsvertrag den gesetzlichen Vorgaben genügt: Die Behörde prüft im Zweifel nicht nur den Punkt, der die Beschwerde ausgelöst hat, sondern schaut sich auch angrenzende Bereiche an. Mängel, die bei einer solchen Prüfung auffallen, können eigenständig verfolgt werden.

Besondere Risiken für Geschäftsführer und Selbständige

Als GmbH-Geschäftsführer tragen Sie die Verantwortung dafür, dass Ihr Unternehmen datenschutzkonform arbeitet. Das bedeutet: Ein Bußgeld trifft nicht nur die Gesellschaft – es kann unter bestimmten Voraussetzungen auch persönliche Konsequenzen haben. Die Frage der persönlichen Haftung bei Datenschutzverstößen ist komplex und hängt von zahlreichen Faktoren ab, die sich ohne fachkundige Bewertung kaum einschätzen lassen. Für Selbständige und Einzelunternehmer stellt sich die Haftungsfrage ohnehin unmittelbar – hier gibt es keine Gesellschaft als Puffer.

Was auf dem Spiel steht

Finanzielle Konsequenzen

Die DSGVO sieht Bußgeldrahmen vor, die weit über das hinausgehen, was viele kleinere Unternehmen erwarten. Zwar orientiert sich die tatsächliche Höhe an zahlreichen Umständen des Einzelfalls – aber selbst vermeintlich „kleinere" Verstöße können zu spürbaren finanziellen Belastungen führen. Hinzu kommen mögliche Schadensersatzansprüche betroffener Personen, die unabhängig vom Bußgeldverfahren geltend gemacht werden können.

Reputationsrisiko

Datenschutzbehörden veröffentlichen in bestimmten Fällen ihre Entscheidungen. Für Unternehmen, die auf das Vertrauen ihrer Kunden angewiesen sind – und das betrifft praktisch jeden Selbständigen und Geschäftsführer –, kann eine öffentlich bekannte Datenschutzverletzung wirtschaftlich schwerer wiegen als das Bußgeld selbst.

Anordnungen mit weitreichenden Folgen

Die Behörde kann nicht nur Bußgelder verhängen, sondern auch Anordnungen treffen: Eine bestimmte Datenverarbeitung muss eingestellt werden, Daten müssen gelöscht werden, Prozesse müssen umgestellt werden. Solche Anordnungen können den laufenden Geschäftsbetrieb empfindlich treffen – insbesondere wenn sie kurzfristig umgesetzt werden müssen.

Warum die Reaktion auf ein Behördenschreiben keine Aufgabe für den Schreibtisch ist

Die Bewertung erfordert Zusammenspiel verschiedener Rechtsgebiete

Ein Schreiben der Datenschutzbehörde berührt häufig nicht nur Datenschutzrecht, sondern auch verwaltungsrechtliche Verfahrensfragen, unter Umständen arbeitsrechtliche Aspekte – etwa wenn es um Beschäftigtendatenschutz geht – oder sogar steuerrechtliche Zusammenhänge. Diese Verflechtungen sind für Laien kaum erkennbar und machen eine fachliche Bewertung vor jeder Reaktion unverzichtbar.

Die Kommunikation mit der Behörde folgt eigenen Regeln

Der Ton und Inhalt Ihrer Stellungnahme kann den weiteren Verlauf eines Verfahrens maßgeblich prägen. Es geht nicht darum, die Behörde zu beschwichtigen oder sich kleinzumachen – aber ebenso wenig darum, konfrontativ aufzutreten. Die richtige Balance zu finden erfordert Erfahrung im Umgang mit behördlichen Verfahren und ein genaues Verständnis der rechtlichen Ausgangslage.

• Die Bewertung, ob und in welchem Umfang Sie zur Auskunft verpflichtet sind, hängt von zahlreichen Faktoren ab.
• Eine zu ausführliche Antwort kann ebenso problematisch sein wie eine zu knappe.
• Bereits die Frage, ob Sie bestimmte Unterlagen herausgeben müssen, erfordert eine rechtliche Einschätzung.
• Auch die Frage, ob gegen einen Bescheid Rechtsmittel eingelegt werden sollten, hat enge zeitliche Grenzen.

Wie die Kanzlei Sie unterstützt

Wenn Sie Post von einer Datenschutzbehörde erhalten haben, ist der wichtigste erste Schritt, die Situation fachlich einordnen zu lassen – bevor Sie antworten. Die Kanzlei ist im Raum Kiel ansässig und bundesweit tätig. Schildern Sie Ihren Fall über die Kontaktseite – Sie erhalten eine erste Einschätzung, ob und wie anwaltliche Unterstützung in Ihrer Situation sinnvoll ist. Diese Ersteinschätzung ist kostenfrei und unverbindlich. Nach einer Mandatierung steht Ihnen die umfassende Betreuung auch per Videoberatung zur Verfügung – unabhängig davon, wo in Deutschland Sie ansässig sind.