BfDI Deutschland: DSGVO-Compliance für technische Teams
Für 2026 aktualisiert
Deutschland hat 17 Datenschutzbehörden. Eine ist die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). Die anderen 16 sind Landesdatenschutzbehörden (LfD). Kein anderes EU-Land funktioniert so.
Die Aufteilung ergibt sich aus Deutschlands föderalem Aufbau. Die Länder haben die Aufsicht über den Privatsektor. Die BfDI beaufsichtigt Bundesbehörden und einige länderübergreifende Unternehmen. Jede LfD beaufsichtigt private Unternehmen in ihrem eigenen Bundesland. Bayerns BayLDA gilt für Unternehmen mit Sitz in München. Hamburgs HmbBfDI gilt für Hamburger Unternehmen. Berlins BlnBfDI ist für Berliner Firmen zuständig.
Ein Unternehmen mit Standorten in mehreren Ländern muss klären, welche Behörde zuständig ist. Das ist nicht immer einfach. Firmen, die Bundesbehörden beliefern und in zwei Ländern tätig sind, haben möglicherweise mit der BfDI und einer LfD gleichzeitig zu tun.
Deutschlands Durchsetzungszahlen
Deutschland meldete 2024 insgesamt 27.829 Datenschutzverletzungen. Das war mehr als in jedem anderen EU-Mitgliedstaat. Es entsprach etwa 31 % aller EU-Meldungen in diesem Jahr (EDPB-Daten 2024). Die hohe Zahl zeigt eine aktive Meldekultur — nicht mehr tatsächliche Vorfälle als in anderen Ländern.
Gesamtbußgelder von BfDI und LfDs beliefen sich auf rund 160 Millionen Euro zwischen 2018 und 2024 (DSGVO Enforcement Tracker). Drei Fälle stechen hervor:
- Deutsche Wohnen — 14,5 Mio. € (2020): Mangelhafte Löschsysteme. Dieser Fall zeigte, dass die Datenlöschung eine technische Pflicht ist, nicht nur eine Verwaltungsaufgabe.
- 1&1 Telecom — 9,55 Mio. € (2020): Schwache Kundenidentifikation. Das Bußgeld wurde im Berufungsverfahren reduziert.
- Gesundheits- und Versicherungsunternehmen: Mehrere Bußgelder wegen Verstößen gegen die technischen Sicherheitspflichten nach Artikel 32.
Drei Themen tauchen in den Jahresberichten der deutschen Datenschutzbehörden am häufigsten auf. Erstens: Schwache technische Sicherheit nach Art. 32. Zweitens: Verbotene Drittlandtransfers nach Art. 46. Drittens: Unzureichende Datensparsamkeit in KI-Systemen.
BfDI-Leitlinien zu KI und Datensparsamkeit
Die BfDI hat 2024 Leitlinien veröffentlicht, die über die DSGVO-Grundanforderungen hinausgehen. [FLAGGED: Der genaue verbindliche Status dieser Leitlinien wurde nicht aus öffentlichen BfDI-Dokumenten bestätigt — als starke regulatorische Richtung behandeln.]
KI-Eingabegrenzen: Die Behörde erwartet technische Echtzeitkontrollen, nicht nur schriftliche Richtlinien. Systeme müssen personenbezogene Daten vor der Verarbeitung durch ein KI-Modell erkennen, entfernen oder pseudonymisieren. Eine Richtlinie, die besagt „Mitarbeiter sollen Daten minimieren", erfüllt diesen Standard nicht.
Pseudonymisierungsstandards: Die Leitlinien verweisen auf ISO/IEC 29101 als Rahmen für die Datenmaskierung. Unternehmen, die Pseudonymisierung nach Artikel 4 Abs. 5 beanspruchen, müssen Schlüsselkontrollen und Rückführungsschritte nachweisen, die diesem Standard entsprechen.
Artikel-32-Dokumentation: Prüfer verlangen schriftliche Spezifikationen. Das bedeutet genaue Verschlüsselungstypen, Schlüsselschritte, Zugriffsregeln und Testdaten. Die Aussage „wir verschlüsseln Daten" reicht allein nicht aus.
Besondere Kategorien (Art. 9): Für Gesundheits-, biometrische, genetische und politische Daten verlangt die Behörde Zugriffsprotokolle, Datentrennung und stärkere Pseudonymisierung als Art. 32 vorschreibt.
Unser mehrsprachiger PII-Erkennungsleitfaden zeigt, wie Erkennungslücken die DSGVO-Compliance auf dem deutschen Markt beeinflussen können.
Vier technische Schritte für die BfDI-Compliance
1. Artikel-32-Dokumentationsregister
Führen Sie ein schriftliches technisches Maßnahmenregister. Erfassen Sie: Verschlüsselungstypen und Schlüsselschritte, Zugriffskontrollen, Maskierungstools und deren Einstellungen, Prüfprotokolle sowie Testdaten. Deutsche Datenschutzbehörden fordern dies in den meisten Fällen an. Bereiten Sie es vor, bevor Sie gefragt werden.
2. KI-Eingabefilter
Ergänzen Sie einen Vorverarbeitungsschritt für jedes System, in dem Mitarbeiter oder Kunden personenbezogene Daten eingeben, die in ein KI-Modell einfließen. Der Filter sollte Namen, Telefonnummern, Ausweisnummern und Gesundheitsdaten abfangen, bevor sie das Modell erreichen. Dies erfüllt die technischen Anforderungen der BfDI und schützt Ihr Unternehmen, wenn das Modell Eingaben speichert oder protokolliert.
3. Automatisierte Löschung nach Zeitplan
Der Deutsche-Wohnen-Fall zeigte, dass mangelhafte Löschung selbst ein DSGVO-Verstoß ist. Aufbewahrungsfristen müssen automatisch durchgesetzt werden. Datensätze nach Ablauf ihrer Aufbewahrungsfrist müssen planmäßig gelöscht oder anonymisiert werden. Anlassbezogene Löschung erfüllt den Standard nicht. Automatisieren Sie diesen Prozess.
4. 72-Stunden-Meldeprozess
Deutschlands Meldezahlen zeigen: Dies ist ein compliance-aktiver Markt. Ihr Notfallplan muss das 72-Stunden-Fenster einhalten. Das bedeutet: Sie benötigen die Werkzeuge, um betroffene Personen zu identifizieren, die exponierten Daten aufzulisten und mögliche Schäden rechtzeitig zu bewerten. Testen Sie Ihren Plan, bevor Sie ihn brauchen.
Einen umfassenderen Blick auf DSGVO-Bußgeldmuster finden Sie in unserem DSGVO-Bußgeldleitfaden für US-Unternehmen.
Welche Landesbehörde zuständig ist
Für private Unternehmen ist die zuständige LfD in der Regel die des Bundeslandes, in dem das Unternehmen seinen Sitz hat.
BayLDA (Bayern): Technische Sicherheit und Gesundheitsdaten. Bayerns Automobil- und Gesundheitssektor stehen im Fokus.
HmbBfDI (Hamburg): Drittlandtransfers und Nutzerprofilierung. Hamburgs Finanz- und Medienbranche trägt hier ein hohes Risiko.
BlnBfDI (Berlin): Überwachungstools und Mitarbeitermonitoring. Berlins Tech-Szene hält KI-Tools unter Beobachtung.
LDI NRW (Nordrhein-Westfalen): Finanzen und Kundenbindungsprogramme im Einzelhandel. Das bevölkerungsreichste Bundesland Deutschlands.
ULD SH (Schleswig-Holstein): Cookie-Einwilligung und digitales Marketing. Diese Behörde ist für wegweisende technische Leitlinien bekannt.
Unternehmen, die in mehreren Bundesländern aktiv sind, können die Hauptniederlassungsregel (Art. 56) nutzen. Diese leitet Fälle an die Behörde in dem Bundesland weiter, in dem die wichtigsten EU-Verarbeitungsentscheidungen getroffen werden. Unser DSGVO-DSAR-Stapelverarbeitungsleitfaden zeigt, wie sich das auf Workflows mit hohem Volumen auswirkt.
ISO 27001 und BfDI-Ausrichtung
ISO 27001 deckt sich eng mit dem, was deutsche Datenschutzbehörden von Prüfern verlangen. Wenn Ihr Unternehmen zertifiziert ist, nutzen Sie diese Dokumentation für Prüfungsanfragen.
- Anhang A 8.11 (Datenmaskierung): Deckt Maskierungs- und Anonymisierungskontrollen ab — erfüllt Art.-32-Dokumentationsanforderungen
- Anhang A 8.24 (Kryptographie): Deckt Verschlüsselungstypen und Schlüsselschritte ab — erfüllt Dokumentationsanforderungen für Verschlüsselung
- Anhang A 8.15 (Protokollierung): Deckt die Gestaltung von Prüfprotokollen ab — unterstützt Zugriffsprotokollpflichten für sensible Daten
- ISMS-Prüfberichte: Drittpartei-Nachweis, dass Kontrollen existieren und funktionieren
Deutsche Datenschutzbehörden kennen ISO 27001. Zertifizierung bietet strukturierten Nachweis systematischer Kontrollen. Das ist stärker als eine schriftliche Behauptung ohne Drittprüfung und beschleunigt Prüfungen, da das Format Prüfern vertraut ist.