LfD Niedersachsen: Tätigkeitsbericht 2025 veröffentlicht – was deutsche Unternehmen jetzt prüfen sollten
Der Landesbeauftragte für den Datenschutz Niedersachsen (LfD) hat seinen 31. Tätigkeitsbericht für 2025 vorgelegt. Auch für Unternehmen außerhalb Niedersachsens lohnt die Lektüre: Der Bericht zeigt sehr konkret, welche Themen die Datenschutzaufsicht derzeit priorisiert und welche Mängel in der Praxis besonders häufig auffallen.
Der Bericht ist auf der Website des LfD Niedersachsen abrufbar.
Die Zahl der Beschwerden stieg in Niedersachsen im Jahr 2025 um 70,4 Prozent auf 4.022. Der LfD führt dies unter anderem darauf zurück, dass KI-Chatbots Betroffene auf die Beschwerdemöglichkeit hinweisen und Formulierungshilfen liefern. Dieser Trend lässt sich jedoch auch auf ganz Deutschland übertragen. Für Verantwortliche bedeutet dies: Datenschutzanfragen, Beschwerden und Auskunftsersuchen müssen organisatorisch so aufgesetzt sein, dass sie schnell, vollständig und nachvollziehbar bearbeitet werden können.
Daneben verzeichnete der LfD 1.607 Meldungen von Verletzungen des Schutzes personenbezogener Daten. Das unterstreicht, dass funktionierende Incident-Response-Prozesse, klare Eskalationswege und die datenschutzrechtliche Bewertung von Sicherheitsvorfällen keine bloßen Compliance-Themen sind.
Besonders anschaulich ist ein Beanstandungsfall zu einem Internetforum. Neben E-Mail-Adresse, Benutzername und Passwort verlangte der Betreiber auch Anrede, Vor- und Nachname, Anschrift sowie Telefonnummer verpflichtend. Der LfD sah hierfür keine tragfähige Rechtfertigung. Eine Einwilligung trägt nicht, wenn die Angaben als Pflichtfelder ausgestaltet sind und damit keine freiwillige Entscheidung möglich ist.
Der Fall ist verallgemeinerungsfähig: Unternehmen sollten alle Online-Formulare, Kundenportale, Bewerbungsprozesse und sonstigen Erhebungsstrecken daraufhin überprüfen, ob jedes Pflichtfeld für den konkret bestimmten Zweck tatsächlich erforderlich ist. Datenschutzrechtlich unproblematisch ist nicht, was technisch erhoben werden kann, sondern nur, was rechtlich erforderlich und auf eine tragfähige Rechtsgrundlage gestützt ist.
Der Bericht greift ferner die Entscheidung des Verwaltungsgerichts Hannover zu Cookie-Bannern auf. Danach darf die Gestaltung nicht gezielt zur Einwilligung drängen oder die Ablehnung mit einem erheblichen Mehraufwand verbinden. Transparenzpflichten betreffen insbesondere die Zahl der beteiligten Drittdienstleister, das Widerrufsrecht sowie Drittlandverarbeitungen.
Für die Praxis empfiehlt sich ein erneuter Legal- und UX-Review: Sind „Akzeptieren“ und „Ablehnen“ auf gleicher Ebene erreichbar? Ist die Ablehnung eindeutig beschriftet? Werden nach einer Ablehnung nicht erneut bei jedem Besuch Einwilligungen abgefragt? Und ist jeder vor Einwilligung aktivierte Dienst technisch und rechtlich abgesichert?
Der LfD richtet sich zudem ausdrücklich an Unternehmen: KI-Produkte sollen sorgfältig ausgewählt, Beschäftigte wirksam geschult und verbindliche Handlungsanweisungen bereitgestellt werden. Unkontrollierte private KI-Anwendungen im beruflichen Kontext können nach seiner Einschätzung erhebliche Risiken für Daten- und Geheimnisschutz auslösen.
Praktisch verlangt dies mindestens eine KI-Governance mit freigegebenen Anwendungen, zulässigen und unzulässigen Datenkategorien, Vorgaben für Eingaben und Outputs, einem Prüfprozess für neue Use Cases sowie dokumentierten Schulungen. Die Orientierungshilfe der Datenschutzkonferenz zu technischen und organisatorischen Maßnahmen bei KI-Systemen ist über diesen Verweis des LfD erreichbar. An dieser Stelle verweisen wir auch auf einen unserer weiteren Beiträge zum IT-Recht, indem wir bereits den kürzlich veröffentlichen KI-Leitfaden des LfDi Mecklenburg-Vorpommern besprochen hatten.
Das IT-Labor des LfD identifizierte 20 Unternehmen mit kritischen Sicherheitslücken in Microsoft-Exchange-Servern. Nach behördlicher Aufforderung schlossen die betroffenen Unternehmen die Lücken, sodass die Verfahren mit Verwarnungen abgeschlossen werden konnten. Der Bericht nennt ein konsequentes Patch- und Änderungsmanagement ausdrücklich als grundlegende IT-Sicherheitsmaßnahme.
Unternehmen sollten daher insbesondere die technische Aktualität internetexponierter Systeme, Verantwortlichkeiten für Sicherheitsupdates, Fristen und Ausnahmen im Patch-Management sowie die Nachweisbarkeit der Umsetzung prüfen. Soweit personenbezogene Daten betroffen sind, sind die Maßnahmen am risikobasierten Schutzniveau der DSGVO zu messen.
Bei gemeinsamen Gewerbekontrollen stellte der LfD in fast allen kontrollierten Betrieben Videoüberwachungsanlagen fest. Wiederkehrende Auffälligkeiten waren die Erfassung von Beschäftigtenarbeitsbereichen, Pausenräumen oder Sitzbereichen von Gästen sowie fehlende Hinweisschilder. Gerade im Beschäftigtenkontext bedarf es einer besonders sorgfältigen Prüfung von Erforderlichkeit, Zweckbindung, räumlichem Erfassungsbereich, Speicherdauer und Transparenz.
Die niedersächsische Aufsicht verhängte 2025 Bußgelder von insgesamt rund 705.000 Euro. Betroffen waren unter anderem Unternehmen aus Baugewerbe, Logistik und Finanzdienstleistungen. Die Verfahren betrafen insbesondere fehlende Rechtsgrundlagen, Verstöße gegen Informationspflichten, nicht geführte oder nicht vorgelegte Verzeichnisse von Verarbeitungstätigkeiten sowie die Nichtbeachtung behördlicher Anweisungen.
Für Unternehmen ist dies ein klarer Hinweis, dass Datenschutz-Compliance belegbar sein muss. Ein Verzeichnis von Verarbeitungstätigkeiten, belastbare Löschkonzepte, aktuelle Informationspflichten, dokumentierte technische und organisatorische Maßnahmen und ein Verfahren zur Bearbeitung von Betroffenenrechten gehören in eine prüffähige Datenschutzorganisation.
Der Tätigkeitsbericht betrifft unmittelbar die Aufsichtspraxis in Niedersachsen. Seine Schwerpunkte sind aber für Verantwortliche in allen Bundesländern relevant. Besonders dringlich sind derzeit vier Prüfbereiche: die Datenminimierung in digitalen Prozessen, die rechtssichere Gestaltung von Einwilligungen und Tracking, die Governance beim Einsatz von KI sowie belastbare IT-Sicherheits- und Incident-Response-Prozesse. Sollen Sie hierzu Fragen oder Beratungsbedarf haben, unterstützen Wir Ihr Unternehmen gerne bei Datenschutz-Audits, der Überprüfung von Websites und Cookie-Bannern, der Einführung von KI-Governance sowie bei der Vorbereitung und Begleitung aufsichtsbehördlicher Verfahren.