LDI NRW: Datenschutzbericht 2025 zeigt Rekordzahl an Beschwerden

21. Juli 2026

Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Bettina Gayk, hat im Frühjahr 2026 ihren 31. Tätigkeitsbericht vorgelegt. Der Bericht umfasst den Zeitraum vom 1. Januar bis zum 31. Dezember 2025 und informiert über die Arbeit der Aufsichtsbehörde, aktuelle Problemfelder sowie wichtige Entwicklungen des Datenschutzrechts. Im Mittelpunkt stehen unter anderem künstliche Intelligenz, Onlinewerbung, Standortdaten, Gesundheitsdaten, Videoüberwachung, Beschäftigtendatenschutz und Datensicherheit.

Was war der Anlass?

Die fortschreitende Digitalisierung führt dazu, dass Unternehmen und öffentliche Stellen immer größere Mengen personenbezogener Daten verarbeiten. Nach Einschätzung der LDI NRW ist die Kenntnis über Personen und ihr Verhalten ein Machtinstrument. Datenschutz soll deshalb nicht Daten um ihrer selbst willen schützen, sondern Machtmissbrauch verhindern und die Rechte der betroffenen Menschen sichern.

Der Bericht reagiert zugleich auf einen erheblichen Anstieg der Beschwerden. Während Verantwortliche Datenschutzanforderungen teilweise als Belastung wahrnehmen, suchen Bürgerinnen und Bürger nach Darstellung der Behörde häufiger Unterstützung wegen mutmaßlich unzulässiger Datenverarbeitungen.

Inhaltlich behandelt der Bericht folgende Schwerpunkte:

Datenschutz in Europa und Deutschland,
künstliche Intelligenz,
Internet, Medien und digitale Dienste,
Schule und Bildung,
Polizei, Verfassungsschutz, Justiz und Verwaltung,
Gesundheit und Soziales,
Wirtschaft und Finanzwirtschaft,
Zertifizierungen,
Wohnen und Mietverhältnisse,
Videoüberwachung,
Beschäftigtendatenschutz,
Datensicherheit und Datenpannen.

Zentrale Themen und Ergebnisse

Künstliche Intelligenz

Die LDI NRW sieht weiterhin erhebliche rechtliche Lücken bei der Entwicklung, dem Training und dem Betrieb von KI-Systemen. Besonders problematisch sind große Datenmengen, Web-Scraping, die Weiterverwendung ursprünglich für andere Zwecke erhobener Daten und die oftmals nur schwer umsetzbaren Rechte auf Auskunft, Berichtigung und Löschung.

Die Datenschutzkonferenz fordert deshalb, Hersteller und Anbieter von IT-Produkten stärker unmittelbar in die datenschutzrechtliche Verantwortung einzubeziehen. Bislang tragen häufig die Unternehmen, die eine fertige Software einsetzen, die Verantwortung, obwohl sie Architektur, Funktionen und Voreinstellungen kaum beeinflussen können.

Eine neue Orientierungshilfe der Datenschutzkonferenz ordnet technische und organisatorische Maßnahmen den Lebensphasen eines KI-Systems und den Gewährleistungszielen des Standard-Datenschutzmodells zu. Daraus entstehen 28 Kategorien, anhand derer Hersteller und Entwickler datenschutzrechtliche Anforderungen systematisch prüfen können. Die LDI NRW hebt insbesondere Dokumentation, Transparenz, Schutz der Trainingsdaten und den Einsatz erklärbarer KI hervor.

Standortdaten und Datenhandel

Nach Medienberichten über veröffentlichte Daten eines US-amerikanischen Datenhändlers untersuchte die LDI NRW einen Onlinedienst aus Nordrhein-Westfalen. Die Behörde kam zu dem Ergebnis, dass Standortdaten von App-Nutzern über Jahre ohne wirksame Rechtsgrundlage zu Werbezwecken an Dritte weitergegeben worden seien. Noch 2025 wurde ein Bußgeldverfahren eingeleitet.

Standortdaten können Wohnort, Arbeitsplatz, Reisen, Arztbesuche und andere sensible Lebensumstände offenbaren. Werden sie mit weiteren Informationen verbunden, können präzise Bewegungsprofile entstehen. Die LDI NRW sieht deshalb erhebliche Gefahren bis hin zu Stalking, Spionage und Risiken für Personen aus sicherheitsrelevanten Bereichen.

Altersfeststellung im Internet

Der Europäische Datenschutzausschuss veröffentlichte unter Mitwirkung der LDI NRW zehn Grundsätze für eine datenschutzgerechte Altersfeststellung. Alterskontrollen müssen erforderlich, verhältnismäßig und risikobasiert sein. Bei frei zugänglichen Informationsseiten ohne altersbeschränkte Inhalte wäre eine Altersprüfung dagegen regelmäßig unverhältnismäßig.

Onlineanbieter sollen nur die Information erhalten, die sie tatsächlich benötigen. In vielen Fällen genügt daher die Aussage, dass eine Altersgrenze erreicht wurde, ohne dass Name, Geburtsdatum oder Identitätsnachweis dauerhaft verarbeitet werden müssen.

Schulen und digitale Endgeräte

Der Bericht behandelt den Einsatz generativer KI in Schulen, dienstlich bereitgestellte iPads und Bildaufnahmen auf Schülerhandys. Schulen müssen insbesondere klären, welche personenbezogenen Daten in KI-Systeme eingegeben werden dürfen, welche Anbieter eingesetzt werden und wie Transparenz, Zweckbindung und Datensicherheit gewährleistet werden.

Bei Tablets erkennt die LDI NRW positive technische Entwicklungen, gibt jedoch noch keine allgemeine Entwarnung. Entscheidend bleiben insbesondere die konkrete Konfiguration, die Datenübermittlung an Anbieter und die Kontrollmöglichkeiten der Schule.

Bildaufnahmen auf privaten Schülerhandys können von Lehrkräften oder Schulleitungen nicht ohne Weiteres eingesehen, kopiert oder gelöscht werden. Erforderlich sind eine gesetzliche Grundlage, ein konkreter Anlass und eine verhältnismäßige Vorgehensweise.

Polizei und Verfassungsschutz

Die LDI NRW bewertet sowohl das überarbeitete Polizeigesetz als auch das neue Verfassungsschutzgesetz Nordrhein-Westfalen kritisch. Nach ihrer Einschätzung sind die Befugnisse zum Einsatz von KI zu pauschal geregelt.

Eine allgemeine Ermächtigung zur Nutzung von KI unterscheidet nicht ausreichend zwischen unterstützenden Anwendungen und besonders eingriffsintensiven Verfahren. Werden beispielsweise öffentlich zugängliche Internetinhalte automatisiert nach verfassungsfeindlichen Tendenzen durchsucht, müssen Zweck, Datenquellen, Prüfmechanismen und Schutzmaßnahmen präzise gesetzlich geregelt sein. Andernfalls besteht die Gefahr, dass falsche Informationen oder sogenannte Fake News dazu führen, dass Personen ungerechtfertigt in den Fokus der Sicherheitsbehörden geraten.

Anwaltschaft und Prozessführung

Der Bericht weist darauf hin, dass Rechtsanwältinnen und Rechtsanwälte personenbezogene Daten Dritter in gerichtlichen Verfahren nicht unbegrenzt offenlegen dürfen. Die Verarbeitung kann zwar zur Rechtsverfolgung oder Rechtsverteidigung erforderlich sein. Dennoch gelten Datenminimierung, Erforderlichkeit und der besondere Schutz sensibler Daten. Nicht entscheidungserhebliche Informationen sollten geschwärzt oder weggelassen werden.

Gesundheits- und Patientendaten

Mehrere Fälle betreffen die Veröffentlichung von Patienteninformationen in sozialen Netzwerken. Pflegekräfte, Ärztinnen, Ärzte und therapeutisch Tätige dürfen Bilder, Videos oder Angaben zu Behandlungen nicht für eigene Social-Media-Auftritte verwenden, wenn keine tragfähige Rechtsgrundlage vorliegt. Wegen des Abhängigkeits- und Vertrauensverhältnisses ist auch eine Einwilligung besonders kritisch zu prüfen.

Der Bericht behandelt unter anderem:

Pflegepersonal, das Aufnahmen aus dem Arbeitsalltag veröffentlicht,
einen Schönheitschirurgen, der Bilder einer Patientin auf Instagram zeigte,
eine Therapeutin, die mit Informationen aus Behandlungen warb,
den Versandhandel von Apotheken mit besonders geschützten Bestelldaten.

Die LDI NRW betont, dass bereits die Bestellung bestimmter Arzneimittel Rückschlüsse auf Erkrankungen oder den Gesundheitszustand zulassen kann. Der Bundesgerichtshof bestätigte die strengen Anforderungen an den Schutz dieser Daten.

Telekommunikation und aggressive Vertriebspraktiken

Die LDI NRW verhängte gegen ein Telekommunikationsunternehmen ein Bußgeld von 300.000 Euro. Beschäftigte beziehungsweise Vertriebskräfte sollen unzulässige Methoden eingesetzt und Kundendaten rechtswidrig verarbeitet haben. Der Fall zeigt, dass Unternehmen für Datenschutzverstöße in Vertriebsstrukturen verantwortlich bleiben und wirksame Kontrollen, Schulungen und Beschwerdewege vorhalten müssen.

Auskunft, Löschung und Auskunfteien

Bei einer europaweiten Prüfaktion untersuchten 32 Datenschutzaufsichtsbehörden, wie Unternehmen mit Löschanträgen umgehen. Die LDI NRW stellte fest, dass Löschkonzepte, Zuständigkeiten und dokumentierte Verfahren unverzichtbar sind. Besonders riskant sind verwaiste Kundenkonten, die nicht mehr benötigt werden, aber weiterhin Zahlungs- oder Kreditkartendaten enthalten.

Der Bericht greift außerdem die Entscheidung des Bundesgerichtshofs zur Speicherdauer erledigter Negativdaten bei Auskunfteien auf. Nach der Entscheidung gilt nicht automatisch dieselbe Frist wie für öffentliche Schuldnerverzeichnisse. Vielmehr ist eine Interessenabwägung nach Art. 6 Abs. 1 Buchstabe f DSGVO erforderlich. Genehmigte Verhaltensregeln können hierfür Orientierung geben, dürfen aber die Einzelfallprüfung nicht ersetzen.

Gastzugang im Onlinehandel

Die Datenschutzaufsichtsbehörden verlangen, dass Verbraucher Waren grundsätzlich auch ohne dauerhaftes Kundenkonto bestellen können. Ein verpflichtendes Konto ist häufig nicht erforderlich, wenn die Bestellung ebenso über einen Gastzugang abgewickelt werden kann.

Für Händler bedeutet dies, dass die Anlage eines dauerhaften Kundenkontos von der eigentlichen Vertragsabwicklung getrennt werden sollte. Ein Konto darf nicht allein deshalb erzwungen werden, weil es für Marketing, Kundenbindung oder spätere Auswertungen wirtschaftlich nützlich ist.

Warenkorberinnerungen per E-Mail

Besonders praxisrelevant ist die Bewertung von Erinnerungsmails nach einem abgebrochenen Bestellvorgang. Ausgangspunkt war die Beschwerde eines Verbrauchers, der nach einem nicht abgeschlossenen Einkauf drei Erinnerungsmails erhielt. Der Händler bezeichnete diese als Servicekommunikation.

Die LDI NRW bewertet Warenkorberinnerungen hingegen als Direktwerbung. Ihr Zweck besteht darin, den Empfänger zur Fortsetzung des Kaufvorgangs zu bewegen und damit den Absatz zu fördern. Sie können deshalb nach Ansicht der Behörde nicht auf vorvertragliche Maßnahmen nach Art. 6 Abs. 1 Buchstabe b DSGVO gestützt werden. Verlässt eine Person den Shop und bricht die Bestellung bewusst ab, erfolgt eine spätere Kontaktaufnahme grundsätzlich auf Initiative des Händlers.

Für den Versand ist daher regelmäßig eine vorherige Einwilligung erforderlich. Ergänzend müssen die Anforderungen des § 7 UWG eingehalten werden. Der von dir genannte Fachbeitrag empfiehlt eine transparente Einwilligung mit Checkbox und Double-Opt-in. Eine Ausnahme kann bei bestehenden Kunden nach § 7 Abs. 3 UWG bestehen, wenn die E-Mail-Adresse im Zusammenhang mit einem Kauf erhoben wurde, nur eigene ähnliche Waren oder Dienstleistungen beworben werden, kein Widerspruch vorliegt und bei jeder Verwendung auf die Widerspruchsmöglichkeit hingewiesen wird. Im Fall eines erstmaligen, abgebrochenen Einkaufs greift diese Ausnahme nicht. (DSN GROUP)

Onlinehändler sollten Warenkorberinnerungen daher nicht als bloße Transaktions- oder Servicenachricht behandeln. Die technisch mögliche Identifizierung eines abgebrochenen Warenkorbs rechtfertigt noch keine anschließende werbliche Ansprache.

Versicherungen, Zertifizierungen und Verhaltensregeln

Der Bericht hebt branchenspezifische Verhaltensregeln und Zertifizierungen als Instrumente hervor, mit denen abstrakte DSGVO-Vorgaben konkretisiert werden können. Die LDI NRW war an Verhaltensregeln für Versicherungen und die Messgerätewirtschaft beteiligt. Außerdem veröffentlichte sie Informationen zu Datenschutz-Zertifizierungen und wirkte an einem überarbeiteten Prüfkriterienpapier der Datenschutzkonferenz mit.

Solche Instrumente schaffen jedoch keine automatische Rechtmäßigkeit. Verantwortliche müssen weiterhin prüfen, ob die konkrete Verarbeitung von den genehmigten Regeln erfasst wird und ob alle Voraussetzungen eingehalten werden.

Mietverhältnisse und Videoüberwachung

Mieterdaten dürfen in besonderen Notsituationen an Sozialbehörden weitergegeben werden, wenn dies erforderlich ist, um etwa Wohnungslosigkeit abzuwenden. Eine pauschale oder routinemäßige Übermittlung ist davon nicht gedeckt.

Bei digitaler Türkontrolle über Smartphones dürfen Vermieter Mieter nicht ohne Wahlmöglichkeit zur Nutzung einer App zwingen. Es muss eine zumutbare Alternative bestehen, wenn die digitale Lösung personenbezogene Daten verarbeitet oder die Nutzung eines bestimmten Endgeräts voraussetzt.

Private Videoüberwachung darf nicht eingesetzt werden, um allgemein Kriminalität auf öffentlichen Flächen zu bekämpfen. Ein privater Verantwortlicher kann sich grundsätzlich nicht auf das allgemeine Sicherheitsinteresse der Bevölkerung berufen. Kameras müssen auf den eigenen Schutzbereich begrenzt werden.

Auch Spielhallen, Außenbereiche und Überwachungsanlagen für Lastkraftwagen waren Gegenstand aufsichtsrechtlicher Prüfungen. Maßgeblich sind ein konkreter Zweck, die räumliche Begrenzung, kurze Speicherfristen, transparente Hinweise und der Ausschluss einer anlasslosen Dauerüberwachung.

GPS-Ortung von Dienstwagen

Ein Unternehmen darf Beschäftigte nicht dauerhaft über Dienstfahrzeuge verfolgen. GPS-Daten dürfen nur verarbeitet werden, wenn ein konkreter betrieblicher Zweck vorliegt und die Ortung hierfür tatsächlich erforderlich ist. Eine lückenlose Leistungs- und Verhaltenskontrolle ist regelmäßig unverhältnismäßig.

Erforderlich sind insbesondere klare Nutzungsregeln, begrenzte Zugriffsrechte, kurze Speicherfristen und eine Abschaltmöglichkeit bei erlaubter Privatnutzung. Das Thema entspricht auch der Bewertung anderer Aufsichtsbehörden, wonach punktuelle Ortungen eher vertretbar sein können als eine vollständige Bewegungsaufzeichnung. (Daseco)

Datenpannen in Krankenhäusern

Die LDI NRW untersuchte das Datenpannenmanagement von Universitätskliniken und Krankenhäusern. Häufige Ursachen waren Fehlversendungen und andere unbefugte Weitergaben. Zwölf Kliniken gaben an, ihnen sei in den Jahren 2023 und 2024 keine einzige Datenpanne bekannt geworden. Die Behörde hält dies angesichts der Größe und Komplexität solcher Einrichtungen für wenig wahrscheinlich.

Positiv bewertet wurde, dass alle befragten Einrichtungen interne Meldewege eingerichtet und relevante Verantwortliche benannt hatten. Beschäftigte müssen dennoch regelmäßig geschult werden, damit auch intern zu dokumentierende Vorfälle erkannt und weitergeleitet werden. In 21 Prozent der Vorfälle des Jahres 2023 und 13 Prozent der Vorfälle des Jahres 2024 wurden Betroffene informiert, obwohl keine gesetzliche Benachrichtigungspflicht wegen eines hohen Risikos bestand.

Zahlen und Fakten

Der Bericht nennt für 2025 insgesamt 18.060 schriftliche Eingaben einschließlich Datenpannenmeldungen. Gegenüber 12.490 Eingaben im Jahr 2024 entspricht dies einem Anstieg von rund 45 Prozent und einem historischen Höchststand. Telefonische Anfragen sind darin nicht enthalten.

Davon entfielen auf:

12.592 Beschwerden nach Art. 77 DSGVO,
898 Hinweise von nicht selbst betroffenen Dritten,
904 schriftliche Beratungsanfragen,
2.844 Datenpannenmeldungen,
421 Eingaben zur Informationsfreiheit,
acht Begleitungen von Rechtsetzungsvorhaben,
drei Genehmigungsverfahren,
194 nicht näher zugeordnete Eingaben.

Die Zahl der Beschwerden stieg von 7.539 im Jahr 2024 auf 12.592 im Jahr 2025 und damit um rund 67 Prozent.

Bei den gemeldeten Datenpannen entfielen:

34 Prozent auf Cyberangriffe,
24 Prozent auf Fehlversand,
20 Prozent auf andere unbefugte Weitergaben,
vier Prozent auf offene E-Mail-Verteiler,
drei Prozent auf Einbruch oder Diebstahl,
drei Prozent auf unbefugte Veröffentlichungen,
zwei Prozent auf sonstigen Verlust von Dokumenten oder Datenträgern,
zehn Prozent auf sonstige Ursachen.

Im Jahr 2025 wurden 141 Bußgeldverfahren eingeleitet oder übernommen, 53 Bußgeldbescheide erlassen und 86 Verfahren abgeschlossen. Die Gesamtsumme der verhängten Bußgelder belief sich auf 431.900 Euro. Das höchste Einzelbußgeld betrug 300.000 Euro, der Durchschnitt 8.150 Euro und der Median 500 Euro.

Hinzu kamen unter anderem 2.033 aufsichtsrechtliche Hinweise, 35 Verwarnungen, 236 Anweisungen zur Anpassung einer Datenverarbeitung, drei Beschränkungen und drei Aussetzungen von Datenübermittlungen.

In europäischen Kooperationsverfahren war die LDI NRW mit 2.863 gestarteten Modulen im Binnenmarkt-Informationssystem befasst. 2019 waren es noch 1.390 Fälle. Damit hat sich die europäische Verfahrensbelastung innerhalb von sieben Jahren ungefähr verdoppelt.

Zu welchem Ergebnis kommt die LDI NRW?

Der Bericht zeigt, dass Datenschutzverstöße zunehmend nicht auf einzelne Formfehler beschränkt sind. Häufig betreffen sie Geschäftsmodelle, technische Systeme und organisatorische Strukturen: den Handel mit Standortdaten, werbliche Kundenansprache, KI-Training, Videoüberwachung, Beschäftigtenkontrolle oder die Veröffentlichung von Gesundheitsdaten.

Die LDI NRW setzt weiterhin auf Beratung und einvernehmliche Lösungen, greift bei schwerwiegenden oder systematischen Verstößen aber auch zu Anordnungen und Bußgeldern. Zugleich fordert sie klarere gesetzliche Grundlagen für neue Technologien und staatliche Überwachungsbefugnisse.

Besonders deutlich sind drei Botschaften:

Datenschutz muss bereits bei der Entwicklung von Produkten und Verfahren berücksichtigt werden.
Wirtschaftliche Interessen rechtfertigen keine unbegrenzte Verarbeitung oder Weitergabe personenbezogener Daten.
Transparenz allein genügt nicht, wenn es an einer Rechtsgrundlage, Erforderlichkeit oder angemessenen Schutzmaßnahmen fehlt.

Bewertung aus Sicht unserer Kanzlei

Der Bericht ist für Unternehmen und öffentliche Stellen weniger als Rückblick denn als Prüfprogramm für die eigene Datenschutzorganisation zu verstehen. Die stark gestiegenen Beschwerde- und Datenpannenzahlen erhöhen die Wahrscheinlichkeit aufsichtsrechtlicher Verfahren. Verantwortliche sollten deshalb nicht erst auf eine Beschwerde oder einen Sicherheitsvorfall reagieren.

Besonders dringender Handlungsbedarf besteht bei KI-Systemen, Werbe-E-Mails, Kundenkonten, Standortdaten, Beschäftigtenüberwachung, Videoaufnahmen und Gesundheitsdaten. Für diese Bereiche sollten Rechtsgrundlagen, Informationspflichten, Löschfristen, Berechtigungskonzepte und technische Schutzmaßnahmen nachvollziehbar dokumentiert werden.

Bei Warenkorberinnerungen sollten Onlinehändler eine klare Trennung zwischen für die Vertragsabwicklung erforderlichen Nachrichten und Werbung vornehmen. Eine Nachricht wird nicht dadurch zur zulässigen Servicekommunikation, dass sie technisch an einen zuvor begonnenen Bestellvorgang anknüpft. Entscheidend ist ihr objektiver Zweck. Soll der Kaufabschluss gefördert werden, spricht dies für Werbung und damit grundsätzlich für das Erfordernis einer Einwilligung.

Auch beim Einsatz von KI ist eine reine Anbieterfreigabe nicht ausreichend. Das einsetzende Unternehmen bleibt grundsätzlich selbst verantwortlich und muss insbesondere Zweck, Datenarten, Eingaben, Ausgaben, Speicherfristen, Empfänger, Drittlandtransfers und Möglichkeiten zur Wahrnehmung von Betroffenenrechten prüfen. Die Forderung nach einer stärkeren Herstellerverantwortung ist nachvollziehbar, entlastet Anwender nach geltendem Recht jedoch noch nicht automatisch.

Der Bericht bestätigt insgesamt eine Entwicklung hin zu stärkerer Rechenschaftspflicht: Unternehmen müssen nicht nur datenschutzkonform handeln, sondern ihre Erwägungen, Prüfungen und Schutzmaßnahmen im Streitfall auch belegen können.