In einem Satz. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) mit Sitz in Ansbach ist die Aufsichtsbehörde für nicht-öffentliche Stellen (Unternehmen, Vereine) in Bayern, wird seit Februar 2020 von Präsident Michael Will geleitet, beschäftigt rund 80 Mitarbeiter und ist eine der aktivsten Länder-DPAs Deutschlands — bekannt durch den Mountain View-Bescheid 2022 (Google Fonts) und die Apple-Klage 2024 zum Ad Tracking Transparency.
BayLDA ist die einzige bayerische Aufsicht für privatwirtschaftliche DSGVO. Für öffentliche Stellen in Bayern ist der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) zuständig — eine Doppelstruktur, die unter den Bundesländern fast einzigartig ist. Zum Vergleich mit der Bundesebene siehe BfDI, zu den Schwesterbehörden in anderen Ländern HmbBfDI Hamburg und LfDI Baden-Württemberg.
Die rechtlichen Befugnisse des BayLDA — von der Verwarnung bis zum Bußgeld — ergeben sich unmittelbar aus Art. 58 DSGVO; seine Verfahren und Schwerpunkte dokumentiert die Behörde auf ihrer offiziellen Website des BayLDA und in den jährlichen Tätigkeitsberichten.
Wichtige Punkte
- BayLDA-Zuständigkeit: nicht-öffentliche Stellen mit Sitz in Bayern.
- Präsident Michael Will seit 2020 (Nachfolge Thomas Kranig).
- Beschäftigt rund 80 Mitarbeiter, größte Länder-DPA neben LfDI BaWü.
- Mountain View 2022: Google Fonts und IP-Übermittlung in die USA.
- Apple-Klage 2024 zu App Tracking Transparency vor Verwaltungsgericht.
1. Struktur und Organisation
| Aspekt | Wert |
|---|---|
| Sitz | Promenade 27, Ansbach |
| Präsident | Michael Will (seit 2020) |
| Mitarbeiter | ~80 |
| Jahresbudget | ~9 Mio. Euro |
| Zuständigkeit | nicht-öffentliche Stellen Bayern |
| Schwester | BayLfD (öffentliche Stellen) |
2. Zuständigkeitsbereich
- Privatunternehmen mit Sitz oder Niederlassung in Bayern
- Vereine, Stiftungen
- Religionsgemeinschaften (außer kirchlich verfasste mit eigenem Datenschutz)
- Schiedsstellen
- Online-Anbieter mit Bayern-Bezug
Für Bayern als wirtschaftsstarkes Bundesland sind viele DAX- und Mittelstandsunternehmen primär BayLDA-zuständig: Siemens (teilweise), BMW, Allianz, Audi, MAN.
Bei grenzüberschreitenden Verarbeitungen kann das BayLDA nach dem One-Stop-Shop-Prinzip der DSGVO auch federführende Aufsichtsbehörde (“lead authority”) für ein Unternehmen mit Hauptniederlassung in Bayern werden — mit Wirkung für Betroffene in der gesamten EU. In solchen Fällen koordiniert das BayLDA das Verfahren mit den betroffenen Aufsichtsbehörden anderer Mitgliedstaaten. Diese Konstellation ist für bayerische Konzerne mit europaweiter Kundschaft praktisch bedeutsam, weil sie den Ansprechpartner bündelt, zugleich aber die Erwartungen anderer EU-Behörden in das Verfahren einbringt.
3. Der “Mountain View”-Bescheid 2022
Landgericht München I (LG München I, Az. 3 O 17493/20) und parallel BayLDA-Verfahren: Website-Einbindung von Google Fonts ohne Einwilligung übermittelt IP-Adresse in die USA. Folgen:
- Schadensersatzanspruch des Besuchers (€100, später abgewiesen in 2. Instanz)
- BayLDA-Verwarnungen an mehrere bayerische Websites
- Massive Abmahnwelle 2022/2023
Praktische Lehre: Google Fonts lokal hosten oder ausdrückliche Einwilligung. Der Fall zeigt exemplarisch, wie eng nationales Cookie-Recht und DSGVO-Drittlandstransfer verzahnt sind: Das dynamische Nachladen einer Schriftart von einem US-Server übermittelt die IP-Adresse des Besuchers ohne dessen Zustimmung — ein Verstoß gegen die Einwilligungspflicht nach §25 TDDDG (früher TTDSG) und zugleich ein ungerechtfertigter Transfer nach Kapitel V DSGVO, weil IP-Adressen personenbezogene Daten sind. Die daraus resultierende Abmahnwelle traf tausende Website-Betreiber, oft mit Forderungen über 100 bis 170 Euro pro Fall.
4. Apple-Klage 2024
BayLDA hat 2024 gegen Apple Klage erhoben wegen App Tracking Transparency-Mechanik:
- Apples eigene Werbung wird gegenüber Drittanbietern bevorzugt behandelt
- Frage: Differenzierte Einwilligungsmechanik DSGVO-konform?
- Verfahren läuft vor VG Ansbach
Bedeutung: Erste deutsche Klage gegen einen Big-Tech-Player zu Tracking-Mechanik. Der Kern des Streits ist die Gleichbehandlung: Wenn Apple Drittanbieter-Apps zu einem strengen Opt-in-Dialog (App Tracking Transparency) zwingt, sein eigenes Werbenetzwerk aber über niedrigschwelligere Einstellungen laufen lässt, könnte darin eine wettbewerbsverzerrende und datenschutzrechtlich uneinheitliche Einwilligungsarchitektur liegen. Für Unternehmen ist die Lehre grundsätzlicher Natur: Eine Einwilligung muss über alle Verarbeitungswege hinweg denselben Maßstab erfüllen — wer Dritte strenger behandelt als sich selbst, riskiert den Vorwurf der unfreiwilligen oder irreführenden Einwilligung.
5. Weitere Schwerpunkt-Verfahren
| Fall | Bereich | Sanktion |
|---|---|---|
| Krankenversicherer (Tarifoptimierung) | Profiling sensibler Daten | €900.000 |
| Online-Händler (Hash für Bestandsabgleich) | Pseudonymisierung | Verwarnung |
| Tracking ohne Einwilligung | Marketing | Verwarnung + Pflichten |
| Maklerketten (Interessenten-DB) | Aufbewahrung | €50-100k mehrfach |
| Telematik-Versicherer | Profiling | Auflagen |
6. Tätigkeitsberichte
Jährlich veröffentlicht. Kernzahlen 2024 (Bericht 2025):
- ~6.500 Beschwerden eingegangen
- ~3.000 abgeschlossene Verfahren
- ~140 Bußgeldbescheide
- Summe Bußgelder ~ 4,5 Mio. Euro
7. Schwerpunkte 2025/2026
BayLDA-Prioritätsbereiche:
- Cookie-Banner und Consent Management
- KI-Anwendungen (Chatbots, Recruiting)
- Beschäftigtendatenschutz nach Reform-Erwartungen
- Tracking auf Mobile Apps
- Cloud-Auslagerung und internationale Datenübermittlung
Diese Schwerpunktliste ist für bayerische Unternehmen ein Frühwarnsystem: Themen, die das BayLDA in seinen jährlichen Prüfaktionen aufgreift, entwickeln sich erfahrungsgemäß innerhalb von zwölf bis achtzehn Monaten zu breit durchgesetzten Anforderungen. Das BayLDA hat in der Vergangenheit mehrfach mit standardisierten Fragebögen ganze Branchensegmente gleichzeitig geprüft — etwa Online-Shops zu Tracking oder Arztpraxen zu TOMs. Wer in einer der genannten Kategorien tätig ist, sollte die eigene Dokumentation proaktiv auf den aktuellen Stand bringen, bevor ein solcher Fragebogen eintrifft.
8. Verfahren bei BayLDA
Typischer Ablauf:
- Beschwerde oder Datenpannenmeldung
- Anhörung des Verantwortlichen (Anhörungsschreiben)
- Sachverhaltsaufklärung (oft mehrere Schreiben)
- Vor-Ort-Prüfung möglich (selten)
- Abschlussbescheid: Verwarnung, Auflagen oder Bußgeld
Dauer: 6-24 Monate.
9. Praxis-Tipps bei BayLDA-Anhörung
- Frist von 14 Tagen meist verlängerbar bei Bitte
- Vollständige, aber zielgerichtete Antwort
- Maßnahmenplan mit Zeitleiste mitsenden
- Anhörungsfaktor positiv: bereits umgesetzte Verbesserungen
Ein Anhörungsschreiben ist keine Vorverurteilung, sondern eine strukturierte Gelegenheit zur Stellungnahme. Der häufigste Fehler ist die defensive Nicht-Antwort oder das Bestreiten offensichtlicher Sachverhalte. Deutlich wirksamer ist die Kombination aus einer sachlichen Darstellung, einem konkreten, terminierten Abhilfeplan und dem Nachweis bereits ergriffener Maßnahmen. Nach Art. 83 Abs. 2 DSGVO wirken Kooperationsbereitschaft und getroffene technisch-organisatorische Maßnahmen ausdrücklich bußgeldmindernd. Halten Sie deshalb ein aktuelles Verzeichnis von Verarbeitungstätigkeiten und die einschlägige Datenschutz-Folgenabschätzung bereit — diese Unterlagen belegen im Zweifel, dass die Verarbeitung nicht im Blindflug erfolgte. Zur Einordnung der Bußgeldhöhe insgesamt hilft der Überblick zu DSGVO-Bußgeldern.
10. BayLDA und Aufsichts-Konferenz
BayLDA ist Mitglied der Datenschutzkonferenz (DSK) der 17 deutschen Aufsichtsbehörden. Wichtige Beschlüsse mit BayLDA-Federführung:
- Beschluss zu Microsoft 365 (2022)
- Cookie-Banner-Kriterien
- KI-Tracking
Die DSK-Beschlüsse sind formal nicht rechtsverbindlich, prägen aber die deutschlandweite Verwaltungspraxis erheblich: Was die Konferenz gemeinsam festhält, setzen die einzelnen Landesbehörden regelmäßig deckungsgleich durch. Für Unternehmen mit Standorten in mehreren Bundesländern bedeutet das, dass eine BayLDA-Position selten isoliert bleibt. Über die europäische Ebene ist das BayLDA zudem im Zusammenwirken des Europäischen Datenschutzausschusses (EDPB) und im Kohärenzverfahren nach Art. 63 ff. DSGVO eingebunden, wodurch grenzüberschreitende Fälle mit Federführung einer Behörde koordiniert werden.
Betroffene Personen können sich unmittelbar an das BayLDA wenden: Das Beschwerderecht bei der Aufsichtsbehörde nach Art. 77 DSGVO gibt jeder Person das Recht, eine mutmaßlich rechtswidrige Verarbeitung überprüfen zu lassen — für Unternehmen ist die eingehende Beschwerde der häufigste Auslöser eines Verfahrens. Umso wichtiger ist ein funktionierender interner Prozess für Betroffenenanfragen, der Beschwerden gar nicht erst zur Behörde eskalieren lässt.
11. Tool-Unterstützung
Legiscope hilft bayerischen Unternehmen mit auditfähigem VVT, DSFA-Dokumentation und BayLDA-konformen Anhörungsantworten.
Fazit
Das BayLDA ist eine der durchsetzungsstärksten deutschen Aufsichten. Wer in Bayern operiert, sollte den Tätigkeitsbericht jährlich lesen und die Beschwerde- und Bußgeldpraxis als Frühindikator nutzen — was BayLDA heute beschäftigt, wird in 12 Monaten Branche.
Für bayerische Unternehmen ergibt sich daraus eine klare Handlungsempfehlung: die eigene Compliance an den bekannten BayLDA-Schwerpunkten ausrichten, statt auf ein Anhörungsschreiben zu warten. Cookie-Banner mit gleichwertiger Ablehnen-Option, ein dokumentiertes KI-Use-Case-Inventar, saubere Auftragsverarbeitungsverträge und ein aktuelles Verarbeitungsverzeichnis decken den Großteil der typischen Prüffelder ab. Wer diese Grundlagen beherrscht, begegnet einer BayLDA-Anfrage nicht als Bedrohung, sondern als Gelegenheit, die eigene Sorgfalt zu belegen.
FAQ
Wann ist BayLDA zuständig?
Für nicht-öffentliche Stellen mit Sitz oder Niederlassung in Bayern. Bei Hauptniederlassung in Bayern auch für andere Länder bzw. ggf. EU-weit als federführende Behörde.
Wer ist Präsident des BayLDA?
Michael Will, seit Februar 2020. Nachfolger von Thomas Kranig.
Welche Bußgelder hat BayLDA verhängt?
Höchstwert: €900.000 gegen Krankenversicherer wegen Tarifoptimierung. Üblicher Range: €5.000-€200.000.
Wie reagiert BayLDA auf Datenpannenmeldungen?
Standardmäßig Bestätigung, dann ggf. Anhörung. Bei kleineren Pannen oft kein Verfahren. Bei strukturellen Mängeln Aufklärung und Verbesserungsverlangen.
Welche Themen prüft BayLDA 2026 schwerpunktmäßig?
Cookies/Tracking, KI-Tools, Beschäftigtendatenschutz, Mobile Apps, Cloud-Auslagerungen.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial