In einem Satz. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) mit Sitz in Hamburg ist Aufsicht für öffentliche und nicht-öffentliche Stellen in Hamburg, leitet seit 2021 Thomas Fuchs (Nachfolger Johannes Caspar) und ist deutschlandweit bekannt durch den H&M-Bescheid 2020 (€35,3 Mio.) — das damals größte deutsche DSGVO-Bußgeld — sowie zahlreiche Big-Tech-Verfahren (Facebook, Meta, ClearView AI).
Hamburg ist als Konzernsitz von Beiersdorf, Hapag-Lloyd, Vattenfall Deutschland und Facebook-Niederlassung sowie als Medienstandort (NDR, Bauer-Verlag, Gruner+Jahr) ein Datenschutz-Hotspot. Der HmbBfDI hat eine starke Tradition in der Auseinandersetzung mit US-Plattformen, geprägt durch den langjährigen Vorgänger Johannes Caspar (2009-2021). Ähnlich kritisch gegenüber US-Cloud und Big Tech positioniert sich im Norden das ULD Schleswig-Holstein; deutlich kleiner, aber auf Tourismus- und Gästedaten spezialisiert ist der LfDI Mecklenburg-Vorpommern. Siehe BfDI. Aktuelle Bescheide und Tätigkeitsberichte veröffentlicht der HmbBfDI auf datenschutz-hamburg.de; die Rechtsgrundlage bildet die DSGVO auf EUR-Lex.
Wichtige Punkte
- HmbBfDI Thomas Fuchs seit November 2021, Nachfolger Johannes Caspar.
- Sitz Hamburg, rund 45 Mitarbeiter.
- H&M 2020: €35,3 Mio. — damaliges deutsches Rekord-Bußgeld.
- Aktive Big-Tech-Aufsicht: Facebook/Meta, ClearView AI, WhatsApp.
- Hapag-Lloyd, Vattenfall, AOK Hamburg als prominente nationale Fälle.
1. Struktur und Organisation
| Aspekt | Wert |
|---|---|
| Sitz | Ludwig-Erhard-Straße 22, Hamburg |
| Leiter | Thomas Fuchs (seit Nov. 2021) |
| Mitarbeiter | ~45 |
| Zuständigkeit | öffentliche und nicht-öffentliche Stellen Hamburg |
2. H&M-Bescheid 2020
Größtes deutsches DSGVO-Bußgeld seiner Zeit:
- Sachverhalt: Servicecenter H&M Nürnberg dokumentierte private Lebensumstände von Mitarbeitern (Krankheiten, Religion, Familie) und nutzte diese für Bewertungen
- Datenleck führte zur Aufdeckung
- Sanktion: €35,3 Mio. (Oktober 2020)
- H&M leistete Schadensersatz an Betroffene, akzeptierte Bescheid
Lehre: Mitarbeiter-Profiling und übermäßige Personalakten-Detaillierung sind DSGVO-Bombe. Der HmbBfDI würdigte bei der Bußgeldbemessung positiv, dass H&M nach Bekanntwerden umfassend kooperierte, sich bei den Betroffenen entschuldigte und ein Kompensationskonzept auflegte — ohne diese Faktoren wäre das Bußgeld nach Art. 83 Abs. 2 DSGVO noch höher ausgefallen. Genau diese Zumessungslogik (Schwere, Dauer, Vorsatz vs. Kooperation, Schadensminderung) ist für jede Verteidigung im Bußgeldverfahren entscheidend.
3. Vattenfall-Fall
Vattenfall Deutschland-Tochter wegen einer Profiling-Praktik bei der Marketingdatennutzung im Fokus der Aufsicht. Konsequenz: Compliance-Programm-Verschärfung. Der Fall steht exemplarisch dafür, dass der HmbBfDI nicht nur gegen Big Tech, sondern auch gegen etablierte Konzerne am Standort vorgeht — und dass viele Verfahren ohne öffentlichen Bußgeldbescheid enden, wenn das Unternehmen die beanstandete Praxis abstellt.
4. Facebook/Meta-Verfahren
HmbBfDI als Sitz-Aufsicht von Facebook Germany lange Zeit aktiv:
- WhatsApp-Datenweitergabe an Facebook (2016): Unterlassungsverfügung
- 2021: erneute Unterlassungsverfügung gegen WhatsApp wegen geänderter AGB
- Bedeutung: Erstmals deutsche Aufsicht gegen Big Tech mit Unterlassung
- Seit Irland federführend (IDPC): HmbBfDI Aufsichtsrolle eingeschränkter
5. ClearView AI
Der HmbBfDI befasste sich früh mit ClearView AI, das milliardenfach Gesichtsbilder aus dem offenen Internet gesammelt und daraus eine biometrische Suchdatenbank für Behörden und Unternehmen aufgebaut hatte:
- Sachverhalt: Erstellung biometrischer Templates ohne Rechtsgrundlage, kommerzielle Nutzung
- Der HmbBfDI ordnete auf Beschwerde eines Betroffenen die Löschung des biometrischen Hashwerts an
- ClearView zeigte sich kooperationsunwillig und bestritt die Anwendbarkeit der DSGVO
- Folge: Es folgte eine europaweite Welle — die CNIL (Frankreich), der ICO (Vereinigtes Königreich), die AEPD (Spanien) und die Garante (Italien) verhängten teils Millionenbußgelder gegen ClearView
Der Fall wurde zum Präzedenzfall dafür, dass die DSGVO auch für außereuropäische Anbieter gilt, sobald sie Daten von in der EU befindlichen Personen verarbeiten (Art. 3 Abs. 2).
6. WhatsApp-Anordnung 2021
Ein weiterer Meilenstein der Big-Tech-Aufsicht: Im Mai 2021 erließ der HmbBfDI eine auf Art. 66 DSGVO gestützte Dringlichkeitsanordnung, die es Facebook (Meta) für drei Monate untersagte, WhatsApp-Nutzerdaten nach der geänderten Datenschutzrichtlinie für eigene Zwecke zu verarbeiten. Der Fall zeigte zugleich die Grenzen des One-Stop-Shop-Systems: Weil Metas EU-Hauptniederlassung in Irland liegt, ist die irische Aufsicht (DPC) federführend; eine nationale Aufsicht kann nur vorläufige Dringlichkeitsmaßnahmen für das eigene Territorium treffen. Der Europäische Datenschutzausschuss (EDSA/EDPB) bestätigte anschließend diese Kompetenzverteilung.
7. Weitere Verfahren
| Fall | Bereich | Sanktion/Ergebnis |
|---|---|---|
| Hapag-Lloyd | Mitarbeiter-Datenleck | Maßnahmen |
| Beiersdorf | Werbedatenstrategie | Auflagen |
| Bauer-Verlag | Newsletter-Tracking | Verwarnung |
| ClearView AI | Gesichtserkennung | Unterlassung |
| Telefon-Hacker-Forum | Forenbetreiber-Pflichten | Stellungnahme |
8. Tätigkeitsbericht 2024
Kennzahlen 2024 (Bericht 2025):
- ~4.500 Beschwerden eingegangen
- ~2.500 abgeschlossene Verfahren
- ~70 Bußgeldbescheide
- Bußgeldsumme ~ 3 Mio. Euro
9. Schwerpunkte unter Thomas Fuchs
Neue Akzente:
- Künstliche Intelligenz (Chatbots, KI-Recruiting)
- Hamburger Schulen und Bildung
- Tracking und Cookie-Banner
- Medienunternehmen (Newsletter, Tracking)
- Internationale Kooperation (EDSA)
10. Internationale Rolle
HmbBfDI ist im EDSA (Europäischer Datenschutzausschuss) aktiv:
- Beiträge zu Big-Tech-Leitfäden
- One-Stop-Shop-Verfahren
- Stellungnahmen zu Cloud und KI
11. Was Unternehmen aus dem H&M-Fall lernen
Der H&M-Bescheid ist mehr als eine Rekordzahl — er ist die konkreteste Warnung an Arbeitgeber. Im Nürnberger Servicecenter hatten Vorgesetzte nach Krankheits- oder Urlaubsrückkehr Gespräche geführt und private Details (Krankheitssymptome, Diagnosen, religiöse Bekenntnisse, familiäre Probleme) systematisch in einem Laufwerk dokumentiert, auf das bis zu 50 Führungskräfte zugreifen konnten. Diese Notizen flossen in Bewertungen und Personalentscheidungen ein. Die Lehren für jede Personalabteilung:
- Keine Erhebung von Gesundheits-, Religions- oder Familiendaten ohne klare Rechtsgrundlage — § 26 BDSG und Art. 9 DSGVO setzen enge Grenzen.
- Zugriffsbeschränkung: Personaldaten gehören nicht auf offene Laufwerke.
- Löschkonzept für Gesprächsnotizen und Leistungsbewertungen.
- Ein Datenleck deckt alles auf — bei H&M wurde die Praxis erst durch eine technische Panne öffentlich.
Die Details der zulässigen HR-Datenverarbeitung behandelt unser Leitfaden zur DSGVO in der Personalabteilung; die Bandbreite deutscher Sanktionen zeigt unsere Übersicht zu DSGVO-Bußgeldern. Für risikobehaftete Verarbeitungen wie systematische Mitarbeiterbewertung ist zudem eine Datenschutz-Folgenabschätzung durchzuführen.
12. So arbeitet der HmbBfDI
Für Unternehmen mit Sitz in Hamburg ist der Behördenkontakt oft direkter als in Flächenländern. In der Praxis gilt:
- Beschwerden und Datenpannenmeldungen laufen über die Website oder schriftlich ein.
- Der HmbBfDI fordert regelmäßig zunächst eine Stellungnahme an, bevor er förmliche Maßnahmen ergreift.
- Bei kooperativer Aufklärung und Behebung endet ein Verfahren häufig mit Verwarnung oder Auflagen; Bußgelder folgen bei Strukturmängeln, Vorsatz oder mangelnder Mitwirkung.
- Für grenzüberschreitende Fälle koordiniert sich die Behörde im EDSA-Verfahren.
13. Tool-Unterstützung
Legiscope hilft hamburgischen Unternehmen mit VVT, Mitarbeiter-DSFA (relevant seit H&M) und Datenschutzfolgenabschätzungen.
Fazit
HmbBfDI hat mit H&M und ClearView gezeigt: Hamburger Aufsicht traut sich an Big Tech und Großkonzerne heran. Wer als Mittelständler in Hamburg sitzt, profitiert von kürzeren Reaktionszeiten — aber auch von strengerer Beobachtung.
FAQ
Wer ist der HmbBfDI?
Thomas Fuchs, seit November 2021. Vorgänger Johannes Caspar (2009-2021), eine prägende Figur der deutschen Datenschutzgeschichte.
Was war der H&M-Fall?
€35,3 Mio. Bußgeld 2020 wegen exzessiver Mitarbeiter-Profilbildung im Nürnberger Servicecenter — damals deutsches Rekord-Bußgeld.
Ist Facebook-Aufsicht noch beim HmbBfDI?
Seit Meta-Niederlassung in Irland ist IDPC (Dublin) federführend. HmbBfDI hat ergänzende Aufsichtsrolle.
Wie viele Mitarbeiter hat HmbBfDI?
Etwa 45 — deutlich kleiner als BayLDA oder LfDI BaWü (jeweils ~80).
Wo reiche ich eine Beschwerde ein?
Online auf datenschutz-hamburg.de oder schriftlich. Anonyme Eingaben werden meist auch geprüft.
Warum war das H&M-Bußgeld so hoch?
Weil es systematisch, über Jahre und mit besonderen Datenkategorien (Gesundheit, Religion) erfolgte und die Daten in Personalentscheidungen einflossen. Diese Kombination — Sensibilität, Dauer, breiter Zugriff, Zweckentfremdung — treibt das Bußgeld nach den Zumessungskriterien des Art. 83 DSGVO nach oben.
Ist der HmbBfDI auch für Meta und WhatsApp zuständig?
Nur eingeschränkt. Seit Meta seine EU-Hauptniederlassung in Irland hat, ist die irische DPC federführend (One-Stop-Shop). Der HmbBfDI kann nur vorläufige Dringlichkeitsmaßnahmen nach Art. 66 DSGVO für Hamburg treffen, wie 2021 im WhatsApp-Fall.
Gilt die DSGVO auch für US-Anbieter wie ClearView AI?
Ja. Nach Art. 3 Abs. 2 DSGVO gilt die Verordnung auch für Anbieter ohne EU-Sitz, sobald sie Daten von in der EU befindlichen Personen verarbeiten. Der ClearView-Fall des HmbBfDI war dafür ein früher Präzedenzfall.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial