HBDI Hessen: Datenschutzaufsicht Finanzsektor

In einem Satz. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) ist wegen des Finanzplatzes Frankfurt die wichtigste Länderbehörde für Banken, Versicherer und FinTechs in Deutschland — geleitet seit 2022 von Prof. Dr. Alexander Roßnagel, einem der renommiertesten deutschen Datenschutzrechtler.

Der HBDI prägt Spruchpraxis weit über Hessen hinaus, weil große Banken (Deutsche Bank, DZ Bank, Commerzbank, KfW), Versicherer (Allianz Global Investors) und ECB unter seiner Aufsicht stehen. Im benachbarten Mainz führt der LfDI Rheinland-Pfalz unter Prof. Kugelmann eine ähnlich wissenschaftlich geprägte Aufsicht. Siehe ergänzend BfDI.

Wichtige Punkte

• Sitz Wiesbaden, ca. 100 Mitarbeitende — eine der größten Länderbehörden.
• Aufsicht über die meisten deutschen Großbanken.
• Roßnagel-Linie: strikt zu KI, Scoring, US-Cloud.
• Etwa 5.500 Beschwerden und 2.800 Meldungen pro Jahr.
• Bußgelder bis 7-stellig in Bankenkontext bekannt.

1. Rechtsgrundlage

Hessisches Datenschutz- und Informationsfreiheitsgesetz (HDSIG), DSGVO Art. 51. Wahl durch Landtag, Amtsdauer 5 Jahre, einmal wiederwählbar.

2. Zuständigkeit Finanzplatz

Institut	Sitz	Aufsicht
Deutsche Bank	Frankfurt	HBDI
Commerzbank	Frankfurt	HBDI
DZ Bank	Frankfurt	HBDI
KfW	Frankfurt	HBDI
EZB	Frankfurt	EDPS (EU-Institution)

3. Sanktionspraxis

• 2020: 900.000 € gegen 1&1 Telecom (vor BfDI-Übernahme) — illustrativ.
• 2022: 65.000 € gegen Bank wegen fehlerhafter SCHUFA-Übermittlung.
• 2023: 150.000 € gegen Versicherer wegen unzulässiger Gesundheitsdatenverarbeitung.
• Mehrere Verfahren gegen Robo-Advisors wegen Scoring nach Art. 22.

4. Roßnagel-Schwerpunkte

Prof. Roßnagel war jahrzehntelang Vorsitzender der Datenschutz-Stiftung und Mitautor zahlreicher Gesetzesentwürfe. Seine Behörde setzt Schwerpunkte:

• KI-Scoring im Banking (SCHUFA-Folgejudikatur).
• US-Cloud nach Trump-II-Risiken.
• Beschäftigtendatenschutz (Bossware).
• Forschungsdatenschutz an hessischen Universitäten.

5. Bekannte Verfahren

• OLG Frankfurt zur SCHUFA: Wegweisendes Urteil 2023 zu automatisierten Einzelentscheidungen.
• AOK Hessen: Bußgeld wegen Versendung von Gesundheitsdaten an falsche Empfänger.
• Hessischer Rundfunk: Verwarnung wegen Tracking auf Mediathek.

6. Meldepflichten

Datenpannen über das Online-Formular auf datenschutz.hessen.de. Frist 72 Stunden nach Art. 33. Details siehe Datenpanne melden.

7. Beratungsangebot

Kostenfreie schriftliche Beratung für KMU. Workshops und Webinare zu DSGVO/DSGVO-Spezialthemen. Veröffentlichung von Orientierungshilfen (z.B. zu Microsoft 365, KI im Beschäftigtenkontext).

8. Beschwerdeverfahren

Online-Formular oder Brief. Durchschnittliche Bearbeitungszeit 4-10 Monate. Hohe Beschwerdezahlen bei Bankdienstleistern, Versicherern, Krankenkassen.

9. Sektor-Schwerpunkte 2026

• DORA-Umsetzung bei Frankfurter Banken.
• KI-Verordnung (AI Act) im Finanzsektor.
• Open-Banking und PSD3.
• Cyber-Resilience-Act-Vorbereitung.

10. Internationale Datentransfers

Frankfurt als Knotenpunkt für SWIFT, Clearstream, Bundesbank — der HBDI prüft regelmäßig Drittlandstransfers in die USA und Großbritannien. Standard: Transfer Impact Assessment (TIA) nach EDSA-Empfehlungen 01/2020.

11. Tool-Unterstützung

Legiscope erzeugt TIAs nach HBDI-Anforderungen und dokumentiert Bankprozesse DSGVO/DORA-konform.

12. Tätigkeitsberichte 2022-2024 im Vergleich

Kennzahl	2022	2023	2024
Beschwerden	-10%	+5%	aktueller Stand
Datenpannenmeldungen	ca. 80%	+12%	+10%
Bußgeldverfahren	3-5	4-6	5-8
Sanktionsvolumen	Basislinie	+25%	+40%
Beratungsanfragen KMU	250+	320+	400+

Steigerungen bei Datenpannenmeldungen sind kein Indikator für sinkende Sicherheit, sondern für gestiegene Meldedisziplin nach Art. 33 DSGVO. Die Behörde wertet Trends jährlich aus und veröffentlicht den Tätigkeitsbericht im Frühjahr des Folgejahres.

13. Vergleich mit Nachbar-Ländern

Land	Personal	Sanktionsvolumen 2024	Profil
Bayern (BayLDA)	110	7.500.000 €	sanktionsstark
Berlin (BlnBDI)	90	3.200.000 €	strikt zu Big Tech
Hamburg (HmbBfDI)	50	1.900.000 €	konsumentenstark
NRW (LDI NRW)	130	4.100.000 €	industrieorientiert
Hessen (HBDI)	100	2.600.000 €	finanzfokussiert
Baden-Württemberg (LfDI BW)	80	1.800.000 €	technisch-präzise

Wer Niederlassungen in mehreren Ländern hat, sollte die unterschiedlichen Stile kennen — siehe etwa BayLDA oder die LDI NRW. Bei grenzüberschreitenden Verfahren greift das One-Stop-Shop-Prinzip nach Art. 56 DSGVO mit Federführung der Hauptniederlassungs-Behörde.

14. Konkrete Sanktionsfälle (anonymisierte Auswertung)

Typische Verstöße in den letzten 24 Monaten:

• Cookie-Banner ohne echte Ablehnoption (TTDSG § 25): Bußgelder 5.000-25.000 € im Mittelstand.
• Unverschlüsselte E-Mails mit Gesundheitsdaten: 8.000-65.000 €.
• Mitarbeiterüberwachung ohne Information (Art. 13 DSGVO): 15.000-50.000 €.
• AVV fehlend oder veraltet (Art. 28): 5.000-30.000 € — siehe Auftragsverarbeitungsvertrag AVV.
• Bewerberdaten zu lange gespeichert (Art. 5 Abs. 1 lit. e): 3.000-20.000 €.
• Offene Backup-Server, ungesicherte Datenbank-Snapshots (Art. 32): 20.000-120.000 €.

Schwerere Verfahren landen wegen Komplexität oder Grenzüberschreitung beim BfDI (BfDI) oder werden im EDSA-Verbund koordiniert.

15. Häufige Fehler in regionalen KMU

1. Fehlender oder veralteter Auftragsverarbeitungsvertrag mit IT-Dienstleister, Druckerei, Lohnbüro.
2. Verwendung von Microsoft 365 ohne dokumentierte Risikoabwägung (Schrems II / TIA).
3. Kein dokumentierter Löschprozess für Bewerberdaten, Kundendaten, Logfiles.
4. Cookie-Banner ohne echte Ablehnoption gem. TTDSG § 25.
5. Bilder von Veranstaltungen ohne Einwilligungsdokumentation.
6. Pflegedokumentation oder Personalakten ohne Rollen-/Zugriffsmatrix nach Art. 32.
7. Externe Newsletter-Versender ohne Double-Opt-In-Nachweis.
8. Bewerberdaten länger als 6 Monate ohne Erlaubnistatbestand.
9. Verspätete Datenpannenmeldung — Frist 72 h nach Kenntnis (Datenpanne melden).
10. Kameraüberwachung ohne Beschilderung und ohne Interessensabwägung nach Art. 6 Abs. 1 lit. f.

16. Best Practices

Empfohlenes dreistufiges Vorgehen: (1) Bestandsaufnahme über Art. 30-Verzeichnis, (2) Risikoanalyse pro Verarbeitungstätigkeit nach DSGVO Art. 32 Sicherheit, (3) jährliche Wirksamkeitsprüfung mit DSB-Beteiligung. Für Schulen und Kommunen verweist das Behördennetzwerk auf das BSI-Grundschutz-Profil “Kommunalverwaltung”. Für Forschungsinstitute gilt die Orientierungshilfe der DSK “Forschung mit personenbezogenen Daten” (Stand 2024). Krankenhäuser sollten zusätzlich den B3S Medizin der DKG anwenden.

17. Internationale Datentransfers

Bei Drittlandstransfers nach Art. 44 ff. DSGVO sind seit Schrems II zwingend: SCC (Standard Contractual Clauses 2021/914), Transfer Impact Assessment (TIA) nach EDSA-Empfehlung 01/2020, dokumentierte zusätzliche Schutzmaßnahmen (Verschlüsselung, Pseudonymisierung). Das EU-US Data Privacy Framework (Adequacy 2023) reduziert Aufwand bei zertifizierten US-Anbietern, ersetzt aber nicht die TIA bei Sub-Prozessoren. Die Behörde prüft Stichproben bei Cloud-Nutzern und verlangt im Konfliktfall Vorlage des TIA.

18. Amtliche Quellen und Rechtsgrundlagen

• Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) — offizielle Website mit Tätigkeitsberichten, Orientierungshilfen und Datenpannen-Meldeportal.
• Datenschutz-Grundverordnung (EU) 2016/679 — EUR-Lex, insbesondere Art. 22 (automatisierte Einzelentscheidungen/Scoring) und Art. 44 ff. (Drittlandstransfers).
• Europäischer Datenschutzausschuss (EDSA/EDPB) — Empfehlungen 01/2020 zu ergänzenden Transfermaßnahmen (Grundlage jeder TIA).

Für den Finanzsektor besonders relevant ist die Schnittstelle zwischen DSGVO und DORA: Während der HBDI die Datenschutz-Aspekte prüft, überwacht die BaFin die operative Resilienz. Beide Regime verlangen dokumentierte Risikoanalysen und Meldeprozesse — ein integriertes Compliance-Management, das DSGVO Art. 32, DORA-ICT-Risikomanagement und die TIA-Pflicht bei US-Cloud-Nutzung zusammenführt, vermeidet Doppelarbeit und widersprüchliche Nachweise gegenüber zwei Aufsichten.

Fazit

Wer im deutschen Finanzsektor arbeitet, kommt am HBDI nicht vorbei. Die Roßnagel-Linie ist anspruchsvoll, aber berechenbar — strikte Dokumentation und proaktive DSFA zahlen sich aus.

FAQ

Wer ist hessischer Datenschutzbeauftragter?

Prof. Dr. Alexander Roßnagel, im Amt seit 2022, einer der renommiertesten deutschen Datenschutzrechtler.

Welche Banken stehen unter HBDI-Aufsicht?

Deutsche Bank, Commerzbank, DZ Bank, KfW und die meisten Frankfurter Privatbanken — Aufsicht nach Sitzprinzip.

Wie hoch sind typische Bußgelder im Bankensektor?

50.000 € bis 1 Mio. € je nach Schwere; bei Großbanken theoretisch bis 4% des weltweiten Konzernumsatzes.

Was ist eine TIA und wann brauche ich sie?

Transfer Impact Assessment — Pflicht bei Drittlandstransfers nach Art. 46 DSGVO und SCC, insbesondere in die USA.

Wo melde ich Datenpannen in Hessen?

Über das Online-Portal datenschutz.hessen.de oder per Post an Gustav-Stresemann-Ring 1, Wiesbaden.

Wie funktioniert die DSFA-Konsultation?

Bei verbleibendem hohen Restrisiko nach Art. 36 DSGVO ist die DSFA der Behörde vorzulegen. Vorzulegen sind: Verarbeitungsbeschreibung, Notwendigkeitsprüfung, Risikoanalyse nach SDM-Methode (Standard-Datenschutzmodell), TOM-Liste nach DSGVO Art. 32 Sicherheit, DSB-Stellungnahme. Die Behörde reagiert binnen acht Wochen, verlängerbar auf 14 Wochen. Konsultationen enden meist mit Empfehlungen, seltener mit Auflagen oder Untersagungen.

Wie hoch ist die durchschnittliche Bußgeldquote pro Beschwerde?

Bundesweit führen etwa 0,5-1,5 % der Beschwerden zu Bußgeldverfahren, weitere 5-10 % zu förmlichen Anordnungen oder Verwarnungen. Die meisten Fälle enden mit Beratung, Hinweis oder vereinfachtem Verfahren. Die genaue Quote schwankt stark je nach Behörde und Sanktionsphilosophie.

Welche Rolle spielt die Behörde bei NIS2?

NIS2-Aufsicht liegt grundsätzlich beim BSI (NIS2 Deutschland), doch bei kommunalen Versorgern und KRITIS-Sektoren überschneiden sich Datenschutz und Cybersicherheit. Die Datenschutzbehörde prüft die TOM nach Art. 32 DSGVO; gemeinsame Audits mit BSI sind möglich.

Wie läuft ein Beschwerdeverfahren konkret ab?

Eingang der Beschwerde → formale Prüfung (Zuständigkeit, Begründetheit) → Aufforderung zur Stellungnahme an den Verantwortlichen (Frist 2-4 Wochen) → bei Bedarf Vor-Ort-Prüfung oder schriftliche Auskünfte → Anhörung → Entscheidung (Verwarnung, Anordnung, Bußgeld) → Rechtsweg über das Verwaltungsgericht. Beschwerdeführer werden nach Art. 77 DSGVO über das Ergebnis informiert.