Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, kurz LDI NRW, ist eine zentrale Anlaufstelle für Datenschutzfragen in NRW. Sie bearbeitet Beschwerden, Datenpannenmeldungen und Aufsichtsverfahren, berät und veröffentlicht Orientierungshilfen. Wer sich über die Behörde informiert, braucht vor allem drei Antworten: Ist sie für meinen Fall zuständig, wie läuft eine Eingabe ab und welche Unterlagen helfen bei einer sachlichen Prüfung? Dieser Leitfaden beantwortet diese Fragen anhand des 30. Berichts der LDI NRW über das Jahr 2024 und der DSGVO. Ältere Falllisten mit unbestätigten Eurobeträgen sind für diese Entscheidung ungeeignet.
Zuständigkeit: Wer sollte sich an die LDI NRW wenden?
Die LDI NRW beaufsichtigt in ihrem Zuständigkeitsbereich öffentliche und nichtöffentliche Stellen in Nordrhein-Westfalen. Sie ist auch für das Recht auf Informationsfreiheit im Land zuständig; eine Anfrage nach amtlichen Informationen ist jedoch etwas anderes als eine Datenschutzbeschwerde. Bei privaten Unternehmen ist zunächst zu prüfen, welche Niederlassung die betreffende Verarbeitung verantwortet und ob ein grenzüberschreitender Fall vorliegt. Bei öffentlichen Stellen kann die Zuständigkeit anderer Behörden oder besonderer Rechtsbereiche abweichen. Die LDI weist in ihrem Bericht ausdrücklich darauf hin, dass sie beispielsweise nicht über die Finanzverwaltung oder den Gebühreneinzug der Rundfunkanstalten berichtet, weil ihr dort die Kontrollzuständigkeit fehlt.
Für eine Person, deren Daten von einem Unternehmen in NRW verarbeitet werden, ist eine Beschwerde nach Art. 77 DSGVO ein naheliegender Weg. Das Recht besteht unbeschadet anderer verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe. Eine Beschwerde sollte den Sachverhalt, den Verantwortlichen und die eigene Betroffenheit benennen. Geht es lediglich um einen beobachteten möglichen Verstoß ohne persönliche Betroffenheit, kann eine Eingabe als Hinweis an die Behörde behandelt werden. Der 30. Bericht unterscheidet diese Kategorien ausdrücklich. Wer einen bundesweiten Telekommunikationsfall oder eine Bundesbehörde betrifft, sollte die Zuständigkeit der BfDI prüfen. Für Unternehmen in anderen Ländern können etwa der LfDI Rheinland-Pfalz oder das UDS Saarland relevant sein.
Grenzüberschreitende Sachverhalte sind nicht durch den deutschen Firmensitz allein entschieden. Art. 56 und 60 DSGVO regeln die federführende Aufsichtsbehörde und Zusammenarbeit im sogenannten One-Stop-Shop-Verfahren. Die LDI kann Beschwerden entgegennehmen und mit anderen europäischen Behörden kooperieren, auch wenn eine andere Behörde federführend ist. Betroffene müssen nicht selbst ein kompliziertes Zuständigkeitsgutachten verfassen. Sie sollten aber alle bekannten Niederlassungen und die tatsächliche Datenverarbeitung nennen, damit die Aufsicht richtig zuordnen kann.
Was die Zahlen des Berichts 2024 tatsächlich aussagen
Der 30. Bericht nennt für das Kalenderjahr 2024 insgesamt 12.490 schriftliche Eingaben einschließlich Meldungen von Datenschutzverletzungen. Darunter waren 7.539 Beschwerden nach Art. 77 DSGVO, 759 Hinweise von Dritten und 2.170 Datenpannenmeldungen nach Art. 33. Diese Zahlen sind keine Anzahl bewiesener Verstöße. Eine Beschwerde ist zunächst eine Behauptung einer persönlichen Rechtsverletzung; eine Datenpannenmeldung ist ein eigener gesetzlicher Vorgang. Es wäre daher falsch, die Kategorien zu addieren und daraus „Bußgeldfälle“ zu machen.
Die zentrale Bußgeldstelle leitete laut Bericht 2024 64 Verfahren ein oder übernahm sie zur weiteren Verfolgung. Sie erließ 24 Bußgeldbescheide; 62 Verfahren wurden durch Rechtskraft, Einstellung oder Gerichtsentscheidungen abgeschlossen. Das höchste im Bericht ausgewiesene Bußgeld betrug 25.000 Euro. Der Bericht sagt zugleich, dass die Abhilfemaßnahmen auch Verfahren aus Vorjahren betreffen und viele 2024 begonnene Verfahren noch offen waren. Ein Verhältnis „24 Bußgelder aus 7.539 Beschwerden“ wäre daher methodisch falsch. Ebenso belegt der Bericht weder eine pauschal „milde“ Praxis noch eine garantierte Verwarnung bei Kooperation.
Die LDI nennt daneben 31 Verwarnungen, 153 Anweisungen und weitere Maßnahmen. Art. 58 Abs. 2 DSGVO erlaubt unterschiedliche Reaktionen je nach Sachverhalt. Ein Hinweis oder eine Anweisung kann für eine Organisation einschneidend sein, auch ohne Geldbuße. Bei der Bußgeldbemessung gelten die Kriterien des Art. 83 Abs. 2; Zusammenarbeit ist ein Faktor, aber kein Anspruch auf Nachsicht. Der Überblick zu DSGVO-Bußgeldern erklärt die gesetzlichen Grenzen und Zumessung, während die Zahlen der LDI nur ihre datierten eigenen Verfahren beschreiben.
Eine Beschwerde sinnvoll vorbereiten
Beschreiben Sie zuerst die konkrete Verarbeitung: Welche Daten wurden wann und durch wen erhoben, verwendet oder weitergegeben? Woraus ergibt sich Ihre Betroffenheit? Welche Information fehlt oder welche Antwort erscheint falsch? Fügen Sie relevante Schreiben, Screenshots und Datenkopien bei, ohne unbeteiligte Dritte unnötig offenzulegen. Eine chronologische Darstellung mit Datum, Kontaktweg und Reaktion des Unternehmens spart Rückfragen. Unbelegte Vermutungen sollten als solche gekennzeichnet werden.
Viele Anliegen lassen sich zunächst an den Verantwortlichen richten. Bei einem Auskunftsersuchen nach Art. 15 kann die Antwort oder das Ausbleiben einer Antwort den Beschwerdegrund konkretisieren. Die DSGVO macht eine vorherige Kontaktaufnahme jedoch nicht zur allgemeinen Voraussetzung des Beschwerderechts nach Art. 77. Ist eine direkte Kontaktaufnahme unzumutbar oder geht es um einen dringlichen Sachverhalt, muss eine betroffene Person nicht erst ein langes privates Verfahren führen. Achten Sie bei einer Beschwerde darauf, dass die Behörde erkennen kann, ob ein Antrag gestellt, wann er empfangen und was darauf geantwortet wurde.
Eine Beschwerde ist kein Antrag auf einen bestimmten Bußgeldbetrag. Die Aufsichtsbehörde prüft den Sachverhalt und wählt eine geeignete Maßnahme. Schadenersatz nach Art. 82 DSGVO ist ein anderer Anspruch, der grundsätzlich gegenüber dem Verantwortlichen oder Auftragsverarbeiter geltend gemacht wird; die LDI spricht keinen zivilrechtlichen Ersatz zu. Wer schnelle Korrektur persönlicher Daten benötigt, sollte das Berichtigungs- oder Löschungsrecht beim Verantwortlichen gesondert ausüben. Eine Beschwerde kann diese Schritte begleiten, ersetzt sie aber nicht.
Wie ein Unternehmen auf ein Schreiben reagieren sollte
Lesen Sie zunächst genau, welche Verarbeitung, welche Rechtsfrage und welche Frist die LDI benennt. Sichern Sie den tatsächlichen Stand der Systeme und Unterlagen, bevor Prozesse verändert werden. Bestimmen Sie eine koordinierende Person und beteiligen Sie Fachbereich, IT, Rechtsabteilung und Datenschutzbeauftragte nach Bedarf. Eine Antwort sollte den Sachverhalt, die Rechtsgrundlage, betroffene Daten, Empfänger, Speicherfristen und bereits ergriffene Abhilfe darstellen. Wo Fakten noch unklar sind, nennen Sie offene Prüfungen und einen realistischen Nachliefertermin statt Sicherheit zu behaupten.
Die Behörde kann nach Art. 58 Abs. 1 Informationen verlangen und Untersuchungen durchführen. Gleichzeitig sind Vertraulichkeit und Rechte anderer Personen zu beachten. Geben Sie angeforderte Unterlagen vollständig und in nachvollziehbarer Form, prüfen Sie aber, ob Beschäftigten- oder Kundendaten geschwärzt oder sicher übertragen werden müssen. Dokumentieren Sie, welche Version eines Verzeichnisses, einer Richtlinie oder eines Vertrages tatsächlich zum fraglichen Zeitpunkt galt. Ein nachträglich erstelltes Dokument sollte als nachträglich gekennzeichnet sein. Die DSGVO-Prüfungscheckliste kann die interne Sammlung ordnen.
Wenn ein Fehler bestätigt wird, erklären Sie Ursache und Abhilfe getrennt. „Wir haben geschult“ ist keine ausreichende Antwort, wenn ein System weiterhin zu breite Zugriffe erlaubt. Nennen Sie die technische Änderung, den Verantwortlichen, das Testdatum und den Nachweis der Wirksamkeit. Berücksichtigen Sie auch, ob Betroffene informiert werden müssen und ob ein Vorfall nach Art. 33 zu melden ist. Die Anleitung zur Datenpannenmeldung vertieft diesen gesonderten Ablauf. Kooperation ist sachlich sinnvoll; sie darf keine falschen Zugeständnisse oder Spekulationen ersetzen.
Datenpannen bei der LDI NRW
Der 30. Bericht ordnet die 2.170 im Jahr 2024 eingegangenen Meldungen thematisch ein. Er nennt unter anderem Cyberangriffe und Fehlversand als große Gruppen. Daraus folgt, dass ein Vorfallprozess sowohl technische Angriffe als auch alltägliche Übermittlungsfehler erfassen muss. Ein falscher E-Mail-Empfänger kann personenbezogene Daten offenlegen; nicht jeder solche Vorfall erreicht jedoch automatisch die Meldeschwelle. Art. 33 Abs. 1 verlangt die Meldung an die zuständige Behörde, sofern voraussichtlich ein Risiko für Rechte und Freiheiten natürlicher Personen besteht, und dann unverzüglich sowie möglichst binnen 72 Stunden nach Bekanntwerden.
Die Entscheidung sollte anhand von Datenart, Zahl und Situation der Betroffenen, Empfänger, Schutzmaßnahmen und möglicher Folgen dokumentiert werden. Auch ein nicht gemeldeter Vorfall ist nach Art. 33 Abs. 5 zu dokumentieren. Bei voraussichtlich hohem Risiko kann nach Art. 34 zusätzlich eine Benachrichtigung der betroffenen Personen nötig sein. Eine Organisation braucht daher einen Eingangskanal, der auch Fehlversand durch Fachabteilungen und Meldungen von Dienstleistern erfasst. Ein reiner IT-Sicherheitsalarm ohne Datenschutztriage genügt nicht. Der Art.-32-Leitfaden zu Sicherheit beschreibt präventive Maßnahmen.
Wohnungswirtschaft: Datenschutz im Bewerbungsprozess
Die Wohnungswirtschaft ist ein gutes Beispiel für praktische Zuständigkeit und Datenminimierung. Die LDI NRW hat in früheren Berichten gemeinsam mit anderen Behörden die Selbstauskunft von Mietinteressenten untersucht. Ein früherer LDI-Bericht zur Wohnungswirtschaft beschreibt, dass Fragebögen häufig zu früh und zu umfassend eingesetzt wurden. Daraus sollte keine pauschale Behauptung über zahlreiche sechsstellige Bußgelder abgeleitet werden. Der konkrete Prüfpunkt ist, welche Angaben in welcher Phase für eine Vermietungsentscheidung erforderlich sind.
Vor einer Besichtigung werden regelmäßig weniger Daten benötigt als bei einem ernsthaften Mietinteresse oder kurz vor Vertragsabschluss. Für jede Frage auf einem Formular sollte der Vermieter den Zweck und die Erforderlichkeit erklären können. Ausweiskopien, detaillierte Einkommensunterlagen oder sensible Angaben sollten nicht vorsorglich von allen Interessenten verlangt werden. Wenn keine Auswahl erfolgt, müssen Bewerberdaten nach einem begründeten Fristenkonzept gelöscht werden; eine feste Löschregel „sofort nach Vergabe“ kann angesichts offener Ansprüche oder konkreter Verfahren zu pauschal sein. Der Leitfaden für Immobilienmakler erläutert die einzelnen Phasen.
Für eine Wohnungsverwaltung empfiehlt sich ein kurzer Datenerhebungsplan: An welcher Kontaktstelle entstehen Daten, wer sieht sie, wie werden Unterlagen sicher übertragen, wann endet der Zweck und wie wird Löschung nachgewiesen? Prüfen Sie externe Portale und Bonitätsdienstleister separat. Der Verantwortliche kann seine Pflichten nicht allein auf ein Vermittlungsportal verlagern. Gerade weil Bewerber in angespannten Märkten wenig Verhandlungsmacht haben, ist eine verständliche Information über die Datennutzung wesentlich.
Beschäftigte, Schulen und digitale Dienste
Die LDI NRW bearbeitet auch Fragen aus öffentlichen Einrichtungen und aus dem Beschäftigungskontext. Bei einem Vorwurf unzulässiger Mitarbeiterüberwachung sind Zweck, Rechtsgrundlage, Erforderlichkeit, Information und Zugriffskreis zu prüfen. Eine allgemeine Berufung auf „Sicherheit“ genügt für eine dauerhafte Auswertung individueller Beschäftigtendaten nicht. Betriebsverfassungsrechtliche Fragen können zusätzlich auftreten, werden aber nicht durch eine Datenschutzfreigabe ersetzt. Der Leitfaden für HR-Daten ordnet typische Verarbeitungsvorgänge.
Für digitale Dienste hat die Datenschutzkonferenz, der auch die LDI NRW angehört, eine Orientierungshilfe für Anbieter digitaler Dienste veröffentlicht. Bei Cookies, Tracking und App-Technik sind Datenschutz und die besonderen Regeln für Zugriff auf Endgeräte zu trennen. Die DSK-Orientierungshilfe ist ein sinnvoller Einstieg für Betreiber in NRW. Bei Schulen und Behörden kommen eigene Zuständigkeits- und Rechtsgrundlagen hinzu; die Marketingregeln einer privaten Website lassen sich nicht einfach übertragen.
Was eine interne Vorbereitung leisten kann
Für Unternehmen in NRW ist der beste Prüfungsordner kein allgemeines „LDI-Paket“, sondern eine aktuelle Verbindung zwischen Verfahren und Belegen. Das Verzeichnis der Verarbeitungstätigkeiten sollte die fragliche Verarbeitung auffindbar machen; dazu gehören gegebenenfalls Informationshinweise, AV-Vertrag, DSFA, Sicherheitsprüfung, Löschregel und Bearbeitung von Betroffenenanfragen. Halten Sie fest, wer die Angaben zuletzt geprüft hat und welche Änderungen offen sind. Eine Behörde kann dann eine konkrete, überprüfbare Antwort erhalten.
Führen Sie einmal im Jahr einen Probelauf an einem realen Vorgang durch. Nehmen Sie etwa eine ehemalige Bewerberin, die nach Datenverwendung und Löschung fragt. Kann HR den Eingang, die Systeme, Empfänger, Frist und Antwort vollständig rekonstruieren? Wenn nicht, dokumentieren Sie die Lücke und schließen sie im normalen Prozess. Ein solches Beispiel hilft mehr als eine pauschale Behauptung, man sei „prüfsicher“. Die LDI beurteilt den Einzelfall und die gesetzlichen Anforderungen, nicht das Vorhandensein eines bestimmten Tools.
Eine Auskunftsanfrage und eine Beschwerde nicht verwechseln
Ein Unternehmen kann gleichzeitig eine Anfrage nach Art. 15 DSGVO und ein behördliches Auskunftsersuchen erhalten. Die erste richtet sich auf personenbezogene Daten und Informationen für die betroffene Person; die zweite dient der Aufsicht. Beide Vorgänge brauchen eigene Fristen, Empfänger und dokumentierte Antworten. Wer der LDI ein Verarbeitungsverzeichnis übermittelt, hat damit eine betroffene Person noch nicht beauskunftet. Wer der betroffenen Person eine Datenkopie sendet, hat umgekehrt eine konkrete Frage der Aufsicht nicht automatisch beantwortet.
Ein nützlicher interner Ablauf gibt beiden Vorgängen eine Aktennummer und verknüpft sie nur dort, wo Sachverhalte übereinstimmen. Prüfen Sie vor jeder Übermittlung, welche Daten wirklich erforderlich sind und ob Daten Dritter betroffen sind. Halten Sie fest, welche Version versandt wurde, über welchen sicheren Kanal und an wen. So lassen sich spätere Rückfragen beantworten, ohne private Postfächer durchsuchen zu müssen. Der DSB sollte in schwierige Abwägungen eingebunden sein, die Verantwortung für vollständige Zuarbeit liegt aber auch bei den Fachbereichen.
Häufige Fragen
Wer leitet die LDI NRW?
Der hier ausgewertete 30. Bericht nennt Bettina Gayk als Landesbeauftragte. Für aktuelle Kontakt- und Amtsinformationen sollte die offizielle LDI-Website geprüft werden; Namen und Organisationsstruktur können sich ändern. Die Zuständigkeit der Behörde hängt nicht von einer Person ab.
Wie viele Beschwerden gab es 2024?
Der 30. Bericht nennt 7.539 Beschwerden nach Art. 77 DSGVO und insgesamt 12.490 schriftliche Eingaben verschiedener Kategorien. Eine Beschwerde ist nicht gleichbedeutend mit einem bestätigten Verstoß oder einem Bußgeld. Der Bericht nennt für 2024 außerdem 24 erlassene Bußgeldbescheide, die nicht einfach denselben Beschwerden zugeordnet werden können.
Kostet eine Beschwerde bei der LDI NRW etwas?
Art. 57 Abs. 3 DSGVO sieht grundsätzlich eine unentgeltliche Erfüllung der Aufgaben für betroffene Personen vor. Bei offenkundig unbegründeten oder insbesondere häufig wiederholten exzessiven Anträgen erlaubt die Norm unter Voraussetzungen ein angemessenes Entgelt oder die Weigerung, tätig zu werden. Eine gewöhnliche Datenschutzbeschwerde ist damit regelmäßig kostenlos.
Führt Kooperation automatisch zu einer Verwarnung?
Nein. Die Behörde bewertet den konkreten Sachverhalt. Zusammenarbeit kann nach Art. 83 Abs. 2 berücksichtigt werden; eine Verwarnung oder der Verzicht auf eine Geldbuße ist dadurch nicht garantiert. Sachliche Aufklärung, Abhilfe und belastbare Belege verbessern aber die Qualität des Verfahrens.
Ist die LDI NRW für jedes Unternehmen mit Kunden aus NRW zuständig?
Nicht zwingend. Bei grenzüberschreitender Verarbeitung und anderen Niederlassungen können Zuständigkeits- und Kooperationsregeln der DSGVO greifen. Beschreiben Sie bei einer Eingabe die beteiligten Stellen; die Aufsicht klärt ihre Rolle. Für andere Bundesländer sind deren Aufsichten zu prüfen.
Fazit
Die LDI NRW ist Beschwerdestelle, Beraterin und Aufsicht in ihrem Zuständigkeitsbereich. Ihr 30. Bericht zeigt erhebliche Fallzahlen, aber keinen Automatismus vom Eingang zur Geldbuße. Betroffene sollten ihren Fall mit Datum und Belegen darstellen. Verantwortliche sollten auf konkrete Fragen fristgerecht antworten, Tatsachen und Abhilfe sauber trennen und ihre Datenschutzprozesse so führen, dass Entscheidungen auch später nachvollziehbar sind.