LfDI Rheinland-Pfalz: Datenschutzaufsicht 2026

In einem Satz. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI RLP) überwacht den nicht-öffentlichen und öffentlichen Bereich in einem der mittelgroßen Bundesländer — geleitet seit 2015 von Prof. Dr. Dieter Kugelmann, der als Hochschullehrer eine sachlich-juristische Linie prägt.

Mit Sitz in Mainz ist der LfDI für ca. 100.000 Unternehmen zuständig, darunter BASF (Ludwigshafen), Boehringer Ingelheim und zahlreiche Mittelständler. Im kleineren Nachbarland übernimmt das UDS Saarland die Aufsicht über die Grenzregion zu Frankreich und Luxemburg. Siehe ergänzend BfDI.

Wichtige Punkte

• Sitz Mainz, ca. 45 Mitarbeitende.
• Prof. Kugelmann seit 2015, einer der dienstältesten Landesdatenschutzbeauftragten.
• Aufsicht über BASF, Boehringer, südwestdeutschen Mittelstand.
• Jährlich ca. 2.800 Beschwerden, 1.400 Datenpannenmeldungen.
• Schwerpunkte: Chemie, Pharma, Weinwirtschaft, Schulen.

1. Rechtsgrundlage

Grundlage der Aufsicht sind das Landesdatenschutzgesetz Rheinland-Pfalz (LDSG) und die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679). Nach Art. 51 DSGVO richtet jeder Mitgliedstaat unabhängige Aufsichtsbehörden ein; der LfDI RLP wird — abweichend von der sonst üblichen sechsjährigen Amtszeit — vom Landtag für acht Jahre gewählt und ist ausschließlich dem Gesetz verpflichtet und weisungsfrei. Die offizielle Website des LfDI RLP veröffentlicht Tätigkeitsberichte, Praxishilfen und Meldeformulare. Verbindliche Auslegungsmaßstäbe liefern die Leitlinien des Europäischen Datenschutzausschusses (EDSA), die der LfDI im Rahmen des Kohärenzverfahrens nach Art. 63 DSGVO anwendet.

Die längere Amtszeit verschafft der Behörde eine hohe personelle Kontinuität — Prof. Kugelmann prägt die rheinland-pfälzische Spruchpraxis seit 2015 und hat in zahlreichen ausführlichen Stellungnahmen Maßstäbe zur Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO und zu technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO gesetzt. Für Verantwortliche in Rheinland-Pfalz lohnt daher der Blick in die veröffentlichten Tätigkeitsberichte, bevor riskante Verarbeitungen gestartet werden. Ergänzend gilt das Bundesdatenschutzgesetz (BDSG), soweit es Öffnungsklauseln der DSGVO — etwa zum Beschäftigtendatenschutz nach § 26 BDSG — ausfüllt.

2. Zuständigkeit

Bereich	Beispiel	Aufsicht
Privatunternehmen RLP	BASF, Boehringer	LfDI RLP
Öffentliche Stellen Land	Landesministerien	LfDI RLP
Kommunen	Mainz, Koblenz	LfDI RLP
Bundesbehörden	Bundeswehr-Standorte	BfDI

3. Kugelmann-Profil

Prof. Kugelmann (Universität Speyer) bringt akademische Tiefe ins Amt. Bekannt für ausführliche Stellungnahmen zu DSGVO-Auslegungsfragen, z.B. zu Art. 6 Abs. 1 lit. f (berechtigtes Interesse) und Art. 32 (Sicherheit).

4. Sanktionspraxis

Vergleichsweise zurückhaltend bei Bußgeldhöhen. Typische Sanktionen 5.000-100.000 €. Höchste bekannte Sanktion: ca. 1,2 Mio. € gegen ein Klinikum 2020 wegen Patientendaten-Verstößen.

5. Bekannte Verfahren

• Klinikum RLP: 1,2 Mio. € (2020) wegen technisch-organisatorischer Mängel.
• Winzergenossenschaft: Verwarnung wegen Kundendaten-Weitergabe.
• Schule: Anordnung gegen Microsoft 365 ohne DSFA.

6. Schwerpunkte 2026

• Pharma- und Chemiebranche (Gesundheitsdaten, Forschung).
• KI-Einsatz in Verwaltung und Schulen.
• Weinwirtschaft und Direktvermarktung.
• Smart-Home und IoT (regional zunehmend).

7. Datenpannenmeldung

Online-Formular auf datenschutz.rlp.de. Frist 72 Stunden nach Art. 33. Siehe Datenpanne melden.

8. Beratung

Schriftliche Anfragen, kostenfreie Workshops für KMU und öffentliche Stellen. Veröffentlichung von “Praxishilfen” mit konkreten Mustern und Checklisten.

9. Beschwerden Betroffener

Bearbeitungsdauer typisch 3-8 Monate. Online-Beschwerdeformular oder Brief an Hintere Bleiche 34, Mainz.

10. Tätigkeitsbericht 2024

• 2.800 Beschwerden
• 1.400 Datenpannenmeldungen
• 12 Bußgeldverfahren
• Schwerpunkt Beschäftigtendatenschutz und Gesundheit

11. Tool-Unterstützung

Legiscope unterstützt RLP-Unternehmen bei DSGVO-Compliance und liefert konforme Verzeichnisse nach LfDI-Anforderungen.

12. Tätigkeitsberichte 2022-2024 im Vergleich

Kennzahl	2022	2023	2024
Beschwerden	-10%	+5%	aktueller Stand
Datenpannenmeldungen	ca. 80%	+12%	+10%
Bußgeldverfahren	3-5	4-6	5-8
Sanktionsvolumen	Basislinie	+25%	+40%
Beratungsanfragen KMU	250+	320+	400+

Steigerungen bei Datenpannenmeldungen sind kein Indikator für sinkende Sicherheit, sondern für gestiegene Meldedisziplin nach Art. 33 DSGVO. Die Behörde wertet Trends jährlich aus und veröffentlicht den Tätigkeitsbericht im Frühjahr des Folgejahres.

13. Vergleich mit Nachbar-Ländern

Land	Personal	Sanktionsvolumen 2024	Profil
Bayern (BayLDA)	110	7.500.000 €	sanktionsstark
Berlin (BlnBDI)	90	3.200.000 €	strikt zu Big Tech
Hamburg (HmbBfDI)	50	1.900.000 €	konsumentenstark
NRW (LDI NRW)	130	4.100.000 €	industrieorientiert
Hessen (HBDI)	100	2.600.000 €	finanzfokussiert
Baden-Württemberg (LfDI BW)	80	1.800.000 €	technisch-präzise

Wer Niederlassungen in mehreren Ländern hat, sollte die unterschiedlichen Stile kennen — siehe etwa BayLDA oder den LfDI Baden-Württemberg. Bei grenzüberschreitenden Verfahren greift das One-Stop-Shop-Prinzip nach Art. 56 DSGVO mit Federführung der Hauptniederlassungs-Behörde.

14. Konkrete Sanktionsfälle (anonymisierte Auswertung)

Typische Verstöße in den letzten 24 Monaten:

• Cookie-Banner ohne echte Ablehnoption (TTDSG § 25): Bußgelder 5.000-25.000 € im Mittelstand.
• Unverschlüsselte E-Mails mit Gesundheitsdaten: 8.000-65.000 €.
• Mitarbeiterüberwachung ohne Information (Art. 13 DSGVO): 15.000-50.000 €.
• AVV fehlend oder veraltet (Art. 28): 5.000-30.000 € — siehe Auftragsverarbeitungsvertrag AVV.
• Bewerberdaten zu lange gespeichert (Art. 5 Abs. 1 lit. e): 3.000-20.000 €.
• Offene Backup-Server, ungesicherte Datenbank-Snapshots (Art. 32): 20.000-120.000 €.

Schwerere Verfahren landen wegen Komplexität oder Grenzüberschreitung beim BfDI (BfDI) oder werden im EDSA-Verbund koordiniert.

15. Häufige Fehler in regionalen KMU

1. Fehlender oder veralteter Auftragsverarbeitungsvertrag mit IT-Dienstleister, Druckerei, Lohnbüro.
2. Verwendung von Microsoft 365 ohne dokumentierte Risikoabwägung (Schrems II / TIA).
3. Kein dokumentierter Löschprozess für Bewerberdaten, Kundendaten, Logfiles.
4. Cookie-Banner ohne echte Ablehnoption gem. TTDSG § 25.
5. Bilder von Veranstaltungen ohne Einwilligungsdokumentation.
6. Pflegedokumentation oder Personalakten ohne Rollen-/Zugriffsmatrix nach Art. 32.
7. Externe Newsletter-Versender ohne Double-Opt-In-Nachweis.
8. Bewerberdaten länger als 6 Monate ohne Erlaubnistatbestand.
9. Verspätete Datenpannenmeldung — Frist 72 h nach Kenntnis (Datenpanne melden).
10. Kameraüberwachung ohne Beschilderung und ohne Interessensabwägung nach Art. 6 Abs. 1 lit. f.

16. Best Practices

Empfohlenes dreistufiges Vorgehen: (1) Bestandsaufnahme über Art. 30-Verzeichnis, (2) Risikoanalyse pro Verarbeitungstätigkeit nach DSGVO Art. 32 Sicherheit, (3) jährliche Wirksamkeitsprüfung mit DSB-Beteiligung. Für Schulen und Kommunen verweist das Behördennetzwerk auf das BSI-Grundschutz-Profil “Kommunalverwaltung”. Für Forschungsinstitute gilt die Orientierungshilfe der DSK “Forschung mit personenbezogenen Daten” (Stand 2024). Krankenhäuser sollten zusätzlich den B3S Medizin der DKG anwenden.

17. Internationale Datentransfers

Bei Drittlandstransfers nach Art. 44 ff. DSGVO sind seit Schrems II zwingend: SCC (Standard Contractual Clauses 2021/914), Transfer Impact Assessment (TIA) nach EDSA-Empfehlung 01/2020, dokumentierte zusätzliche Schutzmaßnahmen (Verschlüsselung, Pseudonymisierung). Das EU-US Data Privacy Framework (Adequacy 2023) reduziert Aufwand bei zertifizierten US-Anbietern, ersetzt aber nicht die TIA bei Sub-Prozessoren. Die Behörde prüft Stichproben bei Cloud-Nutzern und verlangt im Konfliktfall Vorlage des TIA.

Fazit

Der LfDI RLP ist sachlich, beratungsstark und vergleichsweise moderat bei Bußgeldern — aber konsequent bei systematischen Verstößen. Wer Gesundheits- oder Forschungsdaten verarbeitet, sollte die Spruchpraxis kennen.

FAQ

Wer leitet den LfDI Rheinland-Pfalz?

Prof. Dr. Dieter Kugelmann, im Amt seit 2015, einer der dienstältesten deutschen Landesdatenschutzbeauftragten.

Wie hoch war die höchste RLP-Sanktion?

Ca. 1,2 Mio. € gegen ein Klinikum 2020 wegen massiver Mängel bei Patientendatensicherheit.

Wo melde ich Datenpannen?

Online auf datenschutz.rlp.de oder per E-Mail an poststelle@datenschutz.rlp.de.

Welche Branchen prüft der LfDI bevorzugt?

Chemie, Pharma, Gesundheitswesen, Schulen und Mittelstand mit grenzüberschreitendem Geschäft.

Wie schnell wird eine Beschwerde bearbeitet?

3-8 Monate je nach Komplexität. Bei dringenden Anliegen Eilanträge möglich.

Wie funktioniert die DSFA-Konsultation?

Bei verbleibendem hohen Restrisiko nach Art. 36 DSGVO ist die DSFA der Behörde vorzulegen. Vorzulegen sind: Verarbeitungsbeschreibung, Notwendigkeitsprüfung, Risikoanalyse nach SDM-Methode (Standard-Datenschutzmodell), TOM-Liste nach DSGVO Art. 32 Sicherheit, DSB-Stellungnahme. Die Behörde reagiert binnen acht Wochen, verlängerbar auf 14 Wochen. Konsultationen enden meist mit Empfehlungen, seltener mit Auflagen oder Untersagungen.

Wie hoch ist die durchschnittliche Bußgeldquote pro Beschwerde?

Bundesweit führen etwa 0,5-1,5 % der Beschwerden zu Bußgeldverfahren, weitere 5-10 % zu förmlichen Anordnungen oder Verwarnungen. Die meisten Fälle enden mit Beratung, Hinweis oder vereinfachtem Verfahren. Die genaue Quote schwankt stark je nach Behörde und Sanktionsphilosophie.

Welche Rolle spielt die Behörde bei NIS2?

NIS2-Aufsicht liegt grundsätzlich beim BSI (NIS2 Deutschland), doch bei kommunalen Versorgern und KRITIS-Sektoren überschneiden sich Datenschutz und Cybersicherheit. Die Datenschutzbehörde prüft die TOM nach Art. 32 DSGVO; gemeinsame Audits mit BSI sind möglich.

Wie läuft ein Beschwerdeverfahren konkret ab?

Eingang der Beschwerde → formale Prüfung (Zuständigkeit, Begründetheit) → Aufforderung zur Stellungnahme an den Verantwortlichen (Frist 2-4 Wochen) → bei Bedarf Vor-Ort-Prüfung oder schriftliche Auskünfte → Anhörung → Entscheidung (Verwarnung, Anordnung, Bußgeld) → Rechtsweg über das Verwaltungsgericht. Beschwerdeführer werden nach Art. 77 DSGVO über das Ergebnis informiert.