Aufsicht Berlin Stand:

BlnBDI: Jahresbericht 2025 (2025) — Zahlen und Schwerpunkte

Berliner Beauftragte für Datenschutz und Informationsfreiheit — Aufsicht über Unternehmen, Vereine, Freiberufler und öffentliche Stellen mit Sitz in Berlin.

Jahresbericht 2025 · Berichtsjahr 2025

Erschienen 23. Juni 2026 · 216 Seiten · Leitung: Meike Kamp

Bericht (PDF) Website der Behörde

Die Zahlen des Berichts

Jede Zahl mit wörtlichem Zitat. Ein Klick auf die Seitenzahl öffnet das PDF an der Stelle.

  • Beschwerden

    2.856

    +53 % ggü. Vorjahr

    Zählweise: Persönliche Beschwerden von Betroffenen, Kalenderjahr 2025 (DSK-Statistikkriterien). Davon 2.209 Verfahren in eigener Zuständigkeit, 647 an andere Behörden abgegeben. Eingaben insgesamt (Beschwerden + Beratungsanfragen): 9.224.

    „falls um etwa die Hälfte auf den neuen Höchstwert von 2.856."

  • Gemeldete Datenpannen (Art. 33 DSGVO)

    1.462

    +16 % ggü. Vorjahr

    Zählweise: Meldungen öffentlicher und nicht-öffentlicher Stellen zusammen (1.265 nicht-öffentlich, 197 öffentlich), Kalenderjahr 2025.

    „Meldungen erfasst wurden, erhöhte sich diese Zahl in diesem Jahr auf 1.462. Öffentliche Stellen meldeten uns in diesem Jahr 197 Datenschutzvorfälle"

  • Beratungen und Anfragen

    6.368

    Zählweise: Nur schriftliche Beratungsanfragen von Bürgerinnen und Bürgern; Beratung von Verantwortlichen und telefonische Auskünfte sind nicht ausgewiesen.

    „Über das Jahr verteilt wandten sich 6.368 betroffene Personen per Kontaktformular, E-Mail oder Brief mit Anfragen an uns"

  • Bußgeldverfahren

    59

    Zählweise: Zählt verhängte Geldbußen (59 Bußgelder in 18 Bußgeldbescheiden), nicht eingeleitete Verfahren. Laut Bericht 105 Bußgeldverfahren neu eröffnet und 107 eingestellt.

    „geldbescheide mit 59 Bußgeldern in Höhe von insgesamt 79.450 Euro erlassen."

  • Festgesetzte Bußgelder

    79 Tsd. €

    Zählweise: Summe der 2025 erlassenen Bescheide; laut Bericht zum Jahresende noch nicht alle rechtskräftig.

    „geldbescheide mit 59 Bußgeldern in Höhe von insgesamt 79.450 Euro erlassen."

  • Kontrollen und Prüfungen

    nicht ausgewiesen

    Zählweise: Im Bericht nicht ausgewiesen. Einzelne Vor-Ort-Prüfungen werden in den Fachkapiteln beschrieben, aber nicht gezählt.

  • Personal (Stellen/Beschäftigte)

    nicht ausgewiesen

    Zählweise: Im Bericht nicht ausgewiesen.

Beschwerden je 100.000 Einwohner im Ländervergleich

Nur Behörden mit ausgewertetem Bericht und ausgewiesener Zahl. Zählweisen unterscheiden sich.

  1. Hamburg 225,7
  2. Bremen 108,2
  3. Hessen 96,7
  4. Saarland 77,7
  5. Berlin 77,2
  6. Bayern 73,6
  7. Nordrhein-Westfalen 70,0
  8. Baden-Württemberg 68,3
  9. Brandenburg 62,7
  10. Schleswig-Holstein 62,2
  11. Mecklenburg-Vorpommern 61,6
  12. Sachsen-Anhalt 52,8
  13. Niedersachsen 50,3
  14. Sachsen 29,5
  15. Rheinland-Pfalz 26,9
  16. Thüringen 22,5

Worauf die BlnBDI schaut

  1. KI-Training ohne ausreichende Information

    • KI

    Bei Vor-Ort-Prüfungen stellte die Behörde fest, dass Unternehmen personenbezogene Daten zum Training von KI-Modellen nutzten, ohne die Betroffenen auf erster Ebene darüber zu informieren. Als anonym deklarierte Trainingsdaten ließen sich in einem Fall über Hash-Werte weitgehend re-identifizieren.

    „Im Zuge einer Vor-Ort-Prüfung bei dem Unternehmen haben wir uns dies genauer angeschaut und dabei verschiedene Verstöße gegen die DSGVO festgestellt."

  2. Mitarbeiterexzesse im Gesundheitsbereich

    • Beschäftigtendatenschutz
    • Gesundheit

    Beschäftigte, die dienstlich zugängliche Patienten- oder Kollegendaten für private Zwecke abrufen, belangt die Behörde regelmäßig mit Bußgeldern. Arbeitgeber müssen solche Vorfälle melden und durch Weisungen, technische Sperren und regelmäßige Schulungen vorbeugen.

    „Um das Risiko unbefugter Datenverarbeitungen im Mitarbeiterexzess zu verringern, muss der Arbeitgeber zudem die erforderlichen technisch-organisatorischen Maßnahmen ergreifen."

  3. E-Mail-Postfach ohne Zwei-Faktor-Schutz

    • Datensicherheit & Datenpannen
    • Gesundheit

    Ein Medizinunternehmen erhielt ein Bußgeld, weil ein Postfach mit Gesundheitsdaten per Webmail nur mit Benutzername und Passwort gesichert war. Das Konto wurde kompromittiert und für Phishing missbraucht.

    „Dieses Postfach war zumindest im Zeitraum von einem Monat über einen Webmail-Zugang erreichbar, ohne dass eine schlüsselbasierte oder Zwei-Faktor-Authentifizierung eingesetzt wurde."

  4. Wiederkehrende Fehler in Webanwendungen

    • Datensicherheit & Datenpannen

    Die Behörde erhält seit Jahren Hinweise auf einfache Sicherheitslücken, etwa die fehlende Prüfung, ob ein angemeldeter Nutzer nur eigene Datensätze abruft. Bei einer Hotelgruppe waren bis zu 500.000 Buchungsdatensätze mit Passdaten gefährdet; empfohlen werden Sicherheit ab der Entwicklung und regelmäßige Audits.

    „sowie regelmäßige Sicherheitsaudits können Schwachstellen bei technischen Zugriffskontrollmechanismen verhindern"

  5. Postfächer abwesender und ausgeschiedener Beschäftigter

    • Beschäftigtendatenschutz

    Ob die Geschäftsführung in dienstliche Postfächer schauen darf, hängt davon ab, ob private Nutzung erlaubt ist. Die Behörde rät, das vorab schriftlich zu regeln und einen Ablauf für Postfächer ausscheidender Beschäftigter festzulegen.

    „Verantwortliche sollten vorab festlegen, ob eine private Nutzung von beruflichen E-Mail-Postfächern zulässig ist."

Was das für Unternehmen in Berlin heißt

  • Wenn Sie Kunden- oder Schuldnerdaten für KI-Training nutzen, gehört das in die erste Datenschutzinformation, nicht erst in die Datenschutzerklärung der Website. Entfernte Namen machen Daten noch nicht anonym.
  • Sichern Sie per Webmail erreichbare Postfächer mit Zwei-Faktor-Authentifizierung ab, besonders wenn darüber sensible Daten laufen. Ein Passwort allein wertete die Berliner Behörde bei Gesundheitsdaten als Verstoß.
  • Legen Sie schriftlich fest, ob dienstliche E-Mail-Adressen privat genutzt werden dürfen und wie Postfächer ausscheidender Beschäftigter abgewickelt werden.
  • Greifen Beschäftigte unbefugt auf Daten zu, müssen Sie das als Datenschutzvorfall prüfen und gegebenenfalls binnen 72 Stunden melden; Schulungen und Zugriffsbeschränkungen senken das Risiko.

Unsere Einordnung aus dem Bericht, keine Rechtsberatung im Einzelfall.

Geprüft am 19. Oktober 2026. Gefunden einen Fehler? Schreiben Sie uns.

Alle 18 Behörden vergleichen

Häufige Fragen zur BlnBDI

Aufsicht über Unternehmen, Vereine, Freiberufler und öffentliche Stellen mit Sitz in Berlin.

Laut Jahresbericht 2025 2.856 (Vorjahr: 1.865). Persönliche Beschwerden von Betroffenen, Kalenderjahr 2025 (DSK-Statistikkriterien). Davon 2.209 Verfahren in eigener Zuständigkeit, 647 an andere Behörden abgegeben. Eingaben insgesamt (Beschwerden + Beratungsanfragen): 9.224. Quelle: Seite 206 des Berichts.

Im Berichtszeitraum 1.462 Meldungen nach Art. 33 DSGVO (Vorjahr: 1.262). Meldungen öffentlicher und nicht-öffentlicher Stellen zusammen (1.265 nicht-öffentlich, 197 öffentlich), Kalenderjahr 2025.

Der aktuelle Jahresbericht 2025 erschien im 23. Juni 2026. Die Berichte erscheinen üblicherweise um den Juni. Wir prüfen die Veröffentlichungsseite monatlich und werten neue Berichte nach demselben Schema aus.

Weitere kostenlose Werkzeuge

Alle ohne Anmeldung, alle ohne Kosten.

Alle Werkzeuge

Werkzeuge zeigen Lücken. Schließen muss sie jemand.

Wir übernehmen Datenschutz und Informationssicherheit als externer Dienstleister — TÜV-zertifiziert, mit festem Ansprechpartner, ab 79 € im Monat.

Angebot in 60 Sekunden 15 Minuten sprechen