Aufsicht Hamburg Stand:

HmbBfDI: 34. Tätigkeitsbericht Datenschutz (2025) — Zahlen und Schwerpunkte

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit — Aufsicht über Unternehmen, Vereine und öffentliche Stellen mit Sitz in Hamburg.

34. Tätigkeitsbericht Datenschutz · Berichtsjahr 2025

Erschienen 25. März 2026 · 232 Seiten · Leitung: Thomas Fuchs

Bericht (PDF) Website der Behörde

Die Zahlen des Berichts

Jede Zahl mit wörtlichem Zitat. Ein Klick auf die Seitenzahl öffnet das PDF an der Stelle.

  • Beschwerden

    4.220

    +62 % ggü. Vorjahr

    Zählweise: Kalenderjahr 2025, nur Beschwerden Betroffener (Art. 77 DSGVO). Eingänge insgesamt einschließlich Hinweisen, Pannenmeldungen und schriftlichen Beratungen: 6.219.

    „Ressourcen beansprucht. Im Berichtsjahr 2025 haben den HmbBfDI 4.220 datenschutzrechtliche Beschwerden von Bürgerinnen und"

  • Gemeldete Datenpannen (Art. 33 DSGVO)

    1.115

    +17 % ggü. Vorjahr

    Zählweise: Kalenderjahr 2025, Meldungen nach Art. 33 DSGVO.

    „Im Jahr 2025 sind 1.115 Meldungen zu Verletzungen des Schutzes personenbezogener Daten bei der Hamburger Datenschutzaufsicht eingegangen."

  • Beratungen und Anfragen

    1.490

    Zählweise: Schriftliche (488) und telefonische (1.002) Beratungen zusammen, wie im Bericht ausgewiesen.

    „Insgesamt wurden beim Hamburgischen Datenschutzbeauftragten im Berichtsjahr also 1.490 dokumentierte datenschutzrechtliche Beratungen durchgeführt."

  • Bußgeldverfahren

    19

    Zählweise: Zählt 2025 verhängte Geldbußen, nicht eingeleitete Verfahren. Dazu 22 Verwarnungen und 2 Anweisungen/Anordnungen.

    „Anordnungen lit. c – g und j Verhängte Art. 58 Abs. 2 19 Geldbußen lit. i"

  • Festgesetzte Bußgelder

    777 Tsd. €

    Zählweise: Summe der 2025 verhängten Geldbußen; ob rechtskräftig, sagt der Bericht nicht.

    „Im Jahr 2025 betrug die Gesamtsumme der verhängten Geldbußen 776.571 €."

  • Kontrollen und Prüfungen

    nicht ausgewiesen

    Zählweise: Im Bericht nicht als Gesamtzahl ausgewiesen. Einzeln genannt: anlasslose automatisierte Prüfung von 1.000 Hamburger Websites, davon 185 mit Mängeln (S. 28–30).

  • Personal (Stellen/Beschäftigte)

    nicht ausgewiesen

    Zählweise: Im Bericht nicht ausgewiesen.

Beschwerden je 100.000 Einwohner im Ländervergleich

Nur Behörden mit ausgewertetem Bericht und ausgewiesener Zahl. Zählweisen unterscheiden sich.

  1. Hamburg 225,7
  2. Bremen 108,2
  3. Hessen 96,7
  4. Saarland 77,7
  5. Berlin 77,2
  6. Bayern 73,6
  7. Nordrhein-Westfalen 70,0
  8. Baden-Württemberg 68,3
  9. Brandenburg 62,7
  10. Schleswig-Holstein 62,2
  11. Mecklenburg-Vorpommern 61,6
  12. Sachsen-Anhalt 52,8
  13. Niedersachsen 50,3
  14. Sachsen 29,5
  15. Rheinland-Pfalz 26,9
  16. Thüringen 22,5

Worauf die HmbBfDI schaut

  1. Rekord bei Beschwerden: schlechter Kundenservice wird zum Datenschutzproblem

    • Auskunftsrechte
    • KI

    Die Beschwerden stiegen 2025 um gut 60 Prozent. Als wesentliche Ursache nennt die Behörde digitalen Kundenservice, der Anfragen in Chatbot-Schleifen und FAQ-Verweisen versanden lässt, sodass Betroffene ihre Auskunfts- und Löschrechte praktisch nicht durchsetzen können. Systematische Mängel bei Auskunftsbegehren werden mit Bußgeldern geahndet.

    „Er fragt nach seinen Daten und wird auf FAQ-Seiten verwiesen, die seine Frage nicht beantworten."

  2. Negativauskunft ist Pflicht

    • Auskunftsrechte
    • Werbung & Tracking

    Gegen ein Handelsunternehmen verhängte die Behörde ein Bußgeld im niedrigen sechsstelligen Bereich, weil es Anträge auf Auskunft, Löschung und Werbewiderspruch nicht fristgerecht beantwortete. Auch wer keine Daten der antragstellenden Person speichert, muss das innerhalb eines Monats bestätigen.

    „dass bei einem Unternehmen keine Daten der Antragssteller:innen verarbeitet werden, ist diesen auf ihre Anträge hin eine sogenannte Negativauskunft zu erteilen"

  3. Anlasslose Prüfung von 1.000 Websites auf Tracking

    • Werbung & Tracking

    Die Behörde prüfte 1.000 zufällig gewählte Hamburger Websites automatisiert darauf, ob Drittdienste schon vor einer Einwilligung Cookies setzen oder Geräte auslesen. 185 Angebote mussten nachbessern, am häufigsten wegen Google Analytics, Google Maps und Google Ads; einzelne Betreiber blieben untätig, die Prüfung läuft weiter.

    „Besonders häufig betroffen waren Zugriffe durch Google Analytics (110 Fälle), Google Maps (51), Google Ads (42), YouTube (20) und Facebook (15)."

  4. KI und Datenschutz als eigenes Berichtskapitel

    • KI

    Ein ganzes Kapitel widmet sich KI: von der Anwendung der EDSA-Stellungnahme zu KI-Modellen über das Training von Meta mit Nutzerdaten und die Ray-Ban-KI-Brille bis zur Frage, wer in Deutschland die KI-Verordnung beaufsichtigt. Die Behörde lehnt eine pauschale Zuständigkeit der Bundesnetzagentur für öffentliche Stellen der Länder ab.

    „hat europaweit Leitplanken für den datenschutzgerechten Umgang mit KI-Modellen gesetzt. Der HmbBfDI wendet die Vorgaben des EDSA nun praxisgerecht an."

  5. Hackerangriffe führen die Pannenmeldungen an

    • Datensicherheit & Datenpannen

    Die Meldungen nach Art. 33 DSGVO stiegen erneut, getrieben von Hackerangriffen, die 2025 erstmals die größte Einzelursache waren – noch vor dem Falschversand von Post und E-Mail. Technisch geprägte Vorfälle wie Phishing, Ransomware und Softwarefehler bearbeitet die Behörde seit 2024 in einer beschleunigten „Fastlane“ unter Federführung ihrer Technikabteilung.

    „Die Meldungen über Hackerangriffe machen mittlerweile rund 34% der Gesamtmeldungen aus und bildeten 2025 erstmals den höchsten Einzelwert der Meldungen nach Art. 33 DSGVO."

Was das für Unternehmen in Hamburg heißt

  • Beantworten Sie Auskunfts-, Lösch- und Werbewiderspruchsanträge binnen eines Monats – auch dann, wenn Sie über die Person gar keine Daten haben. Eine fehlende Negativauskunft hat in Hamburg zu einem sechsstelligen Bußgeld geführt.
  • Prüfen Sie, ob Ihre Website schon beim ersten Aufruf Google Analytics, Maps, Ads oder YouTube lädt. Genau danach sucht die Behörde inzwischen automatisiert und ohne konkreten Anlass.
  • Wenn Sie Kundenanfragen über Chatbots abwickeln, sorgen Sie für einen erreichbaren Weg zu einem Menschen. Wer Betroffene in Schleifen hängen lässt, erzeugt Beschwerden, die bei der Aufsicht landen.
  • Geben Sie Gehaltslisten und andere Beschäftigtendaten im Konzern nur mit Rechtsgrundlage weiter und, wo es reicht, pseudonymisiert. Die Behörde hat die Weitergabe identifizierbarer Gehaltsdaten in zwei Fällen als rechtswidrig bewertet.

Unsere Einordnung aus dem Bericht, keine Rechtsberatung im Einzelfall.

Geprüft am 19. Oktober 2026. Gefunden einen Fehler? Schreiben Sie uns.

Alle 18 Behörden vergleichen

Häufige Fragen zur HmbBfDI

Aufsicht über Unternehmen, Vereine und öffentliche Stellen mit Sitz in Hamburg.

Laut 34. Tätigkeitsbericht Datenschutz 4.220 (Vorjahr: 2.607). Kalenderjahr 2025, nur Beschwerden Betroffener (Art. 77 DSGVO). Eingänge insgesamt einschließlich Hinweisen, Pannenmeldungen und schriftlichen Beratungen: 6.219. Quelle: Seite 214 des Berichts.

Im Berichtszeitraum 1.115 Meldungen nach Art. 33 DSGVO (Vorjahr: 955). Kalenderjahr 2025, Meldungen nach Art. 33 DSGVO.

Der aktuelle 34. Tätigkeitsbericht Datenschutz erschien im 25. März 2026. Die Berichte erscheinen üblicherweise um den März. Wir prüfen die Veröffentlichungsseite monatlich und werten neue Berichte nach demselben Schema aus.

Weitere kostenlose Werkzeuge

Alle ohne Anmeldung, alle ohne Kosten.

Alle Werkzeuge

Werkzeuge zeigen Lücken. Schließen muss sie jemand.

Wir übernehmen Datenschutz und Informationssicherheit als externer Dienstleister — TÜV-zertifiziert, mit festem Ansprechpartner, ab 79 € im Monat.

Angebot in 60 Sekunden 15 Minuten sprechen