Datenschutzaufsicht und KI: Was der Tätigkeitsbericht aus Niedersachsen zeigt
Der niedersächsische Datenschutzbeauftragte hat am 20. August 2026 seinen Tätigkeitsbericht für 2025 vorgelegt. Zwei Zahlen daraus sind bemerkenswert: Die Beschwerden stiegen um über 70 Prozent — und ein Teil davon kommt heute aus Textbausteinen, die sich Betroffene von einem KI-Chatbot schreiben lassen. Gleichzeitig kritisiert Denis Lehmkemper, dass die Aufsicht über KI-Systeme in Deutschland bei der Bundesnetzagentur zentralisiert wird.
Was tatsächlich passiert ist
Den 31. Tätigkeitsbericht hat der Landesbeauftragte für den Datenschutz Niedersachsen (LfD) am 20. August 2026 im Landtag vorgestellt (lfd.niedersachsen.de). Die Zahl der Datenschutzbeschwerden stieg um über 70 Prozent auf 4022 Fälle. In 34 Erstbescheiden verhängte die Behörde 2025 Bußgelder von rund 705.000 Euro (heise online, 20.08.2026).
Eine Ursache für die Flut nennt der Bericht ausdrücklich: KI-Chatbots, die bei Recherchen zu Datenschutzverstößen direkt Musterschreiben erstellen. Ein Teil der Anträge sei unvollständig, was die Aufsicht zusätzlich bindet. KI ist auch sonst ein Schwerpunkt — 20 Beschwerden gegen KI-Betreiber, dazu begleitete die Behörde Pilotversuche wie LLMoin und MS-Copilot Chat in der Verwaltung. Das Ergebnis ist ernüchternd: Spezifische Rechtsgrundlagen fehlten dabei weitgehend, und Halluzinationen sowie Verzerrungen gefährdeten die Datenrichtigkeit in Verwaltungsverfahren.
Lehmkemper fordert deshalb klare Rahmenbedingungen fürs KI-Training, verbindliche Schulungen und präzisere Modelleinstellungen. Und er kritisiert, dass die Marktüberwachung nach der KI-Verordnung bei der Bundesnetzagentur landet. Für KI-Systeme im Einsatz der niedersächsischen Verwaltung hält er die Aufsicht vor Ort „für verfassungsrechtlich zwingend". Bei Schulen oder Polizei sieht er sogar das Grundgesetz berührt. Die Datenschutzkonferenz aus Bund und Ländern fordert seit dem Beschluss des AI Acts ohnehin, die Durchsetzung den Datenschutzbehörden zu übertragen.
Meine Einordnung
Was mich an dem Bericht interessiert, ist nicht der Streit um Zuständigkeiten. Es ist der Satz „spezifische Rechtsgrundlagen fehlten weitgehend". Das ist die freundlichste Formulierung, die eine Aufsichtsbehörde für „wir haben es einfach laufen lassen" findet. In meinen Mandaten sehe ich genau dasselbe Muster: Ein Assistent wird ausprobiert, weil er in der Lizenz enthalten ist. Danach kann niemand sagen, auf welche Daten er zugreift, wer die Ergebnisse prüft und was passiert, wenn eine Antwort schlicht falsch ist. Das ist der Punkt. Nicht das Werkzeug ist das Problem, sondern die fehlende Entscheidung darüber, wofür es eingesetzt werden darf.
Ich widerspreche auch der naheliegenden Lesart, die Zahlen seien ein Beleg für eine schärfere Aufsicht. 705.000 Euro in 34 Bescheiden — das ist für ein Bundesland moderat. Die Aufsicht berät mehr, als sie straft, und daran wird sich so schnell nichts ändern. Wirklich neu ist die Beschwerdewelle. Wenn ein Chatbot in zwei Minuten ein Musterschreiben produziert, dann bekommen Betriebe mehr Anfragen, teils schlecht begründet. Daraus folgt keine Panik, sondern Fleißarbeit. Wer Auskunftsprozesse und Vorlagen einmal aufsetzt, ist bei jeder zweiten Anfrage fertig, bevor sie zur Frist wird.
Und noch eine Beobachtung aus der Praxis: Der KI-Befund deckt sich mit dem, was ich in Kundenaudits finde. Die Verarbeitungsverzeichnisse sind vollständig, solange es um Buchhaltung und Personal geht. Sobald ein Assistent, ein Scoring oder eine automatisierte Auswertung ins Spiel kommt, wird die Dokumentation dünn. Am auffälligsten ist das in Häusern, in denen viel ausprobiert wird — und niemand mehr weiß, welche Werkzeuge überhaupt im Einsatz sind.
Was Sie jetzt konkret tun können
1. KI in einer Tabelle erfassen. Werkzeug, Zweck, Nutzerkreis, Datenkategorien, Anbieter, Vertrag. Zwei Stunden Arbeit, und Sie wissen danach mehr als viele Konzerne.
2. Pro Eintrag eine Entscheidung treffen. Rechtsgrundlage notieren oder abschalten. „In Prüfung" ist kein Zustand, den eine Aufsicht lange akzeptiert.
3. Vier-Augen-Regel schriftlich festhalten. Kein KI-Ergebnis geht ungeprüft an Kunden, Bewerber oder Betroffene. Das ist der billigste Schutz gegen den Vorwurf falscher Daten.
4. Auskunftsprozess standardisieren. Vorlage, Zuständigkeit, Frist — die Monatsfrist des Art. 12 Abs. 3 DSGVO gilt unabhängig davon, wer die Anfrage geschrieben hat.
5. Schulung nachweisbar machen. Kurz, konkret, mit Teilnehmerliste. Nicht die Präsentation zählt, sondern der Nachweis.
Unterstützung holen Sie sich, sobald eine Datenschutz-Folgenabschätzung im Raum steht, Beschäftigtendaten betroffen sind oder Daten in Drittländer fließen. Für den Rest reicht meist ein Termin mit jemandem, der diese Fragen schon hundertmal gehört hat. Wie ich als externer Datenschutzbeauftragter arbeite und was ein Datenschutz-Audit tatsächlich prüft, steht auf den jeweiligen Seiten.
Quellen
- Der Landesbeauftragte für den Datenschutz Niedersachsen, Tätigkeitsbericht 2025 (31. Bericht), vorgestellt am 20.08.2026 — https://www.lfd.niedersachsen.de/2025
- heise online, „KI-Aufsicht: Niedersachsen warnt vor Entmachtung der Datenschutzbehörden", 20.08.2026 — https://www.heise.de/news/KI-Aufsicht-Niedersachsen-warnt-vor-Entmachtung-der-Datenschutzbehoerden-11421190.html
Häufige Fragen
Betrifft mich der Bericht überhaupt? Er kommt doch aus der Verwaltung.
Mittelbar ja. Die Datenschutz-Grundverordnung gilt für öffentliche und private Stellen gleichermaßen. Wenn eine Landesbehörde feststellt, dass für KI-Piloten die Rechtsgrundlage fehlt, ist das ein brauchbarer Gradmesser dafür, wie es in einem Betrieb aussieht, in dem niemand hauptamtlich Datenschutz macht.
Brauchen wir für Copilot eine Datenschutz-Folgenabschätzung?
Pauschal nicht zu beantworten. Art. 35 DSGVO knüpft an das Risiko an, nicht an den Produktnamen. Prüfen Sie Zweck, Datenkategorien und Betroffenenkreis; ob im Einzelfall eine DSFA erforderlich ist, klären Sie mit Ihrer Datenschutzbeauftragten oder Ihrem Rechtsbeistand.
Ist die Aufsicht über KI jetzt Sache der Bundesnetzagentur?
So hat es der Gesetzgeber angelegt, und genau dagegen wehrt sich Niedersachsen. Ein Ende des Streits ist nicht absehbar. Für Sie ändert sich wenig: Beide Behörden würden dieselben Fragen stellen — Zweck, Rechtsgrundlage, Transparenz.
Eigene Einordnung, keine Rechtsberatung. Quellen: Der Landesbeauftragte für den Datenschutz Niedersachsen, Tätigkeitsbericht 2025 (31. Bericht), vorgestellt am 20.08.2026 — https://www.lfd.niedersachsen.de/2025 · heise online, „KI-Aufsicht: Niedersachsen warnt vor Entmachtung der Datenschutzbehörden", 20.08.2026 — https://www.heise.de/news/KI-Aufsicht-Niedersachsen-warnt-vor-Entmachtung-der-Datenschutzbehoerden-11421190.html