Datenschutz: Niedersachsen meldet 58 Prozent mehr Vorfälle als im Vorjahr

Europäische Datenschutzbehörden verzeichnen eine spürbare Zunahme von Beschwerden sowie gemeldeten Sicherheitsvorfällen und intensivieren parallel dazu ihre Prüfungen in den Bereichen Cybersicherheit und künstliche Intelligenz. Dies geht aus aktuellen Erhebungen mehrerer Landes- und Europabehörden hervor.

Die Aufsichtsstellen reagieren auf die wachsende Bedrohungslage mit verschärften Kontrollen technischer Schutzmaßnahmen und strengeren Maßstäben für KI-Anwendungen.

Deutlicher Anstieg der Fallzahlen in deutschen Bundesländern

In Deutschland spiegeln die aktuellen Daten der Landesdatenschutzbeauftragten die wachsende Zahl an Zwischenfällen wider. In Rheinland-Pfalz gingen in den ersten neun Monaten des Jahres 2026 insgesamt 1.796 Beschwerden sowie 1.101 Meldungen über Verstöße ein. Damit übertraf das Aufkommen bereits vor dem vierten Quartal die Gesamtzahlen des Jahres 2025. Auch die Berliner Aufsichtsbehörde verzeichnete für 2026 ein Aufkommen über dem Niveau des Vorjahres. In Niedersachsen stieg die Zahl der gemeldeten Vorfälle bis zum Ende des dritten Quartals 2026 um 58 Prozent im Vergleich zum Vorjahreszeitraum.

Vor diesem Hintergrund veröffentlichte der Europäische Datenschutzbeauftragte (EDPS) aktualisierte Hinweise zur Meldung von Datenschutzverletzungen. Parallel dazu arbeitet der Europäische Datenschutzausschuss (EDPB) an Leitlinien zur Bußgeldbemessung sowie zur Abstimmung zwischen der Datenschutz-Grundverordnung und dem Gesetz über digitale Dienste (Digital Services Act).

Cybersicherheit und Lieferketten unter genauer Beobachtung

Die europäische Cybersicherheitsagentur Enisa warnte in ihrem Bericht zur Cybersicherheitslage in der EU gemäß Artikel 18 der NIS2-Richtlinie vor neuen Gefahren durch künstliche Intelligenz. Automatisierte Angriffe, glaubwürdigere Betrugsversuche, spionage und Desinformationskampagnen gewännen an Dynamik. Datenschutzbeauftragte seien angehalten, ihre Risikobewertungen und Sicherheitsverfahren nach Artikel 32 DSGVO regelmäßig zu aktualisieren.

Zudem hob die Enisa Lieferketten und Cloud-Dienstleister als kritische Schwachstellen hervor. Nach Artikel 28 DSGVO reiche das reine Unterzeichnen von Verträgen nicht aus; Verantwortliche müssten tatsächliche Garantien einfordern und Datensicherheit nicht auf Dokumente und Zertifikate verengen.

Angesichts der verschärften Kontrollen und steigenden Fallzahlen bei Sicherheitsvorfällen müssen Unternehmen ihre Dokumentationspflichten heute präziser denn je erfüllen. Eine kostenlose Excel-Vorlage hilft Ihnen dabei, das notwendige Verarbeitungsverzeichnis nach Art. 30 DSGVO rechtssicher und zeitsparend zu erstellen. Kostenlose Muster-Vorlage und Schritt-für-Schritt-Anleitung jetzt gratis herunterladen

Der Begriff der Datenpanne nach Artikel 4 Nummer 12 DSGVO umfasse neben Datenabflüssen auch die Zerstörung, den Verlust, die Veränderung und den unbefugten Zugriff, womit auch Ransomware-Vorfälle als Datenschutzverletzung eingestuft werden können. In solchen Fällen greifen strenge Pflichten zur Prüfung einer Meldung an die Aufsicht binnen 72 Stunden sowie zur Benachrichtigung betroffener Personen.

Auf europäischer Ebene greifen die Aufsichtsbehörden verstärkt durch. Im November verhängte die französische CNIL im Rahmen einer Kontrollkampagne zehn vereinfachte Sanktionen mit Bußgeldern zwischen 3.000 Euro und 20.000 Euro gegen Gebietskörperschaften und eine öffentliche Einrichtung.

Grund waren Sicherheitsmängel wie fehlende Multifaktor-Authentifizierung für Administratorenkonten, unsegmentierte Netzwerke und unterlassene Datenschutz-Folgenabschätzungen.

Bereits am 2. Oktober 2026 hatte die italienische Garante eine Geldbuße von 7 Millionen Euro gegen IQVIA Solutions Italy verhängt, da Gesundheitsdaten von rund einer Million Patienten aus circa 800 Arztpraxen unzureichend anonymisiert worden waren.

Wer komplexe Projekte rechtssicher begleiten möchte, sollte die Anforderungen an eine Datenschutz-Folgenabschätzung genau kennen, um hohe Bußgelder zu vermeiden. Dieser praxisorientierte Leitfaden bietet Ihnen fertige Checklisten und eine Muster-DSFA zum sofortigen Einsatz. Rechtssichere Muster-DSFA jetzt kostenlos herunterladen

Fokus auf Risiken durch künstliche Intelligenz

Neben der klassischen IT-Sicherheit rückt die Regulierung von KI-Modellen in den Mittelpunkt. Am 9. November 2026 forderte die EU-Kommission die Anbieter OpenAI und Anthropic auf, zusätzliche Auskünfte zu jüngsten Sicherheitsvorfällen zu erteilen. Die Kommission verlangt Angaben zu Fallzahlen, betroffenen EU-Standorten und internen Schutzverfahren, gestützt auf die Meldepflichten des KI-Gesetzes für schwere Vorfälle.

Auch nationale Behörden erhöhen den Druck: Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) stellte klar, dass der Einsatz autonomer KI-Agenten Verantwortliche nicht von ihren Pflichten entbinde. Technischer Datenzugriff bedeute keineswegs rechtliche Zulässigkeit, weshalb Zugriffsrechte streng nach dem Grundsatz der Datenminimierung begrenzt werden müssten.

Die irische DPC zog in einem Aufsichtsbericht zu 180 begleiteten KI-Projekten der Jahre 2021 bis 2025 eine ähnliche Bilanz und forderte verbesserte Transparenz sowie den regelmäßigen Einsatz von Datenschutz-Folgenabschätzungen.

Die Hamburger Datenschutzbehörde wiederum leitete Prüfungen von smarten Brillen mit Kamera, Mikrofon und KI ein, nachdem der EDPB Mitte Oktober Transparenzmängel bei solchen Geräten gerügt hatte.