FAQ | Aufgaben und Befugnisse des LfD Niedersachsen
Der Landesbeauftragte für den Datenschutz Niedersachsen (LfD) ist sowohl die Person des niedersächsischen Datenschutzbeauftragten, als auch die nach dieser Funktion benannte unabhängige Datenschutz-Aufsichtsbehörde des Landes Niedersachsen. Unsere Aufgabe ist es, das Grundrecht auf informationelle Selbstbestimmung zu schützen – also das Recht von Menschen durchzusetzen, selbst darüber entscheiden zu können, wer welche Daten über sie erhebt und verwendet. Wir kontrollieren, ob öffentliche Stellen und private Unternehmen in Niedersachsen die geltenden Datenschutzgesetze einhalten, allen voran die Datenschutz-Grundverordnung (DSGVO).
Seit Herbst 2023 ist Denis Lehmkemper der Landesbeauftragte für den Datenschutz Niedersachsen. Er wurde vom Niedersächsischen Landtag gewählt und übt sein Amt unabhängig und weisungsfrei aus.
Unabhängigkeit ist ein zentrales Merkmal jeder Datenschutz-Aufsichtsbehörde und ausdrücklich in Artikel 52 DSGVO sowie in Artikel 62 der Niedersächsischen Verfassung verankert. Das bedeutet: Wir sind bei unseren Entscheidungen an keine Weisungen gebunden, weder durch die Landesregierung, noch durch das Innenministerium oder durch andere öffentliche Stellen. Und das muss auch so sein. Deshalb sind wir auch nicht der Datenschutzbeauftragte der Landesregierung oder des Landtags. Diese Unabhängigkeit ist die Voraussetzung dafür, dass wir auch öffentliche Stellen, große Unternehmen oder politisch sensible Akteure beaufsichtigen und gegebenenfalls gegen sie vorgehen können, wenn dies datenschutzrechtlich geboten ist. Auch die beziehungsweise der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) übt keine Aufsicht über Landesdatenschutzbehörden wie unsere Behörde aus.
Unsere Behörde hat etwa 60 Beschäftigte und gliedert sich in mehrere Bereiche mit unterschiedlichen fachlichen Schwerpunkten, etwa zu Wirtschaft, zur öffentlichen Verwaltung und zu technischen Datenschutzfragen. Seit 2024 hat der LfD Niedersachsen eine eigene Stabsstelle für Künstliche Intelligenz. Geleitet wird die Behörde von Denis Lehmkemper.
Unsere Arbeit umfasst ein breites Aufgabenspektrum:
- Kontrolle und Aufsicht: Wir überwachen die Einhaltung der DSGVO, des Bundesdatenschutzgesetzes (BDSG) und des niedersächsischen Datenschutzrechts insbesondere bei Unternehmen, Behörden und Vereinen. Darüber hinaus beaufsichtigen wir auch die Umsetzung spezifischen Fachrechts wie der Verordnung über die Transparenz und das Targeting politischer Werbung (TTPW-VO) sowie des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG).
- Bearbeitung von Beschwerden: Bürgerinnen und Bürger können bei uns eine Beschwerde einreichen, wenn sie darlegen, dass ihre Daten unrechtmäßig verarbeitet wurden oder ihre Betroffenenrechte – etwa auf Auskunft oder Löschung – missachtet werden.
- Beratung: Wir beraten Datenschutzbeauftragte und öffentliche Stellen bei Fragen zum Datenschutz.
- Bußgelder und Anordnungen: Stellen wir Verstöße gegen datenschutzrechtliche Vorgaben fest, können wir Bußgelder verhängen und/oder rechtsverbindliche Anordnungen erlassen.
- Mitwirkung an Gesetzgebung: Wir geben Stellungnahmen zu geplanten Gesetzen ab, die datenschutzrelevante Regelungen beinhalten.
- Sensibilisierung und Aufklärung: Wir informieren die Öffentlichkeit über Datenschutzthemen, etwa in Form von FAQs, Handreichungen, Merkblätter und Pressemitteilungen. Außerdem informieren wir Schulklassen im Rahmen von Workshops zu den Themen Medienkompetenz und (Selbst-)Datenschutz.
- Fortbildungen: Über das Datenschutzinstitut Niedersachsen (DsIN) schulen wir Beschäftigte öffentlicher Stellen und bieten darüber hinaus Infoveranstaltungen für Ehrenamtliche aus Vereinen an.
- Europäische und nationale Zusammenarbeit: Wir arbeiten in der Datenschutzkonferenz (DSK) der Datenschutzbehörden des Bundes und der Länder sowie im Europäischen Datenschutzausschuss (EDSA) mit.
Was dagegen nicht zu den Aufgaben gehört:
- Allgemeine Rechtsberatung im Einzelfall: Wir ersetzen keine anwaltliche Rechtsberatung.
- Strafrechtliche Verfolgung: Wir verhängen Bußgelder in aufsichtsbehördlichen Verfahren. Strafrechtliche Ermittlungen etwa bei Datendiebstahl oder Stalking führen Polizei und Staatsanwaltschaften.
- Schadensersatzansprüche durchsetzen: Wir können keinen Schadensersatz zusprechen oder einfordern. Wer Schadensersatz nach Artikel 82 DSGVO geltend machen möchte, muss sich dazu auf den Zivilrechtsweg begeben (siehe Frage 19).
- Ausbildung und Schulung betrieblicher Datenschutzbeauftragter: Hierfür gibt es eine Vielzahl privatwirtschaftlicher Träger und Organisationen.
- Datenschutzzertifizierungen nach DSGVO: Diese werden nicht durch die Datenschutzbehörden vorgenommen. Zertifikate dürfen nur von Stellen erteilt werden, die zuvor in einem aufwendigen Verfahren als Zertifizierungsstelle akkreditiert wurden.
Unsere Behörde kann bei Datenschutzverstößen tätig werden, ermitteln, beanstanden, anordnen und Bußgelder verhängen.
Was wir dagegen nicht können:
- Bürgerinnen und Bürgern Schadensersatz zusprechen – das ist Aufgabe der Zivilgerichte.
- Rechtlich verbindliche Einzelfallgutachten erstellen.
- Über Fälle außerhalb unserer gesetzlichen Zuständigkeit entscheiden (z. B. gegenüber Gerichten in ihrer richterlichen Tätigkeit, Bundesbehörden, Kirchen).
Der LfD Niedersachsen ist ausschließlich für den Datenschutz zuständig. Niedersachsen hat bisher kein eigenes Informationsfreiheitsgesetz verabschiedet. In vielen anderen Bundesländern und auf Bundesebene sind beide Aufgaben in einer Behörde gebündelt – daher dort Bezeichnungen wie „LfDI“ oder „BfDI“.
Unsere Behörde arbeitet eng mit den anderen deutschen Datenschutz-Aufsichtsbehörden in der Datenschutzkonferenz (DSK) zusammen, die gemeinsamen Positionen zu wichtigen Datenschutzfragen erarbeitet. Hier obliegt uns auch die Aufgabe des Vorsitzes im Arbeitskreis Beschäftigtendatenschutz und im Arbeitskreis Versicherungswirtschaft der DSK. Auf europäischer Ebene sind wir über den Europäischen Datenschutzausschuss (EDSA) eingebunden, der die einheitliche Anwendung der DSGVO in allen EU-Mitgliedstaaten sicherstellt. Bei grenzüberschreitenden Fällen gibt es zudem sogenannte Kohärenzverfahren, in denen das Vorgehen der Datenschutzbehörden miteinander abgestimmt wird.
Wir verstehen uns nicht als reine Kontrollinstanz für andere Behörden, sondern setzen auf konstruktive Zusammenarbeit. Wir arbeiten daher auf vielfältigen Ebenen mit anderen niedersächsischen Behörden zusammen:
- Beratung von Regierung und Verwaltung: Wir begleiten Digitalisierungsvorhaben des Landes datenschutzrechtlich, etwa bei der Umsetzung des Onlinezugangsgesetzes 2.0 oder der Einführung von Künstlicher Intelligenz in der öffentlichen Verwaltung
- Stellungnahmen zu Gesetzesentwürfen: Wir beteiligen uns an Gesetzgebungsverfahren des Landes, beispielsweise bei der Novelle des Niedersächsischen Polizei- und Ordnungsbehördengesetzes.
- Bericht an den Landtag: Unseren Tätigkeitsbericht stellen wir jährlich im Innen- und Rechtsausschuss des Niedersächsischen Landtags vor und formulieren darin konkrete Empfehlungen an den Gesetzgeber und die Landesregierung.
- Fortbildung öffentlicher Stellen: Über das Datenschutzinstitut Niedersachsen (DsIN) schulen wir behördliche Datenschutzbeauftragte sowie andere Beschäftigte öffentlicher Stellen.
Bei einzelnen Datenschutzfragen kann es in der Zusammenarbeit auch zu unterschiedlichen Rechtsauffassungen kommen – etwa bei den Rechtsgrundlagen für die Übermittlung personenbezogener Daten. In diesen Fällen tragen wir unsere Position offen vor und suchen das Gespräch.
Einmal jährlich veröffentlichen wir einen ausführlichen Tätigkeitsbericht, in dem wir über unsere Arbeit, Fallzahlen der Eingaben, besondere Schwerpunkte und wichtige Entscheidungen des Jahres berichten. Alle Tätigkeitsberichte finden Sie auf unserer Website unter https://lfd.niedersachsen.de/tb
Darüber hinaus informieren wir regelmäßig über:
- Pressemitteilungen und auf unserer Webseite zu aktuellen Entwicklungen
- Handreichungen, Checklisten und Merkblätter zu konkreten Datenschutzthemen
- FAQs zu Schwerpunktthemen wie Videoüberwachung oder Dashcams
- unseren Mastodon-Kanal zu aktuellen Hinweisen:
Auf unserer Website https://lfd.niedersachsen.de stellen wir kostenfrei umfangreiche Informationsmaterialien bereit. Sie finden dort unter anderem FAQs zu aktuellen Themen wie Künstliche Intelligenz, Videoüberwachung oder der elektronischen Patientenakte, Orientierungshilfen der DSK, Checklisten und Merkblätter für Unternehmen und Behörden, sowie unsere Pressemitteilungen und Tätigkeitsberichte.
Am einfachsten reichen Sie Ihre Beschwerde über unser Online-Beschwerdeformular ein, das Sie unter https://lfd.niedersachsen.de/beschwerde finden. Damit wir Ihre Beschwerde zügig bearbeiten, achten Sie bitte auf möglichst vollständiges Ausfüllen. Fehlende Angaben können zu einer verzögerten Beantwortung führen. Anonyme Eingaben/Beschwerden können wir nicht bearbeiten. Wenn Sie uns bitten, gegenüber dem Verantwortlichen (Beschwerdegegner) anonym zu bleiben, können wir den Sachverhalt in vielen Fällen nicht behandeln.
Wir sind grundsätzlich für Personen und Stellen mit Sitz in Niedersachsen zuständig, also insbesondere für niedersächsische Unternehmen, Vereine und öffentliche Stellen. Für Stellen außerhalb Niedersachsens sind in der Regel die Aufsichtsbehörden des jeweiligen Bundeslands beziehungsweise des EU/EWR-Mitgliedsstaates zuständig.
Zudem gibt es einige Bereiche, die über eigene Datenschutz-Aufsichten verfügen. So sind beispielsweise für kirchliche Einrichtungen die Datenschutzbeauftragten der jeweiligen Kirche zuständig und für Telekommunikationsanbieter die/der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). Der Kontaktfinder der/des BfDI hilft dabei, bei einem Datenschutzverstoß den richtigen Kontakt zu finden:
Nach Eingang Ihrer Beschwerde durchläuft diese bei uns mehrere Schritte:
- Eingangsbearbeitung: Ihre Beschwerde wird registriert und auf Vollständigkeit geprüft. Sollten wichtige Angaben fehlen, melden wir uns bei Ihnen.
- Zuständigkeitsprüfung: Wir prüfen, ob der LfD Niedersachsen für Ihren Fall zuständig ist. Falls eine andere Aufsichtsbehörde zuständig ist, informieren wir Sie darüber.
- Rechtliche Erstbewertung: Die zuständige Sachbearbeitung prüft den geschilderten Sachverhalt auf datenschutzrechtliche Relevanz und beurteilt, ob ein Verstoß vorliegen könnte.
- Anforderung einer Stellungnahme der verantwortlichen Stelle: Gegebenenfalls wenden wir uns an das Unternehmen oder die Behörde, gegen die sich Ihre Beschwerde richtet, und fordern eine Stellungnahme an.
- Auswertung und Entscheidung: Nach Eingang der Stellungnahme bewerten wir den Sachverhalt abschließend oder führen weitere Untersuchungen bis zur Entscheidungsreife durch. Liegt ein Verstoß vor, fordern wir die verantwortliche Stelle nach Anhörung zur Abhilfe auf und/oder leiten falls erforderlich ein Bußgeldverfahren ein.
- Rückmeldung an Sie: Wir informieren Sie schriftlich über das Ergebnis unserer Prüfung und – sofern relevant – über Ihre Möglichkeiten des gerichtlichen Rechtsschutzes nach Artikel 78 DSGVO.
Die Bearbeitungsdauer hängt von verschiedenen Faktoren ab: Bei komplexeren Sachverhalten müssen wir zunächst den Verantwortlichen anhören, dessen Stellungnahme einholen und rechtlich bewerten.
Derzeit bearbeiten wir eine sehr große Anzahl von Beschwerden. Im Jahr 2025 waren es insgesamt 4.022 und damit 70 Prozent mehr als noch im Vorjahr. Wir priorisieren die Beschwerden in der Reihenfolge ihres Eingangs und nach Dringlichkeit. Wir bitten um Ihr Verständnis und versichern Ihnen, dass wir uns spätestens nach Abschluss des Verfahrens gegenüber dem Verantwortlichen unaufgefordert bei Ihnen melden.
Ja, Sie können Ihre Beschwerde jederzeit zurückziehen. Teilen Sie uns das formlos per E-Mail oder Post mit. Bitte beachten Sie jedoch, dass wir in bestimmten Fällen – etwa bei schwerwiegenden oder strukturellen Verstößen – auch nach einer Rücknahme von Amts wegen weiter tätig werden können, wenn das öffentliche Interesse es gebietet.
Es gibt Gründe, aus denen wir eine Beschwerde nicht weiterverfolgen oder abweisen können:
- Der geschilderte Sachverhalt begründet nach unserer Prüfung keinen Verstoß gegen das Datenschutzrecht.
- Die Beschwerde richtet sich gegen eine Stelle, für die eine andere Aufsichtsbehörde zuständig ist, in diesem Fall geben wir Ihnen einen Hinweis auf die richtige Anlaufstelle.
- Die Beschwerde betrifft Bereiche, die außerhalb unserer gesetzlichen Zuständigkeit liegen (z. B. Gerichte in ihrer justiziellen Tätigkeit oder Kirchen).
- Die Angaben sind zu lückenhaft für eine abschließende Prüfung.
Eine Abweisung bedeutet nicht zwingend, dass Ihre Daten rechtmäßig verarbeitet wurden. Sie haben zudem die Möglichkeit, gerichtlichen Rechtsschutz nach Artikel 78 DSGVO in Anspruch zu nehmen.
Wenn ein Unternehmen oder eine Behörde einer Anordnung des LfD Niedersachsen nicht nachkommt, haben wir verschiedene Möglichkeiten, die Einhaltung durchzusetzen. Sie selbst haben daneben die Möglichkeit, Ihre Rechte zivilrechtlich beziehungsweise verwaltungsrechtlich geltend zu machen: Nach Artikel 79 DSGVO können Sie unabhängig von unserem Verfahren vor dem zuständigen Zivilgericht klagen. Bitte beachten Sie, dass wir regelmäßig bei einem (teil-)sachgleich laufenden Gerichtsverfahren die Bearbeitung einer Beschwerde aussetzen, bis in dem Verfahren gerichtlich entschieden wurde.
Das Beschwerderecht ist ein kostenfreies Verwaltungsverfahren, bei dem wir als Aufsichtsbehörde prüfen, ob ein Datenschutzverstoß vorliegt und gegebenenfalls Maßnahmen gegen die verantwortliche Stelle einleiten. Dabei handeln wir im öffentlichen Interesse und nicht als Vertreter Ihrer persönlichen Interessen.
Eine Zivilklage hingegen führen Sie auf eigene Initiative, in eigenem Namen und auf eigenes Kostenrisiko. Damit können Sie direkt Unterlassung oder Schadenersatz einfordern.