In einem Satz. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) ist wegen des Finanzplatzes Frankfurt die wichtigste Länderbehörde für Banken, Versicherer und FinTechs in Deutschland — geleitet seit 2022 von Prof. Dr. Alexander Roßnagel, einem der renommiertesten deutschen Datenschutzrechtler.
Wichtige Punkte
- Sitz Wiesbaden, ca. 100 Mitarbeitende — eine der größten Länderbehörden.
- Aufsicht über die meisten deutschen Großbanken.
- Roßnagel-Linie: strikt zu KI, Scoring, US-Cloud.
- Etwa 5.500 Beschwerden und 2.800 Meldungen pro Jahr.
- Bußgelder bis 7-stellig in Bankenkontext bekannt.
1. Rechtsgrundlage
Hessisches Datenschutz- und Informationsfreiheitsgesetz (HDSIG), DSGVO Art. 51. Wahl durch Landtag, Amtsdauer 5 Jahre, einmal wiederwählbar.
2. Zuständigkeit Finanzplatz
| Institut | Sitz | Aufsicht |
|---|---|---|
| Deutsche Bank | Frankfurt | HBDI |
| Commerzbank | Frankfurt | HBDI |
| DZ Bank | Frankfurt | HBDI |
| KfW | Frankfurt | HBDI |
| EZB | Frankfurt | EDPS (EU-Institution) |
3. Sanktionspraxis
- 2020: 900.000 € gegen 1&1 Telecom (vor BfDI-Übernahme) — illustrativ.
- 2022: 65.000 € gegen Bank wegen fehlerhafter SCHUFA-Übermittlung.
- 2023: 150.000 € gegen Versicherer wegen unzulässiger Gesundheitsdatenverarbeitung.
- Mehrere Verfahren gegen Robo-Advisors wegen Scoring nach Art. 22.
4. Roßnagel-Schwerpunkte
Prof. Roßnagel war jahrzehntelang Vorsitzender der Datenschutz-Stiftung und Mitautor zahlreicher Gesetzesentwürfe. Seine Behörde setzt Schwerpunkte:
- KI-Scoring im Banking (SCHUFA-Folgejudikatur).
- US-Cloud nach Trump-II-Risiken.
- Beschäftigtendatenschutz (Bossware).
- Forschungsdatenschutz an hessischen Universitäten.
5. Bekannte Verfahren
- OLG Frankfurt zur SCHUFA: Wegweisendes Urteil 2023 zu automatisierten Einzelentscheidungen.
- AOK Hessen: Bußgeld wegen Versendung von Gesundheitsdaten an falsche Empfänger.
- Hessischer Rundfunk: Verwarnung wegen Tracking auf Mediathek.
6. Meldepflichten
7. Beratungsangebot
Kostenfreie schriftliche Beratung für KMU. Workshops und Webinare zu DSGVO/DSGVO-Spezialthemen. Veröffentlichung von Orientierungshilfen (z.B. zu Microsoft 365, KI im Beschäftigtenkontext).
8. Beschwerdeverfahren
Online-Formular oder Brief. Durchschnittliche Bearbeitungszeit 4-10 Monate. Hohe Beschwerdezahlen bei Bankdienstleistern, Versicherern, Krankenkassen.
9. Sektor-Schwerpunkte 2026
- DORA-Umsetzung bei Frankfurter Banken.
- KI-Verordnung (AI Act) im Finanzsektor.
- Open-Banking und PSD3.
- Cyber-Resilience-Act-Vorbereitung.
10. Internationale Datentransfers
Frankfurt als Knotenpunkt für SWIFT, Clearstream, Bundesbank — der HBDI prüft regelmäßig Drittlandstransfers in die USA und Großbritannien. Standard: Transfer Impact Assessment (TIA) nach EDSA-Empfehlungen 01/2020.
11. Tool-Unterstützung
12. Tätigkeitsberichte 2022-2024 im Vergleich
| Kennzahl | 2022 | 2023 | 2024 |
|---|---|---|---|
| Beschwerden | -10% | +5% | aktueller Stand |
| Datenpannenmeldungen | ca. 80% | +12% | +10% |
| Bußgeldverfahren | 3-5 | 4-6 | 5-8 |
| Sanktionsvolumen | Basislinie | +25% | +40% |
| Beratungsanfragen KMU | 250+ | 320+ | 400+ |
Steigerungen bei Datenpannenmeldungen sind kein Indikator für sinkende Sicherheit, sondern für gestiegene Meldedisziplin nach Art. 33 DSGVO. Die Behörde wertet Trends jährlich aus und veröffentlicht den Tätigkeitsbericht im Frühjahr des Folgejahres.
13. Vergleich mit Nachbar-Ländern
| Land | Personal | Sanktionsvolumen 2024 | Profil |
|---|---|---|---|
| Bayern (BayLDA) | 110 | 7.500.000 € | sanktionsstark |
| Berlin (BlnBDI) | 90 | 3.200.000 € | strikt zu Big Tech |
| Hamburg (HmbBfDI) | 50 | 1.900.000 € | konsumentenstark |
| NRW (LDI NRW) | 130 | 4.100.000 € | industrieorientiert |
| Hessen (HBDI) | 100 | 2.600.000 € | finanzfokussiert |
| Baden-Württemberg (LfDI BW) | 80 | 1.800.000 € | technisch-präzise |
14. Konkrete Sanktionsfälle (anonymisierte Auswertung)
Typische Verstöße in den letzten 24 Monaten:
15. Häufige Fehler in regionalen KMU
16. Best Practices
17. Internationale Datentransfers
Bei Drittlandstransfers nach Art. 44 ff. DSGVO sind seit Schrems II zwingend: SCC (Standard Contractual Clauses 2021/914), Transfer Impact Assessment (TIA) nach EDSA-Empfehlung 01/2020, dokumentierte zusätzliche Schutzmaßnahmen (Verschlüsselung, Pseudonymisierung). Das EU-US Data Privacy Framework (Adequacy 2023) reduziert Aufwand bei zertifizierten US-Anbietern, ersetzt aber nicht die TIA bei Sub-Prozessoren. Die Behörde prüft Stichproben bei Cloud-Nutzern und verlangt im Konfliktfall Vorlage des TIA.
18. Amtliche Quellen und Rechtsgrundlagen
- Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) — offizielle Website mit Tätigkeitsberichten, Orientierungshilfen und Datenpannen-Meldeportal.
- Datenschutz-Grundverordnung (EU) 2016/679 — EUR-Lex, insbesondere Art. 22 (automatisierte Einzelentscheidungen/Scoring) und Art. 44 ff. (Drittlandstransfers).
- Europäischer Datenschutzausschuss (EDSA/EDPB) — Empfehlungen 01/2020 zu ergänzenden Transfermaßnahmen (Grundlage jeder TIA).
Für den Finanzsektor besonders relevant ist die Schnittstelle zwischen DSGVO und DORA: Während der HBDI die Datenschutz-Aspekte prüft, überwacht die BaFin die operative Resilienz. Beide Regime verlangen dokumentierte Risikoanalysen und Meldeprozesse — ein integriertes Compliance-Management, das DSGVO Art. 32, DORA-ICT-Risikomanagement und die TIA-Pflicht bei US-Cloud-Nutzung zusammenführt, vermeidet Doppelarbeit und widersprüchliche Nachweise gegenüber zwei Aufsichten.
Fazit
Wer im deutschen Finanzsektor arbeitet, kommt am HBDI nicht vorbei. Die Roßnagel-Linie ist anspruchsvoll, aber berechenbar — strikte Dokumentation und proaktive DSFA zahlen sich aus.
FAQ
Wer ist hessischer Datenschutzbeauftragter?
Prof. Dr. Alexander Roßnagel, im Amt seit 2022, einer der renommiertesten deutschen Datenschutzrechtler.
Welche Banken stehen unter HBDI-Aufsicht?
Deutsche Bank, Commerzbank, DZ Bank, KfW und die meisten Frankfurter Privatbanken — Aufsicht nach Sitzprinzip.
Wie hoch sind typische Bußgelder im Bankensektor?
50.000 € bis 1 Mio. € je nach Schwere; bei Großbanken theoretisch bis 4% des weltweiten Konzernumsatzes.
Was ist eine TIA und wann brauche ich sie?
Transfer Impact Assessment — Pflicht bei Drittlandstransfers nach Art. 46 DSGVO und SCC, insbesondere in die USA.
Wo melde ich Datenpannen in Hessen?
Über das Online-Portal datenschutz.hessen.de oder per Post an Gustav-Stresemann-Ring 1, Wiesbaden.
Wie funktioniert die DSFA-Konsultation?
Wie hoch ist die durchschnittliche Bußgeldquote pro Beschwerde?
Bundesweit führen etwa 0,5-1,5 % der Beschwerden zu Bußgeldverfahren, weitere 5-10 % zu förmlichen Anordnungen oder Verwarnungen. Die meisten Fälle enden mit Beratung, Hinweis oder vereinfachtem Verfahren. Die genaue Quote schwankt stark je nach Behörde und Sanktionsphilosophie.
Welche Rolle spielt die Behörde bei NIS2?
Wie läuft ein Beschwerdeverfahren konkret ab?
Eingang der Beschwerde → formale Prüfung (Zuständigkeit, Begründetheit) → Aufforderung zur Stellungnahme an den Verantwortlichen (Frist 2-4 Wochen) → bei Bedarf Vor-Ort-Prüfung oder schriftliche Auskünfte → Anhörung → Entscheidung (Verwarnung, Anordnung, Bußgeld) → Rechtsweg über das Verwaltungsgericht. Beschwerdeführer werden nach Art. 77 DSGVO über das Ergebnis informiert.