LfD Sachsen-Anhalt: Datenschutzaufsicht 2026

In einem Satz. Der Landesbeauftragte für den Datenschutz Sachsen-Anhalt (LfD ST) mit Sitz in Magdeburg überwacht ca. 50.000 Unternehmen und alle öffentlichen Stellen — geleitet von Albert Cohaus, mit Schwerpunkten Chemiestandort Bitterfeld-Wolfen, Tesla-Zulieferer und kommunale Verwaltung.

Wichtige Punkte

• Sitz Magdeburg, ca. 25 Mitarbeitende — eine der kleineren Länderbehörden.
• Aufsicht über Intel-Werk Magdeburg (in Planung), Chemiepark Bitterfeld.
• Etwa 1.500 Beschwerden pro Jahr.
• Schwerpunkte: Chemie, Energie, kommunale IT.
• Tätigkeitsbericht typisch im April.

1. Rechtsgrundlage

Grundlage der Aufsicht sind das Datenschutzgesetz Sachsen-Anhalt (DSG-LSA) und die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679). Nach Art. 51 DSGVO richtet jeder Mitgliedstaat unabhängige Aufsichtsbehörden ein; der LfD Sachsen-Anhalt wird vom Landtag für sechs Jahre gewählt und ist ausschließlich dem Gesetz verpflichtet und weisungsfrei. Die offizielle Website des LfD Sachsen-Anhalt veröffentlicht Tätigkeitsberichte, Orientierungshilfen und Meldeformulare. Verbindliche Auslegungsmaßstäbe liefern die Leitlinien des Europäischen Datenschutzausschusses (EDSA), die die Behörde im Rahmen des Kohärenzverfahrens nach Art. 63 DSGVO anwendet. Ergänzend gilt das Bundesdatenschutzgesetz (BDSG), soweit es Öffnungsklauseln der DSGVO — etwa zum Beschäftigtendatenschutz nach § 26 BDSG — ausfüllt.

2. Zuständigkeit

3. Aktuelle Leitung

Albert Cohaus, seit 2014 im Amt (mehrfach wiedergewählt). Erfahrener Verwaltungsjurist, pragmatischer Ansatz, dialogorientiert.

4. Sanktionspraxis

Eher moderat: 5.000-30.000 € typisch. Höchste bekannte Sanktion: ca. 65.000 € gegen einen Online-Händler (2022) wegen unzulässiger Bonitätsprüfung.

5. Bekannte Verfahren

• Sparkasse Mitteldeutschland: Verwarnung wegen SCHUFA-Übermittlungen.
• Klinikum Magdeburg: Anordnung zur Verbesserung Patientendaten-IT.
• Online-Händler: 65.000 € wegen Art. 6 DSGVO.

6. Schwerpunkte 2026

• Intel-Halbleiterwerk Magdeburg (Datenschutzkonzept).
• Chemiepark Bitterfeld (Beschäftigte, Forschungsdaten).
• Kommunale Cybersicherheit (NIS2-relevant).
• Schulen und Microsoft 365.

7. Datenpannenmeldung

8. Beratung

Kostenlose Beratung, Workshops für kommunale DSB. Veröffentlichung von Hinweisen zu aktuellen Themen (KI, Cloud).

9. Beschwerden

Bearbeitungsdauer 3-9 Monate. Online-Formular oder Brief an Leiterstraße 9, Magdeburg.

10. Tätigkeitsbericht 2024

• 1.500 Beschwerden
• 700 Datenpannenmeldungen
• 6 Bußgeldverfahren
• 180.000 € Gesamtvolumen

11. Tool-Unterstützung

12. Tätigkeitsberichte 2022-2024 im Vergleich

Steigerungen bei Datenpannenmeldungen sind kein Indikator für sinkende Sicherheit, sondern für gestiegene Meldedisziplin nach Art. 33 DSGVO. Die Behörde wertet Trends jährlich aus und veröffentlicht den Tätigkeitsbericht im Frühjahr des Folgejahres.

13. Vergleich mit Nachbar-Ländern

14. Konkrete Sanktionsfälle (anonymisierte Auswertung)

Typische Verstöße in den letzten 24 Monaten:

15. Häufige Fehler in regionalen KMU

16. Best Practices

17. Internationale Datentransfers

Bei Drittlandstransfers nach Art. 44 ff. DSGVO sind seit Schrems II zwingend: SCC (Standard Contractual Clauses 2021/914), Transfer Impact Assessment (TIA) nach EDSA-Empfehlung 01/2020, dokumentierte zusätzliche Schutzmaßnahmen (Verschlüsselung, Pseudonymisierung). Das EU-US Data Privacy Framework (Adequacy 2023) reduziert Aufwand bei zertifizierten US-Anbietern, ersetzt aber nicht die TIA bei Sub-Prozessoren. Die Behörde prüft Stichproben bei Cloud-Nutzern und verlangt im Konfliktfall Vorlage des TIA.

18. Detailaspekte zur Aufsichtspraxis

Die Behörde nutzt ein dreistufiges Eskalationsmodell: (1) informelle Hinweise per E-Mail, (2) förmliche Anhörung mit Fristsetzung, (3) Bußgeldverfahren oder Anordnung. In 80 % der Fälle endet das Verfahren bereits in Stufe 1 oder 2. Mitwirkung wirkt sich strafmildernd aus — vollständige Unterlagen, schnelle Antwort, eigenständig nachgebesserte Defizite reduzieren das Bußgeld um typisch 30-50 %.

Bei wiederholten Verstößen oder grober Fahrlässigkeit greift die maximale Bußgeldhöhe nach Art. 83 Abs. 5 DSGVO (bis 20 Mio. € oder 4 % Konzernumsatz). Die EDSA-Leitlinie 4/2022 zur Bußgeldberechnung ist verbindliche Grundlage — Behörden weichen nur in begründeten Ausnahmefällen ab.

19. Kooperation mit anderen Behörden

Fazit

Klein, aber wachsend. Mit Intel-Ansiedlung dürfte der Aufsichtsdruck in Magdeburg deutlich steigen. Wer im Land verarbeitet, sollte den dialogorientierten Stil des LfD nutzen.

FAQ

Wer leitet die Aufsicht in Sachsen-Anhalt?

Albert Cohaus, seit 2014 im Amt, mehrfach vom Landtag wiedergewählt.

Welche Großprojekte stehen an?

Das geplante Intel-Halbleiterwerk Magdeburg wird einer der größten europäischen Datenschutzfälle werden — Aufsicht durch LfD ST.

Wo melde ich Datenpannen?

Online auf datenschutz.sachsen-anhalt.de oder per E-Mail an poststelle@lfd.sachsen-anhalt.de.

Welche Bußgeldhöhen sind üblich?

5.000-30.000 € typisch, höchste bekannte Sanktion 65.000 €.

Welche Branchen sind besonders relevant?

Chemie (Bitterfeld), Energie, künftig Halbleiter (Intel), Gesundheitswesen, kommunale Verwaltung.

Wie funktioniert die DSFA-Konsultation?

Wie hoch ist die durchschnittliche Bußgeldquote pro Beschwerde?

Bundesweit führen etwa 0,5-1,5 % der Beschwerden zu Bußgeldverfahren, weitere 5-10 % zu förmlichen Anordnungen oder Verwarnungen. Die meisten Fälle enden mit Beratung, Hinweis oder vereinfachtem Verfahren. Die genaue Quote schwankt stark je nach Behörde und Sanktionsphilosophie.

Welche Rolle spielt die Behörde bei NIS2?

Wie läuft ein Beschwerdeverfahren konkret ab?

Eingang der Beschwerde → formale Prüfung (Zuständigkeit, Begründetheit) → Aufforderung zur Stellungnahme an den Verantwortlichen (Frist 2-4 Wochen) → bei Bedarf Vor-Ort-Prüfung oder schriftliche Auskünfte → Anhörung → Entscheidung (Verwarnung, Anordnung, Bußgeld) → Rechtsweg über das Verwaltungsgericht. Beschwerdeführer werden nach Art. 77 DSGVO über das Ergebnis informiert.