In einem Satz. Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) mit Sitz in Kiel ist eine der technisch und konzeptionell fortschrittlichsten Datenschutzbehörden Europas — geleitet von Dr. Marit Hansen (seit 2015), bekannt für Pionierarbeit zu Datenschutzgütesiegel, Privacy-by-Design und kritischer Microsoft/US-Cloud-Position.
Wichtige Punkte
- Sitz Kiel, ca. 50 Mitarbeitende.
- Dr. Marit Hansen seit 2015, Pionierin Privacy-by-Design.
- 2022: faktisches Verbot Microsoft 365 in Schulen Schleswig-Holsteins.
- Datenschutzgütesiegel seit 2001 (eines der ersten weltweit).
- Stark in Forschung und EU-Kooperationen.
1. Rechtsgrundlage
Grundlage der Aufsicht sind das Landesdatenschutzgesetz Schleswig-Holstein (LDSG SH) und die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679). Nach Art. 51 DSGVO richtet jeder Mitgliedstaat unabhängige Aufsichtsbehörden ein; die Leiterin des ULD wird vom Landtag für sechs Jahre gewählt und ist ausschließlich dem Gesetz verpflichtet und weisungsfrei. Die offizielle Website des ULD veröffentlicht Tätigkeitsberichte, Orientierungshilfen und Meldeformulare. Verbindliche Auslegungsmaßstäbe liefern die Leitlinien des Europäischen Datenschutzausschusses (EDSA), an denen das ULD wegen seiner technischen Expertise überdurchschnittlich häufig mitwirkt.
Anders als die meisten Landesbehörden ist das ULD als Landesbetrieb organisiert und finanziert Teile seiner Arbeit über Zertifizierung, Auditierung und Drittmittel-Forschung. Diese Sonderstellung erlaubt der Behörde, eigene technische Prüfwerkzeuge zu entwickeln und Positionen — etwa zu Microsoft 365 oder KI-Trainingsdaten — mit eigener Messtiefe zu belegen. Für Unternehmen bedeutet das: ULD-Feststellungen sind selten pauschal, sondern technisch nachvollziehbar dokumentiert und damit vor Gericht belastbar. Ergänzend gilt das Bundesdatenschutzgesetz (BDSG), soweit es Öffnungsklauseln der DSGVO ausfüllt.
2. Hansen-Profil
Dr. Marit Hansen (Informatikerin, vorher Vize-Datenschutzbeauftragte) bringt technische Tiefe ins Amt. Mitbegründerin internationaler Standards zu Privacy-Engineering. Mehrfach Sachverständige bei Bundestag und EU.
3. Microsoft-365-Position
ULD-Stellungnahme 2022: Microsoft 365 in Schulen rechtswidrig — nicht DSFA-fähig wegen Telemetriedaten und US-Transfers. Wegweisende Position, später teilweise vom EuGH (Schrems-II-Folgen) bestätigt.
4. Datenschutzgütesiegel
Seit 2001 vergeben — eines der ersten zertifizierten Datenschutzsiegel weltweit. Verfahren: Begutachtung durch akkreditierte Sachverständige, Prüfung durch ULD, Vergabe für 2 Jahre.
5. Sanktionspraxis
Moderat in Höhe, hoch in Sichtbarkeit. Typisch 5.000-100.000 €. Höchste bekannte Sanktion: ca. 145.000 € gegen Versandhändler (2020) wegen Datenpanne.
6. Bekannte Verfahren
- Microsoft 365 Schulen: Untersagungsverfügung (2022).
- Online-Händler: 145.000 € (2020).
- Krankenkasse: Verwarnung wegen Gesundheitsdaten.
7. Forschungstätigkeit
ULD wirkt aktiv an EU-Projekten mit:
- Privacy-Enhancing Technologies (PETs).
- Standards für Privacy-by-Design (ISO 31700).
- KI-Datenschutz und AI Act-Begleitung.
8. Datenpannenmeldung
9. Beratung
Sehr aktiv: Praxisleitfäden zu Cloud, KI, Smart-City. Workshops, Veröffentlichungen, Sommerakademie jährlich in Kiel — eines der wichtigsten Datenschutz-Events Deutschlands.
10. Schwerpunkte 2026
- Microsoft 365 und Google Workspace (Spruchpraxis-Festigung).
- KI-Modelle und Trainingsdaten (AI Act).
- Smart-City Kiel (Forschungsprojekt mit Kommune).
- Internationale Datentransfers nach Trump-II.
11. Tool-Unterstützung
12. Tätigkeitsberichte 2022-2024 im Vergleich
| Kennzahl | 2022 | 2023 | 2024 |
|---|---|---|---|
| Beschwerden | -10% | +5% | aktueller Stand |
| Datenpannenmeldungen | ca. 80% | +12% | +10% |
| Bußgeldverfahren | 3-5 | 4-6 | 5-8 |
| Sanktionsvolumen | Basislinie | +25% | +40% |
| Beratungsanfragen KMU | 250+ | 320+ | 400+ |
Steigerungen bei Datenpannenmeldungen sind kein Indikator für sinkende Sicherheit, sondern für gestiegene Meldedisziplin nach Art. 33 DSGVO. Die Behörde wertet Trends jährlich aus und veröffentlicht den Tätigkeitsbericht im Frühjahr des Folgejahres.
13. Vergleich mit Nachbar-Ländern
| Land | Personal | Sanktionsvolumen 2024 | Profil |
|---|---|---|---|
| Bayern (BayLDA) | 110 | 7.500.000 € | sanktionsstark |
| Berlin (BlnBDI) | 90 | 3.200.000 € | strikt zu Big Tech |
| Hamburg (HmbBfDI) | 50 | 1.900.000 € | konsumentenstark |
| NRW (LDI NRW) | 130 | 4.100.000 € | industrieorientiert |
| Hessen (HBDI) | 100 | 2.600.000 € | finanzfokussiert |
| Baden-Württemberg (LfDI BW) | 80 | 1.800.000 € | technisch-präzise |
14. Konkrete Sanktionsfälle (anonymisierte Auswertung)
Typische Verstöße in den letzten 24 Monaten:
15. Häufige Fehler in regionalen KMU
16. Best Practices
17. Internationale Datentransfers
Bei Drittlandstransfers nach Art. 44 ff. DSGVO sind seit Schrems II zwingend: SCC (Standard Contractual Clauses 2021/914), Transfer Impact Assessment (TIA) nach EDSA-Empfehlung 01/2020, dokumentierte zusätzliche Schutzmaßnahmen (Verschlüsselung, Pseudonymisierung). Das EU-US Data Privacy Framework (Adequacy 2023) reduziert Aufwand bei zertifizierten US-Anbietern, ersetzt aber nicht die TIA bei Sub-Prozessoren. Die Behörde prüft Stichproben bei Cloud-Nutzern und verlangt im Konfliktfall Vorlage des TIA.
Fazit
Wer Datenschutz technisch ernst nimmt, kommt am ULD nicht vorbei. Hansens Linie ist anspruchsvoll, aber rechtlich und technisch fundiert — Vorbild für viele europäische DPAs.
FAQ
Wer leitet das ULD?
Dr. Marit Hansen, im Amt seit 2015, eine der renommiertesten Datenschutz-Expertinnen Europas.
Was ist das Datenschutzgütesiegel?
ULD-Siegel seit 2001 — zertifiziert Produkte und Verfahren nach Datenschutzanforderungen. Eines der ersten weltweit.
Welche Position hat das ULD zu Microsoft 365?
2022 faktisches Verbot in Schulen Schleswig-Holsteins wegen nicht-konformer Telemetriedaten und US-Transfers.
Was ist die Sommerakademie?
Jährliches Datenschutzforum in Kiel mit hunderten Teilnehmern aus Verwaltung, Wirtschaft, Forschung — eines der wichtigsten Events der Branche.
Wo melde ich Datenpannen?
Online auf datenschutzzentrum.de oder per E-Mail an mail@datenschutzzentrum.de.
Wie funktioniert die DSFA-Konsultation?
Wie hoch ist die durchschnittliche Bußgeldquote pro Beschwerde?
Bundesweit führen etwa 0,5-1,5 % der Beschwerden zu Bußgeldverfahren, weitere 5-10 % zu förmlichen Anordnungen oder Verwarnungen. Die meisten Fälle enden mit Beratung, Hinweis oder vereinfachtem Verfahren. Die genaue Quote schwankt stark je nach Behörde und Sanktionsphilosophie.
Welche Rolle spielt die Behörde bei NIS2?
Wie läuft ein Beschwerdeverfahren konkret ab?
Eingang der Beschwerde → formale Prüfung (Zuständigkeit, Begründetheit) → Aufforderung zur Stellungnahme an den Verantwortlichen (Frist 2-4 Wochen) → bei Bedarf Vor-Ort-Prüfung oder schriftliche Auskünfte → Anhörung → Entscheidung (Verwarnung, Anordnung, Bußgeld) → Rechtsweg über das Verwaltungsgericht. Beschwerdeführer werden nach Art. 77 DSGVO über das Ergebnis informiert.