In einem Satz. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI RLP) überwacht den nicht-öffentlichen und öffentlichen Bereich in einem der mittelgroßen Bundesländer — geleitet seit 2015 von Prof. Dr. Dieter Kugelmann, der als Hochschullehrer eine sachlich-juristische Linie prägt.
Wichtige Punkte
- Sitz Mainz, ca. 45 Mitarbeitende.
- Prof. Kugelmann seit 2015, einer der dienstältesten Landesdatenschutzbeauftragten.
- Aufsicht über BASF, Boehringer, südwestdeutschen Mittelstand.
- Jährlich ca. 2.800 Beschwerden, 1.400 Datenpannenmeldungen.
- Schwerpunkte: Chemie, Pharma, Weinwirtschaft, Schulen.
1. Rechtsgrundlage
Grundlage der Aufsicht sind das Landesdatenschutzgesetz Rheinland-Pfalz (LDSG) und die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679). Nach Art. 51 DSGVO richtet jeder Mitgliedstaat unabhängige Aufsichtsbehörden ein; der LfDI RLP wird — abweichend von der sonst üblichen sechsjährigen Amtszeit — vom Landtag für acht Jahre gewählt und ist ausschließlich dem Gesetz verpflichtet und weisungsfrei. Die offizielle Website des LfDI RLP veröffentlicht Tätigkeitsberichte, Praxishilfen und Meldeformulare. Verbindliche Auslegungsmaßstäbe liefern die Leitlinien des Europäischen Datenschutzausschusses (EDSA), die der LfDI im Rahmen des Kohärenzverfahrens nach Art. 63 DSGVO anwendet.
Die längere Amtszeit verschafft der Behörde eine hohe personelle Kontinuität — Prof. Kugelmann prägt die rheinland-pfälzische Spruchpraxis seit 2015 und hat in zahlreichen ausführlichen Stellungnahmen Maßstäbe zur Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO und zu technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO gesetzt. Für Verantwortliche in Rheinland-Pfalz lohnt daher der Blick in die veröffentlichten Tätigkeitsberichte, bevor riskante Verarbeitungen gestartet werden. Ergänzend gilt das Bundesdatenschutzgesetz (BDSG), soweit es Öffnungsklauseln der DSGVO — etwa zum Beschäftigtendatenschutz nach § 26 BDSG — ausfüllt.
2. Zuständigkeit
| Bereich | Beispiel | Aufsicht |
|---|---|---|
| Privatunternehmen RLP | BASF, Boehringer | LfDI RLP |
| Öffentliche Stellen Land | Landesministerien | LfDI RLP |
| Kommunen | Mainz, Koblenz | LfDI RLP |
| Bundesbehörden | Bundeswehr-Standorte | BfDI |
3. Kugelmann-Profil
Prof. Kugelmann (Universität Speyer) bringt akademische Tiefe ins Amt. Bekannt für ausführliche Stellungnahmen zu DSGVO-Auslegungsfragen, z.B. zu Art. 6 Abs. 1 lit. f (berechtigtes Interesse) und Art. 32 (Sicherheit).
4. Sanktionspraxis
Vergleichsweise zurückhaltend bei Bußgeldhöhen. Typische Sanktionen 5.000-100.000 €. Höchste bekannte Sanktion: ca. 1,2 Mio. € gegen ein Klinikum 2020 wegen Patientendaten-Verstößen.
5. Bekannte Verfahren
- Klinikum RLP: 1,2 Mio. € (2020) wegen technisch-organisatorischer Mängel.
- Winzergenossenschaft: Verwarnung wegen Kundendaten-Weitergabe.
- Schule: Anordnung gegen Microsoft 365 ohne DSFA.
6. Schwerpunkte 2026
- Pharma- und Chemiebranche (Gesundheitsdaten, Forschung).
- KI-Einsatz in Verwaltung und Schulen.
- Weinwirtschaft und Direktvermarktung.
- Smart-Home und IoT (regional zunehmend).
7. Datenpannenmeldung
8. Beratung
Schriftliche Anfragen, kostenfreie Workshops für KMU und öffentliche Stellen. Veröffentlichung von “Praxishilfen” mit konkreten Mustern und Checklisten.
9. Beschwerden Betroffener
Bearbeitungsdauer typisch 3-8 Monate. Online-Beschwerdeformular oder Brief an Hintere Bleiche 34, Mainz.
10. Tätigkeitsbericht 2024
- 2.800 Beschwerden
- 1.400 Datenpannenmeldungen
- 12 Bußgeldverfahren
- Schwerpunkt Beschäftigtendatenschutz und Gesundheit
11. Tool-Unterstützung
12. Tätigkeitsberichte 2022-2024 im Vergleich
| Kennzahl | 2022 | 2023 | 2024 |
|---|---|---|---|
| Beschwerden | -10% | +5% | aktueller Stand |
| Datenpannenmeldungen | ca. 80% | +12% | +10% |
| Bußgeldverfahren | 3-5 | 4-6 | 5-8 |
| Sanktionsvolumen | Basislinie | +25% | +40% |
| Beratungsanfragen KMU | 250+ | 320+ | 400+ |
Steigerungen bei Datenpannenmeldungen sind kein Indikator für sinkende Sicherheit, sondern für gestiegene Meldedisziplin nach Art. 33 DSGVO. Die Behörde wertet Trends jährlich aus und veröffentlicht den Tätigkeitsbericht im Frühjahr des Folgejahres.
13. Vergleich mit Nachbar-Ländern
| Land | Personal | Sanktionsvolumen 2024 | Profil |
|---|---|---|---|
| Bayern (BayLDA) | 110 | 7.500.000 € | sanktionsstark |
| Berlin (BlnBDI) | 90 | 3.200.000 € | strikt zu Big Tech |
| Hamburg (HmbBfDI) | 50 | 1.900.000 € | konsumentenstark |
| NRW (LDI NRW) | 130 | 4.100.000 € | industrieorientiert |
| Hessen (HBDI) | 100 | 2.600.000 € | finanzfokussiert |
| Baden-Württemberg (LfDI BW) | 80 | 1.800.000 € | technisch-präzise |
14. Konkrete Sanktionsfälle (anonymisierte Auswertung)
Typische Verstöße in den letzten 24 Monaten:
15. Häufige Fehler in regionalen KMU
16. Best Practices
17. Internationale Datentransfers
Bei Drittlandstransfers nach Art. 44 ff. DSGVO sind seit Schrems II zwingend: SCC (Standard Contractual Clauses 2021/914), Transfer Impact Assessment (TIA) nach EDSA-Empfehlung 01/2020, dokumentierte zusätzliche Schutzmaßnahmen (Verschlüsselung, Pseudonymisierung). Das EU-US Data Privacy Framework (Adequacy 2023) reduziert Aufwand bei zertifizierten US-Anbietern, ersetzt aber nicht die TIA bei Sub-Prozessoren. Die Behörde prüft Stichproben bei Cloud-Nutzern und verlangt im Konfliktfall Vorlage des TIA.
Fazit
Der LfDI RLP ist sachlich, beratungsstark und vergleichsweise moderat bei Bußgeldern — aber konsequent bei systematischen Verstößen. Wer Gesundheits- oder Forschungsdaten verarbeitet, sollte die Spruchpraxis kennen.
FAQ
Wer leitet den LfDI Rheinland-Pfalz?
Prof. Dr. Dieter Kugelmann, im Amt seit 2015, einer der dienstältesten deutschen Landesdatenschutzbeauftragten.
Wie hoch war die höchste RLP-Sanktion?
Ca. 1,2 Mio. € gegen ein Klinikum 2020 wegen massiver Mängel bei Patientendatensicherheit.
Wo melde ich Datenpannen?
Online auf datenschutz.rlp.de oder per E-Mail an poststelle@datenschutz.rlp.de.
Welche Branchen prüft der LfDI bevorzugt?
Chemie, Pharma, Gesundheitswesen, Schulen und Mittelstand mit grenzüberschreitendem Geschäft.
Wie schnell wird eine Beschwerde bearbeitet?
3-8 Monate je nach Komplexität. Bei dringenden Anliegen Eilanträge möglich.
Wie funktioniert die DSFA-Konsultation?
Wie hoch ist die durchschnittliche Bußgeldquote pro Beschwerde?
Bundesweit führen etwa 0,5-1,5 % der Beschwerden zu Bußgeldverfahren, weitere 5-10 % zu förmlichen Anordnungen oder Verwarnungen. Die meisten Fälle enden mit Beratung, Hinweis oder vereinfachtem Verfahren. Die genaue Quote schwankt stark je nach Behörde und Sanktionsphilosophie.
Welche Rolle spielt die Behörde bei NIS2?
Wie läuft ein Beschwerdeverfahren konkret ab?
Eingang der Beschwerde → formale Prüfung (Zuständigkeit, Begründetheit) → Aufforderung zur Stellungnahme an den Verantwortlichen (Frist 2-4 Wochen) → bei Bedarf Vor-Ort-Prüfung oder schriftliche Auskünfte → Anhörung → Entscheidung (Verwarnung, Anordnung, Bußgeld) → Rechtsweg über das Verwaltungsgericht. Beschwerdeführer werden nach Art. 77 DSGVO über das Ergebnis informiert.