Berliner Beauftragte für Datenschutz und Informationsfreiheit: Was Unternehmen 2026 wissen müssen

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) ist nach § 18 Berliner Datenschutzgesetz (BlnDSG) zuständige Aufsichtsbehörde für jede nicht-öffentliche Stelle mit Hauptsitz in Berlin sowie für sämtliche Landesbehörden. Seit Januar 2022 wird das Haus von Meike Kamp geleitet. Die BlnBDI gehört nach Auswertungen der DSK 2025 zu den aktivsten deutschen Aufsichtsbehörden, gemessen an Bußgeldverfahren je 100.000 Einwohner.

Wer in Berlin personenbezogene Daten verarbeitet, sollte die Zuständigkeit, die Meldewege und die aktuellen Prüfschwerpunkte exakt kennen. Dieser Leitfaden ordnet die Behörde rechtlich ein, beschreibt den 72-Stunden-Meldepfad nach Art. 33 DSGVO, fasst die Schwerpunkte 2026 zusammen und zeigt, wie ein bestellter Datenschutzbeauftragter die Korrespondenz mit der BlnBDI dokumentationsfest steuert. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen.

Die BlnBDI ist eine oberste Landesbehörde nach § 17 BlnDSG und nimmt die Aufgaben einer Aufsichtsbehörde im Sinne von Art. 51 DSGVO wahr. Sie ist weisungsfrei, dem Abgeordnetenhaus von Berlin gegenüber rechenschaftspflichtig und verfügt 2026 über rund 90 Vollzeitstellen sowie ein eigenes Haushaltsbudget.

Der gesetzliche Auftrag umfasst zwei Säulen: Datenschutz nach DSGVO und BlnDSG sowie Informationsfreiheit nach dem Berliner Informationsfreiheitsgesetz (IFG Bln). Die zweite Säule bedeutet, dass Bürgerinnen und Bürger einen Anspruch auf Zugang zu Akten öffentlicher Stellen haben, den die Behörde durchsetzt.

Im Datenschutzbereich übt die BlnBDI alle in Art. 58 DSGVO genannten Untersuchungs-, Abhilfe- und Genehmigungsbefugnisse aus. Sie kann Auskünfte verlangen, Verarbeitungsverbote aussprechen und Bußgelder bis 20 Mio. Euro oder 4 Prozent des weltweiten Konzernumsatzes verhängen.

Für grenzüberschreitende Verarbeitungen wirkt die BlnBDI im One-Stop-Shop-Verfahren nach Art. 56 DSGVO mit. Sie ist federführend, wenn die Hauptniederlassung in Berlin liegt, oder betroffene Behörde, wenn Berliner Bürgerinnen und Bürger betroffen sind. Diese Doppelrolle ist relevant für Konzerne mit deutscher Holding in Berlin.

Praktisch heißt das: Wer Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen sowie das Bestellurkundenpaket des Datenschutzbeauftragten nicht audit-fest dokumentiert, riskiert bei einer Anhörung erhebliche Folgekosten. CIVAC betreibt dafür eine Compliance-Plattform und Officer-as-a-Service, die Nachweise versioniert ablegt.

Die örtliche Zuständigkeit richtet sich nach dem Sitz der Hauptniederlassung im Sinne von Art. 4 Nr. 16 DSGVO. Liegt diese in Berlin, ist die BlnBDI auch dann zuständig, wenn das Unternehmen bundesweit oder international tätig ist. Maßgeblich ist nicht der Briefkasten, sondern der Ort der zentralen Verwaltungs- und Verarbeitungsentscheidungen.

Für Unternehmen ohne Niederlassung in der EU ist die BlnBDI dann zuständig, wenn der nach Art. 27 DSGVO benannte Vertreter seinen Sitz in Berlin hat. Diese Konstellation betrifft viele US- und UK-Anbieter, die Berliner Kanzleien als Article-27-Representative beauftragen.

Öffentliche Stellen des Landes Berlin unterliegen ausschließlich der BlnBDI, auch wenn sie Verarbeitungen außerhalb Berlins durchführen. Das gilt für Senatsverwaltungen, Bezirksämter, landeseigene Unternehmen wie BVG oder Vivantes und für Hochschulen wie HU, FU und TU Berlin.

Bei Konzernstrukturen mit mehreren deutschen Standorten wird die federführende Behörde nach Art. 56 DSGVO bestimmt. Ein gemeinsamer Verantwortlicher mit Berliner Hauptverwaltung wird typischerweise von der BlnBDI als lead supervisory authority betreut, während die anderen Landesbehörden als betroffene Aufsichtsbehörden hinzugezogen werden.

Unsicher über die Zuständigkeit? Ein externer Datenschutzbeauftragter klärt den Hauptniederlassungs-Status anhand der Konzernrichtlinien, Handelsregistereintragungen und tatsächlichen Entscheidungswege. Die Bestellurkunde, unterschrieben, abgelegt, belegbar, ist die erste Frage jeder Aufsichtsbehörde.

Nach Art. 33 Abs. 1 DSGVO sind Datenschutzverletzungen unverzüglich, möglichst binnen 72 Stunden ab Kenntnis, an die zuständige Aufsichtsbehörde zu melden. Frist läuft ab Kenntnis, nicht ab Eintritt des Vorfalls. Die BlnBDI bietet hierfür ein strukturiertes Onlineformular sowie einen verschlüsselten E-Mail-Kanal über mailbox@datenschutz-berlin.de an.

Die Meldung muss mindestens vier Angaben enthalten: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, voraussichtliche Folgen sowie ergriffene oder vorgeschlagene Abhilfemaßnahmen. Fehlen Angaben, ist eine schrittweise Meldung in Tranchen nach Art. 33 Abs. 4 DSGVO zulässig.

Die BlnBDI bestätigt den Eingang automatisiert mit einer Vorgangsnummer. Diese Nummer ist Teil des Nachweises und gehört in das Datenpannen-Register des Verantwortlichen. Wer die Meldung nur per Telefon abgibt, verliert den dokumentationsfesten Eingangsbeleg.

Bei voraussichtlich hohem Risiko für die Rechte und Freiheiten betroffener Personen ist parallel eine Benachrichtigung nach Art. 34 DSGVO an die Betroffenen erforderlich. Die BlnBDI prüft regelmäßig, ob die Risikoeinstufung nachvollziehbar begründet wurde.

CIVAC hinterlegt im Workspace 490 einsatzbereite Audit-Vorlagen, darunter Meldeformulare, Eskalationsmatrix und Benachrichtigungstemplates nach Art. 34 DSGVO. Der Prüfer ruft an, der Nachweis liegt bereit. Versäumte 72h-Fristen sind nach Bußgeldzumessungs-Leitlinien der DSK erschwerend und ziehen regelmäßig Verfahren nach Art. 83 DSGVO nach sich.

Die BlnBDI veröffentlicht jährlich Tätigkeitsberichte und Schwerpunktthemen. Für 2026 sind drei Bereiche im Fokus: Trackingtechnologien auf Webseiten und in Apps, Beschäftigtendatenschutz in hybriden Arbeitsmodellen sowie der Einsatz generativer KI-Systeme nach Inkrafttreten der ersten Geltungsstufen des EU AI Act.

Bei Trackingtechnologien prüft die Behörde insbesondere die Wirksamkeit der Einwilligung nach § 25 TDDDG sowie das Vorhandensein einer Ablehnoption auf erster Ebene des Cookie-Banners. Die BlnBDI hat 2025 mehrere Berliner Medienhäuser und SaaS-Anbieter wegen Dark Patterns angeschrieben.

Im Beschäftigtendatenschutz stehen Überwachung von Mitarbeitenden im Homeoffice, der Einsatz von Microsoft 365 mit US-Datenflüssen und der Umgang mit Bewerberdaten im Mittelpunkt. § 26 BDSG und der DSK-Beschluss zu Microsoft 365 vom November 2022 bilden den Prüfmaßstab.

Beim KI-Einsatz fragt die BlnBDI nach Art. 35 DSGVO Datenschutz-Folgenabschätzungen, dokumentierten Rechtsgrundlagen und vertraglichen Regelungen mit US-LLM-Anbietern. Konzernweite Tools wie ChatGPT Enterprise oder Microsoft Copilot werden 2026 verstärkt anlassbezogen geprüft.

Wer hier proaktiv agiert, lässt das Verarbeitungsverzeichnis, die DSFA-Bibliothek und die Auftragsverarbeitungsverträge durch die externe Datenschutzbeauftragte spiegeln. So entstehen keine Lücken zwischen Marketing-Tooling, IT-Inventar und Datenschutz-Dokumentation.

Das Berliner Informationsfreiheitsgesetz (IFG Bln) gewährt jedem Menschen einen Anspruch auf Akteneinsicht bei öffentlichen Stellen des Landes Berlin. Anträge können formlos gestellt werden. Die Behörde muss innerhalb von zwei Wochen entscheiden, in komplexen Fällen verlängert sich die Frist auf einen Monat.

Die BlnBDI ist nach § 18 IFG Bln Beschwerdestelle. Bürgerinnen und Bürger können sich an die Behörde wenden, wenn ein Antrag abgelehnt oder nicht fristgerecht beschieden wurde. Die BlnBDI fordert dann Stellungnahmen ein und kann Empfehlungen an die ablehnende Stelle aussprechen.

Für öffentliche Verantwortliche bedeutet das: Aktenführung muss so organisiert sein, dass Auskunfts- und Einsichtsanfragen innerhalb der gesetzlichen Frist beantwortbar sind. Vertrauliche Bestandteile, etwa personenbezogene Daten Dritter oder Betriebs- und Geschäftsgeheimnisse, sind nach § 6 IFG Bln zu schwärzen.

Private Unternehmen sind vom IFG Bln nicht unmittelbar betroffen. Allerdings können öffentliche Auftraggeber sie nach Vertragsabschluss verpflichten, Vergabeunterlagen offenzulegen. Konflikte mit Geschäftsgeheimnissen werden über das Anhörungsverfahren nach § 14 IFG Bln gelöst.

Wer als landeseigenes Unternehmen oder öffentlich-rechtliche Anstalt agiert, sollte IFG-Verfahren und Datenschutzanfragen in einem einheitlichen Antragsregister bündeln. CIVAC bietet hierfür im Workspace eine kombinierte Anfragenverwaltung mit Fristen-Tracking und Schwärzungs-Workflow an.

Die BlnBDI hat seit Inkrafttreten der DSGVO im Mai 2018 mehrere Bußgelder in zweistelliger Millionenhöhe verhängt. Bekannt ist der 14,5-Mio.-Euro-Bescheid gegen die Deutsche Wohnen SE aus dem Jahr 2019, der nach mehrjährigem Verfahren 2023 im Wesentlichen bestätigt wurde.

Die durchschnittliche Bußgeldhöhe bei mittelständischen Verantwortlichen liegt nach Auswertung öffentlich bekannter Verfahren bei 50.000 bis 250.000 Euro. Maßgeblich für die Zumessung sind Art, Schwere, Dauer und Vorsatz der Verletzung sowie die Kooperationsbereitschaft im Verfahren.

Nach den DSK-Bußgeldleitlinien vom Oktober 2022 wird zunächst ein Grundbetrag anhand des Konzernumsatzes ermittelt. Faktoren wie Schwere des Verstoßes und Verschuldensgrad multiplizieren diesen Grundbetrag. Erschwerend wirken verspätete Meldungen, fehlende DSFA und unvollständige Verfahrensverzeichnisse.

Mildernd berücksichtigt die BlnBDI nachweislich umgesetzte Schulungen, einen bestellten und gemeldeten Datenschutzbeauftragten, ein funktionierendes ISMS sowie zeitnahe Mitwirkung im Verfahren. Diese Faktoren senken den Multiplikator messbar und können den Endbetrag halbieren.

Konkret heißt das: Wer Audit-Vorlagen, Schulungsnachweise und Meldedokumentation lückenlos vorlegt, reduziert die Bußgeldhöhe signifikant. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. CIVAC sichert in der Berichtslinie genau die Belege, die im Anhörungsverfahren entscheidend sind.

Die Korrespondenz beginnt typischerweise mit einer Eingangsbestätigung und einer ersten Stellungnahmeaufforderung nach § 28 VwVfG. Die BlnBDI setzt regelmäßig Fristen von vier Wochen, in komplexen Fällen sechs Wochen. Fristverlängerungen werden auf begründeten Antrag meist gewährt.

Inhaltlich erwartet die Behörde dokumentenbasierte Antworten: Verarbeitungsverzeichnis, betroffene Verträge, technische und organisatorische Maßnahmen, gegebenenfalls DSFA und Schulungsnachweise. Pauschale Beteuerungen ohne Belege werden in Folgeschreiben zurückgewiesen und verlängern das Verfahren.

Anwaltliche Vertretung ist nicht zwingend, aber bei Bußgeldverfahren empfehlenswert. Der bestellte Datenschutzbeauftragte koordiniert die fachliche Aufarbeitung, die Rechtsanwaltskanzlei führt die verfahrensrechtliche Verteidigung. Diese Arbeitsteilung verkürzt nach unserer Erfahrung die Verfahrensdauer um 30 bis 50 Prozent.

Schweigen ist in keinem Stadium des Verfahrens eine Option. Nach § 30 OWiG kann die BlnBDI bei fehlender Mitwirkung Zwangsgelder festsetzen und im Bußgeldverfahren das Schweigen als erschwerend werten. Auch unsachliche oder polemische Schriftsätze schaden der Position.

Wer den Workspace lizenziert oder unsere Beauftragten bestellt, erhält eine strukturierte Vorlagenbibliothek für jede Verfahrensphase. Für die Aufsichtskommunikation gilt: Audit-fest, dokumentiert, § 33-fest. Jede gesendete Stellungnahme liegt versioniert mit Zustellnachweis im CIVAC-Workspace.

Die BlnBDI bietet nach Art. 57 Abs. 1 lit. d DSGVO Beratung an. Verantwortliche können vor Einführung neuer Verarbeitungen Stellungnahmen zu Rechtsgrundlagen, Datenflüssen oder Drittlandsübermittlungen einholen. Solche vorgelagerten Beratungen sind kostenfrei und werden meist binnen acht bis zwölf Wochen beantwortet.

Vorabkonsultationen nach Art. 36 DSGVO sind bei hohem Restrisiko nach einer DSFA verpflichtend. Die BlnBDI prüft dann die geplante Verarbeitung und kann Auflagen oder Verbote aussprechen. Eine Vorabkonsultation dauert in der Regel zehn bis sechzehn Wochen.

Bei Verhaltensregeln nach Art. 40 DSGVO und Zertifizierungen nach Art. 42 DSGVO ist die BlnBDI Genehmigungs- oder Akkreditierungsstelle. Für Berliner Verbände und Branchenvereinigungen ist das ein Weg, branchenspezifische Standards rechtssicher zu verankern.

Der Tätigkeitsbericht der BlnBDI ist jährliche Pflichtlektüre. Er enthält Fallzahlen, Verfahrenstypen und Auslegungen, die in Anhörungen als Maßstab herangezogen werden. CIVAC wertet den Bericht aus und stellt die relevanten Passagen den Mandanten als Briefing zur Verfügung.

Praktisch bedeutet das: Wer früh mit der BlnBDI kommuniziert, vermeidet späte Eskalationen. Compliance-Plattform und Officer-as-a-Service ergänzen sich hier ideal, denn der externe Datenschutzbeauftragte führt die Behördenkorrespondenz inhaltlich, während der Workspace die Belege strukturiert speichert.

CIVAC arbeitet als Compliance-Plattform und Officer-as-a-Service. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Beide Modelle nutzen denselben Datenstandard, dieselben 490 Audit-Vorlagen und dieselbe EU-Datenresidenz. Die Bestellurkunde, unterschrieben, abgelegt, belegbar, ist binnen 2 Werktagen erstellt.

Für die Korrespondenz mit der BlnBDI relevante Module: Verarbeitungsverzeichnis nach Art. 30 DSGVO, DSFA-Bibliothek nach Art. 35 DSGVO, Datenpannenregister mit 72h-Eskalation, Auftragsverarbeitungsverträge nach Art. 28 DSGVO, Schulungsmodul mit Teilnehmerprotokoll und revisionssicherem Audit-Trail.

Unsere bestellten Datenschutzbeauftragten betreuen aktuell rund 200 Mandanten in Berlin, Brandenburg und bundesweit. Sie kennen die Eskalationsroutinen der BlnBDI, die typischen Stellungnahme-Muster und die Sachbearbeiter-Strukturen. Die durchschnittliche Verfahrensdauer reduziert sich messbar.

Im Workspace werden alle Schreiben, Eingangsbestätigungen und Beweismittel versioniert abgelegt. Die Berichtslinie an die Geschäftsleitung wird automatisch geführt. Jeder Vorgang ist auf Knopfdruck als PDF-Akte exportierbar, etwa für die interne Revision oder den Aufsichtsrat.

Aus dem Lesen einen Auftrag machen. Wenn Sie Ihre Behördenkorrespondenz mit der BlnBDI auf eine audit-feste Grundlage stellen möchten, schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Wir antworten innerhalb von 2 Werktagen mit einer Erstanalyse und einem Vorschlag zum Modell.