Datenschutzbericht 2025: Beschwerden, KI-Pannen und hohe Bußgelder

Die irische Datenschutzbehörde verzeichnet 2025 deutlich mehr Fälle, Beschwerden und grenzüberschreitende Verfahren. Der DPC Jahresbericht zeigt zugleich, wie häufig einfache Prozessfehler hinter Datenschutzverletzungen stehen – und warum unkontrollierte KI-Nutzung zum neuen Betriebsrisiko wird.

DPC Jahresbericht: Fallzahlen steigen schneller als Abschlüsse

Der DPC Jahresbericht weist für 2025 insgesamt 16.160 neu eingegangene Fälle aus. Das waren 45 Prozent mehr als 2024. Allerdings sollte diese Zahl nicht mit formellen Beschwerden gleichgesetzt werden. Die Behörde zählt auch Kontakte als Fälle, bei denen nach einer ersten Anfrage weiterer Austausch nötig ist, etwa für Beratung oder Orientierung.

Abgeschlossen wurden 11.734 Fälle, zwölf Prozent mehr als im Vorjahr. Die Zahl der Eingänge wuchs damit stärker als die Zahl der Abschlüsse, was auf zusätzlichen Bearbeitungsdruck hindeutet. 2.569 Fälle wurden über das Beschwerdeverfahren abgeschlossen, 208 grenzüberschreitende Beschwerden erledigt. Bei Ermittlungen zu elektronischer Direktwerbung meldet die DPC 275 abgeschlossene Verfahren, 88 Prozent mehr als 2024.

Zu den zentralen Anfragen gehörten ausbleibende Antworten auf Auskunftsersuchen nach Artikel 15 DSGVO, die Verarbeitung personenbezogener Daten, Social-Media-Konten und private Videoüberwachung. Das ist wenig spektakulär, aber praktisch relevant: Viele Datenschutzkonflikte entstehen nicht an der Grenze neuer Technologie, sondern dort, wo Unternehmen Anfragen verspätet, unvollständig oder gar nicht bearbeiten.

Datenschutzverletzungen bleiben häufig banal

Im DPC Jahresbericht stehen 6.521 Meldungen zu Datenschutzverletzungen. Etwa die Hälfte entstand, weil Briefe oder elektronische Nachrichten an den falschen Empfänger gesendet wurden. Der teure Teil der Datenschutzaufsicht ist sichtbar, der alltägliche Kontrollverlust bleibt dagegen prosaisch: eine falsche Adresse, ein unzureichender Verteiler oder fehlende Prüfungen vor dem Versand.

Für Unternehmen ergibt sich daraus eine nüchterne Priorität. Verschlüsselung, Angriffserkennung und komplexe Sicherheitsarchitekturen sind wichtig. Sie ersetzen aber keine verlässlichen Stammdaten, Vier-Augen-Prüfungen bei sensiblen Sendungen und klar definierten Zugriffsrechte. Wer nur auf Cyberangriffe schaut, übersieht einen erheblichen Teil des tatsächlichen Risikos.

DPC Jahresbericht rückt KI-Risiken in den Arbeitsalltag

Besonders anschaulich wird das Problem in den veröffentlichten Fallstudien. In einem Unternehmen aus dem Finanzsektor lud ein Mitarbeiter 32 Lebensläufe in ein kostenloses externes KI-Werkzeug hoch. Die Dokumente enthielten unter anderem Namen, Adressen, berufliche Stationen, Referenzen, Pass- und Visadaten sowie Fotos. Eine Vereinbarung zur Auftragsverarbeitung bestand nicht; zudem fehlten interne Regeln für den Einsatz frei verfügbarer KI-Dienste.

Das Unternehmen bemerkte den Vorgang über ein System zur Verhinderung von Datenabfluss und meldete die Verletzung. Der Fall zeigt, dass Effizienzversprechen schnell zur Ausrede für Kontrollverlust werden können. Entscheidend ist nicht, ob ein KI-Dienst kostenlos oder bequem ist, sondern ob Rechtsgrundlage, Zweck, Datenminimierung, Vertragslage und technische Kontrolle geklärt sind.

Auch auf der Seite der Betroffenen beobachtete die DPC mehr KI-Nutzung. Automatisch erstellte Auskunftsersuchen und Beschwerden können zwar sprachlich sauber wirken, laut Behörde aber ungenaue oder ungültige Angaben enthalten. Das kann die Bearbeitung erschweren und am Ende gerade jene Rechte ausbremsen, die das Schreiben durchsetzen soll.

Bußgelder konzentrieren sich auf einen Großfall

Der DPC Jahresbericht [PDF] nennt Verwaltungsbußgelder von insgesamt 530,773 Millionen Euro. Davon entfielen 530 Millionen Euro auf TikTok im Zusammenhang mit der Übermittlung personenbezogener Daten von Nutzern aus EU und EWR nach China. Die Jahressumme wirkt daher breit, ist faktisch aber nahezu vollständig von einem Verfahren geprägt.

Daneben schloss die Behörde vier groß angelegte Untersuchungen ab, erließ zehn endgültige und 92 vorläufige Entscheidungen. Neue Untersuchungen betrafen unter anderem die Nutzung von EU- und EWR-Nutzerdaten zum Training generativer KI durch X, weitere Datentransfers von TikTok nach China sowie die Sicherheit von Gesundheitsakten von Kindern.

Was Unternehmen aus dem DPC Jahresbericht ableiten sollten

Der Bericht liefert keine neue Generalklausel für Datenschutz, sondern eine Reihe wiederkehrender Schwachstellen. Unternehmen benötigen belastbare Prozesse für Auskunfts- und Löschersuchen, klare Regeln für externe KI-Werkzeuge, überprüfte Empfängerdaten und nachvollziehbare Zuständigkeiten. Schulungen allein genügen nicht, wenn Systeme Fehlversand zulassen oder Verantwortlichkeiten im Tagesgeschäft verschwimmen.

Für Händler, Plattformen und Dienstleister ist besonders relevant, dass Datenschutzrisiken selten isoliert bleiben. Ein fehlerhafter Supportprozess kann zum Auskunftsverstoß werden, ein praktisches KI-Tool zur meldepflichtigen Verletzung und eine unklare Löschroutine zum grenzüberschreitenden Beschwerdefall. Compliance wird damit weniger zur Frage umfangreicher Richtlinien als zur Frage, ob Prozesse im konkreten Arbeitsschritt tatsächlich funktionieren.

Faktenbox