KI-Aufsicht: Niedersachsen warnt vor Entmachtung der Datenschutzbehörden

Was geschehen ist: Kritik an der Zentralisierung der KI-Aufsicht

Der niedersächsische Datenschutzbeauftragte, Denis Lehmkemper, hat mit der Veröffentlichung seines Tätigkeitsberichts für das Jahr 2025 eine deutliche Warnung an die Bundespolitik ausgesprochen. Im Zentrum seiner Kritik steht das neu verabschiedete Durchführungsgesetz zur europäischen KI-Verordnung. Lehmkemper moniert, dass die damit verbundene Zentralisierung der Marktüberwachung bei der Bundesnetzagentur nicht nur den Prinzipien des Europarechts widerspricht, sondern in sensiblen Bereichen wie der Polizeiarbeit oder dem Bildungswesen sogar das deutsche Grundgesetz verletzen könnte. Die Entscheidung, die Kontrolle über KI-Systeme in einer zentralen Bundesbehörde zu bündeln, stößt bei den Datenschützern auf massiven Widerstand. Sie sehen darin eine Gefahr für den bewährten Grundrechtsschutz, der traditionell durch die dezentralen Aufsichtsbehörden der Länder gewährleistet wird. Lehmkemper betont, dass die Überwachung von KI-Systemen, die tief in die Verarbeitung personenbezogener Daten eingreifen, zwingend eine lokale Verankerung benötigt, um die verfassungsrechtlichen Anforderungen zu erfüllen. Der Appell, die Marktaufsicht für in der niedersächsischen Verwaltung eingesetzte KI-Systeme auch in Niedersachsen zu belassen, blieb jedoch bisher ungehört. Die Debatte verdeutlicht den wachsenden Konflikt zwischen dem Wunsch nach zentraler Effizienz und der Notwendigkeit einer bürgernahen, grundrechtsorientierten Kontrolle in einer zunehmend digitalisierten Verwaltung.

Die Einzelheiten: Zahlen, Fakten und die Belastung der Behörde

Die von Denis Lehmkemper vorgelegten Zahlen für das Berichtsjahr 2025 zeichnen das Bild einer massiv unter Druck stehenden Aufsichtsbehörde. Die Anzahl der Eingaben und Bürgerbeschwerden stieg im Vergleich zum Vorjahr um über 70 Prozent auf insgesamt 4022 Fälle an. Dieser Trend, der sich den Berichten zufolge bereits im Jahr 2026 fortsetzt, wird von anderen Landeskontrolleuren bestätigt. Eine wesentliche Ursache für diesen Anstieg liegt in der leichten Verfügbarkeit von KI-Chatbots, die es Nutzern ermöglichen, bei vermuteten Datenschutzverstößen direkt Musterschreiben zu generieren. Diese Flut an teils unvollständigen Anträgen stellt die Behörde vor erhebliche operative Herausforderungen. Neben der reinen Beschwerdebearbeitung entwickelte sich die Künstliche Intelligenz zum zentralen Beratungsschwerpunkt. Die Behörde bearbeitete 20 Beschwerden gegen KI-Betreiber und begleitete aktiv Pilotprojekte wie „LLMoin“ sowie den Einsatz von „MS-Copilot Chat“ innerhalb der Verwaltung. Dabei traten gravierende Hürden zutage, insbesondere das Fehlen spezifischer Rechtsgrundlagen für den Einsatz solcher Systeme. Zudem wurden Probleme mit sogenannten KI-Halluzinationen und Verzerrungen identifiziert, welche die Datenrichtigkeit in Verwaltungsverfahren gefährden können. Im Bereich der Sanktionen verhängte die Behörde im Jahr 2025 in 34 Erstbescheiden Bußgelder in einer Gesamthöhe von rund 705.000 Euro, was den hohen Durchsetzungsdruck unterstreicht.

Hintergrund: Der Kampf um die KI-Regulierung

Der aktuelle Streit ist das Ergebnis einer längeren Entwicklung, die mit dem Beschluss des europäischen AI Acts ihren Anfang nahm. Bereits seit der Verabschiedung der KI-Verordnung fordert die Datenschutzkonferenz von Bund und Ländern vehement, die Durchsetzung der neuen Regeln in Deutschland zu übernehmen. Die Argumentation der Datenschützer ist dabei konsistent: KI-Systeme sind in ihrem Kern zutiefst mit der Verarbeitung personenbezogener Daten verwoben. Eine Trennung der Marktüberwachung von der datenschutzrechtlichen Aufsicht wird daher als systematischer Fehler betrachtet. Die Ansiedlung der Marktüberwachung bei einer reinen Bundesbehörde, wie der Bundesnetzagentur, droht nach Auffassung der Datenschützer den bewährten Grundrechtsschutz zu untergraben, da die spezifische Expertise der Landesdatenschutzbeauftragten in den KI-spezifischen Überwachungsprozessen nicht ausreichend berücksichtigt wird. Diese Forderung nach einer dezentralen Zuständigkeit ist kein bloßer bürokratischer Wunsch, sondern gründet sich auf die Überzeugung, dass die Kontrolle über sensible Datenverarbeitungsprozesse in der Verwaltung direkt dort stattfinden muss, wo die Systeme auch eingesetzt werden. Die bisherige Ignoranz der Bundesregierung gegenüber diesen Appellen der Experten hat das Vertrauensverhältnis zwischen den Datenschutzbehörden und der zentralen Regulierungsinstanz erheblich belastet.

Die Beteiligten: Institutionen und Akteure im Fokus

Die Hauptakteure in diesem Konflikt sind auf der einen Seite der niedersächsische Datenschutzbeauftragte Denis Lehmkemper, der als Sprachrohr für die Bedenken der Landesbehörden fungiert, und auf der anderen Seite die Bundesnetzagentur, der durch das neue Durchführungsgesetz die zentrale Rolle der KI-Marktaufsicht zugewiesen wurde. Die Datenschutzkonferenz von Bund und Ländern tritt als kollektives Gremium auf, das die Interessen der Bürger gegenüber den zentralisierenden Bestrebungen des Bundes vertritt. In den Berichten werden zudem die Verwaltungen als Anwender von KI-Systemen wie „LLMoin“ oder „MS-Copilot Chat“ genannt, die sich in einer schwierigen Lage befinden, da sie KI-Technologien einsetzen wollen, ohne dass dafür ausreichende rechtliche Rahmenbedingungen oder klare Vorgaben zum Schutz der Datenrichtigkeit existieren. Auch US-Tech-Konzerne werden als Akteure angeführt, deren proprietäre Angebote die Behörde kritisch sieht. Lehmkemper warnt explizit vor einer zu starken Abhängigkeit von diesen außereuropäischen IT-Monopolen, da diese die digitale Souveränität und die Selbstbestimmung des Landes gefährden. Die Behörde fordert stattdessen den verstärkten Einsatz europäischer Open-Source-Lösungen, um eine sicherere und transparentere IT-Infrastruktur zu gewährleisten.

Einordnung: Bedeutung für den Grundrechtsschutz

Einzuordnen ist die Kritik von Lehmkemper als ein grundsätzliches Plädoyer für den Erhalt föderaler Kontrollstrukturen in einer digitalen Welt. Den Berichten zufolge steht hier nicht nur eine Zuständigkeitsfrage zur Debatte, sondern die grundsätzliche Ausrichtung der digitalen Aufsicht. Wenn die Überwachung von KI-Systemen, die in Schulen oder bei der Polizei eingesetzt werden, zentralisiert wird, besteht nach Ansicht des Datenschützers die Gefahr, dass spezifische lokale Gegebenheiten und grundrechtliche Schutzbedürfnisse aus dem Blick geraten. Die Forderung nach einer „gut ausgestatteten Aufsicht vor Ort“ ist als Gegenentwurf zur technokratischen Zentralisierung zu verstehen. Lehmkemper betont, dass Innovation und wirksamer Grundrechtsschutz keine Gegenspieler sind, sondern Hand in Hand gehen müssen. Die aktuelle Entwicklung deutet darauf hin, dass die Datenschutzbeauftragten ihre Rolle als Korrektiv der Digitalpolitik weiter ausbauen wollen. Die Sorge vor einer Entmachtung der Landesbehörden spiegelt eine tiefere Skepsis gegenüber einer rein effizienzgetriebenen Regulierung wider, die den Schutz der Bürgerrechte den Anforderungen einer schnellen Markteinführung von KI-Technologien unterordnen könnte.

Offene Fragen: Was der Bericht nicht beantwortet

Obwohl der Tätigkeitsbericht 2025 eine umfassende Bestandsaufnahme liefert, bleiben einige wesentliche Fragen unbeantwortet. Der Quelltext macht keine konkreten Angaben dazu, welche spezifischen verfassungsrechtlichen Schritte die Datenschutzbehörden planen, um gegen die Zentralisierung bei der Bundesnetzagentur vorzugehen. Es bleibt offen, ob eine Klage vor dem Bundesverfassungsgericht oder andere rechtliche Mittel in Erwägung gezogen werden. Zudem wird nicht detailliert ausgeführt, wie die Bundesnetzagentur auf die Vorwürfe reagiert hat oder ob es bereits einen direkten Dialog zwischen den Behörden gibt, um die Kompetenzstreitigkeiten beizulegen. Auch bei den Pilotprojekten in der Verwaltung bleibt unklar, welche konkreten „spezifischen Rechtsgrundlagen“ genau fehlen und wie der Gesetzgeber diese in der Praxis nachbessern könnte. Es wird zwar die Notwendigkeit präziserer Modell-Einstellungen und verbindlicher Schulungen betont, doch wie diese Anforderungen technisch und organisatorisch in den komplexen Verwaltungsstrukturen umgesetzt werden sollen, bleibt eine offene Frage. Ebenso wird nicht präzisiert, welche konkreten europäischen Open-Source-Alternativen die Behörde für die verschiedenen Anwendungsbereiche der Verwaltung als ausgereift genug ansieht, um die US-Monopole kurzfristig zu ersetzen.

Wie es weitergeht: Ausstehende Entscheidungen und Forderungen

Die weitere Entwicklung hängt maßgeblich davon ab, wie der Gesetzgeber auf die scharfe Kritik der Datenschutzbehörden reagiert. Denis Lehmkemper fordert vom Gesetzgeber explizit die Schaffung klarer Rahmenbedingungen für das KI-Training sowie die Einführung verbindlicher Schulungen für die Anwender in der Verwaltung. Da die Zentralisierung bereits durch das Durchführungsgesetz beschlossen wurde, steht nun die Frage im Raum, ob es zu einer Nachbesserung des Gesetzes kommen wird, um den Bedenken der Länder Rechnung zu tragen. Die Behörde hat zudem angekündigt, weiterhin auf die Notwendigkeit digitaler Souveränität zu drängen und den Einsatz von Open-Source-Lösungen voranzutreiben. Der Trend steigender Bürgerbeschwerden, der sich laut Lehmkemper auch im Jahr 2026 fortsetzt, wird die Behörden weiterhin stark fordern und vermutlich den Druck auf die Politik erhöhen, die personelle und technische Ausstattung der Datenschutzaufsicht anzupassen. Es bleibt abzuwarten, ob die Bundesregierung bereit ist, den Datenschützern bei der Aufsicht über KI-Systeme mehr Mitspracherechte einzuräumen oder ob die Bundesnetzagentur als alleinige Aufsichtsbehörde an ihrem Kurs festhält.