Datenschutzreform der Koalition: Geplante Änderungen und ihre Folgen

Das erklärte Ziel ist die Reduzierung bürokratischer Lasten für Unternehmen und Vereine, die seit Inkrafttreten der DSGVO im Mai 2018 einem einheitlichen Pflichtenkatalog unterliegen, unabhängig von Größe oder tatsächlichem Risiko der jeweiligen Datenverarbeitung. 

Ausnahme für kleine und mittlere Unternehmen 

Bisher gilt die DSGVO unabhängig von Unternehmensgröße für jede Verarbeitung personenbezogener Daten und verpflichtet Unternehmen zu Informationspflichten gegenüber Betroffenen, Verzeichnissen von Verarbeitungstätigkeiten und Meldepflichten bei Datenschutzverstößen. Die Koalition plant, kleine und mittelständische Unternehmen sowie nicht-kommerzielle Tätigkeiten von Vereinen künftig vollständig aus dem Anwendungsbereich der DSGVO herauszunehmen. Nach Zahlen des Statistischen Bundesamtes galten 2023 rund 99,3 Prozent aller deutschen Unternehmen als KMU, sodass die geplante Ausnahme praktisch die gesamte deutsche Wirtschaft mit Ausnahme einer Hand voll Großunternehmen erfassen würde. Ergänzend sollen sogenannte risikoarme Datenverarbeitungen, etwa einfache Kundenlisten, von den DSGVO-Pflichten ausgenommen werden. 

Befürworter dieser Regelung argumentieren, dass ein pauschaler Pflichtenkatalog kleine Betriebe und Vereine unverhältnismäßig belaste, da diese in der Regel deutlich weniger personenbezogene Daten verarbeiten als Großunternehmen und von den gleichen Dokumentations- und Nachweispflichten betroffen sind wie internationale Konzerne. Kritiker verweisen hingegen darauf, dass Unternehmensgröße und Datenschutzrisiko nicht zwangsläufig zusammenfallen: Ein kleines Unternehmen im Gesundheitssektor kann trotz KMU-Status hochsensible Daten verarbeiten, während die pauschale Ausnahme solche Fälle nicht erfasst. Als alternativer Ansatz wird vorgeschlagen, stattdessen Hersteller von Standardsoftware zu datenschutzfreundlichen Voreinstellungen zu verpflichten, da einzelne Anwenderunternehmen ohnehin kaum Einfluss auf die Datenverarbeitung solcher Dienste haben. Zudem ist unklar, ob und wann die Ausnahme rechtlich umsetzbar ist, da die DSGVO als EU-Verordnung unmittelbar gilt und ihr sachlicher Anwendungsbereich nicht allein durch deutsches Recht verändert werden kann. Die Bundesregierung setzt sich zwar aktiv in laufenden Ratsverhandlungen zum EU-"Datenomnibus" für entsprechende Lockerungen ein, eine europäische Einigung gilt aber frühestens für Ende des Jahrzehnts als realistisch. Der Europäische Datenschutzausschuss warnt zudem vor einer schleichenden Aushöhlung des Schutzniveaus, selbst bei moderateren Vereinfachungsvorschlägen. 

Reduzierung der Pflicht zum Datenschutzbeauftragten 

Bisher schreibt das deutsche Recht die Bestellung eines betrieblichen Datenschutzbeauftragten bereits ab zwanzig Beschäftigten vor, die regelmäßig automatisiert personenbezogene Daten verarbeiten – eine Schwelle, die niedriger liegt als die Mindestvorgaben der DSGVO selbst. Die Koalition plant keine vollständige Abschaffung dieser Pflicht, sondern laut Beschlusstext eine "Reduzierung" der Zahl betrieblicher Datenschutzbeauftragter in kleinen und mittleren Unternehmen. Ausnahmen von dieser Lockerung sollen für besonders sensible Bereiche wie Gesundheitsdaten, biometrische Daten und systematisches Profiling weiterhin bestehen bleiben. 

Aus Unternehmenssicht spricht für diese Änderung, dass die Bestellung eines Datenschutzbeauftragten mit erheblichen Personal- und Beratungskosten verbunden ist, die für kleinere Betriebe eine relevante finanzielle Belastung darstellen können. Dagegen steht die Überlegung, dass der Wegfall interner Beauftragter Unternehmen nicht von ihren materiellen Pflichten aus Artikel 32 DSGVO entbindet, etwa der Pflicht zu angemessenen technischen und organisatorischen Sicherheitsmaßnahmen. Fehlt eine intern zuständige Person, könnte sich das Haftungsrisiko für Geschäftsführungen im Ernstfall sogar erhöhen, da unklar bleibt, wer innerbetrieblich für die Einhaltung der Vorgaben verantwortlich ist. 

Historisch betrachtet war es ursprünglich die deutsche Wirtschaft selbst, die in den 1970er-Jahren die Einführung interner Datenschutzbeauftragter befürwortete, um ein strengeres externes Kontrollregime zu vermeiden – ein Aspekt, der bei der aktuellen Debatte eine Rolle spielt, da eine Schwächung interner Kontrolle ohne kompensierende externe Verschärfung das ursprüngliche Schutzkonzept insgesamt infrage stellen könnte. 

Zentralisierung der Aufsichtsbehörden 

Bisher teilen sich Bund und Länder die Zuständigkeit für den Datenschutzvollzug auf insgesamt achtzehn verschiedene Behörden auf: den Bundesbeauftragten für Datenschutz und Informationsfreiheit sowie je eine Aufsichtsbehörde pro Bundesland. Diese Struktur führt in der Praxis mitunter zu unterschiedlichen Auslegungen derselben Vorschrift, was für Unternehmen mit Standorten in mehreren Bundesländern zusätzlichen Abstimmungsaufwand bedeutet. Die Koalition plant, die Aufsicht künftig beim Bundesbeauftragten zu zentralisieren. Ergänzt werden soll dies durch ein neues nationales Datengesetzbuch, das die derzeit auf DSGVO, Bundesdatenschutzgesetz und zahlreiche Fachgesetze verteilten Regelungen zusammenführen soll, sowie durch eine gesetzliche Verankerung der bislang informellen Datenschutzkonferenz der Länder zur Sicherung einheitlicher Auslegungsstandards. 

Befürworter der Zentralisierung verweisen auf mehr Rechtssicherheit und einen geringeren Abstimmungsaufwand für Unternehmen, die künftig nur noch einen zentralen Ansprechpartner hätten. Gegner der Zentralisierung führen zwei Argumente an: Erstens schützten föderale Aufsichtsstrukturen strukturell gegen eine unzulässige Einflussnahme großer Unternehmen auf eine einzelne, zentrale Behörde, weshalb nur einzelne Spezialkompetenzen und nicht die gesamte Zuständigkeit übertragen werden sollten. Zweitens existiert bereits ein alternativer Reformvorschlag der Landesdatenschutzbehörden, der ein sogenanntes "Einer für alle"-Prinzip vorsieht: Hat eine Behörde ein Verfahren einmal geprüft, soll das Ergebnis für alle anderen Behörden bindend sein, ohne die föderale Struktur vollständig aufzugeben. Dieser Vorschlag geht über die im Koalitionsbeschluss vorgesehene bloße Erarbeitung "gemeinsamer Standards" ohne bindende Wirkung hinaus und zeigt, dass eine Vereinheitlichung der Aufsichtspraxis auch ohne vollständige Zentralisierung erreichbar wäre. Zusätzlich bringt die Zentralisierungsfrage die Koalitionsparteien in einen Konflikt mit dem Bundesrat, der eine eigene, föderal ausgerichtete Reforminitiative beschlossen hat. 

Reduzierung von Berichtspflichten und Genehmigungsfiktion

Ergänzend zu den drei Kernpunkten sieht das Reformpaket vor, Berichtspflichten gegenüber Behörden pauschal zu reduzieren und eine Genehmigungsfiktion nach vier Monaten Wartezeit im Verwaltungsverfahren einzuführen. Diese Maßnahmen betreffen den Datenschutz nur mittelbar, tragen aber zum übergeordneten Ziel des Bürokratieabbaus bei. Ein weiterer, im engeren Sinne datenschutzfremder, aber vielfach mit der Reform verbundener Streitpunkt ist die geplante Einschränkung des Informationsfreiheitsgesetzes, die den Kreis der Auskunftsberechtigten begrenzen soll und auf erhebliche Kritik von Datenschutzbeauftragten, Medienverbänden und Teilen der SPD-Fraktion selbst stößt. 

Zusammenfassende Bewertung 

Die Reformpläne der Koalition verfolgen ein nachvollziehbares Anliegen: einen im europäischen Vergleich als besonders streng geltenden Datenschutzvollzug zu vereinfachen und insbesondere kleine Unternehmen sowie Vereine von einem Pflichtenkatalog zu entlasten, der ursprünglich auf Konzerne mit umfangreicher Datenverarbeitung zugeschnitten war. Die vorliegenden Zahlen verdeutlichen jedoch das Ausmaß der geplanten Änderung: Da 99,3 Prozent der deutschen Unternehmen als KMU gelten, würde die angekündigte Ausnahme faktisch nahezu die gesamte Wirtschaft betreffen und nicht nur eine kleine Randgruppe. 

Unternehmensgröße kein verlässlicher Indikator für Datenschutzrisiko 

Die fachliche Kritik konzentriert sich dabei konsistent auf einen Punkt: Unternehmensgröße ist kein verlässlicher Indikator für das tatsächliche Datenschutzrisiko einer Verarbeitung. Ein risikobasierter Ansatz, wie ihn die DSGVO im Kern bereits vorsieht, würde besser zwischen sensiblen und unkritischen Verarbeitungen unterscheiden als eine pauschale Ausnahme nach Betriebsgröße. Ähnliches gilt für den geplanten Wegfall interner Datenschutzbeauftragter, der zwar Kosten spart, die zugrunde liegenden materiellen Pflichten der Unternehmen aber unverändert lässt und dadurch möglicherweise neue Unsicherheiten bei der Verantwortungszuordnung schafft. 

Bei der geplanten Zentralisierung der Aufsicht steht eine Verbesserung der Rechtssicherheit für Unternehmen einer möglichen Schwächung der checks-and-balances zwischen mehreren unabhängigen Kontrollinstanzen gegenüber. Alternative Reformmodelle, die eine einheitlichere Aufsichtspraxis auch innerhalb der bestehenden föderalen Struktur ermöglichen würden, liegen bereits vor, wurden aber im Koalitionsbeschluss nicht aufgegriffen. 

Insgesamt zeigt sich, dass die weitreichendsten und zugleich umstrittensten Vorhaben – insbesondere die DSGVO-Ausnahme für KMU – rechtlich auf eine europäische Einigung angewiesen sind, deren Zeitpunkt derzeit nicht absehbar ist. National unmittelbar umsetzbare Elemente wie die Reduzierung der Pflicht zum Datenschutzbeauftragten und die Zentralisierung der Aufsicht könnten hingegen deutlich schneller wirksam werden, bergen aber strukturelle Risiken, die in der öffentlichen Debatte bislang vergleichsweise wenig Beachtung finden. Ob die Reform tatsächlich zu einer ausgewogenen Entlastung führt oder das Schutzniveau in sensiblen Bereichen unbeabsichtigt schwächt, wird maßgeblich davon abhängen, ob die im Beschluss angelegten pauschalen Kriterien in der konkreten Gesetzgebung durch risikobasierte Differenzierungen ergänzt werden.