Bundesrat will die Datenschutzaufsicht reformieren

Was tatsächlich passiert ist

Der Entwurf zur Änderung des Bundesdatenschutzgesetzes (BDSG) stammt vom Bundesrat und wurde Ende August 2026 vorgelegt. Seine Begründung nennt das Problem offen: Die föderale Aufsichtsstruktur führe „insbesondere bei bundesweit eingesetzten Systemen sowie länderübergreifend tätigen Unternehmen und Forschenden zu Doppelprüfungen" und berge „das Risiko einer uneinheitlichen Rechtsanwendung". Der Entwurf will deshalb:

• die Konferenz der unabhängigen Datenschutzaufsichtsbehörden von Bund und Ländern (DSK) gesetzlich institutionalisieren, damit sie verbindliche Mehrheitsbeschlüsse fassen kann;
• für „verbundene Unternehmen" und länderübergreifende Forschungsvorhaben eine federführende Aufsichtsbehörde als zentralen Ansprechpartner einrichten – einen nationalen „One-Stop-Shop";
• erreichen, dass die datenschutzrechtliche Prüfung eines Verfahrens durch eine Behörde für die anderen bindend ist, um Doppelprüfungen zu vermeiden.

Die Bundesregierung begrüßt in ihrer Stellungnahme das Ziel einer einheitlicheren Auslegung, bewertet die Vorschläge aber „insbesondere im Hinblick auf die unionsrechtlich garantierte völlige Unabhängigkeit der Datenschutzaufsichtsbehörden, vor allem aber vor dem Hintergrund des verfassungsrechtlichen Verbots der unzulässigen Mischverwaltung" als jedenfalls teilweise kritisch. Sie kündigt an, zeitnah einen eigenen Reformvorschlag vorzulegen.

Bemerkenswert ist schon der Ton: Der Vorstoß kommt aus den Ländern selbst, nicht aus Brüssel oder einem Ministerium — und die Bundesregierung sieht sich veranlasst, in der Sache nachzulegen. Über die Reform der Aufsicht wird also weiter gestritten.

Meine Einordnung

Als externer Datenschutzbeauftragter mit Mandanten, die teils in mehreren Bundesländern sitzen, ist die uneinheitliche Auslegung kein theoretisches Problem. Dieselbe Frage – wie weit ein Auskunftsanspruch reicht, wie eng eine Löschfrist zu fassen ist, was ein Verzeichnis enthalten muss – wird von verschiedenen Aufsichtsbehörden unterschiedlich beantwortet. Für einen Betrieb, der das nicht hauptamtlich verfolgt, ist das teuer und nervig. Ein „Einer-für-alle"-Mechanismus und verbindliche Mehrheitsbeschlüsse würden Planbarkeit schaffen. Und Planbarkeit ist für den Mittelstand am Ende mehr wert als jede einzelne Erleichterung.

Was ich allerdings für überschätzt halte, ist die Erwartung, dass „die Reform" den Datenschutz leichter macht. Sie reformiert die Aufsicht, nicht die Pflichten. Wer gehofft hat, dass sich die Dokumentationslast dadurch verringert, verwechselt Ursache und Wirkung: Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO hängt nicht daran, wie viele Behörden sich darum kümmern. Dazu kommt ein rechtlicher Vorbehalt, den die Bundesregierung selbst formuliert: Die Unabhängigkeit der Aufsichtsbehörden ist unionsrechtlich verankert. Eine DSK, die mit Mehrheit bindend entscheidet, klingt effizient – ist aber genau der Punkt, an dem die Reform klemmen kann. Ich halte mehr Zusammenarbeit für richtig; eine Entmachtung einzelner Behörden halte ich für problematisch, und ob sie rechtlich hält, ist offen.

Für Betriebe im Raum Fürstenfeldbruck, München oder Augsburg mit nur einem Standort ändert der Entwurf praktisch nichts. Wer aber bundesweit tätig ist, sollte die Entwicklung verfolgen – nicht, weil morgen etwas in Kraft tritt, sondern weil sie die Richtung zeigt. Und wer einen externen Datenschutzbeauftragten beschäftigt, merkt den Unterschied ohnehin: Die Betreuung muss über Ländergrenzen hinweg konsistent funktionieren, sonst trägt das Unternehmen am Ende den Widerspruch, den die Aufsicht gerade abräumen will.

Was Sie jetzt konkret tun können

1. Nicht abwarten. Ihre Pflichten gelten heute, unabhängig davon, wie die Aufsicht künftig organisiert ist. Eine Reform ist kein Aufschub.

2. Dokumentation konsistent halten. Ein gepflegtes Verzeichnis von Verarbeitungstätigkeiten und nachvollziehbare Entscheidungen sind Ihre beste Versicherung – sie funktionieren unter jeder Aufsichtsstruktur.

3. Bei mehreren Standorten: eine Stelle, ein Verzeichnis. Legen Sie fest, wer Datenschutzfragen zentral beantwortet, statt sie je Standort neu zu verhandeln.

4. Externe Unterstützung einplanen. Wenn Sie keinen eigenen Datenschutzbeauftragten brauchen, aber Sicherheit wollen, ist der externe Datenschutzbeauftragte der pragmatische Weg.

5. Stand prüfen lassen. Ein Datenschutz-Audit zeigt, wo Ihre Dokumentation einer einheitlicheren Prüfung nicht standhalten würde – lieber jetzt als im Anlassfall.

Quellen

• Stiftung Datenschutz, „DatenschutzWoche vom 7. September 2026" (Ausgabe #240), 07.09.2026 — https://stiftungdatenschutz.org/veroeffentlichungen/datenschutzwoche/detailansicht/datenschutzwoche-vom-7-september-2026-728
• Bundesrat, Entwurf eines Gesetzes zur Änderung des Bundesdatenschutzgesetzes, BT-Drs. 21/07732 — https://dserver.bundestag.de/btd/21/077/2107732.pdf