Datenschutz im Koalitionsvertrag: Entbürokratisierung und Zentralisierung

veröffentlicht am 17. Aprl 2025 | Lesedauer ca. 3 Minuten

Der Koalitionsvertrag verspricht im Datenschutz weniger Bürokratie, mehr Rechtssicherheit und praxisnähere Lösungen für Unternehmen, Ehrenamt und Verwaltung. Doch welche Spielräume bestehen tatsächlich auf nationaler und europäischer Ebene? Und wie realistisch ist eine Zentralisierung der Datenschutzaufsicht? Unser Artikel ordnet die Vorhaben ein und zeigt, worauf sich Verantwortliche in der Praxis vorbereiten sollten – gerade auch im Hinblick auf Risiken, Chancen und verfassungsrechtliche Grenzen.

Status quo: Vielstimmigkeit, Unsicherheit und hohe Anforderungen

Das geltende Datenschutzrecht basiert im Wesentlichen auf der Datenschutzgrundverordnung (DS-GVO), die seit Mai 2018 unmittelbar in allen Mitgliedstaaten der EU gilt. Ergänzt wird sie in Deutschland durch das Bundesdatenschutzgesetz (BDSG) sowie landes- und bereichsspezifische Datenschutzgesetze.

Die Datenschutzaufsicht in Deutschland ist derzeit föderal organisiert. Neben der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) existieren in jedem Bundesland eigenständige Aufsichtsbehörden, mitunter sogar verschiedene für den öffentlichen und nicht-öffentlichen Bereich. Diese Struktur führt in der Praxis oft zu unterschiedlichen rechtlichen Bewertungen derselben Sachverhalte – gerade für bundesweit tätige Unternehmen ein erheblicher Unsicherheitsfaktor.

Zudem sind die Anforderungen der DSGVO für kleinere Akteure häufig nur mit erheblichem Aufwand zu erfüllen. Vereine, kleine und mittlere Unternehmen (KMU) oder ehrenamtlich Tätige sind damit schnell überfordert, selbst bei vergleichsweise harmlosen Datenverarbeitungen wie dem Führen einer Mitglieder- oder Kundenliste.

Geplante Änderungen: Zentralisierung und Vereinfachung

1. Zentralisierung der Datenschutzaufsicht bei der BfDI (Zeilen 2094 ff., 2248 ff.)

Der Koalitionsvertrag sieht eine Bündelung der Zuständigkeiten bei der BfDI vor, die zukünftig als „Bundesbeauftragte für Datennutzung, Datenschutz und Informationsfreiheit“ fungieren soll. Damit einhergehen soll eine Stärkung der bundesweit einheitlichen Auslegung des Datenschutzrechts. Die Datenschutzkonferenz (DSK) – bislang ein loses Gremium aller Aufsichtsbehörden – soll gesetzlich im BDSG verankert werden.

Bewertung: Die BfDI ist schon heute für die Telekommunikationsbranche bundesweit zuständig, was sich bewährt hat. Die Zentralisierung dürfte die derzeitige „Vielstimmigkeit“ spürbar verringern und für mehr Rechtsklarheit sorgen. Ob die Bundesländer die Abschaffung ihrer Aufsichtsbehörden, insbesondere über ihre eigene Verwaltung (sog. öffentlicher Bereich), im Bundesrat mittragen würden, ist offen. Voraussichtlich ist eine Zentralisierung der Aufsicht über die Privatwirtschaft (sog. nicht-öffentlicher Bereich) politisch einfacher durchzusetzen. Der DSK bliebe dann – ähnlich den Landesministerkonferenzen für die Landesregierungen – die Koordination der Aufsicht über den öffentlichen Bereich.

2. Vereinfachungen für KMU, Vereine und Ehrenamt (Zeilen 2103 ff.)

Ein weiteres Ziel ist es, auf europäischer Ebene und damit in der DSGVO selbst eine Vereinfachung für KMU und nicht-kommerzielle Akteure (bspw. Vereine) zu erreichen. Genannt werden risikoarme Datenverarbeitungen, wie etwa Kundenlisten im Handwerk, die vom Anwendungsbereich der Datenschutzgrundverordnung ausgenommen werden könnten.

Bewertung: Die DSGVO kennt bislang kaum größenabhängige Ausnahmen, abgesehen vom Verzeichnis der Verarbeitungstätigkeiten in Art. 30 Abs. 5 DSGVO. Entsprechende Öffnungsklauseln für die Gesetzgeber der Mitgliedstaaten sind rar gesät. Die bekannteste größenabhängige Regelung im nationalen Recht enthält § 38 Abs. 1 S. 1 BDSG bezüglich des Erfordernisses zur Bestellung eines Datenschutzbeauftragen, die aber nur auf den ersten Blick eine Ausnahme darstellt. Vor dem Hintergrund, dass der Unionsgesetzgeber etwa in der KI-VO die DSGVO praktisch unangetastet gelassen hat, ist offen, ob das Vorhaben politisch durchsetzbar ist.

3. Bereichsspezifischer Datenschutz

Vereinfachungen soll es in Bezug auf den Datenschutz auch bei der Bund-Länder-Zusammenarbeit (Schüler-ID, Zeile 2322), Berufsorientierungsprogrammen (Zeile 2367), im Gesundheitswesen (Zeile 3497), dem Ehrenamt generell (Zeile 3777) sowie Digitalisierung, Forschung und Innovation (Zeilen 5353 ff.) geben. Auch in der Sicherheitspolitik (Zeile 2625), bei der häufig spezifischeres europäisches Recht gilt, sind Veränderung zu erwarten.

Bewertung: Die zahlreichen Fundstellen im Koalitionsvertrag machen deutlich, in wie vielen Bereichen Datenschutz neben bzw. über die DSGVO hinaus im Fachrecht geregelt ist. Manches davon ist bspw. im Gesundheitswesen Bundesrecht (Sozialgesetzbuch), anderes Landesrecht (Landeskrankenhausgesetze). Neben den Datenschutz-Experten in den Fraktionen und den Ministerien sitzen dann auch die Fachpolitiker mit am Verhandlungstisch. Entsprechend schwierig könnten die Veränderungen im Einzelnen politisch durchsetzbar sein.

Europäische Grenzen und verfassungsrechtlicher Rahmen

Die Vorschläge im Koalitionsvertrag zeigen den Willen zu einer Reform des Datenschutzrechts, die auch im – regelmäßig maßgeblichen – europäischen Recht umgesetzt werden soll. Die Ausgestaltung der Aufsicht wiederum ist eine rein deutsche Frage, kein anderer Mitgliedstaat der EU leistet sich hier Föderalismus.

Als rein deutsche Frage wird die Antwort der Politik allein am Grundgesetz zu messen sein. Selbst, wenn hier ein politischer Konsens mit den Ländern erreicht wird, muss sich dieser ggf. noch vor dem Bundesverfassungsgericht bewähren – Ausgang offen.

Für alle anderen Pläne gilt jedoch: Ohne Unterstützung auf europäischer Ebene wird es keine grundlegenden Ausnahmen und Vereinfachungen für bestimmte Akteure geben können. Der Erfolg dieser Reformpläne hängt daher nicht nur vom politischen Willen in Berlin, sondern auch von der Entwicklung auf EU-Ebene und der Bereitschaft zu einem flexibleren Datenschutzverständnis ab.