POSITION | DIGITALPOLITIK | DATENSCHUTZAUFSICHT
Reform der Datenschutzaufsicht für den nicht-öffentlichen Bereich
Forderungen der Industrie für mehr Kohärenz und Rechtssicherheit
19. Januar 2026
Vorbemerkung
Der BDI begrüßt die Initiative der neuen Bundesregierung, eine Reform der Datenschutzaufsicht für den nicht-öffentlichen Bereich vollziehen zu wollen. Die Datenschutzgrundverordnung (DSGVO) ist durch viele unbestimmte Rechtsbegriffe und Abwägungsklauseln auslegungsbedürftig, was zu großen Rechtsunsicherheiten in der Industrie führt.
Die derzeitige Aufsichtsstruktur in Deutschland mit 17 Landesbeauftragten für den Datenschutz und die Informationsfreiheit (LfD) sowie der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) sorgt für unterschiedliche Ansichten und uneinheitliche Bewertungen von datenschutzrechtlichen Streitfragen Insbesondere überregional tätige Unternehmen, die in die Zuständigkeit mehrerer Landesdatenschutzaufsichtsbehörden fallen, bemängeln, dass die Abstimmungs- und Entscheidungsprozesse der zuständigen Aufsichtsbehörden langwierig und aufwändig sind und darüber hinaus zu uneinheitlichen Ergebnissen führen. Andererseits schätzen gerade viele KMU, Kammern und regionale Verbände die „Nähe“ zum / zur „eigenen“ LfD(I). Erschwerend hinzu kommt der Umstand, dass in den kommenden Jahren die neuen EU-Digitalrechtsakte mit zahlreichen offenen Fragen zum Datenschutzrecht auf die Industrie zukommen. Um hier eine größtmögliche Kohärenz der datenschutzrechtlichen Auslegung sicherzustellen, ist der Weg einer (Teil-)Zentralisierung der Datenschutzaufsicht für die Wirtschaft in Deutschland angezeigt. Neben einer solchen Teilzentralisierung sollten zusätzlich die im BDSG vorhandenen Regelungen zu den Entscheidungszuständigkeiten der Landesaufsichtsbehörden klarer gefasst und verbessert werden.
Konkret sieht der Koalitionsvertrag in Bezug auf die Reform der Datenschutzaufsicht vor:
„Wir reformieren die Datenschutzaufsicht und bündeln sie bei der Bundesdatenschutzbeauftragten.“ (Zeilen 2095 ff.),
„Im Interesse der Wirtschaft streben wir eine Bündelung der Zuständigkeiten und Kompetenzen bei der Bundesdatenschutzbeauftragten an.“ (Zeilen 2106 ff.).
Zielsetzung einer Reform muss es deshalb sein, die Anwendung des (europäischen und deutschen) Datenschutzrechts durch eine ausgewogene, berechenbare und innovationsfreundliche Auslegung und Beratung durch die nationalen Aufsichtsbehörden zu verbessern, wobei alle beteiligten Grundrechte und Freiheiten gleichermaßen respektiert werden (insbesondere das Grundrecht auf informationelle Selbstbestimmung sowie Freiheit der wirtschaftlichen Nutzung von personenbezogenen Daten)
Konzeptvorschlag
Die im Koalitionsvertrag vorgesehene Bündelung der Aufsicht kann als Vollzentralisierung oder als Teilzentralisierung verstanden werden. Wesentlich ist, dass die Reform im Wege einer einfachgesetzlichen Anpassung des Bundesdatenschutzgesetzes (BDSG) erfolgen kann, was bei einer (Teil-)Zentralisierung der Aufsicht ausschließlich für die Wirtschaft verfassungsrechtlich zulässig erscheint.
Ein Lösungskonzept, das auf einheitliche Beratung und schnellere Herstellung von Rechtssicherheit gerichtet ist, bedarf branchenspezifischer Beratungskonzepte, die landesübergreifend skalieren und zentral auf die Befähigung zur Einhaltung des Datenschutzrechts ausgerichtet sind. Eine zentrale Forderung ist daher, die Einheitlichkeit von datenschutzaufsichtlichen Entscheidungen, welche alle beteiligten Grundrechte und Freiheiten respektiert (insbesondere das Grundrecht auf informationelle Selbstbestimmung) und mit dem gesamtgesellschaftlichen Interesse an der Nutzung personenbezogener Daten, insbesondere zur Innovationsförderung, in Einklang bringt, über Bundesländergrenzen hinweg und bis in europäische Abstimmungsprozesse hinein, zu stärken. Häufig ist auch ein divergierender datenschutzaufsichtlicher Vollzug dafür maßgeblich, dass der Eindruck der Uneinheitlichkeit aufkommt. Dies überträgt sich zudem auf die europäische Ebene, da uneinheitliche Positionen die Verhandlungs- und Durchsetzungskraft Deutschlands in Europa schwächen und die Rechtsunsicherheit für Unternehmen erhöhen
Um dem eingangs genannten Bedarf nach kohärenten und schnellen Entscheidungen Rechnung zu tragen und gleichzeitig die Vorteile einer dezentralen Datenschutzaufsicht im Grundsatz zu erhalten, sollte die grundsätzliche Zuständigkeit der Datenschutzbehörden der Länder im nicht-öffentlichen Bereich verbleiben. Um einen einheitlicheren Vollzug des Datenschutzrechts zu erreichen, sollte die Zusammenarbeit der Landesbehörden durch einen nationalen One-Stop-Shop für verbundene Unternehmen und Forschungsvorhaben und durch das Einer-für-Alle-Prinzip für Prüfungen bei identisch eingesetzten Verfahren und Systemen in verschiedenen Ländern gestärkt werden. Um jedoch den gewichtigen Bedarfen der Industrie nach einer einheitlichen, ausgewogenen, berechenbaren und innovationsfreundlichen Auslegung des Datenschutzes zu entsprechen, sollte die im Koalitionsvertrag vorgesehene Bündelung der Aufsicht über den privaten Sektor bei der BfDI im Wege einer Teilzentralisierung der Datenschutzaufsicht erfolgen Hierfür sollte die im Koalitionsvertrag angestrebte Bündelung der Zuständigkeiten und Kompetenzen in Bezug auf die Wirtschaft bei der BfDI für Sachverhalte mit besonderer, übergreifender Reichweite sowie strittige weitreichende Fälle von allgemeiner Bedeutung gelten, insbesondere für Innovation und Themen mit europäischer Bedeutung und so für schnellere, klare, verbindliche und verlässliche datenschutzrechtliche Bewertungen sorgen. Hierfür sollte rechtlich ein Prozess verankert werden, der der BfDI, den Landesdatenschutzbeauftragten sowie Verantwortlichen im Rahmen eines laufenden Verfahrens die Möglichkeit bietet, eine deutschlandweit bindende Auslegungsentscheidung für vorgenannte Sachverhalte herbeizuführen. Um hierbei eine ausgewogene Entscheidung zu ermöglichen, regt der BDI zur Unterstützung der Arbeit der BfDI die Einrichtung eines Datennutzungs- und Innovations-Beirats an, der im Rahmen einer Entscheidung eine Gelegenheit zur Stellungnahme erhält. Der Beirat sollte aus Expertinnen und Experten im Bereich Innovation durch die Wirtschaft bestehen und darauf hinwirken, dass frühzeitig und umfassend innovationsrelevante Erwägungen in die Entscheidung der BfDI einfließen können. Dabei muss die Unabhängigkeit und die volle Entscheidungskompetenz der BfDI gewahrt bleiben und es darf zu keiner wesentlichen Verzögerung der Entscheidungsfindung der BfDI kommen.
Dies gewährleisten folgende Anpassungen der Datenschutz-Governance-Struktur:
▪ Der BfDI wird im BDSG einerseits die Letztentscheidungskompetenz für Auslegungsfragen von besonderer, übergreifender Reichweite sowie strittige weitreichende Fälle von allgemeiner Bedeutung zugewiesen. Zudem wird die Möglichkeit geschaffen, unter bestimmten Voraussetzungen der BfDI sachverhaltsbezogene Auslegungsfragen aus laufenden Verfahren zuzuleiten. Die Entscheidung der BfDI entfaltet Bindungswirkung gegenüber anderen Behörden. Zur Festlegung, wann eine solche Bündelung greift, sollte ein transparenter Kriterienkatalog entwickelt werden
▪ Ein Vorlageverfahren sieht vor, dass im laufenden Verwaltungsverfahren sowohl der jeweilige Verantwortliche im Sinne des Datenschutzrechts als auch die nach den allgemeinen Zuständigkeiten mit einem Sachverhalt betrauten Landesdatenschutzbeauftragten ein Vorlageverfahren bei der BfDI einleiten können. Die an die BfDI herangetragenen Vorlagefragen müssen unter Berücksichtigung der Interessen aller betroffenen Parteien gewürdigt werden. Die Anforderungen an die Vorlagefragen und das Vorlageverfahren werden im BDSG normiert. Die Gesetzgebungskompetenz des Bundes folgt in diesem Fall aus dem Recht der Wirtschaft nach Art. 72 Abs. 2, 74 Abs. 1 Nr. 11 GG.
▪ Die BfDI trifft ihre Entscheidungen in voller Unabhängigkeit. Sie berücksichtigt Stellungnahmen eines einzurichtenden Innovationsbeirats. Der Prozess soll so ausgestaltet sein, dass durch die Beteiligung des Beirates eine zügige Entscheidungsfindung gesichert bleibt. Die Stellungnahmen des Beirats sind darauf ausgerichtet, die gesamtgesellschaftliche Innovationsfähigkeit unter Berücksichtigung angemessener und ausgewogener Datenschutzvorgaben abzusichern. Die Besetzung sollte mit Expertinnen und Experten im Bereich wirtschaftsgetriebener Innovation erfolgen und damit diese bislang wesentliche Perspektive im Entscheidungsprozess der Behörden absichern.
▪ Die BfDI entscheidet verbindlich und bindet damit zugleich die DSK und die LfD(I)s. Die LfD(I)s sind zum Vollzug der Entscheidungen verpflichtet. Es werden hinreichende rechtliche und prozessuale Vorgaben geregelt, die eine ausgewogene Rechtsauslegung der BfDI im Sinne aller betroffenen Grundrechte und der allgemeinen gesellschaftlichen Interessen sicherstellen. Vorschläge zur Entscheidung können von der BfDI, den LfD(I)s, der DSK sowie von Verantwortlichen im Sinne des Datenschutzrechts an die BfDI herangetragen werden
▪ Rechtswegverkürzung: Bislang ist für Entscheidungen der Aufsichtsbehörden des Bundes oder des Landes, mit Ausnahme von Bußgeldverfahren, der Verwaltungsrechtsweg vorgesehen. Gem. § 20 III BDSG ist das Verwaltungsgericht örtlich zuständig, in dessen Bezirk die jeweilige Aufsichtsbehörde ihren Sitz hat, für die BfDI also das VG Köln. Dies verzögert den Weg bis zu einer letztinstanzlichen Entscheidung, wodurch erforderliche schnelle Entscheidungen maßgeblich in die Länge gezogen werden könnten, die letztlich der Rechtsklarheit dienen würden. Daher sollte für Entscheidungen der BfDI ein verkürzter Verwaltungsrechtsweg vorgesehen werden, ähnlich dem Vorbild nach § 73 IV GWB, wonach über die Beschwerde das für den Sitz der BfDI zuständige Oberverwaltungsgericht erstinstanzlich entscheidet.
▪ Zentralisierung der Meldepflichten: Um doppelte Meldungen zu vermeiden, sollte ein – idealerweise digitaler – Prozess geschaffen werden, der es Unternehmen ermöglicht, eine Meldung einzureichen, die die Meldepflicht gegenüber allen Aufsichtsbehörden erfüllt. Dies würde die Belastung der Unternehmen erheblich verringern und das Meldeverfahren beschleunigen. Der Prozess sollte zugleich vorbereitend für den erwarteten europäischen single-entry point geschaffen werden, der im Rahmen des Digitalen Omnibus durch die Kommission vorgeschlagen wurde.
Impressum
Bundesverband der Deutschen Industrie e.V. (BDI)
Breite Straße 29, 10178 Berlin www.bdi.eu
T: +49 30 2028-0
Lobbyregisternummer: R000534
Transparenzregisternummer: 1771817758-48
Redaktion
Dr. Michael Dose
Senior Referent Innovation, Sicherheit und Technologie
T: +49 30 2028-1560 m.dose@bdi.eu
Florian Pühl (bis Dezember 2025)
Studentischer Mitarbeiter
T: +49 30 2028-1603 f.puehl@ifg.bdi.eu
BDI Dokumentennummer: D 2199