Datenschutzreform: Länder setzen auf Koordination statt Zentralisierung
Die „Stuttgarter Impulse“ sollen Aufsicht und Datenschutzrecht modernisieren. Nun beginnt die öffentliche Debatte über Zuständigkeiten, Bürokratie und Grundrechtsschutz.
Der deutsche Datenschutz steht vor einem Umbau: Während Bund und Koalition eine stärkere Bündelung der Wirtschaftsaufsicht erwägen, verteidigen die Landesbehörden ihre regionale Zuständigkeit. Mit den „Stuttgarter Impulsen“ legen sie ein Gegenmodell vor – und laden Gesellschaft, Wirtschaft und Verwaltung zur Mitarbeit ein.
Bis zum 10. September 2026 können Bürger, Behörden, Unternehmen, Nichtregierungsorganisationen (NGO) und Initiativen die Reformvorschläge kommentieren und eigene Ideen einreichen. Die Rückmeldungen sollen ausgewertet und zentrale Punkte am 30. September bei einem Stakeholder-Treffen in Berlin diskutiert werden. Koordiniert wird die Konsultation vom Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg.
Reform ohne Abschaffung der Länderaufsicht
Die unabhängigen Landesdatenschutzbehörden verstehen Modernisierung ausdrücklich nicht als vollständige Zentralisierung. Ihre Kernthese: Die Datenschutzaufsicht bleibt schon aus verfassungsrechtlichen Gründen pluralistisch. Für öffentliche Stellen der Länder und Kommunen sowie für Bereiche wie Schulen, Hochschulen, Kultur und Teile des Gesundheitswesens liegt die Zuständigkeit weiterhin bei den Ländern.
Auch eine Verlagerung der Wirtschaftsaufsicht zum Bund würde die föderale Struktur daher nicht auflösen, sondern neue Schnittstellen schaffen. Die Behörden verweisen zudem auf mehr als 60.000 Datenschutzbeschwerden im Jahr 2025, von denen über die Hälfte den nicht öffentlichen Bereich betraf. Solche Einzelfälle ließen sich weder beliebig automatisieren noch ohne entsprechendes Personal zentral übernehmen.
Die Landesbehörden widersprechen zugleich dem Eindruck, in Deutschland herrsche ein grundsätzlich uneinheitlicher oder besonders strenger Datenschutzvollzug. Abstimmungen innerhalb der Datenschutzkonferenz (DSK) und mit dem Europäischen Datenschutzausschuss (EDSA) schafften bereits gemeinsame Maßstäbe. „Einen deutschen Datenschutz in der Aufsicht gibt es damit nicht“, heißt es in dem Papier.
Mehr Verbindlichkeit für die DSK
Statt Zuständigkeiten vollständig zu verschieben, sollen Kompetenzen stärker miteinander verzahnt werden. Vorgesehen ist, die bislang weitgehend informell arbeitende DSK gesetzlich im Bundesdatenschutzgesetz (BDSG) zu verankern. Verbindliche Mehrheitsentscheidungen könnten offene Rechtsfragen klären und bundesweit einheitliche Vorgaben schaffen. Eine dauerhafte Geschäftsstelle soll Abstimmungen organisieren, Wissen sichern und Doppelarbeit vermeiden.
Spezialwissen soll gezielt gebündelt werden. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) könnte unter anderem Aufgaben bei bundesweit relevanten Infrastrukturdiensten, Zertifizierungen, Verhaltensregeln und technischen Normungsverfahren übernehmen. Die regionale Beratung insbesondere kleiner und mittlerer Unternehmen bliebe dagegen bei den Landesbehörden.
Ein Portal statt Behördensuche
Für Bürger und Unternehmen soll die föderale Struktur im Alltag weniger sichtbar werden. Ein zentrales digitales Portal nach dem Prinzip „no wrong door“ würde Anfragen und Meldungen unabhängig von der formalen Zuständigkeit entgegennehmen und intern an die richtige Behörde weiterleiten. Ergänzend plant die DSK eine gemeinsame Datenbank für Entscheidungen, Orientierungshilfen und aufsichtsrechtliche Veröffentlichungen.
Das vorgeschlagene „Einer-für-Alle“-Prinzip soll verhindern, dass mehrere Behörden identische Sachverhalte parallel prüfen. Die Bewertung einer zuständigen Stelle könnte bei bundesweit einheitlich geregelten Fällen auch für andere Behörden gelten. Damit verbindet das Konzept föderale Zuständigkeiten mit gemeinsamen Verfahren.
Datenschutzrecht gezielter ausrichten
Die Impulse reichen über Behördenstrukturen hinaus. Für Künstliche Intelligenz (KI) fordern die Aufseher durchsetzbare Betroffenenrechte und technische sowie organisatorische Schutzmaßnahmen. Zertifizierungen und Verhaltenskodizes sollen praxistauglicher werden, risikobasierte Regeln stärker zwischen harmlosen und besonders sensiblen Verarbeitungen unterscheiden. Zudem sollen Software-Hersteller mehr Verantwortung für den Datenschutz ihrer Produkte übernehmen.
Damit reagieren die Landesbehörden auf die Föderale Modernisierungsagenda, die ausdrücklich Vereinfachungen im Datenschutzrecht vorsieht, sowie auf die politische Debatte über eine Neuordnung der Aufsicht. Ihr Angebot lautet: weniger Reibungsverluste und mehr Rechtssicherheit – ohne regionale Ansprechpartner und Grundrechtsschutz preiszugeben. (bundesregierung.de)
