- Datenschutzkonferenz soll verbindliche Mehrheitsbeschlüsse fassen können
- One-Stop-Shop: länderübergreifend tätige Unternehmen bekommen eine zentrale Aufsichtsbehörde
- Bundesregierung hat rechtliche Bedenken, kündigt eigenen Reformentwurf an
Hintergrund iDieser Beitrag bezieht sich auf BT-Drs. 21/7732 und gibt den Inhalt der Drucksache zusammenfassend wieder. Die inhaltliche Verantwortung liegt beim jeweiligen Verfasser der Drucksache. Der Beitrag spiegelt nicht notwendigerweise die Meinung des Seitenbetreibers wider.
Der Koalitionsvertrag 2025 sieht in Zeile 2100 ausdrücklich vor, die Datenschutzkonferenz gesetzlich zu verankern und die Datenschutzaufsicht im Interesse der Wirtschaft beim Bundesdatenschutzbeauftragten zu bündeln. In der Föderalen Modernisierungsagenda vom 4. Dezember 2025 haben sich Bund und Länder darauf verständigt, die Reform bis spätestens 31. Dezember 2027 umzusetzen. Das Programm für Aufschwung und Beschäftigung der Regierungsparteien von Anfang Juli 2026 bekräftigt den Reformwillen erneut. Der Bundesrat hat nun mit dem Gesetzentwurf (BR-Drs. 356/26 – Beschluss) einen ersten konkreten Legislativvorschlag gemacht, dem die Bundesregierung in Teilen kritisch gegenübersteht.
Im Detail
Die Bundesregierung wird zeitnah einen eigenen Vorschlag zur Reform der Datenschutzaufsicht vorlegen und dabei die Vorschläge des Bundesrates in die weiteren Überlegungen mit einbeziehen.
— Stellungnahme der Bundesregierung, BT-Drs. 21/7732, Anlage 2
Deutschlands Datenschutzaufsicht ist seit Jahrzehnten föderalistisch organisiert: 16 Landesbehörden und der Bundesbeauftragte für den Datenschutz überwachen jeweils eigenständig, wie Unternehmen und Behörden in ihrem Zuständigkeitsbereich mit personenbezogenen Daten umgehen. Das führt dazu, dass ein Konzern, der in mehreren Bundesländern tätig ist, potenziell mehrfach geprüft wird — mit unterschiedlichen Ergebnissen und hohem Verwaltungsaufwand. Genau dieses Problem will der Bundesrat mit seinem Gesetzentwurf zur BDSG-Reform lösen, den er am 10. Juli 2026 in seiner 1067. Sitzung beschlossen und dem Bundestag zugeleitet hat (BT-Drs. 21/7732).
BDSG-Reform: Die drei zentralen Neuerungen
Der Entwurf greift in das Bundesdatenschutzgesetz (BDSG) ein und sieht drei strukturelle Änderungen vor. Erstens wird die Datenschutzkonferenz (DSK) — das bisherige informelle Koordinierungsgremium aller 17 Aufsichtsbehörden — gesetzlich institutionalisiert. Künftig kann sie verbindliche Mehrheitsbeschlüsse fassen, etwa zur Auslegung der Datenschutz-Grundverordnung (DSGVO) oder zur datenschutzrechtlichen Bewertung neuer Technologien. Jedes Bundesland sowie der Bund verfügen jeweils über eine Stimme; bei Uneinigkeit entscheidet die einfache Mehrheit.
Zweitens führt der Entwurf einen nationalen One-Stop-Shop ein: Verbundene Unternehmen im Sinne von § 15 Aktiengesetz sowie länderübergreifend tätige Forschungseinrichtungen können beantragen, dass eine einzige Aufsichtsbehörde für sie federführend zuständig ist. Maßgeblich ist die Behörde des Landes, in dem der Verantwortliche mit dem höchsten Jahresumsatz im Inland seinen Sitz hat. Liegt kein Jahresumsatz vor — etwa bei Non-Profit-Organisationen — zählt die Zahl der mit der Datenverarbeitung befassten Beschäftigten. Die Zuständigkeitsbündelung tritt automatisch in Kraft, wenn die Behörde nicht innerhalb eines Monats nach vollständiger Anzeige entschieden hat.
Drittens wird das Einer-für-Alle-Prinzip (EfA) eingeführt: Hat eine Aufsichtsbehörde ein Datenverarbeitungsverfahren oder -system geprüft, bindet diese Bewertung alle anderen Aufsichtsbehörden — sofern das Verfahren ohne wesentliche Änderungen auch andernorts eingesetzt wird. Doppelprüfungen werden so strukturell vermieden. Das EfA-Prinzip ist aus der Verwaltungsdigitalisierung bekannt, etwa aus der Umsetzung des Onlinezugangsgesetzes, und wird hier auf die Datenschutzaufsicht übertragen.
Was gilt aktuell?
Nach geltendem Recht koordiniert die Datenschutzkonferenz ihre Arbeit auf freiwilliger Basis und ohne verbindliche Beschlussmacht. Unternehmen, die in mehreren Bundesländern Daten verarbeiten, müssen sich grundsätzlich mit jeder zuständigen Landesbehörde abstimmen. Eine einheitliche Rechtsanwendung ist damit strukturell nicht garantiert, was insbesondere für bundesweit agierende Unternehmen und Forschungseinrichtungen zu Rechtsunsicherheit führt. Der neue § 18 BDSG-E ersetzt den bisherigen § 18 BDSG vollständig und schafft erstmals eine gesetzliche Grundlage für verbindliche Kooperationsmechanismen.
Bundesregierung: Zustimmung mit Vorbehalten
Die Bundesregierung begrüßt laut ihrer Stellungnahme (Anlage 2 der Drucksache) die grundsätzliche Zielsetzung des Entwurfs. Sie äußert jedoch rechtliche Bedenken: Teile der Vorschläge seien im Hinblick auf die unionsrechtlich garantierte völlige Unabhängigkeit der Datenschutzaufsichtsbehörden sowie das verfassungsrechtliche Verbot der Mischverwaltung zwischen Bund und Ländern kritisch zu bewerten. Die Regierung kündigt an, zeitnah einen eigenen Reformvorschlag vorzulegen und dabei die Bundesratsvorschläge einzubeziehen. Dem Koalitionsvertrag 2025 zufolge soll die Datenschutzaufsicht im Interesse der Wirtschaft beim Bundesdatenschutzbeauftragten gebündelt werden — ein Ziel, das über den vorliegenden Entwurf hinausgeht. Die Föderale Modernisierungsagenda vom 4. Dezember 2025 setzt als Frist für die Umsetzung der Reform den 31. Dezember 2027.
Für die Wirtschaft erwartet der Bundesrat laut Drucksache mittelfristig eine Verringerung des jährlichen Erfüllungsaufwands. Für Bürgerinnen und Bürger sowie die Verwaltung entstehen laut Gesetzentwurf keine neuen Kosten. Das Gesetz soll am Tag nach der Verkündung in Kraft treten. Weitere aktuelle Gesetzgebungsvorhaben im Überblick bietet der Beitrag Bundestag 25.08.2026: Die wichtigsten Drucksachen.
Weiterlesen:
- Beamte und hoheitliche Aufgaben im öffentlichen Dienst
- Deutsche Bank & Epstein: BaFin-Aufsicht unter Prüfung
Unmittelbar betroffen sind Unternehmen, die in mehreren Bundesländern Daten verarbeiten, insbesondere Konzerne und Unternehmensgruppen im Sinne von § 15 Aktiengesetz. Auch Forschungseinrichtungen, die länderübergreifend zu wissenschaftlichen, historischen oder statistischen Zwecken Daten verarbeiten, profitieren vom neuen One-Stop-Shop. Mittelbar betrifft die Reform alle 17 deutschen Datenschutzaufsichtsbehörden auf Bundes- und Landesebene, deren Zusammenarbeit neu geregelt wird.
Bundesregierung: Laut Stellungnahme (Anlage 2 der Drucksache) begrüßt die Bundesregierung die grundsätzliche Zielsetzung des Entwurfs, bewertet Teile der Vorschläge jedoch kritisch — insbesondere mit Blick auf die unionsrechtlich garantierte Unabhängigkeit der Datenschutzbehörden und das verfassungsrechtliche Verbot der Mischverwaltung. Die Regierung kündigt einen eigenen Reformvorschlag an.
Der Gesetzentwurf des Bundesrates ist am 26. August 2026 beim Deutschen Bundestag eingegangen. Als nächster Schritt steht die Überweisung an den zuständigen Ausschuss an, voraussichtlich den Ausschuss für Digitales. Nach der Ausschussberatung entscheidet das Plenum des Bundestages abschließend über den Entwurf. Die Bundesregierung hat angekündigt, zeitnah einen eigenen Reformvorschlag vorzulegen, der die Vorschläge des Bundesrates berücksichtigt. Das Gesetz tritt laut Entwurf am Tag nach der Verkündung in Kraft.
- Datenschutzkonferenz (DSK)
- Gremium aus dem Bundesbeauftragten für den Datenschutz und den Datenschutzbeauftragten aller 16 Bundesländer. Sie koordiniert bislang freiwillig die Datenschutzaufsicht; der Entwurf soll ihr verbindliche Beschlüsse ermöglichen.
- Einer-für-Alle-Prinzip (EfA)
- Ansatz aus der Verwaltungsdigitalisierung: Eine Behörde erbringt eine Leistung oder Prüfung, deren Ergebnis alle anderen Behörden übernehmen können — ohne erneute Prüfung.
- One-Stop-Shop
- Zentraler Ansprechpartner: Unternehmen oder Forschungseinrichtungen mit länderübergreifenden Datenverarbeitungen können eine federführende Aufsichtsbehörde beantragen, die dann allein zuständig ist.
Was ist der One-Stop-Shop im Datenschutz?
Verbundene Unternehmen und Forschungseinrichtungen, die in mehreren Bundesländern Daten verarbeiten, können beantragen, dass eine einzige Aufsichtsbehörde für sie zuständig ist — nämlich die des Landes, in dem der umsatzstärkste Verantwortliche seinen Sitz hat.
Was bedeutet das Einer-für-Alle-Prinzip (EfA) im Datenschutz?
Wenn eine Aufsichtsbehörde ein Datenverarbeitungsverfahren geprüft und bewertet hat, gilt diese Bewertung auch für alle anderen Aufsichtsbehörden — sofern das Verfahren ohne wesentliche Änderungen auch in anderen Bundesländern eingesetzt wird.
Warum hat die Bundesregierung Bedenken gegen den Entwurf?
Laut Stellungnahme der Bundesregierung sind Teile des Entwurfs im Hinblick auf die unionsrechtlich garantierte Unabhängigkeit der Datenschutzbehörden sowie das verfassungsrechtliche Verbot der Mischverwaltung kritisch zu bewerten.
Dieser Beitrag bezieht sich auf BT-Drs. 21/7732 und gibt den Inhalt der Drucksache zusammenfassend wieder. Die inhaltliche Verantwortung liegt beim jeweiligen Verfasser der Drucksache. Der Beitrag spiegelt nicht notwendigerweise die Meinung des Seitenbetreibers wider.
Weitere Beiträge
