Die Datenschutzaufsicht in Deutschland steht vor einer möglichen strukturellen Neuordnung. Während die datenschutzrechtliche Verantwortung der Unternehmen durch die Datenschutz-Grundverordnung bereits weitgehend unionsweit harmonisiert ist, erfolgt die behördliche Kontrolle in Deutschland weiterhin in einer föderal geprägten Struktur. Neben der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit bestehen eigenständige Datenschutzaufsichtsbehörden in den einzelnen Bundesländern. Diese historisch gewachsene Aufsichtsstruktur wird angesichts zunehmend komplexer, länderübergreifender und digitalisierter Verarbeitungsvorgänge zunehmend kritisch diskutiert.
Im Sommer 2026 hat diese Diskussion deutlich an Dynamik gewonnen. Die Datenschutzkonferenz hat mit den sogenannten „Stuttgarter Impulsen zur Modernisierung des Datenschutzes“ Vorschläge für eine Weiterentwicklung der Datenschutzaufsicht und des Datenschutzrechts vorgelegt. Darüber hinaus hat der Bundesrat Ende August einen Gesetzentwurf zur Änderung des Bundesdatenschutzgesetzes beschlossen, der insbesondere eine stärkere Koordinierung der Datenschutzaufsichtsbehörden, eine gesetzliche Verankerung der Datenschutzkonferenz sowie eine Bündelung bestimmter Zuständigkeiten vorsieht.
Damit steht nicht lediglich eine organisatorische Anpassung einzelner Behörden im Raum. Im Kern geht es um die Frage, wie Datenschutzaufsicht in Deutschland künftig effizient, einheitlich und zugleich unabhängig ausgestaltet werden soll. Für Unternehmen ist diese Entwicklung von erheblicher Bedeutung, denn die Struktur der Aufsicht beeinflusst unmittelbar die behördliche Kommunikation, die Durchführung von Prüfungen und die Frage, wie einheitlich datenschutzrechtliche Anforderungen ausgelegt und durchgesetzt werden.
Eine föderale Aufsichtsstruktur trifft auf eine zunehmend zentralisierte Datenverarbeitung
Die föderale Organisation der Datenschutzaufsicht hat ihren Ursprung in der deutschen Verwaltungsstruktur und gewährleistet eine regionale Verankerung der Aufsichtsbehörden. Unternehmen und betroffene Personen verfügen über konkrete Ansprechpartner vor Ort, während die Behörden ihre Aufsichtstätigkeit auf die jeweiligen regionalen Gegebenheiten ausrichten.
Die tatsächliche Organisation moderner Datenverarbeitungen folgt jedoch zunehmend anderen Strukturen. Unternehmensgruppen agieren bundesweit oder international, personenbezogene Daten werden über zentralisierte Cloud-Infrastrukturen verarbeitet und Softwarelösungen werden häufig unternehmensweit einheitlich implementiert. Ein Verarbeitungsvorgang beschränkt sich daher vielfach nicht auf den Zuständigkeitsbereich einer einzelnen Landesbehörde.
Für Unternehmen mit länderübergreifenden Strukturen ergeben sich daraus besondere Herausforderungen. Unterschiedliche Aufsichtsbehörden können mit demselben Unternehmen oder mit vergleichbaren Verarbeitungsvorgängen befasst sein. Unterschiedliche aufsichtsbehördliche Bewertungen erhöhen den Abstimmungsbedarf und erschweren eine konsistente Umsetzung datenschutzrechtlicher Anforderungen. Hinzu kommt das Risiko paralleler Prüfungen, wenn mehrere Behörden denselben Sachverhalt aus unterschiedlichen Zuständigkeiten heraus untersuchen.
Der Reformdiskussion liegt daher insbesondere die Frage zugrunde, wie eine kohärentere und effizientere Aufsicht gewährleistet werden kann, ohne die föderale Struktur und die unionsrechtlich garantierte Unabhängigkeit der Datenschutzaufsicht aufzugeben.
Die geplante Stärkung der Datenschutzkonferenz
Ein wesentlicher Bestandteil des Reformvorhabens betrifft die Datenschutzkonferenz (DSK). Die DSK ist das gemeinsame Gremium der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder und verfolgt bereits heute das Ziel, eine möglichst einheitliche Anwendung des Datenschutzrechts sicherzustellen.
Nach den aktuellen Reformüberlegungen soll die Stellung der DSK künftig gesetzlich stärker verankert werden. Damit würde ihre Bedeutung für die bundesweite Koordinierung der Datenschutzaufsicht institutionell auf eine verbindlichere Grundlage gestellt. Insbesondere bei der Auslegung und Anwendung datenschutzrechtlicher Vorschriften steht dabei die Herstellung größerer Kohärenz zwischen den einzelnen Aufsichtsbehörden im Vordergrund.
Eine stärkere institutionelle Verankerung der DSK adressiert damit ein grundlegendes Problem der gegenwärtigen Aufsichtsstruktur: Die DSGVO gilt unionsweit unmittelbar, ihre konkrete Auslegung und aufsichtsbehördliche Anwendung erfolgt in Deutschland jedoch durch eine Vielzahl eigenständiger Behörden. Zwar bestehen bereits umfangreiche Abstimmungsmechanismen, dennoch sind unterschiedliche Schwerpunktsetzungen und Rechtsauffassungen in der Praxis nicht ausgeschlossen.
Eine stärkere Koordinierung der Aufsicht dient daher insbesondere der Rechtssicherheit und Vorhersehbarkeit behördlicher Entscheidungen. Für Unternehmen mit bundesweit einheitlichen Verarbeitungsvorgängen ist eine möglichst konsistente aufsichtsbehördliche Bewertung von erheblicher praktischer Bedeutung.
Federführende Aufsicht statt paralleler Zuständigkeiten
Besondere Aufmerksamkeit verdient der Vorschlag, bei bestimmten länderübergreifenden Sachverhalten eine federführende Datenschutzaufsichtsbehörde zu bestimmen. Insbesondere bei verbundenen Unternehmen und bestimmten länderübergreifenden Forschungsvorhaben soll dadurch eine eindeutige Zuständigkeit geschaffen und die Durchführung paralleler Prüfungen reduziert werden.
Der Ansatz folgt damit einem Prinzip, das aus dem europäischen Datenschutzrecht bereits bekannt ist. Die DSGVO sieht für grenzüberschreitende Verarbeitungsvorgänge innerhalb der Europäischen Union mit dem sogenannten One-Stop-Shop-Prinzip eine federführende Aufsichtsbehörde vor. Eine vergleichbare Koordinierung innerhalb Deutschlands würde insbesondere für Unternehmen mit bundesweit einheitlichen Datenverarbeitungsprozessen eine klarere aufsichtsbehördliche Zuständigkeitsstruktur schaffen.
Für Unternehmen bedeutet eine solche Zuständigkeitskonzentration jedoch nicht lediglich eine administrative Vereinfachung. Eine federführende Behörde würde zugleich eine größere Bedeutung für die datenschutzrechtliche Bewertung eines Sachverhalts erhalten. Eine einheitlichere Aufsicht kann damit sowohl zu größerer Rechtssicherheit als auch zu einer konsequenteren Durchsetzung datenschutzrechtlicher Anforderungen führen.
Die Reform ist daher keineswegs als allgemeine Deregulierung des Datenschutzes zu verstehen. Ziel ist vielmehr eine effizientere und kohärentere Durchsetzung des bestehenden Datenschutzrechts.
Zwischen Effizienz und Unabhängigkeit
Die Neuordnung der Datenschutzaufsicht wirft zugleich rechtliche und institutionelle Fragen auf. Die Aufsichtsbehörden unterliegen sowohl nationalen verfassungsrechtlichen Vorgaben als auch den Anforderungen des europäischen Datenschutzrechts. Insbesondere die Unabhängigkeit der Datenschutzaufsicht stellt eine zentrale Voraussetzung des europäischen Datenschutzrechts dar.
Eine stärkere Koordinierung darf daher nicht dazu führen, dass die eigenständige Entscheidungsbefugnis der Aufsichtsbehörden unangemessen eingeschränkt wird. Auch die Bundesregierung hat die Zielsetzung einer effizienteren und einheitlicheren Datenschutzaufsicht grundsätzlich positiv bewertet, zugleich jedoch auf verfassungs- und unionsrechtliche Fragen einzelner Reformelemente hingewiesen und einen eigenen Reformansatz angekündigt.
Auch die von der Datenschutzkonferenz angestoßene Modernisierungsdebatte verdeutlicht, dass eine zukunftsfähige Datenschutzaufsicht verschiedene Anforderungen miteinander in Einklang bringen muss. Einerseits benötigen Unternehmen und betroffene Personen nachvollziehbare und möglichst einheitliche aufsichtsbehördliche Maßstäbe. Andererseits bleibt eine unabhängige, bürgernahe und fachlich eigenständige Aufsicht unverzichtbar.
Die gegenwärtige Reformdiskussion ist deshalb weniger als Frage nach der bloßen Anzahl der Datenschutzbehörden zu verstehen. Im Mittelpunkt steht vielmehr die strukturelle Anpassung der Datenschutzaufsicht an eine Wirtschaft und Verwaltung, deren Datenverarbeitungen zunehmend zentralisiert, digitalisiert und grenzüberschreitend organisiert sind.
Was bedeutet die Entwicklung für Unternehmen?
Für Unternehmen ergeben sich aus den aktuellen Reformvorhaben noch keine unmittelbaren Änderungen der geltenden Rechtslage. Die Vorschläge befinden sich weiterhin im Gesetzgebungsverfahren. Die bestehenden datenschutzrechtlichen Verpflichtungen nach DSGVO und BDSG bleiben daher uneingeschränkt bestehen.
Dennoch verdient die Entwicklung bereits jetzt Aufmerksamkeit. Insbesondere Unternehmen mit mehreren Standorten, verbundenen Gesellschaften oder zentral gesteuerten Verarbeitungssystemen sollten die zukünftige Entwicklung der Zuständigkeits- und Aufsichtsstrukturen beobachten. Eine stärkere Konzentration aufsichtsbehördlicher Zuständigkeiten würde insbesondere bei bundesweit einheitlichen Verarbeitungsvorgängen zu einer veränderten Kommunikations- und Prüfungsstruktur führen.
Unabhängig von der zukünftigen Organisation der Aufsicht bleibt die datenschutzrechtliche Verantwortlichkeit des Unternehmens bestehen. Ein funktionierendes Datenschutzmanagement setzt daher weiterhin eine belastbare Dokumentation der Verarbeitungstätigkeiten, klare Verantwortlichkeiten, angemessene technische und organisatorische Maßnahmen sowie etablierte Prozesse für Betroffenenrechte, Datenschutzverletzungen und Löschkonzepte voraus.
Die aktuelle Reformdiskussion bietet damit zugleich einen geeigneten Anlass, die eigene Datenschutzorganisation einer kritischen Bestandsaufnahme zu unterziehen. Unternehmen, deren Datenschutzmanagement bereits heute strukturiert, nachvollziehbar und tatsächlich implementiert ist, sind von Veränderungen der aufsichtsbehördlichen Strukturen deutlich weniger abhängig. Eine belastbare Datenschutzorganisation bildet vielmehr die Grundlage für einen sachgerechten und rechtssicheren Umgang mit jeder Form der behördlichen Kontrolle.
Fazit
Die deutsche Datenschutzaufsicht befindet sich in einem möglichen strukturellen Umbruch. Die aktuellen Reformvorschläge verfolgen insbesondere das Ziel, aufsichtsbehördliche Zuständigkeiten stärker zu koordinieren, eine einheitlichere Rechtsanwendung zu fördern und parallele Prüfungen zu vermeiden. Gleichzeitig müssen die unionsrechtlich garantierte Unabhängigkeit der Aufsichtsbehörden und die föderalen Strukturen angemessen berücksichtigt werden.
Noch steht nicht fest, welche der diskutierten Reformansätze tatsächlich umgesetzt werden. Für Unternehmen bleibt jedoch unabhängig davon entscheidend, ihre Datenschutzorganisation so aufzustellen, dass Prozesse, Verantwortlichkeiten und Dokumentationen auch einer zunehmend koordinierten und anspruchsvollen Aufsicht standhalten.
Als externe Datenschutzbeauftragte unterstützen wir Unternehmen bei der strukturierten Umsetzung datenschutzrechtlicher Anforderungen, der Weiterentwicklung ihres Datenschutzmanagements und der Vorbereitung auf aufsichtsbehördliche Prüfungen.
Folgende Beiträge könnten Sie auch interessieren: