Ein Unternehmen speichert Kundenadressen in einer Excel-Tabelle. Ein anderes verarbeitet täglich Millionen von Nutzerdaten auf mehreren Servern. Bisher galten für beide exakt dieselben Datenschutzpflichten. Das ändert sich grundlegend, denn ein Reformpaket soll den Datenschutz in Deutschland neu sortieren. Die DSGVO selbst bleibt bestehen, doch nationale Regelungen werden an mehreren Stellen angepasst.
Neue EDSA-Vorlage für Datenschutz-Folgenabschätzungen
Wer personenbezogene Daten verarbeitet und dabei ein hohes Risiko für Betroffene entsteht, muss eine Datenschutz-Folgenabschätzung (DSFA) durchführen. Bisher hatte jede Aufsichtsbehörde eigene Vorlagen und Methoden. Das machte es für Unternehmen mit Standorten in mehreren Bundesländern schwierig, einen einheitlichen Standard einzuhalten.
Auch interessant: Brexit-Effekte auf deutsche Unternehmen: Auswirkungen und Strategien für 2026
Am 14. April 2026 hat der Europäische Datenschutzausschuss (EDSA) eine standardisierte Vorlage für Datenschutz-Folgenabschätzungen mit Ausfüllanleitung zur Konsultation gestellt. Ziel: Die bisher sehr unterschiedliche Praxis europaweit vereinheitlichen.
Praktisch bedeutet das Folgendes: Unternehmen können sich künftig an einer einzigen Methodik orientieren, statt für jedes Bundesland oder jeden EU-Staat eigene Formulare vorzuhalten. Wer bereits DSFA-Prozesse im Haus hat, sollte diese mit der neuen Vorlage abgleichen.
Ebenfalls empfehlenswert: Automobilindustrie in Deutschland: Elektromobilität und Zukunftsperspektiven bis 2026
Ein Aspekt verdient besondere Aufmerksamkeit. Der EDSA hat den Begriff der Anonymisierung verschärft. Viele Datensätze, die Unternehmen bisher als anonym behandelt haben (Telemetriedaten, Nutzungsstatistiken, IoT-Sensordaten), könnten künftig wieder als personenbezogene Daten gelten. Das würde den Kreis meldepflichtiger Verarbeitungen deutlich erweitern.
Innerstaatlicher One-Stop-Shop: Datenschutzaufsicht wird gebündelt
Wer ein Unternehmen mit Niederlassungen in Bayern, Nordrhein-Westfalen und Hamburg betreibt, kennt das Problem: Drei Bundesländer, drei Datenschutzaufsichtsbehörden, drei unterschiedliche Auslegungen derselben Vorschrift. Das Reformpaket sieht vor, für verbundene Unternehmen und länderübergreifende Forschung einen innerstaatlichen One-Stop-Shop einzuführen.
Eine federführende Aufsichtsbehörde soll als zentraler Ansprechpartner fungieren. Doppelprüfungen durch mehrere Landesbehörden sollen dadurch wegfallen. Für Unternehmen mit mehreren Standorten wäre das eine spürbare Entlastung, weil Abstimmungsprozesse kürzer und Ergebnisse berechenbarer werden.
Dieser Punkt geht weit über die häufig diskutierte Frage hinaus, ob kleine Unternehmen noch einen Datenschutzbeauftragten brauchen. Die Reorganisation der Aufsichtsstruktur betrifft auch größere Mittelständler und Konzerne, die bisher mit fragmentierter Zuständigkeit leben mussten.
Was der One-Stop-Shop für die Praxis bedeutet
Bislang mussten Unternehmen bei einer Beschwerde in einem Bundesland zunächst klären, welche Aufsichtsbehörde zuständig ist, und gegebenenfalls parallel mit einer zweiten Behörde kommunizieren. Die federführende Zuständigkeit soll diesen Aufwand beseitigen. Das Verfahren orientiert sich am europäischen Modell, bei dem der Sitz der Hauptniederlassung die zuständige Behörde bestimmt.
Für Forschungseinrichtungen mit Standorten in mehreren Bundesländern ergibt sich daraus ein weiterer Vorteil: Länderübergreifende Forschungsprojekte mit personenbezogenen Daten lassen sich künftig über einen einzigen Ansprechpartner abstimmen, statt separate Genehmigungen einzuholen.
Bestellpflicht Datenschutzbeauftragter: Was sich konkret ändert
Die nationale Pflicht, einen betrieblichen Datenschutzbeauftragten zu benennen, soll gelockert werden. Bisher müssen Unternehmen ab einer bestimmten Mitarbeiterzahl, die regelmäßig personenbezogene Daten verarbeiten, einen Datenschutzbeauftragten bestellen. Die Reform sieht vor, diese Schwelle anzuheben.
Die DSGVO-Pflichten selbst bleiben vollständig bestehen. Kein Datenschutzbeauftragter bedeutet nicht kein Datenschutz. Unternehmen müssen weiterhin Verarbeitungsverzeichnisse führen, Betroffenenrechte erfüllen und Datenpannen melden. Nur die organisatorische Pflicht, eine bestimmte Person formal zu benennen, wird für einen Teil der Unternehmen entfallen.
Das klingt nach Entlastung, birgt aber ein Risiko. Ohne benannten Datenschutzbeauftragten fehlt vielen Betrieben der interne Ansprechpartner, der Prozesse überwacht und bei Datenpannen koordiniert. Die Verantwortung verlagert sich dann auf die Geschäftsführung selbst.
Wer weiterhin einen Datenschutzbeauftragten braucht
Das Gesetzgebungsverfahren ist noch nicht abgeschlossen. Unternehmen, die besondere Kategorien personenbezogener Daten verarbeiten (Gesundheitsdaten, biometrische Daten, Daten zu politischen Überzeugungen), werden voraussichtlich weiterhin zur Bestellung verpflichtet bleiben. Gleiches gilt für Unternehmen, deren Kerntätigkeit in der umfangreichen Überwachung von Personen besteht.
- Arztpraxen, Kliniken und Gesundheitsdienstleister verarbeiten Gesundheitsdaten und fallen weiterhin unter die Bestellpflicht.
- Unternehmen mit umfangreichem Tracking (Werbenetzwerke, Scoring-Dienste) bleiben ebenfalls verpflichtet.
- Vereine und kleine Handwerksbetriebe, die nur einfache Kundenlisten führen, könnten von der Pflicht befreit werden.
NIS-2 und Meldepflichten: Datenschutz trifft IT-Sicherheit
Parallel zur Datenschutzreform wirkt sich die Umsetzung der NIS-2-Richtlinie auf Unternehmen aus. Ein Cybervorfall kann gleichzeitig eine Meldepflicht nach der DSGVO (Datenpanne) und nach NIS-2 (Sicherheitsvorfall) auslösen. Beide Meldungen haben unterschiedliche Fristen, Empfänger und Inhalte.
Unternehmen brauchen einen klaren internen Prozess, der beide Meldewege abdeckt. Wer nur den DSGVO-Meldeweg kennt, übersieht möglicherweise die NIS-2-Pflicht, und umgekehrt. Die Koordination zwischen Datenschutzbeauftragtem (falls vorhanden) und IT-Sicherheitsverantwortlichem wird dadurch noch wichtiger.
Konkret unterscheiden sich die Fristen erheblich: Die DSGVO verlangt eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden. NIS-2 sieht eine Erstmeldung innerhalb von 24 Stunden vor. Wer beide Pflichten mit einem einzigen Meldeprozess abdecken will, muss sich am kürzeren Zeitfenster orientieren und die Inhalte für beide Empfänger parallel aufbereiten.
Datenschutzgesetze 2026: Drei Schritte, die jetzt sinnvoll sind
Das Gesetzgebungsverfahren zur BDSG-Reform ist noch nicht abgeschlossen. Trotzdem lassen sich bereits konkrete Maßnahmen ableiten:
- DSFA-Prozesse mit der neuen EDSA-Vorlage abgleichen und prüfen, ob bisher als anonym eingestufte Daten (Telemetrie, IoT) unter den erweiterten Personenbezug fallen.
- Interne Meldeketten für Datenpannen und Sicherheitsvorfälle zusammenführen, damit DSGVO- und NIS-2-Pflichten parallel erfüllt werden können.
- Die Rolle des Datenschutzbeauftragten nicht vorschnell streichen: Solange das Gesetzgebungsverfahren läuft, bleibt die bestehende Bestellpflicht in Kraft.
Die Richtung der Reform ist klar: weniger formale Pflichten für kleine Betriebe, einheitlichere Aufsicht für größere Unternehmen. Wer sich jetzt mit den neuen Strukturen befasst, statt auf den finalen Gesetzestext zu warten, spart später Anpassungsaufwand.