Gesetzentwurf zur Reform der Datenschutzaufsicht verabschiedet (7/2026)

Der Bundesrat hat in seiner letzten Sitzung vor der Sommerpause einen Gesetzentwurf zur Reform der Datenschutzaufsicht verabschiedet. Der Gesetzentwurf zielt darauf, die föderale Datenschutzaufsicht beizubehalten, aber durch gesetzlich verankerte Kooperationsmechanismen, Mehrheitsbeschlüsse der Datenschutzkonferenz, einen nationalen „One‑Stop‑Shop“ und ein „Einer‑für‑Alle“-Prinzip effizienter und einheitlicher zu machen. Der Entwurf geht zurück auf die Initiative Hamburgs. Das weitere Verfahren läuft nun über die Bundesregierung und den Bundestag; der Bundesrat hat den Entwurf als Länderinitiative eingebracht, sodass jetzt zunächst die Bundesregierung Stellung nehmen und anschließend der Bundestag beraten muss.

Wesentliche Inhalte des Gesetzentwurfs

Ziel ist, die föderale Aufsichtsstruktur (BfDI + Landesbehörden) ausdrücklich zu erhalten, aber die bisher zersplitterte Zuständigkeitslandschaft zu modernisieren und zu koordinieren. Begründet wird dies mit Doppelprüfungen, uneinheitlicher Rechtsanwendung bei bundesweit eingesetzten Systemen sowie länderübergreifenden Unternehmen und Forschungsvorhaben.

Kerninstrumente sind:

• gesetzliche Institutionalisierung der Datenschutzkonferenz (DSK),

• verbindliche Mehrheitsbeschlüsse der DSK zwischen ihren Mitgliedern,

• ein nationaler One‑Stop‑Shop zur Bündelung der Zuständigkeit,

• ein „Einer‑für‑Alle“-Prinzip bei Prüfungen von Verfahren und Systemen.

Gesetzliche Verankerung der Datenschutzkonferenz

§ 18 BDSG wird vollständig neu gefasst und macht die DSK zum zentralen Koordinierungsgremium der Aufsichtsbehörden von Bund und Ländern. Die DSK soll:

• auf einheitliche Anwendung des Datenschutzrechts hinwirken,

• gemeinsam die Öffentlichkeit informieren,

• zu Datenschutzfragen Stellung nehmen und Beschlüsse fassen.

Jeder Mitgliedstaatsebene (Bund und jedes Land) wird jeweils eine Stimme zugewiesen; die DSK gibt sich eine eigene Geschäftsordnung, mit der sie ihre Arbeitsweise und Beschlussverfahren autonom regelt. Artikel 52 DSGVO (Unabhängigkeit) soll sinngemäß auch für die Tätigkeit der DSK gelten, um die aufsichtsrechtliche Unabhängigkeit zu wahren.

Verbindliche Mehrheitsbeschlüsse der DSK

Neu ist, dass Beschlüsse der DSK die Mitglieder untereinander verbindlich binden, allerdings ohne Außenwirkung zugunsten oder zulasten Dritter.
Wichtige Punkte:

• In Verfahren nach Artikeln 63–66 DSGVO (Kohärenzverfahren, Streitbeilegung) erzielen die deutschen Aufsichtsbehörden zunächst Einvernehmen über einen gemeinsamen Standpunkt; kommt dies nicht zustande, entscheidet die DSK mit einfacher Mehrheit.

• Beschlüsse richten sich insbesondere auf Grundsatzfragen, z.B. Auslegung von DSGVO‑Normen oder Bewertung neuer Technologien.

• Die Bindungswirkung gilt nur zwischen den Aufsichtsbehörden; Dritte können sich nicht unmittelbar auf Beschlüsse der DSK berufen.

Damit wird der bislang eher konsensorientierte, aber oft schwerfällige Mechanismus des § 18 BDSG a.F. durch ein formalisiertes Mehrheitsverfahren ersetzt.

„Einer‑für‑Alle“-Prinzip (EfA) in der Aufsicht

§ 18 Abs. 3 führt ein EfA‑Prinzip ein: Wenn eine zuständige Aufsichtsbehörde ein von einem Verantwortlichen eingesetztes Verfahren oder System zur Verarbeitung personenbezogener Daten geprüft hat, bindet ihre datenschutzrechtliche Bewertung die anderen Aufsichtsbehörden, sofern das Verfahren oder System in deren Zuständigkeitsbereich „ohne wesentliche Änderungen“ eingesetzt wird.

Zweck:

• Vermeidung von Doppelprüfungen,

• Beschleunigung von Verfahren,

• Schaffung von Rechtssicherheit für länderübergreifende, aber im Kern identische Verfahren (z.B. Standard‑Cloud‑Setups, gemeinsame Fachverfahren).

Die konkreten Prüfstandards, Anregungswege und Sicherung der Bindungswirkung sollen in der Geschäftsordnung der DSK geregelt werden.

Nationaler One‑Stop‑Shop für Unternehmen und Forschung

§ 40 BDSG erhält einen neuen Absatz 2a, der eine Bündelung der Zuständigkeit bei länderübergreifenden Datenverarbeitungen vorsieht.

Antragsberechtigt sind:

• verbundene Unternehmen i.S.d. § 15 AktG, die länderübergreifend Daten verarbeiten,

• Einrichtungen, die zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken Daten verarbeiten (Anknüpfung an Art. 89 DSGVO).

Mechanismus:

• Die Verantwortlichen können durch gemeinsame Anzeige beantragen, die Zuständigkeit bei einer Aufsichtsbehörde zu bündeln.

• Die Anzeige muss alle bisher zuständigen Aufsichtsbehörden benennen und kann bei einer dieser Behörden eingereicht werden; diese informiert die anderen.

• Maßgeblich für die gebündelte Zuständigkeit ist grundsätzlich die Aufsicht des Landes, in dem der Verantwortliche mit dem höchsten Jahresumsatz im Inland seinen Sitz hat; wenn kein Jahresumsatz vorhanden ist, gilt hilfsweise die Aufsicht des Landes mit den meisten mit der Datenverarbeitung befassten Beschäftigten.

• Die Bündelung tritt mit Feststellung der zuständigen Aufsicht ein; wird innerhalb eines Monats nach Eingang der vollständigen Anzeige keine Feststellung getroffen, gilt die beantragte Aufsicht als zuständig („Zuständigkeitsfiktion“).

Damit entsteht ein nationaler One‑Stop‑Shop, der insbesondere Konzernen und Forschungsvorhaben eine zentrale Aufsichtsstelle verschafft, ohne die föderale Struktur formell aufzugeben.

Verfassungs- und systematische Einordnung

In der Begründung wird betont, dass:

• die föderale Eigenständigkeit der Aufsichtsbehörden gewahrt bleibt, weil die Bindungswirkung der DSK‑Beschlüsse auf das Binnenverhältnis beschränkt wird.

• die Geschäftsordnungsautonomie der DSK bewusst weit gefasst wird, um praxisnahe und anpassungsfähige Lösungen zu ermöglichen; der Wesentlichkeitsgrundsatz sei nicht verletzt, da keine grundlegenden Entscheidungen der parlamentarischen Normsetzung in die Geschäftsordnung verlagert würden.

• der Ansatz sich am EfA‑Prinzip der Verwaltungsdigitalisierung (OZG) orientiert, indem einmal geprüfte Verfahren bundesweit nachgenutzt werden können.

Meine Meinung

Es ist zwar noch nicht der große Wurf in Richtung zentrale Datenschutzaufsicht, aber ein Anfang. Ich bin ja, wie ich glaube schon häufiger gesagt habe, eher für eine zentrale Datenschutzaufsicht beim Bund. Genauso, wie ich finde, dass man die Unabhängigkeit einer Oberbehörde auch anders sicherstellen kann, als irgendwie dutzende Beauftragte zu benennen und die alle Jahre wieder zu wechseln. Permanent muss man da überlegen, ist da jetzt eine Frau oder ein Mann gerade am Zug …  🤷🏻‍♂️