Wer ein Unternehmen mit bundesweitem Online-Auftritt führt – Shop, Buchungssystem, CRM, Newsletter, dazu ein oder zwei KI-Tools – kennt das ungute Gefühl: Beim Datenschutz weiß man nie so ganz genau, wer eigentlich zuständig ist und ob die eigene Lösung woanders vielleicht anders bewertet würde. Genau an diesem Punkt will der Bundesrat ansetzen. Am 10. Juli 2026 hat er beschlossen, einen Gesetzentwurf zur Änderung des Bundesdatenschutzgesetzes (BDSG) in den Bundestag einzubringen. Herzstück ist ein „Einer-für-Alle-Prinzip“, das die Aufsicht einheitlicher machen soll.
Wichtig vorweg, damit hier keine falsche Dringlichkeit entsteht: Das ist noch kein geltendes Recht, sondern ein laufendes Gesetzgebungsverfahren. Und es ist nicht der einzige Reformvorschlag im Raum. Trotzdem lohnt der nüchterne Blick darauf, weil er zeigt, wohin sich die Durchsetzung des Datenschutzes in Deutschland bewegen könnte – und was das für Betriebe bedeutet, die gerade digitalisieren.
Nächster Schritt
Ist Ihr Datenschutz bei digitalen Systemen sauber aufgestellt?
Ob Shop, CRM oder KI-Tool: Lassen Sie uns gemeinsam anschauen, wo Ihre digitale Datenschutz-Grundordnung steht – unabhängig davon, welche Reform am Ende kommt.
Das Grundproblem: Datenschutzaufsicht als Flickenteppich
Deutschland leistet sich beim Datenschutz eine föderale Struktur, die viele Unternehmer unterschätzen. Es gibt nicht eine zentrale Behörde, sondern 18 Datenschutzaufsichtsbehörden: je eine pro Bundesland, dazu den Bund – und in Bayern gleich zwei, eine für den öffentlichen und eine für den nicht-öffentlichen Bereich. Jede dieser Behörden legt das Datenschutzrecht eigenständig aus.
In der Theorie ist das ein Ausdruck von Unabhängigkeit und Bürgernähe. In der Praxis heißt es: Derselbe Sachverhalt kann an verschiedenen Orten unterschiedlich bewertet werden. Setzen mehrere Unternehmen in verschiedenen Bundesländern dieselbe Standardsoftware, dasselbe Shop-System oder dasselbe CRM ein, kann theoretisch jede zuständige Behörde zu einer eigenen Einschätzung kommen. Für den einzelnen Betrieb entsteht daraus keine Klarheit, sondern Unsicherheit – und die kostet Zeit, Nerven und im Zweifel Beratungsaufwand.
Genau diese Zersplitterung will der Bundesrat angehen. Die Initiative geht auf einen Antrag des Landes Hamburg zurück und verfolgt ein klares Ziel: die Aufsicht effizienter und einheitlicher machen, ohne die föderale Struktur aufzugeben. Es geht also nicht darum, die Landesbehörden abzuschaffen, sondern darum, ihre Bewertungen besser aufeinander abzustimmen.
Das Einer-für-Alle-Prinzip: eine Prüfung, viele Betriebe
Der Kern des Entwurfs lässt sich in einem Satz zusammenfassen: Was eine zuständige Aufsichtsbehörde einmal geprüft hat, soll für die anderen Behörden verbindlich sein. Erfasst werden sollen vor allem Verfahren oder Systeme zur Verarbeitung personenbezogener Daten, die bei mehreren Verantwortlichen ohne wesentliche Änderungen eingesetzt werden – also genau die standardisierten, bundesweit verbreiteten Lösungen, die im Alltag am häufigsten Fragen aufwerfen.
Hat eine Behörde ein solches Verfahren bewertet, soll diese Bewertung künftig auch für alle anderen maßgeblich sein. Das Ziel: keine Mehrfachprüfungen desselben Sachverhalts, keine widersprüchlichen Einschätzungen, mehr Planbarkeit für Unternehmen. Übersetzt in den Betriebsalltag würde das bedeuten: Ist eine bundesweit eingesetzte Software einmal sauber eingeordnet, muss nicht jeder Betrieb in jedem Bundesland dieselbe Grundsatzfrage neu ausfechten.
Der Name „Einer-für-Alle“ ist bewusst aus der Verwaltungsdigitalisierung entliehen. Beim Onlinezugangsgesetz meint er, dass ein Land einen digitalen Verwaltungsprozess entwickelt, den andere anschließend nachnutzen. Hier wird der Gedanke übertragen: Nicht der Prozess, sondern die datenschutzrechtliche Bewertung eines Verfahrens wird einmal erstellt und dann von allen genutzt.
Die Datenschutzkonferenz bekommt erstmals ein Gesetz
Damit eine solche gemeinsame Bewertung überhaupt funktioniert, braucht es ein handlungsfähiges Gremium. Bislang koordinieren sich die Aufsichtsbehörden in der Datenschutzkonferenz (DSK) – einem informellen Zusammenschluss ohne eigene gesetzliche Grundlage. Der Entwurf ändert das: Über einen neuen § 18 BDSG soll die DSK erstmals gesetzlich verankert und damit institutionalisiert werden. Er ersetzt den bisherigen § 18 und regelt die Zusammenarbeit der Aufsichtsbehörden grundlegend neu, mit dem erklärten Ziel einer einheitlichen Anwendung des europäischen und des nationalen Datenschutzrechts.
Mindestens ebenso praktisch ist eine zweite Änderung: das Abstimmungsverfahren. Bisher gilt in der DSK faktisch das Einstimmigkeitsprinzip – mit der Folge langwieriger Abstimmungen und eben jener uneinheitlichen Auslegungen. Künftig sollen die Behörden von Bund und Ländern mit Mehrheit entscheiden können. Erst das macht ein Einer-für-Alle-Prinzip überhaupt alltagstauglich, weil eine einzelne abweichende Stimme die gemeinsame Linie nicht mehr blockieren kann.
Ergänzend ist von einem nationalen „One-Stop-Shop“-Verfahren die Rede. Wichtig zur Einordnung: Das ist nicht mit dem bekannten EU-One-Stop-Shop für grenzüberschreitende Verarbeitung zu verwechseln, bei dem eine federführende Behörde für Fälle in mehreren EU-Staaten zuständig ist. Gemeint ist hier eine Bündelung innerhalb Deutschlands – eine zentrale Anlaufstelle statt 18 Einzelzuständigkeiten für denselben Sachverhalt.
Datenschutz-Check
Wissen Sie, welche Systeme bei Ihnen personenbezogene Daten verarbeiten?
Shop, Newsletter-Tool, Terminbuchung, CRM, KI-Assistent: Ich verschaffe mit Ihnen einen Überblick, wo Daten fließen, welche Verträge fehlen und wo Handlungsbedarf besteht – bevor eine Behörde fragt.
Warum die Bundesregierung skeptisch ist
So einleuchtend das Ziel klingt – der Weg ist umstritten. Der Entwurf des Bundesrates ist ausdrücklich als Gegenentwurf zu den Vorhaben der Bundesregierung angelegt. Es stehen damit zwei konkurrierende Reformansätze im Raum, und die Bundesregierung sieht die Bundesrats-Variante zumindest in Teilen kritisch.
Zwei rechtliche Argumente stehen im Vordergrund. Erstens die vom europäischen Recht garantierte völlige Unabhängigkeit der Datenschutzaufsichtsbehörden: Sie dürfen in ihrer Bewertung nicht von außen gebunden werden. Genau das könnte ein Prinzip berühren, das die Einschätzung einer Behörde für alle anderen verbindlich macht. Zweitens das verfassungsrechtliche Verbot der unzulässigen Mischverwaltung von Bund und Ländern – die Grenze also, wie eng Bund und Länder in der Verwaltung zusammenwirken dürfen.
Die Bundesregierung unterstützt das Ziel einer einheitlicheren Auslegung, hat aber einen eigenen Vorschlag angekündigt. Für Unternehmen heißt das: Es ist noch offen, in welcher Fassung – wenn überhaupt in dieser – die Neuerungen am Ende kommen. Das ist keine Formalie, sondern der Grund, warum man auf diese Reform nicht bauen sollte, um heutige Aufgaben aufzuschieben.
Was das für Unternehmen mit digitalem Auftritt bedeutet
Für die Zielgruppe, mit der ich täglich arbeite – mittelständische Betriebe, Dienstleister, Handwerk, die digital wachsen – ist die Botschaft doppelt. Einerseits wäre eine einheitlichere Aufsicht eine gute Nachricht: mehr Planbarkeit, weniger Grauzone, weniger Abhängigkeit davon, in welchem Bundesland man sitzt. Wer eine bundesweit verbreitete Lösung einsetzt, müsste seltener fürchten, dass dieselbe Software an einem anderen Ort plötzlich anders bewertet wird.
Andererseits ändert eine künftige Vereinheitlichung nichts an der Grundordnung, die schon heute gilt. Die DSGVO ist in Kraft, die Pflichten bestehen. Eine gebündelte Aufsicht macht die Durchsetzung einheitlicher – sie senkt aber nicht die Anforderungen an das einzelne Unternehmen. Wer heute kein sauberes Datenschutzkonzept hat, ist morgen nicht besser aufgestellt, nur weil die Behörden sich künftig besser abstimmen. Im Gegenteil: Je einheitlicher bewertet wird, desto verlässlicher greifen die bestehenden Regeln.
Der praktische Kern bleibt also unabhängig von der Reform derselbe. Drei Bausteine sollten stehen:
- Ein aktuelles Datenschutzkonzept, das beschreibt, welche personenbezogenen Daten Sie zu welchem Zweck verarbeiten – über alle Systeme hinweg, von der Website über den Newsletter bis zum CRM.
- Auftragsverarbeitungsverträge mit allen Dienstleistern, die in Ihrem Auftrag Daten verarbeiten – vom Hosting über das Mailtool bis zum externen KI-Dienst.
- Dokumentierte technisch-organisatorische Maßnahmen (TOM): nachvollziehbar festgehalten, wie Sie Daten technisch und organisatorisch schützen.
Das ist keine Kür für Konzerne, sondern die Grundordnung, die jeder Betrieb mit digitalem Auftritt braucht. Und sie ist die eigentliche Voraussetzung dafür, dass man Digitalisierung überhaupt entspannt vorantreiben kann.
Datenschutz als Rahmen, nicht als Stoppschild
In vielen Gesprächen erlebe ich, dass „Datenschutz“ als Grund herhalten muss, um digitale Vorhaben gar nicht erst anzugehen. Das halte ich für den falschen Reflex – und habe es ausführlich beschrieben in Datenschutz als Ausrede? Warum Digitalisierung trotzdem möglich ist. Eine Reform wie diese unterstreicht die Richtung: Der Staat versucht, den Rahmen berechenbarer zu machen, nicht enger. Klügere Aufsicht soll Digitalisierung erleichtern, nicht bremsen.
Konkret wird das dort, wo neue Werkzeuge in den Alltag kommen. Wer etwa KI-Tools einsetzt, sollte die Datenfrage von Anfang an mitdenken – dazu habe ich hier Praktisches zusammengetragen: ChatGPT im Betrieb – erlaubt oder Datenschutz-Falle?. Und wer den größeren regulatorischen Rahmen im Blick behalten will, findet die verwandten Bausteine im EU AI Act und im Cyber Resilience Act. Das Muster ist überall dasselbe: Es geht seltener um spektakuläre Verbote als um Ordnung, Nachweisbarkeit und vorbereitete Prozesse.
Fazit: gute Richtung, aber kein Grund zum Abwarten
Das Einer-für-Alle-Prinzip ist ein sinnvoller Gedanke: Es adressiert ein echtes Problem – die Zersplitterung der deutschen Datenschutzaufsicht – und würde Unternehmen mehr Planbarkeit geben. Dass die Datenschutzkonferenz erstmals eine gesetzliche Grundlage bekäme und mit Mehrheit entscheiden könnte, ist der praktisch wichtigste Teil. Zugleich ist offen, ob und in welcher Form das kommt: Die Bundesregierung hat verfassungs- und europarechtliche Bedenken und einen eigenen Vorschlag angekündigt, umzusetzen ist die Reform laut Koalitionsvereinbarung bis spätestens Ende 2027.
Für Unternehmer heißt das: die Entwicklung im Blick behalten, aber nicht darauf warten. Wer digitale Systeme einsetzt oder plant, sollte seine Datenschutz-Grundordnung heute in Ordnung bringen – dann ist jede künftige Vereinheitlichung ein Rückenwind und keine Baustelle.
Häufige Fragen zur BDSG-Reform und zum Einer-für-Alle-Prinzip
Was ist das Einer-für-Alle-Prinzip im Datenschutz?
Das Einer-für-Alle-Prinzip (EfA) ist ein Kernstück des Gesetzentwurfs des Bundesrates zur Änderung des Bundesdatenschutzgesetzes. Hat eine zuständige Aufsichtsbehörde ein Verfahren oder System zur Verarbeitung personenbezogener Daten geprüft, das bei mehreren Verantwortlichen ohne wesentliche Änderungen eingesetzt wird, soll diese Bewertung künftig auch für die anderen Aufsichtsbehörden maßgeblich sein. So sollen Mehrfachprüfungen und voneinander abweichende Bewertungen desselben Sachverhalts vermieden werden.
Gilt das neue Datenschutzrecht schon?
Nein. Es handelt sich um ein laufendes Gesetzgebungsverfahren, nicht um geltendes Recht. Der Bundesrat hat den Entwurf am 10. Juli 2026 beschlossen und in den Bundestag eingebracht (Bundestags-Drucksache 21/7732, formell behandelt am 26. August 2026). Laut Koalitionsvereinbarung soll die Reform der Datenschutzaufsicht bis spätestens 31. Dezember 2027 umgesetzt werden. In welcher Fassung, bleibt dem weiteren parlamentarischen Verfahren vorbehalten.
Was ändert sich für die Datenschutzkonferenz (DSK)?
Die Datenschutzkonferenz soll über einen neuen Paragrafen 18 BDSG erstmals eine gesetzliche Grundlage bekommen und damit institutionalisiert werden. Zudem soll sich das Abstimmungsverfahren ändern: Statt Einstimmigkeit sollen die Aufsichtsbehörden von Bund und Ländern künftig mit Mehrheit entscheiden können, was langwierige Abstimmungen verkürzen soll.
Warum ist die Bundesregierung zurückhaltend?
Die Bundesregierung unterstützt das Ziel einer einheitlicheren Auslegung, sieht Teile des Bundesrats-Entwurfs aber rechtlich kritisch: vor allem mit Blick auf die unionsrechtlich garantierte völlige Unabhängigkeit der Datenschutzaufsichtsbehörden und das verfassungsrechtliche Verbot einer unzulässigen Mischverwaltung von Bund und Ländern. Sie hat einen eigenen Reformvorschlag angekündigt. Es stehen damit zwei konkurrierende Ansätze im Raum.
Wie viele Datenschutzaufsichtsbehörden gibt es in Deutschland?
In Deutschland gibt es derzeit 18 Datenschutzaufsichtsbehörden: eine je Bundesland plus den Bund, und in Bayern zwei Behörden – eine für den öffentlichen und eine für den nicht-öffentlichen Bereich. Genau diese Vielzahl ist der Grund, warum derselbe Sachverhalt bislang unterschiedlich bewertet werden kann.
Was sollten Unternehmen jetzt tun?
Nicht auf die Reform warten. Wer digitale Systeme wie Shop, Buchungssystem, CRM oder Newsletter einsetzt, sollte schon heute sauber aufgestellt sein: ein aktuelles Datenschutzkonzept, Auftragsverarbeitungsverträge mit allen Dienstleistern und dokumentierte technisch-organisatorische Maßnahmen. Eine spätere Vereinheitlichung erleichtert die Durchsetzung, ersetzt aber nicht die eigene Grundordnung.
Erstgespräch
Digital wachsen – mit sauberem Datenschutz von Anfang an
Ob neue Website, KI-Tool oder Prozessautomatisierung: In einem kurzen Gespräch schauen wir, wie Sie Ihr Vorhaben umsetzen und die Datenschutz-Grundordnung gleich richtig aufstellen – pragmatisch, ohne Aktionismus und unabhängig davon, welche Reform am Ende kommt.
Quellen: Deutscher Bundestag (hib-Kurzmeldung), Universität des Saarlandes (Lehrstuhl, Analyse zur BDSG-Reform), boerse-express.com. Bundestags-Drucksache 21/7732.
Hinweis: Dieser Beitrag gibt den Sachstand allgemein verständlich wieder und ersetzt keine Rechtsberatung im Einzelfall. Es handelt sich um ein laufendes Gesetzgebungsverfahren; Inhalt und Zeitplan können sich ändern. Für eine verbindliche Bewertung Ihrer konkreten Situation ziehen Sie bitte fachkundigen Rat hinzu.