Wirtschaft will Entlastung beim Datenschutz
Die deutsche Wirtschaft fordert eine umfassende Reform des Datenschutzes. 90 Prozent der Unternehmen halten eine gezielte Reform der Datenschutz-Grundverordnung (DS-GVO) für notwendig, 41 Prozent sogar für sehr notwendig. Gerade einmal 5 Prozent sehen keinen Reformbedarf. Ähnlich eindeutig fällt das Urteil über die Datenschutzaufsicht aus: 93 Prozent halten eine Reform des deutschen Aufsichtssystems für nötig, jedes vierte Unternehmen (26 Prozent) sogar eine grundlegende. Nur 4 Prozent meinen, das System solle so bleiben, wie es ist. Abschaffen will es zugleich niemand. Das sind Ergebnisse einer repräsentativen Befragung von 605 Unternehmen ab 20 Beschäftigten in Deutschland im Auftrag des Digitalverbands Bitkom. „Die Unternehmen wollen, dass der Datenschutz funktioniert. Nach acht Jahren DS-GVO ist der Befund eindeutig: Der Aufwand wächst weiter, die Rechtsunsicherheit bleibt, und die Aufsicht bietet wenig Unterstützung“, sagt Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung. „Mit dem Digital Omnibus liegt auf EU-Ebene jetzt ein Vorschlag zur Reform der europäischen DS-GVO auf dem Tisch, der zumindest an einigen Stellen für Entlastung sorgen kann.“
Datenschutz als Innovationshemmnis
Die anhaltende Belastung hinterlässt Spuren in der grundsätzlichen Haltung der Unternehmen. Nur jedes zweite Unternehmen (49 Prozent) findet, ein hoher Datenschutzstandard sei grundsätzlich wichtig für unsere Gesellschaft. Und ebenfalls nur 49 Prozent halten den Datenschutz für einen Standortvorteil für Deutschland und Europa. Dem stehen 71 Prozent gegenüber, die sagen, der Datenschutz hemme die Digitalisierung in Deutschland, ebenso viele halten ihn für kleinere Unternehmen für kaum umsetzbar. 70 Prozent meinen, wir übertrieben es hierzulande mit dem Datenschutz, 62 Prozent sagen, deutsche Unternehmen überzögen aus Angst vor Verstößen. „Eine gute Reform würde den Datenschutz nicht schwächen, sondern seine Wirkung und Akzeptanz stärken“, so Dehmel.
Der Aufwand wächst weiter
Die große Mehrheit der Unternehmen ächzt unter dem Aufwand, den der Datenschutz mit sich bringt. 92 Prozent bezeichnen ihn als hoch, 42 Prozent sogar als sehr hoch. Und er wächst: In 71 Prozent der Unternehmen hat der Aufwand im vergangenen Jahr weiter zugenommen, bei 22 Prozent sogar stark. Nur bei 2 Prozent ist er gesunken.
Auch die grundsätzliche Bewertung der DS-GVO verschlechtert sich Jahr für Jahr. 88 Prozent sagen inzwischen, die DS-GVO mache ihre Geschäftsprozesse komplizierter. 2025 waren es 81 Prozent, 2024 erst 77 Prozent. 76 Prozent finden, die deutschen Datenschutzbehörden wenden die DS-GVO zu streng an, nach 69 Prozent im Vorjahr und 64 Prozent im Jahr davor. Umgekehrt sagen nur noch 61 Prozent, die Datensicherheit im eigenen Unternehmen habe sich durch die DS-GVO verbessert, 2024 waren es noch 70 Prozent.
Den größten Aufwand verursacht die Dokumentationspflicht von Verarbeitungstätigkeiten, die 84 Prozent nennen, nach 73 Prozent im Vorjahr. Es folgen die Klärung der rechtlichen Anforderungen mit 68 Prozent (2025: 57 Prozent), die technische Implementierung mit 65 Prozent (2025: 69 Prozent), die Erfüllung von Informationspflichten mit 61 Prozent (53 Prozent) und die Sicherstellung der Betroffenenrechte mit 51 Prozent (43 Prozent). Für 48 Prozent ist die Abstimmung mit externen Dienstleistern aufwendig (2025: 54 Prozent), für 43 Prozent die Bewertung von Datenschutzverstößen (2025: 36 Prozent), für 37 Prozent der Aufbau interner Datenschutzkompetenzen (2025: 33 Prozent) und für 33 Prozent die Schulung der Beschäftigten (2025: 36 Prozent). Am Ende rangiert wie im Vorjahr mit 25 Prozent die Benennung eines Datenschutzbeauftragten. Kein einziges Unternehmen gibt an, keine Probleme aufgrund des Datenschutzes zu haben.
Die größten Herausforderungen kommen dabei von außen. 88 Prozent der Unternehmen klagen über Unsicherheit zu den genauen Datenschutz-Vorgaben, 83 Prozent darüber, dass die Umsetzung nie vollständig abgeschlossen ist, weil laufend auf rechtliche Entwicklungen reagiert werden muss. 78 Prozent halten die Anforderungen schlicht für zu hoch. 70 Prozent sagen, das Ausrollen neuer Tools setze die Datenschutzprüfung immer wieder neu in Gang, und 61 Prozent beklagen mangelnde Beratung durch die Aufsichtsbehörden. Dahinter folgen der Zeitaufwand durch IT- und Systemumstellungen (56 Prozent), sich widersprechende rechtliche Vorgaben (55 Prozent), die uneinheitliche Auslegung des Datenschutzes innerhalb der EU (49 Prozent) und innerhalb Deutschlands (32 Prozent). Interne Gründe spielen dagegen eine untergeordnete Rolle: 42 Prozent fehlt es an qualifiziertem Personal, 40 Prozent an finanziellen Mitteln, 39 Prozent tun sich schwer, die komplexen Anforderungen den Beschäftigten verständlich zu machen und 27 Prozent beklagen die mangelnde Einbindung der Datenschutzbeauftragten. Nur 10 Prozent nennen die fehlende Unterstützung durch die Geschäftsführung, 9 Prozent eine insgesamt mangelnde Unterstützung im Unternehmen.
Die Aufsicht hilft nicht immer – und dann nur mittelmäßig
Wer sich mit Fragen an die Aufsichtsbehörden wendet, bleibt häufig ohne Antwort. 37 Prozent der Unternehmen haben in den vergangenen zwei Jahren Hilfestellung angefragt und keine Rückmeldung erhalten. Ein Viertel hat gar nicht erst angefragt. Zugleich haben mit 64 Prozent fast zwei Drittel Hilfen der Aufsicht genutzt: 33 Prozent haben einmal Hilfestellung genutzt, 31 Prozent mehrfach. Vor zwei Jahren lag der Anteil nur bei 54 Prozent. Allerdings: Wer Hilfe bekam, bewertet sie nur mit der Schulnote 2,9 — nach 2,7 im Jahr 2024. 15 Prozent vergeben ein Sehr gut, 8 Prozent dagegen ein Mangelhaft oder Ungenügend.
Entsprechend klar sind die Erwartungen an eine Reform. Von den 93 Prozent der Unternehmen, die Reformbedarf sehen, wünschen sich 85 Prozent eine Zentralisierung der Datenschutzaufsicht in Deutschland und 80 Prozent eine Zentralisierung auf EU-Ebene. 82 Prozent fordern eine bessere Abstimmung zwischen den Behörden, 76 Prozent eine zentrale Datenbank aller aufsichtsbehördlichen Entscheidungen, 70 Prozent einheitliche Meldeprozesse für Datenschutzverstöße und 67 Prozent die gegenseitige Anerkennung von Entscheidungen der Aufsichtsbehörden. Zwei von drei Unternehmen (66 Prozent) wollen schlicht schnellere Antworten auf Anfragen und Beschwerden, rund ein Drittel (31 Prozent) eine bessere Erreichbarkeit. Eine knappe Mehrheit von 54 Prozent plädiert für die Einrichtung von Aufsichtsbehörden zu thematischen Schwerpunkten, 48 Prozent wünschen sich mehr Flexibilität bei der Auslegung und Anwendung der Datenschutzgesetze. Und mit 34 Prozent unterstützt jedes dritte Unternehmen den Ruf nach konsequentem Vorgehen gegen Verstöße. „Wenn jedes dritte Unternehmen auf eine Anfrage an die Aufsicht gar keine Antwort bekommt, ist das kein Detailproblem, sondern ein strukturelles“, so Dehmel. „Sechzehn Aufsichtsbehörden mit teils unterschiedlicher Auslegung binden auch Kapazitäten, die in Beratung und Durchsetzung fehlen. Die Unternehmen halten eine Bündelung der Aufsicht für eine sinnvolle Maßnahme.“
Wo eine Vereinfachung wirklich entlasten würde
Bei der Frage, welche Vereinfachungen der DS-GVO tatsächlich helfen würden, ist die Antwort eindeutig: 89 Prozent der Unternehmen nennen weniger Dokumentationspflichten bei risikoarmen Verarbeitungen. 76 Prozent wünschen sich eine einheitliche Auslegung durch die Datenschutzbehörden, 73 Prozent mehr Rechtssicherheit bei der Interessenabwägung und 69 Prozent eine bessere Abstimmung mit anderen Regulierungen wie dem AI Act. 62 Prozent wollen eine Meldepflicht für Datenschutzverletzungen nur noch bei hohem Risiko, 61 Prozent weniger Einwilligungsabfragen für Cookies und Tracking, 55 Prozent reduzierte Informationspflichten. 47 Prozent würde eine vereinfachte Nutzung pseudonymisierter Daten entlasten, 44 Prozent mehr Möglichkeiten zur Datenverarbeitung ohne Einwilligung, 40 Prozent bessere Muster und Praxisbeispiele der Aufsichtsbehörden. Am seltensten genannt wird ausgerechnet der Punkt, über den in Deutschland derzeit am lautesten gestritten wird: Nur 35 Prozent der Unternehmen würde die Abschaffung der verpflichtenden betrieblichen Datenschutzbeauftragten entlasten. Kein einziges Unternehmen gibt an, dass es keine Stelle gebe, an der eine Vereinfachung helfen würde.
KI wird zur neuen Belastungsprobe
Mit dem Einsatz von Künstlicher Intelligenz kommen neue Aufgaben auf die Datenschutz-Verantwortlichen zu. 79 Prozent der Unternehmen sagen, der Datenschutz müsse an das KI-Zeitalter angepasst werden, nach 71 Prozent im Vorjahr. 57 Prozent fordern, die Nutzung personenbezogener Daten für Entwicklung und Training von KI-Systemen bei berechtigtem Interesse zu erlauben. 78 Prozent berichten, die Datenschutzprüfung von KI-Projekten werde immer aufwendiger, für 72 Prozent ist Datenschutz beim KI-Einsatz ein großes Thema im eigenen Haus. Zugleich räumen 56 Prozent der Befragten ein, bei Datenschutz-Fragen zu KI häufig überfordert zu sein. 51 Prozent sehen in KI-Chatbots eine Hilfe für die Beschäftigten bei Datenschutz-Fragen. Die Hälfte (50 Prozent) sagt, der Datenschutz behindere im eigenen Unternehmen den Einsatz von KI.
Datenschutzbedenken bremsen Nutzung von ausländischen Lösungen
Aber nicht nur KI, sondern auch andere innovative technische Lösungen werden durch den Datenschutz gebremst. 4 von 10 Unternehmen (42 Prozent) haben wegen Datenschutzbedenken bereits auf Produkte oder Lösungen aus Ländern außerhalb der EU verzichtet, 19 Prozent sogar mehrfach. Betroffen sind vor allem Anbieter aus China, das 59 Prozent dieser Unternehmen nennen, und aus den USA mit 39 Prozent. Jeweils 10 Prozent entfallen auf Indien und andere Länder außerhalb der EU. „Die Wirtschaft fordert keine Datenschutz-Deregulierung, sondern Verhältnismäßigkeit“, sagt Dehmel. „Werden risikoarme Verarbeitungen von Dokumentationspflichten befreit, sorgt man für eine einheitliche Auslegung und bringt Datenschutz und KI-Regulierung zusammen, und entlastet Unternehmen spürbar, ohne das Schutzniveau zu senken.“
Privacy Conference des Bitkom am 29. und 30. September
Welche Entwicklungen beim Datenschutz und bei der Datenschutzaufsicht in Deutschland zu erwarten sind und welche Auswirkungen der Digitale Omnibus, eine mögliche DSGVO-Reform, der Data Act sowie der AI Act auf den Datenschutz und die Datennutzung haben, ist auch Thema der Bitkom Privacy Conference am 29. und 30. September in Berlin und online. Neben Datenschutzexpertinnen und Datenschutzexperten verschiedener Datenschutzbehörden kommen global agierende Unternehmen, der innovative Mittelstand, Startups sowie Vertreterinnen und Vertreter aus Politik, Wissenschaft und Praxis zusammen. Mit dabei sind unter anderem Michael McGrath (EU-Kommissar für Demokratie, Justiz, Rechtsstaatlichkeit und Verbraucherschutz), Bernd Krösser (Staatssekretär im Bundesministerium des Inneren), Dr. Hans-Joachim Arnold (Vice President, Lufthansa Group Compliance & Data Protection), Valentina Daiber (Chief Officer Legal & Corporate Affairs, Mitglied des Vorstands der Telefónica Deutschland Holding AG), Thomas Zerdick (Europäischer Datenschutzbeauftragter) und Alex Greenstein (U.S. Department of Commerce). Der erste Konferenztag am 29. September findet vor Ort im Futurium Berlin statt, der zweite Tag am 30. September steht im internationalen Fokus und ist per Livestream kostenlos zu verfolgen.
