Stellungnahme im Rahmen des Konsultationsverfahrens „Stuttgarter Impulse“ zur Modernisierung des Datenschutzes
September 2026
Die Stiftung Datenschutz begrüßt die Initiative der Datenschutzaufsichtsbehörden der Länder für einen zukunftsfähigen Datenschutz, der Grundrechte der Menschen und eine effektive Datennutzung gleichermaßen gewährleistet.
Die Stiftung Datenschutz wurde 2013 von der Bundesregierung gegründet. Stifterin ist die Bundesrepublik Deutschland. Aufgabe der unabhängigen Einrichtung ist die Förderung des Datenschutzes an den Schnittstellen zwischen Politik, Aufsichtsbehörden, Wirtschaft, Wissenschaft und Gesellschaft.
Die Bundesstiftung bietet eine neutrale Diskussionsplattform zu Fragen der Datenpolitik und des Datenschutzrechts. Darüber hinaus stellt sie praktische Informationen zur Anwendung des Datenschutzrechts für verschiedene Zielgruppen bereit. Die Stiftung Datenschutz ist gemeinnützig und neutral; sie agiert frei von gewerblichen oder aufsichtspolitischen Interessen.
Aufgrund knapper Ressourcen kann die Stiftung Datenschutz in dieser Stellungnahme nur auf einzelne Punkte und wie folgt eingehen:
Zu Teil C. Modernisierung der Datenschutzaufsicht
Mit den Stuttgarter Impulsen reagiert die Konferenz der Unabhängigen Datenschutzaufsichtsbehörden (DSK) unter dem Leitbild „Koordiniert. Effizient. Zukunftsfähig“ auf die aktuelle Reformdebatte (u. a. die Bundesratsinitiative 356/26 Hamburg) und zielt darauf ab, Einheitlichkeit und Effizienz zu erhöhen, ohne die föderale, ortsnahe Aufsicht aufzugeben.
Mit den „Stuttgarter Impulsen“ werden Ansatzpunkte und Lösungen für das scheinbare Spannungsverhältnis zwischen „einheitlichem Vollzug“ und „föderaler Aufsicht“ durch verbindliche Koordinierungsinstrumente (institutionalisierte DSK, Mehrheitsbeschlüsse, Geschäftsstelle) gesetzt. Dieser Ansatz orientiert sich an der verfassungsrechtlichen Prägung der Aufsicht im föderalen System.
Die Einführung verbindlicher Mehrheitsentscheidungen und des „Einer-für-Alle“-Prinzips adressiert ein häufiges Praxisproblem: Parallele Prüfungen und potenziell divergierende Einschätzungen bei identischen Sachverhalten. Beide
Lösungsansätze erhöhen Planungssicherheit für Unternehmen und verringern Verwaltungslast.
Ein zentrales Portal und eine Entscheidungsdatenbank sind klassische „Access-to-Justice“- bzw. „Good-Governance“-Maßnahmen, die Transaktionskosten für Anfragende senken, Aufsichtspraxis nachvollziehbar machen und konsistente Entscheidungen durch Abgleich mit bestehendem Wissen fördern.
Die gezielte Bündelung von Spezialkompetenzen vermeidet Doppelstrukturen und erlaubt den Aufbau von fach- und sachgerechten Entscheidungen auf technisch komplexen Feldern (z. B. KI-Normung, Zertifizierung).
Im Einzelnen:
Zu 1. Kompetenzen stärker verzahnen. Synergien nutzen.
Die Bestrebungen der Bundesregierung, die Datenschutzaufsicht zentral zu bündeln, kann aus Sicht der Stiftung Datenschutz zu erheblichem Mehraufwand führen, denn um den gesetzlichen Vorgaben für Prüfungen zu entsprechen, werden regionale Büros nicht entfallen können. Schon unter den gegebenen Bedingungen besteht ein erhebliches Durchsetzungsdefizit datenschutzrechtlicher Vorgaben. Diese sollten durch mangelnde Ortspräsenz nicht vergrößert werden. Durchsetzungsdefizite führen zu unterschiedlichen Bedingungen für Marktteilnehmer, die rechtstreue Unternehmen benachteiligen.
Nach einer aktuellen Umfrage „Unternehmen und Datenschutz: Stimmungsbild 2026“ der Stiftung Datenschutz halten 48,1 % der privatwirtschaftlichen Entscheider auf C-Level (z. B. CEO, CFO oder COO) ein hohes Niveau im Datenschutz als Standortfaktor in der EU für (sehr) wichtig. Damit hat Datenschutz auch in Unternehmen einen festen Platz.
Die DSK betont daher zutreffend, dass Datenschutz als Qualitäts- und Wettbewerbsmerkmal von entscheidender wettbewerblicher Bedeutung sein kann. Dazu kann neben der Einhaltung und Dokumentation von technischen und organisatorischen Datenschutzmaßnahmen auch der Standort eine Rolle spielen. Die räumliche Nähe zur Aufsicht, die mit den landestypischen Gepflogenheiten vertraut ist, kann Hemmschwellen bei der Kontaktaufnahme abbauen.
Auch eine zentralisierte Aufsichtsbehörde muss ihren europarechtlichen Aufgaben nachkommen und Kontrollen vor Ort sowie Beratungen durchführen. Schon jetzt sind die Aufsichtsbehörden bei der Auslegung der Datenschutz-Grundverordnung (DSGVO) an die Maßgaben des Europäischen Datenschutzausschusses und des Europäischen Gerichtshofs gebunden.
Eine Einheitlichkeit der Aufsichtsentscheidungen wird nach unserem Kenntnisstand bei steigender Komplexität der informationstechnischen Anwendungen eher durch eine Verstärkung der Zusammenarbeit unter den Aufsichtsbehörden erreicht. Die Geschichte des Datenschutzrechts in Deutschland hat gezeigt, dass sowohl der Ruf als auch die Qualität der Aufsicht vom Diskurs unter den Aufsichtsbehörden profitiert haben.
Zu 2. DSK gesetzlich verankern
Die Stiftung Datenschutz sieht einen erheblichen Mehrwert in einer Institutionalisierung der DSK. Als Instrument einer einheitlichen Anwendung des europäischen und deutschen Datenschutzrechts auf die besonderen föderalen Bedingungen kann die Diskussion in der Datenschutzkonferenz zu praxisnahen Entscheidungen führen, die den regionalen Bedingungen der Unternehmen gerecht werden.
Eine institutionelle Absicherung der DSK im BDSG ermöglicht eine dauerhafte Absicherung organisatorischer Ressourcen und stellt die bereits heute bestehende zentrale Koordinierungsfunktion auf ein belastbares Fundament.
Da in der DSK nicht nur die Aufsichtsbehörden der Länder vertreten sind, erscheint eine Absicherung im BDSG als geeignete Rechtsgrundlage.
Zu 3. Verbindliche Mehrheitsentscheidungen etablieren
Auch in anderen föderalen Bereichen kooperieren die Länder miteinander. Es hat sich gezeigt, dass Abstimmungsergebnisse erforderlich sind, um eine einheitliche Rechtsanwendung bei gleichen Sachverhalten sowie eine einheitliche Auslegung unbestimmter Rechtsbegriffe zu erreichen. Der Kooperationsgedanke zwischen den Landesbehörden sollte rechtlich abgesichert und vom Gesetzgeber eingefordert werden.
Hierbei ist zu beachten, dass es sich bei den Abstimmungen nicht um Einzelfallentscheidungen handeln darf und die unionsrechtliche Unabhängigkeit der einzelnen Aufsichtsbehörden nicht beeinträchtigt wird.
Für alle Beteiligten vorteilhafte Ergebnisse werden in der Regel in Gremien und nicht durch Einzelpersonen erzielt. Auch wenn ein Abstimmungsprozess zunächst aufwendig erscheinen mag, so wird er doch nur in Fällen tatsächlich relevant, in denen schwierige Sachverhalte behandelt werden. Es erscheint sachgerecht, dass in solchen Fällen fundierte, diskutierte Sachverhaltslösungen anzustreben sind statt schnelle Einzelfallentscheidungen.
Eine Bindungswirkung von Mehrheitsentscheidungen bedarf nach Auffassung der Stiftung Datenschutz eines fein abgestimmten Gesetzentwurfes, der sich auf die koordinierende Wirkung der Abstimmung bezieht und nicht in die eigenständige Aufgabenwahrnehmung der einzelnen Datenschutzaufsichtsbehörden eingreift.
Zu 4. DSK durch eine Geschäftsstelle professionalisieren
Bei einer Institutionalisierung der DSK erscheint eine gemeinsame Geschäftsstelle nach dem Vorbild des Europäischen Datenschutzausschusses (EDSA) sachgerecht und funktional. Es ist zu erwarten, dass dadurch bei den Ländern Einsparpotenziale entstehen und eine aufwendige Übergabe der Geschäfte bei wechselnden Vorsitzländern entfällt.
Maßgeblich ist für die Organisation der Geschäftsstelle, dass diese gem. den Vorgaben des Art. 52 DSGVO die Eigenständigkeit der Aufsichtsbehörden unberührt lässt.
Zu 5. Spezialkompetenzen gezielt bündeln
Der Vorschlag, Spezialkompetenzen bei der bzw. dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) zu bündeln, kann aus Sicht der Stiftung dann vorteilhaft sein, wenn Organisationen bundesweit aktiv sind und beispielsweise eine Akkreditierung als Zertifizierungsstelle oder die Anerkennung von Verhaltensregeln (Art. 40 ff. DSGVO) anstreben.
Zusätzlich könnten bei der bzw. dem BfDI eigenständige Zertifizierungsprogramme für Produkte, die eine erhebliche gesellschaftliche Bedeutung haben, aufgesetzt und angeboten werden. Solche Angebote fehlen bislang, weil sie von nicht-öffentlichen Zertifizierungsstellen nicht wirtschaftlich angeboten werden können.
Zu 6. Orientierung insbesondere für Unternehmen bieten
Die EDSA-Leitlinien bedürfen in Teilen ergänzender Erläuterungen zur Anpassung an das deutsche Verfahrensrecht und an andere regionale Besonderheiten. Eine institutionalisierte Datenschutzkonferenz mit einer gut ausgestatteten Geschäftsstelle könnte bei der Anwendung der EDSA-Leitlinien für eine schnelle und bessere Zugänglichkeit der Leitlinien gerade für kleine und mittelständische Unternehmen sowie für die Dienststellen der Landesbeauftragten sorgen. Denn eine europa- und bundesweit einheitliche Auslegung kann nur dann erfolgen, wenn bereits bei der Sachbearbeitung der Kenntnisstand aktuell ist.
Zu 7. Zentrales digitales Portal
Ein zentrales digitales Portal kann es aus Sicht der Stiftung Datenschutz Unternehmen und Organisationen einerseits sowie Betroffenen andererseits erheblich erleichtern, sich an die zuständige Stelle zu wenden.
Die Stiftung Datenschutz erreichen regelmäßig Nachfragen und Hilfegesuche von Bürgerinnen und Bürgern, die bei der Wahl der zuständigen Stelle unsicher sind oder die Stiftung für zuständig halten. Ein „Single Entry Point“ würde auch hier eine Entlastung bedeuten und für mehr Sicherheit bei den Betroffenen sorgen.
Zu 8. Gemeinsame Entscheidungsdatenbank aufbauen
Leitlinien und andere Dokumente der DSK werden bereits im DatenschutzArchiv der Stiftung Datenschutz (www.datenschutzarchiv.org) an einem Ort leicht zugänglich veröffentlicht. Hier finden sich auch die europäischen Leitlinien und Stellungnahmen des Europäischen Datenschutzausschusses sowie die Tätigkeitsberichte der Aufsichtsbehörden.
Die Stiftung Datenschutz könnte die Funktion als Träger einer öffentlich zugänglichen Entscheidungsdatenbank übernehmen. Voraussetzung hierfür wären die Abstimmung eines gemeinsamen Formates für die Tätigkeitsberichte sowie beispielsweise die Einrichtung eines Eingabe-Interfaces.
Zu 9. „Einer-für-Alle“-Prinzip einführen
Die Stiftung Datenschutz unterstützt die Einrichtung eines „Einer-für-Alle“-Prinzips. Maßgeblich für dessen Wirksamkeit ist jedoch, dass es sich bei den geprüften Sachverhalten um dasselbe Produkt bzw. dieselbe Anwendung handelt oder die Sachverhalte tatsächlich in ihren wesentlichen Punkten vergleichbar sind. Im letzteren Fall wäre ein Verfahren für Unstimmigkeiten empfehlenswert.
Zu Teil D. Kernthesen zum materiellen Datenschutzrecht
Zu 1. Leitplanken für KI
Die Stiftung Datenschutz teilt die Auffassung der Landesbeauftragten hinsichtlich eines besseren Schutzes der Rechte und Freiheiten der Menschen beim Einsatz von KI.
Die Durchsetzung der Rechte der Betroffenen sollte aber nicht erst dann ansetzen, wenn Verstöße bereits in der Welt sind. Vielmehr muss es darum gehen, das europäische Regelungssystem in Deutschland effektiv durchzusetzen und Bürgerinnen und Bürger wie auch Unternehmen und andere Organisationen von eigenen Prüfaufgaben zu entlasten. Der Schutz muss an der Stelle ansetzen, an der die Verarbeitung entsteht.
Zu 2. Operationalisierung verbessern
Es hat sich gezeigt, dass Instrumente der Selbstregulierung nicht den erhofften Erfolg bringen.
Um einen funktionierenden Markt zu schaffen, bedarf es einer gleichmäßig effektiven Rechtsdurchsetzung, die nicht durch Selbstregulierungsinstrumente verwässert werden sollte. Zertifikate sollten verlässlich und vergleichbar sein.
Es ist der DSK zu empfehlen, dem Gesetzgeber nahezulegen, maßgebliche Zertifizierungsaufgaben (Art. 40 ff. DSGVO), die sich wirtschaftlich nicht über den Markt regeln lassen, einer gut ausgestatteten staatlichen Stelle zu übertragen. Nur so kann langfristig berechtigtes Vertrauen in sichere und souveräne digitale Dienste aufgebaut werden, die einen wirtschaftlichen Mehrwert erzielen können.
Zu 3. Risikobasierte Ansätze prüfen
Dem Einsatz für eine Ausweitung des risikobasierten Ansatzes in der DSGVO ist mit Vorsicht zu begegnen. Die technischen Entwicklungen, insbesondere in der Kombination von Informationen, schreiten in einem solchen Tempo voran, dass eine Unbedenklichkeitsprognose für scheinbar unproblematische Verarbeitungen nicht sinnvoll gegeben werden kann.
Zu 4. Auftragsverarbeitung entbürokratisieren, Hersteller in die Pflicht nehmen
Die Stiftung Datenschutz ist der Auffassung, dass eine Verantwortlichkeit von Herstellern für ihre Produkte und Lösungen sowie eine direkte Anwendbarkeit des Grundsatzes des Datenschutzes durch Design und durch Voreinstellungen eine erhebliche Verbesserung für den Schutz der Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten bedeuten würde.
Die Stiftung teilt die Auffassung der Landesbehörden, dass eine Verantwortlichkeit der Hersteller von Anwendungen gerade kleine und mittlere Unternehmen – sowie auch Privatpersonen – bei der Nutzung ihrer Produkte und Lösungen entlasten und Bürokratieaufwand abbauen würde.
Eine solche Verantwortlichkeit könnte nach dem Vorbild der KI-Verordnung auch im Rahmen der DSGVO verankert werden.
Zu 5. Grundrechtsschutz effektivieren
Die Stiftung Datenschutz unterstützt einen effektiven Grundrechtsschutz. Sie ist der Auffassung, dass dabei im Kern die Abwendung und Milderung der sozialschädlichen Folgen der Datenverarbeitung im Mittelpunkt stehen sollte.
Verarbeitungen, die auf die Mehrung des gesellschaftlichen Nutzens gerichtet sind, sind stets ist im Sinne des Grundrechtsschutzes mit dem Schutz des Individuums abzuwägen und mit diesem in Einklang zu bringen.
Soweit die Bearbeitung von Beschwerden priorisiert werden soll und dies nicht bereits durch das den Behörden eingeräumte Ermessen erreicht werden kann, sollten Alternativen erwogen werden. So könnte beispielsweise eine Steuerung von (KI-generierten) Eingabeinhalten, z.B. durch von den Behörden vorbereitete und bereitgestellte Formulare, in Betracht kommen. Es wäre zu prüfen, ob dadurch der Behördenaufwand bei der Bearbeitung von Beschwerden und anderen Eingaben gesenkt werden kann, ohne dass das Recht der Betroffenen auf Bearbeitung ihrer Eingaben geschmälert wird.
Die Stiftung unterstützt das Ansinnen der Landesbeauftragten, sich verstärkt und intensiviert mit Beschwerden auseinanderzusetzten, die eine Vielzahl von Betroffenen betrifft oder deren Entscheidung eine grundsätzliche Bedeutung hat, wie beispielsweise neuartige Verarbeitungen im Gesundheitsbereich.
Abschließender Impuls
Die „Stuttgarter Impulse zur Modernisierung des Datenschutzes“, die von den unabhängigen Datenschutzaufsichtsbehörden der Länder am 18. Juni 2026 einstimmig beschlossen wurden, stellen einen zentralen Beitrag zur aktuellen Reformdebatte um das Datenschutzrecht in Deutschland dar.
Mit den Vorschlägen wird die Effizienz und Einheitlichkeit der Datenschutzaufsicht innerhalb der verfassungsrechtlich vorgegebenen föderalen Struktur gestärkt, anstatt sie zugunsten einer Zentralisierung der Aufsicht aufzugeben.
Eine vollständige Zentralisierung der Aufsicht, etwa durch eine alleinige Zuständigkeit der oder des Bundesbeauftragten für Datenschutz und Informationsfreiheit unterliegt verfassungsrechtlichen Grenzen.
In zahlreichen, für die Datenschutzaufsicht relevanten Bereichen liegt die Gesetzgebungskompetenz und damit auch der Vollzug bei den Bundesländern. Eine Aufsicht durch die Landesbehörden ist damit nicht nur geboten, sondern auch sachgerecht.
Der Föderalismus dient in der Bundesrepublik Deutschland aber nicht nur der effizienten Aufgabenerledigung. Er ist ein wesentlicher Baustein der rechtsstaatlichen Ordnung und ein Sicherungsmechanismus gegen potentielle rechtsstaatsfeindliche Tendenzen oder der Machtzentralisierung.
Durch die Aufteilung der Vollzugskompetenzen auf die Landesbehörden einerseits und den Bund andererseits wird eine übermäßige Konzentration von Kontrollmacht bei einer einzigen Instanz verhindert. Dies entspricht dem Prinzip der Gewaltenteilung und schafft eine interne Balance innerhalb der Exekutive.
Die unabhängigen Aufsichtsbehörden der Länder garantieren einen pluralistischen Vollzug des Datenschutzrechts. Diese Vielfalt an Perspektiven und die Notwendigkeit zur Koordination in der Datenschutzkonferenz (DSK) wirken als Korrektiv gegen einseitige oder politisch motivierte Auslegungen des Rechts durch eine zentrale Behörde.
Der föderale Aufbau stellt sicher, dass der Grundrechtsschutz, gewährleistet in Art. 8 der Europäischen Grundrechtecharta, nicht von der politischen Lage einer einzigen Instanz abhängt. Die dezentrale Struktur erschwert es, den Datenschutz der in Deutschland lebenden Menschen flächendeckend zu schwächen.
Insofern sind die Stuttgarter Impulse als ein ausgewogener Reformvorschlag zu bewerten. Eine Absicherung durch eine bundesrechtliche Regelung in Erweiterung des § 18 BDSG – gegebenenfalls ergänzt durch einen Verwaltungs- oder Staatsvertrag – zu einem eigenständigen, dauerhaft eingerichteten Koordinierungsgremium kann die einheitliche Auslegung des Datenschutzrechts effektiv unterstützen.