„Datenschutzbeauftragte sind eine zentrale Säule des Datenschutzes“
Interview mit Monika Grethel
MONIKA GRETHEL
Nach dem Studium der Rechtswissenschaften in Saarbrücken war Monika Grethel als Richterin im saarländischen Justizdienst, zuletzt beim Verwaltungsgericht des Saarlandes, tätig. Nach einer Station in der Landtagsverwaltung wurde sie im Jahr 2010 Referatsleiterin beim Unabhängigen Datenschutzzentrum Saarland und übernahm im Jahr 2016 das Amt der saarländischen Landesbeauftragten für Datenschutz und Informationsfreiheit und damit die Leitung der Behörde. Im Jahr 2022 wurde sie für eine zweite Amtszeit gewählt.
BvD-News: Frau Grethel, im April 2026 sind Sie seit zehn Jahren im Amt. Welche Veränderung im Datenschutz war rückblickend für Sie die entscheidenste – abgesehen von der DSGVO und der Reform des BDSG?
Monika Grethel: Datenschutz ist ein hochdynamisches Themenfeld, das ständig einschneidende Veränderungen in rechtlicher und technischer Hinsicht erfährt. Zu Beginn meiner Amtszeit steckten beispielsweise intelligente Assistenzsysteme und KI-Anwendungen noch in den Kinderschuhen oder waren Zukunftsmusik; mittlerweile gehören sie zu unserem Lebensalltag. Damit diese Dienste und Anwendungen überhaupt effektiv funktionieren können, müssen sie notwendigerweise auf große Mengen personenbezogener Daten zugreifen und diese verarbeiten. Komfortgewinne, Personalisierung von Diensten und Effektivierung von Prozessen, aber auch der Zugang zu digitalen Informations- und Austauschformaten hängen dabei zunehmend von der Bereitschaft der Nutzenden ab, einen Gegenwert – zumeist in Form der Preisgabe personenbezogener Daten – zu zahlen.
Die Bedingungen für gesellschaftliche und wirtschaftliche Teilhabe drohen dadurch zunehmend von einigen wenigen, oftmals außereuropäischen Gatekeepern diktiert zu werden. Diese transformative Wucht und die sich daraus ergebenden datenschutzrechtlichen Herausforderungen und regulatorischen Anpassungen, stellen einen kontinuierlichen Stresstest für die Datenschutzaufsichtsbehörden dar. Für die kommenden Jahre wird daher auch eine weitere Herausforderung darin liegen, die Digitalrechtsakte der EU mit den Anforderungen der DSGVO in Einklang zu bringen.
BvD-News: Sicher gab es in einigen Punkten während Ihrer Amtszeit auch Ernüchterungen. Welche waren das?
Monika Grethel: Was Ernüchterungen angeht, sollte man als Datenschützerin oder Datenschützer schon eine gewisse Resilienz mitbringen. Ich übe meine Tätigkeit immer unter dem Leitbild eines pragmatischen Grundrechtsschutzes aus, der die Verarbeitung personenbezogener Daten in dem gegebenen legislativen Zulässigkeitskorridor ermöglichen soll. Allerdings skizzieren Teile der Wirtschaft und der Politik Datenschutz und die das Unionsrecht vollziehenden Datenschutzaufsichtsbehörden im öffentlichen Diskurs zunehmend als ein bürokratisches Ärgernis, das Hemmnisse für Innovationen aufbaut.
Vor dem Hintergrund einer zunehmend datengetriebenen Wertschöpfung kann der Vorwurf des Innovationshemmnisses zwar nicht überraschen, dass die datenökonomische Vormachtstellung der USA und der fehlende Anschluss europäischer Wirtschaftsakteure vorrangig dem geltenden datenschutz- und digitalrechtlichen Regelungsrahmen der Europäischen Union in die Schuhe geschoben wird, halte ich dabei jedoch für einen falschen Einwand.
Für meine – mit Blick auf die Anzahl der Mitarbeitenden bundesweit kleinste – Behörde kann ich seit Geltungseintritt der DSGVO vor allem einen nur noch sehr eng begrenzten Handlungsspielraum ausmachen. Unter Berücksichtigung eines niedrigen Personalbestands kann im Saarland gerade noch auf eine stetig steigende Zahl eingebrachter Beschwerden reagiert werden, allerdings sind wir kaum noch in der Lage, proaktive Maßnahmen zu ergreifen oder uns an nationalen und europäischen Debatten zu beteiligen. Hinzu kommt, dass das in der DSGVO angelegte Beschwerderecht und dessen Konturierung durch den Europäischen Gerichtshof den Aufsichten wenig Spielräume in der Sachbefassung zuerkennt.
Auch wenn die Beschwerde den Behörden als wertvolle Informationsquelle dient und das Beschwerderecht ein wichtiges Instrument zur individuellen Geltendmachung von Grundrechten darstellt, besteht das Risiko, dass sich die Aufsichtsbehörden aufgrund ihrer administrativen Pflichten und der gegebenen personellen Ressourcen bei der Beschwerdebefassung in der Vielzahl von Individualanliegen verlieren.
Vor diesem Hintergrund ist als weitere Ernüchterung der oftmals fehlende politische Rückhalt für die Datenschutzaufsichtsbehörden zu nennen, der sich vor allem in den Behörden zur Verfügung stehenden Ressourcen widerspiegelt.
Zudem droht in der öffentlichen Wahrnehmung ein kontinuierlicher Vertrauensverlust: Während Datenschutz sich für viele Bürgerinnen und Bürger in lästigen Cookie-Bannern, komplizierten Einwilligungsprozessen oder ungelesenen Datenschutzhinweisen erschöpft, werden die Erwartungen und die Geduld von beschwerdeführenden oder ratsuchenden Personen durch ressourcenbedingt überlange Aufsichtsverfahren strapaziert. Dadurch, dass die Behörden ihrer Rolle und dem Aufgabenkanon der DSGVO nur bedingt gerecht werden können, droht nicht nur das unionsrechtliche Gebot der guten Verwaltung und der verfahrensrechtliche Anspruch auf zügige Sachentscheidung konterkariert zu werden, sondern es wird der institutionell zu gewährleistende Grundrechtsschutz ausgehöhlt. Die Aufsichtsbehörden laufen daher Gefahr, von einer kritischen Öffentlichkeit entweder als nutz- oder zahnlos eingeordnet zu werden.
BvD-News: Welche Datenschutzthemen standen, und stehen aktuell für Sie auf der Prioritätenliste Ihrer Behörde ganz oben? Wie haben sich Themen und Schwerpunkte aus Ihrer Sicht über die Jahre verändert?
Monika Grethel: Einen Schwerpunkt meiner Tätigkeit sehe ich in der datenschutzrechtlichen Begleitung der Digitalisierung der Verwaltung. Nur dann, wenn digitale Prozesse in der Verwaltung datenschutzkonform umgesetzt werden und die Bürgerinnen und Bürger darauf vertrauen können, dass die Sicherheit und der Schutz ihrer teils sehr sensiblen Daten umfassend gewährleistet wird, kann die digitale Transformation gelingen. Obwohl meine Behörde in der Vergangenheit in vielen Bereichen vor allem reaktiv handelte, konnte ich zumindest für dieses wichtige Thema eine eigene Stelle schaffen. Saarländischen Landesbehörden und Kommunen steht damit in meiner Dienststelle ein Anlaufpunkt für themenspezifische Fragestellungen und Anliegen zur Verfügung.
Natürlich muss auch der omnipräsente Bereich der Künstlichen Intelligenz in der Aufsichtstätigkeit – ungeachtet dessen, ob den Datenschutzbehörden letztlich die Rolle der Marktüberwachungsbehörden nach der KI-Verordnung zukommt – weiter fokussiert werden. Eine frühzeitige und kompetente datenschutzrechtliche Begleitung der Verarbeitung personenbezogener Daten durch diese neue Technologie kann Rechtssicherheit und das nötige Vertrauen für Bürgerinnen und Bürger, Unternehmen sowie für Forschungseinrichtungen schaffen. Auch hoffe ich, perspektivisch eine Vernetzung mit den im Saarland ansässigen KI-Akteuren erreichen zu können.
BvD-News: Sicherheit hat heute Vorrang vor Freiheit, so scheint es. Welche Rolle spielt Freiheit beim Thema Datenschutz für Sie? Wo sehen Sie Punkte, wo die Sicherheit vor Freiheit geht?
Monika Grethel: Freiheit ist ein Kernelement unserer Demokratie. Datenschutz schützt diese Freiheit und wird oft als Gegenspieler der öffentlichen Sicherheit verstanden. Auch wenn der Ausgleich zwischen öffentlicher Sicherheit und informationeller Selbstbestimmung eine politische und zivilgesellschaftliche Gestaltungsaufgabe ist, gelten dabei absolute verfassungsrechtliche Schranken. Den Aufsichtsbehörden kommt dabei im Wesentlichen die Rolle der datenschutzrechtlichen Kontrolle zu, wie diese Handlungsspielräume durch die Gesetzgeber und die Sicherheitsbehörden ausgefüllt werden.
Festzustellen ist aber, dass der öffentliche Diskurs seit Jahren von einer Überbetonung von sicherheitspolitischen Interessen geprägt ist und mitunter verzerrt wird. Reflexhafte Forderungen nach einem weitreichenden Einsatz von digitalen Überwachungsinstrumenten mögen zwar bei Innenpolitikern kein Störgefühl verursachen, bei Datenschützern aber durchaus, denn Überwachungsinfrastrukturen und -befugnisse, die erst mal etabliert sind, werden so schnell nicht wieder zurück- sondern eher ausgebaut.
Wie wesentlich der Schutz informationeller Freiheitsrechte – im originären Sinne des Volkszählungsurteils des Bundesverfassungsgerichts – ist und wie fragil demokratische Institutionen letztlich sind, dazu bedarf es keiner großen Vorstellungskraft, sondern allenfalls eines Blicks in die Nachrichten.
BvD-News: Beim Informationsfreiheitsgesetz gab es zuletzt Diskussionen über eine mögliche Reform. Wie ist der aktuelle Stand?
Monika Grethel: Von einer flächendeckenden Stärkung und Fortentwicklung des Informationsfreiheitsrecht kann derzeit leider keine Rede sein. Während in einigen Bundesländern nach wie vor keine Regelungen zur Informationsfreiheit existieren, wurde in jüngster Vergangenheit in manchen Bundesländern und beim Bund über einen graduellen Rückbau nachgedacht. Informationsfreiheit und Datenschutz teilen anscheinend das Schicksal, beinahe reflexhaft als „bürokratische Last“ skizziert zu werden, die unter dem Deckmantel einer falsch verstandenen Verwaltungsmodernisierung abgebaut werden müsste.
Aus diesem Grund ist es besonders wichtig, gegenüber politischen Entscheidungsträgern den Stellenwert der Informationsfreiheit für die gesellschaftliche und politische Willensbildung zu betonen und auf deren Fortentwicklung zu einem echten Transparenzrecht zu drängen.
BvD-News: Es gibt außerdem Überlegungen, die Datenschutzaufsicht bei der Bundesdatenschutzbeauftragten zu bündeln. Welche Haltung vertreten Sie in der sogenannten Zentralisierungs-Diskussion?
Monika Grethel: Das Thema Zentralisierung ist kein neues, auch wenn es durch den Koalitionsvertrag und jüngst durch den Entwurf des Umsetzungsgesetzes zur KI-Verordnung neuen Schub erhalten hat. Seit Jahren werden kontinuierlich sektorale Zuständigkeiten von den Landesaufsichten an den Bund übertragen.
Es dürfte dabei auf der Hand liegen, dass ich der Zentralisierung der Datenschutzaufsicht bei der Bundesdatenschutzbeauftragten kritisch gegenüberstehe. Befürworter bemühen häufig das Argument der divergierenden Rechtsauslegung, was ich angesichts der seit langem verstetigten Austauschund Abstimmungsformate innerhalb der Datenschutzkonferenz (DSK) und der bindenden Vorgaben des Europäischen Datenschutzausschusses für wenig stichhaltig halte. Der Bundesgesetzgeber könnte allerdings durch eine gesetzliche Verankerung der Datenschutzkonferenz und Konturierung ihrer Aufgaben ihr Handeln entscheidend effektivieren und die Harmonisierung der Rechtsanwendung institutionell gewährleisten.
Ein weiteres in diesem Zusammenhang angeführtes Argument ist, dass den Aufsichten unterschiedliche Ressourcen zur Verfügung stehen und damit auch die Beratungs- und Kontrollmöglichkeiten der Behörden erheblich divergieren, halte ich für zutreffend und problematisch. Insoweit tragen die Länder mittelbar zu einer schleichenden Zentralisierung bei, wenn sie die jeweiligen Landesbehörden nicht in die Lage versetzen, den an sie gestellten Aufgaben gerecht zu werden.
Schließlich ist für mich nicht ersichtlich, wie die bundesweit große Zahl der von Bürgerinnen und Bürgern vorgetragenen Anliegen und Anfragen von Verantwortlichen, Auftragsverarbeitern und Datenschutzbeauftragten sachgerecht gewährleistet werden kann. Denn durch eine Aufgabenzentralisierung würde ein erheblicher Personalbedarf entstehen, der selbst im Fall einer zeitnahen Rekrutierung von Fachpersonal mit dem im Koalitionsvertrag gesteckten Ziel der Reduzierung von Personalausgaben in der Bundesverwaltung nur schwerlich vereinbar wäre.
Vor dem Hintergrund der faktischen und aufgabenbezogenen Zwänge der föderalen Aufsicht können allerdings durch eine begrenzte Aufgabendelegation an die Bundesdatenschutzbeauftragte Synergieeffekte für den gesamten behördlich institutionalisierten Datenschutz erreicht werden. Neben der Institutionalisierung der DSK könnte die Umsetzung von Vorschlägen wie ein nationaler One-Stop-Shop-Mechanismus oder von der Bundesdatenschutzbeauftragten zentral wahrzunehmende, exponierte Kontroll-, Beratungsund Koordinierungsaufgaben zu einer Beschleunigung von Entscheidungs- und Vollzugsprozessen beitragen. Gleichzeitig könnten die Landesaufsichten ihren beratenden und vollziehenden Aufgabenfokus auf Stakeholder vor Ort schärfen.
BvD-News: Welche Rolle kommt auf Datenschutzbeauftragte Ihrer Einschätzung nach zu, vor allem im Hinblick auf KI?
Monika Grethel: Datenschutzbeauftragte sind eine zentrale Säule des Datenschutzes. Axt an die gesetzlichen Benennvoraussetzungen zu legen, leistet nicht nur keinen substanziellen Beitrag zum Bürokratieabbau, sondern erhöht für Verantwortliche angesichts der Bandbreite an regulatorischen Vorgaben signifikant das Risiko für Verstöße. Sofern eine entsprechende Einbindung zur Erfüllung ihrer Aufgaben durch die datenverarbeitenden Stellen operationalisiert ist, reduzieren Datenschutzbeauftragte nicht nur das Risiko von Non-Compliance, sondern sie sind vor allem ein institutioneller Garant für den Schutz der Grundrechte.
Angesichts einer zunehmenden Regelungsdichte im Digitalrecht werden die Datenschutzbeauftragten nicht entbehrlicher, sondern ihre Aufgaben stetig komplexer und herausfordernder. Mit Blick auf den Einsatz von KI gilt es für Verantwortliche zunächst Governance- und Compliance-Strukturen zu schaffen, für die aufgrund der Wechselwirkungen mit der DSGVO notwendigerweise die Einbindung datenschutzrechtlicher Expertise unverzichtbar ist. Umgekehrt bedeutet dies für die Datenschutzbeauftragten, sich KI-technische und rechtliche Kernkompetenzen anzueignen und diese kontinuierlich zu schärfen.
BvD-News: Ihre Behörde ist 2026 erstmals beim BvD-Datenschutztag in Frankfurt am Main mit dabei, neben den beiden Mitinitiatoren, den Aufsichtsbehörden von Hessen und Rheinland-Pfalz. Welche Chance sehen Sie in diesem Format?
Monika Grethel: Formate wie der Frankfurter BvD-Datenschutztag sind wichtige Treffpunkte zwischen Datenschutzbeauftragten aus Behörden, Kommunen und Unternehmen sowie Vertretern der Datenschutzaufsichtsbehörden. Er bietet die Möglichkeit, die Bedürfnisse der Praxis mit der aufsichtsbehördlichen Theorie zusammenzubringen. Derartige Kontaktforen und der damit verbundene inhaltliche, insbesondere aber auch persönliche Austausch sind für die Stärkung des gegenseitigen Verständnisses von unschätzbarem Wert.
Gerade für uns als kleine Aufsichtsbehörde gibt der Datenschutztag des BvD in Frankfurt am Main auch Gelegenheit, etwas sichtbarer zu werden und – was letztlich auch ein Merkmal der föderalen Aufsichtsstruktur ist – neben dem hessischen und rheinland-pfälzischen ein saarländisches Erfahrungsrepertoire mitbringen zu dürfen.
