Risikobasiert statt reine Mitarbeiterzahlen
Auf der BvD-Herbstkonferenz 2025 diskutierten Datenschutzbeauftragte unter dem Motto „Wirtschaft trifft Aufsicht“ über die geplanten Änderungen der DSGVO sowie über die Pläne der Bundesregierung zur Reform der Datenschutzaufsicht.
In welchem Umfang die Datenschutz-Grundverordnung (DSGVO) im Zuge des von der EU geplanten Bürokratieabbaus angepasst wird, ist nach wie vor offen. Dass es aber Bestrebungen gibt, die Ausnahmeregelung zum Führen eines Verarbeitungsverzeichnisses von aktuell weniger als 250 Mitarbeitende auf dann womöglich bis zu 750 Mitarbeitende im Rahmen des EU-Omnibus-Verfahrens aufzuweichen, treibt Aufsichtsbehörden und Datenschutzbeauftragte um. Auf der 9. BvD-Herbstkonferenz in München diskutierten die rund 250 Teilnehmende am 22. und 23. Oktober über die Auswirkungen eines solchen Schritts. Sie waren sich einig: Datenschutz müsse das datenschutzrechtliche Risiko eines Unternehmens in den Blick nehmen und nicht die Zahl der Mitarbeitenden für eine vermeintliche Bürokratieentlastung.
Frederick Richter: „Das ist der falsche Ansatz.“
In seiner Keynote zum Auftakt der Konferenz kritisierte der Vorstand der Stiftung Datenschutz, Frederick Richter, die geplante Abschaffung des Verarbeitungsverzeichnisses für Unternehmen unterhalb einer bestimmten Größe. „Wir drehen da jetzt an einer Zahl“, sagte er und fügte hinzu,
„Das ist der falsche Ansatz.“ Kleine Unternehmen könnten eben auch viele Daten mit großen Risiken produzieren. Warum nun Unternehmen mit bis zu 750 Mitarbeitenden weniger datenschutzrechtliche Risiken haben sollen, sei nicht zu erklären. Alles drehe sich derzeit um das Schlagwort Bürokratieabbau. „Das ist ein ganz schlechter Weg.“
Entlastung durch Herstellerhaftung
Laut Richter würde die seit langem vom BvD und den Aufsichtsbehörden geforderte Herstellerhaftung einen großen Beitrag zur Entlastung von Unternehmen leisten. Bislang könne der Bäcker an der Ecke die Datenverarbeitung von Anbietern wie Microsoft oder Meta nicht beeinflussen, „muss aber den Kopf hinhalten“, sagte Richter. Die Herstellerhaftung wäre in diesem Fall „reinster Bürokratieabbau“.
Die Pläne der amtierenden schwarz-roten Bundesregierung, die aufsichtsrechtlichen Aufgaben bei der Bundesbeauftragten für Datenschutz und Informationsfreiheit (BfDI) zu bündeln, sieht Richter differenziert. Zwar hält er eine „Vollzentralisierung“ für unrealistisch, da dies gravierende Änderungen in der Aufsichtsstruktur zur Folge hätte. Eine „Teil-Zentralisierung als Kompromiss“ sei jedoch durchaus umsetzbar, sagte Richter.
Beispielsweise könnten bundeslandübergreifende Fälle auf Bundesebene behandelt werden. „Aber wo zieht man dann die Grenze?“, fragte Richter. „Bei der Anzahl der Niederlassungen in Deutschland? Bei einem adressierten Kundenkreis?“ „Woran will man das konkret festmachen?“ Hier seien noch handwerkliche Fragen offen.
Zugleich sprach er sich für eine Stärkung der Datenschutz- Konferenz (DSK) aus. Dies sei für die Vereinheitlichung des Datenschutzes in Deutschland notwendig und helfe, Themen für den öffentlichen und nicht-öffentlichen Bereich anzugleichen, zum Beispiel beim Thema Anonymisierung. Eine starke DSK habe zudem eine Bindungswirkung für den Bund-Länder-Staatsvertrag.
Ansatzpunkt Art. 15 DSGVO
Auch Christina Rölz, leitende Ministerialrätin und Datenschutzbeauftragte im Bayerischen Staatsministerium des Innern, hob die Herstellerverantwortung als „wichtiges Element zum Bürokratieabbau“ hervor. Zudem seien Änderungen an Art. 15 DSGVO notwendig, da dieser „häufig missbraucht“ werde, um Verantwortliche zu beschäftigten. Handlungsbedarf sieht sie außerdem bei Art. 9 DSGVO über die Verarbeitung besonderer Kategorien personenbezogener Daten. Auch Rölz plädierte für einen risikobasierten Ansatz.
Schlagkräftige Behörden
Im Hinblick auf die Pläne der Bundesregierung, die Bundesnetzagentur als zentrale Anlaufstelle für die Umsetzung mehrerer EU-Datenrechtsakte zu machen, betonte sie, dass dafür auch das notwendige Personal gebraucht werde. Wer insoweit zentrale Entscheidungen verspreche, müsse Lösungen für die Zusammenarbeit mit den Aufsichtsbehörden bieten. Zur angedachten Bündelung von Kompetenzen von Datenschutz-Aufsichtsbehörden im nicht-öffentlichen Bereich führte Rölz aus, dass bisher keine überzeugenden Gründe für eine Bündelung etwa bei der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) vorgetragen worden seien. Gerade jetzt bräuchten die Unternehmen fachkundige Beratung zur Umsetzung der ganzen EU-Daten- und Digitalrechtsakte und keine Behörden, die aufgrund von Umstrukturierungen mit sich selbst beschäftigt seien. Eine etwaige Umstrukturierung müsse daher jedenfalls einen eindeutigen Mehrwert bieten, argumentierte Rölz.
Datenschutzbeauftragte brauchen Flexibilität
Über die veränderten Aufgaben von Datenschutzbeauftragten sprachen der ehemalige Beamte der EU-Kommission, Dr. Horst Heberlein, und die BvD-Vorstandsmitglieder Jürgen Hartz und Dr. Kai-Uwe Loser mit Moderatorin und BvD-Vorständin Regina Mühlich. Sie fragte gleich zu Beginn, ob Datenschutzbeauftragte heute überhaupt noch die Möglichkeit haben, den stetig wachsenden Anforderungen gerecht zu werden.
Hartz betonte, wichtig sei vor allem Flexibilität. Wer nicht in ein großes Team eingebunden sei, müsse sich ständig selbst weiterbilden. Dazu trage der BvD unter anderem mit der neuen Ausbildung „AI-qualified DPO“ bei. Heberlein zufolge hatte die EU-Kommission zunächst im Entwurf der DSGVO einen Weg zur Aus- und Weiterbildung vorgeschlagen. Dies hätten jedoch der Europäische Rat und das EU-Parlament abgelehnt.
Loser verwies auf andere EU-Länder, die die Ausbildung und Qualifizierung von Datenschutzbeauftragten klar geregelt hätten. Gerade als Einzelperson, die Organisationen allein beraten, komme man da auch an seine Grenzen, fügte Jürgen Hartz hinzu. Er empfahl deshalb Datenschutzbeauftragten auch einmal einzuräumen, wenn sie zu einem Thema nicht fachgerecht beraten könnten. „Man sollte auch mal den Mut haben zu sagen: Dazu kann ich nicht beraten“, sagte Hartz. In diesem Fall könnte die Organisation dann einen Fachdienst beauftragen.
Vorträge für die Datenschutzpraxis
In den parallelen Fachvorträgen stellte Thomas Floß vor, wie sich Microsoft 365 datenschutzkonform einbinden lässt (siehe dazu den Beitrag auf Seite 50). Dr. Carlo Piltz sprach darüber, wie sich ein Dienstleistungsmanagement im Datenschutz auswählen und überwachen lässt und Dr. Kristina Schreiber erläuterte das Zusammenspiel von Data Act und Datenschutz. Außerdem ging es um Maßnahmen gegen Cyberangriffe (Dorit Buschmann vom BayLDA) und um Passwörter als Unternehmensrisiko vor dem Hintergrund von KI-Anwendungen (Felix Schröder vom Unternehmen Data & More).
Auf großes Interesse stieß der Vortrag von Carolin Loy vom Bayerischen Landesamt für Datenschutzaufsicht (BayLDA) zum Thema berechtigtes Interesse. Ihr Rat: Sollte ein Unternehmen berechtigtes Interesse bei der Datenerhebung geltend machen, müsse dem eine „saubere Prüfung“ vorausgehen. Dazu stellte sie eine Reihe von Fallbeispielen vor, die die Frage nach der Anwendbarkeit des berechtigten Interesses in die Datenschutzpraxis überführten. Dabei plädierte auch Loy dafür, die Pflicht, ein Verzeichnes der Verarbeitungstätigkeiten zu führen, für alle Unternehmen unabhängig von ihrer Größe zu erhalten. Denn um ein berechtigtes Interesse anzuführen, müssten die Verantwortlichen
wissen, welche Daten sie verarbeiten. Und auch für die Interessenabwägung sei dieses Wissen wichtig.
Am zweiten Kongresstag stellte Daniel Maslewski vom Landesbeauftragten für Datenschutz und Informationsfreiheit (LfDI) Baden-Württemberg die Aktion „Digitale Kehrwoche“ vor. Ziel der Aktion
ist es, zu überprüfen, ob Unternehmen, Behörden und Privatpersonen wirklich alle gespeicherten
Daten benötigen. Der Fachanwalt Dr. Jonas Jacobson sprach über die Risiken und Chancen der
NIS-2-Regelungen für Datenschutzbeauftragte. Alexander Filip vom BayLDA brachte die Teilnehmenden
auf den aktuellen Stand bei Drittlandtransfers.
Miriam Meder und Isabella Kraus, beide ebenfalls vom BayLDA, gaben Hinweise, wie sich der Datenschutz in Zusammenarbeit mit dem Betriebsrat regeln lässt. Ihr Kollege Heiko Hanusch stellte die aktuellen Rechtsprechungen des Europäischen Gerichtshofs (EuGH) und des Gerichts der Europäischen Union (EuG) sowie die Position der Generalanwälte vor. Die Rechtsanwältin Dr. Inka Knappertsbusch sprach über Datenschutz im Bereich Recruiting und Personalentwicklung.
Am zweiten Kongresstag stellte Daniel Maslewski vom Landesbeauftragten für Datenschutz und Informationsfreiheit (LfDI) Baden-Württemberg die Aktion „Digitale Kehrwoche“ vor. Ziel der Aktion
ist es, zu überprüfen, ob Unternehmen, Behörden und Privatpersonen wirklich alle gespeicherten
Daten benötigen. Der Fachanwalt Dr. Jonas Jacobson sprach über die Risiken und Chancen der
NIS-2-Regelungen für Datenschutzbeauftragte. Alexander Filip vom BayLDA brachte die Teilnehmenden
auf den aktuellen Stand bei Drittlandtransfers.
Anonymisierung bei KI
Andreas Sachs, Vizepräsident des BayLDA, betrachtete in seinen Ausführungen das Thema „Anonymisierung bei KI“.
Er beleuchtete die Möglichkeiten der Anonymisierung bei strukturierten, semistrukturierten und unstrukturierten Trainingsdaten von KI-Modellen. Für ihn bleibt der Personenbezug dabei ein Datenschutz-Prüfthema – unter anderem, weil die Modelle bei einer wiederholten modifizierten Eingabe mitunter Trainingsdaten ausgeben könnten. „Wenn so etwas auftritt, ist ein KI-Modell nicht anonym“, sagte Sachs. Er forderte für die Aufsichtsbehörden sogenannte Red Teaming-Einheiten, die KI-Modelle und -Systeme auf die Datensicherheit überprüfen können.
Datenschutz in unsicheren Zeiten
Dr. h.c. Marit Hansen, Landesbeauftragte für Datenschutz und Informationszugang Schleswig-Holstein, widmete sich in ihrem Schlussvortrag dem Thema „Datenschutz in unsicheren Zeiten“ und beleuchtete dabei die Bedeutung von Souveränität und Resilienz vor dem Hintergrund geopolitischer Veränderungen, komplexer Regulierungen und den Gefahren durch Cyberangriffe.
Dabei kam sie auch auf die Frage zu sprechen, was mit sensiblen Daten passiert, wenn es einen Wechsel hin zu einem totalitären Staat gäbe. Die Gefahr dabei sei, dass Daten, die bisher für legitime Zwecke verarbeitet wurden, zweckentfremdet genutzt werden könnten, um beispielsweise Personen zu verfolgen, sagte Hansen.
Deshalb sei es jetzt an der Zeit, sich auf die Kernforderungen des Datenschutzes zu konzentrieren. Die Datenschutzgrundsätze, insbesondere Datenminimierung und Speicherbegrenzung, seien von besonderer Bedeutung, um sich resilient im globalen Kontext aufzustellen, sagte Hansen. Stets gelte es, alle Abhängigkeiten – etwa von Dienstleistern – im Blick zu behalten und bei der Risikobewertung einzubeziehen.
Konkret könnten Verantwortliche, Datenschutzbeauftragte und Aufsichtsbehörden entsprechend Pläne entwickeln, wie mit kritischen Ereignissen umgegangen werden soll – von der Vermeidung und Prävention über die Vorbereitung bis hin zur Überprüfung von Abhängigkeiten und der Möglichkeit, im Krisenfall zu intervenieren.
Ein Augenmerk richtete Hansen auf souveräne Clouds. Diese böten Nutzern Transparenz und Nachvollziehbarkeit, sicherten die Hoheit über die eigenen Daten und stünden für Verlässlichkeit. Zudem empfahl sie Unternehmen und Behörden die Einführung eines Datenschutz-Managementsystems und eines Business Continuity Managements (BCM). Über ein solches System könnten Notfallpläne erstellt, ein Krisenmanagement organisiert und der Betrieb nach einem Notfall wiederhergestellt werden.
Den Abschluss bildete noch vor der traditionellen Reihe „Die Aufsichtsbehörden beantworten Ihre Fragen“ ein Vortrag von Christina Rölz zu den aktuellen Vorhaben zum Thema Datenschutz auf EU- und Bundesebene. Dabei erläuterte sie auch Vorhaben, die den Datenschutz betreffen, aber nicht ausdrücklich Digitalvorhaben sind, darunter die Verordnung zu politischer Werbung (TTPW-VO), die geplante European Business Wallet (EUBW) sowie der geplante Rechtsakt zur digitalen Fairness.
Dieser zielt laut Rölz darauf, unfaire Praktiken wie Dark Patterns, irreführendes Influencer Marketing, suchtförderndes Design und unfaire Personalisierung zu bekämpfen und den Schutz Minderjähriger zu verbessern. Außerdem will die EU-Kommission mit dem Rechtsakt faire Wettbewerbsbedingungen für Online-Händler schaffen, die Durchsetzung bestehender Regelungen erleichtern und diese vereinfachen. Die Annahme ist für das 3. Quartal 2026 geplant.
Ausführlich ging Rölz außerdem auf die geplanten Omnibus-Pakete ein, die in Teilen auch die DSGVO betreffen. Im Detail erläuterte sie die Ideen des Europa-Abgeordneten Axel Voss (siehe Kamin-Gespräch mit Axel Voss, BvD-News 2/2025, Seite 68) und des österreichischen Datenschutz-Aktivisten Max Schrems.
Ihnen schwebt laut Rölz eine DSGVO-Reform „Mini“ für kleine und mittlere Unternehmen vor, eine DSGVO „Normal“ für größere Unternehmen und eine DSGVO „Plus“ für große Plattformen und Datenhändler.
Auf Bundesebene stehen laut Rölz aktuell noch eine Reihe von Umsetzungen von EU-Verordnungen in deutsches Recht an, darunter das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, der Data Governance Act, das Data Act-Durchführungs-Gesetz und die Umsetzung des Cyber Resilience Acts. Last but not least arbeite die Bundesregierung aktuell an einem Beschäftigtendatenschutzgesetz.
Die nächste BvD-Herbstkonferenz und der anschließende Behördentag finden vom 14. bis 16. Oktober 2026 in Stuttgart statt.
Der EU-Omnibus
Der Begriff „Omnibus“ stammt aus dem Lateinischen und steht für „alle“ oder „jeden“ und kann als „viele betreffend“ verstanden werden. Die von der EU-Kommission entwickelten Omnibus-Pakete zielen darauf, Gesetze oder Verordnungen zu vereinfachen, um den Verwaltungsaufwand für Unternehmen zu verringern.
Das erste Omnibus-Paket lancierte die EU-Kommission am 26. Februar 2025 zur Nachhaltigkeitsberichterstattung von Unternehmen. Es folgten Omnibus II für Investitionsprogramme und Omnibus III für die Landwirtschaft.
Zum vierten Omnibus-Paket vom 21. Mai 2025 gehört unter anderem eine Definition für Small- und Mid-Cap-Unternehmen (SMC) sowie Änderungen bei der Digitalisierung und der DSGVO.
Danach sollen Unternehmen als SMC gelten, die weniger als 750 Mitarbeitende beschäftigen und mit ihrem Jahresumsatz unter 150 Millionen oder einer Bilanzsumme von unter 129 Millionen Euro liegen.
Die EU-Kommission will die bestehende Ausnahme von der Pflicht zur Führung eines Verarbeitungsverzeichnisses, die derzeit für Unternehmen mit weniger als 250 Mitarbeitende gilt, auf alle SMC ausgeweiten, „es sei denn, der durchgeführte Verarbeitungsvorgang führt wahrscheinlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen im Sinne von Artikel 35 DSGVO“, schreibt das European Data Protection Board (EDPB). Laut EDPB soll die Definition von SMC und KMU in Art. 4 der DSGVO eingeführt und der Anwendungsbereich von Art. 40 Abs. 1 und Art. 42 Abs. 1 DSGVO auf die SMC ausgeweitet werden.
Aktuell arbeitet die EU-Kommisssion an Omnibus-Paket VII, das darauf zielt den Data Act, den Data Governance Act, den AI Act und die Open Data Directive zu vereinfachen. Die EU-Kommission wollte den Digitalen Omnibus am 19. November und damit nach Drucklegung der BvD-News vorstellen.
Datenschutz für Verwaltungen und Behörden
Seit 2018 findet der Behördentag in Verbindung mit der BvD-Herbstkonferenz statt. In diesem Jahr stand der Behördentag ebenfalls im Zeichen des von der EU und der Bundesregierung ausgerufenen „Bürokratieabbaus“. Prof. Dr. Thomas Petri, Bayerischer Landesbeauftragte für den Datenschutz, beklagte gleich zu Beginn, dass es beim Thema Bürokratieabbau und Datenschutz häufig vorwiegend um Einsparungen von Verwaltungskosten ginge. Beim Datenschutz seien das etwa die Kosten für das Ausfüllen von Formularen oder die Dokumentationspflichten. In den Worten von Tobias Keber, dessen Grußworte Petri in seinen Vortrag einbettete, sei das „eine methodisch assymetrische Theorie“, weil sie den Nutzen des Grundrechts auf Datenschutz für die Gesellschaft bislang nicht angemessen erfasse.
Für Petri sind die Dokumentationspflichten Teil des Grundrechtsschutzes. Entsprechend verfolgt er die
Debatte um das EU-Omnibus-Verfahren zur Erweiterung der Ausnahmen beim Verarbeitungsverzeichnis
„mit zwiespältigen Gefühlen“. In gewissem Rahmen könne man den Verwaltungsaufwand für kleine Betriebe und Organisationen aus der DSGVO zurückschneiden. „Aber wenn man zu weit zurückschneidet, nimmt man den Verantwortlichen ein wichtiges Instrument zur Beherrschung der eigenen Datenströme“, sagte Petri.
Als problematisch wertete er außerdem die Bestrebungen der Bundesregierung, die Marktüberwachung unter anderem für die KI-Verordnung vollständig der Bundesnetzagentur zu übertragen. Dies halte er unter anderem verfassungsrechtlich für problematisch, jedenfalls soweit, da diese Zuständigkeit das Länderrecht berühre. Zudem fragte er nach dem Spielraum, den die DSGVO den jeweiligen EU-Mitgliedstaaten einräumt. „Die Forderung nach einer pragmatischen Ausgestaltung des europäischen Datenschutzrechts setzt einen Spielraum voraus“, sagte Petri. „Bei den Öffnungsklauseln sind die Mitgliedsstaaten jedoch nicht völlig frei.“ Dies habe der Europäische Gerichtshof immer wieder klargestellt. Deshalb geht die Debatte in Deutschland über eine mögliche Zentralisierung der Datenschutzaufsicht seiner Ansicht nach an europäischem Recht vorbei.
