Auf einen Blick: Das Koalitionskonzept der CDU/CSU-SPD-Bundesregierung vom 2. Juli 2026 enthält unter Maßnahme 14 einen ambitionierten Digitalrechtsblock: ein nationales Datengesetzbuch, DSGVO-Vereinfachungen auf nationalem und europäischem Niveau, eine Bündelung der Datenschutzaufsicht beim BfDI, die mögliche Abschaffung betrieblicher Datenschutzbeauftragter in KMU sowie eine umfassende Bürokratieabbau-Agenda mit Genehmigungsfiktion und Dokumentationspflichtenabbau. Der Artikel ordnet die wichtigsten Vorhaben realistisch und kritisch ein.
Vorbemerkung: Konzept ist nicht Gesetz
Eine wichtige Vorbemerkung für die Praxis: Das vorliegende Dokument ist ein Koalitionsausschuss-Konzept, kein Gesetzentwurf. Zwischen politischem Programm und tatsächlicher Rechtslage liegt in Deutschland erfahrungsgemäß ein weiter Weg — durch Gesetzgebungsverfahren, Bundesrat, europäische Abstimmungsprozesse und bisweilen gerichtliche Überprüfung. Insbesondere die DSGVO-Vorhaben setzen europäisches Handeln voraus, das die Bundesregierung allein nicht steuern kann.
Das heißt nicht, dass das Konzept bedeutungslos wäre. Im Gegenteil: Es gibt die Richtung der deutschen Digitalpolitik für die nächsten Jahre vor — und manche Maßnahmen können schnell und auf nationalem Weg umgesetzt werden. Unternehmen sollten die Vorhaben daher kennen, sich aber nicht auf unmittelbare Rechtsänderungen verlassen.
Datengesetzbuch: Großer Anspruch, viele offene Fragen
Das wohl ambitionierteste Vorhaben im Digitalrechtsbereich ist die Schaffung eines Datengesetzbuchs als "kohärentes Regelwerk zur Harmonisierung und Vereinfachung des Datenrechts". Die Idee ist nicht neu — die Bundesregierungen der letzten Jahre haben immer wieder eine Systematisierung des fragmentierten deutschen Datenrechts angestrebt, ohne dies bisher umzusetzen.
Tatsächlich ist das Datenrecht heute über dutzende Regelwerke verteilt: DSGVO, BDSG, Telekommunikationsgesetz, TTDSG, Gesundheitsdatengesetz, Landesdatenschutzgesetze, sektorspezifische Regelungen und zunehmend EU-Verordnungen wie Data Act, Data Governance Act und AI Act. Ein kohärentes Datengesetzbuch, das all diese Materien sinnvoll zusammenführt, wäre ein echtes Reformprojekt — mit einem Aufwand, der kaum in einer Legislaturperiode zu bewältigen ist.
Kritische Einordnung: Ein Datengesetzbuch klingt gut, ist aber ein Megaprojekt. Die entscheidende Frage ist, wie das Verhältnis zu den EU-Verordnungen gestaltet werden soll — die DSGVO, der Data Act und der AI Act sind unmittelbar anwendbares EU-Recht, das ein nationales Gesetzbuch nicht "überarbeiten" kann. Realistisch ist daher eher eine Kodifikation der nationalen Spielräume und ein klareres nationales Rahmenwerk — kein vollständig neues Datenrecht.
DSGVO-Vereinfachung: Was national möglich ist — und was nicht
Das Konzept unterscheidet zwischen nationalem und europäischem Handeln. Auf nationaler Ebene sollen "alle vorhandenen Spielräume der DSGVO" genutzt werden, um das Datenschutzrecht zu vereinfachen. Auf europäischer Ebene werden Ausnahmen vom DSGVO-Anwendungsbereich für nicht-kommerzielle Tätigkeiten, KMU und risikoarme Datenverarbeitungen angestrebt.
Was national schnell umsetzbar ist
Die DSGVO lässt den Mitgliedstaaten in zahlreichen Bereichen echte Gestaltungsspielräume — im Beschäftigtendatenschutz (Art. 88 DSGVO), bei Forschungszwecken, Archivierung, Behördenverarbeitung und verschiedenen Einwilligungsmodalitäten. Eine Vereinfachung und Vereinheitlichung auf Bundesebene — etwa durch eine Reform des BDSG — ist kurzfristig möglich und würde die heute teilweise widersprüchlichen Regelungen in Bund und Ländern harmonisieren.
Was europäisches Handeln erfordert
Weiterreichende DSGVO-Ausnahmen für KMU oder risikoarme Datenverarbeitungen können nur durch eine Änderung der DSGVO selbst erreicht werden — ein Legislativverfahren, das mindestens 3-5 Jahre dauern würde und von der Zustimmung aller EU-Mitgliedstaaten und des Europäischen Parlaments abhängt. Hier ist die Bundesregierung politischer Impulsgeber, aber kein Entscheider.
Achtung Praxisfalle: Unternehmen sollten nicht auf eine baldige DSGVO-Erleichterung spekulieren und ihre Compliance-Bemühungen reduzieren. Die bestehenden DSGVO-Pflichten gelten unverändert — und Datenschutzbehörden zeigen keine Tendenz, bei der Durchsetzung nachzulassen. Die aktuelle BGH-Rechtsprechung (vgl. OGH 6 Ob 69/25b) zeigt im Gegenteil, dass die Anforderungen eher steigen.
Abschaffung betrieblicher Datenschutzbeauftragter in KMU: Risiko statt Erleichterung?
Ein konkretes und kurzfristig umsetzbares Vorhaben ist die Reduzierung der betrieblichen Datenschutzbeauftragten (DSB) in kleineren und mittleren Unternehmen. Das BDSG schreibt derzeit die Bestellung eines DSB ab 20 Personen vor, die regelmäßig personenbezogene Daten automatisiert verarbeiten (§ 38 BDSG). Diesen Schwellenwert anzuheben oder die Pflicht für bestimmte KMU ganz zu streichen, ist national möglich.
Die politische Logik ist nachvollziehbar: Für viele kleine Unternehmen ist die DSB-Pflicht bürokratisch belastend und kaum sinnvoll erfüllbar. Ein Handwerksbetrieb mit 22 Mitarbeitern hat tatsächlich andere Compliance-Prioritäten als ein Großkonzern.
Kritische Einordnung — warum das nicht so einfach ist: Die DSGVO selbst schreibt in Art. 37 Abs. 1 die Bestellung eines DSB für bestimmte Kategorien von Verarbeitungen vor — unabhängig von der Unternehmensgröße. Wer z.B. systematisch besondere Datenkategorien verarbeitet (Gesundheitsdaten, Daten über Straftaten) oder Profiling in großem Umfang betreibt, muss nach DSGVO zwingend einen DSB bestellen. Diese europarechtliche Verpflichtung kann der deutsche Gesetzgeber nicht durch Anhebung des nationalen Schwellenwertes aushebeln. Das Vorhaben kann also nur die darüber hinausgehenden nationalen Pflichten (§ 38 BDSG) reduzieren — nicht die europarechtlichen. Die Abschaffung der DSB-Pflicht für eine Arztpraxis, die Gesundheitsdaten verarbeitet, wäre europarechtlich nicht möglich.
Zudem birgt die Abschaffung der DSB-Pflicht für KMU ein praktisches Risiko: Der betriebliche Datenschutzbeauftragte hat nicht nur Compliance-Funktion, sondern auch Haftungsschutzfunktion für das Unternehmen. Ohne DSB steht der Geschäftsführer bei Datenschutzverstößen noch direkter im Fadenkreuz der Aufsichtsbehörden. Eine Abschaffung ohne gleichzeitige Vereinfachung der materiellen Datenschutzpflichten löst das Problem nicht — sie verschiebt nur das Risiko.
Bündelung der Datenschutzaufsicht beim BfDI
Das Konzept sieht eine Zuständigkeitskonzentration beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) sowie eine gesetzliche Verankerung der Datenschutzkonferenz (DSK) vor. Das ist ein politisch ambitioniertes Vorhaben, das jedoch erhebliche verfassungsrechtliche Fragen aufwirft.
Die Datenschutzaufsicht ist in Deutschland aus gutem Grund föderalistisch organisiert: Die Landesbehörden sind für private Unternehmen in ihrem Land zuständig, der BfDI für Bundesbehörden und bestimmte Bundesunternehmen. Eine Zentralisierung beim BfDI würde einen Eingriff in die Länderkompetenzen bedeuten und wäre verfassungsrechtlich komplex.
Realistischer ist daher eine stärkere Koordinierung der Landesbehörden über die DSK, eine gesetzlich verbindlichere Bindungswirkung von DSK-Beschlüssen und möglicherweise eine Zentralisierung bei besonders komplexen grenzüberschreitenden Verfahren. Das wäre pragmatisch sinnvoll — hätte aber einen erheblich geringeren Vereinfachungseffekt als die vollständige Zentralisierung.
Genehmigungsfiktion: Ein echter Hebel für die Praxis
Abseits des Datenschutzes enthält das Konzept ein Vorhaben, das in der digitalrechtlichen Praxis erhebliche Bedeutung haben wird: die Genehmigungsfiktion als Regelfall im Verwaltungsverfahrensgesetz. Anträge sollen vier Monate nach Eingang vollständiger Unterlagen automatisch als genehmigt gelten, sofern die Behörde keinen besonderen Prüfbedarf anmeldet. Vollständige Umsetzung bis 31.12.2027 angestrebt.
Für die digitale Wirtschaft — und insbesondere für Unternehmen, die Infrastruktur, Rechenzentren oder digitale Dienste aufbauen — ist das ein echter Hebel. Genehmigungsverfahren, die heute 12-24 Monate dauern, könnten auf vier Monate verkürzt werden. Das betrifft auch IT-Infrastrukturprojekte, die regulatorischen Genehmigungen unterliegen (z.B. nach NIS-2, KRITIS-Dachgesetz).
Praxisrelevanz: Die Genehmigungsfiktion wird das Tagesgeschäft der meisten Unternehmen nicht direkt treffen — sie betrifft behördliche Genehmigungsverfahren, nicht private Vertragsgestaltung oder Datenschutz-Compliance. Relevant wird sie vor allem für Unternehmen, die regulierten Infrastrukturen aufbauen oder betreiben — Telekommunikation, Energie, kritische IT-Infrastruktur, Rechenzentren. Für diese ist das Vorhaben, wenn es umgesetzt wird, ein echter Fortschritt.
CSDD — Das Lieferkettengesetz mit neuem Schwellenwert
Das Konzept sieht vor, den Anwendungsbereich der EU-Lieferkettenrichtlinie (CSDD) national auf Unternehmen mit mindestens 5.000 Beschäftigten und einem weltweiten Jahresnettoumsatz von mehr als 1,5 Milliarden Euro zu beschränken. Das ist deutlich enger als das deutsche Lieferkettensorgfaltspflichtengesetz (LkSG), das ab 2024 bereits Unternehmen ab 1.000 Mitarbeitern erfasst.
Für die Rechtsberatungspraxis bedeutet das: Unternehmen zwischen 1.000 und 5.000 Mitarbeitern sollten prüfen, ob sie durch die nationale Umsetzung der CSDD aus dem Anwendungsbereich fallen — und wenn ja, welche LkSG-Pflichten bis zur neuen Regelung weiter gelten. Die Übergangsphase erfordert genaue Beobachtung des Gesetzgebungsverfahrens, das für Herbst 2026 angekündigt ist.
KI-Mitbestimmung: Ein neues Feld entsteht
Das Konzept adressiert auch die Mitbestimmung bei KI-Implementierung im Betrieb: Software, Updates und technische Einrichtungen sollen schneller und einfacher unter Beachtung der Mitbestimmungsrechte des Betriebsrats eingeführt werden können. Die Sozialpartner sollen Vorschläge erarbeiten.
Das ist ein erster Schritt in ein Rechtsgebiet, das in den nächsten Jahren stark an Bedeutung gewinnen wird. Der Einsatz von KI-Systemen im Betrieb — für HR-Entscheidungen, Leistungsüberwachung, Kundeninteraktion — berührt bestehende Mitbestimmungsrechte nach § 87 BetrVG erheblich. Eine klarere Regelung, die sowohl Unternehmen als auch Betriebsräten Rechtssicherheit gibt, ist überfällig und würde den KI-Einsatz in deutschen Unternehmen erheblich beschleunigen.
Einschränkung des Informationsfreiheitsgesetzes: Ein Schritt zurück bei der Transparenz
Ein Vorhaben, das in der digitalrechtlichen Debatte oft untergeht, ist die geplante Beschränkung des Informationsfreiheitsgesetzes (IFG): Auskunftsrechte sollen auf natürliche Personen mit berechtigtem Interesse fokussiert werden, mit möglicher Beschränkung auf in Deutschland lebende Deutsche und Unionsbürger. IFG-Gebühren sollen nach Kostendeckungsprinzip angepasst werden.
Das ist eine klare Einschränkung der bisherigen Informationsfreiheit — die gerade für den Bereich der Datenschutz-Compliance, Transparenz von Behördenentscheidungen und die Kontrolle staatlicher Digitalprojekte erhebliche Bedeutung hat. Journalisten, Nichtregierungsorganisationen und Forschungseinrichtungen werden von dieser Verschärfung am stärksten betroffen sein.
Kritische Einordnung: Die Einschränkung des IFG steht in einem gewissen Spannungsverhältnis zum gleichzeitig propagierten Ziel der Transparenz und Digitalisierung der Verwaltung. Bürger- und Unternehmensrechte bei der Kontrolle behördlicher Entscheidungen zu beschränken, während gleichzeitig mehr Behördenzugang zu privaten Daten (z.B. Sozialleistungsmissbrauch, Datenaustausch zwischen Behörden) vorgesehen ist, ist zumindest erklärungsbedürftig.
Fazit: Viel Ankündigung, realistische Erwartungen geboten
Das Koalitionskonzept enthält für das Digitalrecht mehr substanzielle Vorhaben als viele Vorgängerprogramme. Die Richtung stimmt: mehr Systematisierung des Datenrechts, weniger Fragmentierung der Aufsicht, weniger Bürokratie für Unternehmen. Die Genehmigungsfiktion und die KI-Mitbestimmungsregelung sind konkrete und sinnvolle Ansätze.
Kritisch zu bewerten sind jedoch:
- Die Abhängigkeit von europäischem Handeln bei den wichtigsten DSGVO-Vorhaben — hier hat die Bundesregierung mehr Ankündigungs- als Entscheidungsmacht.
- Die mögliche Fehlsteuerung bei der Abschaffung betrieblicher DSB in KMU: Ohne gleichzeitige Vereinfachung der materiellen Pflichten wird das Risiko für Unternehmen nicht reduziert, sondern nur umverteilt.
- Der IFG-Rückschritt als gegenläufige Bewegung zur propagierten Transparenz.
- Die Unklarheit über Zeitplan und Umsetzungstiefe: Ein "Datengesetzbuch" anzukündigen ist einfach — es in dieser Legislaturperiode umzusetzen, wäre eine Kraftanstrengung, die bisher noch keine Bundesregierung geschafft hat.
Für Unternehmen gilt: Compliance-Bemühungen nicht reduzieren, das bestehende Recht konsequent einhalten und die Gesetzgebungsentwicklung aufmerksam beobachten. Wer heute seinen Datenschutz ordentlich aufstellt, wird von möglichen Vereinfachungen profitieren — wer wartet, läuft in der Übergangsphase Risiken.
Wie wirken sich die Vorhaben auf Ihr Unternehmen aus?
Wir analysieren, welche der angekündigten Reformen Ihr Unternehmen konkret betreffen — und wie Sie sich auf mögliche Rechtsänderungen vorbereiten können, ohne bestehende Compliance-Pflichten zu vernachlässigen.