Drei renommierte Rechtsprofessoren, ein Auftrag des Nationalen Normenkontrollrats (NKR), 100 Seiten komprimiertes Rechtswissen: Das Gutachten „Bestandsaufnahme Datengesetzbuch“ von Prof. Dr. Moritz Hennemann, Prof. Dr. David Roth-Isigkeit und Prof. Dr. Dr. h.c. Christiane Wendehorst legt erstmals systematisch offen, wie zersplittert das deutsche und europäische Datenrecht ist – und was ein nationales Datengesetzbuch leisten könnte und sollte.

In dieser fünfteiligen Beitragsreihe durchleuchte ich das Gutachten Kapitel für Kapitel und ordne die Ergebnisse praxisnah ein. Den Anfang macht die Grundlage: Wie definieren die Gutachter das Datenrecht? Welche Rechtsakte gelten heute auf EU- und nationaler Ebene? Und wo liegen die zentralen Reibungspunkte?

Über das Gutachten
Das Gutachten „Bestandsaufnahme Datengesetzbuch“ wurde im Auftrag des Nationalen Normenkontrollrats (NKR) erstellt und am 17. Juli 2026 veröffentlicht. Es analysiert die rechtspolitische Tragfähigkeit eines deutschen Datengesetzbuchs, kartiert den bestehenden Rechtsrahmen und entwickelt drei konkrete Strukturierungsoptionen. Die Bestandsaufnahme ist Grundlage für die politische Entscheidungsfindung auf Bundesebene.

Die Ausgangslage: Daten als „multiple use good“

Das Gutachten beginnt mit einer gesellschaftspolitischen Kernthese: Daten sind ein multiple use good – ein Gut, das von vielen gleichzeitig und für völlig unterschiedliche Zwecke genutzt werden kann, ohne dass es dabei verbraucht wird. Weil Daten nicht rival sind, ermöglichen sie mehrdimensionale und multitemporale Nutzung. Daraus folgt die Notwendigkeit einer gesamtgesellschaftlichen Perspektive auf die Regulierung.

Das Datenrecht – verstanden als der Rechtsrahmen für maschinenlesbar codierte Informationen – umfasst heute im Wesentlichen zwei Hauptbereiche: das Datenschutzrecht und das Datenwirtschaftsrecht. Beide sind auf Unionsebene wie auf nationaler Ebene nicht in einer einheitlichen Kodifikation zusammengefasst, sondern auf eine Vielzahl von Rechtsakten verteilt, die sektorübergreifend ineinandergreifen, sich teilweise überlagern und erhebliche Orientierungsprobleme in der Vollzugspraxis erzeugen.

Was genau ist „Datenrecht“? Die Strukturierung des Untersuchungsgegenstands (Kapitel II)

Die Gutachter entwickeln zunächst eine präzise Taxonomie. Das Datenrecht im engeren Sinn (i.e.S.) umfasst alle Rechtsregeln, die im Schwerpunkt auf maschinenlesbar codierte Informationen abzielen. Es gliedert sich in:

  • Datenschutzrecht: Ausgestaltung des Grundrechts auf Schutz personenbezogener Daten (Art. 8 GRCh, Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG). Leitprinzip: Daten so wenig und so gesichert wie möglich.
  • Datenwirtschaftsrecht: Regelungen, die Daten als wirtschaftlich relevante Ressource betrachten – Datenzugangsrechte, Datenportabilität, Datenverträge, Datennutzungsverbote aus wettbewerbsrechtlichen Gründen. Leitprinzip: Daten so viel und so offen wie möglich.

Das strukturelle Grundproblem
Datenschutzrecht und Datenwirtschaftsrecht verfolgen diametral entgegengesetzte Leitprinzipien: Das eine will Daten schützen, das andere will sie nutzbar machen. Dieses Spannungsverhältnis ist in der Praxis keineswegs aufgelöst. Das Mantra „so offen wie möglich, so geschlossen wie nötig“ bleibt eine Formel ohne operativen Inhalt – Unternehmen und Behörden müssen den Konflikt im Einzelfall selbst auflösen.

Angrenzende Rechtsmaterien

Das Gutachten grenzt das Datenrecht i.e.S. bewusst von verwandten, aber eigenständigen Rechtsgebieten ab. Zum Datenrecht gehören nicht:

  • IT-Sicherheits- und Telekommunikationsrecht: Diese schützen Informationsinfrastrukturen, nicht die Informationen selbst.
  • Medien- und Plattformrecht: Regelungsanliegen ist informationelle Teilhabe, nicht maschinenlesbare Codierung.
  • Recht digitaler Produkte und Dienstleistungen: Produktsicherheitsrecht (KI-VO), Softwarevertragsrecht.

Besondere Sorgfalt ist dagegen bei überlappenden Bereichen geboten, insbesondere beim Privatsphäre- und Geheimnisschutz (Art. 7 GRCh), der Informations- und Transparenzgesetzgebung sowie dem Recht des geistigen Eigentums (Datenbankherstellerrecht, Debatte um „Dateneigentum“).

Kernaussage Kapitel II
Ein Datengesetzbuch erfordert keine Vollkodifikation des gesamten Digitalrechts. Es braucht eine tragfähige politische Grundentscheidung darüber, was zum Kernbereich des Datenrechts gehören soll und welche angrenzenden Materien nur punktuell einzubeziehen sind. Der modulare Ansatz ist das entscheidende Strukturprinzip.

Der bestehende Rechtsrahmen: Ein Patchwork aus EU- und nationalem Recht (Kapitel III)

Kapitel III ist das empirische Herzstück des Gutachtens: Es kartiert den gesamten geltenden Rechtsrahmen des Datenrechts – auf unionaler und nationaler Ebene, für Datenschutz und Datenwirtschaft, für materielle Regeln und für die behördliche Durchsetzung. Das Bild ist ernüchternd.

Der unionale Rechtsrahmen

Die wesentlichen materiellen Vorgaben des Datenrechts sind heute auf Unionsebene geregelt. Auf der Datenschutzseite stehen drei Grundregime:

  • Datenschutz-Grundverordnung (DSGVO, VO (EU) 2016/679) – das zentrale Regime für die Privatwirtschaft
  • JI-Richtlinie (RL (EU) 2016/680) – Datenschutz im Strafverfolgungsbereich
  • EU-DSVO (VO (EU) 2018/1725) – Datenschutz für EU-Organe

Hinzu kommt ein wachsendes Neben-Datenschutzrecht in sektorspezifischen Akten: ePrivacy-RL, DSA, KI-VO, Plattformarbeits-RL, EHDS-VO und andere. Das Verhältnis dieser Regelungen zur DSGVO ist komplex. Nur für die ePrivacy-RL ist ein ausdrücklicher Vorrang geregelt. Die übrigen Regelungen sind typischerweise Verschärfungen, belassen den Betroffenen aber den Rückgriff auf die DSGVO.

Das Datenwirtschaftsrecht ist noch weniger kohärent. Als Kern gelten:

  • Datenverkehrs-VO (VO (EU) 2018/1807)
  • Data Governance Act – DGA (VO (EU) 2022/868)
  • Data Act (VO (EU) 2023/2854)

Sektorspezifisch ergänzt werden diese u.a. durch die Open Data-RL, die EHDS-VO und den noch im Gesetzgebungsverfahren befindlichen FIDA-VO-Entwurf. Dazu kommen zahlreiche punktuelle datenwirtschaftliche Regelungen im DMA, DSA, der P2B-VO, der DSGVO (Art. 20) und verschiedenen Sektorgesetzen.

Kein Grundregime für das Datenwirtschaftsrecht
Das Gutachten stellt fest: Im Datenwirtschaftsrecht fehlt ein Grundregime, wie es die DSGVO für das Datenschutzrecht darstellt. Der Data Act käme am ehesten infrage, erfüllt diese Funktion aber nicht – aufgrund problematischer legistischer Qualität und des Fehlens eines übergreifenden Regelungskonzepts.

Der Digitale Omnibus – Konsolidierung auf halbem Weg

Die Europäische Kommission hat mit dem sog. Digital Omnibus (COM(2025) 836 und 837 final) einen Konsolidierungsversuch unternommen. Der Vorschlag sieht die Zusammenführung von Data Act, DGA, Datenverkehrs-VO und Open Data-RL in einem einzigen Rechtsakt vor – einem erweiterten „Data Act 2.0“. Zugleich soll die ePrivacy-RL in die DSGVO integriert werden.

Das Gutachten begrüßt die Stoßrichtung grundsätzlich, übt aber deutliche Kritik: Die Zusammenlegung der vier Kernrechtsakte führt zu keiner kohärenten Neukodifikation, sondern zu einem Patchwork, das die bisherigen Regelungsinhalte im Wesentlichen hintereinander aufreiht. Der Entwurf enthält Normen bis Art. 32aa und 32ab DA-E – weil Regelungen bis Art. 32z nicht ausreichten. Ob das wirklich zur Vereinfachung beiträgt, stellen die Gutachter zu Recht in Frage.

Der nationale Rechtsrahmen

Da das materielle Recht überwiegend auf EU-Ebene geregelt ist, liefert das nationale Recht kein kohärentes Bild. Der nationale Gesetzgeber beschränkt sich weitgehend auf:

  • Durchführungsgesetze zu EU-Verordnungen (insbesondere zu Behördenzuständigkeiten, Verfahren, Sanktionen)
  • Umsetzung von EU-Richtlinien (JI-RL, Open Data-RL)
  • Ausfüllung von DSGVO-Öffnungsklauseln (BDSG, TDDDG)

Im Bereich des nationalen Datenwirtschaftsrechts wurden das Daten-Governance-Gesetz (DGG) und das Data Act-Durchführungsgesetz (DA-DG) am 26. März 2026 vom Bundestag verabschiedet. Das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) befindet sich noch im Gesetzgebungsverfahren. Daneben bestehen sektorspezifische Regelungen im DNG, GDNG, EnWG, SGB V und anderen Gesetzen.

Der nationale Gesetzgeber sieht sich dabei zwei strukturellen Herausforderungen gegenüber: Erstens überträgt sich die Inkohärenz des EU-Rechts direkt auf die Durchführungsgesetzgebung. Zweitens ist das EU-Recht ein „moving target“ – der nationale Rahmen muss bei jeder Änderung auf Unionsebene anpassungsfähig bleiben.

Die Vollzugslandschaft: Fragmentierung als zentrales Problem

Besonders aufschlussreich ist die Analyse der behördlichen Durchsetzungsstruktur. Die Gutachter unterscheiden zwei Bereiche mit sehr unterschiedlichem Reifegrad:

Das Datenschutzrecht verfügt über eine gefestigte, unionsrechtlich stark vorgeformte Aufsichtsarchitektur – die föderale Datenschutzaufsicht nach der DSGVO mit Bundes- und Landesbehörden bildet das Rückgrat. Neuere Regelungsakte (DSA, KI-VO, Plattformarbeits-RL, EHDS-VO) ergänzen diese Struktur punktuell um weitere Behörden und Koordinierungsstellen.

Das Datenwirtschaftsrecht dagegen weist keine vergleichbare Aufsichtsarchitektur auf. Es besteht ein Nebeneinander aus:

  • Behörden mit ausdrücklicher Zuständigkeit (DGA, Data Act → voraussichtlich Bundesnetzagentur)
  • Bloßen Anlaufstellenmodellen (Datenverkehrs-VO)
  • Sektorspezifischen Sonderstrukturen (EHDS-VO)
  • Punktuellen Einbettungen in bestehende Fachaufsichten (Verbraucherrecht, Energierecht, Finanzaufsicht)

Institutionelle Zersplitterung als Innovationshemmnis
Die Gutachter halten fest: Die institutionelle Zersplitterung im Datenwirtschaftsrecht ist für das übergreifende Ziel einer innovationsfreundlichen Datenaufsicht ein entscheidendes Hindernis. Sie macht das Datenwirtschaftsrecht zum besonderen Ansatzpunkt für Überlegungen zur organisatorischen Bündelung.

Was bedeutet das für die Praxis?

Die Bestandsaufnahme des Gutachtens macht deutlich: Das Datenproblem in Deutschland ist kein Problem fehlender Regeln, sondern ein Problem ihrer Verteilung. Unternehmen, Behörden und Wissenschaftseinrichtungen scheitern in der Praxis nicht daran, dass es keine Rechtsgrundlagen gäbe – sondern daran, dass sie diese Grundlagen in Dutzenden von Rechtsakten auf EU- und nationaler Ebene zusammensuchen müssen, dass die Schnittstellen unklar sind und dass oft niemand so genau weiß, welche Behörde eigentlich zuständig ist.

Die fünf Fallbeispiele des Gutachtens illustrieren das anschaulich: das mittelständische Industrieunternehmen, das Maschinendaten mit Kundendaten für digitale Services zusammenführen will; das KI-Start-up, das Trainingsdaten rechtssicher nutzen muss; die Universität, die Forschungskooperationen rechtlich absichern möchte; die Gesundheitseinrichtung, die Gesundheitsdaten sekundärnutzen will; die Kommunalverwaltung, die Daten aus Bauverwaltung, Mobilität und Registern zusammenführen möchte. In allen Fällen ist das Problem dasselbe: Rechtsunsicherheit durch Fragmentierung.

Einordnung und Ausblick

Das Gutachten liefert mit seiner Bestandsaufnahme eine überfällige Diagnose. Die Stärke liegt in der konsequenten Systematisierung: Erstmals wird das Datenrecht vollständig kartiert – von den Grundregimen über das Neben-Datenschutzrecht bis zur detaillierten Analyse jedes einzelnen datenwirtschaftsrechtlichen Akts und seiner Vollzugsstruktur.

Die Konsequenz ist eindeutig: Ohne eine Konsolidierung des Datenrechts – ob durch ein Datengesetzbuch oder andere Maßnahmen – werden Vollzugsprobleme, Rechtsunsicherheit und Innovationshindernisse bestehen bleiben. Der Digitale Omnibus der EU-Kommission ist ein Schritt in die richtige Richtung, reicht aber nicht aus.

Was konkret ein Datengesetzbuch leisten könnte, welche nationalen Handlungsspielräume bestehen und wie die drei Strukturierungsoptionen aussehen, sind Themen der folgenden Teile dieser Beitragsreihe.

Beitragsreihe: Das NKR-Gutachten zum Datengesetzbuch

  • Teil 1 (dieser Beitrag): Strukturierung des Datenrechts und der bestehende Rechtsrahmen
  • Teil 2: Nationale Handlungsspielräume – Was Deutschland eigenständig regeln kann
  • Teil 3: Bisherige Vorarbeiten zum Datengesetzbuch – eine kritische Würdigung
  • Teil 4: Vereinheitlichungsoptionen – Wo besteht konkreter Regelungsbedarf?
  • Teil 5: Fazit und Ausblick – Was sollte ein Datengesetzbuch leisten?

Quellen