Das Datenrecht wird bekanntlich in seinem Kern durch EU-Recht geprägt – DSGVO, Data Act, Data Governance Act, KI-Verordnung. Wer über ein nationales Datengesetzbuch nachdenkt, stößt deshalb schnell auf die Frage: Was kann Deutschland überhaupt noch selbst regeln? Die Antwort des NKR-Gutachtens ist klarer als erwartet: Eine ganze Menge – wenn man weiß, wo die Spielräume liegen und wie man sie sinnvoll nutzt.

Kapitel IV des Gutachtens gibt darauf eine differenzierte Antwort: Es kartiert die nationalen Handlungsspielräume nach Rechtsgrundlage und Reichweite – und macht dabei deutlich, wo echte Gestaltungsmöglichkeiten bestehen und wo die europäische Regelungsdichte kaum Luft lässt. In diesem Beitrag analysiere ich die zentralen Kategorien und ordne sie kritisch im Hinblick auf ihre politische Umsetzbarkeit ein.

Kontext: Beitragsreihe zum NKR-Gutachten
Dieser Beitrag ist Teil 2 einer fünfteiligen Reihe zur Bestandsaufnahme „Datengesetzbuch“ von Hennemann, Roth-Isigkeit und Wendehorst (NKR, Juli 2026). Teil 1 hat Struktur und Rechtsrahmen des Datenrechts vorgestellt.

Die Ausgangsfrage: Wie viel nationaler Spielraum bleibt?

Das Gutachten stellt zunächst klar: Die Ausgangslage für ein nationales Datengesetzbuch ist weder durch vollständige unionsrechtliche Determination noch durch freie nationale Gestaltbarkeit geprägt. Deutschland bewegt sich in einem dicht regulierten, aber keineswegs vollständig geschlossenen Rechtsrahmen. Und genau dieser Mittelweg ist der Ansatzpunkt für ein Datengesetzbuch.

Das Gutachten unterscheidet dabei vier Kategorien nationaler Handlungsspielräume, die sich nach Rechtsgrundlage und Reichweite erheblich unterscheiden:

  • A. Originäre nationale Handlungsspielräume – wo die EU schon kompetenzrechtlich nicht tätig werden kann oder noch nicht tätig geworden ist
  • B. Unionsrechtsverstärkende Handlungsspielräume – wo Deutschland über unionsrechtliche Mindestvorgaben hinausgehen darf
  • C. Aus Unionsrecht abgeleitete Handlungsspielräume – Öffnungsklauseln, Umsetzungsaufträge, Konkretisierungsbefugnisse
  • D. Gestaltungsentscheidung: Goldplating vs. sinnvolle Ausgestaltung – die Gretchenfrage der Gesetzgebungspolitik

A. Originäre Handlungsspielräume: Was die EU nicht regeln darf oder noch nicht geregelt hat

Nationale Sicherheit – marginal und weiter schrumpfend

Art. 2 Abs. 2 lit. a DSGVO und vergleichbare Bereichsausnahmen klammern Tätigkeiten im Bereich der nationalen Sicherheit aus dem Unionsrecht aus. Auf den ersten Blick klingt das nach einem substanziellen Freiraum. Auf den zweiten Blick ist er weitgehend illusorisch.

Der EuGH legt die Ausnahme konsequent eng aus: Selbst für Parlamentarische Untersuchungsausschüsse im Bereich polizeilicher Staatsschutzarbeit hat er das Eingreifen verneint (EuGH C-33/22 – Österreichische Datenschutzbehörde). Strafverfolgung, Migration und Asylwesen fallen ausdrücklich nicht darunter. Für ein Datengesetzbuch ist dieser Bereich deshalb ohne praktische Bedeutung.

Das gilt über die nationale Sicherheitsausnahme hinaus als allgemeines Bild: Die Spielräume der DSGVO sind insgesamt geringer, als sie auf den ersten Blick erscheinen. Zwar enthält die DSGVO über 70 Öffnungsklauseln. Doch viele davon sind durch den EuGH in ihrer Reichweite begrenzt worden. Die Vollharmonisierungswirkung der DSGVO gilt nach ständiger Rechtsprechung weit über ihren Wortlaut hinaus. Wer glaubt, mit dem Verweis auf eine Öffnungsklausel freie Hand zu haben, unterschätzt die europäische Regelungsrealität.

Dateneigentum – politisch attraktiv, wissenschaftlich umstritten

Nach Art. 345 AEUV lassen die EU-Verträge die Eigentumsordnung der Mitgliedstaaten unberührt. Das NKR-Gutachten nennt darauf aufbauend drei mögliche nationale Regelungsvorhaben: ein Recht am eigenen Datenbestand als absolutes Recht (vgl. § 823 Abs. 1 BGB), einen quasi-dinglichen Herausgabeanspruch für Datenbestände auf fremder Infrastruktur wie der Cloud (vgl. § 985 BGB) und die Rechtsnachfolge von Todes wegen in Datenbestände.

Die Idee eines nationalen Dateneigentums klingt intuitiv plausibel – und ist in der Wissenschaft dennoch überwiegend abgelehnt worden. Herbert Zech, einer der führenden deutschen Rechtswissenschaftler im Datenwirtschaftsrecht, hat die Debatte maßgeblich geprägt: Er hält ein subjektives Dateneigentum nach dem Modell des Sacheigentums für strukturell nicht übertragbar, weil Daten – anders als körperliche Gegenstände – nicht rival sind. Sie können ohne Verlust kopiert, gleichzeitig genutzt und beliebig weiterverbreitet werden. Ein exklusives Nutzungsrecht nach sachenrechtlichem Vorbild würde diese ökonomische Realität negieren und Datenzirkulation eher hemmen als fördern.

Zechs Position rührt an einer älteren und weiterhin virulenten Grunddebatte: der Forderung, dass Informationen frei sein sollen – „Information wants to be free“, formuliert von Stewart Brand 1984 auf der ersten Hackers Conference. In digitalen Kreisen wurde daraus eine regelrechte Leitidee: Jede exklusive Rechtszuweisung an Daten gelte als Bedrohung für Offenheit, Innovation und gesellschaftliche Wissensakkumulation. Die Creative-Commons-Bewegung, der Open-Data-Aktivismus und die aktuelle Debatte um proprietäre KI-Trainingsdaten nähren sich alle aus dieser Tradition.

Juristisch überzeugt die pauschale „Information wants to be free“-These allerdings nicht vollständig. Das Recht kennt seit jeher Informationseigentum – im Urheberrecht, im Geschäftsgeheimnisrecht, im Datenbankherstellerrecht. Die eigentliche Frage ist nicht, ob Daten überhaupt Rechtspositionen begründen können, sondern welches Schutzinstrument angemessen ist: ein absolutes Ausschließlichkeitsrecht nach sachenrechtlichem Vorbild – das Zech ablehnt – oder relativere, auf Zugang und Nutzung ausgerichtete Instrumente, wie sie der Data Act ansatzweise bereitstellt. Das NKR-Gutachten selbst präferiert erkennbar die zweite Richtung.

Das Binnenmarktproblem: Nationale Sonderwege als Wettbewerbsverzerrung
Wer ein nationales Dateneigentum oder sonstige eigenständige Datenrechte einführt, muss sich einer strukturellen Frage stellen: Erzeugen nationale Sonderwege im gemeinsamen EU-Binnenmarkt Wettbewerbsverzerrungen? Die Antwort ist ja – und zwar in beide Richtungen. Strengere nationale Schutzrechte an Daten belasten datenintensive Unternehmen stärker als ihre europäischen Konkurrenten, die keine vergleichbaren Rechtspositionen der Dateninhaber respektieren müssten. Der Standortnachteil wäre real. Umgekehrt droht ohne einheitliche Mindeststandards ein „Race to the bottom“: Investitionen fließen in Rechtsordnungen mit dem geringsten Schutzstandard. Beide Risiken sprechen dafür, dass der eigentliche Ort für ein Dateneigentumsrecht – wenn überhaupt – die europäische Ebene wäre, nicht das nationale BGB. Das NKR-Gutachten teilt diese Einschätzung implizit.

Datenvertragsrecht und Datendeliktsrecht – die überzeugenden Ansätze

Die überzeugendsten originären Handlungsspielräume liegen nicht beim Dateneigentum, sondern beim Datenvertragsrecht. Dispositives Vertragsrecht für typische Datenwirtschaftsverträge – Daten-Lizenz, Daten-Tausch, Daten-Pooling – fehlt im BGB vollständig. Der Data Act regelt Datenverträge nur im B2B-Bereich und nur punktuell. Hier kann Deutschland mit dispositivem Recht einen Ordnungsrahmen schaffen, der Parteien Orientierung gibt, ohne sie zu binden – und perspektivisch zum europäischen Vorbild werden könnte, so wie Haustürgeschäfte, Produkthaftung und Datenschutz ursprünglich nationale Errungenschaften waren.

Beim Datendeliktsrecht besteht eine klare Regelungslücke: Schadensersatz für Beschädigung oder Zerstörung von Datenbeständen auf fremder IT-Infrastruktur, Schadensersatz bei unberechtigter Weitergabe geschützter Daten. Das Gutachten verweist auf konkrete Formulierungsvorschläge für einen neuen § 826a BGB (Wendehorst). Die 10. GWB-Novelle hat das Kartellrecht bereits datenwirtschaftlich angepasst; ähnliche Schritte im UWG wären möglich, soweit die UGP-Richtlinie nicht vollharmonisierend entgegensteht.

Der entscheidende Unterschied zum Dateneigentum: Vertragsrecht und Deliktsrecht schaffen – anders als ein dingliches Ausschließlichkeitsrecht – keine neuen absoluten Rechtspositionen, sondern regeln Verhältnisse zwischen bestimmten Parteien. Sie sind damit binnenmarktrechtlich deutlich weniger riskant und wissenschaftlich weniger umstritten.

Fazit A: Originäre Spielräume – begrenzt und differenziert zu bewerten
Die DSGVO-Öffnungsklauseln sind in ihrer tatsächlichen Reichweite geringer als oft angenommen. Ein nationales Dateneigentum ist wissenschaftlich überwiegend abgelehnt, binnenmarktrechtlich heikel und strukturell am falschen Ort. Das Datenvertragsrecht und das Datendeliktsrecht sind die überzeugenden Ansätze – weil sie Orientierung geben, ohne absolute Ausschließlichkeitsrechte zu schaffen, und damit die Datenzirkulation im Binnenmarkt nicht gefährden.

B. Unionsrechtsverstärkende Handlungsspielräume: Mehr Schutz als die EU verlangt

Das Gutachten führt eine wichtige dogmatische Kategorie ein: die unionsrechtsverstärkenden Handlungsspielräume. Gemeint sind Konstellationen, in denen Deutschland über das unionsrechtliche Mindestniveau hinausgehen darf – typischerweise bei Mindestharmonisierung.

Beispiele sind die JI-Richtlinie (Datenschutz im Strafverfolgungsbereich), die ausdrücklich Mindeststandards setzt und strengere nationale Regelungen erlaubt, sowie die Plattformarbeits-RL, bei der ebenfalls ein mindestharmonisierender Charakter erkennbar ist. Praktisch bedeutet das: Ein Datengesetzbuch könnte z. B. den Kreis der besonders sensiblen Datenkategorien über Art. 10 JI-RL hinaus erweitern (z. B. Gehirn-Computer-Schnittstellendaten) oder Minderjährigendaten generell strengeren Anforderungen unterwerfen.

Daneben ist eine Erstreckung des Anwendungsbereichs unionsrechtlicher Regelungen möglich: Deutschland könnte z. B. die DSGVO-Regeln ganz oder teilweise auf Daten juristischer Personen oder Daten Verstorbener erstrecken (vgl. das österreichische Vorbild in § 1 DSG). Und durch Ergänzung des Regelungsinhalts könnten für Data-Act-Verträge spezifische nationale Formvorgaben oder ein kohärentes Rückabwicklungsregime geschaffen werden – außerhalb des harmonisierten Bereichs.

Kritische Einordnung: Verstärkung ≠ automatisch sinnvoll
Unionsrechtsverstärkende Maßnahmen sind zulässig – aber nicht immer klug. Strengere nationale Regeln erhöhen den Erfüllungsaufwand für Unternehmen, schaffen Wettbewerbsnachteile gegenüber europäischen Konkurrenten und können Rechtsunsicherheit an den Schnittstellen erzeugen. Das Gutachten lässt keinen Zweifel: Diese Spielräume sollten nur dort genutzt werden, wo ein klarer gesellschaftlicher Mehrwert erkennbar ist – nicht als regulatorischer Reflex.

C. Aus Unionsrecht abgeleitete Handlungsspielräume: Öffnungsklauseln, Aufträge, Konkretisierungen

Den quantitativ größten und praktisch bedeutsamsten Block bilden die abgeleiteten Handlungsspielräume – Spielräume, die das Unionsrecht selbst eröffnet. Das Gutachten unterscheidet hier drei Unterformen:

1. Umsetzungs- und Regelungsaufträge – die Pflichtaufgaben

Viele EU-Rechtsakte verpflichten die Mitgliedstaaten, bestimmte nationale Regelungen zu erlassen: die Benennung zuständiger Behörden, die Ausgestaltung behördlicher Verfahren, die Festlegung von Sanktionen. Das ist keine nationale Eigengestaltung im eigentlichen Sinne – sondern Umsetzungspflicht.

Gerade hier liegt aber eine der stärksten Chancen für ein Datengesetzbuch: Die Bündelung behördlicher Zuständigkeiten. Das Gutachten benennt explizit: Für Behördenstruktur, Verfahren und Sanktionen bestehen erhebliche Gestaltungsspielräume. Ein Datengesetzbuch könnte für das gesamte Datenrecht einheitliche Zuständigkeiten, harmonisierte Verwaltungsverfahren und kohärente Sanktionsrahmen schaffen – und damit den Erfüllungsaufwand für Unternehmen und Behörden gleichermaßen deutlich senken.

2. Abweichungsbefugnisse (Öffnungsklauseln i.e.S.) – die Wahlmöglichkeiten

Die DSGVO allein enthält Dutzende Öffnungsklauseln. Für ein Datengesetzbuch besonders relevant:

  • Art. 8 Abs. 1 DSGVO: Einwilligungsalter für Dienste der Informationsgesellschaft – Deutschland hat 16 Jahre gewählt, könnte aber auf 13 Jahre absenken. Eine praxisnahe Frage mit erheblichen Konsequenzen für Plattformanbieter.
  • Art. 9 Abs. 4 DSGVO: Zusätzliche Einschränkungen für genetische, biometrische und Gesundheitsdaten – hier könnte Deutschland eigene sektorspezifische Regelungen schaffen.
  • Art. 23 DSGVO: Weitreichende Möglichkeit zur Beschränkung von Betroffenenrechten aus Gründen des öffentlichen Interesses. Wichtig insbesondere für Sicherheitsbehörden und staatliche Datenverarbeitung.
  • Art. 89 Abs. 2 DSGVO: Einschränkung von Betroffenenrechten für wissenschaftliche Forschung – ein zentraler Baustein für das noch ausstehende Forschungsdatengesetz, das seinerseits in ein Datengesetzbuch integrierbar wäre.
  • Art. 10 EHDS-VO: Widerspruchsrecht gegen den Zugang zu elektronischen Gesundheitsdaten – eine Option mit unmittelbarer praktischer Bedeutung für das Gesundheitsdatenrecht.

3. Ausfüllungs- und Konkretisierungsbefugnisse – die Gestaltungsflächen

Die Ausfüllungsbefugnisse sind die subtilste, aber wichtigste Kategorie für die alltägliche Compliance-Praxis. Sie betreffen Regelungsbereiche, in denen das Unionsrecht zwar einen Rahmen vorgibt, die konkrete Ausgestaltung aber dem nationalen Gesetzgeber überlässt:

  • Art. 6 Abs. 1 lit. c und e DSGVO: Rechtmäßigkeitsgründe auf Basis nationaler Rechtsvorschriften – Deutschland kann Rechtsgrundlagen für die Verarbeitung personenbezogener Daten im öffentlichen Interesse schaffen. Das ist für Behörden und kommunale Datennutzung (Mobilität, Bauverwaltung, Register) von zentraler Bedeutung.
  • Art. 22 Abs. 2 lit. b DSGVO: Zulässigkeit automatisierter Einzelentscheidungen kraft nationaler Rechtsvorschrift – relevant für KI-gestützte Verwaltungsverfahren.
  • Art. 88 DSGVO: Beschäftigtendatenschutz – Deutschland hat bisher nur § 26 BDSG, ein eigenständiges Beschäftigtendatengesetz (BeschDG) fehlt noch immer. Das Gutachten nennt das eine der offenkundigsten Regelungslücken.
  • Datenspezifische Klauselverbote in den §§ 308, 309 BGB (ausdrücklich durch Richtlinie 93/13/EG zugelassen) für B2C-Verträge über Datennutzung.

Die unterschätzte Grenze: EU-Verordnungen dürfen nicht wiederholt werden
Eine wichtige technische Schranke für ein Datengesetzbuch: EU-Verordnungen (DSGVO, Data Act, DGA) gelten unmittelbar und dürfen im nationalen Recht nicht wortgleich wiederholt werden (EuGH C-34/73 – Variola; bestätigt durch EuGH C-34/21). Eine solche Wiederholung würde die unionsrechtliche Herkunft verschleiern und ist grundsätzlich unzulässig. Ein Datengesetzbuch kann lediglich auf EU-Verordnungen verweisen. Das begrenzt den Kodifikationscharakter erheblich: Ein wirklich einheitliches, in sich geschlossenes nationales Datengesetzbuch ist unter dem geltenden Unionsrecht nicht möglich.

D. Das Goldplating-Dilemma: Wann ist nationale Eigengestaltung sinnvoll?

Das Gutachten widmet der politischen Schlüsselfrage ein eigenes Kapitel: Wann ist die Nutzung nationaler Handlungsspielräume legitim – und wann ist sie bürokratieverstärkendes „Goldplating“?

Der Begriff „Goldplating“ bezeichnet im politischen Diskurs nationale Regelungen, die über das unionsrechtlich geforderte Maß hinausgehen und den Erfüllungsaufwand erhöhen. Drei Elemente kennzeichnen ihn: Auslöser ist ein Unionsrechtsakt, die nationale Gestaltung ist freiwillig, und sie verstärkt den Unionsrechtsakt in einer Weise, die Belastungen erhöht.

Das Gutachten widerspricht aber einem pauschalen Goldplating-Verdikt energisch. Dafür nennt es drei überzeugende Gründe:

  • Unionsrechtsakte entstehen unter Beteiligung der Mitgliedstaaten und reagieren auf nationale Bedürfnisse. Die These, nationale Gesetzgeber folgten einem „fremden Willen“, trifft typischerweise nicht zu.
  • Einschränkungen des Anwendungsbereichs von EU-Rechtsakten spiegeln oft sektorale EU-Kompromisse wider, die im deutschen Kontext sinnlos sind und zu willkürlichen Unterscheidungen führen.
  • Viele EU-Rechtsakte haben ermöglichenden Charakter. Ihre Vorteile einem breiteren Kreis zugutekommen zu lassen, stärkt Wachstum und Wettbewerbsfähigkeit.

Entscheidend ist deshalb nicht die Frage, ob nationale Spielräume genutzt werden, sondern wie: Der Maßstab ist, ob eine nationale Regelung den Erfüllungsaufwand im Ergebnis erhöht oder reduziert.

Die drei Instrumente zur Aufwandsreduktion
Das Gutachten identifiziert drei Mittel, mit denen nationale Handlungsspielräume aufwandsreduzierend genutzt werden können:

  • Ermöglichung: Neue Handlungsräume eröffnen – Rechtsgrundlagen nach Art. 6 Abs. 1 lit. c/e DSGVO schaffen, Ausnahmetatbestände definieren, Regulatory Sandboxes (Reallabore) einrichten, Innovationsförderung nach Kapitel VI KI-VO umsetzen.
  • Vereinfachung: Behördliche Zuständigkeiten bündeln, Verwaltungsverfahren vereinheitlichen, Pflichtenkataloge harmonisieren, redaktionelle Vereinfachung des Rechtsstoffs.
  • Erhöhung der Rechtssicherheit: Regulatorischen Dialog mit Behörden einführen, Safe-Harbour-Regelungen schaffen, bislang der Rechtsprechung überlassene Rechtsfragen legislativ klären.

Kritische Gesamteinordnung: Was ist realistisch umsetzbar?

Das Gutachten zeichnet ein insgesamt optimistisches Bild der nationalen Handlungsspielräume. Die kritische Prüfung aus Praxissicht offenbart jedoch mehrere Spannungsfelder:

Das Verordnungsdilemma

Das zentrale Umsetzungsproblem eines Datengesetzbuchs liegt in der Natur des EU-Datenrechts: Es besteht überwiegend aus Verordnungen – DSGVO, Data Act, DGA –, die unmittelbar gelten und nicht kodifiziert werden dürfen. Ein nationales Datengesetzbuch kann diese Verordnungen nicht ersetzen, sondern allenfalls flankieren: durch Verweisnormen, Durchführungsregelungen, behördliche Strukturgesetze und die Schließung von Regelungslücken. Das begrenzt seinen rechtspolitischen Ambitionsradius erheblich.

Das Koordinierungsproblem

Die Behördenstruktur – von den Gutachtern als „besonders strategisch bedeutsam“ eingestuft – ist im deutschen Föderalismus eine heikle Baustelle. Datenschutzaufsicht liegt bei Bundes- und Länderbehörden (Art. 30, 83 GG). Eine Bündelung der datenwirtschaftsrechtlichen Aufsicht – etwa bei der Bundesnetzagentur – setzt klare Kompetenzabgrenzungen voraus, die verfassungsrechtlich komplex sind. Das Gutachten benennt das Problem, löst es aber nicht – zu Recht, denn es handelt sich um eine politische Grundsatzentscheidung.

Das Timing-Problem

Das EU-Recht ist ein „moving target“. Der Digital Omnibus reformiert gerade Data Act, DGA und ePrivacy-RL. Ein nationales Datengesetzbuch, das heute in Kraft träte, müsste morgen bereits angepasst werden. Das Gutachten empfiehlt deshalb implizit einen modularen Ansatz: Kein monolithisches Gesetzbuch, sondern ein flexibles Regelwerk, das auf EU-Änderungen reagieren kann. Praktisch ist das schwieriger zu kommunizieren als eine große Kodifikation.

Das Goldplating-Risiko in der politischen Praxis

Das Gutachten differenziert zwischen sinnvoller Ausgestaltung und bürokratieverstärkendem Goldplating klar und überzeugend. In der parlamentarischen Praxis ist diese Differenzierung aber schwerer durchzuhalten: Interessengruppen werden jeden nationalen Spielraum in ihrem Sinne zu nutzen suchen. Ohne eine starke rechtspolitische Konzeption – die das Gutachten als „Vorentscheidung“ einfordert – läuft ein Datengesetzbuch Gefahr, zu einem Vehikel für sektorale Einzelinteressen zu werden.

Fazit: Handlungsspielräume als Gestaltungsauftrag

Das Gutachten belegt überzeugend: Das EU-Datenrecht determiniert die nationale Ebene nicht vollständig. Gerade in drei Bereichen sind die Spielräume real und sollten genutzt werden:

  • Behördenstruktur: Zuständigkeitsbündelung und Verfahrensvereinheitlichung könnten den Erfüllungsaufwand für Unternehmen massiv senken – ohne materielles Recht zu verändern.
  • Datenvertragsrecht und -deliktsrecht: Deutschland könnte als erster EU-Mitgliedstaat ein kohärentes Privatrecht der Datenwirtschaft schaffen – mit Vorbildfunktion für die europäische Ebene.
  • Forschungsdaten und Beschäftigtendatenschutz: Zwei lange überfällige Regelungsvorhaben, für die ausdrückliche DSGVO-Öffnungsklauseln existieren und die sich organisch in ein Datengesetzbuch einfügen ließen.

Was ein Datengesetzbuch nicht leisten kann: die vollständige Kodifikation des EU-Datenrechts. Wer das erwartet, wird enttäuscht werden. Wer es als Instrument versteht, nationales Recht zu ordnen, Spielräume gezielt zu nutzen und Vollzugsstrukturen zu rationalisieren, findet im Gutachten eine solide Grundlage.

Beitragsreihe: Das NKR-Gutachten zum Datengesetzbuch

  • Teil 1: Strukturierung des Datenrechts und der bestehende Rechtsrahmen
  • Teil 2 (dieser Beitrag): Nationale Handlungsspielräume – Spielraum trotz Europarecht?
  • Teil 3: Bisherige Vorarbeiten zum Datengesetzbuch – eine kritische Würdigung
  • Teil 4: Vereinheitlichungsoptionen – Wo besteht konkreter Regelungsbedarf?
  • Teil 5: Fazit und Ausblick – Was sollte ein Datengesetzbuch leisten?

Quellen