Mehr Kooperation statt Zentralisierung: Die „Stuttgarter Impulse“ weisen in die richtige Richtung
Zehn Jahre nach Verabschiedung der Datenschutz-Grundverordnung steht der europäische Datenschutz unter erheblichem Reformdruck. Unternehmen beklagen Bürokratie und Rechtsunsicherheit, Forschungseinrichtungen sehen sich mit komplexen Voraussetzungen für die Datennutzung konfrontiert, während Bürgerinnen und Bürger zugleich erwarten, dass ihre Rechte auch gegenüber globalen Plattformen und datenintensiven KI-Systemen wirksam durchgesetzt werden.
Mit den am 18. Juni 2026 einstimmig beschlossenen „Stuttgarter Impulsen zur Modernisierung des Datenschutzes“ beteiligen sich die unabhängigen Datenschutzaufsichtsbehörden der Länder an dieser Debatte. Das Papier verteidigt den grundrechtlichen Kern des Datenschutzes, verschließt sich Reformen aber keineswegs. Im Gegenteil: Viele der Vorschläge sind erfreulich praxisnah und setzen an tatsächlichen organisatorischen Schwächen an.
Die zentrale Botschaft lautet: Eine moderne Datenschutzaufsicht muss nicht zwingend zentralisiert werden. Sie kann auch durch bessere Zusammenarbeit, verbindlichere Abstimmungen, gemeinsame Infrastruktur und eine gezielte Bündelung von Spezialwissen leistungsfähiger werden. Dieser Ansatz überzeugt grundsätzlich. Allerdings bleiben einige rechtliche und praktische Fragen offen, die im weiteren Reformprozess geklärt werden müssen.
Die richtige Diagnose: Datenschutz leidet nicht nur an seinen Regeln
Ein wesentlicher Vorzug des Papiers besteht darin, dass es die Reformdiskussion nicht auf eine vermeintlich zu strenge DSGVO reduziert. Viele Schwierigkeiten entstehen weniger aus einzelnen materiell-rechtlichen Vorschriften als aus komplizierten Verfahren, unklaren Zuständigkeiten, fehlender technischer Infrastruktur und begrenzten Ressourcen der Aufsichtsbehörden.
Die „Stuttgarter Impulse“ unterscheiden deshalb zwischen einer Modernisierung des Datenschutzrechts und einer Modernisierung seiner institutionellen Durchsetzung. Das ist sachgerecht. Selbst die beste Rechtsnorm verliert an Wirkung, wenn Betroffene nicht wissen, an welche Behörde sie sich wenden müssen, Unternehmen unterschiedliche Ansprechpartner erhalten oder vergleichbare Sachverhalte mehrfach geprüft werden.
Zugleich erinnert das Papier daran, dass Datenschutz nicht bloß ein regulatorisches Hindernis ist. Er schützt ein europäisches Grundrecht und schafft Vertrauen in digitale Geschäftsmodelle. Gerade in einer Zeit, in der Unternehmen immer größere Datenbestände verarbeiten und KI-Systeme zunehmend Entscheidungen vorbereiten oder beeinflussen, wäre es verkürzt, Modernisierung lediglich mit einer Absenkung des Schutzniveaus gleichzusetzen.
Stärkung der Datenschutzkonferenz ist folgerichtig
Zu den überzeugendsten Vorschlägen gehört die gesetzliche Verankerung der Datenschutzkonferenz, kurz DSK. Bislang beruht die Zusammenarbeit der Datenschutzbehörden des Bundes und der Länder weitgehend auf informellen Strukturen. Dennoch soll die DSK bundesweit einheitliche Positionen entwickeln, europäische Verfahren koordinieren und Orientierung für Unternehmen, Verwaltungen und Betroffene schaffen.
Eine gesetzliche Grundlage könnte Zuständigkeiten, Entscheidungsverfahren und Transparenzanforderungen klarer regeln. Ebenso sinnvoll erscheint die Einrichtung einer dauerhaften Geschäftsstelle. Der jährlich wechselnde Vorsitz mag dem föderalen Gedanken entsprechen, erschwert aber kontinuierlichen Wissensaufbau und eine professionelle Verfahrenssteuerung. Eine feste Geschäftsstelle könnte Beschlüsse vorbereiten, Erfahrungen dokumentieren, Arbeitsgruppen koordinieren und gemeinsame Veröffentlichungen leichter zugänglich machen.
Besonders weitreichend ist der Vorschlag, Mehrheitsentscheidungen der DSK für die einzelnen Aufsichtsbehörden verbindlich zu machen. Aus Sicht von Unternehmen wäre dies attraktiv: Vergleichbare Sachverhalte sollten nicht allein deshalb unterschiedlich behandelt werden, weil sie in unterschiedlichen Bundesländern auftreten.
Die Umsetzung ist jedoch rechtlich anspruchsvoll. Datenschutzaufsichtsbehörden müssen nach europäischem Recht unabhängig handeln. Eine gesetzliche Bindung an Mehrheitsbeschlüsse darf diese Unabhängigkeit nicht faktisch aushöhlen. Außerdem muss geregelt werden, welche Fragen überhaupt durch bundesweit verbindliche Entscheidungen geklärt werden können, wie betroffene Behörden beteiligt werden und wie mit landesrechtlichen Besonderheiten umzugehen ist.
Die Grundidee ist dennoch richtig. Die Alternative zu verbindlicherer Kooperation muss nicht zwangsläufig eine Bundeszentralbehörde sein. Ein institutionalisierter föderaler Entscheidungsverbund könnte regionale Nähe mit bundesweiter Kohärenz verbinden.
„No wrong door“ wäre ein spürbarer Fortschritt
Besonders praxisnah ist der Vorschlag eines zentralen digitalen Portals. Beschwerden, Beratungsanfragen und Meldungen von Datenschutzverletzungen sollen unabhängig von der konkreten Zuständigkeit an einer einheitlichen Stelle eingereicht werden können. Die Verteilung an die zuständige Behörde würde anschließend intern erfolgen.
Das Prinzip „no wrong door“ könnte sowohl Bürgerinnen und Bürger als auch Unternehmen erheblich entlasten. Niemand sollte vor Einreichung einer Beschwerde komplizierte Zuständigkeitsfragen prüfen müssen. Auch Unternehmen mit Niederlassungen in mehreren Bundesländern würden von einheitlichen digitalen Meldewegen profitieren.
Damit das Portal mehr wird als ein gemeinsames Kontaktformular, braucht es allerdings eine tragfähige technische und organisatorische Architektur. Erforderlich wären unter anderem einheitliche Datenformate, sichere Schnittstellen, klare Bearbeitungsfristen und nachvollziehbare Statusinformationen. Ebenso muss transparent bleiben, welche Behörde einen Fall tatsächlich bearbeitet und für eine Entscheidung verantwortlich ist.
Gerade dieses Vorhaben zeigt, dass Modernisierung nicht primär durch weniger Datenschutz, sondern durch bessere digitale Verwaltung erreicht werden kann.
Eine gemeinsame Entscheidungsdatenbank ist überfällig
Auch die geplante Datenbank für Entscheidungen, Orientierungshilfen und aufsichtsbehördliche Veröffentlichungen verdient Unterstützung. Gegenwärtig ist es selbst für Fachleute schwierig, die Praxis sämtlicher Datenschutzbehörden systematisch zu überblicken. Veröffentlichungen sind über zahlreiche Internetseiten verteilt, unterschiedlich aufgebaut und teilweise nur schwer auffindbar.
Eine gemeinsame Datenbank könnte die Vorhersehbarkeit der Rechtsanwendung verbessern. Unternehmen könnten frühzeitig erkennen, welche Anforderungen die Behörden bei bestimmten Verarbeitungsvorgängen stellen. Datenschutzbeauftragte müssten vergleichbare Fragestellungen nicht immer wieder neu recherchieren. Gleichzeitig könnten die Behörden ihre eigene Praxis leichter vergleichen und Widersprüche schneller erkennen.
Offen bleibt allerdings, welche Entscheidungen veröffentlicht werden sollen und in welcher Form dies geschieht. Eine Datenbank entfaltet nur dann echten Nutzen, wenn Dokumente strukturiert, durchsuchbar und mit aussagekräftigen Metadaten versehen sind. Reine PDF-Sammlungen würden den Anspruch kaum erfüllen. Darüber hinaus müssen Geschäftsgeheimnisse, Persönlichkeitsrechte und laufende Verfahren geschützt werden.
Sinnvoll wäre deshalb ein verbindlicher Veröffentlichungsstandard mit anonymisierten Sachverhalten, tragenden Entscheidungsgründen, Schlagworten und Angaben zum Verfahrensstand. Auch eine Kennzeichnung, ob eine Entscheidung bestandskräftig oder gerichtlich überprüft worden ist, wäre wichtig.
Das „Einer-für-Alle“-Prinzip kann Doppelarbeit vermeiden
Nachvollziehbar ist auch der Vorschlag, Prüfungen einer Aufsichtsbehörde unter bestimmten Voraussetzungen bundesweit anzuerkennen. Heute können ähnliche Produkte, Vertragsgestaltungen oder technische Systeme von mehreren Landesbehörden parallel untersucht werden. Das bindet Ressourcen auf Seiten der Aufsicht und der Unternehmen.
Ein „Einer-für-Alle“-Prinzip könnte diese Doppelarbeit reduzieren. Dafür muss jedoch präzise festgelegt werden, wann Sachverhalte tatsächlich identisch oder hinreichend vergleichbar sind. Schon kleinere Unterschiede bei den eingesetzten Systemen, den verarbeiteten Daten oder den betroffenen Personengruppen können datenschutzrechtlich relevant sein.
Außerdem darf eine übergreifende Anerkennung nicht dazu führen, dass einzelne Behörden oder betroffene Personen keine Möglichkeit mehr haben, neue Tatsachen oder besondere Risiken geltend zu machen. Empfehlenswert wäre daher kein völlig automatischer Bindungsmechanismus, sondern ein geregeltes Anerkennungsverfahren mit dokumentierten Prüfkriterien und klaren Ausnahmen.
Spezialwissen bündeln, Ansprechpartner vor Ort erhalten
Die „Stuttgarter Impulse“ lehnen eine pauschale Zentralisierung ab, sprechen sich aber ausdrücklich für die Bündelung bestimmter Spezialkompetenzen aus. Genannt werden unter anderem grenzüberschreitende Marktortfälle, technische Normungsverfahren, Zertifizierungen und die Beratung großer Infrastrukturanbieter.
Dieser differenzierte Ansatz ist überzeugender als die einfache Gegenüberstellung von Zentralismus und Föderalismus. Nicht jede Behörde muss in sämtlichen technischen und wirtschaftlichen Spezialgebieten eigene Expertise in gleicher Tiefe vorhalten. Gerade bei KI-Systemen, Cloud-Infrastrukturen, Plattformen und internationalen Datentransfers sind spezialisierte Einheiten notwendig.
Gleichzeitig haben regionale Behörden einen Wert, der nicht unterschätzt werden sollte. Kleine und mittlere Unternehmen benötigen häufig keine abstrakten europäischen Leitlinien, sondern erreichbare Ansprechpartner, die ihre Geschäftsmodelle und regionalen Strukturen kennen. Eine intelligente Arbeitsteilung könnte deshalb Spezialwissen zentral oder länderübergreifend organisieren, ohne die Beratung und Beschwerdebearbeitung vor Ort aufzugeben.
Voraussetzung ist allerdings eine ausreichend klare Zuständigkeitsordnung. Jede zusätzliche Kooperationsstruktur kann selbst neue Schnittstellen und Abstimmungsprobleme erzeugen. Die Reform sollte daher nicht allein neue Gremien schaffen, sondern auch Zuständigkeiten vereinfachen und Verantwortlichkeiten sichtbar machen.
Risikoorientierung darf nicht zur Rechtsschutzlotterie werden
Im materiellen Datenschutzrecht plädiert das Papier für stärker risikobasierte Ansätze. Das ist grundsätzlich nachvollziehbar. Eine wenig eingriffsintensive Datenverarbeitung sollte nicht dieselben Anforderungen auslösen wie biometrische Überwachung, umfassende Profilbildung oder die Verarbeitung hochsensibler Gesundheitsdaten.
Ebenso sinnvoll ist die Überlegung, Aufsichtsressourcen stärker auf besonders risikoreiche Vorgänge zu konzentrieren. Behörden, die einen Großteil ihrer Kapazitäten für zahlreiche individuelle Beschwerden einsetzen müssen, haben kaum Gelegenheit für systematische Prüfungen besonders folgenreicher Technologien.
Kritisch zu betrachten ist jedoch der Vorschlag, die Bearbeitung von Beschwerden stärker priorisieren zu können. Für Betroffene ist eine Beschwerde kein beliebiger Verwaltungsvorgang, sondern häufig der einzige praktisch erreichbare Weg, ihre Rechte durchzusetzen. Priorisierungskriterien müssen deshalb transparent, überprüfbar und grundrechtskonform sein. Sie dürfen nicht dazu führen, dass vermeintlich kleine Verstöße dauerhaft unbearbeitet bleiben oder sich nur wirtschaftlich starke Beteiligte wirksamen Rechtsschutz leisten können.
Risikoorientierung sollte daher vor allem zusätzliche Schwerpunktsetzung ermöglichen, nicht den individuellen Rechtsschutz entwerten.
Entbürokratisierung der Auftragsverarbeitung verdient besondere Aufmerksamkeit
Bemerkenswert ist der Vorschlag, die Auftragsverarbeitung grundlegend zu vereinfachen und stärker als gesetzliches Schuldverhältnis auszugestalten. Gegenwärtig werden zwischen Unternehmen und Dienstleistern vielfach umfangreiche Standardverträge geschlossen, deren praktischer Erkenntniswert begrenzt ist. Besonders kleinere Unternehmen können die technischen und organisatorischen Maßnahmen großer Cloud- oder Softwareanbieter kaum realistisch überprüfen.
Die Forderung, Hersteller und Anbieter stärker in die Verantwortung zu nehmen, trifft deshalb einen wichtigen Punkt. Datenschutzpflichten sollten dort ansetzen, wo technische Gestaltungsmacht und tatsächliches Wissen vorhanden sind. Ein kleiner Betrieb, der eine weitverbreitete Standardsoftware verwendet, kann deren Architektur nur begrenzt beeinflussen.
Allerdings muss genauer geklärt werden, wie die Verantwortlichkeiten zwischen Herstellern, Anbietern und Nutzern verteilt werden. Auch datenschutzfreundliche Software kann rechtswidrig eingesetzt werden. Umgekehrt darf ein Hersteller nicht für sämtliche Entscheidungen seiner Kunden haften. Erforderlich wäre ein abgestuftes Modell, das Produktgestaltung, Konfiguration, Einsatzentscheidung und laufenden Betrieb getrennt betrachtet.
Leitplanken für KI: richtig, aber noch wenig konkret
Das Papier verlangt einen sicheren Rahmen für das Training und den Einsatz von KI sowie eine effektive Durchsetzung der Betroffenenrechte. Dieser Ausgangspunkt ist richtig, bleibt aber relativ allgemein. Gerade bei KI-Systemen liegen die schwierigsten Fragen in der praktischen Umsetzung: Wie können Auskunft, Berichtigung oder Löschung gewährleistet werden, wenn personenbezogene Informationen nur indirekt in Modellparametern enthalten sind? Welche Nachweise müssen Anbieter über Trainingsdaten führen? Und wie werden die DSGVO, die KI-Verordnung und weitere Digitalgesetze widerspruchsfrei angewandt?
Hier könnten die Aufsichtsbehörden noch konkreter werden. Benötigt werden abgestimmte Prüfkriterien, technische Mindeststandards und belastbare Orientierung für typische Anwendungsfälle. Der allgemeine Hinweis, dass Grundprinzipien effektiv bleiben müssen, ist wichtig, reicht für die Praxis aber noch nicht aus.
Ein guter Ausgangspunkt, noch kein fertiges Reformmodell
Die „Stuttgarter Impulse“ sind ein konstruktiver Beitrag zur Modernisierungsdebatte. Besonders überzeugend sind die gesetzliche Stärkung der Datenschutzkonferenz, eine dauerhafte Geschäftsstelle, ein gemeinsames digitales Portal, eine strukturierte Entscheidungsdatenbank und die gezielte Bündelung von Spezialkompetenzen.
Das Papier zeigt, dass Effizienz, Rechtssicherheit und Grundrechtsschutz keine Gegensätze sein müssen. Viele Belastungen lassen sich durch bessere Verfahren, digitale Infrastruktur, Standardisierung und eine gerechtere Verteilung der Verantwortlichkeiten reduzieren.
Gleichzeitig argumentieren die Datenschutzbehörden naturgemäß aus der Perspektive der bestehenden Aufsichtsstruktur. Ihre Aussagen über die bereits erreichte Einheitlichkeit und die Vorteile dezentraler Zuständigkeiten sollten deshalb durch unabhängige empirische Untersuchungen ergänzt werden. Hilfreich wären etwa vergleichbare Angaben zu Bearbeitungszeiten, Beratungsergebnissen, Verfahrenskosten, regionalen Unterschieden und der tatsächlichen Nutzung gemeinsamer Positionen.
Eine erfolgreiche Reform sollte außerdem messbare Ziele enthalten: kürzere Verfahren, besser zugängliche Entscheidungen, weniger Mehrfachprüfungen, einheitlichere digitale Abläufe und mehr Kapazität für risikoreiche Datenverarbeitungen. Ohne ausreichende finanzielle und personelle Ausstattung werden auch neue Koordinierungsmechanismen die bestehenden Engpässe nicht beseitigen.
Insgesamt weisen die „Stuttgarter Impulse“ jedoch in die richtige Richtung. Statt Datenschutz pauschal abzubauen oder Zuständigkeiten lediglich zu verschieben, setzen sie auf institutionelle Professionalisierung, Kooperation und praktische Entlastung. Damit liefern sie eine tragfähige Grundlage für eine Reform, die Datenschutz nicht als Gegner der Digitalisierung betrachtet, sondern als Voraussetzung für vertrauenswürdige Innovation.
