Die Stuttgarter Impulse der Datenschutzkonferenz und die DSGVO-Reform der Bundesregierung setzen im Sommer 2026 die Agenda des deutschen Datenschutzrechts. Beide Vorstöße versprechen Entlastung und Modernisierung, greifen aber unterschiedlich tief in das Schutzniveau ein. Dieser Beitrag ordnet Sachstand, Zielkonflikte und Praxisfolgen für Unternehmen, Datenschutzbeauftragte, IT-Verantwortliche und Beratende ein.
Was steckt hinter den Stuttgarter Impulsen?
Die Datenschutzkonferenz (DSK) hat am 18. Juni 2026 auf ihrer 111. Sitzung in Stuttgart einstimmig ein Positionspapier verabschiedet, das unter dem Titel „Stuttgarter Impulse zur Modernisierung des Datenschutzes“ veröffentlicht wurde. Es handelt sich um zehn Eckpunkte, mit denen die Aufsichtsbehörden ihre eigene Struktur und Arbeitsweise reformieren wollen. Gleichzeitig positioniert sich die DSK in der laufenden politischen Debatte, ohne die materiellen Rechtsgrundlagen der DSGVO selbst infrage zu stellen.
Kern der Impulse ist eine effizientere, stärker koordinierte Aufsicht. Vorgeschlagen werden unter anderem:
- eine gesetzliche Verankerung der DSK,
- verbindliche Mehrheitsentscheidungen statt bloßer Konsensbeschlüsse,
- ein zentrales digitales Portal als „single entry point“,
- eine gemeinsame Entscheidungsdatenbank,
- ein „Einer für Alle“-Prinzip bei länderübergreifenden Verfahren,
- eine gezielte Bündelung von Spezialkompetenzen.
Wohin steuert die DSGVO-Reform der Bundesregierung?
Parallel verfolgt die schwarz-rote Bundesregierung eine deutlich weitergehende DSGVO-Reform. Im Zentrum stehen ein risikobasierter Ansatz, Erleichterungen für kleine und mittlere Unternehmen sowie die Idee, „nicht-kommerzielle Tätigkeiten“ und „risikoarme Datenverarbeitungen“ ganz aus dem Anwendungsbereich der Verordnung zu nehmen. Da dies bis zu 99 Prozent der deutschen Unternehmen betreffen könnte, sprechen Kritiker von einem systemischen Eingriff in das Schutzniveau.
Rechtlich ist Zurückhaltung geboten. Eine echte Ausnahme vom Anwendungsbereich der DSGVO kann Deutschland nicht im Alleingang beschließen, sondern nur über eine Änderung der Verordnung auf EU-Ebene. Ende Juli 2026 liegen dazu ein Regierungspapier, angekündigte Initiativen für ein Datengesetzbuch und eine geplante Stärkung des BfDI vor, jedoch kein finaler Rechtsakt. Zwischen politischer Absichtserklärung und wirksamem Recht liegt hier ein erheblicher Weg, der auch von der EU-Kommission, dem Europäischen Parlament und dem Rat mitentschieden wird.
Der Berufsverband der Datenschutzbeauftragten (BvD) hält den risikobasierten Ansatz grundsätzlich für den richtigen Weg, verlangt aber verbindliche Auslegungsrichtlinien, standardisierte Prozesse und eine gestärkte, nicht geschwächte Rolle der Datenschutzbeauftragten. Diese Differenzierung sollte auch in der Beratungspraxis sichtbar bleiben: Zustimmung zum Prinzip ist nicht gleich Zustimmung zu jeder konkreten Ausgestaltung.
Welche Folgen hätten Stuttgarter Impulse und DSGVO-Reform für die Praxis?
Für Verantwortliche und ihre Datenschutzbeauftragten bergen die Vorhaben ein Doppelgesicht. Ein risikobasiertes System könnte Dokumentationslasten reduzieren und Ressourcen dorthin lenken, wo tatsächlich relevante Grundrechtsrisiken bestehen. Eine bundesweit einheitliche Auslegung durch eine gestärkte DSK würde die Rechtssicherheit spürbar erhöhen und die bekannten Reibungsverluste bei länderübergreifenden Prüfverfahren dämpfen.
Auf der anderen Seite gilt: Sollten Ausnahmen für „kleine und mittlere Unternehmen“, „risikoarme Verarbeitungen“ oder „nicht-kommerzielle Tätigkeiten“ tatsächlich beschlossen werden, müssten Verantwortliche zunächst prüfen, ob ihr Unternehmen, ihre Tätigkeit und die konkrete Verarbeitung überhaupt unter eine solche Ausnahme fielen. Die genannten Begriffe sind bislang unscharf und würden absehbar neue Abgrenzungs- und Bewertungsfragen aufwerfen, etwa bei Mischtätigkeiten, konzernverbundenen Kleinbetrieben oder digitalen Geschäftsmodellen mit geringer Mitarbeiterzahl, aber hoher Datenintensität. Bis belastbare Auslegungshilfen der Aufsichtsbehörden oder erste Gerichtsentscheidungen vorliegen, müssten Verantwortliche ihre Einschätzung auf eigenes Risiko treffen.
Selbst bei einer greifenden Ausnahme bliebe der regulatorische Rahmen dicht. Arbeitsrechtliche Vorgaben zum Beschäftigtendatenschutz, sektorspezifische Regelungen im Gesundheits-, Sozial-, Banken- oder Telekommunikationsbereich, Anforderungen aus dem Data Act sowie IT-sicherheitsrechtliche Pflichten aus NIS-2 und weiteren sektorspezifischen Rechtsakten würden weiter gelten. Unterschiedliche Pflichten je nach Verarbeitung, Geschäftsmodell und Unternehmensgröße könnten zu uneinheitlichen Compliance-Prozessen führen und den Beratungsbedarf erhöhen, statt ihn zu senken. Datenschutzorganisation, Verarbeitungsverzeichnisse, Informations- und Auskunftsprozesse sowie interne Zuständigkeiten müssten neu bewertet werden, ohne dass zunächst mit gesicherter Verwaltungspraxis zu rechnen wäre. Eine Ausnahme führt in dieser Konstellation also nicht zwingend zu weniger Aufwand.
Für betroffene Personen wären die Folgen ebenfalls spürbar. Bei einer weitreichenden Bereichsausnahme drohten weniger Transparenz, geringere Kontrollmöglichkeiten und eine schwächere praktische Durchsetzbarkeit von Auskunfts-, Berichtigungs- und Löschansprüchen. Das wiegt umso schwerer, als auch kleinere Unternehmen und Vereine regelmäßig umfangreiche Kunden-, Beschäftigten-, Gesundheits-, Kommunikations- oder Nutzungsdaten verarbeiten.
Prüfstein Rechtssicherheit statt Absenkung
Effizienz gegen Einheitlichkeit, Entlastung gegen Schutzniveau, nationale Handlungsfreiheit gegen europäische Kohärenz – zwischen diesen Spannungsfeldern liegen die entscheidenden Zielkonflikte der aktuellen Debatte um eine DSGVO-Reform. Ende Juli 2026 ist keiner der Vorschläge geltendes Recht.
Wirtschaftsverbände wie IHK und BVDW verweisen auf hohen Umsetzungsaufwand und plädieren für risikobasierte Erleichterungen, während das BfDI-Datenbarometer und Umfragen der Stiftung Datenschutz ein ambivalentes Meinungsbild zeigen: Datenschutz bleibt gesellschaftlich hoch bewertet, die konkrete Umsetzung wird jedoch häufig als bürokratisch empfunden. Aufsichtsbehörden und Datenschützer unterstützen Modernisierung, warnen aber vor pauschalen Bereichsausnahmen. Bürgerrechtsorganisationen wie noyb sehen im „Digital Omnibus“ der EU-Kommission eine Gefährdung tragender Prinzipien.
Unionsrechtlich ist der Spielraum eng. Der Rat hat mehrere Kommissionsvorschläge bereits abgeschwächt, EDSA und EDSB akzeptieren Vereinfachungen nur, soweit Grundrechte gewahrt bleiben. Weitreichende nationale Bereichsausnahmen wären mit der Vollharmonisierung durch die DSGVO und der EuGH-Rechtsprechung zum einheitlichen Grundrechtsschutz kaum vereinbar.
Die Stuttgarter Impulse setzen an der Aufsichtsorganisation an und sind ohne Absenkung des Schutzniveaus umsetzbar. Die Reformpläne der Bundesregierung greifen dagegen in den materiellen Kern der DSGVO ein und stehen unter europäischem Zustimmungsvorbehalt. Der eigentliche Prüfstein ist, ob eine Reform zu klareren, risikoadäquaten und unionsweit konsistenten Regeln führt oder neue Abgrenzungsfragen und uneinheitliche Schutzstandards erzeugt.
