Der Koalitionsausschuss hat Anfang Juli beschlossen, den Datenschutz „auf das europäische Mindestmaß” zurückzuführen, und will in Brüssel erreichen, dass Vereine, KMU und „risikoarme Datenverarbeitungen” gleich ganz aus dem Anwendungsbereich der DSGVO fallen. Die Debatte läuft damit in die vertraute Sackgasse: Die eine Seite ruft „Bürokratiemonster”, die andere „Grundrechtsabbau” — und beide tun so, als sei mehr Schutz zwangsläufig mehr Papier.
Das ist falsch. Und zwar nachweisbar falsch, denn die Gegenbeispiele laufen seit Jahren im europäischen Produktivbetrieb. Dieser Beitrag skizziert eine Datenschutz-Vision für Deutschland, die den Schutz ernster nimmt als heute und trotzdem den größten Teil der Bürokratie abräumt. Der Trick ist keiner: Man muss nur aufhören, Konformität als individuelle Interpretationsleistung von drei Millionen Unternehmen zu organisieren.
Die falsche Diagnose
Woher kommt die Datenschutz-Bürokratie eigentlich? Drei Konstruktionsfehler erzeugen fast die gesamte Last:
Erstens: unbestimmte Rechtsbegriffe ohne verbindliche Auslegung. Die DSGVO sagt „geeignete technische und organisatorische Maßnahmen”, „berechtigtes Interesse”, „angemessene Frist”. Was das konkret heißt, muss heute jeder Verantwortliche selbst herausfinden, dokumentieren und im Zweifel vor sechzehn verschiedenen Landesaufsichten verteidigen. Die Rechtsunsicherheit wird millionenfach dupliziert — jedes Stadtwerk, jede Bäckerei, jeder Verein bezahlt dieselbe Auslegungsarbeit noch einmal.
Zweitens: Pflichten, die nicht mit dem Risiko skalieren. Der Handwerker mit der Kundenliste durchläuft strukturell dasselbe Pflichtenprogramm wie der Datenhändler mit Millionen Profilen.
Drittens: Nachweis durch Papier statt durch Systeme. Wir dokumentieren Löschkonzepte, statt Löschroutinen ihre Ausführung protokollieren zu lassen. Wir beantworten Anbieterfragebögen im Hundertstück, statt ein Produkt einmal zu prüfen.
Keiner dieser drei Fehler steht in der DSGVO. Sie sind Vollzugsversagen — und deshalb national reparierbar, ohne dass in Brüssel ein Komma geändert werden müsste.
Die Vision: fünf Säulen
1. Der Musterkatalog: Rechtssicherheit als Vorleistung
Die Aufsichtsbehörde bewertet Standardverarbeitungen einmal, hoheitlich und verbindlich — statt dass es hunderttausendfach in Kanzleigutachten geschieht. Ein „Verarbeitungsmuster” ist ein vollständig durchentschiedenes Profil: Kundenverwaltung im Handwerk, Mitgliederverwaltung im Verein, Beschäftigten-Stammdaten mit Standardsoftware — jeweils inklusive Rechtsgrundlage, Fristen, Empfängerkreisen und erforderlichen Schutzmaßnahmen. Wer musterkonform arbeitet, genießt Vertrauensschutz: keine Bußgelder, Beweislast bei der Behörde.
Das ist keine Utopie, sondern französischer Alltag. Die CNIL publiziert seit Jahren référentiels für genau solche Standardsituationen. Frankreich hat schlicht die Hausaufgaben gemacht, die Deutschland seit 2018 vor sich herschiebt.
2. Vererbbare Zertifizierung: Typgenehmigung statt Einzelnachweis
Heute dokumentieren tausende Anwender einzeln die Konformität derselben Software. Künftig lässt der Hersteller sein Produkt einmal zertifizieren — kann Löschfristen durchsetzen, kann Auskünfte maschinell exportieren, kann Zweckbindung technisch abbilden — und jeder Anwender erbt diesen Nachweis. Übrig bleibt nur die Prüfung der eigenen Konfiguration, und die attestiert die Software maschinenlesbar selbst.
Die Rechtsgrundlage dafür steht seit acht Jahren in Art. 42 und 43 DSGVO und ist weitgehend totes Recht. Dass es funktioniert, zeigt Luxemburg: Die CNPD betreibt mit GDPR-CARPA das erste behördlich getragene Zertifizierungsschema Europas — mit akkreditierten Prüfern und echter Wirtschaftsprüfungs-Methodik statt Papierschau.
3. Maschinelle Evidenz: Compliance als Nebenprodukt der Architektur
Das Dreijahres-Audit mit vorheriger Dokumentenkosmetik wird ersetzt durch laufende, systemerzeugte Nachweise: Löschjobs protokollieren ihre Ausführung, Auskunftsprozesse ihre Durchlaufzeiten, Zugriffssysteme ihre Regeldurchsetzung. Der Prüfer liest Fakten statt Absichtserklärungen.
Estland macht seit zwanzig Jahren vor, wie das aussieht: Jeder behördliche Datenzugriff läuft signiert und protokolliert über die Austauschschicht X-Road, und Bürgerinnen können nachsehen, wer wann auf ihre Daten zugegriffen hat. Die Auditspur ist dort kein Verwaltungsakt, sondern ein Architekturmerkmal. Und — das ist der Anreiz, der heute komplett fehlt: Wer datensparsam baut (lokale Verarbeitung, föderiertes Lernen, Edge-Auswertung), bekommt den günstigsten Konformitätspfad. Privacy Engineering wird vom Kostenfaktor zum Geschäftsargument.
4. Eine Aufsicht, die liefert
Für den nichtöffentlichen Bereich: eine unabhängige Bundesaufsicht mit sektoralen Beschlusskammern nach dem Vorbild der Bundesnetzagentur — aber verfassungsfest als oberste Bundesbehörde, denn Art. 52 DSGVO verlangt völlige Unabhängigkeit. Ihre wichtigsten Werkzeuge: verbindliche Festlegungen (die den Musterkatalog speisen), eine Beratungseinheit mit Chinese Wall zur Durchsetzung (damit Fragen nicht länger Prüfungen auslösen), eine Sandbox für neue Verarbeitungsmodelle und eine Vollzugspyramide, die bei Verwarnung beginnt und ihre Bußgeldenergie auf die tatsächliche Risikospitze konzentriert: Adtech, Datenhandel, Scoring — nicht auf den Sportverein.
Die Länder behalten die Aufsicht über ihre eigene Verwaltung; das gebietet das Grundgesetz ohnehin. Die Datenschutzkonferenz wird gesetzlich verankert und koordiniert den öffentlichen Bereich. Und eine Warnung gehört dazu: Irland zeigt, dass eine einzige Behörde ohne Kapazität kein Fortschritt ist, sondern ein Flaschenhals. Die Behördenzahl ist die falsche Metrik — Fallbearbeitungskapazität pro Risiko ist die richtige.
5. Der einfache Pfad für die Kleinen
Für Standardfälle mit Standardsoftware genügt eine geführte Selbstdeklaration: Fragen beantworten, Dokumentation wird generiert, fertig — hinter dem Ergebnis steht die Behörde selbst. Spanien betreibt genau das seit Jahren mit dem AEPD-Tool Facilita. Der Handwerker fasst das Datenschutzrecht idealerweise nie direkt an: Seine Branchensoftware trägt das Zertifikat, sein Fall steht im Musterkatalog, seine Konformität ist ein Nebenprodukt der Softwarenutzung.
Was diese Vision nicht braucht
Keine Ausnahmen vom Anwendungsbereich der DSGVO. Keine Absenkung des Schutzniveaus. Keine Grundgesetzänderung. Etwa drei Viertel des Programms sind innerhalb des geltenden europäischen Rechts sofort umsetzbar — Art. 40–43 aktivieren, Aufsicht reorganisieren, Festlegungspraxis etablieren, Werkzeuge bauen. Der Rest (Vertrauensschutz-Kodifizierung, Aufsichtsneuordnung) ist einfaches Bundesrecht.
Die Pointe gegenüber dem Koalitionsbeschluss: Die Regierung fordert in Brüssel Ausnahmen, deren Erfüllung Jahre dauern wird und an der Grundrechtecharta scheitern kann — und lässt gleichzeitig die Effizienzmechanismen ungenutzt, die im Anwendungsbereich längst bereitstehen. Das Zuckerl ist ungewiss; die machbare Reform liegt auf dem Tisch.
Die ehrlichen Kosten
Nichts davon ist gratis. Der Musterkatalog ist eine gewaltige behördliche Vorleistung. Vererbbare Zertifikate begünstigen etablierte Softwareanbieter — junge Anbieter brauchen subventionierte Schnellverfahren, sonst zementiert das System den Marktstatus quo. Verbindliche Festlegungen stehen unter EuGH-Vorbehalt. Und eine Zentralaufsicht ist ein Single Point of Failure: Ihre Qualität hängt an ihrer Leitungsbesetzung und ihrer Unabhängigkeit — beides muss institutionell abgesichert werden, nicht nur versprochen.
Aber verglichen mit dem Status quo — Millionen Unternehmen, die dieselben Fragen einzeln beantworten, sechzehn Behörden, die dieselben Sachverhalte unterschiedlich bewerten, und ein Schutzniveau, das trotz allem Papier vor allem auf dem Papier steht — ist das ein guter Tausch.
Was Unternehmen jetzt anpacken können
Auch ohne Bundesmusterkatalog und ohne reformierte Aufsicht gibt es Hebel, die heute wirken und in Richtung dieser Vision zeigen:
- An europäischen Referentialen orientieren: Verarbeitungen an CNIL-Référentiels, EDPB-Leitlinien und ISO 27701 ausrichten — das schafft belastbare Argumentationslinien auch ohne deutschen Musterkatalog.
- Zertifikate einfordern statt Fragebögen ausfüllen: Bei Softwareauswahl gezielt nach Zertifizierungen nach Art. 42 DSGVO fragen (etwa GDPR-CARPA), C5-Testaten und ISO-27701-Nachweisen — und Anbieter, die nur Marketing-Zusagen liefern, in die Pflicht nehmen.
- Nachweis als Systemprotokoll: Löschjobs, Auskunftsflüsse, Zugriffskontrollen und Consent-Änderungen konsequent loggen. Der Prüfungs-Nachweis entsteht dann als Log, nicht als Word-Dokument.
- Privacy Engineering als Architekturentscheidung: Datensparsamkeit, Edge-Auswertung und föderiertes Lernen von Anfang an einplanen — das ist heute schon die kostengünstigste Compliance-Strategie, unabhängig davon, ob die Regel-Vereinfachung kommt.
- Politisch mitgestalten: Über Verbände (Bitkom, DIHK, Handwerkskammer) und Interessenvertretungen auf die Aktivierung von Art. 40–43 DSGVO drängen. Vollzugsreform ist beeinflussbar — das Recht steht bereits.
Fazit
Hoher Datenschutz und geringe Bürokratie sind kein Zielkonflikt. Sie sind das Ergebnis derselben Entscheidung: Struktur statt Auslegung, Systeme statt Formulare, einmal gründlich statt millionenfach ungefähr. Wer beides gleichzeitig will, muss aufhören, in Brüssel um Ausnahmen zu bitten, und anfangen, in Deutschland Vollzug zu bauen.
Eine ausführliche Fassung dieser Vision mit Umsetzungs-Roadmap erscheint als Whitepaper auf regelwerker.de.
Sie möchten Ihre Datenschutz-Prozesse so aufsetzen, dass der Nachweis als Nebenprodukt entsteht statt als Sonderaufgabe? Kontaktieren Sie uns für eine unverbindliche Ersteinschätzung.