Warum der Koalitionsausschuss die Spielregeln für GRC neu schreibt
Der Beschluss vom 2. Juli liest sich für viele Unternehmen wie eine Entwarnung beim Datenschutz. Wer genauer hinsieht – und wer die ersten Reaktionen aus der Fachwelt verfolgt –, erkennt das Gegenteil: nicht weniger Compliance, sondern eine Verschiebung der Verantwortung – von der formalen Pflicht zum nachweisbaren Ergebnis.
Am 2. Juli 2026 hat der Koalitionsausschuss ein Paket aus 34 Maßnahmen unter dem Titel „Ein Programm für Aufschwung und Beschäftigung“ beschlossen. Der Großteil betrifft Rente, Steuern und Arbeitsmarkt. Für alle, die in Governance, Risk und Compliance arbeiten, stecken die relevanten Signale an anderer Stelle und sie werden aus meiner Sicht bislang falsch gelesen.
Die Schlagzeile, die hängen bleibt, lautet: weniger Datenschutz, weniger Bürokratie, weniger Pflichten. Genau das ist der Trugschluss, dem ich in den kommenden Monaten in vielen Gesprächen begegnen werde. Ich möchte deshalb drei Maßnahmen zusammen lesen, die einzeln harmlos wirken und in der Summe die Logik von Compliance in Deutschland verändern. Und ich möchte zeigen, dass die Fachwelt diese Lesart teilt, auch wenn sie zu unterschiedlichen Bewertungen kommt.
Die drei Maßnahmen, die man gemeinsam betrachten muss
Erstens: „Moderner Datenschutz für mehr Wachstum“ (Maßnahme 14). Die Koalition will nationale Spielräume der DSGVO konsequenter nutzen, auf EU-Ebene risikoarme Verarbeitungen – im Papier ausdrücklich „Kundenlisten von Handwerkern“ sowie kleine und mittlere Unternehmen aus dem Anwendungsbereich herausnehmen, ein Datengesetzbuch schaffen, die Aufsicht beim BfDI bündeln und die Zahl der betrieblichen Datenschutzbeauftragten in KMU reduzieren.
Zweitens: die Abschaffung von Bestellungspflichten (Maßnahme 26). Betriebliche Beauftragte, deren Bestellung nicht auf EU-Vorgaben beruht, sollen entfallen. Der entscheidende Halbsatz steht direkt dahinter: Die Einhaltung der materiellen Vorgaben wird „stärker in die Verantwortung der Unternehmen gelegt, begleitet durch hohe Strafen bei Verstößen“.
Drittens: die risikoorientierte Aufsicht (Maßnahme 30). Der Staat will seine Kontrollen vereinfachen – über Stichproben, Bagatellgrenzen und Pauschalierungen – und Berichtspflichten abbauen. Im Gegenzug sollen Verstöße stärker als bisher sanktioniert werden.
Jede dieser Maßnahmen für sich wirkt entlastend. Zusammengenommen ergeben sie ein anderes Bild.
Was die Fachwelt sagt: kein Befreiungsschlag
Die Wirtschaftsverbände begrüßen das Paket erwartungsgemäß. Der Bitkom wertet die Einigung als Aufbruchsignal, hält Vereinfachungen beim Datenschutz für wünschenswert und mahnt in Richtung Politik: „Nicht zerreden, sondern konsequent umsetzen.“ (via heise online, 02.07.2026)
Deutlich nüchterner fällt die juristische Einordnung aus. Der Frankfurter Datenschutzrechtler Tim Wybitul, der Unternehmen in Bußgeld- und Zivilverfahren verteidigt, dämpft im Interview mit beck-aktuell.HEUTE IM RECHT (03.07.2026) die Erwartungen bereits in der Überschrift: Einen großen Befreiungsschlag werde es nicht geben. Seine Begründung ist für jeden GRC-Verantwortlichen relevant: Das angekündigte Datengesetzbuch sei als nationales Kodifikationsprojekt also die Zusammenführung von BDSG und den deutschen Ausführungsgesetzen zu Data Act, Data Governance Act und Co. sinnvoll und machbar. Damit sei aber wenig gewonnen, solange die europäischen Digitalrechtsakte selbst nicht aufeinander abgestimmt sind, denn die DSGVO, der Data Act und die KI-Verordnung gelten unmittelbar. Der nationale Gesetzgeber kann daran wenig ändern.
Noch pointierter wird Wybitul beim geplanten Abbau der betrieblichen Datenschutzbeauftragten: „Mit weniger Beratung und Kontrolle bekommt man keinen besseren Datenschutz.“
Die Berufsverbände: Die Pflichten bleiben – nur die Unterstützung fällt weg
Die Fachverbände der Datenschutz-Community argumentieren seit Monaten in dieselbe Richtung und ihre Argumente sind durch die aktuellen Beschlüsse aktueller denn je.
Die Gesellschaft für Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V. hatte schon während der Koalitionsverhandlungen in einer Stellungnahme darauf hingewiesen, dass betriebliche Datenschutzbeauftragte von der Wirtschaft gerade nicht als Bürokratie wahrgenommen werden und sich dabei auf den Evaluationsbericht des Bundesinnenministeriums zum BDSG berufen: Danach übernehmen Datenschutzbeauftragte eine wichtige Rolle als Ansprechpartner der Aufsichtsbehörden und bei der operativen Umsetzung des Datenschutzrechts. Derselbe BMI-Bericht hält fest, dass bereits die letzte Anhebung der Bestellpflicht-Schwelle von vielen Unternehmen nicht als Entlastung empfunden wurde – weil die datenschutzrechtlichen Pflichten ja weiterhin einzuhalten waren.
Der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V. hat bereits im Dezember 2025 – als Bund und Länder die Streichung der nationalen DSB-Bestellpflicht aus dem BDSG beschlossen – in einer Stellungnahme gewarnt: Die Kosten für den Datenschutz würden nicht sinken, sondern auf die Geschäftsführung verlagert, verbunden mit erhöhtem Bedarf an externer Rechtsberatung. Der Datenschutz werde so „in die Incompliance“ getrieben. Ohne die klare nationale Schwelle des § 38 BDSG bliebe Unternehmen nur die rechtlich anspruchsvollere Einzelfallprüfung nach Art. 37 DSGVO.
Man kann diese Stimmen als Interessenvertretung eines Berufsstands lesen. Natürlich verteidigen Datenschutzverbände die Rolle des Datenschutzbeauftragten. Aber ihr Kernargument ist unabhängig davon stichhaltig, und es ist exakt das Muster, um das es mir hier geht:
Weniger Pflicht heißt nicht weniger Verantwortung
Was hier passiert, ist keine Deregulierung im eigentlichen Sinn. Es ist eine Verlagerung des Nachweispunkts.
Das alte Modell war formal: Ein Datenschutzbeauftragter war bestellt, ein Verzeichnis existierte, ein Bericht lag vor. Wer die Formalien erfüllte, konnte sich – zugespitzt – hinter der Struktur absichern. Die Existenz der Rolle war Teil des Schutzes.
Das neue Modell ist material: Die Rolle entfällt oder wird optional, der Bericht wird abgeschafft – aber die inhaltliche Pflicht bleibt bestehen, und die Sanktion bei Verstößen steigt. Genau darauf weisen GDD und BvD hin, und genau das räumt indirekt sogar das BMI ein. Wer im Ernstfall keinen Beauftragten und keinen Pflichtbericht mehr vorweisen muss, der muss stattdessen etwas anderes belegen: dass er seine Risiken erkannt, bewertet und gesteuert hat.
Das ist anspruchsvoller, nicht einfacher. Ein formales Häkchen lässt sich schnell setzen. Eine nachvollziehbare Risikosteuerung – dokumentiert, versioniert, im Zweifel gegenüber einer Aufsichtsbehörde oder vor Gericht belastbar – nicht.
Man könnte es eine stille Beweislastumkehr nennen. Solange die Struktur den Nachweis trug, lag die Argumentationslast faktisch bei der Behörde. Wenn die Struktur wegfällt und nur noch das Ergebnis zählt, liegt sie beim Unternehmen. Dass dieselbe Denkfigur an anderer Stelle des Beschlusspapiers ganz offen auftaucht, zeigt übrigens die geplante IFG-Reform: Dort soll künftig der Bürger sein berechtigtes Interesse an einer Information darlegen – nicht mehr der Staat seine Verweigerung begründen. Die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider warnte gegenüber dem RND, einige der geplanten Anpassungen kämen im Ergebnis einer Abschaffung der seit zwanzig Jahren bestehenden Informationsfreiheit nahe; die Plattform FragDenStaat spricht vom „schwersten Angriff auf staatliche Transparenz in der Geschichte der Bundesrepublik“. Ob man diese Kritik teilt oder nicht: Die Umkehr der Darlegungslast ist das wiederkehrende Muster dieses Beschlusspakets.
Was das für GRC-Verantwortliche konkret bedeutet
Ich sehe drei Konsequenzen, die über den einzelnen Beauftragten hinausgehen.
Governance verschiebt sich vom Nachweis der Zuständigkeit zum Nachweis der Wirksamkeit. Die Frage „Wer ist verantwortlich?“ tritt zurück hinter die Frage „Können Sie belegen, dass Ihr Managementsystem gewirkt hat?“. Das betrifft nicht nur den Datenschutz, sondern die gesamte Kette aus Informationssicherheit, Internal Audit, Business Continuity und Qualitätsmanagement.
Der risikobasierte Ansatz wird vom Best Practice zur regulatorischen Erwartung. Was ISO 27001, die DSGVO und branchenspezifische Standards seit Jahren predigen, wird durch Maßnahme 30 zur Grundhaltung der staatlichen Aufsicht. Wer risikobasiert steuert, wird belohnt; wer nur Formalien pflegt, wird im Sanktionsfall angreifbar.
Dokumentation in Insellösungen wird zum Risiko. Wenn der Nachweis der Wirksamkeit über den Schutz entscheidet, dann wird die Art, wie dieser Nachweis geführt wird, geschäftskritisch. Verstreute Excel-Tabellen, E-Mail-Freigaben und lokale Ordnerstrukturen erzeugen im Ernstfall keine belastbare Beweiskette. Ein integriertes, versioniertes Managementsystem schon. Der BvD-Hinweis, dass ohne qualifizierte Struktur schlicht externe Rechtsberatung nötig wird, beschreibt dieselbe Lücke aus der anderen Richtung.
Die ambivalente Seite – gerade für Anbieter wie uns
Ich will ehrlich sein, auch weil es zu unserer eigenen Positionierung gehört: Für Unternehmen, die Datenschutz bislang als reine Pflichtübung betrieben haben, kann Maßnahme 14 kurzfristig tatsächlich Entlastung bedeuten. Weniger DSB-Pflicht im unteren Mittelstand, weniger formale Verarbeitung risikoarmer Daten. Das wird die Nachfrage nach rein formalem Datenschutz-Tooling und nach der bloßen Stellung eines externen Beauftragten dämpfen.
Für uns als Anbieter einer GRC-Plattform ist das ein zweischneidiges Signal und ich halte es für falsch, das zu beschönigen. Die entscheidende Bewegung liegt aber woanders: Das Datengesetzbuch schafft neuen Auslegungs- und Orientierungsbedarf. Tim Wybitul Einwand, dass die eigentliche Komplexität auf EU-Ebene weiterbesteht, verstärkt diesen Bedarf sogar noch. Und die Verlagerung in unternehmerische Eigenverantwortung bei gleichzeitig steigenden Strafen erhöht den Bedarf an belastbarer, risikobasierter Nachweisführung strukturell. Das ist kein Rückgang von GRC. Es ist eine Verschiebung dessen, was GRC leisten muss. Weg vom Verwalten von Pflichten, hin zum Steuern und Belegen von Risiken.
Einordnung und Ausblick
Zur Redlichkeit gehört: All das ist bislang Absichtserklärung auf Eckpunkteebene, und wesentliche Teile – etwa die KMU-Ausnahmen bei der DSGVO – hängen an der europäischen Rechtsetzung, die sich bekanntlich nicht im Berliner Tempo bewegt. Die konkrete Ausgestaltung steht aus, und für die rechtliche Bewertung im Einzelfall braucht es weiterhin Legal und den Datenschutz- beziehungsweise Informationssicherheitsbeauftragten.
Die Richtung aber ist eindeutig – und in dieser Diagnose treffen sich bemerkenswerterweise alle zitierten Stimmen, vom Bitkom über die Anwaltschaft bis zu den Datenschutzverbänden: Die materiellen Pflichten bleiben, die formalen Strukturen werden abgebaut. Compliance wird weniger formal und dafür stärker risiko- und nachweisgetrieben. Der Koalitionsausschuss beschleunigt diesen Trend, er erfindet ihn nicht.
Die eigentliche Frage für Entscheiderinnen und Entscheider ist deshalb nicht, ob sie entlastet werden. Sie lautet: Ist Ihre Organisation darauf vorbereitet, Verantwortung nicht nur zu tragen, sondern sie im Ernstfall auch belegen zu können?
Ich bin gespannt auf Ihre Einschätzung: Lesen Sie die Datenschutz- und Bürokratiepläne der Koalition als echte Entlastung – oder als Verschiebung der Beweislast auf die Unternehmen?
Quellen:
- Koalitionsausschuss: „Ein Programm für Aufschwung und Beschäftigung“, Beschlusspapier vom 02.07.2026 (bundesregierung.de)
- Tim Wybitul, Rechtsanwalt (Datenschutzrecht): Interview „Einen großen Befreiungsschlag wird es nicht geben“, beck-aktuell, 03.07.2026
- Bitkom: Stellungnahme zum Koalitionspaket, zitiert nach heise online, 02.07.2026
- GDD e.V.: Stellungnahme aus den Koalitionsverhandlungen zur Rolle betrieblicher Datenschutzbeauftragter (gdd.de), unter Verweis auf den BDSG-Evaluationsbericht des BMI
- BvD e.V.: Stellungnahme vom 09.12.2025 zur geplanten Streichung der DSB-Bestellpflicht (bvdnet.de)
- Louisa Specht-Riemenschneider (BfDI): Äußerungen gegenüber dem RedaktionsNetzwerk Deutschland zur IFG-Reform, zitiert nach netzpolitik.org, 03.07.2026
- FragDenStaat: Mitteilung zur IFG-Reform, zitiert nach taz, 02.07.2026
