Illustration Absmeier foto ki designer

Datenschutz ist in deutschen Unternehmen längst etabliert – aber aus Sicht vieler Verantwortlicher weder planbar noch verhältnismäßig organisiert. Die aktuelle Bitkom-Befragung zeigt eine Compliance-Dauerbaustelle: steigende Dokumentationslast, uneinheitliche Aufsicht und wachsende Rechtsunsicherheit treffen auf den Innovationsdruck rund um KI. Für das Management geht es deshalb nicht um weniger Schutz, sondern um klare Zuständigkeiten, risikobasierte Pflichten und eine Regulierung, die DSGVO, AI Act und operative Realität zusammenführt.

Management Summary

Reformdruck ist zum Standortthema geworden: 90 Prozent der befragten Unternehmen halten eine gezielte Reform der DSGVO für notwendig; 93 Prozent sehen Reformbedarf bei der deutschen Datenschutzaufsicht.
Die operative Belastung steigt statt zu sinken: 92 Prozent bewerten den Datenschutzaufwand als hoch, bei 71 Prozent nahm er im vergangenen Jahr weiter zu.
Dokumentation bindet die meisten Ressourcen: 84 Prozent nennen das Verzeichnis von Verarbeitungstätigkeiten als größten Aufwandstreiber – vor Rechtsklärung, technischer Umsetzung und Informationspflichten.
KI verschärft den Zielkonflikt: Die Hälfte der Unternehmen sieht den KI-Einsatz durch Datenschutz behindert; zugleich berichten 78 Prozent von aufwendigeren Prüfungen ihrer KI-Projekte.
Die Managementantwort lautet risikobasiert vereinfachen: Weniger Pflichten bei risikoarmen Verarbeitungen, einheitlichere Auslegung, klarere Interessenabwägungen und eine bessere Verzahnung von DSGVO und AI Act versprechen die größte Entlastung.

Die deutsche Wirtschaft fordert eine umfassende Reform des Datenschutzes. 90 Prozent der Unternehmen halten eine gezielte Reform der Datenschutz-Grundverordnung (DS-GVO) für notwendig, 41 Prozent sogar für sehr notwendig. Gerade einmal 5 Prozent sehen keinen Reformbedarf. Ähnlich eindeutig fällt das Urteil über die Datenschutzaufsicht aus: 93 Prozent halten eine Reform des deutschen Aufsichtssystems für nötig, jedes vierte Unternehmen (26 Prozent) sogar eine grundlegende. Nur 4 Prozent meinen, das System solle so bleiben, wie es ist. Abschaffen will es zugleich niemand. Das sind Ergebnisse einer repräsentativen Befragung von 605 Unternehmen ab 20 Beschäftigten in Deutschland im Auftrag des Digitalverbands Bitkom. »Die Unternehmen wollen, dass der Datenschutz funktioniert. Nach acht Jahren DSGVO ist der Befund eindeutig: Der Aufwand wächst weiter, die Rechtsunsicherheit bleibt, und die Aufsicht bietet wenig Unterstützung«, sagt Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung. »Mit dem Digital Omnibus liegt auf EU-Ebene jetzt ein Vorschlag zur Reform der europäischen DSGVO auf dem Tisch, der zumindest an einigen Stellen für Entlastung sorgen kann.«

Datenschutz als Innovationshemmnis

Die anhaltende Belastung hinterlässt Spuren in der grundsätzlichen Haltung der Unternehmen. Nur jedes zweite Unternehmen (49 Prozent) findet, ein hoher Datenschutzstandard sei grundsätzlich wichtig für unsere Gesellschaft. Und ebenfalls nur 49 Prozent halten den Datenschutz für einen Standortvorteil für Deutschland und Europa. Dem stehen 71 Prozent gegenüber, die sagen, der Datenschutz hemme die Digitalisierung in Deutschland, ebenso viele halten ihn für kleinere Unternehmen für kaum umsetzbar. 70 Prozent meinen, wir übertrieben es hierzulande mit dem Datenschutz, 62 Prozent sagen, deutsche Unternehmen überzögen aus Angst vor Verstößen. »Eine gute Reform würde den Datenschutz nicht schwächen, sondern seine Wirkung und Akzeptanz stärken«, so Dehmel.

Der Aufwand wächst weiter

Die große Mehrheit der Unternehmen ächzt unter dem Aufwand, den der Datenschutz mit sich bringt. 92 Prozent bezeichnen ihn als hoch, 42 Prozent sogar als sehr hoch. Und er wächst: In 71 Prozent der Unternehmen hat der Aufwand im vergangenen Jahr weiter zugenommen, bei 22 Prozent sogar stark. Nur bei 2 Prozent ist er gesunken.

Auch die grundsätzliche Bewertung der DSGVO verschlechtert sich Jahr für Jahr. 88 Prozent sagen inzwischen, die DSGVO mache ihre Geschäftsprozesse komplizierter. 2025 waren es 81 Prozent, 2024 erst 77 Prozent. 76 Prozent finden, die deutschen Datenschutzbehörden wenden die DSGVO zu streng an, nach 69 Prozent im Vorjahr und 64 Prozent im Jahr davor. Umgekehrt sagen nur noch 61 Prozent, die Datensicherheit im eigenen Unternehmen habe sich durch die DSGVO verbessert, 2024 waren es noch 70 Prozent.

Den größten Aufwand verursacht die Dokumentationspflicht von Verarbeitungstätigkeiten, die 84 Prozent nennen, nach 73 Prozent im Vorjahr. Es folgen die Klärung der rechtlichen Anforderungen mit 68 Prozent (2025: 57 Prozent), die technische Implementierung mit 65 Prozent (2025: 69 Prozent), die Erfüllung von Informationspflichten mit 61 Prozent (53 Prozent) und die Sicherstellung der Betroffenenrechte mit 51 Prozent (43 Prozent). Für 48 Prozent ist die Abstimmung mit externen Dienstleistern aufwendig (2025: 54 Prozent), für 43 Prozent die Bewertung von Datenschutzverstößen (2025: 36 Prozent), für 37 Prozent der Aufbau interner Datenschutzkompetenzen (2025: 33 Prozent) und für 33 Prozent die Schulung der Beschäftigten (2025: 36 Prozent). Am Ende rangiert wie im Vorjahr mit 25 Prozent die Benennung eines Datenschutzbeauftragten. Kein einziges Unternehmen gibt an, keine Probleme aufgrund des Datenschutzes zu haben.

Die größten Herausforderungen kommen dabei von außen. 88 Prozent der Unternehmen klagen über Unsicherheit zu den genauen Datenschutz-Vorgaben, 83 Prozent darüber, dass die Umsetzung nie vollständig abgeschlossen ist, weil laufend auf rechtliche Entwicklungen reagiert werden muss. 78 Prozent halten die Anforderungen schlicht für zu hoch. 70 Prozent sagen, das Ausrollen neuer Tools setze die Datenschutzprüfung immer wieder neu in Gang, und 61 Prozent beklagen mangelnde Beratung durch die Aufsichtsbehörden. Dahinter folgen der Zeitaufwand durch IT- und Systemumstellungen (56 Prozent), sich widersprechende rechtliche Vorgaben (55 Prozent), die uneinheitliche Auslegung des Datenschutzes innerhalb der EU (49 Prozent) und innerhalb Deutschlands (32 Prozent). Interne Gründe spielen dagegen eine untergeordnete Rolle: 42 Prozent fehlt es an qualifiziertem Personal, 40 Prozent an finanziellen Mitteln, 39 Prozent tun sich schwer, die komplexen Anforderungen den Beschäftigten verständlich zu machen und 27 Prozent beklagen die mangelnde Einbindung der Datenschutzbeauftragten. Nur 10 Prozent nennen die fehlende Unterstützung durch die Geschäftsführung, 9 Prozent eine insgesamt mangelnde Unterstützung im Unternehmen.

Die Aufsicht hilft nicht immer – und dann nur mittelmäßig

Wer sich mit Fragen an die Aufsichtsbehörden wendet, bleibt häufig ohne Antwort. 37 Prozent der Unternehmen haben in den vergangenen zwei Jahren Hilfestellung angefragt und keine Rückmeldung erhalten. Ein Viertel hat gar nicht erst angefragt. Zugleich haben mit 64 Prozent fast zwei Drittel Hilfen der Aufsicht genutzt: 33 Prozent haben einmal Hilfestellung genutzt, 31 Prozent mehrfach. Vor zwei Jahren lag der Anteil nur bei 54 Prozent. Allerdings: Wer Hilfe bekam, bewertet sie nur mit der Schulnote 2,9 — nach 2,7 im Jahr 2024. 15 Prozent vergeben ein Sehr gut, 8 Prozent dagegen ein Mangelhaft oder Ungenügend.

Entsprechend klar sind die Erwartungen an eine Reform. Von den 93 Prozent der Unternehmen, die Reformbedarf sehen, wünschen sich 85 Prozent eine Zentralisierung der Datenschutzaufsicht in Deutschland und 80 Prozent eine Zentralisierung auf EU-Ebene. 82 Prozent fordern eine bessere Abstimmung zwischen den Behörden, 76 Prozent eine zentrale Datenbank aller aufsichtsbehördlichen Entscheidungen, 70 Prozent einheitliche Meldeprozesse für Datenschutzverstöße und 67 Prozent die gegenseitige Anerkennung von Entscheidungen der Aufsichtsbehörden. Zwei von drei Unternehmen (66 Prozent) wollen schlicht schnellere Antworten auf Anfragen und Beschwerden, rund ein Drittel (31 Prozent) eine bessere Erreichbarkeit. Eine knappe Mehrheit von 54 Prozent plädiert für die Einrichtung von Aufsichtsbehörden zu thematischen Schwerpunkten, 48 Prozent wünschen sich mehr Flexibilität bei der Auslegung und Anwendung der Datenschutzgesetze. Und mit 34 Prozent unterstützt jedes dritte Unternehmen den Ruf nach konsequentem Vorgehen gegen Verstöße. »Wenn jedes dritte Unternehmen auf eine Anfrage an die Aufsicht gar keine Antwort bekommt, ist das kein Detailproblem, sondern ein strukturelles«, so Dehmel. »Sechzehn Aufsichtsbehörden mit teils unterschiedlicher Auslegung binden auch Kapazitäten, die in Beratung und Durchsetzung fehlen. Die Unternehmen halten eine Bündelung der Aufsicht für eine sinnvolle Maßnahme.«

Wo eine Vereinfachung wirklich entlasten würde

Bei der Frage, welche Vereinfachungen der DSGVO tatsächlich helfen würden, ist die Antwort eindeutig: 89 Prozent der Unternehmen nennen weniger Dokumentationspflichten bei risikoarmen Verarbeitungen. 76 Prozent wünschen sich eine einheitliche Auslegung durch die Datenschutzbehörden, 73 Prozent mehr Rechtssicherheit bei der Interessenabwägung und 69 Prozent eine bessere Abstimmung mit anderen Regulierungen wie dem AI Act. 62 Prozent wollen eine Meldepflicht für Datenschutzverletzungen nur noch bei hohem Risiko, 61 Prozent weniger Einwilligungsabfragen für Cookies und Tracking, 55 Prozent reduzierte Informationspflichten. 47 Prozent würde eine vereinfachte Nutzung pseudonymisierter Daten entlasten, 44 Prozent mehr Möglichkeiten zur Datenverarbeitung ohne Einwilligung, 40 Prozent bessere Muster und Praxisbeispiele der Aufsichtsbehörden. Am seltensten genannt wird ausgerechnet der Punkt, über den in Deutschland derzeit am lautesten gestritten wird: Nur 35 Prozent der Unternehmen würde die Abschaffung der verpflichtenden betrieblichen Datenschutzbeauftragten entlasten. Kein einziges Unternehmen gibt an, dass es keine Stelle gebe, an der eine Vereinfachung helfen würde.

KI wird zur neuen Belastungsprobe

Mit dem Einsatz von Künstlicher Intelligenz kommen neue Aufgaben auf die Datenschutz-Verantwortlichen zu. 79 Prozent der Unternehmen sagen, der Datenschutz müsse an das KI-Zeitalter angepasst werden, nach 71 Prozent im Vorjahr. 57 Prozent fordern, die Nutzung personenbezogener Daten für Entwicklung und Training von KI-Systemen bei berechtigtem Interesse zu erlauben. 78 Prozent berichten, die Datenschutzprüfung von KI-Projekten werde immer aufwendiger, für 72 Prozent ist Datenschutz beim KI-Einsatz ein großes Thema im eigenen Haus. Zugleich räumen 56 Prozent der Befragten ein, bei Datenschutz-Fragen zu KI häufig überfordert zu sein. 51 Prozent sehen in KI-Chatbots eine Hilfe für die Beschäftigten bei Datenschutz-Fragen. Die Hälfte (50 Prozent) sagt, der Datenschutz behindere im eigenen Unternehmen den Einsatz von KI.

Datenschutzbedenken bremsen Nutzung von ausländischen Lösungen

Aber nicht nur KI, sondern auch andere innovative technische Lösungen werden durch den Datenschutz gebremst. 4 von 10 Unternehmen (42 Prozent) haben wegen Datenschutzbedenken bereits auf Produkte oder Lösungen aus Ländern außerhalb der EU verzichtet, 19 Prozent sogar mehrfach. Betroffen sind vor allem Anbieter aus China, das 59 Prozent dieser Unternehmen nennen, und aus den USA mit 39 Prozent. Jeweils 10 Prozent entfallen auf Indien und andere Länder außerhalb der EU. »Die Wirtschaft fordert keine Datenschutz-Deregulierung, sondern Verhältnismäßigkeit«, sagt Dehmel. »Werden risikoarme Verarbeitungen von Dokumentationspflichten befreit, sorgt man für eine einheitliche Auslegung und bringt Datenschutz und KI-Regulierung zusammen, und entlastet Unternehmen spürbar, ohne das Schutzniveau zu senken.«

Privacy Conference des Bitkom am 29. und 30. September

Welche Entwicklungen beim Datenschutz und bei der Datenschutzaufsicht in Deutschland zu erwarten sind und welche Auswirkungen der Digitale Omnibus, eine mögliche DSGVO-Reform, der Data Act sowie der AI Act auf den Datenschutz und die Datennutzung haben, ist auch Thema der Bitkom Privacy Conference am 29. und 30. September in Berlin und online. Neben Datenschutzexpertinnen und Datenschutzexperten verschiedener Datenschutzbehörden kommen global agierende Unternehmen, der innovative Mittelstand, Startups sowie Vertreterinnen und Vertreter aus Politik, Wissenschaft und Praxis zusammen. Mit dabei sind unter anderem Michael McGrath (EU-Kommissar für Demokratie, Justiz, Rechtsstaatlichkeit und Verbraucherschutz), Bernd Krösser (Staatssekretär im Bundesministerium des Inneren), Dr. Hans-Joachim Arnold (Vice President, Lufthansa Group Compliance & Data Protection), Valentina Daiber (Chief Officer Legal & Corporate Affairs, Mitglied des Vorstands der Telefónica Deutschland Holding AG), Thomas Zerdick (Europäischer Datenschutzbeauftragter) und Alex Greenstein (U.S. Department of Commerce). Der erste Konferenztag am 29. September findet vor Ort im Futurium Berlin statt, der zweite Tag am 30. September steht im internationalen Fokus und ist per Livestream kostenlos zu verfolgen. Die Anmeldung ist möglich unter www.privacy-conference.com/tickets26.

Alle Ergebnisse der Unternehmensbefragung finden sich auch im Bitkom-Dataverse unter: www.bitkom.org/Bitkom-Dataverse/DatenschutzUnternehmen

FAQ: Datenschutz, KI und Reform

Warum fordern Unternehmen eine Reform der DS-GVO?
Die Bitkom-Befragung nennt vor allem wachsenden Aufwand, Rechtsunsicherheit und kompliziertere Geschäftsprozesse. 90 Prozent der Befragten sehen eine gezielte Reform als notwendig an.
Quelle: https://www.bitkom.org/Presse/Presseinformation/Wirtschaft-will-Entlastung-beim-Datenschutz
Welche Pflichten verursachen im Alltag den größten Aufwand?
An erster Stelle steht die Dokumentation von Verarbeitungstätigkeiten. Danach folgen die Klärung rechtlicher Anforderungen, die technische Implementierung sowie Informationspflichten und Betroffenenrechte.
Quelle: https://www.bitkom.org/Bitkom-Dataverse/DatenschutzUnternehmen
Welche Vereinfachung hätte aus Unternehmenssicht den größten Hebel?
Besonders häufig genannt werden geringere Dokumentationspflichten bei risikoarmen Verarbeitungen, eine einheitliche Auslegung durch die Aufsichtsbehörden und mehr Rechtssicherheit bei Interessenabwägungen.
Quelle: https://www.bitkom.org/Presse/Presseinformation/Wirtschaft-will-Entlastung-beim-Datenschutz
Gilt die DSGVO auch beim Einsatz von KI?
Ja, sobald bei Entwicklung oder Nutzung eines KI-Systems personenbezogene Daten verarbeitet werden. Der AI Act ergänzt den Datenschutzrahmen, ersetzt ihn aber nicht.
Quellen: https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=de | https://eur-lex.europa.eu/eli/reg/2024/1689/oj?eliuri=eli %3Areg %3A2024 %3A1689 %3Aoj&locale=de
Was sollten Unternehmen vor dem Start eines KI-Projekts klären?
Erforderlich sind ein klarer Zweck, Rollen und Verantwortlichkeiten, Datenkategorien, Rechtsgrundlage, Zugriffs- und Löschkonzept, Dienstleisterprüfung sowie eine dokumentierte Risiko- und gegebenenfalls Folgenabschätzung.
Quelle: https://www.bfdi.bund.de/SharedDocs/Downloads/DE/DokumenteBfDI/Dokumente-allg/2025/Handreichung-KI.html
Wann kann ein KI-Modell als anonym gelten?
Nach der EDSA-Stellungnahme ist das im Einzelfall zu prüfen. Sowohl die direkte oder indirekte Identifizierung als auch die Extraktion personenbezogener Trainingsdaten durch Abfragen müssen sehr unwahrscheinlich sein.
Quelle: https://www.edpb.europa.eu/news/edpb-opinion-on-ai-models-gdpr-principles-support-responsible-ai_de
Kann berechtigtes Interesse eine Rechtsgrundlage für KI sein?
Grundsätzlich kommt es in Betracht, wenn ein berechtigtes Interesse besteht, die Verarbeitung erforderlich ist und die Rechte der betroffenen Personen in einer dokumentierten Abwägung nicht überwiegen. Eine Pauschallösung ist das nicht.
Quelle: https://www.edpb.europa.eu/documents/opinion-of-the-board-art-64/opinion-282024-on-certain-data-protection-aspects-related-to_en
Welche Rolle spielt der risikobasierte Ansatz?
Er verbindet Schutz und Praktikabilität: Je höher das Risiko einer Verarbeitung oder eines KI-Einsatzes, desto strenger sollten Prüfung, technische Sicherungen, menschliche Aufsicht und Nachweise ausfallen. Auch der AI Act folgt diesem Grundprinzip.
Quelle: https://eur-lex.europa.eu/legal-content/DE/LSU/?uri=oj:L_202401689
Was schlägt der digitale Omnibus vor?
Die EU-Kommission will digitale Regeln zu KI, Cybersicherheit und Daten gezielt vereinfachen, Berichtspflichten bündeln und einzelne Vorgaben der DSGVO harmonisieren und präzisieren, ohne das Datenschutzniveau abzusenken.
Quelle: https://commission.europa.eu/news-and-media/news/simpler-digital-rules-help-eu-businesses-grow-2025-11-19_en

Was ist jetzt die wichtigste Managementaufgabe?
Datenschutz, Informationssicherheit, Recht, Einkauf und Fachbereiche sollten KI-Vorhaben gemeinsam steuern. Ein standardisierter Freigabeprozess, ein aktuelles Verzeichnis der Anwendungen, klare Datenregeln und wiederverwendbare Prüfmuster reduzieren Reibung und schaffen belastbare Entscheidungen.
Quellen: https://commission.europa.eu/law/law-topic/data-protection_en | https://www.bfdi.bund.de/SharedDocs/Downloads/DE/DokumenteBfDI/Dokumente-allg/2025/Handreichung-KI.html

5981 Artikel zu „Datenschutz“

Favoriten der Redaktion | IT-Security | Künstliche Intelligenz | New Work | News | Tipps | Trends 2026 | Trends Security

Bis 2029 werden die meisten Datenschutzvorfälle auf KI-generierte Schlussfolgerungen zurückzuführen sein

31. Juli 2026

KI-bedingte Datenschutzrisiken erfordern von CISOs, den Fokus über den klassischen Schutz personenbezogener Daten hinaus auf die Governance KI-generierter Schlussfolgerungen auszuweiten. Management Summary KI verändert das Risikoprofil des Datenschutzes grundlegend: Datenschutzvorfälle entstehen künftig nicht nur durch die Offenlegung personenbezogener Daten, sondern zunehmend durch Schlussfolgerungen, die KI-Systeme aus vorhandenen, aggregierten oder anonymisierten Daten ableiten. Für Unternehmen…