„Datenschutz – das müsste doch langsam erledigt sein.“ Dieser Satz fällt in Gesprächen mit Unternehmen immer häufiger. Seit 2018 gilt die DSGVO, Verzeichnisse wurden angelegt, Verträge geschlossen, Mitarbeitende geschult. Warum sollte der Aufwand also nicht endlich sinken? Und jetzt soll die Pflicht zur Benennung eines Datenschutzbeauftragten auch noch fallen?

Die Antwort ist unbequem, aber eindeutig: Die Aufgaben sind seit 2018 nicht weniger geworden. Sie haben sich vervielfacht.

Was politisch geplant ist – und was davon bleibt

Bund und Länder haben im Dezember 2025 die Föderale Modernisierungsagenda beschlossen. Darin kündigt der Bund an, bis Ende 2026 die Aufhebung von § 38 Abs. 1 BDSG einzubringen. Das ist die deutsche Sonderregel, nach der Unternehmen ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, einen Datenschutzbeauftragten benennen müssen. Ein entsprechender Gesetzentwurf liegt dem Bundestag bislang nicht vor (Stand: November 2026). Parallel dazu verhandelt die EU mit dem „Digital Omnibus“ über Anpassungen der DSGVO. Der Rat hat seine Position im Oktober 2026 festgelegt, die Verhandlungen mit dem Europäischen Parlament stehen noch aus.

Wichtig für die Praxis:

Die eigentliche Frage lautet deshalb nicht „Brauchen wir noch einen Datenschutzbeauftragten?“, sondern: „Wer erledigt diese Arbeit, wenn es keiner mehr tut?“

Von der DSGVO zum Regelwerk-Geflecht

2018 ging es im Kern um ein einziges Gesetz. Heute arbeiten Datenschutzbeauftragte in einem dichten Netz europäischer Vorgaben, die ineinandergreifen und aufeinander abgestimmt werden müssen:

Keine dieser Vorgaben steht für sich allein. Wer berät, muss die Zusammenhänge kennen und daraus Entscheidungen für die eigene Organisation ableiten können.

2025 und 2026: Cyberrisiken und KI im Mittelpunkt

Zwei Themen haben die Beratungspraxis der letzten beiden Jahre besonders geprägt.

Cyberbedrohungen. Datenschutz bedeutet heute in erster Linie Schutz vor Angriffen. Datenschutzbeauftragte prüfen deshalb, wo technische und organisatorische Maßnahmen nicht mehr ausreichen, um personenbezogene Daten angemessen zu schützen, und begleiten die Nachbesserung.

Künstliche Intelligenz. Welche KI-Anwendung darf genutzt werden? Was passiert mit eingegebenen Daten? Ist ein lokal betriebenes KI-System mit eigener Wissensbasis die bessere Lösung? Jede dieser Fragen ist eine eigene Disziplin, und die Antworten müssen rechtlich wie technisch belastbar sein.

Auftragsverarbeitung: Keine Bürokratie, sondern Schutz der Kronjuwelen

Besonders deutlich wird der Wandel bei der Prüfung von Dienstleistern. Gegen die Fragebögen, mit denen Auftraggeber ihre Auftragsverarbeiter überprüfen, gibt es oft Widerstand. Man habe so etwas noch nie ausfüllen müssen, das sei reine Bürokratie.

Das Gegenteil ist richtig. Digitale Informationen sind heute die Kronjuwelen jeder Organisation. Sie werden selten nur im eigenen Haus verarbeitet, sondern durch Dienstleister und deren Subdienstleister, oft in Ketten, deren Ende niemand mehr kennt. Diese Kette zu prüfen, Nachweise einzufordern und Lücken zu schließen, gehört zu den Kernpflichten eines Auftraggebers. Daran hängen weitere Verpflichtungen, etwa gegenüber der Cyberversicherung, die bei einem Schadensfall genau wissen will, wie Dienstleister ausgewählt und kontrolliert wurden.

Wenn der Datenschutzbeauftragte fehlt

In vielen Organisationen sind Datenschutzbeauftragte über die Jahre zur zentralen Anlaufstelle für alles geworden, was mit der DSGVO zu tun hat: Verarbeitungsverzeichnis, Prüfung und Bereitstellung von Auftragsverarbeitungsverträgen, Schulungen, Aufklärung der Beschäftigten. Das hat Unternehmen entlastet. Es hatte aber auch eine Kehrseite: Das Thema rückte aus dem Blickfeld, weil „sich ja jemand darum kümmert“.

Fällt diese Rolle weg, stehen Verantwortliche von heute auf morgen wieder allein vor den Fragen. Das führt erfahrungsgemäß nicht zu mehr Sicherheit, nicht zu weniger erfolgreichen Angriffen und nicht zu strukturierteren digitalen Prozessen. Es führt zu Lücken, die erst im Ernstfall sichtbar werden.

Was ein Datenschutzmandat heute umfasst

Auch ein „reines“ Datenschutzmandat ist längst mehr als die Betreuung der DSGVO. Ein Datenschutzbeauftragter berät heute zu:

Damit das gelingt, reicht Gesetzeskenntnis allein nicht aus. Es braucht aktuelles Wissen aus der Praxis. Die TBCS IT GmbH ist deshalb eng vernetzt, unter anderem in der Gesellschaft für Datenschutz und Datensicherheit (GDD), im Bundesverband der IT-Sachverständigen und Gutachter sowie bei Niedersachsen Digital e. V. im Rahmen der Unternehmerverbände Niedersachsen (UVN). Dort leitet Geschäftsführer Torben Bues auch Fachgruppen. Erkenntnisse aus diesem Austausch fließen direkt in die Beratung der Mandanten ein. Wie vielfältig dieser Alltag ist, zeigt die Serie aus dem täglichen Leben eines Datenschutzbeauftragten.

---

Ausblick 2027

Die Debatte um die Benennungspflicht wird 2027 weitergehen. Unabhängig vom Ausgang gilt: Die Anforderungen an Unternehmen steigen weiter, und der Bedarf an kompetenter, vernetzter Beratung steigt mit ihnen. Datenschutz war 2018 eine neue Pflicht. 2026 ist er eine Querschnittsaufgabe, die Cybersicherheit, KI und Digitalisierung verbindet.