Auf die Schnelle

Am 2. Juli 2026 hat die Koalition aus CDU, CSU und SPD ein Reformpaket vorgestellt, das den Datenschutz vereinfachen und kleine Firmen entlasten soll. Unter Punkt 14 stehen fünf Vorhaben, darunter Ausnahmen von der DSGVO für KMU und risikoarme Verarbeitung sowie eine gelockerte Pflicht zum Datenschutzbeauftragten. Für Betriebe, die KI einsetzen und dabei personenbezogene Daten verarbeiten, könnte das weniger Bürokratie bedeuten. Wichtig: Es ist bisher ein Positionspapier, noch kein Gesetz. Die Verantwortung für den sauberen Umgang mit Daten bleibt in jedem Fall beim Betrieb.

Datenschutz gilt vielen kleinen Betrieben als Bürokratiemonster. Am 2. Juli 2026 hat die Koalition aus CDU, CSU und SPD ein Reformpaket vorgestellt, das hier ansetzen will. Unter dem Titel "Ein Programm für Aufschwung und Beschäftigung" steht ein Punkt, der besonders KMU betrifft: ein moderner, schlankerer Datenschutz. Für Firmen, die KI einsetzen und dabei zwangsläufig mit personenbezogenen Daten hantieren, ist die geplante Datenschutz-Reform 2026 eine Nachricht, die man einordnen sollte.

Was die Koalition angekündigt hat

Der Koalitionsausschuss stellte das Paket am 2. Juli 2026 vor. Es trägt den Namen "Ein Programm für Aufschwung und Beschäftigung" und bündelt mehrere Wirtschaftsvorhaben. Der Datenschutz taucht dort unter Punkt 14 auf, überschrieben mit "Moderner Datenschutz für mehr Wachstum".

Schon die Überschrift verrät die Richtung. Datenschutz soll nicht länger als Bremse gelten, sondern als etwas, das sich mit Wachstum verträgt. Für viele Handwerksbetriebe, Vereine und kleine Firmen, die sich seit Jahren mit den Pflichten der DSGVO abmühen, klingt das erst einmal nach Entlastung.

Ob es so kommt, ist eine andere Frage, auf die wir gleich zurückkommen. Zunächst lohnt der Blick darauf, was konkret im Papier steht und wen es treffen würde.

Die fünf Vorhaben im Überblick

Fünf Punkte listet das Papier auf, und der erste ist der weitreichendste. Auf EU-Ebene will die Bundesregierung erreichen, dass bestimmte Bereiche aus dem Anwendungsbereich der DSGVO herausfallen: nicht-kommerzielle Tätigkeiten wie die Vereinsarbeit, kleine und mittlere Unternehmen sowie die risikoarme Verarbeitung von Daten. Als anschauliches Beispiel nennt das Papier die Kundenliste eines Handwerkers.

Dazu kommen vier weitere Vorhaben. Ein nationales "Datengesetzbuch" soll die vielen bestehenden Regeln bündeln und vereinfachen. Die Aufsicht soll stärker beim Bundesbeauftragten für den Datenschutz, kurz BfDI, zusammenlaufen. Die Datenschutzkonferenz, also das Gremium der Aufsichtsbehörden, soll gesetzlich verankert werden. Und die Pflicht, einen Datenschutzbeauftragten zu bestellen, soll für kleine und mittlere Unternehmen gelockert werden.

Für einen kleinen Betrieb ist vor allem der letzte Punkt greifbar. Wer heute ab einer bestimmten Zahl von Beschäftigten einen Datenschutzbeauftragten benennen muss, könnte nach den Plänen künftig davon befreit sein. Das spart Geld und Aufwand, gerade dort, wo diese Rolle bisher extern eingekauft werden musste.

Bemerkenswert ist auch, was das Papier nicht sagt. Es nennt Ziele, aber keine konkreten Schwellenwerte, ab wann ein Unternehmen als klein gilt oder welche Verarbeitung als risikoarm zählt. Diese Details entscheiden am Ende, wer wirklich entlastet wird. Ohne sie bleibt vieles eine Absichtserklärung, die sich in verschiedene Richtungen ausfüllen lässt.

Was das für KMU mit KI bedeutet

Der Bezug zur KI liegt näher, als es zunächst scheint. Wer im Betrieb KI einsetzt, verarbeitet fast immer personenbezogene Daten. Eine KI, die Kundenmails vorsortiert, liest Namen und Anliegen. Ein Assistent, der Angebote entwirft, greift auf Kundendaten zu. Sobald ein Werkzeug mit solchen Daten arbeitet, ist der Datenschutz im Spiel.

Weniger Bürokratie bei risikoarmer Verarbeitung könnte solche alltäglichen KI-Anwendungen leichter machen. Wenn das Führen einer simplen Kundenliste künftig weniger Dokumentationsaufwand verlangt, sinkt die Hemmschwelle, ein hilfreiches Werkzeug überhaupt einzusetzen.

Ein konkretes Beispiel macht das greifbar. Eine kleine Tischlerei will Kundenanfragen mit einem KI-Assistenten vorsortieren lassen. Heute schreckt der Inhaber vielleicht vor dem Dokumentationsaufwand zurück, den er dahinter vermutet. Fällt dieser Aufwand für risikoarme Fälle weg, traut er sich eher an das Werkzeug. So könnte eine schlankere Regel die Digitalisierung im Kleinen tatsächlich anschieben.

Das ist die freundliche Lesart. Sie steht und fällt damit, was am Ende wirklich beschlossen wird, und da beginnt der Teil, bei dem Vorsicht angebracht ist.

Ein Positionspapier, noch kein Gesetz

Der wichtigste Satz zu dieser Reform ist ein nüchterner. Es handelt sich bislang um ein Positionspapier. Einen Gesetzentwurf gibt es noch nicht.

Das heißt, all diese Vorhaben sind Absichtserklärungen. Vieles davon berührt EU-Recht, das sich nicht im Alleingang aus Berlin ändern lässt. Ausnahmen aus dem Anwendungsbereich der DSGVO müssten auf europäischer Ebene ausgehandelt werden, und das dauert und ist im Ausgang ungewiss. Zwischen einer Ankündigung im Koalitionsausschuss und einer geltenden Regel liegen erfahrungsgemäß viele Monate, oft Jahre.

Dazu kommt Gegenwind. Datenschützer warnen teilweise davor, dass eine Vereinfachung nicht zur Absenkung der Schutzstandards werden darf. Der Schutz persönlicher Daten ist ein Grundrecht, und was für den einen Handwerker lästige Bürokratie ist, ist für den betroffenen Kunden ein berechtigtes Interesse. Wie diese Abwägung ausgeht, ist offen.

Für die Planung im Betrieb folgt daraus ein einfacher Rat: nicht auf die Reform wetten. Wer eine Investition oder einen neuen Prozess davon abhängig macht, dass bestimmte Pflichten wegfallen, baut auf Sand. Klüger ist, mit den heute geltenden Regeln zu arbeiten und eine Erleichterung, falls sie kommt, als angenehme Zugabe zu verbuchen.

Die Verantwortung bleibt beim Betrieb

Aus der Praxis raten wir, solche Ankündigungen mit Ruhe zu behandeln. Wer heute die DSGVO einhält, sollte das weiter tun, denn bis auf Weiteres gilt geltendes Recht. Wer auf eine Erleichterung wartet, bevor er anfängt, sauber mit Daten umzugehen, wartet auf etwas, das vielleicht nie in dieser Form kommt.

Das ist in der Praxis oft ein größeres Thema als auf dem Papier. Wir sehen bei Betrieben, die KI einführen, dass die eigentliche Datenschutzfrage bei den Gewohnheiten liegt. Welche Daten gibt jemand in ein KI-Werkzeug ein, welche besser nicht? Wer diese einfache Frage im Kopf hat, ist unabhängig von jeder Reform auf der sicheren Seite.

Und eines bleibt unabhängig von der Gesetzeslage bestehen. Die Verantwortung für den sauberen Umgang mit Kundendaten liegt beim Betrieb selbst und lässt sich nicht an ein Werkzeug delegieren. Eine schlankere Bürokratie nimmt niemandem diese Verantwortung ab, sie verringert nur den Papierkram drumherum.

Was du heute schon tun kannst

Unabhängig davon, ob und wann die Reform kommt, gibt es einen Punkt, der schon heute gilt und sich nicht ändern wird. Wer KI einsetzt, muss verstehen, was das Werkzeug mit den eingegebenen Daten macht. Diese Grundregel steht über jeder Reform und zählt heute genauso wie in einem Jahr.

Seit dem 2. Februar 2025 verlangt die KI-Kompetenzpflicht der EU-KI-Verordnung, dass Menschen, die KI im Betrieb nutzen, grundlegend verstehen, was das System tut. Diese Pflicht ist von der geplanten Datenschutz-Reform unberührt. Welche Fristen aus der EU-KI-Verordnung sonst noch auf kleine Firmen zukommen, haben wir im Beitrag zum EU AI Act für KMU zusammengetragen.

Dieser Text ersetzt keine juristische Beratung. Bei konkreten Fragen zum Datenschutz im eigenen Betrieb führt der Weg zu einer fachkundigen Beratung oder zur zuständigen Aufsichtsbehörde. Was die Reform am Ende bringt, zeigt sich, sobald aus dem Positionspapier ein Gesetzentwurf wird. Bis dahin bleibt das geltende Recht die Grundlage, an der sich jeder Betrieb ausrichten sollte.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 22. Juli 2026):

Häufige Fragen

Was steht in der geplanten Datenschutz-Reform 2026?

Der Koalitionsausschuss von CDU, CSU und SPD stellte am 2. Juli 2026 unter Punkt 14 seines Reformpakets fünf Vorhaben vor. Dazu gehören angestrebte DSGVO-Ausnahmen für KMU, Vereine und risikoarme Verarbeitung, ein nationales Datengesetzbuch, eine stärkere Bündelung der Aufsicht beim BfDI, die gesetzliche Verankerung der Datenschutzkonferenz und eine gelockerte Pflicht zum Datenschutzbeauftragten für KMU.

Ist die Datenschutz-Reform 2026 schon beschlossen?

Nein. Es handelt sich bislang um ein Positionspapier, einen Gesetzentwurf gibt es noch nicht. Vieles davon berührt EU-Recht und müsste erst auf europäischer Ebene ausgehandelt werden. Bis dahin gilt weiterhin das bestehende Datenschutzrecht.

Was würde die Reform für KMU bedeuten, die KI nutzen?

Weniger Bürokratie bei risikoarmer Verarbeitung könnte alltägliche KI-Anwendungen erleichtern, etwa das Vorsortieren von Kundenmails oder das Entwerfen von Angeboten. Die Hemmschwelle, ein hilfreiches Werkzeug einzusetzen, könnte sinken. Die Verantwortung für den sauberen Umgang mit Kundendaten bleibt aber in jedem Fall beim Betrieb.

Kann ich mich schon auf die geplanten Erleichterungen verlassen?

Nein, dazu ist der Stand zu früh. Wer heute die DSGVO einhält, sollte das weiter tun, denn geltendes Recht bleibt maßgeblich. Dieser Text ersetzt keine juristische Beratung; bei konkreten Fragen führt der Weg zu einer fachkundigen Beratung oder zur zuständigen Aufsichtsbehörde.

KI im Betrieb praktisch einsetzen lernen?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag nutzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 22. Juli 2026. Stand der Recherche: 22. Juli 2026.