Beitrag von Dr. Thomas Schulte, Rechtsanwalt in Berlin. Es ist jetzt ungefähr ein Jahr her, dass die Datenschutzgrundverordnung (DSGVO) in Kraft trat. Es ist Zeit, einmal Revue passieren zu lassen, wie sich die praktische Anwendung auswirkt. Die erste Panik rund um die Einführung ist abgeklungen. Das Hauptthema auf Partys ist jetzt ein anderes. Es gibt trotzdem weiterhin keine Entwarnung. Es bestehen Unsicherheiten bei der Datenschutzerklärung und den rechtlichen Vorgaben der Auftragsdatenverarbeitung. Außerdem steht mit der E-Privacy-Verordnung schon das nächste Projekt des europäischen Gesetzgebers vor der Tür.

Die Datenschutzgrundverordnung gilt unmittelbar europaweit. Viele Unternehmer und Freiberufler haben allerdings kaum oder nichts unternommen. Erste Bußgelder bis 80.000 € in Deutschland sind erlassen worden. In der Regel handelt es sich bei Bußgeldern allerdings um Zahlungen in Höhe von 10.000 €; die Behörden hätten die Möglichkeit, nach dem gesetzlichen Rahmen der Bußgelder 20 Millionen € oder bis zu 4 % des weltweiten Jahresumsatzes pro Verstoß festzulegen.

Die Behörden benötigten einige Zeit, um ihre Strukturen zu schaffen. Die bürokratischen Fragen sind geklärt: Es gibt eine Fülle von Regelungen und Dokumentationspflichten. Inzwischen haben sich einige Unternehmen auf diesen Markt spezialisiert und bieten spezielle Möglichkeiten an, um den bürokratischen Umsetzungsaufwand zu reduzieren.

Die befürchtete Abmahnwelle ist nicht eingetreten. Es ist in der Rechtsordnung umstritten, ob und wie abgemahnt werden kann. Wer bisher noch nichts veranlasst hat, sollte allerdings wegen des eindeutigen Verpflichtungsrahmens der Rechtsordnung jetzt unbedingt tätig werden. Die Datenschutzerklärung auf der Internetseite und die Transparenzhinweise gegenüber den eigenen Kunden sind die ersten Schritte. Zudem muss die Auftragsverarbeitung geklärt sein. Die Datenschutzerklärung muss jedem neuen Kunden im Rahmen eines Erstkontaktes ausgehändigt werden. Dies geschieht typischerweise per E-Mail. Folgende Aspekte sind bedeutungsvoll:

Art. 12. Datenschutzgrundverordnung – Erfüllung der Informationspflichten

Was passiert mit den Daten im Unternehmen? Das ist ein großes Thema.

DSGVO 2025 – Zwischen Segen, Fluch und Reformdruck

Wie Europas Datenschutz-Vorzeigeprojekt an seinen eigenen Idealen scheitert – und was jetzt juristisch, wirtschaftlich und politisch passieren muss

Der Geist der Aufklärung – oder nur Papiermonster?

Es begann mit großen Idealen: Die Datenschutzgrundverordnung (DSGVO) trat am 25. Mai 2018 europaweit in Kraft, gefeiert als Bollwerk gegen Datenmissbrauch und Symbol europäischer Souveränität im digitalen Raum. Doch sieben Jahre später steht Europa vor einem paradoxen Befund: Nie war Datenschutz rechtlich so hoch verankert – und gleichzeitig so umstritten, technisch lückenhaft und wirtschaftlich belastend. Ein juristisches Mammut, dessen Anwendung heute vielen als bürokratischer Albtraum erscheint.

Eine Zahl, die zum Nachdenken zwingt: 2,6 Milliarden Euro. So hoch war laut EU-Kommission der Gesamtwert aller verhängten DSGVO-Bußgelder europaweit bis 2024 – Tendenz steigend. Allein Meta kassierte über 1,3 Milliarden Euro Strafzahlungen, während kleine und mittlere Unternehmen mit 10.000 bis 100.000 Euro belastet wurden – oft wegen unvollständiger Datenschutzrichtlinien oder veralteter Cookie-Hinweise.

Dr. Thomas Schulte: „Zwischen Anspruch und Wirklichkeit klafft eine Lücke“

Rechtsanwalt Dr. Thomas Schulte aus Berlin sieht die DSGVO als ambivalente Errungenschaft: „Die Regelung ist ein Meilenstein im internationalen Datenschutz, aber ihre Umsetzung stellt Europa zunehmend vor wirtschaftliche Herausforderungen. Wer Digitalisierung will, muss Datenschutz leben – aber eben auch praktikabel gestalten.“ Sein kritischer Befund: Die DSGVO sei sowohl Schutzschild als auch Wachhund – und manchmal beißt sie genau jene, die eigentlich geschützt werden sollen: kleine Unternehmen, Vereine, Ärzte, Handwerksbetriebe.

Der Mittelstand kämpft – mit Regeln, Formularen und Behörden

Studien des Instituts der deutschen Wirtschaft (IW) und Bitkom zeigen, dass über 56 Prozent der KMU im Jahr 2024 angaben, bei der Umsetzung der DSGVO noch immer erhebliche Unsicherheiten zu haben. Das liegt nicht nur an der Komplexität der Verordnung, sondern auch an widersprüchlichen Auslegungen durch Aufsichtsbehörden der Bundesländer.

Dabei trifft die DSGVO auf eine unternehmerische Realität, die längst global ist: Cloud-Dienste, KI-Systeme, Datenanalysen in Echtzeit – all das stößt regelmäßig an die engen Grenzen der DSGVO, insbesondere bei Themen wie „Einwilligung“, „Profilbildung“ oder „Datenspeicherung nach Zweckbindung“.

Segen oder Fluch? Europa zwischen Datenmoral und Wettbewerbsnachteil

Was einst als digitale Selbstermächtigung Europas gedacht war, wirkt heute mitunter wie ein Standortnachteil. Während die USA mit flexibleren Modellen (z. B. dem California Privacy Rights Act) agieren und China auf zentrale Datenspeicherung setzt, hat Europa den Ruf des Bürokratie-Kontinents gefestigt. Laut World Economic Forum 2024 geben 41 Prozent der Start-ups an, sich wegen DSGVO-konformer Technik von europäischen Märkten zurückzuziehen.

Dr. Schulte dazu: „Die Idee war gut – aber die normative Kraft des Faktischen wurde unterschätzt. Gesetze wirken nur dann, wenn sie auch umgesetzt werden können.“

Bußgelder, Behörden und Bürokratie: Was 2025 neu ist

Mit Inkrafttreten des Digitale-Dienste-Gesetzes (DDG) in Deutschland und der EU-Datengesetzgebung (Data Governance Act) kommen neue Pflichten hinzu – zusätzlich zur DSGVO. Gleichzeitig haben die Datenschutzbehörden ihre Schlagkraft erhöht:

• Über 38 neue Verfahren gegen Online-Plattformen seit Januar 2025 (EU-weite Statistik)
• Tendenz zur „automatisierten Prüfung“ von Websites, insbesondere bei Cookie- und Consent-Bannern
• Neuer Fokus auf Datenschutz-Folgenabschätzungen bei KI-Projekten

Juristische Hürden – und der Weg zur Reform

Ein zentrales Problem ist nach wie vor die Verhältnismäßigkeit der Sanktionen. Die von der DSGVO vorgesehenen Strafen bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes führen laut Bundesrechtsanwaltskammer 2024 zu einem „massiven Einschüchterungseffekt bei KMU“. Dr. Schulte fordert deshalb ein abgestuftes Sanktionensystem, das Bußgelder nach tatsächlichem Risiko und Verschulden bemisst.

Zudem sei eine bessere Schulung der Gerichte und Anwälte nötig. Viele Datenschutzverfahren verlaufen im Sand, weil die technischen und juristischen Anforderungen kaum miteinander kommuniziert werden können.

Fazit: DSGVO bleibt wichtig – benötigt aber Update und Mut zur Vereinfachung

Europa kann stolz auf seine Datenschutz-Grundlage sein. Doch 2025 ist es an der Zeit, die Balance neu zu finden: zwischen Schutz und Praktikabilität, zwischen Ideal und Wirklichkeit. Dr. Schulte bringt es auf den Punkt: „Datenschutz darf kein juristischer Racheengel sein – sondern muss Ermöglicher für vertrauenswürdige Digitalisierung werden.“