Reformpaket der Bundesregierung: Brauch ich noch eine Datenschutzerklärung auf meiner Webseite?

Vor zwei Wochen rief mich eine Mandantin an, Inhaberin einer Physiotherapie-Praxis mit 14 Mitarbeiterinnen. Sie hatte in den Nachrichten etwas von „DSGVO-Reform“ und „Bürokratieabbau“ aufgeschnappt und war sich sicher: Jetzt ist Schluss mit dem ganzen Datenschutz-Kram. „Herr Fürsicht, dann brauch ich die Datenschutzerklärung auf meiner Homepage ja nicht mehr, oder? Und den Datenschutzbeauftragten auch nicht?“

Ich verstehe, wie diese Frage entsteht. Die Schlagzeilen der letzten Wochen klingen nach einer großen Entlastung: „Datengesetzbuch“, „DSGVO-Reform“, „Bürokratieabbau“. Wer das liest, denkt schnell: weniger Pflichten, weniger Papierkram, weniger Datenschutzerklärung. Das Problem: Diese Schlussfolgerung ist in großen Teilen falsch – und genau deshalb schreibe ich diesen Beitrag.

Kurze Antwort: Ja, Sie brauchen weiterhin eine Datenschutzerklärung auf Ihrer Webseite. Daran ändert das aktuelle Reformpaket nichts.

Die längere Antwort ist wichtiger, denn das, was gerade politisch diskutiert wird, betrifft etwas ganz anderes als die Informationspflichten auf Ihrer Webseite – nämlich vor allem die Frage, wann ein Unternehmen einen betrieblichen Datenschutzbeauftragten bestellen muss. Und selbst da ist die Sache deutlich komplizierter, als es in drei Zeilen Zeitungstext klingt.

Ich bin zertifizierter externer Datenschutzbeauftragter, kein Rechtsanwalt. Dieser Beitrag ordnet die Rechtslage praxisnah ein und ersetzt in Ihrem konkreten Einzelfall keine anwaltliche Prüfung.

Lesen Sie hier:

• [Was genau wurde beschlossen – und was nicht](#was-beschlossen)
• [Die zentrale Antwort: Ihre Datenschutzerklärung bleibt Pflicht](#datenschutzerklaerung-bleibt)
• [Die DSB-Pflicht: § 38 fällt, Art. 37 DSGVO bleibt](#dsb-pflicht)
• [Das Verzeichnis von Verarbeitungstätigkeiten – EU-Recht bleibt EU-Recht](#vvt)
• [Zentralisierung der Aufsichtsbehörden](#aufsicht)
• [TDDDG statt TTDSG – ein Randthema, das trotzdem wichtig ist](#tdddg)
• [Der EU Digital Omnibus – ein komplett anderes Vorhaben](#omnibus)
• [Kritik an der Reform](#kritik)
• [Realistischer Zeitplan](#zeitplan)
• [Praxis-Checkliste: Was Sie JETZT prüfen sollten](#checkliste)
• [Häufige Fragen (FAQ)](#faq)

Was genau wurde beschlossen – und was nicht

Fangen wir mit dem an, was tatsächlich vorliegt, denn hier herrscht die größte Verwirrung.

Am 2. Juli 2026 hat der Koalitionsausschuss ein Paket unter dem Titel „Datengesetzbuch, DSGVO-Reform und Bürokratieabbau“ beschlossen. Das ist wichtig zu verstehen: Ein Koalitionsausschuss-Beschluss ist ein politisches Eckpunktepapier. Er formuliert Absichten und setzt Fristen – er ist kein Gesetzentwurf und kein Kabinettsbeschluss. Zwischen einem solchen Beschluss und geltendem Recht liegen in Deutschland üblicherweise Monate bis Jahre: Referentenentwurf, Ressortabstimmung, Kabinettsbeschluss, Bundestagsverfahren mit Anhörungen, Bundesrat.

Eingebettet ist dieses Vorhaben in einen älteren Beschluss der Ministerpräsidentenkonferenz vom 4. Dezember 2025 (der Beschluss ist Teil der sogenannten „Föderalen Modernisierungsagenda“), der bereits Fristen nennt. Wörtlich heißt es dort (Ziffer 160, S. 31), dass die Bundesregierung „bis 31.12.2026 eine Aufhebung des § 38 Abs. 1 BDSG einbringen“ solle.

Parallel dazu gibt es noch ein zweites, eigenständiges Dokument: die Bundesrats-Drucksache 356/26, ein Entwurf zur Änderung des BDSG vom 9. Juni 2026, der am 10. Juli 2026 seine erste Beratung im Bundesrat hatte. Was genau darin inhaltlich steht, ist im Detail noch unklar – nach meinem aktuellen Kenntnisstand geht es dabei vor allem um Zuständigkeitsfragen der Aufsichtsbehörden, nicht um die großen Schlagzeilen-Themen. Ich werde das im Blick behalten und bei Bedarf nachlegen, sobald der Entwurf öffentlich vorliegt.

Wichtig für Sie als Website-Betreiber: Keines dieser Dokumente ist geltendes Recht. Es sind Absichtserklärungen mit Zeitplan, nicht mehr, aber auch nicht weniger.

Die zentrale Antwort: Ihre Datenschutzerklärung bleibt Pflicht

Kommen wir zur eigentlichen Frage aus der Überschrift. Die Informationspflichten nach Art. 13 und 14 DSGVO – also die Pflicht, auf Ihrer Webseite offenzulegen, wer Sie sind, welche Daten Sie zu welchem Zweck verarbeiten, wie lange Sie sie speichern und an wen Sie sie weitergeben – bleiben vollständig unverändert bestehen.

Art. 13/14 DSGVO sind unmittelbar geltendes EU-Recht. Ein deutsches Reformpaket, egal wie ambitioniert, kann daran nichts ändern – dafür bräuchte es eine Änderung der DSGVO selbst auf EU-Ebene, und selbst der dazu passende EU-Vorstoß (dazu gleich mehr) sieht keine Reduktion dieser Informationspflichten vor.

Im Gegenteil: Die Datenschutzkonferenz (DSK), das Gremium der deutschen Aufsichtsbehörden, hat im Januar 2026 sogar zusätzliche Informationspflichten vorgeschlagen – eine explizite Pflicht, über den Einsatz von KI-Systemen zu informieren. Die Richtung geht also, wenn überhaupt, eher in Richtung „mehr“ als „weniger“ – zumindest was Ihre Webseite betrifft.

Wenn also jemand in Ihrem Umfeld sagt „die Datenschutzerklärung braucht’s bald nicht mehr“, dann ist das schlicht falsch. Diese Aussage bezieht sich vermutlich – missverstanden – auf das nächste Thema.

Die DSB-Pflicht: § 38 fällt, Art. 37 DSGVO bleibt

Aktuell gilt: § 38 BDSG verlangt, dass Unternehmen einen Datenschutzbeauftragten bestellen, sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Diese Schwelle liegt seit dem 26. November 2019 bei 20 Personen (vorher waren es 10).

Was jetzt geplant ist, ist keine Anhebung dieser Zahl – also nicht etwa „20 wird zu 50“. Geplant ist die vollständige Aufhebung von § 38 Abs. 1 BDSG. Die nationale, mitarbeiterzahl-basierte Pflicht würde komplett entfallen.

Das klingt erstmal nach einer großen Erleichterung. Und für einen Teil der Unternehmen wäre es das auch. Aber – und das ist der Punkt, den ich meiner Mandantin am Telefon erklären musste – das bedeutet nicht, dass die DSB-Pflicht für alle verschwindet.

Diese Nuance wird in den meisten Zeitungsartikeln komplett unterschlagen:

Fällt § 38 BDSG weg, bestimmt sich die DSB-Pflicht künftig nur noch nach Art. 37 DSGVO – also nach EU-Recht. Und Art. 37 DSGVO knüpft nicht an die Mitarbeiterzahl an, sondern an die Art der Verarbeitung. Ein Unternehmen braucht danach einen Datenschutzbeauftragten, wenn seine Kerntätigkeit

• eine umfangreiche, systematische Überwachung von Personen erfordert (klassisch: Tracking, Profiling, Scoring), oder
• eine umfangreiche Verarbeitung besonderer Datenkategorien beinhaltet – dazu zählen z. B. Gesundheitsdaten, biometrische Daten oder Daten zur Gewerkschaftszugehörigkeit.

Was heißt das konkret? Ein Handwerksbetrieb mit 25 Mitarbeitenden, der Kundendaten für Rechnungen und Terminplanung verarbeitet, aber kein systematisches Tracking oder Profiling als Kerngeschäft betreibt, könnte künftig tatsächlich ohne verpflichtenden DSB auskommen – wo er heute wegen der 20-Personen-Schwelle noch einen bräuchte.

Eine Arztpraxis, eine Physiotherapie, eine Anwaltskanzlei oder ein Unternehmen, dessen Geschäftsmodell auf Tracking und Profiling beruht, bleibt dagegen auch mit nur 3 oder 5 Mitarbeitenden über Art. 37 DSGVO in der Pflicht – weil es dort um die Art der Verarbeitung geht, nicht um die Kopfzahl.

Meiner Mandantin aus der Physiotherapie musste ich also sagen: Auch wenn § 38 BDSG tatsächlich fällt, ändert sich für sie vermutlich nichts – ihre Praxis verarbeitet Gesundheitsdaten, und das ist genau die Kategorie, die über Art. 37 DSGVO weiterhin eine DSB-Pflicht auslösen kann, unabhängig von der Reform. Das muss man im Einzelfall sauber prüfen, pauschal „Reform = kein DSB mehr“ stimmt schlicht nicht.

Das Verzeichnis von Verarbeitungstätigkeiten – EU-Recht bleibt EU-Recht

Ähnliches gilt für das Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO – die interne Dokumentation, welche Verarbeitungsvorgänge in Ihrem Unternehmen stattfinden. Auch das ist EU-Recht. Eine nationale deutsche Gesetzgebung kann diese Pflicht nicht abschaffen, sondern höchstens ihre Umsetzung praktisch erleichtern.

Konkrete Erleichterungen für die VVT-Pflicht – etwa risikobasierte Ausnahmen für kleinere und mittlere Unternehmen – laufen über ein komplett separates Vorhaben: das EU-Digital-Omnibus-Paket der EU-Kommission (dazu unten mehr). Das deutsche Reformpaket selbst enthält dazu keine eigenständigen Regelungen.

Stand Juli 2026 gilt: Es gibt keine rechtsverbindlichen Änderungen an der VVT-Pflicht. Alles, was Sie dazu lesen, ist bislang politische Ankündigung.

Zentralisierung der Aufsichtsbehörden

Ein weiterer Baustein des Reformpakets betrifft die Struktur der Datenschutzaufsicht in Deutschland. Geplant ist eine Bündelung von Kompetenzen beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) sowie eine gesetzliche Verankerung der Datenschutzkonferenz (DSK). Das ist tatsächlich Teil des Reformpakets bzw. des MPK-Beschlusses, mit einer Zielmarke Ende 2027.

Auch hier gilt: Stand Juli 2026 ist das eine reine Absichtserklärung. Die föderale Struktur mit den Landesdatenschutzbehörden ist bislang völlig unverändert. Ob und wie diese Zentralisierung kommt, bleibt abzuwarten.

TDDDG statt TTDSG – ein Randthema, das trotzdem wichtig ist

Kleiner Exkurs, der nichts mit dem aktuellen Reformpaket zu tun hat, aber immer wieder für Verwirrung sorgt: Das frühere TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) heißt seit Mai 2024 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz). Das war eine reine Umbenennung – der § 25 TDDDG entspricht inhaltlich dem alten § 25 TTDSG, also der Regelung zu Cookies und Consent.

Falls in Ihrer Datenschutzerklärung noch „TTDSG“ steht: Das ist kein Reformpaket-Thema, aber ein guter Anlass, den Text jetzt zu aktualisieren, wenn Sie ohnehin gerade prüfen.

Ebenfalls am Rande erwähnenswert: Die Einwilligungsverwaltungsverordnung (EinwV, § 26 TDDDG) ist bereits seit dem 1. April 2025 in Kraft. Sie ermöglicht sogenannte „Personal Information Management Services“ (PIMS) als Alternative zu den bekannten Einzel-Cookie-Bannern. Praktisch ist das bislang kaum relevant – es gibt kaum Anerkennungsanträge für solche Dienste. Ich erwähne es der Vollständigkeit halber, würde daraus aber aktuell keine Handlungsempfehlung ableiten.

Der EU Digital Omnibus – ein komplett anderes Vorhaben

Was mir in Kundengesprächen auffällt: Viele vermischen das deutsche Reformpaket mit einem ganz anderen, ebenfalls aktuellen Vorhaben – dem EU Digital Omnibus der EU-Kommission. Das ist wichtig auseinanderzuhalten, sonst entsteht noch mehr Verwirrung.

Der EU Digital Omnibus betrifft die DSGVO, die ePrivacy-Regeln und den AI Act EU-weit – nicht nur Deutschland. Zu den diskutierten Kernpunkten gehören:

• eine neue Unternehmenskategorie „Small Mid-Caps“ (bis 750 Mitarbeitende bzw. 150 Mio. € Umsatz) mit vereinfachten Dokumentationspflichten,
• eine Reduktion der Bußgeldrahmen für KMU beim AI Act,
• eine Verlängerung der Meldefrist für Datenpannen von 72 auf 96 Stunden,
• eine Harmonisierung der Datenschutz-Folgenabschätzungen (DPIA).

Das ist ein eigenständiges, EU-weites Verfahren mit eigenem, deutlich längerem Zeitplan – realistisch dürften hier eher 3 bis 5 Jahre bis zur endgültigen Verabschiedung vergehen. Mit dem deutschen Koalitionsausschuss-Beschluss vom 2. Juli hat das direkt nichts zu tun, auch wenn beide Vorhaben in dieselbe Richtung („weniger Bürokratie“) zielen.

Kritik an der Reform

Die Reformpläne sind nicht unumstritten.

Der Europäische Datenschutzausschuss (EDPB) und der Europäische Datenschutzbeauftragte (EDPS) haben sich 2025 grundsätzlich offen für gezielte, begrenzte Anpassungen gezeigt, mahnen aber an, dass das Schutzniveau dabei gewahrt bleiben muss.

Aus der Wirtschaft, insbesondere vom Bitkom, kommt dagegen überwiegend Zustimmung zur Entlastungsrichtung.

Realistischer Zeitplan

Ein realistischer Blick auf die Zeitschiene.

• § 38-BDSG-Aufhebung: Einbringung in den Bundestag bis Ende 2026 angestrebt. Tatsächliches Inkrafttreten – nach üblicher Dauer eines Gesetzgebungsverfahrens mit Ausschussberatungen und Bundesratsbeteiligung – realistisch eher 2027 bis 2028.
• Aufsichtsreform (BfDI-Bündelung): Zielmarke Ende 2027, real vermutlich später.
• EU-Digital-Omnibus (DSGVO-Teile): realistisch 3 bis 5 Jahre.

Für Sie als Unternehmerin oder Unternehmer bedeutet das: Es gibt aktuell keinen akuten Handlungsdruck durch die Reform selbst – aber sehr wohl guten Grund, die eigene Website-Compliance jetzt grundsätzlich zu prüfen, unabhängig davon, was in zwei Jahren gilt.

Praxis-Checkliste: Was Sie JETZT tun sollten

Unabhängig vom Stand der Reform gibt es vier Dinge, die ich bei fast jeder Datenschutzerklärung finde, die ich prüfe – und die Sie schon heute in Ordnung bringen können, ganz ohne auf ein neues Gesetz zu warten:

• Verantwortliche Stelle klar benennen. Nennen Sie den exakten Namen und die vollständigen Kontaktdaten der verantwortlichen Stelle direkt in der Datenschutzerklärung. Ein bloßer Verweis auf das Impressum reicht in der Praxis oft nicht aus.
• Rechtsgrundlagen aktualisieren. Prüfen Sie, ob noch veraltete Gesetzesnennungen in Ihrem Text stehen – allen voran „TTDSG“ statt „TDDDG“.
• Speicherdauern angeben. Für jede Verarbeitung sollte stehen, wie lange die Daten gespeichert werden bzw. nach welchen Kriterien sie gelöscht werden. Pauschale Formulierungen wie „so lange wie nötig“ ohne jede Konkretisierung sind ein häufiger Schwachpunkt.
• Drittanbieter-Dienste einzeln auflisten. Jedes eingebundene Plugin, jedes Analytics-Tool, jedes Newsletter-System und jedes Social-Media-Widget sollte einzeln mit Zweck und Rechtsgrundlage genannt werden – nicht pauschal als „verschiedene Dienstleister“.

Wenn Sie diese vier Punkte einmal durchgehen, haben Sie in der Praxis mehr für Ihre Rechtssicherheit getan als durch das Abwarten irgendeiner Reform.

Häufige Fragen (FAQ)

Muss ich meine Datenschutzerklärung wegen der Reform jetzt ändern?

Nein. Die Reform ändert nichts an den Informationspflichten nach Art. 13/14 DSGVO. Ein guter Anlass für eine Aktualisierung ist sie trotzdem, wenn Ihre Datenschutzerklärung ohnehin veraltet ist.

Was passiert mit meinem bereits bestellten Datenschutzbeauftragten, wenn § 38 BDSG wegfällt?

Nichts Automatisches. Der Wegfall von § 38 BDSG hebt eine bestehende Bestellung nicht von selbst auf – Sie müssten die Bestellung aktiv beenden, wenn Sie das wollen und keine Pflicht mehr nach Art. 37 DSGVO besteht. Vorher sollte im Einzelfall geprüft werden, ob nicht ohnehin Art. 37 DSGVO greift (siehe oben) und ob eine Abbestellung überhaupt sinnvoll ist.

Brauche ich als kleines Unternehmen bald keinen Datenschutzbeauftragten mehr?

Möglicherweise, aber nur wenn Ihre Kerntätigkeit keine umfangreiche systematische Überwachung und keine umfangreiche Verarbeitung besonderer Datenkategorien (z. B. Gesundheitsdaten) umfasst. Dann greift die Pflicht künftig nur noch über Art. 37 DSGVO – und der stellt nicht auf die Mitarbeiterzahl ab.

Meine Praxis/Kanzlei hat nur 5 Mitarbeitende – brauche ich trotzdem einen DSB?

Möglich, ja. Wenn Ihre Kerntätigkeit die Verarbeitung besonderer Datenkategorien (z. B. Gesundheitsdaten in einer Arztpraxis) umfasst, kann die DSB-Pflicht über Art. 37 DSGVO unabhängig von der Mitarbeiterzahl bestehen bleiben – auch nach Wegfall von § 38 BDSG.

Gilt die Regelung für Vereine und Kanzleien genauso wie für GmbHs?

Im Grundsatz ja: Art. 37 DSGVO unterscheidet nicht nach Rechtsform, sondern fragt nach der Art der Verarbeitung. Ein Verein, der z. B. Gesundheits- oder Mitgliedschaftsdaten sensibler Art umfangreich verarbeitet, oder eine Kanzlei mit entsprechend sensiblen Mandatsdaten kann genauso in die DSB-Pflicht nach Art. 37 DSGVO fallen wie eine GmbH. Die konkrete Einordnung hängt aber immer vom Einzelfall ab.

Was ist TDDDG und muss ich meine Datenschutzerklärung deswegen ändern?

TDDDG ist seit Mai 2024 der neue Name für das frühere TTDSG – eine reine Umbenennung, keine inhaltliche Änderung. Wenn in Ihrer Datenschutzerklärung noch „TTDSG“ steht, sollten Sie das bei nächster Gelegenheit aktualisieren.

Sollte ich meinen DSB vorsorglich behalten, auch wenn die Pflicht wegfallen könnte?

Das kann sinnvoll sein, ist aber eine unternehmerische Abwägung und keine reine Rechtsfrage. Ein DSB leistet in der Praxis oft mehr als reine Pflichterfüllung – etwa laufende Prüfung von Prozessen, Ansprechpartner bei Anfragen Betroffener, Vorbereitung auf Prüfungen der Aufsichtsbehörden. Ob sich das für Sie auch ohne gesetzliche Pflicht lohnt, sollten Sie im Beratungsgespräch klären, statt es pauschal zu entscheiden.

Was mache ich, wenn ich mir unsicher bin, ob meine Kerntätigkeit unter Art. 37 DSGVO fällt?

Diese Einschätzung ist in der Praxis oft nicht trivial – „umfangreiche“ Verarbeitung und „Kerntätigkeit“ sind unbestimmte Rechtsbegriffe, die im Einzelfall ausgelegt werden müssen. Pauschale Selbsteinschätzungen („wir sind doch klein“) reichen hier häufig nicht aus. Lassen Sie das im Zweifel konkret für Ihr Unternehmen prüfen, statt sich auf eine Vermutung zu verlassen.

Sollte ich jetzt trotzdem etwas an meiner Website-Compliance tun?

Ja – aber nicht wegen der Reform, sondern weil viele Datenschutzerklärungen unabhängig davon Lücken haben: fehlende Angaben zur verantwortlichen Stelle, veraltete Gesetzesnennungen, fehlende Speicherdauern, unvollständige Drittanbieter-Listen. Das lohnt sich immer, egal was der Gesetzgeber als Nächstes beschließt.