Vorfahrtsstraßen und Stoppschilder: Der neue BfDI will KI begleiten – und erwägt eine Bündelung der Wirtschaftsaufsicht

Stellen Sie sich vor, Sie leiten die Rechtsabteilung eines mittelständischen Unternehmens und wollen eine einfache Frage beantworten: Wer ist eigentlich meine Datenschutzaufsicht? Die ehrliche Antwort lautet bei Privatunternehmen oft: kommt drauf an. Genau dort setzt eine Debatte an, die der neue BfDI Moritz Hennemann in der Bundespressekonferenz angestoßen hat – eher beiläufig, zwischen KI, Souveränität und Informationsfreiheit.

Denn der Datenschutz auf Bundesebene ist selten das, was Unternehmen zuerst im Blick haben. Der Kontaktfinder der Behörde sagt es selbst nüchtern: Privatunternehmen werden meist von den Landesbehörden beaufsichtigt, es gibt jedoch einige Ausnahmen. Das ist der Status quo. Und an ihm rüttelt ein Satz aus Hennemanns Rede, den man leicht überliest.

Meine These: Der Auftritt ist weniger ein Warnschuss als eine Ansage zur Steuerung. Hennemann will KI nicht ausbremsen, sondern ordnen – mit Regeln, die sagen, wer wann Vorfahrt hat und wo Schluss ist. Ich finde das erst einmal beruhigend. Aber Beruhigung ist keine Planungsgrundlage.

Unsere Leitfrage lautet deshalb: Was ändern Vorfahrtsstraßen und Stoppschilder für KI – und was bedeutet eine bislang nur erwogene Bündelung der Wirtschaftsaufsicht für Unternehmen? Grundlage sind die Pressemitteilung des BfDI zur Vorstellung der Schwerpunkte und die Eröffnungsworte der Pressekonferenz. Der Kontrast zwischen großer Rede und gelebter Aufsichtspraxis wird uns dabei begleiten.

Seit dem 1. Oktober: Wer spricht hier?

Zunächst die Eckdaten. Moritz Hennemann ist seit dem 1. Oktober 2026 Bundesbeauftragter für den Datenschutz und die Informationsfreiheit. Er ist 41 Jahre alt und Rechtswissenschaftler. Der Bundestag wählte ihn im Juni, Bundespräsident Frank-Walter Steinmeier ernannte ihn am 29. September. Am 6. Oktober stellte er in der Bundespressekonferenz seine Schwerpunkte vor.

Seine Vorgängerin Louisa Specht-Riemenschneider zieht sich laut Pressemitteilung des BfDI zum Amtsantritt aus gesundheitlichen Gründen zurück. Hennemann dankte ihr in seiner Vorstellung und sagte, er übernehme ein gut aufgestelltes Haus. Das ist mehr als Höflichkeit: Es signalisiert Kontinuität, und die ist bei Aufsichtsbehörden nicht die schlechteste Nachricht.

Zur Person, knapp und laut BfDI-Mitteilung zum Amtsantritt: Hennemann studierte in Heidelberg, Krakau, Freiburg und Oxford. Er hatte einen Lehrstuhl in Passau für Europäisches und Internationales Informations- und Datenrecht, seit 2023 lehrt er in Freiburg Zivilrecht mit Informationsrecht, Medienrecht und Internetrecht. Dort leitet er das Institut für Medien- und Informationsrecht. Seit 2025 ist er im Nebenamt Richter am Oberlandesgericht Karlsruhe. Diese Ämter ruhen während seiner Amtszeit.

Was heißt das für Sie? Sie bekommen keinen Quereinsteiger, sondern einen Juristen, der Informationsrecht aus Lehre und Richterbank kennt. Ob daraus eine milde oder strenge Aufsicht wird, sagt ein Lebenslauf nicht. Das zeigt erst die Praxis. Die Rede zur Pressekonferenz gibt immerhin die Richtung vor – wobei, wie stets, das gesprochene Wort gilt.

Fünf Dimensionen und eine Verkehrsmetapher

Hennemann griff in der Pressemitteilung zu einem Bild: Datenschutzrecht sei „Teil der Straßenverkehrsordnung auf den großen Datenautobahnen unserer Zeit“. Es setze Leitplanken, schaffe Vertrauen und ermögliche Datennutzungen. Das ist seine Metapher, nicht unsere – und sie ist klug gewählt, weil sie das Verbotsklischee gleich mit einpackt. Dazu passt sein Leitsatz: „Nicht nur sagen, was nicht geht, sondern vor allem, was geht und wie es geht.“

In seiner Rede ordnete er die Arbeit in fünf Wirkungsdimensionen:

1. Digitale Souveränität in Deutschland und der EU stärken.
2. Technologiesprünge strategisch begleiten, insbesondere KI.
3. Den Rechtsrahmen modernisieren.
4. Bundesbehörden bei einer grundrechtssensiblen Staatsmodernisierung beraten.
5. Mit anderen Regulierern und Gerichten kooperieren.

Kurz zu Dimension 1: Hennemann nennt digitale Souveränität eine gesamtstaatliche Aufgabe und sieht Handlungsbedarf bei systemischen Abhängigkeiten und missbräuchlichen Praktiken, etwa durch autoritäre Staaten. Datenschutz allein reiche nicht aus, sagt er – aber ohne datenschutzrechtliche Leitplanken sei Souveränität in einem grundrechtsbasierten Rechtsstaat nicht zu erreichen. Für Unternehmen ist das vor allem ein Hinweis darauf, dass Anbieterwahl und Abhängigkeiten künftig auch eine Aufsichtsfrage sein können. Einen konkreten Prüfkatalog nannte er nicht.

Dimension 4 ist die leiseste, aber vielleicht praxisnaheste. Hennemann will Bundesbehörden frühzeitig und lösungsorientiert beraten. Sein Satz dazu: „Mit uns ist die Einhaltung des Datenschutzrechts einfacher.“ Das ist ein Versprechen. Ein Versprechen der Behörde an sich selbst, zugegeben – und Versprechen werden in der Aufsichtspraxis eingelöst oder eben nicht.

Dimension 2: KI und die Frage der Vorfahrt

Jetzt zu dem, was wir besonders genau anschauen. Wir bei digital-magazin.de halten die KI-Passage für den Kern der Ansage. Hennemann will Technologiesprünge strategisch begleiten, insbesondere KI „in ihren immer neuen Generationen“. Dazu gehört für ihn, „Vorfahrtsstraßen im Datenverkehr genauso festzulegen wie Stoppschilder“. Innovation soll möglich sein, Grundrechte sollen geschützt bleiben.

Mal ehrlich: Das klingt nach einer Selbstverständlichkeit. Ist es aber nicht. Wer Vorfahrt festlegt, entscheidet, welche Anwendungen schneller durchkommen. Wer Stoppschilder aufstellt, muss sagen, wo sie stehen. Die Rede liefert dafür keine Liste – und das ist keine Kritik, eine Eröffnungsrede ist kein Regelwerk. Es ist eine Einordnung dessen, was man erwarten darf: Aufsicht, die früh Orientierung geben will.

Hennemann verweist dabei auf eigene Strukturen. Nach seinen Angaben hat die Behörde bereits ein TechLab und ein ReguLab eingerichtet. Außerdem arbeite man daran, KI selbst verantwortungsvoll einzusetzen, etwa in der Aufsichtstätigkeit und im Beschwerdemanagement. Das ist seine Selbstaussage. Wir haben weder geprüft, was diese Einrichtungen leisten, noch, wie weit der eigene KI-Einsatz tatsächlich ist. Beides wäre eine Recherche für sich.

Meiner Einschätzung nach ist der Gedanke dennoch bemerkenswert: Eine Aufsicht, die KI selbst nutzt, versteht Ihre Praxisprobleme womöglich besser – und kann sie schlechter mit Theorie abtun. Glaubwürdig wird das, wenn die Behörde ihre Erfahrungen transparent macht. Ob und wie sie das tut, steht in der Rede nicht.

Eine Trennlinie gehört hierher, weil sie gern verwischt wird. Der BfDI ist Datenschutzaufsicht. Die Marktüberwachung nach dem AI Act ist eine andere Baustelle, und das AI Office der EU ist wieder eine andere Stelle. Aus Hennemanns Rede lässt sich keine nationale Zuständigkeitskarte für den AI Act ableiten – wir versuchen es deshalb auch nicht.

Erwogen – nicht beschlossen: die Wirtschaftsaufsicht

Nun zum Satz, der für Unternehmen wirtschaftlich am schwersten wiegt. In der dritten Dimension, der Modernisierung des Rechtsrahmens, sagte Hennemann: „Erwogen wird aktuell auch eine Bündelung der Datenschutzaufsicht über die Wirtschaft beim BfDI.“ Und weiter: „Ich persönlich halte eine Bündelung für zweckmäßig.“

Beachten Sie die Reihenfolge. Erst die Feststellung, dass etwas erwogen wird, dann seine persönliche Haltung. Wer die Bündelung erwägt, nennt die Rede nicht. Auch einen Zeitplan, ein Verfahren oder einen Gesetzentwurf gibt es dort nicht. Erwogen heißt erwogen – nicht geplant, nicht beschlossen.

Hennemann knüpft außerdem eine Bedingung an. Sein Haus stehe bereit und biete im Falle des Falles praxisnahe Beratung. Dann folgt der Vorbehalt: „Sollte sich der Gesetzgeber für eine Bündelung entscheiden, gehen wir auch davon aus, dass diese mit einer bedarfsgerechten Anpassung der Ressourcen einhergeht.“ Man darf das als höfliche Formulierung für eine klare Erwartung lesen. Mehr als eine Erwartung ist es nicht.

Und heute? Wie erwähnt: Privatunternehmen werden laut BfDI-Kontaktfinder meist von den Landesbehörden beaufsichtigt, mit einigen Ausnahmen. Wie viele Landesbehörden es gibt und wie unterschiedlich sie arbeiten, lassen wir hier bewusst offen. Für Ihre Planung genügt eine Frage: Wissen Sie, welche Stelle für Ihr Unternehmen gerade zuständig ist?

Ein einziger Ansprechpartner statt mehrerer Landeswege klingt für Konzerne mit Standorten in mehreren Ländern verlockend. Ob er auch hält, was er verspricht, hängt von Dingen ab, die niemand heute beantworten kann: Ausstattung, Verfahren, Auslegung. Wie Aufsichtspraxis in Europa überhaupt strukturiert wird, zeigt unser Beitrag zu den Schritten der europäischen Aufsichtskoordination – als Hintergrund für das Zusammenspiel, nicht als Prognose für Deutschland.

Ehrlich gesagt: Genau hier liegt der Knackpunkt. Eine Bündelung könnte Wege verkürzen. Sie könnte aber auch eine große Behörde mit neuen Aufgaben überfordern, wenn die Ressourcen nicht mitwachsen – Hennemann sieht diesen Punkt selbst. Wäre es nicht klug, schon jetzt zu klären, wie Ihre Datenschutzprozesse aussähen, wenn es nur noch eine Adresse gäbe?

Datenschutzaufsicht ist nicht AI-Act-Marktüberwachung

Zwei Paar Schuhe. Wer sie vermischt, plant die falsche Compliance-Landkarte.

Die Datenschutzaufsicht prüft, ob personenbezogene Daten rechtmäßig verarbeitet werden. Die Marktüberwachung nach dem AI Act schaut auf KI-Systeme als Produkte und auf die Pflichten, die daran hängen. Beide können dieselbe Anwendung betreffen. Sie fragen aber Verschiedenes, stützen sich auf andere Rechtsgrundlagen und stehen am Ende womöglich als unterschiedliche Gegenüber vor Ihrer Tür.

Ein Beispiel aus dem Unternehmensalltag: Eine Personalabteilung führt einen Chatbot ein, der Bewerbungen vorsortiert. Die Datenschutzfragen liegen auf dem Tisch: Rechtsgrundlage, Information der Bewerbenden, Datenschutzfolgenabschätzung. Daneben stellt sich eine zweite, eigene Frage: Welche Pflichten löst das System als KI-Anwendung aus? Beide Prüfungen haben ihre eigene Logik. Wer glaubt, eine abgehakte Datenschutzfolgenabschätzung erledige beides, steht später mit einer Lücke da.

Das ist die Praxisfalle: gleiche Anwendung, unterschiedliche Gegenüber. Im Projektplan taucht dann „Compliance“ als ein einziger Posten auf, hinter dem sich zwei Arbeitspakete mit zwei Zuständigkeiten verbergen. Ich habe den Eindruck, dass genau das in vielen Unternehmen passiert, weil beide Themen bei denselben Menschen landen – und weil das Wort „KI-Regulierung“ alles unter einem Dach suggeriert.

Dazu kommt eine dritte Ebene, die gern mit der zweiten verwechselt wird. Das AI Office der EU ist keine nationale Datenschutzbehörde, und der BfDI ist kein AI Office. Hennemann spricht in seiner Rede über Datenschutz und über die Begleitung von KI-Entwicklungen. Er sagt nichts darüber, wer in Deutschland die AI-Act-Marktüberwachung übernimmt. Aus der Rede eine Zuständigkeitskarte zu zeichnen, wäre Kaffeesatzleserei. Wie sich die Durchsetzung zwischen EU-Ebene und nationalen Behörden sortiert, haben wir in unserem Beitrag zum Enforcement Office und den nationalen Behörden beschrieben. Und wer wissen will, wie die Kommission die Anbieter von Allzweckmodellen in die Pflicht nehmen will, findet den Kontext im Beitrag zum finalen Verhaltenskodex.

Was heißt das für Sie? Führen Sie für jedes KI-Projekt zwei getrennte Spuren: eine für Datenschutz, eine für die Pflichten aus der KI-Regulierung. Die Spuren dürfen sich kreuzen, sollten aber nicht verschmelzen. Meiner Einschätzung nach ist das die einfachste Übung mit dem größten Nutzen – sie kostet einen Nachmittag Klärungsarbeit und erspart Ihnen später das Rätselraten, wer eigentlich was von Ihnen will.

Und die erwogene Bündelung? Sie beträfe, wenn überhaupt, die Datenschutzaufsicht über die Wirtschaft. Sie sagt nichts über die Marktüberwachung. Ein Ansprechpartner für die Datenschutzaufsicht wäre noch lange keiner für alles, was an einem KI-System hängt.

Omnibus am Rande, IFG im Blick

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptPhotorealistic photo of a yellow diamond-shaped priority road traffic sign with white border and no text on a pole at a quiet city crossroads, soft daylight, no other signs, no logos, no readable text, no watermarks, 16:9

Hennemanns dritte Dimension, die Modernisierung des Rechtsrahmens, enthält mehr als die Bündelungsfrage. Er zeigt Verständnis für Klarstellungen „nach zehn Jahren DSGVO“ und begrüßt „ausdrücklich“ den Digital Omnibus der EU – dessen Details wir an anderer Stelle behandeln, etwa im Beitrag zu den geplanten Änderungen an Artikel 25a und 88a. Hier genügt der Hinweis, dass der neue BfDI dem Vorhaben gewogen ist. Für die Aufsichtspraxis ist das ein Signal: Er will nachschärfen, nicht blockieren.

Ebenfalls begrüßt er ein nationales Datengesetzbuch. Mehr als diese Zustimmung steht dazu in unserer Quelle nicht. Wie ein solches Gesetzbuch aussähe, wann es käme oder was es regeln würde, bleibt offen. Wer daraus bereits Fristen ableitet, erfindet sie.

Interessant ist die Gegenrichtung. Hennemann verweist auf die verfassungsrechtlichen Zweifel seiner Vorgängerin an vorliegenden Sicherheitsgesetzen. Er greift sie auf, statt sie zu übergehen. Das passt zu einem Haus, das sich als Berater des Gesetzgebers versteht – und gelegentlich auch als dessen Mahner. Für Unternehmen ist das ein Randthema, für Bürgerinnen und Bürger ein zentrales.

Informationsfreiheit: ein Wort zur zweiten Hälfte des Amtstitels

Man vergisst es leicht: Der BfDI ist zugleich Datenschutz- und Informationsfreiheitsbeauftragter. Hennemann erinnerte daran. Laut Pressemitteilung sieht er bei der Reform des Informationsfreiheitsrechts „erheblichen Diskussionsbedarf“ und warnt vor pauschalen Einschränkungen. In der Rede wird er deutlicher: Die aktuellen Vorschläge liefen „zum Teil auf eine Aushöhlung des Informationsfreiheitsrechts hinaus“.

Hier lohnt der Kontrast zwischen Pressemitteilung und Rede. Die Mitteilung ist diplomatisch, die Rede klarer. Das ist üblich und kein Widerspruch – eine Pressemitteilung muss sich an alle richten, eine Rede darf Haltung zeigen. Ich finde, man sollte beide lesen, bevor man sich ein Urteil bildet.

Hennemann sagt zudem, er würde eher ein Open-Data- oder Transparenzgesetz begrüßen. Das ist ein Gegenvorschlag, kein bloßes Nein. Es passt zu seinem Leitsatz: erst zeigen, was geht. Wie es konkret weitergeht, wissen wir nicht, und wir tun auch nicht so.

Was bedeutet das für Unternehmen? Zunächst wenig Unmittelbares. Informationsfreiheit richtet sich in erster Linie an Behörden. Mittelbar berührt sie jedoch alle, die mit der öffentlichen Hand zusammenarbeiten, Aufträge erhalten oder Daten aus Verwaltungsvorgängen nutzen. Wer dort Geschäftsgeheimnisse zu schützen hat, sollte die Reformdebatte im Blick behalten. Aufregung ist dafür nicht nötig, Aufmerksamkeit schon.

Behördenpuzzle: BSI, BNetzA, Kartellamt – und AISI

Dimension 5 ist die, über die am wenigsten gesprochen wird, und vermutlich die, die Unternehmen im Alltag am stärksten spüren werden. Hennemann will mit der Bundesnetzagentur, dem Bundeskartellamt, dem BSI und den Zivilgerichten kooperieren. Datenschutz beschreibt er als „regulatorisches Puzzleteil“. Die Instrumente sollen „zielgerichtet und austariert ineinandergreifen“.

Das ist ein hübsches Bild, und es verspricht etwas: weniger Doppelarbeit, mehr Abstimmung. Hand aufs Herz – Unternehmen kennen das Gegenteil. Ein Vorfall, der zugleich Datenschutz, IT-Sicherheit und Wettbewerb berührt, kann mehrere Stellen beschäftigen, die nicht automatisch dieselbe Sprache sprechen. Ob die angekündigte Kooperation daran etwas ändert, zeigt sich erst in der Praxis. Die Rede nennt weder Verfahren noch Vereinbarungen.

Eine weitere Stelle taucht in diesem Puzzle auf, ohne dass Hennemann sie erwähnt: AISI Deutschland. Nach Angaben des Bundesministeriums für Digitales und Staatsmodernisierung richten BMDS und BMI das Institut in Berlin ein. Der Nationale Sicherheitsrat hat dies im Juni 2026 beschlossen. Details stehen in der Pressemitteilung des BMDS.

In Phase 1 bilden laut BMDS das BSI (Cyber-Security) und die BNetzA (Safety) einen „virtuellen“ Nukleus. Der Schwerpunkt liegt auf der Analyse und Bewertung führender KI-Modelle, also auf deren Fähigkeiten und Cybersicherheitsrisiken. Phase 2 sieht einen thematischen und kapazitären Ausbau sowie Wissenstransfer vor. Auch der Austausch mit dem EU AI Office wird erwähnt.

Wichtig ist die Abgrenzung. AISI ist laut dieser Quelle weder ein Ersatz für die Datenschutzaufsicht noch eine AI-Act-Marktüberwachungsbehörde. Der Austausch mit dem AI Office macht es nicht zu einer. Wir haben also drei Dinge, die sich ähnlich anhören und doch Verschiedenes tun: Datenschutzaufsicht, Marktüberwachung nach dem AI Act und ein Institut, das Frontier-Modelle bewertet. Wer sie in einen Topf wirft, bekommt Eintopf – aber keine Landkarte.

Was können Sie daraus konkret ableiten? Erstens: Halten Sie fest, mit welchen Stellen Ihr Unternehmen heute Berührungspunkte hat. Zweitens: Dokumentieren Sie die Schnittstellen. Wer meldet was an wen, wer im Haus ist Ansprechperson für welche Behörde, wo liegen Zuständigkeiten für Datenschutz, IT-Sicherheit und Wettbewerbsfragen? Das klingt nach Verwaltungsarbeit und ist es auch. Aber im Ernstfall – ein Begriff, den ich hier ausdrücklich unspektakulär meine – spart eine saubere Zuständigkeitsliste Stunden.

Drittens: Rechnen Sie nicht mit einer Abkürzung. Dass Behörden kooperieren wollen, heißt nicht, dass Sie nur noch einmal berichten müssen. Das ist meine Einordnung, nicht die der Quelle. Die Rede verspricht Ineinandergreifen, nicht Entlastung.

Was heißt das für Ihre KI-Projekte?

Kommen wir zur Praxis, mit Blick auf Unternehmen in Deutschland, Österreich und der Schweiz. Die Rede des BfDI betrifft zunächst Deutschland. Wer im DACH-Raum arbeitet, kennt aber die Lage: Projekte machen selten an Landesgrenzen halt, Zuständigkeiten dagegen schon. Mit Blick auf Österreich und die Schweiz gilt: Hennemanns Aussagen betreffen die deutsche Aufsicht, nicht die dortigen Behörden. Für länderübergreifende Konstellationen braucht es eine eigene Prüfung. Das ist keine Rechtsberatung, sondern eine Denkhilfe.

Wir bei digital-magazin.de glauben, dass Fragen oft mehr helfen als Checklisten, die vorgeben, alles zu wissen. Deshalb hier sechs Fragen, die Sie in Ihrem nächsten Projektmeeting stellen können:

• Kennen Sie Ihre heutige zuständige Datenschutzaufsicht – und ist sie im Unternehmen dokumentiert?
• Trennen Ihre KI-Projekte die Datenschutzfolgenabschätzung von den Pflichten aus dem AI Act, oder laufen beide unter einem Etikett?
• Welche Schnittstellen haben Sie zu BSI, BNetzA und Kartellamt, und wer ist dort Ansprechperson?
• Wie abhängig sind Sie von einzelnen KI-Anbietern, und wüssten Sie, wie ein Wechsel aussähe?
• Könnten Ihre Datenschutzprozesse mit nur einer zuständigen Bundesbehörde arbeiten, falls eine Bündelung käme?
• Wer im Haus beobachtet die Reformdebatten – Omnibus, Datengesetzbuch, Informationsfreiheit – und gibt Erkenntnisse weiter?

Keine dieser Fragen verlangt eine Prognose. Sie verlangen Klarheit über den eigenen Stand. Und mal ehrlich: Wer die Fragen beantworten kann, ist für fast jedes Szenario besser aufgestellt als jemand, der auf den perfekten Gesetzestext wartet.

Und jetzt?

Was nehmen wir mit? Ein neuer Bundesdatenschützer, der mit einer Verkehrsmetapher für KI antritt, den Omnibus begrüßt und vor einer Aushöhlung der Informationsfreiheit warnt – das klingt nach Steuerung, nicht nach Schock. Das ist unsere Einordnung. Seine eigenen Worte sind die Quelle, unsere Lesart ist es nicht.

Der wirtschaftlich wichtigste Satz bleibt der leiseste: Eine Bündelung der Datenschutzaufsicht über die Wirtschaft beim BfDI wird erwogen. Nicht beschlossen, nicht geplant, nicht terminiert. Hennemann hält sie persönlich für zweckmäßig und knüpft eine Ressourcenerwartung daran. Wer sie erwägt, sagt die Rede nicht.

Ich finde Hennemanns Ansatz sympathisch: erst erklären, dann regeln, möglichst mit Lösungen statt nur mit Verboten. Ob das in der Aufsichtspraxis trägt, wird sich an Beratungsterminen, Beschwerdeverfahren und der Geduld bei komplizierten Fällen zeigen – nicht an Pressekonferenzen. Eine Behörde wird glaubwürdig, wenn Aussage und Praxis zusammenpassen. Dafür ist es noch zu früh.

Bleibt eine offene Frage, die Sie sich selbst beantworten müssen: Wenn morgen nur noch eine Behörde für Ihre Datenschutzaufsicht zuständig wäre – wüssten Sie, was Sie ihr als Erstes zeigen würden? Wir bei digital-magazin.de bleiben dran und ordnen ein, sobald aus „erwogen“ mehr wird. Bis dahin: Lesen Sie die Rede im Original, trennen Sie Ihre Spuren sauber und halten Sie Ihre Zuständigkeitsliste aktuell.