DSGVO-Bilanz nach zehn Jahren: Etabliert, aber belastend

Die DSGVO ist aus dem Unternehmensalltag nicht mehr wegzudenken. Zehn Jahre nach ihrem Inkrafttreten zeigt eine Bitkom-Auswertung, dass viele Unternehmen Datenschutz organisatorisch deutlich stärker verankert haben als in den Anfangsjahren. Zugleich wächst die Kritik an Aufwand, Rechtsunsicherheit und praktischen Hürden. Für Datenschutzverantwortliche ist die Studie deshalb mehr als eine Branchenstimme: Sie zeigt, wo Compliance im Alltag funktioniert und wo sie weiter Reibung erzeugt.

Was die Bitkom-Zahlen zeigen

Bitkom stützt seine Zwischenbilanz auf eine repräsentative Langzeitbefragung von Unternehmen in Deutschland mit mindestens 20 Beschäftigten. Die jüngste Auswertung umfasst 603 Unternehmen aus allen Branchen. Der Verband betrachtet die Entwicklung seit 2016 und fragt, wie die Wirtschaft die Datenschutzpraxis erlebt. Die DSGVO trat am 24. Mai 2016 in Kraft und gilt seit dem 25. Mai 2018 unmittelbar.

Die Zahlen zeigen zunächst einen deutlichen Umsetzungsschub. Anfang 2018 sahen sich erst sieben Prozent der befragten Unternehmen bei den Vorgaben vollständig oder größtenteils auf Kurs. 2024 lag der Anteil bei 71 Prozent. Gleichzeitig bewertet die Wirtschaft den Datenschutz zunehmend als organisatorische Belastung. 2016 gaben 25 Prozent an, die DSGVO mache Geschäftsprozesse komplizierter; 2025 waren es 81 Prozent. Auch die Einschätzung, Deutschland übertreibe es mit dem Datenschutz, hat deutlich zugenommen: 2025 sagten dies 72 Prozent der Unternehmen, 2020 waren es 40 Prozent.

KI verschärft den Zielkonflikt

Bitkom-Präsident Ralf Wintergerst hält zwar daran fest, dass Datenschutz eine „zentrale Säule der digitalen Welt" ist. Seine Bilanz zur DSGVO fällt dennoch kritisch aus. Erwartungen an einheitlichere Wettbewerbsbedingungen, mehr Rechtssicherheit und weniger Bürokratie nach der Umstellungsphase hätten sich aus Sicht des Verbandes nicht erfüllt. Mit der Neuausrichtung des Datenschutzes auf das KI-Zeitalter kommt nun eine weitere Bewährungsprobe hinzu.

Gerade bei KI zeigen die Ergebnisse eine Spannung zwischen Anspruch und Praxis. 59 Prozent der Unternehmen sehen den europäischen Datenschutz grundsätzlich als Vorteil für die KI-Entwicklung in Deutschland und Europa. Gleichzeitig sagen 69 Prozent, dass Datenschutzvorgaben das Training von KI-Modellen mit genügend Daten erschweren. 59 Prozent berichten, dass der Aufbau entsprechender Datenpools wegen Datenschutzvorgaben gescheitert ist oder gar nicht erst begonnen wurde. 63 Prozent befürchten, dass Unternehmen mit KI-Entwicklung deshalb aus der EU abwandern könnten. Das wirtschaftliche Risiko liegt aus Sicht von Bitkom darin, dass KI-Modelle außerhalb Europas entstehen, aber im europäischen Markt trotzdem genutzt werden.

Rechtsunsicherheit bleibt ein Dauerproblem

Auch jenseits der KI-Frage macht die Bilanz deutlich, dass Datenschutz in Unternehmen nicht als abgeschlossenes Einführungsprojekt verstanden werden kann. 86 Prozent der Unternehmen sagten 2025, die Umsetzung der DSGVO lasse sich nie vollständig abschließen, weil technische und rechtliche Entwicklungen laufend neue Anpassungen verlangen. 82 Prozent nannten die Unsicherheit über die genauen Datenschutzvorgaben als eine der größten Herausforderungen; 2017 lag dieser Wert noch bei 35 Prozent.

Die Aufsichtsbehörden spielen dabei eine wichtige, aber aus Sicht vieler Unternehmen nicht vollständig überzeugende Rolle. 2024 haben 86 Prozent der Unternehmen Hilfestellungen der Datenschutz-Aufsichtsbehörden genutzt oder angefragt. Zufrieden mit diesen Hilfestellungen waren zuletzt jedoch nur 36 Prozent. Hinzu kommt der Fachkräftemangel: 38 Prozent der Unternehmen beklagten 2025 fehlendes qualifiziertes Personal für Datenschutzaufgaben, nachdem es 2022 noch 24 Prozent waren.

Drittlandtransfers bleiben politisch ungelöst

Ein weiterer Schwerpunkt der Bitkom-Bilanz sind internationale Datentransfers. 2025 übermittelten 61 Prozent der Unternehmen personenbezogene Daten in die USA. Die Vereinigten Staaten bleiben damit außerhalb der EU das wichtigste Drittland für solche Übermittlungen. 71 Prozent der Unternehmen wünschen sich von der Politik tragfähige Lösungen für internationale Datentransfers; 2021 lag dieser Wert noch bei 32 Prozent.

Was Datenschutzverantwortliche daraus ableiten sollten

Die Bitkom-Zahlen sind keine neutrale Rechtsauslegung, aber ein wichtiger Stimmungsindikator aus der Unternehmenspraxis. Sie zeigen: Die DSGVO ist organisatorisch angekommen, doch Aufwand, Rechtsunsicherheit, KI-Nutzung und internationale Datenflüsse bleiben zentrale Baustellen. Für Datenschutzbeauftragte und Datenschutzverantwortliche bedeutet das, Datenschutz nicht nur als Kontrollsystem zu denken. Er muss zugleich so in Prozesse eingebunden werden, dass Unternehmen rechtssicher handeln und digitale Projekte umsetzen können.