Security als Führungsaufgabe 5 Gründe, warum Datenschutz auf den Chefschreibtisch gehört

Anbieter zum Thema

EQS Group

bb-net media GmbH

WatchGuard Technologies GmbH

mibeca GmbH – Mike Bergmann Akademie

Fast die Hälfte der deutschen Führungskräfte sieht Datenschutz als Standortvorteil, trotzdem gibt es noch massiven Handlungsbedarf. Das Problem? Datenschutz dümpelt in Firmen als IT-Thema oder Juristenkram vor sich hin, statt auf dem Chefschreibtisch zu landen.

Das Stimmungsbild 2026 der Stiftung Datenschutz zeigt: Fast die Hälfte der Unternehmensführer in Deutschland sieht Datenschutz als strategischen Standortfaktor – und trotzdem stuft ein gutes Drittel den eigenen Handlungsbedarf als hoch ein. Der Grund für diesen Widerspruch liegt nicht in fehlendem Wissen. Er liegt darin, dass Datenschutz in zu vielen Unternehmen noch immer falsch verortet ist, nämlich als IT-Aufgabe oder juristische Pflichtübung, nicht jedoch als Führungsaufgabe.

Doch Datenschutz, der auf Fachabteilungsebene verbleibt, ist meist strukturell unterfinanziert, isoliert und ohne Durchsetzungskraft. Datenschutz entfaltet seinen Wert jedoch erst dann, wenn er Teil der Unternehmenssteuerung wird. Warum das so ist, macht Thomas Vini Pires, Privacy & AI Solution Expert bei der EQS Group, an fünf Punkten klar, die alle bei derselben Stelle ansetzen: der Führungsebene.

1. Ihr Datenschutzbeauftragter haftet nicht – Sie schon!

Bestellt ein Unternehmen einen Datenschutzbeauftragten, überträgt sich auch die Verantwortung. Diese Annahme ist ein verbreitetes Missverständnis, denn rechtlich stimmt das keineswegs. Artikel 38 der DSGVO schreibt den direkten Berichtsweg zur höchsten Managementebene vor – er überträgt aber keine Haftung. Der Datenschutzbeauftragte (DPO) berät, sensibilisiert, prüft und dokumentiert, haftet jedoch nicht. Wer haftet, ist die Unternehmensleitung.

Europäischer Datenschutztag

Warum man Datenschutz neu denken sollte

2. Das Wissensproblem ist ein Governance-Problem

Aus der Umfrage der Stiftung Datenschutz geht hervor, dass das fehlende Wissen der Mitarbeitenden als größte Herausforderung beim Thema Datenschutz gilt. Das beschreibt jedoch nicht die Ursache des Problems, sondern eine Folge vorheriger Versäumnisse, denn Schulungen allein schaffen kein Datenschutz-Wissen. Entscheidend sind klare Verantwortlichkeiten, definierte Prozesse und eine Geschäftsführung, die vorangeht statt delegiert. Wo Datenschutz in Fachabteilungen abgeschoben wird, fehlt oftmals die Struktur, die Wissen in die Praxis bringt. Die Folge: isolierte Lösungen, provisorische Workarounds und eine Compliance-Fassade ohne operative Wirkung. Wissenslücken schließen sich nicht durch mehr Trainings, sondern durch Governance-Strukturen, die nur die Führungsebene etablieren und tragen kann.

3. Regulatorische Konvergenz erfordert zentrale Steuerung

DSGVO (Datenschutz), NIS2 (Cybersecurity) und AI Act (KI-Systeme) betreffen dieselben Daten, dieselben Systeme, dieselben Prozesse. Trotzdem werden sie in vielen Unternehmen von unterschiedlichen Abteilungen in getrennten Projekten bearbeitet – mit eigenen Teams, eigenen Prozessen, eigenen Risikobewertungen und eigener Dokumentation. Das ist nicht nur ineffizient, es ist gefährlich. Ein einziger Sicherheitsvorfall mit einem KI-System, das personenbezogene Daten verarbeitet, kann parallele Meldepflichten unter allen drei Regelwerken auslösen: 72 Stunden für die DSGVO, 24 Stunden Frühwarnung ans BSI nach NIS2, dazu Incident-Meldungen nach dem AI Act. Wer das nicht integriert steuert, verliert im Ernstfall wertvolle Stunden.

Kein CISO, kein DPO und kein General Counsel hat allein die Budget-Autorität, um alle drei Regelwerke zu steuern. Das kann nur die Geschäftsleitung. Wer hier spart, spart am Ende womöglich an falscher Stelle: Die Summe aller drohenden Bußgelder liegt theoretisch bei bis zu 13 Prozent des globalen Jahresumsatzes.

4. Datenschutz ist ein messbarer Wettbewerbsfaktor

„Datenschutz ist ein Standortvorteil“, so nennen gut die Hälfte der von der Stiftung Datenschutz befragten Unternehmensführer den selbigen explizit als Grund für die Wahl EU-basierter Softwareanbieter. Fast die Hälfte der Entscheider bewertet europäischen Datenschutz als wichtigen Standortfaktor.

Das deckt sich mit der externen Datenlage. Die Cisco Data Privacy Benchmark Study 2025 belegt einen Return on Investment von 1,6 für Datenschutzinvestitionen, und 99 Prozent der dort befragten Unternehmen prüfen Datenschutz-Dokumentation und Sicherheits-Zertifizierungen bei der Lieferantenauswahl. Wer Datenschutz nicht nachweisen kann, scheidet aus Bieterverfahren aus, bevor das erste Gespräch stattfindet.

Der Widerspruch, den das Stimmungsbild aufzeigt – strategische Relevanz anerkannt, operativer Handlungsbedarf trotzdem hoch – löst sich nur auf einer Ebene: der Führungsebene.

Trends 2026

Warum Cybersecurity 2026 zur Chefsache werden muss

5. Der DPO benötigt Rückendeckung von oben

Artikel 38 der DSGVO verlangt den direkten Berichtsweg zur höchsten Managementebene. In der Praxis wird das selten gelebt. Die EDPB-Coordinated Enforcement Action 2024 hat bei mehr als 17.000 Befragten europaweit sieben systemische Probleme identifiziert, darunter: Unzureichende Ressourcen und mangelnder Zugang zur Geschäftsleitung.

Gleichzeitig expandiert das Aufgabenfeld des DPO erheblich. Laut IAPP-Governance-Report übernehmen 80 Prozent der Datenschutzbeauftragten Aufgaben jenseits des klassischen Datenschutzes, 68 Prozent sind bereits in KI-Governance involviert (zum Teil sogar federführend). Ab August 2026 gilt zudem die KI-Kompetenzpflicht nach dem AI Act – auch für die Geschäftsführung, den CISO und den DPO. Die Folge: Ein DPO ohne organisatorische Anbindung und Budget-Autorität kann weder beraten noch gestalten. Er kann nur verwalten. Ob er mehr als das leisten kann, entscheidet schlussendlich wieder mal die Geschäftsleitung.

Verantwortlich für die Resilienz

To-Do-Liste für Systemhäuser im Zeitalter von NIS2 und DORA

(ID:50830136)