Datenschutz als Innovationsbremse: Wenn DSGVO und DSG gute Softwareprojekte verhindern

Datenschutz als Innovationsbremse: Wenn DSGVO und DSG gute Softwareprojekte verhindern

Datenschutz ist wichtig. Niemand möchte, dass persönliche Informationen unkontrolliert gesammelt, weitergegeben oder missbraucht werden.

Doch inzwischen stellt sich eine andere Frage: Verhindern wir mit unseren Datenschutzvorschriften zunehmend genau die Innovationen, die Unternehmen, Verwaltung und Gesellschaft dringend benötigen?

Diese Frage betrifft längst nicht mehr nur grosse Technologieunternehmen. Gerade kleine und mittlere Unternehmen, Schulen, Arztpraxen und öffentliche Einrichtungen stehen vor der Herausforderung, ihre Prozesse zu digitalisieren und bestehende Software zu modernisieren.

Und immer häufiger wird aus einer technisch lösbaren Aufgabe ein rechtliches und organisatorisches Problem.

Dabei ist es nicht unbedingt das Gesetz selbst, das ein Projekt verhindert. Oft sind es die Unsicherheit über seine Anwendung, die Kosten der notwendigen Prüfungen und die Angst vor möglichen Konsequenzen.

70 Prozent der Unternehmen haben Innovationsvorhaben gestoppt

Eine Untersuchung des deutschen Digitalverbands Bitkom aus Mai 2025 zeigt das Ausmass des Problems.

70 Prozent der befragten Unternehmen haben bereits mindestens einmal Innovationsvorhaben aufgrund von Datenschutzvorgaben oder Unsicherheiten bei deren Anwendung gestoppt.

Ein Jahr zuvor waren es noch 61 Prozent.

Die Untersuchung basiert auf einer repräsentativen Befragung von 605 Unternehmen mit mindestens 20 Beschäftigten in Deutschland.

Quelle: Bitkom – Datenschutz wird immer öfter zur Innovationsbremse

Diese Zahlen sollten uns nachdenklich machen.

Natürlich bedeutet dies nicht, dass sämtliche gestoppten Projekte rechtlich zulässig oder wirtschaftlich sinnvoll gewesen wären.

Aber sie zeigen, dass Datenschutz für viele Unternehmen nicht nur eine rechtliche Rahmenbedingung darstellt, sondern zu einem entscheidenden Hindernis bei der Umsetzung neuer Ideen geworden ist.

Wenn Unternehmen eine technisch sinnvolle Lösung nicht mehr entwickeln, weil die rechtliche Beurteilung zu teuer, kompliziert oder unsicher erscheint, haben wir ein strukturelles Problem.

Ein einfaches Softwareprojekt kann plötzlich kompliziert werden

Nehmen wir ein typisches Beispiel aus einem mittelständischen Unternehmen.

Ein Betrieb verwaltet seine Aufträge, Arbeitszeiten und Produktionsdaten seit Jahren in Excel-Tabellen.

Die Abläufe funktionieren irgendwie. Allerdings werden Informationen mehrfach erfasst, Daten manuell übertragen und Auswertungen mit erheblichem Aufwand erstellt.

Die technische Lösung wäre vergleichsweise einfach.

Eine zentrale Datenbank, eine Webanwendung und klar definierte Benutzerrechte könnten viele dieser Probleme beseitigen.

Doch sobald personenbezogene Daten verarbeitet werden, entstehen zusätzliche Fragen:

• Welche personenbezogenen Daten dürfen gespeichert werden?
• Wer darf auf welche Informationen zugreifen?
• Wie lange dürfen diese Daten aufbewahrt werden?
• Welche Informationen müssen dokumentiert werden?
• Was passiert, wenn externe Cloud-Dienste verwendet werden?
• Welche vertraglichen Vereinbarungen sind erforderlich?
• Ist eine Datenschutz-Folgenabschätzung notwendig?

Diese Fragen sind grundsätzlich berechtigt.

Problematisch wird es jedoch, wenn die Beantwortung der Fragen einen unverhältnismässigen Teil des Projektbudgets beansprucht.

Bei einem grossen Unternehmen lassen sich juristische Abteilungen und spezialisierte Datenschutzberater einbinden.

Bei einem kleinen Betrieb, der lediglich eine ineffiziente Excel-Verwaltung ablösen möchte, kann derselbe Prüfaufwand darüber entscheiden, ob die Digitalisierung überhaupt stattfindet.

Das Ergebnis ist häufig paradox.

Die alte, möglicherweise schlechter abgesicherte Lösung bleibt bestehen, während die modernere und besser kontrollierbare Anwendung gar nicht erst eingeführt wird.

Datenschutz kann in solchen Fällen unbeabsichtigt dazu beitragen, technisch überholte Prozesse zu konservieren.

Die Schweiz hat ein eigenes Datenschutzgesetz

Die europäische Datenschutz-Grundverordnung, kurz DSGVO, wird in der Schweiz nicht einfach unverändert angewendet.

Seit dem 1. September 2023 gilt hier das vollständig revidierte Schweizer Datenschutzgesetz, kurz DSG.

Es verfolgt ähnliche grundlegende Ziele wie die DSGVO, insbesondere den Schutz personenbezogener Daten, Transparenz und Datensicherheit.

Allerdings gibt es rechtliche Unterschiede.

So kennt das Schweizer DSG beispielsweise nicht dieselbe generelle Systematik der Rechtsgrundlagen für private Datenbearbeitungen wie die europäische DSGVO. Auch die Regelungen zu Sanktionen und bestimmten Dokumentationspflichten unterscheiden sich.

Die DSGVO kann dennoch auf Schweizer Unternehmen Anwendung finden, etwa wenn sie gezielt Waren oder Dienstleistungen an Personen in der EU anbieten oder deren Verhalten im Anwendungsbereich der Verordnung beobachten.

Damit können insbesondere international tätige Schweizer KMU gleichzeitig mit zwei unterschiedlichen Datenschutzregimen konfrontiert sein.

Quelle: Bundesamt für Justiz – Neues Datenschutzrecht

Aus Sicht eines Softwareentwicklers stellt sich deshalb die Frage, ob die Regulierung ausreichend zwischen grossen Datenplattformen und kleinen betrieblichen Anwendungen unterscheidet.

Ein internationaler Konzern, der Millionen Nutzerprofile verarbeitet, stellt schliesslich ein anderes Risiko dar als ein Handwerksbetrieb, der seine Aufträge digital verwalten möchte.

Die rechtlichen Anforderungen sollten sich nicht nur an der Datenverarbeitung, sondern konsequent auch am tatsächlichen Risiko orientieren.

Mit künstlicher Intelligenz verschärft sich das Problem

Die nächste Herausforderung ist bereits da.

Künstliche Intelligenz kann heute wesentlich mehr als Texte formulieren oder einfache Fragen beantworten.

Moderne KI-Agenten können Softwareprojekte analysieren, Daten auswerten, Dokumente verarbeiten, Schnittstellen entwickeln und komplexe Arbeitsabläufe automatisieren.

Gerade für kleinere Unternehmen eröffnen sich dadurch neue Möglichkeiten.

Aufgaben, für die früher umfangreiche Entwicklerteams und hohe Investitionen erforderlich waren, lassen sich heute teilweise mit deutlich geringerem Aufwand realisieren.

Doch damit entstehen neue Datenschutzfragen.

Ein KI-Agent, der auf interne Dokumente zugreift, kann unter Umständen auch personenbezogene oder vertrauliche Informationen verarbeiten.

Ein Programmieragent, der ein vollständiges Repository analysiert, könnte dabei auf Kundendaten, Zugangsinformationen oder andere sensible Inhalte zugreifen.

Bei einem Cloud-Dienst muss zusätzlich geklärt werden, welche Daten an welchen Anbieter übermittelt werden und welche vertraglichen, organisatorischen und technischen Schutzmassnahmen bestehen.

Der von Everlast AI veröffentlichte KI & DSGVO Report 2026, der unter Mitwirkung eines Fachanwalts für IT-Recht entstanden ist, beschreibt diese Problematik ausführlich.

Der Report zeigt insbesondere, dass nicht nur der Einsatz von KI selbst, sondern auch unklare Unternehmensregeln, private Benutzerkonten und fehlende Vereinbarungen mit Dienstleistern Risiken erzeugen.

Interessant ist dabei ein Widerspruch.

Wenn Unternehmen KI-Anwendungen aus Angst vor Datenschutzproblemen grundsätzlich verbieten, kann dies dazu führen, dass Mitarbeitende auf private, nicht kontrollierte KI-Zugänge ausweichen.

Man spricht dabei von Shadow AI oder Schatten-KI.

Das eigentliche Risiko verschwindet also nicht unbedingt. Es wird lediglich unsichtbar.

Ein weiteres Problem: Die Regulierung entwickelt sich langsamer als die Technologie

Softwareentwicklung verändert sich durch KI derzeit in einem Tempo, mit dem viele Unternehmen kaum Schritt halten können.

Neue Modelle, Agentensysteme und Entwicklungswerkzeuge erscheinen in kurzen Abständen.

Gesetzgebung, Rechtsprechung und behördliche Auslegung benötigen hingegen Jahre.

Mit dem europäischen AI Act kommt neben der DSGVO eine weitere Regulierungsebene hinzu.

Der AI Act unterscheidet verschiedene Risikokategorien und sieht je nach Rolle und Einsatzgebiet unterschiedliche Pflichten vor.

Die Regelungen werden stufenweise anwendbar. Einige Pflichten gelten bereits, während andere erst in den kommenden Jahren wirksam werden.

Quelle: Europäische Kommission – Zeitplan zur Umsetzung des AI Act

Für Unternehmen bedeutet das, dass sie nicht nur die technische Entwicklung beobachten müssen, sondern auch eine sich weiterentwickelnde Rechtslage.

Besonders kleinere Softwareunternehmen und Selbstständige verfügen jedoch selten über eigene Rechtsabteilungen.

Dabei wäre gerade ihre Innovationskraft wichtig, um bestehende Prozesse in kleinen und mittelständischen Unternehmen zu verbessern.

Wenn die rechtlichen Prüfkosten den wirtschaftlichen Nutzen eines Projekts übersteigen, wird die Entwicklung häufig eingestellt, bevor überhaupt ein Prototyp entsteht.

Ein Problem, das technisch innerhalb weniger Wochen gelöst werden könnte, bleibt dann möglicherweise jahrelang bestehen.

Datenschutz darf kein pauschales Argument gegen Digitalisierung sein

In der Praxis begegnet man immer wieder einer problematischen Haltung.

Sobald personenbezogene Daten ins Spiel kommen, wird ein Projekt vorsorglich als schwierig oder unmöglich eingestuft.

Dabei ist die Verarbeitung personenbezogener Daten weder nach der DSGVO noch nach dem Schweizer DSG grundsätzlich verboten.

Entscheidend sind die jeweils geltenden Voraussetzungen und Schutzmassnahmen.

Eine Anwendung, die personenbezogene Daten verarbeitet, kann durchaus datenschutzkonform entwickelt und betrieben werden.

Dafür stehen verschiedene technische Möglichkeiten zur Verfügung:

• Datenminimierung und Pseudonymisierung
• Verschlüsselung bei Speicherung und Übertragung
• Rollenbasierte Benutzerrechte
• Protokollierung sicherheitsrelevanter Zugriffe
• Definierte Aufbewahrungs- und Löschfristen
• Verarbeitung auf eigener Infrastruktur
• Geeignete vertragliche Regelungen mit externen Dienstleistern

Solche Massnahmen lassen sich häufig bereits bei der Architektur einer Software berücksichtigen.

Genau das ist die Idee von Privacy by Design.

Datenschutz wird nicht nachträglich als zusätzliche Kontrollinstanz betrachtet, sondern von Anfang an als Bestandteil der Systemarchitektur berücksichtigt.

Die deutschen Datenschutzaufsichtsbehörden haben hierzu Orientierungshilfen veröffentlicht, die zeigen, wie sich auch KI-Systeme unter Berücksichtigung des Datenschutzrechts einsetzen lassen.

Quelle: Datenschutzkonferenz – Orientierungshilfen zu KI und Datenschutz

Die entscheidende Frage lautet deshalb nicht grundsätzlich, ob ein Projekt personenbezogene Daten verarbeitet.

Viel wichtiger ist, wie diese Daten verarbeitet werden und welche Risiken dabei tatsächlich entstehen.

Brauchen wir weniger Datenschutz oder einfach bessere Regeln?

Ich halte Datenschutz für unverzichtbar.

Menschen müssen darauf vertrauen können, dass ihre persönlichen Informationen nicht unkontrolliert verwendet werden.

Gerade bei KI-Systemen ist diese Frage von grosser Bedeutung.

Trotzdem sollten wir kritisch hinterfragen, ob die gegenwärtige Regulierung in jedem Fall das richtige Verhältnis zwischen Schutz, Aufwand und Innovation herstellt.

Aus meiner Sicht wären insbesondere vier Veränderungen sinnvoll.

1. Anforderungen stärker am tatsächlichen Risiko ausrichten

Nicht jede Datenverarbeitung stellt dieselbe Gefahr dar.

Eine interne Auftragsverwaltung mit wenigen Benutzern sollte nicht denselben praktischen Prüfaufwand verursachen wie eine internationale Plattform zur Analyse persönlicher Verhaltensprofile.

Dabei müssen die Rechte der Betroffenen selbstverständlich gewahrt bleiben.

2. Rechtssicherheit für kleine Unternehmen verbessern

KMU benötigen verständliche, verbindliche und praxistaugliche Orientierung.

Es sollte möglich sein, typische Softwareprojekte anhand klarer Standards umzusetzen, ohne für jede einzelne Fragestellung umfangreiche juristische Gutachten beauftragen zu müssen.

3. Datenschutz technisch umsetzen statt nur dokumentieren

Datenschutz entsteht nicht allein durch Richtlinien, Formulare und Verträge.

Er entsteht vor allem durch sichere Systeme, angemessene Zugriffsrechte, Datenminimierung und nachvollziehbare Prozesse.

Die technische Umsetzung sollte deshalb einen höheren Stellenwert erhalten.

4. Innovation ermöglichen statt vorsorglich verhindern

Regulierung sollte einen nachvollziehbaren Rahmen schaffen, innerhalb dessen Unternehmen neue Technologien einsetzen können.

Ein Datenschutzsystem, das aus Angst vor Fehlern zur generellen Vermeidung neuer Technologien führt, verfehlt einen Teil seines gesellschaftlichen Nutzens.

Meine Erfahrung aus der Softwareentwicklung

Ich beschäftige mich seit vielen Jahren mit der Entwicklung und Modernisierung betrieblicher Software.

Dabei zeigt sich immer wieder, dass Unternehmen häufig gar keine hochkomplexen Systeme benötigen.

Oft geht es um vergleichsweise einfache Aufgaben.

Eine Excel-Lösung soll durch eine Datenbank ersetzt werden. Ein manueller Prozess soll automatisiert werden. Bestehende Software soll modernisiert oder um eine Schnittstelle erweitert werden.

Die technischen Möglichkeiten dafür sind heute besser als jemals zuvor.

Mit KI-gestützter Entwicklung können solche Projekte teilweise deutlich schneller umgesetzt werden.

Aber die eigentliche Herausforderung besteht häufig nicht mehr darin, den notwendigen Programmcode zu schreiben.

Es geht zunehmend um Anforderungen, Architektur, Datenverantwortung, Sicherheit und die organisatorischen Voraussetzungen für den Betrieb.

Genau deshalb halte ich einen systematischen Entwicklungsansatz für wichtig.

Bereits vor der eigentlichen Implementierung sollten Datenflüsse, Verantwortlichkeiten und Zugriffsrechte geklärt werden.

Auf dieser Grundlage lässt sich eine Softwarearchitektur entwickeln, die Datenschutz und betriebliche Anforderungen miteinander verbindet.

Das bedeutet jedoch nicht, dass jedes Softwareprojekt eine umfangreiche Compliance-Infrastruktur benötigt.

Im Gegenteil.

Gute Softwarearchitektur sollte dazu beitragen, rechtliche Anforderungen mit möglichst geringem zusätzlichen Aufwand zu erfüllen.

Fazit: Datenschutz muss Innovation ermöglichen, nicht verhindern

Die DSGVO und das Schweizer DSG verfolgen wichtige Ziele.

Daran besteht für mich kein Zweifel.

Aber wir müssen aufpassen, dass aus notwendigen Schutzmechanismen keine pauschalen Innovationshindernisse werden.

Wenn Unternehmen auf bessere Software verzichten, weil rechtliche Fragen unübersichtlich sind oder die Prüfungskosten unverhältnismässig hoch erscheinen, entsteht ein wirtschaftlicher Schaden.

Und wenn dadurch alte, schlecht abgesicherte Systeme weiterbetrieben werden, ist möglicherweise auch für den Datenschutz wenig gewonnen.

Gerade im Zeitalter künstlicher Intelligenz brauchen wir deshalb ein vernünftiges Verhältnis zwischen Datenschutz, technischer Sicherheit und Innovationsfreiheit.

Nicht jede neue Technologie sollte unkontrolliert eingesetzt werden.

Aber auch nicht jedes technisch und wirtschaftlich sinnvolle Projekt sollte an regulatorischer Unsicherheit scheitern.

Datenschutz muss Menschen schützen. Er sollte nicht verhindern, dass wir bessere Software entwickeln.

---

Quellen und weiterführende Informationen

• Bitkom: Datenschutz wird immer öfter zur Innovationsbremse (2025)
• Bitkom: Wirtschaft will Entlastung beim Datenschutz (2026)
• Bundesamt für Justiz: Neues Schweizer Datenschutzrecht
• Datenschutzkonferenz: Orientierungshilfe KI und Datenschutz
• Europäische Kommission: Zeitplan zum EU AI Act

Ergänzende Grundlage: KI & DSGVO Report 2026, Everlast AI, mit juristischer Mitwirkung von Dr. Lutz Martin Keppeler, HEUKING.

Stand: Oktober 2026. Der Beitrag stellt eine persönliche Einschätzung zur Digitalisierung und Softwareentwicklung dar und ist keine Rechtsberatung.