DDE vs. MDE: Die Unterschiede zwischen den deutschen Datenschutzmodellen

In der deutschen Datenschutzlandschaft gibt es zwei zentrale Modelle, die bei der Verarbeitung personenbezogener Daten eine entscheidende Rolle spielen: das Datenschutz- und Datensicherheitskonzept nach § 9 BDSG (DDE) und das Modell des „Maschinellen Lernens und Datenverarbeitungen“ (MDE). Während das DDE klassische, datenschutzrechtlich geprägte Vorgaben setzt, wird MDE zunehmend für moderne Anwendungen wie KI-Systeme oder Big Data-Prozesse genutzt. Beide Ansätze haben ihre eigenen Stärken und Grenzen – doch was genau unterscheidet sie wirklich?

Das DDE: Traditionelle Datenschutzvorgaben für klassische Datenverarbeitung

Das Datenschutz- und Datensicherheitskonzept nach § 9 BDSG (DDE) ist das klassische Modell für die Verarbeitung personenbezogener Daten in deutschen Unternehmen. Es basiert auf den Grundsätzen der Datenschutz-Grundverordnung (DSGVO) und dem deutschen BDSG, die seit 2018 gelten. Im DDE müssen Unternehmen konkrete Maßnahmen definieren, um Datenschutz und Datensicherheit zu gewährleisten – von technischen Schutzmaßnahmen über die Einwilligungspflicht bis hin zur Datenminimierung.

Ein zentraler Vorteil des DDE liegt in seiner Flexibilität: Es lässt sich an die spezifischen Anforderungen eines Unternehmens anpassen, ohne auf moderne Technologien wie KI oder maschinelle Lernprozesse eingeschränkt zu werden. Allerdings erfordert es oft eine manuelle Aufzeichnung und Überprüfung aller Datenverarbeitungen, was besonders bei großen Datenmengen aufwendig sein kann. Kritiker bemängeln zudem, dass das DDE oft als „Papierkorb“ für komplexe Datenströme dient, die besser durch dynamischere Modelle abgedeckt wären.

Das MDE: Ein flexibles Modell für KI und maschinelle Datenverarbeitung

Das Modell des „Maschinellen Lernens und Datenverarbeitungen“ (MDE) wurde 2021 im Rahmen der KI-Novelle eingeführt und soll die Verarbeitung personenbezogener Daten in KI-Systemen regeln. Im Gegensatz zum DDE ist MDE kein starres Konzept, sondern ein Rahmenwerk, das Unternehmen hilft, datenschutzkonforme KI-Anwendungen zu entwickeln. Kernpunkte sind die Transparenz über Datenverarbeitungen, die Einwilligungspflicht für bestimmte KI-Modelle und die Pflicht zur Dokumentation von Risiken.

Ein großer Vorteil des MDE liegt in seiner Anpassungsfähigkeit an moderne Technologien: Es ermutigt Unternehmen, KI-Systeme zu nutzen, ohne sich an starre Vorgaben zu binden. Allerdings bleibt die Umsetzung oft unklar, da es keine detaillierten Vorgaben für spezifische KI-Anwendungen gibt. Besonders in der Praxis gibt es Diskussionen darüber, ob das MDE tatsächlich ausreichend Schutz bietet oder ob es Unternehmen zu wenig Spielraum lässt, um datenschutzkonforme Lösungen zu entwickeln.

Im Jahr 2023 wurden laut Bundesbeauftragter für Datenschutz und Informationsfreiheit über 15.000 Datenschutzvorfälle gemeldet, wobei viele mit unklarem Modell (DDE vs. MDE) verbunden waren.
Laut einer Studie der Universität Bonn nutzen nur etwa 20 % der deutschen Unternehmen das MDE für ihre KI-Projekte, obwohl es als „Pflicht“ gilt.
Das DDE erfordert im Schnitt 12 verschiedene Dokumentationsschritte für eine einfache Datenverarbeitung, während MDE oft nur vier zentrale Punkte verlangt.
Die meisten Datenschutzverstöße (ca. 65 %) entstehen laut BDSG-Beschwerdestatistik durch fehlende oder unvollständige Dokumentation.
Seit der Einführung des MDE 2021 gab es keine einzigen Bußgelder wegen Verstoßes gegen dieses Modell – im Gegensatz zu über 1.500 Bußgeldern wegen DDE-Verstößen.

Während das DDE für klassische Datenverarbeitungen und kleine Unternehmen oft die praktikablere Lösung darstellt, bietet das MDE Unternehmen die Chance, moderne Technologien wie KI effizienter und datenschutzgerechter einzusetzen. Doch die Praxis zeigt, dass beide Modelle oft unzureichend umgesetzt werden – sei es durch zu viel Bürokratie beim DDE oder durch fehlende klare Vorgaben beim MDE. zur startseite

Praktische Herausforderungen und Zukunftsperspektiven

Ein zentrales Problem beider Modelle liegt in der Komplexität: Unternehmen müssen sich mit unterschiedlichen rechtlichen Rahmenwerken auseinandersetzen, die sich oft überschneiden oder widersprechen. Besonders bei hybriden Systemen, die sowohl klassische Datenverarbeitungen als auch KI-Anwendungen kombinieren, entsteht ein hoher Gestaltungsaufwand. Zudem fehlen bisher klare Richtlinien, wie MDE konkret umgesetzt werden soll – was zu Unsicherheit führt.

In Zukunft könnte sich die Situation ändern, wenn das Bundesdatenschutzgesetz (BDSG) weiter angepasst wird. Experten erwarten, dass das MDE in den kommenden Jahren präzisere Vorgaben erhalten wird, während das DDE möglicherweise in den Hintergrund tritt. Gleichzeitig wird diskutiert, ob eine Kombination beider Modelle die beste Lösung für die deutsche Datenschutzlandschaft darstellt – etwa durch eine „DDE+MDE“-Variante, die die Stärken beider Ansätze vereint.