Bundesregierung plant „Modernisierung“ des Datenschutzes

Anfang Juli hat die schwarz-rote Regierungskoalition ihr Reformpaket „Ein Programm für Aufschwung und Beschäftigung“ beschlossen. Das Reformpaket umfasst insgesamt 34 Maßnahmen, mit denen die Koalition die Wettbewerbsfähigkeit erhöhen, Bürokratie zurückbauen sowie den Sozialstaat erhalten und Steuern senken möchte. In der Öffentlichkeit wurde insbesondere die geplante Verpflichtung zur Vorlage einer Arbeitsunfähigkeitsbescheinigung nach dem ersten Tag der Erkrankung umfassend diskutiert. Das Reformpaket enthält darüber hinaus jedoch viele weitere Maßnahmen, die auch den Datenschutz betreffen. 

Was sagt das Reformpaket zum Datenschutz? 

Das Reformpaket gliedert sich in verschiedene Bereiche. Im Bereich „Wachstum und Gerechtigkeit“ findet sich mit Ziffer 14 eine Reform, welche den Datenschutz betrifft. Konkret wird von einem „Modernen Datenschutz für mehr Wachstum“ gesprochen, der wie folgt umgesetzt werden soll: 

„Wir vereinfachen den nationalen Datenschutz und nutzen alle vorhandenen Spielräume der Datenschutzgrundverordnung (DSGVO) konsequent. Auf europäischer Ebene wollen wir erreichen, dass nicht-kommerzielle Tätigkeiten (zum Beispiel in Vereinen), kleine und mittelständische Unternehmen und risikoarme Datenverarbeitungen (zum Beispiel Kundenlisten von Handwerkern) vom Anwendungsbereich der DSGVO ausgenommen werden. Für mehr Rechtsklarheit und eine einheitliche Auslegung wird ein Datengesetzbuch geschaffen, das als kohärentes Regelwerk das Datenrecht harmonisiert und vereinfacht, soweit dies sachgemäß ist, und dabei den Datenschutz sichert und die Datennutzung fördert. Verfahren rund um den Datenschutz werden deutlich verschlankt, die Aufsichtsstrukturen vereinfacht und gebündelt (u.a. Zuständigkeitskonzentration beim BfDI). Die Datenschutzkonferenz (DSK) verankern wir im Gesetz, um gemeinsame Standards zu erarbeiten. In kleineren und mittleren Unternehmen wollen wir die Zahl der betrieblichen Datenschutzbeauftragten reduzieren.“

Nachfolgend soll ein kritischer Blick auf drei Aspekte dieser Reform geworfen werden. 

1. Vereinfachung des nationalen Datenschutzes

Ein zentrales Vorhaben des Reformpakets ist die Vereinfachung des nationalen Datenschutzes. Konkret sollen alle Spielräume, die die Datenschutz-Grundverordnung (DSGVO) bietet, konsequent genutzt werden.

Gemeint sind damit die sog. Öffnungsklauseln der DSGVO, von denen die Verordnung je nach Zählweise fast 70 enthält. Sie erlauben es den Mitgliedstaaten, bestimmte datenschutzrechtliche Vorgaben durch eigene nationale Regelungen zu konkretisieren. Deutschland hat von diesem Instrument bereits Gebrauch gemacht, etwa im Bundesdatenschutzgesetz (BDSG), das u. a. spezifische Vorschriften für die Verarbeitung von Beschäftigtendaten enthält.

Grundsätzlich sind Öffnungsklauseln ein geeignetes Mittel, um den nationalen Datenschutz praktikabler zu gestalten. Sie ermöglichen es, nationale Besonderheiten zu berücksichtigen und einzelne Bereiche wie den Beschäftigtendatenschutz oder den Datenschutz kirchlicher Organisationen gezielt zu regeln. Klare und praxisnahe Regelungen können Rechtsunsicherheiten auf Seiten der Unternehmen und Organisationen spürbar reduzieren und so zu einer Vereinfachung des Datenschutzes beitragen.

Grenzenlos ist dieser Spielraum jedoch nicht. Die DSGVO gilt als unmittelbar anwendbare EU-Verordnung und genießt Anwendungsvorrang gegenüber nationalem Recht. Nationale Regelungen müssen sich stets am Schutzniveau der DSGVO messen lassen und dürfen dieses nicht unterschreiten. Andernfalls drohen Vertragsverletzungsverfahren vor dem Europäischen Gerichtshof (EuGH).

Offen lässt das Reformpaket bislang, in welchen Bereichen konkrete Vereinfachungen geplant sind. Seit geraumer Zeit wird bspw. die Einführung eines Beschäftigtendatengesetzes (BeschDG) in Deutschland diskutiert (wir berichteten). Hier wären weitere Konkretisierungen der Bundesregierung wünschenswert.

2. Ausnahme bestimmter Tätigkeiten vom Anwendungsbereich der DSGVO

Ein weiteres Ziel des Reformpakets ist es, bestimmte Tätigkeiten künftig vom Anwendungsbereich der DSGVO auszunehmen, darunter nicht-kommerzielle Tätigkeiten, wie die Arbeit in Vereinen, kleine und mittelständische Unternehmen, sowie risikoarme Datenverarbeitungen.

Dass gerade kleine Organisationen bei der Umsetzung datenschutzrechtlicher Anforderungen schnell an ihre Grenzen stoßen, ist keine neue Erkenntnis. Insbesondere die Dokumentations- und Rechenschaftspflichten, etwa die Pflicht zur Führung eines Verarbeitungsverzeichnisses oder zur Durchführung von Datenschutz-Folgenabschätzungen, verursachen einen erheblichen administrativen Aufwand. Die DSGVO sieht zwar an einigen Stellen Erleichterungen vor. So sind Unternehmen mit weniger als 250 Beschäftigten unter bestimmten Voraussetzungen von der Pflicht zur Führung eines Verarbeitungsverzeichnisses befreit. Die grundlegenden Pflichten der DSGVO gelten jedoch unabhängig von der Unternehmensgröße für alle Verantwortlichen gleichermaßen.

Eine Herausnahme kleiner Organisationen aus dem Anwendungsbereich der DSGVO würde eine Änderung auf europäischer Ebene erfordern. Das sieht auch das Reformpaket vor. Ohne an dieser Stelle tiefer in das europäische Verfassungsrecht einzusteigen, sei festgehalten, dass die Änderung einer EU-Verordnung die Mitwirkung der europäischen Institutionen voraussetzt und damit politisch äußerst voraussetzungsreich und erfahrungsgemäß langwierig ist.

Hinzu kommen erhebliche grundrechtliche Bedenken: Das Recht auf Datenschutz ist auf europäischer Ebene in Art. 8 der EU-Grundrechtecharta verankert. In Deutschland wurde das Recht auf informationelle Selbstbestimmung als Ausprägung des allgemeinen Persönlichkeitsrechts maßgeblich durch die Rechtsprechung des Bundesverfassungsgerichts (BVerfG) geprägt. Der Schutzgegenstand des Datenschutzrechts ist der Mensch und nicht die Daten. Aus der Perspektive einer betroffenen Person macht es keinen Unterschied, ob die Daten von einem Verein oder einem Großkonzern verarbeitet werden. Der grundrechtliche Schutzanspruch besteht in beiden Fällen in gleichem Maße.

Erschwerend kommt hinzu, dass auch in Vereinen und kleinen Unternehmen regelmäßig sensible Daten verarbeitet werden. Viele Vereine verarbeiten bspw. Daten von Kindern, einer Personengruppe, die als besonders schutzbedürftig gilt. Auch in kleinen und mittelständischen Unternehmen fallen Personaldaten an, die je nach Art hochsensibel sein können, etwa Gesundheitsdaten oder Informationen im Zusammenhang mit arbeitsrechtlichen Maßnahmen.

Eine pauschale Ausnahme bestimmter Organisationen vom Anwendungsbereich der DSGVO würde somit im Ergebnis den grundrechtlich verankerten Schutz personenbezogener Daten aushöhlen. Sinnvoller wäre es, über konkrete Vereinfachungen bei der Umsetzung datenschutzrechtlicher Pflichten zu diskutieren, etwa durch die Bereitstellung standardisierter Mustervorlagen oder vereinfachter Verfahren z. B. für Datenschutz-Folgenabschätzungen. So ließen sich Vereine und kleine und mittelständische Unternehmen spürbar entlasten, ohne den Schutz betroffener Personen zu verringern.

3. Reduzierung der betrieblichen Datenschutzbeauftragten in kleinen und mittelständischen Unternehmen

Im Rahmen der angestrebten Reform soll in kleinen und mittleren Unternehmen auch die Zahl der betrieblichen Datenschutzbeauftragten reduziert werden. 

Ein konkreter Ansatzpunkt für die Bundesregierung wäre eine Anpassung des § 38 Abs. 1 BDSG. Die Vorschrift verpflichtet Unternehmen aktuell zur Benennung eines Datenschutzbeauftragten, sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Darüber hinaus ist eine Benennung unabhängig von der Personenanzahl verpflichtend, wenn eine Datenverarbeitung vorgenommen wird, welche die Durchführung einer Datenschutz-Folgenabschätzung erfordert oder wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- und Meinungsforschung verarbeitet werden.

Mit dieser Regelung hat Deutschland von der Öffnungsklausel des Art. 37 Abs. 4 DSGVO Gebrauch gemacht, die es den Mitgliedstaaten erlaubt, eigene Benennungspflichten vorzusehen. Die DSGVO selbst regelt in Art. 37 Abs. 1, unter welchen Voraussetzungen ein Datenschutzbeauftragter benannt werden muss, knüpft dabei aber nicht an die Anzahl der Beschäftigten an. Stattdessen stellt sie auf das Risiko der Datenverarbeitung ab. Eine Benennungspflicht besteht nach der DSGVO etwa dann, wenn die Kerntätigkeit des Verantwortlichen in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht.

Für deutsche Unternehmen sieht das BDSG somit deutlich umfassende Voraussetzungen vor, unter welchen ein Datenschutzbeauftragter zu benennen ist. Die Schwelle von 20 Beschäftigten ist so niedrig angesetzt, dass sie von zahlreichen kleinen und mittelständischen Unternehmen erreicht wird, auch dann, wenn deren Datenverarbeitung möglicherweise kein erhöhtes Risiko aufweist und sie nach der DSGVO gar nicht zur Benennung eines Datenschutzbeauftragten verpflichtet wären.

Eine Anpassung des § 38 BDSG böte daher die Möglichkeit, kleine und mittelständische Unternehmen von der formalen Benennungspflicht zu entlasten. Allerdings sollte dabei nicht aus dem Blick geraten, dass die datenschutzrechtlichen Pflichten selbst durch eine solche Änderung unberührt bleiben. Auch Unternehmen ohne Datenschutzbeauftragten müssen Datenschutzinformationen bereitstellen, Betroffenenanfragen bearbeiten und Datenpannen melden. Die Erfüllung dieser Aufgaben setzt ein gewisses datenschutzrechtliches Fachwissen voraus. Darüber hinaus nimmt der Datenschutzbeauftragte oft eine Vertrauensstellung zwischen Unternehmen und betroffenen Personen ein. Eine Funktion, die gerade im Beschäftigungskontext sinnvoll und schützenswert ist.

Eine Reduzierung der betrieblichen Datenschutzbeauftragten in kleinen und mittelständischen Unternehmen ist damit grundsätzlich umsetzbar. Die fehlende Benennungspflicht entbindet Unternehmen aber nicht davon, Datenschutzkompetenz vorzuhalten und eine Anlaufstelle für betroffene Personen anzubieten, welches allesamt Kernfunktionen eines Datenschutzbeauftragten sind. Insofern räumt die DSGVO Unternehmen die Möglichkeit ein, auch freiwillig einen Datenschutzbeauftragten zu benennen. Fehlt es im Unternehmen an personellen Ressourcen oder der erforderlichen Fachkompetenz kann ein Dienstleister für diese Aufgaben beauftragt werden.

Fazit

Das Reformpaket adressiert bestehende Herausforderungen und zielt auf eine Vereinfachung des nationalen Datenschutzrechts ab, was grundsätzlich zu begrüßen ist. Einzelne Maßnahmen, wie die Anpassung der Benennungspflicht für Datenschutzbeauftragte, erscheinen rechtlich umsetzbar. Die geplante pauschale Ausnahme bestimmter Organisationen vom Anwendungsbereich der DSGVO stößt jedoch auf erhebliche grund- und europarechtliche Grenzen. Statt eines solchen Ansatzes wären gezielte Erleichterungen bei der praktischen Umsetzung datenschutzrechtlicher Pflichten der überzeugendere Weg. Denn der Schutz personenbezogener Daten und die damit verbundenen Rechte der betroffenen Personen müssen unabhängig davon gewährleistet bleiben, wer die Daten verarbeitet.