Kurz vor den Sommerferien und mitten in der Diskussion zur Entbürokratisierung bzw. Reform des Datenschutzrechts kommt die deutsche Datenschutzkonferenz (DSK) als Zusammenschluss aller unabhängigen Datenschutzbehörden des Bundes und der Länder mit einem überraschend innovationsfreudigen, starken Impuls um die Ecke. Mit der Entschließung vom 19. Juni unter dem Titel „Stuttgarter Impulse zur Modernisierung des Datenschutzes“ greifen die Aufsichtsbehörden nicht nur die aktuellen Themen auf, sondern wagen sich mit einem äußerst proaktiven Konzept aus der Deckung.
Das 11-seitige Papier soll einerseits ein paar „Mythen“ zur Datenschutzaufsicht ausräumen, sieht andererseits aber auch viele gute Gedanken und konkrete Vorschläge zur modernen Reform vor, die sich wirklich sehen lassen können.
So wird zu den wachsenden Zahlen der Beschwerden eindeutig Stellung bezogen und aufgezeigt, dass sich diese Fallbearbeitung nicht skalieren lasse. Und die DSK trägt gute Gründe vor, warum die Datenschutz-Aufsichtsbehörden in den jeweiligen Bundesländern auch weiterhin ihre Aufgaben wahrnehmen sollten und wie wichtig gerade bei der Aufsicht auch die Bürgernähe sei:
„Im Jahre 2025 haben die Aufsichtsbehörden der Länder hunderte Veranstaltungen und tausende individuelle Beratungen auf Nachfrage vor Ort durchgeführt. Dadurch profitieren insbesondere kleine und mittlere Unternehmen sowie Freiberufler und Freiberuflerinnen – immerhin 99,2 Prozent der Unternehmen in Deutschland – von den heutigen Strukturen im Datenschutz. Mit den Landesdatenschutzbehörden gibt es bewährte Ansprechpartnerinnen vor Ort, die durch Veranstaltungen im Land und regionale Veröffentlichungen bekannt sind. Örtliche Ansprechbarkeit braucht dezentrale Strukturen.“ (S. 3)
Auch zu der vermeintlich „strengen Auslegung“ des Datenschutzrechts sowie der „Uneinheitlichkeit“ der Datenschutzaufsicht äußern sich die Aufsichtsbehörden in dem Dokument und zeigen auf, dass diese Mythen so nicht mit der Wirklichkeit übereinstimmen.
Modernisierung des Datenschutzrechts
Neben all diesen faktenbasierten Informationen beinhaltet das Papier aber auch Vorschläge und starke Forderungen zur Modernisierung der Datenschutzaufsicht.
Hierbei geht es u. a. um die thematische Zusammenlegung (Bündelung von Kompetenzen) in der deutschlandweiten Datenschutzaufsicht, die Schaffung eines zentralen digitalen Portals als erste Anlaufstelle, die Verbesserung der Koordination und die Beschleunigung von Verfahren. Hierbei ist auch die Zentralisierung der Meldewege für Datenschutzverletzungen vorgesehen – was in der Praxis seit Jahren gefordert wird!
Ferner wird auch die gesetzliche Verankerung der DSK im Bundesdatenschutzgesetz (BDSG) gewünscht, die auch eine bessere Ausstattung erhalten soll.
Darüber hinaus beinhalten die „Stuttgarter Impulse“ weitere Ideen „zur Weiterentwicklung des materiellen Datenschutzrechts“, die sich mit tiefgründigen Änderungen der DSGVO befassen und sogar weit über die derzeitigen Reformvorhaben im Rahmen des „digitalen Omnibusses“ hinausgehen.
Erwähnenswert sind hier die Forderungen zur Entwicklung von „Leitplanken für KI“ und die Erwägungen zum Einbau neuer risikobasierter Ansätze innerhalb der DSGVO:
„In die DSGVO können einige risikobasierte Ansätze eingebaut werden, aber mit Bedacht. Gegenstände könnten beispielsweise die Verarbeitung von Daten besonderer Kategorien (Art. 9 DSGVO) oder die Übermittlung von Daten in Drittstaaten (Art. 44 ff. DSGVO) sein. Dies kann zu Erleichterungen bei manchen Datenverarbeitungen, aber auch zu höheren Anforderungen bei anderen führen.“ (S. 11)
Dies würde passgenauere Lösungen und Bewertungen zulassen, was von Unternehmen vermutlich begrüßt werden dürfte.
Es wird sogar überraschend pragmatisch die Entbürokratisierung der Auftragsverarbeitung angesprochen, was als ein völlig neuer Gedenkanstoß verstanden werden könnte:
„Die Rechtsrahmen für Auftragsverarbeitungsverhältnisse bietet erhebliche Vereinfachungspotentiale, ohne dass dadurch Abstriche am Datenschutz hingenommen werden müssen: durch Umgestaltung der Auftragsverarbeitung zu einem gesetzlichen Schuldverhältnis können unnötige Prüferfordernisse und Fehlerquellen verringert werden. Gleich zeitig wird arbeitsteilige Datenverarbeitung vereinfacht und entbürokratisiert. Vor allem zur Entlastung von KMU müssen die Pflichten der Akteure von Datenerarbeitungen gerechter verteilt werden. Die Hersteller von Anwendungen müssen für ihre Produkte und Lösungen nach dem Vorbild der KI-Verordnung auch im Rahmen der DSGVO verantwortlich sein.“ (S. 11)
Denn dieser bemerkenswerte Vorschlag könnte darauf abzielen, dass diese in der DSGVO verankerten Pflichten (Art. 28 DSGVO) so grundlegend überarbeitet und aufgefasst werden, dass sich diese qua Gesetz ergeben und keine schriftliche Ausarbeitung eines Vertrages erfordern würden, womit dann – theoretisch – die AV-Verträge im Massengeschäft hinfällig wären. Das würde wahnsinnig viel Papierarbeit reduzieren und Prozesse erleichtern, was vermutlich den meisten Unternehmen in der Praxis viel Freude bereiten würde. Die Kontrollpflichten dürften aber auch weiterhin bestehen.
Abschließend bleibt es aber bei einer kleinen Warnung:
„Bei allen Änderungen der DSGVO sind der Schutz personenbezogener Daten durch Art. 8 GRCh, Art. 16 AEUV und die allgemeinen Prinzipien des Art. 5 DSGVO zu wahren.“ (S. 11)
Fazit
Mit den „Stuttgarter Impulsen“ präsentiert die DSK ein beachtenswertes Konzept mit starken Forderungen! Es wäre wünschenswert, wenn diese Ideen neben der Bundesratsinitiative aus Hamburg insgesamt eine größere Beachtung finden und sie sowohl von der Bundesregierung als auch auf europäischer Ebene berücksichtigt werden würden. Inwiefern eine derartige, echte Modernisierung der DSGVO überhaupt in naher Zukunft möglich ist, lässt sich sicherlich diskutieren – die deutschen Aufsichtsbehörden jedenfalls präsentieren sich hierfür überraschend offen.
Keine Kommentare