Im Februar 2024 hat die Bundesregierung einen Gesetzentwurf zur Änderung des Bundesdatenschutzgesetzes vorgelegt, der die Pflicht zur Bestellung betrieblicher Datenschutzbeauftragter beibehält. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden (DSK) hat dazu eine offizielle Stellungnahme veröffentlicht.
Die Datenschutzkonferenz (DSK), die sich aus den Datenschutzbeauftragten des Bundes und der einzelnen Bundesländern zusammensetzt, hat sich zum Gesetzentwurf zur Änderung des Bundesdatenschutzgesetz (BDSG-E) geäußert, der im Februar 2024 veröffentlicht wurde. Die DSK hält die vorgeschlagenen Änderungen und Ergänzungen des BDSG grundsätzlich für „unterstützenswert“, mahnt aber einige Verbesserungen an, die im weiteren Gesetzgebungsprozess noch berücksichtigt werden sollten.
Hintergrund: Die Europäische Datenschutzgrundverordnung (EU-DSGVO oder DSGVO) wird seit 2018 in allen Mitgliedsstaaten der EU verbindlich angewendet. Alles, was die DSGVO vorschreibt und regelt, gilt unmittelbar und hat Vorrang vor nationalem Recht. Allerdings enthält die DSGVO an zahlreichen Stellen Öffnungsklauseln, bei denen die Regelungen auf nationaler Ebene konkretisiert werden müssen. Diese Aufgabe hat 2018 in Deutschland die Neufassung des Bundesdatenschutzgesetzes (BDSG-neu) übernommen, das zeitgleich mit der DSGVO in Kraft trat. Das BDSG-neu regelt z. B. die Strafvorschriften, den Datenschutz im Beschäftigtenverhältnis, Bonitätsauskünfte und die Bestellung eines Datenschutzbeauftragten. Im Zuge des aktuellen Änderungsverfahrens zur Neuauflage des BDSG wurde heftig über die Abschaffung des Datenschutzbeauftragten diskutiert, da der Innenausschuss des Bundesrats im März 2023 die Streichung der Pflicht zur Bestellung betrieblicher Datenschutzbeauftragter vorgeschlagen hatte. Entgegen der Empfehlung des Innenausschusses bleibt die Bestellungspflicht im BDSG-E aber nahezu unverändert erhalten. |
Institutionalisierung der Datenschutzkonferenz
Der BDSG-Entwurf enthält einen neuen § 16a, der die jetzt schon bestehende Datenschutzkonferenz gesetzlich verankert. In ihrer Stellungnahme weist die DSK darauf hin, dass diese Regelung ausgebaut und zumindest die Ziele der DSK aufgenommen werden sollten. Zudem bekräftigt die DSK die Notwendigkeit einer Ständigen Geschäftsstelle und schlägt Änderungen am Gesetzestext vor.
Schutz von Betriebs- und Geschäftsgeheimnissen bei Auskunftsansprüchen
Die DSK hat Zweifel, ob die geplanten Regelungen (§ 34 Abs. 1 S. 2 BDSG-E und § 83 Abs. 1 S. 2 SGB-X-E), die die Wahrung des Geschäfts- und Betriebsgeheimnisses bei der Durchsetzung von Auskunftsansprüchen sicherstellen sollen, mit Art. 23 DSGVO vereinbar sind. Nach Auffassung der DSK sind die geplanten Regelungen zu weit gefasst und sollten ersatzlos gestrichen werden.
Scoring
Die DSK hält es für erforderlich, im weiteren Gesetzgebungsverfahren zu prüfen, ob die Neuregelung in § 37a BDSG-E mit den Anforderungen des Art. 23 DSGVO zur Einschränkung von Betroffenenrechten in Einklang steht. Um eine rechtssichere Regelung von Kreditwürdigkeitsprüfungen durch Scoring-Verfahren zu erreichen, empfiehlt die DSK eine Erörterung im Rahmen einer Sachverständigenanhörung. Zudem weist sie auf zahlreiche Unklarheiten in den Regeln hin und regt Nachbesserungen an.
Länderübergreifende Datenverarbeitungsvorhaben
Bei gemeinsamer Verantwortlichkeit (§ 40a, § 27 Abs. 5 BDSG-E) im nichtöffentlichen Bereich soll es den beteiligten Unternehmen ermöglicht werden, eine einzige Aufsichtsbehörde
festzulegen. Die DSK hält es in solchen Fällen für notwendig, zumindest eine vorgeschaltete Prüfung durch die beteiligten Aufsichtsbehörden vorzusehen. Geprüft werden sollte, ob überhaupt eine gemeinsame Verantwortlichkeit vorliegt und wie sich eine gemeinsam verantwortete Verarbeitung abgrenzen lasst. Außerdem weist die DSK auf mögliche Unklarheiten in Bezug auf das hoheitliche Tätigwerden in anderen Ländern hin.
Möglichkeit von Geldbußen auch gegenüber Behörden
Als zusätzlichen Punkt regt die DSK die Streichung des § 43 Abs. 3 BDSG an, nach dem gegen Behörden und sonstige öffentliche Stellen keine Geldbußen verhängt werden können. In der Praxis hat sich gezeigt, dass ein Bedarf für Geldbußen auch im öffentlichen Bereich besteht, um die Schwere eines Verstoßes gegenüber der beaufsichtigten Stelle hinreichend deutlich zu machen und um als Anreiz zu dienen, Datenschutzverstößen aktiv vorzubeugen.
Weiterführende Links:
Stellungnahme der DSK zum Gesetzentwurf zur Änderung des BDSG
Gesetzentwurf der Bundesregierung zur Änderung des BDSG (BT-Drs. 20 10859)