Der Bundesrat hat heute in seiner 957. Sitzung dem neuen Datenschutzgesetz seine Zustimmung erteilt. Damit hat er den Weg freigemacht für eine umwälzende Reform des deutschen Datenschutzrechts.
Der Inhalt im Überblick
Das Datenschutz-Anpassungs- und -Umsetzungsgesetz EU
Das Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUGEU) wurde bereits am 27. April 2017 vom Bundestag verabschiedet. Das DSAnpUGEU ist ein sog. zustimmungspflichtiges Gesetz. Sein Zustandekommen war daher von der Zustimmung des Bundesrates abhängig.
Das Gesetz geht auf eine Initiave der Bundesregierung zurück und hat – wie der Name bereits deutlich macht – insbesondere die Anpassung des nationalen Datenschutzrechts an die neuen Gegebenheiten auf europäischer Ebene infolge der EU-DSGVO zum Inhalt. Kern des Gesetzes ist hierbei das grundlegend überarbeitete Bundesdatenschutzgesetz.
Die Rolle des Bundesrates
Das Projekt Datenschutz ist eines der letzten Gesetzesvorhaben der aktuellen Bundesregierung. Von Anfang an hochumstritten, hat es bis zuletzt nicht an Brisanz verloren.
Es ist letztendlich den Bemühungen des Bundesrates zu verdanken, dass das neue Bundesdatenschutzgesetz nicht im ersten Entwurf der Bundesregierung feststeckte, sondern im Laufe des Gesetzgebungsverfahrens einen Inhalt angenommen hat, der die deutschen Datenschützer nicht zufrieden stellen, aber zumindest etwas besänftigen kann. Der Bundesrat hatte zum dritten Gesetzesentwurf vom Februar 2017 umfangreich Stellung genommen. Viele der Änderungswünsche wurden vom Deutschen Bundestag in der jetzt endgültigen Fassung berücksichtigt.
„Der Einsatz der Länder hat sich gelohnt“
Davon ist der Justizsenator von Hamburg, Dr. Till Steffen, überzeugt, demzufolge „eine Reihe von wichtigen Änderungen im Sinne eines hohen und einheitlichen Datenschutzes“ erreicht werden konnte. Damit sprach er insbesondere die Betroffenenrechte an, die im ursprünglichen Entwurf massiv eingeschränkt wurden. § 32 Abs. 1 Nr. 1 BDSG-E sah beispielsweise ursprünglich vor, dass die Betroffenenrechte auf Information dann nicht bestehen, wenn dies „einen unverhältnismäßigen Aufwand erfordern würde“. Eine Änderung durch die Interaktion des Bundesrates erfolgte dergestalt, dass die Einschränkung der Informationspflicht jetzt insbesondere nur noch bei Weiterverarbeitung analog gespeicherter Daten anwendbar sein soll. Auf die Unverhältnismäßigkeit des mit der Erfüllung der Informationspflicht verbundenen Aufwands kommt es im neuen § 32 Abs. 1 Nr. 1 BDSG-E nicht mehr an.
Doch das neue Gesetz ist weiterhin sehr problematisch. Wesentliche Kritikpunkte sind vor allem in den Bereichen
- Videoüberwachung,
- Beschränkung der Kontrollmöglichkeiten der Aufsichtsbehörde und
- dem Beschäftigtendatenschutz
zu verorten.
Benennung eines Datenschutzbeauftragten
Beibehalten wird im neuen BDSG jedoch die bislang geltende Verpflichtung, dass verarbeitende Stellen auch im nichtöffentlichen Sektor regelmäßig einen Datenschutzbeauftragten zu benennen haben. Gemäß § 38 Abs. 1 BDSG-E ist die Benennung erforderlich, soweit Unternehmen in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Im Falle von Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO sowie der geschäftsmäßigen Datenverarbeitung zwecks Übermittlung, anonymisierter Übermittlung oder für Zwecke der Markt- oder Meinungsforschung ist sogar unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen einen Datenschutzbeauftragten zu benennen. § 38 Abs. 1 BDSG-E ist demnach ergänzend zu Art. 37 Abs. 1 Buchstabe b und c DSGVO zu beachten, der die Benennung eines Datenschutzbeauftragten regelt. Der deutsche Gesetzgeber hält durch § 38 Abs. 1 BDSG-E weiterhin am Spezifikum des deutschen Datenschutzrechts fest, das den allermeisten anderen Rechtsordnungen fremd ist, sich hierzulande aber bewährt hat.
Hat sich der Einsatz gelohnt?
Ob der Einsatz der Länder sich tatsächlich gelohnt hat, wie vom Justizsenator Steffen in den Raum geworfen, wird in den nächsten Wochen nicht nur auf diesem Blog zentrales Thema sein. Auf jeden Fall ist zumindest jetzt schon festzuhalten, dass spannende Zeiten im Datenschutzrecht anbrechen.
Gibt es eine Gegenüberstellung der Änderungen im Vergleich zum alten BDSG und im Verhältnis zur DSGVO? Vielen Dank
Eine solche Synopse gibt es nach unserer Kenntnis leider noch nicht. Da die Abstimmung im Bundesrat erst letzte Woche am 12. Mai 2017 war, ist es nicht ausgeschlossen, dass in nächster Zeit eine solche Synopse veröffentlicht wird.
https://www.gdd.de/downloads/praxishilfen/GDD-Praxishilfe_DS-GVO_6.pdf
Wie erreicht man den Datenschutzbeauftragten?
Wer ist das zur Zeit?