Die Bundesregierung will die Datenschutz-Grundverordnung auf europäischer Ebene für kleine und mittlere Unternehmen sowie nichtkommerzielle Tätigkeiten zurückdrängen. Gleichzeitig plant sie mehr Überwachung durch Bundespolizei und Nachrichtendienste, für deren operative Arbeit die Datenschutz-Grundverordnung ohnehin regelmäßig nicht gilt. Was diese Änderungen bedeuten würden, zeigt dieser Beitrag.
DSGVO-Reform soll KMU und Vereine ausnehmen
Im Koalitionspapier „Ein Programm für Aufschwung und Beschäftigung“ kündigt die Bundesregierung an, auf europäischer Ebene kleine und mittlere Unternehmen (KMU), nichtkommerzielle Tätigkeiten und risikoarme Datenverarbeitungen „vom Anwendungsbereich der DSGVO“ auszunehmen (Maßnahme 14). Hinzukommen sollen weniger betriebliche Datenschutzbeauftragte für KMU und verschlankte Aufsichtsstrukturen.
Die materiellen Regeln der Datenschutz-Grundverordnung (DSGVO) würden für die ausgenommenen Stellen nicht nur vereinfacht, sondern grundsätzlich entfallen. Nach der Zahl der Unternehmen beträfe eine KMU-Ausnahme nahezu den gesamten Unternehmensbestand. Nach der europäischen KMU-Definition gelten als KMU grundsätzlich Unternehmen mit weniger als 250 Beschäftigten, sofern zusätzlich die Umsatz- oder Bilanzgrenzen eingehalten werden. Die Schwelle liegt bei höchstens 50 Millionen Euro Jahresumsatz oder 43 Millionen Euro Bilanzsumme. Die DSGVO bliebe dann vor allem ein Recht für Großunternehmen und die gewöhnliche öffentliche Verwaltung. In Deutschland und in der EU gelten über 99 Prozent aller Unternehmen als KMU.
DSGVO-Reform trifft nicht nur harmlose Kundenlisten
Das Koalitionspapier nennt als Beispiel die Kundenlisten von Handwerkern. Die Kategorie KMU umfasst aber ebenso Arztpraxen, Pflegedienste, Personalvermittler, Softwareanbieter, kleinere Kliniken und gemäß offizieller Definition der EU-Kommission Arbeitgeber mit bis zu 249 Beschäftigten. Auch ein mittelgroßes Unternehmen kann Gesundheitsdaten, biometrische Daten oder detaillierte Beschäftigtenprofile verarbeiten.
Noch weniger überzeugt eine Ausnahme für nichtkommerzielle Tätigkeiten. Politische Vereine, Gewerkschaften, Religionsgemeinschaften, Selbsthilfegruppen und Patientenorganisationen verarbeiten gerade wegen ihres Zwecks häufig besonders sensible Daten. Gemeinnützigkeit oder fehlende Gewinnerzielungsabsicht sagen nichts über das Datenschutzrisiko aus.
Wer gegenüber solchen Stellen sein Auskunfts-, Löschungs- oder Widerspruchsrecht verliert, wird auch nicht dadurch geschützt, dass die Organisation klein oder ehrenamtlich geführt ist. Eine solche DSGVO-Reform würde den Schutz daher gerade in vielen alltäglichen Beziehungen schwächen.
Erfolgsaussichten gering
Nicht nur die Sinnhaftigkeit dieses Vorhabens der Bundesregierung ist überschaubar, auch die Erfolgsaussichten sind gering. Deutschland kann die DSGVO nicht im Alleingang ändern und für eine dermaßen radikale Änderung gibt es auf europäischer Ebene absehbar keine Mehrheiten. Die aktuell verhandelten Änderungen über die Omnibus-Gesetze der EU-Kommission fallen deutlich kleinteiliger aus.
Überwachung durch Polizei fällt meist nicht unter die DSGVO
Für die operative Gefahrenabwehr und Strafverfolgung gilt die DSGVO bereits heute grundsätzlich nicht. Maßgeblich sind ein besonderes europäisches Datenschutzregime, das Bundesdatenschutzgesetz (Teil 3 und 4) und die jeweiligen Polizeigesetze. Betroffene sind damit nicht rechtlos. Ihre Rechte können aus Gründen der Gefahrenabwehr, Strafverfolgung und Geheimhaltung aber erheblich eingeschränkt sein.
Unser Artikel über Auskünfte aus Polizeidatenbanken zeigt, wie kompliziert bereits die Frage sein kann, welche Behörde welche Daten über eine Person gespeichert oder abgefragt hat. Gerade gegenüber einer Behörde, die mit unmittelbarer Zwangsgewalt handelt, ist der individuelle Datenschutz praktisch besonders wichtig.
Mehr Überwachung durch die Bundespolizei
Die Neufassung des Bundespolizeigesetzes erweitert die Befugnisse deutlich. Nach der Beschlussempfehlung des Innenausschusses soll die Bundespolizei Videoaufnahmen automatisiert nach verdächtigen Bewegungsmustern, Waffen und vermeintlich hilflosen Personen auswerten dürfen. Zusätzlich ist eine biometrische Echtzeit-Fernidentifizierung an öffentlich zugänglichen Orten vorgesehen. Hinzu kommen erweiterte Telekommunikations-, Standort- und Datenabgleichsbefugnisse.
Der Unterschied zur privaten Datenverarbeitung ist erheblich. Ein falscher Treffer führt nicht nur zu unpassender Werbung. Er kann eine Kontrolle, eine Durchsuchung oder weitere polizeiliche Maßnahmen auslösen. Dass die vorgeschlagenen Treffer von Polizeibediensteten geprüft werden sollen, ändert nichts daran, dass das technische System zuvor alle erfassten Personen analysiert und einige von ihnen als auffällig ausgewählt hat.
Schon unser früherer Artikel zur biometrischen Gesichtserkennung durch die Polizei warnte davor, dass unbeteiligte Menschen allein durch ihre Anwesenheit im öffentlichen Raum zum Gegenstand polizeilicher Analyse werden können. Die neue Regelung schafft nun eine ausdrückliche Rechtsgrundlage für solche Systeme.
Nachrichtendienste erhalten besonders weitreichende Befugnisse
Auch die operative Tätigkeit der Nachrichtendienste fällt regelmäßig nicht unter die DSGVO. Für die nationale Sicherheit ist das Unionsrecht grundsätzlich nicht zuständig. Maßgeblich sind das Grundgesetz und die besonderen Nachrichtendienstgesetze. Deren Betroffenenrechte sind wegen der Geheimhaltung nochmals schwächer als im Polizeirecht.
Der Referentenentwurf zur Reform des Nachrichtendienstrechts erlaubt automatisierte Auswertungen, die neue Erkenntnisse über Persönlichkeit, Beziehungen und Bewegungen gewinnen. Ausdrücklich vorgesehen sind Verhaltens- und Persönlichkeitsprofile, personenbezogene Vorhersagen sowie die Identifikation von Personen, gegen die zuvor kein individueller Prüfungsanlass bestand.
Das betrifft nicht nur Agenten, Straftäter oder gewaltbereite Gruppen. Der Verfassungsschutz beobachtet auch politische „Bestrebungen“. Auch friedliche politische Betätigung kann erfasst werden, wenn die Behörde sie zum Beispiel als gegen die freiheitliche demokratische Grundordnung gerichtet bewertet. Eine Straftat ist dafür nicht stets erforderlich. Gerade politisch oder weltanschaulich missliebige Menschen sind deshalb auf wirksame Kontrolle und Rechtsschutz angewiesen.
Datenschutz-Reform setzt eindeutige Prioritäten
Das Gesamtbild ist eindeutig. Für KMU und Vereine soll der einheitliche, transparente und individuell durchsetzbare Schutz der DSGVO zurückgedrängt werden. Gleichzeitig sollen Polizei und Nachrichtendienste, für deren operative Arbeit die DSGVO ohnehin nicht gilt, mehr Daten erheben, automatisiert auswerten und miteinander verknüpfen dürfen.
Hinzu kommt der im Koalitionspapier geforderte „möglichst umfassende Datenaustausch“ zwischen Sozial-, Ausländer-, Melde-, Finanz- und Sicherheitsbehörden sowie Kranken- und Pflegekassen (Maßnahme 13). Bürokratieabbau wird damit vor allem bei Schutz-, Kontroll- und Nachweismechanismen gesucht. Bei staatlicher Datenmacht lautet die Richtung dagegen: mehr Quellen, mehr Verknüpfung, mehr Automatisierung.
Die Reformpolitik folgt damit einer klaren asymmetrischen Logik. Gegenüber privaten und zivilgesellschaftlichen Stellen soll Datenschutz als Belastung reduziert werden. Datenverarbeitung durch Polizei, Nachrichtendienste und andere Behörden wird dagegen als Mittel staatlicher Steuerung und Kontrolle ausgeweitet. Der versprochene „moderne Datenschutz“ bedeutet daher vor allem weniger Schutz gegenüber privaten Stellen und mehr Überwachung durch den Staat.
Die DSGVO mag an einigen Stellen reformbedürftig sein und eine Entlastung der KMU erscheint zum Beispiel bei den Dokumentationspflichten sinnvoll. Eine vollständige Entlassung von KMU aus dem Anwendungsbereich der DSGVO kann jedoch nicht die Lösung sein.
