Artikel-Update, 18.12.2019: Das 2. Datenschutz-Anpassungsgesetz: Änderungen bei DSB und BDSG
In der Nacht zum 28.06.2019 hat der Bundestag das zweite Datenschutz-Anpassungs- und Umsetzungsgesetz verabschiedet. Genau wie das erste Datenschutz-Anpassungs- und Umsetzungsgesetz soll es die seit Mai 2018 geltende Datenschutz-Grundverordnung (DSGVO) ergänzen. Die DSGVO enthält nämlich sog. Öffnungsklauseln, die es den nationalen Gesetzgebern der EU-Mitgliedstaaten ermöglichen, in bestimmten Bereichen ergänzende oder klarstellende Regelungen zu treffen.
Insgesamt enthält das zweite Datenschutz-Anpassungs- und Umsetzungsgesetz Änderungen für 154 andere Gesetze. Das wird sich auf den ersten Blick nach einer großen und unübersichtlichen Gesetzesänderung im Datenschutz anhören – ist es aber nicht! Der Großteil der Änderungen bezieht sich auf Formulierungen. So wird die Gesetzeswortwahl der nationalen Gesetze an die Wortwahl der DSGVO angepasst (z.B. wird „erheben, speichern, verändern und nutzen“ durch „verarbeiten“ ersetzt).
Beachtung finden sollte jedoch eine Änderung, die im Vorfeld der Abstimmung schon seit Sommer 2018 zu heftiger Kritik führte:
Die schwarz-rote Regierung setzte sich mit ihrem Entwurf durch, der die Pflicht der Unternehmen zur Ernennung eines Datenschutzbeauftragten auflockert. Bisher musste ein Betrieb schon ab 10 Personen, die ständig mit der Verarbeitung von personenbezogenen Daten befasst sind, einen Datenschutzbeauftragten ernennen. In Zukunft wird die Schwelle erst ab 20 Personen erreicht. Angeführt wird, dass dies zu einem dringend notwendigen Abbau unnötiger Bürokratie führen werde. Insbesondere kleinere Unternehmen würden so finanziell und regulatorisch entlastet werden.
Zu Recht wird diese Änderung sowohl von der Opposition, als auch vom Bundesdatenschutzbeauftragten, der selbst der Regierungspartei SPD angehört, abgelehnt. Datenschutz muss auch in kleineren Betrieben gewährleistet werden. Nur, weil diese keinen Datenschutzbeauftragten ernennen müssen, müssen sie ja dennoch die datenschutzrechtlichen Vorgaben einhalten. Ohne einen gut geschulten internen oder einen juristisch und technisch ausgebildeten externen Datenschutzbeauftragten wird ihnen die Einhaltung des Datenschutzes jedoch nur schwer von der Hand gehen.
Fazit
Durch das neue Gesetz könnten sie sich zwar die Kosten für einen Datenschutzexperten sparen – die hohen Bußgelder drohen allerdings dann erst recht, wenn der Experte für Datenschutz im Unternehmen wegfällt.
Insbesondere führt die Artikel-29-Datenschutzgruppe (als unabhängiges Beratungsgremium Vorläufer des Europäischen Datenschutzausschusses) in ihrer Stellungnahme zur Verhängung von Bußgeldern aus, dass die Vorbereitungen des Unternehmens auf die Einhaltung der DSGVO zu berücksichtigen sind. So kann sich die (freiwillige) Bestellung eines Datenschutzbeauftragten positiv auf die Bußgeldhöhe auswirken.
Außerdem sollte nicht nur mit Blick auf die Bußgelder das Datenschutzniveau in den Unternehmen – trotz Gesetzesänderung- aufrechterhalten werden. Die nachweisliche Einhaltung vom Datenschutz führt im europäischen Wettbewerb zu einem Vorteil. Schließlich vertrauen nicht nur Verbraucher den Unternehmen mehr, die ihre personenbezogenen Daten schützen. Viele Unternehmen wie Banken arbeiten zudem auch nur mit Unternehmen zusammen, die über einen Datenschutzbeauftragten verfügen. So gehen sie nämlich selbst auf Nummer sicher, dass sie beim Eingehen einer neuen Geschäftsbeziehung nicht in eine Datenschutzfalle tappen.
Trotz des neuen Gesetzes sollte daher nicht voreilig auf die Bestellung eines Datenschutzbeauftragten verzichtet werden.