Die Bundesregierung hat jüngst den Gesetzentwurf für das neue Bundesdatenschutzgesetz (BDSG-Neu) verabschiedet. Der Gesetzentwurf der Bundesregierung soll der ab Mai 2018 gültigen Datenschutzgrundverordnung (DSGVO) Rechnung tragen und am 25.Mai 2018 in Kraft treten.

Die Verordnung hat die Eigenschaft, dass sie unmittelbar auf die nationale Rechtsordnung wirkt. Es bedarf also eigentlich keines Gesetzgebungsverfahren im Bundestag, damit die Verordnung auch in Deutschland Gültigkeit erlangt. Auf den ersten Blick ist es daher widersprüchlich, warum der Bundestag nun doch ein neues Bundesdatenschutzgesetz auf den Weg bringt.

Jedoch sind in der Verordnung zahlreiche Öffnungsklauseln zu finden, die den einzelnen Mitgliedstaaten die Möglichkeit geben soll, bestimmte Sachverhalte konkreter zu regeln oder auch Rechte und Pflichten aus der Verordnung auf nationaler Ebene einzuschränken.

Davon hat die Bundesregierung in ihrem Entwurf Gebrauch gemacht. Wichtig für die meisten Unternehmen und Behörden sind hierbei die § 1 bis § 44 BDSG-neu. Im Folgenden stellen wir einige Veränderungen zur DSGVO überblicksartig dar:

Videoüberwachung: Geringe Änderungen

  • 4 BDSG-neu befasst sich mit der Videoüberwachung. Der Schritt des nationalen Gesetzgebers ist auch zu begrüßen, da die DSGVO bisher zur Videoüberwachung keine besondere Grundlage aufweist. Im Wesentlichen werden die alten Regelungen beibehalten. Insbesondere die Konstruktion der Videoüberwachung im öffentlichen und nicht-öffentlichen Bereich. Wesentliche Verschiebungen ergeben sich nicht.

Der Beschäftigtendatenschutz wird konkretisiert

In § 26 BDSG-neu wird die bisherige Formulierung zum Beschäftigtendatenschutz übernommen und ergänzt. Das Gesetz nennt nun auch ausdrücklich Betriebsvereinbarungen und Tarifverträge als Rechtsgrundlage für eine Datenverarbeitung. Außerdem wird erstmals auf die Frage der Freiwilligkeit von Einwilligungen von Arbeitnehmern im Arbeitsverhältnis eingegangen. Diese sollen freiwillig sein, wenn der Arbeitnehmer einen Vorteil erlangt oder die Einwilligung in beiderseitigem Interesse ist.

Informationspflichten adé?

Die Datenschutzgrundverordnung sieht in Art. 13 und 14 weitreichende Informationspflichten der verantwortlichen Stellen vor. So findet sich ein Katalog in der Verordnung, der genau beschreibt, über was Betroffene informiert werden müssen (bspw. über Zweck der Verarbeitung und ggf. beabsichtigte Zweckänderung, Rechtsgrundlage, Übermittlung an Dritte, etc.) wenn von ihnen Daten erhoben und verarbeitet werden.

  • 32 und § 33 BDSG-neuversuchen diese Informationspflichten wieder zu begrenzen und auf das Niveau des bisherigen BDSG zurückzuführen. Ein Blick in die Gesetzesbegründung zeigt, dass die Bundesregierung auch hier den Schwerpunkt des Gesetzes sieht und Unternehmen hier entlasten will. So richtig gelingen will es aber aus drei Gründen nicht.
  • Die DSGVO sieht für diesen Bereich keine eindeutige Öffnungsklausel vor. Die Erleichterungen sind daher wahrscheinlich rechtswidrig und nicht anzuwenden.
  • Der große Wurf bei den Erleichterungen bleibt aus. Die nunmehr eingeführten Ausnahmen dürften eher eine Ausnahmesituation betreffen, z.B. wenn Informationspflichten unverhältnismäßigen Aufwand darstellen, Geltendmachung oder Verteidigung rechtlicher Ansprüchen, Gefährdung des gesamten Geschäftszwecks. Selbst wenn eine Informationspflicht gegenüber der betroffenen Person durch §§ 32 und 33 BDSG-neu entbehrlich wird, bleibt die verantwortliche Stelle verpflichtet schriftlich zu begründen, warum sie die Betroffenen nicht direkt informiert hat. Zudem hat die verantwortliche Stelle alle Maßnahmen zu ergreifen, um die Interessen der betroffenen Person zu wahren. Es lässt sich daher gut vertreten, dass die betroffene Person zumindest abstrakt – über die Webseite – hätte informiert werden müssen, auch wenn die Information im Einzelfall unverhältnismäßig wäre.

Datenschutzbeauftragter jetzt öfter Pflicht

Nach § 38 BDSG-neu haben Unternehmen wie nach bisherigem Recht einen Datenschutzbeauftragten zu bestellen, wenn mindestens 10 Personen ständig mit der Datenverarbeitung beschäftigt sind. Darüber hinaus ist aber unabhängig von der Personenzahl ein Datenschutzbeauftragter zu bestellen, wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO vorgenommen werden muss. Dies ist bspw. der Fall bei der Nutzung der Videoüberwachung oder der Verarbeitung von Gesundheitsdaten.

Fazit

Im Vergleich zur DSGVO bringt das BDSG-neu nur wenig Neuerungen mit sich. Viele Regelungsbereiche bleiben im Wesentlichen erhalten (Personaldatenschutz, Videoüberwachung, Bestellpflicht eines betrieblichen Datenschutzbeauftragten). Die Entlastung bei den Transparenz- und Informationspflichten wird sich im Ergebnis nicht einstellen.

Es ist zu erwarten, dass das letzte Wort zum Umsetzungsgesetz noch nicht gesprochen wurde. Sofern das Gesetzgebungsverfahren tatsächlich abgeschlossen ist und ein finales Gesetz vorliegt, werden wir die Lage detailliert hier im Blog beleuchten.

Update 13.03.2017:

Aus den Ausschüssen des Bundesrates gibt es nunmehr eine umfassende Stellungnahme zum Regierungsentwurf.

| | , | , , , ,