Der Entwurf der Bundesregierung zur Umsetzung der Europäischen Datenschutz-Grundverordnung (DS-GVO) in deutsches Recht zur Novellierung des des Bundesdatenschutzgesetzes (18/11325, 18/11655) hat unter Sachverständigen ein kritisches Echo gefunden. In einer Anhörung des Innenausschusses unter Vorsitz von Ansgar Heveling (CDU/CSU) wurden am Montag, 27. März 2017, unter anderem die vorgesehenen Einschränkungen der Rechte von Betroffenen bemängelt, mit denen der Entwurf hinter geltendes deutsches Recht zurückfalle, aber möglicherweise auch den Anforderungen der europäischen Verordnung nicht gerecht werde. 

Die Datenschutz-Grundverordnung wurde im April vorigen Jahres vom Europaparlament verabschiedet und trat am 24. Mai 2016 mit der Maßgabe in Kraft, dass die EU-Mitgliedstaaten sie spätestens innerhalb von zwei Jahren in die eigene Gesetzgebung zu übernehmen haben. Damit wird in Deutschland das bisherige Bundesdatenschutzgesetz (BDSG) abgelöst.

Datenschutzbeauftragte sieht Nachbesserungsbedarf

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Andrea Voßhoff, räumte als Sachverständige in der Anhörung ein, der Regierungsentwurf sei „sicherlich das Ergebnis intensiver Beratungen“. Er enthalte auch gegenüber früheren Fassungen durchaus Verbesserungen. „Gleichwohl sehe ich deutlichen Nachbesserungsbedarf“, sagte Voßhoff. Sie nannte als wesentliche Kritikpunkte die Einschränkung von Betroffenenrechten, die Regelung der Vertretung deutscher Datenschutzbelange auf europäischer Ebene, namentlich die über den Entwurf noch hinausgehenden Forderungen der Länder zu diesem Thema, und die geplante Beschneidung der Kompetenzen der Datenschutzbeauftragten selbst gegenüber dem Bundesnachrichtendienst (BND).

Als unzulässig bewertete Voßhoff die vorgesehene Regelung, dass Ansprüche von Betroffenen auf Auskunft oder auf Löschung ihrer Daten nicht nur gegenüber öffentlichen Interessen, sondern auch gegenüber „allgemein anerkannten Geschäftszwecken“ von Unternehmen zurückzustehen haben: „Über die Beschränkung von Betroffenenrechten sollte durchaus noch nachgedacht werden.“

Kritik an Ausweitung des Einflusses der Länder

Voßhoff wandte sich auch gegen eine ihrer Ansicht nach übermäßige Ausweitung des Einflusses der Länder im künftigen Europäischen Datenschutzausschuss. Dem Entwurf zufolge sollen die Länder mitwirkungsberechtigt sein, wenn ihre Kernkompetenzen Bildung, Kultur, Rundfunk berührt sind. Der Bundesrat verlange darüber hinaus ein Mitspracherecht in allen Bereichen, in denen eine sachliche Zuständigkeit der Länder vorliege.

Damit werde „die Rolle des Bundes marginalisiert, sagte sagte Voßhoff. Als verfassungswidrig kritisierte sie schließlich die Regelung, dass sie selbst in Datenschutzfragen, die den BND betreffen, künftig nur noch gegenüber der Bundesregierung sowie mit deren Zustimmung gegenüber direkt zuständigen Gremien, nicht mehr aber gegenüber dem Bundestag zu Stellungnahmen befugt sein soll.

Schaar: Vorgaben des Bundesverfassungsgerichts beachten

Voßhoffs Vorgänger Peter Schaar erinnerte an die Ziele der europäischen Verordnung, die der Harmonisierung des Datenschutzrechts, der Stärkung von Betroffenenrechten und der besseren Datenschutzaufsicht dienen solle. Mit dem vorliegenden Gesetzentwurf würden diese Anliegen “nicht gut erreicht„, monierte Schaar. Zwar enthalte die europäische Verordnung durchaus auch Regelungsspielräume für den nationalen Gesetzgeber, doch habe die Bundesregierung diese in vielen Punkten deutlich überdehnt. Namentlich erwähnte Schaar, dass künftig “sämtliche Berufsgeheimnisträger weitgehend von Kontrollen ausgenommen„ würden. Dies widerspreche den Vorgaben des Bundesverfassungsgerichts, dass es im Datenschutz “keine kontrollfreien Räume„ geben dürfe.

“Deutschland hat eine große Datenschutztradition„, sagte Schaar. “Wir hatten das erste Datenschutzgesetz der Welt. Wir haben hier einen Ruf zu verlieren.„ Es sei zu befürchten, dass andere EU-Mitgliedsstaaten sich von dem deutschen Gesetz, wenn es in der vorliegenden Fassung verabschiedet werde, negativ inspirieren lassen.

Ehrig begrüßt europaweite Harmonisierung

Für die Verbraucherzentrale Bundesverband nannte deren Vertreterin Lina Ehrig die europaweite Harmonisierung des Datenschutzrechts einen “Riesengewinn„. Sie begrüßte auch, dass “einer der größten Kritikpunkte„, nämlich die Bestimmung, dass auch “nicht-öffentliche Stellen„ den Verarbeitungszweck gespeicherter Daten nachträglich ändern können sollten, aus dem Entwurf gestrichen wurde. Doch bleibe dieser in anderer Hinsicht noch immer hinter dem Schutzniveau der europäischen Verordnung zurück. Ehrig erwähnte unter anderem, dass Ansprüche Betroffener auf Auskünfte oder Löschung von Daten eingeschränkt werden können, wenn sie nur mit “unverhältnismäßigem Aufwand„ zu erfüllen seien.

Der ehemalige Datenschutzbeauftragte Mecklenburg-Vorpommerns, Karsten Neumann, nannte es bedauerlich, dass die bisher geltende Regel, der zufolge jeder das Recht hat, auch ohne konkreten Anlass von Unternehmen Auskünfte über gespeicherte Datenbestände zu verlangen, entfallen soll. Der Datenschutzanwalt Dr. Carlo Piltz warnte vor Rechtsunsicherheit, wenn das deutsch Gesetz vor dem Europäischen Gerichtshof angefochten werden könne.

Gleichwertiges Schutzniveau in der EU

Wie die Bundesregierung in der Vorlage erläutert, ist das Ziel der Datenschutz-Grundverordnung “ein gleichwertiges Schutzniveau für die Rechte und Freiheiten von natürlichen Personen bei der Verarbeitung von Daten in allen Mitgliedstaaten„ und sieht eine Reihe von Öffnungsklauseln für den nationalen Gesetzgeber vor. Zugleich enthalte sie konkrete, an die Mitgliedstaaten gerichtete Regelungsaufträge.

Um ein reibungsloses Zusammenspiel der Verordnung und der Richtlinie “mit dem stark ausdifferenzierten deutschen Datenschutzrecht sicherzustellen, ist es erforderlich, das bisherige Bundesdatenschutzgesetz durch ein neues Bundesdatenschutzgesetz abzulösen„, schreibt die Bundesregierung weiter. Es soll die unmittelbar geltende Grundverordnung ergänzen. Zugleich soll der Gesetzentwurf der Umsetzung wesentlicher Teile der EU-Datenschutzrichtlinie im Bereich und Justiz dienen.

Zugleich sieht die Vorlage Änderungen weiterer Gesetze in Folge der Ablösung des bisherigen Bundesdatenschutzgesetzes vor. Davon betroffen sind unter anderem das Bundesverfassungsschutzgesetz sowie die Gesetze über den Bundesnachrichtendienst und den Militärischen Abschirmdienst. (wid/eis/sto/27.03.2017)

Liste der geladenen Sachverständigen

• Prof. Dr. Hartmut Aden, Hochschule für Wirtschaft und Recht Berlin
• Lina Ehrig, Verbraucherzentrale Bundesverband e.V., Berlin
• Rechtsanwalt Andreas Jaspers, Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V., Bonn
• Karsten Neumann, Landesbeauftragter für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern a. D. 2b Advice, Bonn
• Rechtsanwalt Dr. Carlo Piltz, Reusch Rechtsanwälte, Berlin
• Peter Schaar, Vorsitzender der Europäischen Akademie für Informationsfreiheit und Datenschutz e. V., Berlin
• Andrea Voßhoff, Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Bonn
• Prof. Dr. Heinrich Amadeus Wolff, Universität Bayreuth

Der Bundestag hat am Donnerstag, 27. April 2017, das Datenschutzrecht novelliert. Den Gesetzentwurf der Bundesregierung zur Anpassung des Datenschutzrechts an die EU-Verordnung 2016/679 und zur Umsetzung der EU-Richtlinie 2016/680 (18/11325, 18/11655, 18/11822 Nr. 10) nahm er auf Empfehlung des Innenausschusses (18/12084, 18/12144) gegen das Votum der Opposition an.

Gesetzentwurf der Bundesregierung

Laut Bundesregierung ist die Reform notwendig, da Deutschland sein Datenschutzrecht bis Mai 2018 an das geänderte Datenschutzrecht der EU anpassen müsse. Kernstück sei die Neustrukturierung des Bundesdatenschutzgesetzes. Es ergänze die neue europäische Datenschutz-Grundverordnung, die unmittelbar in Deutschland gilt.

Mit der Novellierung würden Gestaltungsspielräume genutzt, die die europäische Verordnung den Mitgliedstaaten einräumt, heißt in der Vorlage weiter. Daneben würden wesentliche Teile der Datenschutz-Richtlinie „Polizei und Justiz“ umgesetzt. Weitere Änderungen beträfen eine Vielzahl von Gesetzen, die aus der Ablösung des bisherigen Bundesdatenschutzgesetzes resultierten. Geändert wurden danach das Gesetz über den Militärischen Abschirmdienst und das Gesetz über den Bundesnachrichtendienst. Neu gefasst wurden auch das Gesetz zur Überprüfung von Personen, die sicherheitsempfindliche Tätigkeiten ausüben (Sicherheitsüberprüfungsgesetz) sowie das sogenannte Artikel-10-Gesetz zum Brief-, Post- und Fernmeldegeheimnis.

Entschließungsantrag der Grünen abgelehnt

Gegen das Votum der Opposition abgelehnt wurde ein Entschließungsantrag der Grünen (18/12132), in dem die Bundesregierung unter anderem aufgefordert worden war, bei der Umsetzung verbliebene Spielräume zurückhaltend und im Sinne des Datenschutzes zu nutzen, nationale Alleingänge weitestgehend zu vermeiden und der Datenschutzgrundverordnung angemessen Rechnung zu tragen.

Darüber hinaus sollten bei den das sogenannte Profiling und Scoring betreffenden Bestimmungen weitere Vorgaben vorgesehen werden, um Ausgrenzungen und Benachteiligungen ganzer Personengruppen zu vermeiden und zusätzliche verbraucherschützende Regeln für Bewertungen von Personen gewährleistet werden.

Antrag der Linken abgelehnt

Ebenfalls gegen das Votum der Opposition abgelehnt hat der Bundestag einen Antrag der Linksfraktion mit dem Titel „Datenschutzrechte der Bürgerinnen und Bürger stärken“ (18/11401). Die Linke wollte die Rechte Betroffener im Datenschutz stärken, indem auf Beschränkungen der Auskunftsrechte soweit wie möglich verzichtet wird. Die Möglichkeiten, personenbezogene Daten löschen zu lassen, sollten ausgeweitet werden.

Darüber hinaus wollte die Fraktion die Kompetenzen der Bundesdatenschutzbeauftragten stärken und auch gegenüber öffentlichen Stellen Sanktionsmöglichkeiten schaffen, um den Datenschutz effektiv durchsetzen zu können. 

Minister: Datenschutzrechtliche Zäsur in Europa

Bundesinnenmister Dr. Thomas de Maizière (CDU) sprach von einer datenschutzrechtlichen Zäsur in Europa. Dank der EU-Datenschutzgrundverordnung würden künftig in allen Mitgliedstaaten einheitliche Datenschutzstandards gelten. Unternehmen mit niedrigen Datenschutzstandards könnten sich nun nicht mehr gezielt dort ansiedeln, wo niedrige Standards akzeptiert würden. „Das schafft Rechtssicherheit für alle“, sagte der Minister.

Bei dem Umsetzungsgesetz, so de Maizière weiter, habe sich die Bundesregierung „eins zu eins“ an die europarechtlichen Vorgaben gehalten. Dort, wo der europäische Gesetzgeber Gestaltungsspielraum gelassen habe, werde davon „in verantwortlicher und selbstbewusster Weise“ Gebrauch gemacht. So habe die Bundesregierung beispielsweise darauf verzichtet, die Altersgrenze für die Einwilligung eines Kindes unter 16 Jahre abzusenken, was europarechtlich möglich gewesen wäre.

Linke: Datenschutz wird geschwächt

Mit dem Umsetzungsgesetz werde der Datenschutz geschwächt, befand hingegen Petra Pau (Die Linke). Daher lehne ihre Fraktion die Vorlage ab. Mit ihrem Nein stehe die Fraktion nicht allein, so Pau. Auch die Mehrheit der zu einer Anhörung im Innenausschuss geladenen Experten habe deutliche Kritik an dem Gesetz geäußert. Damit verbunden sei ein massiver Rückfall Deutschlands beim Datenschutz.

Hauptkritikpunkte sind laut Pau die „verfassungswidrige“ Erweiterung der Videoüberwachung, die Einschränkung der Rechte betroffener Bürger und die „unverantwortliche Kleinschreibung“ der Sanktionsmöglichkeiten bei Verstößen gegen den Datenschutz. Kleingemacht werde auch die Rolle der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, sagte die Linke-Abgeordnete.

SPD verweist auf Änderungen am Regierungsentwurf 

Gerold Reichenbach (SPD) räumte ein, dass es auch aus seiner Fraktion Kritik an dem Regierungsentwurf gegeben habe. Nach intensiven Diskussionen innerhalb der Koalitionsfraktionen seien aber eine ganze Reihe von Änderungen vorgenommen worden, betonte er. Davon betroffen sei unter anderem die in der EU-Vorlage enthaltene Regelung, wonach ein Bürger darüber informiert werden muss, wenn seine Daten für andere Zwecke als vereinbart genutzt werden sollen.

In der Kabinettsvorlage sei diese Informationspflicht sehr weit eingeschränkt worden. Sie sollte nicht mehr gelten, „wenn das für das Unternehmen mit einem unverhältnismäßigen Aufwand verbunden ist“. Nun beziehe sich die Einschränkung nur noch auf die Weitergabe analoger Daten. Gleiches, so Reichenbach, gelte auch für das Recht auf Löschung.

Grüne: Regierung hat hohe Standards hintertrieben

Dr. Konstantin von Notz (Bündnis 90/Die Grünen) bezeichnete es als richtig, „dass die EU den Datenschutz als entscheidenden Bestandteil der Digitalisierung erkannt hat“. Die EU-Datenschutzverordnung sei daher „richtig und wichtig“. Die Bundesregierung habe allerdings nichts unversucht gelassen, die hohen Standards zu hintertreiben, kritisierte Notz.

Seine Fraktion könne dem Gesetzentwurf nicht zustimmen. „Wir lehnen den Versuch ab, die Informationspflichten der Unternehmen nach den Wünschen der Wirtschaft zurückzuschneiden“, sagte er. Zugleich kritisiert der Grünen-Abgeordnete, dass mit dem Gesetz die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit „mundtot gemacht werden soll“.

CDU/CSU: Harmonisierung in deutschem Interesse

Stephan Mayer (CDU/CSU) nannte die EU-Datenschutzgrundverordnung einen Meilenstein. Die dadurch erfolgte Harmonisierung des Datenschutzrechts sei in deutschem Interesse, betonte Mayer.

Mit dem Umsetzungsgesetz werde der Datenschutz in Deutschland im Übrigen nicht abgesenkt sondern erhöht. Trotzdem sei es möglich, bewährte Geschäftsmodell im Bereich Inkasso, Auskunfteien oder Dialogmarketing auch künftig legal zu betreiben, sagte er. (hau/sas/27.04.2017)