RA'in Julia Studt, RAe Dr. Hantke & Partner
In der Nacht zum 28. Juni 2019 um 1:30 Uhr war es soweit: Der Bundestag beschloss einen Gesetzesentwurf zur Anpassung des Datenschutzrechtes. Trotz aller Diskussionen, ob der Bundestag überhaupt noch zu solch später bzw. früher Stunde mit zunehmend gelichteten Reihen beschlussfähig gewesen ist, wurde eine Beschlussunfähigkeit des Parlaments nicht festgestellt – die Abstimmung war daher wirksam. Jetzt muss noch der Bundesrat dem Gesetzesentwurf zustimmen.
Inhalt der Gesetzesänderung ist neben der Einschränkung der Kontroll- und Betroffenenrechte vor allem die Änderung des § 38 Abs. 1 BDSG (neu), welcher die Erfordernisse zur Bestellung eines Datenschutzbeauftragten regelt. Bisher musste ein Datenschutzbeauftragter bestellt werden, wenn mehr als 10 Personen in einem Unternehmen ständig mit der Verarbeitung personenbezogener Daten beschäftigt waren. Mit der Gesetzesänderung soll diese Grenze nun auf 20 Personen erhöht werden.
In der DSGVO selbst findet sich keine genaue Zahl, ab welcher ein Datenschutzbeauftragter bestellt werden muss. Das Europäische Parlament hat jedoch in seinen Erwägungsgründen zur DSGVO als Erfordernis für die Bestellung eines Datenschutzbeauftragten 250 Personen genannt, die ständig mit der Verarbeitung personenbezogener Daten beschäftigt sein müssen. Jedoch wurde auch den einzelnen Mitgliedstaaten die Möglichkeit eingeräumt, durch nationale Gesetze diese Vorgaben zu verschärfen – in Deutschland in Form des § 38 BDSG und einer Herabsetzung der Anzahl auf 10 Personen.
Eine Anhebung der Zahl auf 20 Personen, die ständig mit der Verarbeitung personenbezogener Daten beschäftigt sein müssen, scheint daher begrüßenswert. Vor allem kleinere Unternehmen wären dann nicht mehr zwingend zur Bestellung eines Datenschutzbeauftragten verpflichtet. Dieses könnte nicht nur einigen Arbeitsaufwand einsparen, sondern zudem auch erhebliche Kosten. Gerade Unternehmen, die einen externen Datenschutzbeauftragten bestellt haben, könnten sich diese Ausgaben in Zukunft möglicherweise ersparen.
Die Änderung wird jedoch auch kritisch gesehen. Obwohl die Mindestzahl auf 20 angehoben werden könnte, bleiben die Vorschriften und vor allem Verpflichtungen entsprechend der DSGVO doch gleich. Da vor allem kleinere Unternehmen nicht mehr zu Bestellung eines Datenschutzbeauftragten verpflichtet wären, könnten möglicherweise die Datenschutzvorschriften nicht umgesetzt werden, da entsprechendes Hintergrundwissen nicht vorhanden ist oder sich keiner als Verantwortlicher sieht. Kritiker befürchten daher, dass mit einer Anhebung der Mindestpersonen auch das Risiko von Datenschutzverstößen wächst. Hierbei wird jedoch möglicherweise außer Betracht gelassen, dass in den Erwägungsgründen der DSGVO das Europäische Parlament eine Personenzahl von 250 angedacht hatte und in Deutschland diese Regelung erheblich verschärft worden ist. Die Risiken sind im Gesetzgebungsverfahren der DSGVO anscheinend nicht als derart hoch angesehen worden, wie dieses die Kritiker der jetzigen Gesetzesanpassung vermuten lassen. Auch stellt sich die Frage, ob gerade in kleineren Unternehmen der jeweilige Datenschutzbeauftragte wirklich über das eigentlich gesetzlich vorgeschriebene Fachwissen verfügt – und entsprechend Datenschutzverstößen entgegenwirken bzw. sie verhindern kann. In vielen Unternehmen ist möglicherweise einfach eine Person als Datenschutzbeauftragter benannt worden, gemäß „lieber ein schlechter Datenschutzbeauftragter als gar kein Datenschutzbeauftragter“. Ob daher die Anhebung der Mindestpersonenzahl wirklich eine Häufung von Datenschutzverstößen zur Folge haben würde, erscheint zumindest fraglich.
Da Bürokratie und zudem Kosten für die Unternehmen eingespart werden können, erscheint eine Anhebung auf 20 Personen, die mit der Datenverarbeitung beschäftigt sein müssen als Voraussetzung für die Bestellung eines Datenschutzbeauftragten, im Ergebnis durchaus sinnvoll. Es bleibt jedoch zunächst abzuwarten, ob auch der Bundesrat dem Gesetzesentwurf zustimmen wird. Erst dann ist die Gesetzesänderung beschlossene Sache.