Bundesländer wollen Pflicht zu betrieblichen Datenschutzbeauftragten abschaffen

Seit der Bundesrat vor wenigen Tagen die Empfehlungen der Ausschüsse für seine kommende Plenartagung am Freitag veröffentlicht hat, sind Teile der hiesigen Datenschutzszene in Aufruhr. Stein des Anstoßes: Der Innenausschuss der Länderkammer fordert, Paragraf 38 des Bundesdatenschutzgesetzes (BDSG) ersatzlos aufzuheben. Laut der Klausel müssen Unternehmen und andere nicht-öffentliche Stellen einen betrieblichen Datenschutzbeauftragten benennen, "soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener" Informationen beschäftigen. Gleiches gilt, wenn solche Organisationen verpflichtet sind, eine Datenschutz-Folgenabschätzung durchzuführen, oder Markt- oder Meinungsforschung durchführen.

Die Vorgabe aus dem BDSG geht über die einschlägigen Bestimmungen der Datenschutz-Grundverordnung (DSGVO) hinaus. Letztere sieht eine Pflicht zur Bestellung eines internen Datenschutzbeauftragten für Behörden und Firmen vor, wenn deren Datenverarbeitung "eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich" macht oder deren Kerntätigkeit im Umgang mit besonders sensiblen persönlichen Informationen liegt. Gerade kleine und mittlere Unternehmen sollten aber auch nach den Vorstellungen des europäischen Gesetzgebers "nicht unnötigen bürokratischen Anforderungen ausgesetzt werden", begründen die Innenpolitiker des Bundesrats ihre Initiative. Paragraf 38 BDSG entspreche auch nicht dem mit der DSGVO verfolgten "risikobasierten Ansatz".

Für die Streichung machte sich im Vorfeld bereits Bayern in der Länderkammer stark. Im Innenausschuss haben insgesamt Politiker von CDU und CSU eine starke Stellung. Doch Thomas Spaeing, Vorstandsvorsitzender des Berufsverbands der Datenschutzbeauftragten (BvD), lehnt den Appell entschieden als Schritt in die falsche Richtung ab: "Das Weglassen des Datenschutzbeauftragten befreit die Unternehmen nicht von den Anforderungen der DSGVO", erklärte er gegenüber heise online. "Es wäre so, als wenn man mit der Abschaffung des Steuerberaters die Steuerbürokratie vereinfachen wollen würde. Diese Änderung setzt also an der ganz falschen Stelle an. Will man Bürokratie verhindern, sollte man eher auf die umfassenden Dokumentationspflichten in der DSGVO schauen."

Bundesrat nimmt auch zu Scoring und zur DSK Stellung

Würde das Plenum des Bundesrats dem Ruf des Ausschusses folgen, blieben Unternehmen mit der Umsetzung von komplexen und teils hochriskanten Prozessen allein, gibt Spaeing zu bedenken. "Die anstehende DSGVO-Evaluation auf europäischer Ebene oder eine harmonisierte Rechtsauslegung der Aufsichtsbehörden wären der bessere Rahmen, die Unternehmen hierzulande zu entlasten." Der BvD sorgt sich ferner, weil die Politik mit einem solchen Schritt Betrieben Kompetenzen im Umgang etwa auch mit dem Data Act oder dem AI Act der EU entziehen würde.

Die Forderung des Innenausschusses bezieht sich auf eine geplante Stellungnahme des Bundesrats zum Gesetzentwurf der Bundesregierung für eine erste BDSG-Novelle. Im Kern geht es dabei darum, dass Daten wie die Wohnadresse, Name oder Angaben aus sozialen Netzwerken künftig nicht mehr genutzt werden können sollen, um die Zahlungsfähigkeit von Verbrauchern per Scoring einzuschätzen. Wahrscheinlichkeitswerte dürften nur noch erstellt oder verwendet werden, wenn die genutzten personenbezogenen Daten für "keine anderen Zwecke verarbeitet werden". Das Bundeskabinett reagiert damit auf ein Urteil des Europäischen Gerichtshofs (EuGH) gegen die Schufa. Dem Innenausschuss erscheinen die geplanten Vorgaben aber nicht konkret genug. Ferner soll mit der Initiative die Datenschutzkonferenz von Bund und Ländern (DSK) im BDSG institutionalisiert werden, was die Ampel im Koalitionsvertrag vereinbart hat.

(olb)