Datenschutzbeauftragte: Deutsches Modell bleibt

Die Institution „Datenschutzbeauftragte“ ist so alt wie das deutsche Datenschutzrecht, auf Bundesebene gibt es sie seit 1977. Viele sehen es als einen großen Erfolg, dass die Datenschutz-Grundverordnung (DS-GVO) die bewährte deutsche Regelung übernommen hat und die Bestellung von Datenschutzbeauftragten seit Wirksamwerden der DS-GVO in der Europäischen Union vorsieht.

Mit den Datenschutzbeauftragten stehen Unternehmen (und Behörden) kompetente und verantwortungsbewusste Ansprechpartner zur Verfügung, die in aller Regel bestens mit den internen Datenverarbeitungsvorgängen und allen Abläufen vertraut. Sie sind Ansprechpartner für die Behördenleitungen und die Verantwortlichen in den Betrieben, für ihre Kolleginnen und Kollegen sowie für die betroffenen Personen, also z. B. Kundinnen und Kunden. Außerdem sind sie Partner für die Datenschutz-Aufsichtsbehörden.

Mit der Kombination aus den Art. 35 bis 37 der DS-GVO und dem § 38 des Bundesdatenschutzgesetzes (BDSG) wurde die bereits vor der DS-GVO bestehende bestehende Rechtslage weitestgehend fortgeführt, in dem der nationale Gesetzgeber sich auf eine Öffnungsklausel stützend, insbesondere die sog. Schwellwerte für die verpflichtende Benennung eines DSB hochsetzte. Eine wesentliche Änderung betrifft jedoch die Grenze, ab der eine nichtöffentliche Stelle einen Datenschutzbeauftragten zu benennen haben. Diese wurde mit dem 2. DatenschutzAnpassungsgesetz auf zwanzig Personen angehoben, die sich ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.

Auch diese bereits nach deutschem Maßstab aufgeweichte Grenze ist jedoch immer wieder Zankapfel offenbar widerstreitender Interessen. Der Innenausschuss des Bundesrates empfahl jüngst im Rahmen des Gesetzgebungsverfahrens zur Änderung des BDSG in einer Beschlussempfehlung, die Regelung zur Bestellung betrieblicher Datenschutzbeauftragter in § 38 BDSG zu streichen. Damit wäre die Arbeitsgrundlage des Datenschutzbeauftragten erheblich einschränkt worden. Als Begründung hierfür wurde ein angestrebter Bürokratieabbau genannt.

Der vom Innenausschuss des Bundesrats am 22.03.2024 federführend für weitere Ausschüsse in den Bundesrat eingebrachte Antrag wurde nicht beschlossen, so dass das bewährte Modell des § 38 BDSG (vorerst) erhalten bleiben wird.

Aus der Sicht von insbesondere Datenschutzverbänden wie der GDD oder dem BvD hätte die Streichung nicht nur negative Folgen für die Umsetzung des Datenschutzes in den Unternehmen geborgen, sondern auch erhebliche Risiken für Bußgelder und Schadensersatzansprüche.
Auch das Bundesministerium des Innern hatte sich im Oktober 2022 im Evaluierungsbericht zum BDSG unter 5.5.4 klar für den DSB ausgesprochen:

„Es hat sich gezeigt, dass Datenschutzbeauftragte eine wichtige Rolle als Ansprechpartner für Aufsichtsbehörden und bei der wirksamen operativen Umsetzung des Datenschutzrechts übernehmen. Eine weitere Anhebung der Bestellungspflichtgrenze des § 38 Abs. 1 BDSG kann nach den Rückmeldungen zu Problemen und Umsetzungsdefiziten bei Vereinen und kleineren und mittleren Unternehmen führen, während nach den Rückmeldungen ein Entlastungseffekt vielfach nicht wahrgenommen wird. Im Ergebnis erscheint eine weitere Änderung der Tatbestände für eine Bestellungspflicht derzeit nicht sachgerecht.“

Hinzu kommt, dass durch die Digitalgesetzgebung der EU, insbesondere durch die KI-Verordnung und dem Data Act, auf alle Unternehmen weitere datenschutzrechtliche Herausforderungen zukommen, die einer kompetenten Beratung und Überwachung bedürfen. Der DSB wird also auch in Zukunft mehr denn je als kompetenter Ansprechpartner für eine stetig digitaler und komplexer werdende Welt benötigt.

(Foto: DOC RABE Media – stock.adobe.com)