Am 27. Juni 2019, kurz vor der parlamentarischen Sommerpause, verabschiedete der Bundestag das zweite Datenschutzanpassungs- und Umsetzungsgesetz (2. DSAnpUG), am 20. September 2019 hat nun auch der Bundesrat zugestimmt. Das Gesetz nimmt in über 150 Fachgesetzen fast aller Ressorts Änderungen vor.
Zu den Regelungsschwerpunkten zählen dabei insbesondere Anpassungen von Begriffsbestimmungen und von Rechtsgrundlagen für die Datenverarbeitung sowie Regelungen zu den Betroffenenrechten. Zudem schafft das verabschiedete Gesetz auch Änderungen im Bundesdatenschutzgesetz (BDSG). Mit dem Argument des Bürokratieabbaus für kleine Betriebe und Vereine wurde die Grenze der Bestellpflicht für einen betrieblichen Datenschutzbeauftragten (§ 38 BDSG) von 10 auf 20 Personen, die ständig personenbezogene Daten verarbeiten, erhöht.
Berufsverbände wie z.B. die Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD) und führende Datenschutzrechtler haben im Gesetzgebungsprozess vor einer Aufweichung der Bestellpflicht gewarnt: Die Befreiung von der Bestellpflicht eines Datenschutzbeauftragten im Betrieb führe nämlich keineswegs zu einem Wegfall allgemein geltender datenschutzrechtlicher Pflichten. Den Schutz der Rechte und Freiheiten Betroffener und die Einhaltung der Datenschutzbestimmungen hat nach außen gegenüber den Betroffenen nicht der Datenschutzbeauftragte, sondern der Verantwortliche zu gewährleisten (Art. 5 Abs. 2; Art. 24 Abs. 1 DSGVO). Am Ende werde mit dem Wegfall eines Datenschutzbeauftragten nicht Bürokratie, sondern Kompetenz und Sachverstand abgebaut. Auch ohne gesetzliche Bestellpflicht sind Unternehmen und Einrichtungen daher gut beraten, einen betrieblichen Datenschutzbeauftragten zu benennen.
Neben technischen Änderungen am BDSG wird auch § 26 BDSG an einer Stelle verändert, die für die Personalarbeit im Unternehmen praxisrelevant ist: So entfällt in § 26 Abs. 2 Satz 3 BDSG das Schriftformerfordernis für die Einwilligung im Beschäftigtenverhältnis und wird durch die Wörter „hat schriftlich oder elektronisch zu erfolgen“ ersetzt. Die Nachweispflicht für das Vorhandensein einer rechtskonformen Einwilligung besteht davon unabhängig fort.
Neben dem verabschiedeten Gesetz fordert die Große Koalition die Bundesregierung zudem auf, Art. 85 DSGVO (Verarbeitung zu journalistischen Zwecken) auch für die Bereiche auszugestalten, die nicht Gegenstand der Mediengesetze der Länder sind. Damit etwa Blogger und andere freie Journalisten rechtssicher arbeiten können, soll diese Regelungslücke zeitnah geschlossen werden. Angesichts der Bedeutung und Komplexität des Vorhabens wird dies nun aber im Rahmen eines separaten Gesetzgebungsverfahrens erfolgen, um das ansonsten sehr technische Anpassungsgesetz mit seinen zahlreichen Änderungsartikeln nicht zu überfrachten.
Von Thomas Hofer, Akademischer Direktor am Rechtsinformatikzentrum der Ludwig-Maximilians-Universität München
