Bundesregierung prüft Bündelung der Zuständigkeiten der Landesdatenschutzbehörden

„Herbst der Reformen“ betrifft auch den Datenschutz 

Die Bundesregierung hat einen „Herbst der Reformen“ angekündigt, in dessen Mittelpunkt die Bereiche Verteidigung, Migration, Sozialstaat und Wirtschaft stehen. Etwas weniger öffentliche Beachtung findet dabei der Datenschutz, der aber schon seit längerem in Fachkreisen diskutiert wird. Seit es die Erkenntnis einer dringend notwendigen Reform des Datenschutzes in den Koalitionsvertrag von CDU/CSU und SPD geschafft hatte, hat sich die Debatte weiter intensiviert. 

Koalitionsvertrag sieht Ausnahmen von DSGVO und Bündelung von Kompetenzen vor 

In ihrem Koalitionsvertrag haben CDU/CSU und SPD vereinbart, dass sie auf europäischer Ebene umfassende Ausnahmen der Datenschutzgrundverordnung (DSGVO) „für nicht-kommerzielle Tätigkeiten (zum Beispiel in Vereinen), kleine und mittelständische Unternehmen und risikoarme Datenverarbeitungen (zum Beispiel Kundenlisten von Handwerkern)“ erwirken wollen. Auf nationaler Ebene wollen sie Spielräume der DSGVO nutzen, um „Vereinfachungen für kleine und mittlere Unternehmen, Beschäftigte und das Ehrenamt“ herbeizuführen. „Im Interesse der Wirtschaft“ streben sie für den privaten Sektor eine „Bündelung der Zuständigkeiten und Kompetenzen bei der Bundesdatenschutzbeauftragten“ an, die dann „Bundesbeauftragte für Datennutzung, Datenschutz und Informationsfreiheit“ heißen soll. Die Datenschutzkonferenz (DSK), die die Datenschutzbehörden der Länder bisher informell koordiniert, soll gesetzlich fest verankert werden.  

Wachsender Handlungsdruck aus Wirtschaft und Justiz 

Die Reformwilligkeit der Politik in Sachen Datenschutz ist eine Reaktion auf die jahrelang anhaltende Kritik aus Wirtschaft und Justiz an der deutschen Datenschutzaufsicht. Seit der Einführung der DGSVO beklagen Wirtschaftsverbände die Uneinheitlichkeit der Datenschutzaufsicht und die mangelnde Rechtssicherheit, die sich aus den unterschiedlichen Rechtsauffassungen der 17 Datenschutzbehörden der 16 deutschen Länder (Bayern betreibt 2 Datenschutzbehörden) ergibt. Fortwährend wird der Datenschutz auch als Innovationsbremse, Bürokratiemonster und Hemmnis für die Digitalisierung angeprangert.  

Erst kürzlich fasste der ITK-Branchenverband Bitkom das Ergebnis seiner repräsentativen Umfrage zur Veränderung des Aufwands für den Datenschutz in deutschen Unternehmen unter der Überschrift „Unternehmen ächzen weiter unter Datenschutz“ zusammen. Und Bitkom-Präsident Dr. Wintergerst stellt erneut fest: „Wir haben beim Datenschutz eine viel zu hohe Komplexität geschaffen, mit einer Vielzahl von Aufsichtsbehörden und unterschiedliche Auslegungen“. Auch die Deutsche Industrie- und Handelskammer (DIHK) kommt immer wieder zu dem Schluss, dass die DSGVO nach wie vor erhebliche Rechtsunsicherheiten birgt. 

Bündelung der Zuständigkeiten statt Kahlschlag 

Von einem „Kahlschlag“ beim Datenschutz, den Bundeskanzler Friedrich Merz im Wahlkampf angekündigt hatte, ist jetzt allerdings keine Rede mehr. Klar aber ist, dass der Datenschutz tatsächlich reformiert werden wird. Wie die „Bündelung von Zuständigkeiten und Kompetenzen“ konkret erfolgen soll, ist noch ungewiss. 

Vom Tisch zu sein scheint die Vollzentralisierung: Längere Zeit wurde vor allem von der CDU/CSU als die vermeintlich einfachste Lösung die Zentralisierung des Datenschutzes propagiert, bei der die Landesdatenschutzbehörden ihre Aufsichtsfunktion über die Wirtschaft und den nicht-öffentlichen Bereich komplett verlieren. Die Aufsichtskompetenz sollte dann komplett bei der Bundesbeauftragten für Datenschutz und Informationsfreiheit (BfDI) liegen. Diese Variante würde allerdings eine massive personelle Aufstockung der Bundesdatenschutzbehörde erforderlich machen und eine neue Mammutbehörde schaffen.   

Statt der teuren und ineffizienten Vollzentralisierung scheint die folgende Variante wesentlich wahrscheinlicher zu sein, die mittlerweile von Vertretern beider Regierungsparteien unterstützt wird: Die föderale Aufteilung der Datenschutzbehörden wird beibehalten, aber die Zusammenarbeit wird durch eine Kombination aus zentraler Koordination und gemeinsamen Strukturen einheitlicher, effektiver und verbindlicher gestaltet. Die BfDI übernimmt dabei zentrale Koordinierungsaufgaben. Die bei der BfDI bereits bestehende Zentrale Anlaufstelle (ZASt), welche bisher die Entscheidungsfindung der deutschen Aufsichtsbehörden für den Europäischen Datenschutzausschuss steuert, könnte zur zentralen Geschäftsstelle der Datenschutzkonferenz ausgebaut werden.   

Auch die Oppositionsparteien Grüne und Linke sehen einen grundsätzlichen Reformbedarf beim Datenschutz, sprechen sich aber klar gegen eine Zentralisierung aus. Die Grünen weisen dabei ausdrücklich darauf hin, dass es nicht im Interesse der vielen kleinen und mittleren Unternehmen ist, wenn sie keine Ansprechpartner für Datenschutzfragen und Beratung in ihrer Nähe haben. 

Landesdatenschutzbehörden bewegen sich 

Die Diskussion um die Datenschutzreform hat einen interessanten Nebeneffekt: Seitdem die Pläne einer Zentralisierung öffentlich wurden, beteuern die Landesdatenschutzbehörden ihre Einigkeit und erläutern die Vorzüge der föderalen Struktur der Datenschutzaufsicht. Die lokalen Datenschutzbehörden gewährleisteten die Nähe zu den Betroffenen und zur lokalen Wirtschaft und verhinderten, dass der Datenschutz durch Druck auf eine zentrale Stelle ausgehebelt wird. Damit Unternehmen und Bürger sich nicht länger mit unterschiedlichen Meldewegen auseinandersetzen müssen, schlagen Vertreter mehrerer Datenschutzbehörden die Einrichtung eines zentralen Online-Portals vor, über das Beschwerden und Datenpannen gemeldet werden sollen. Als weitere Schritte hin zur Entbürokratisierung und zu einer einheitlicheren Rechtslage befürworten sie, dass für überregionale Unternehmen nur noch eine einzige Behörde zuständig sein und das „Eine-für-alle-Prinzip“ umgesetzt werden soll, nach dem ein Prüfungsergebnis für alle Behörden verbindlich ist. 

Links: 

Koalitionsvertrag

DIHK-Umfrage zur DSGVO

Bitkom-Umfrage zur Veränderung des Aufwands für den Datenschutz in deutschen Unternehmen