Anfang Juli einigten sich Union und SPD auf ein Reformpaket mit 34 Maßnahmen. Während sich die Debatten seitdem auf Krankschreibungen und Informationsfreiheit konzentrierten, blieben die Datenschutzpläne der Koalition weitestgehend unter dem Radar. Doch die Vorschläge greifen tief in die bestehende Rechtslage ein: Die Bundesregierung will Millionen von Unternehmen pauschal vom Datenschutz ausnehmen, Datenschutzbeauftragte in Betrieben reduzieren und die Aufsichtsstrukturen fundamental umbauen.
Diese Pläne werfen Fragen auf, die das Grundrecht auf informationelle Selbstbestimmung und damit eines der Kernanliegen von D64 – Zentrum für Digitalen Fortschritt betreffen. Deshalb haben wir uns mit den Reformvorschlägen auseinandergesetzt. Zunächst bedauern wir, dass den Reformvorschlägen eine Debatte vorangeht, in der u.a. Bundeskanzler Merz das unterkomplexe und irreführende Bild vom Datenschutz als „Bürokratiemonster“ bedient. Er ignoriert, dass Datenschutz ein europarechtlich fest verankertes Grundrecht ist, das nach langjähriger Interessenabwägung in der DSGVO ausformuliert wurde. Vereinfachungen und Effizienzsteigerungen in der Durchsetzung sind sinnvoll, eine Kahlschlagmentalität, wie sie auch bei den Vorschlägen zum IFG zu erkennen ist, ist jedoch nicht im Interesse der Bürger:innen. Im Folgenden gehen wir auf die jeweiligen Sätze des Reformpakets zum Datenschutz [kursiv] ein.
Auf europäischer Ebene wollen wir erreichen, dass nicht-kommerzielle Tätigkeiten (zum Beispiel in Vereinen), kleine und mittelständische Unternehmen und risikoarme Datenverarbeitungen (zum Beispiel Kundenlisten von Handwerkern) vom Anwendungsbereich der DSGVO ausgenommen werden.
Die DSGVO enthält keine Öffnungsklausel, mit der KMUs und nicht-kommerzielle Tätigkeiten aus dem Anwendungsbereich der DSGVO ausgenommen werden können. Dieser Vorschlag ist europarechtswidrig und wäre als unverhältnismäßiger Grundrechtseingriff zu werten. Leitfäden und Standardverträge für risikoarme Datenverarbeitungen als Teil eines risikobasierten Ansatzes können wiederum zweckmäßig sein. Die beste Entlastung für KMU bestünde in der Schaffung von Beratungszentren bei den Datenschutzaufsichtsbehörden, dafür braucht es aber mehr statt weniger Personal. Eine pauschale Ausnahme nicht-kommerzieller Datenverarbeitungen vom Datenschutz dagegen ist nicht vereinbar mit dem Grundrecht auf informationelle Selbstbestimmung.
Für mehr Rechtsklarheit und eine einheitliche Auslegung wird ein Datengesetzbuch geschaffen, das als kohärentes Regelwerk das Datenrecht harmonisiert und vereinfacht, soweit dies sachgemäß ist, und dabei den Datenschutz sichert und die Datennutzung fördert.
Eine Harmonisierung des nationalen Datenschutzrechts über ein Datengesetzbuch wäre eine richtige Verbesserung der Rechtssicherheit. Eine Vereinfachung darf aber nicht zur Deregulierung zweckentfremdet werden.
Die Datenschutzkonferenz (DSK) verankern wir im Gesetz, um gemeinsame Standards zu erarbeiten.
Diesen Vorschlag unterstützen wir ausdrücklich. Dies würde die DSK als zentralen Akteur in der Koordination der deutschen Datenschutzaufsicht stärken als auch die Transparenz über ihre Arbeit erhöhen. Eine reine gesetzliche Verankerung ist jedoch nicht ausreichend. Es braucht eine Geschäftsstelle, eine Absicherung des Eine-für-Alle-Prinzips und einen verbindlichen Kohärenzmechanismus.
Verfahren rund um den Datenschutz werden deutlich verschlankt, die Aufsichtsstrukturen vereinfacht und gebündelt (u.a. Zuständigkeitskonzentration beim BfDI).
Das Ziel dieser „Bündelung“ ist, nach den Aussagen der Bundesregierung und einiger Landesregierungen, Datenschutz und damit ein Grundrecht der Bürger:innen zu reduzieren. Die Datenschutzaufsichtsbehörden haben aber bereits jetzt ein massives Durchsetzungsdefizit. Wir schließen uns den erst kürzlich von den Landesdatenschutzbehörden veröffentlichten Stuttgarter Impulsen an. Spezialkompetenzen wie die Pflichtmeldung von Datenpannen durch Unternehmen ohne Sitz in der EU an die BfDI abzugeben, vereinfacht die Arbeit der deutschen Datenschutzaufsicht, dafür bedarf es jedoch einer entsprechenden Ausstattung personeller Ressourcen bei der BfDI. Bereiche, in denen regionale Expertise und die Bearbeitung individueller Anliegen gefordert sind, bieten jedoch keine Synergieeffekte, Bereich in denen Landes- und Kommunalbehörden involviert sind, können laut Grundgesetz nicht vom Bund beaufsichtigt werden. Hier benötigt es stattdessen das Eine-für-Alle-Prinzip, verbindliche Mehrheitsentscheidungen der DSK, gemeinsame Meldeportale und eine länderübergreifende Entscheidungsdatenbank.
Unklar ist, welche genauen Verfahren „verschlankt“ werden sollen. Die Beschwerdeverfahren können nicht verschlankt werden, denn die sind rechtlich vorgegeben. Die Datenschutzaufsichtsbehörden sind europarechtlich nach DSGVO, EU-Verträgen und der Grundrechtecharta unabhängig. Ihnen Kompetenzen zu entziehen, weil die Bundesregierung das diffuse Gefühl hat, sie seien zu streng, ist ein unrechtmäßiger Eingriff in deren Unabhängigkeit.
Wir fordern die Bundesregierung auf, konkrete, sachliche Vorschläge zur Verbesserung des Datenschutzes und der Arbeit der Aufsichtsbehörden, sowie tatsächliche, rechtskonforme Vereinfachungen für Unternehmen vorzulegen und zur Diskussion zu stellen.
