Regierungsentwurf zur Umsetzung der DSGVO: Spiel­raum genutzt, wo es nur geht

2/2: DSGVO mit strengen Auflagen

Die DSGVO enthält sehr bürokratische Anforderungen an die Einholung von Einwilligungen. Daran lässt sich im Rahmen der nationalen Umsetzung nichts ändern. Die Bundesregierung hat aber eine Reihe von Konstellationen identifiziert, bei denen das geltende Bundesdatenschutzgesetz keine Einwilligung verlangen würde, die DSGVO hingegen schon. Im Rahmen der Umsetzung will der Gesetzgeber deshalb der der deutschen Rechtslage näher zu kommen, indem er etwa den sogenannten Zweckbindungsgrundsatz lockert. Ähnlich ist die Bundesregierung bei den Transparenzpflichten vorgegangen. Teilweise werden Ausnahmen des geltenden deutschen Rechts weiter geführt, so zum Beispiel im Fall von späteren Zweckveränderungen oder bei der Videoüberwachung.

Unzutreffend ist der laut gewordene politische Vorwurf, die Bundesregierung würde mit ihrem Entwurf eine Absenkung des Datenschutzniveaus vorschlagen. Es besteht kein Zweifel daran, dass die DSGVO das Datenschutzniveau in Deutschland im Vergleich zum geltenden Bundesdatenschutzgesetz anhebt. Die Bundesregierung schlägt nur vor, diese Anhebung an einzelnen Stellen nicht zu stark ausfallen zu lassen. Von einer Absenkung des bestehenden Datenschutzniveaus kann hingegen keine Rede sein.

Vertretung im europäischen Datenschutzausschuss umstritten

Wichtige Entscheidungen zum Datenschutz soll künftig ein europäischer Datenschutzausschuss treffen. Deutschland darf aber nur einen Platz im Ausschuss besetzen, den der Bundesdatenschutzbeauftragte einnehmen soll. In Deutschland wird die Privatwirtschaft jedoch im Wesentlichen durch Datenschutzbehörden der Länder beaufsichtigt, die ebenfalls auf europäischer Ebene Gehör finden wollen. Das könnte zu einem politischen Zankapfel im Gesetzgebungsverfahren werden, der Bundesrat wird im Zweifel eigene Vorschläge zu der Frage einbringen.

Die Bundesregierung schlägt als Entgegenkommen vor, dass die Länder einen Vertreter für die Bundesbeauftragte stellen können und vor der Entscheidung angehört werden. Das reicht den Datenschutzbehörden in den Ländern jedoch nicht, sie wollen mitentscheiden können.
Der europäische Datenschutzausschuss ist vor allem dafür zuständig, dass die DSGVO nach einheitlichen Grundsätzen ausgelegt wird. Dafür kann sie Leitlinien beschließen und in Einzelfällen Konflikte zwischen Datenschutzbehörden lösen. Nicht einmal innerhalb von Deutschland gab es bisher einen solchen formalisierten Mechanismus, weshalb es Anwendungsunterschiede sogar zwischen den Bundesländern hierzulande gibt. Der europäische Datenschutzausschuss wird deshalb nicht nur europaweit, sondern auch innerdeutsch die Aufsichtspraxis harmonisieren.

Umsetzungsprozess mit DSGVO lange nicht beendet

Für Unternehmen können die Entscheidungen des europäischen Datenschutzausschusses von großer Bedeutung sein. Die Vergangenheit zeigt, dass die Datenschutzbehörden auf europäischer Ebene zu einer strengen Auslegung des Datenschutzrechts neigen. Die Verordnung sieht keine Beteiligungsrechte von betroffenen Unternehmen an den Entscheidungsprozessen des Ausschusses vor - Streit ist damit vorprogrammiert. Hinnehmen müssen direkt betroffene Unternehmen die Entscheidungen aber nicht, sie können sogar unmittelbar vor der ersten Instanz des Europäischen Gerichtshofes (EuGH) klagen. Außerdem können nationale Gerichte dem EuGH Fragen im Rahmen eines Vorabentscheidungsgesuchs zur Auslegung der Verordnung vorlegen.

Was am Ende gilt, wird das oberste europäische Gericht entscheiden. Die Europäische Kommission war in der Zwischenzeit ebenfalls nicht tatenlos: Im Januar hat sie einen Vorschlag für eine Verordnung vorgeschlagen, der die Verarbeitung von Daten im Zusammenhang mit elektronischer Kommunikation regelt. Das europäische Umsetzungsprojekt wird deshalb noch lange nicht am 25. Mai 2018 beendet sein.

Prof. Dr. Ulrich Wuermeling ist Rechtsanwalt bei Latham & Watkins LLP und auf datenschutzrechtliche Beratung und Prozessführung spezialisiert.