Regierungsentwurf zur Umsetzung der DSGVO: Spiel­raum genutzt, wo es nur geht

Der Zeitplan für die Umsetzung der europäischen Datenschutzreform ist anspruchsvoll: Unternehmen bleibt nur noch ein gutes Jahr, um die neuen Vorgaben umzusetzen. Weitere Übergangsfristen bietet die Verordnung nicht. Die Bundesregierung ist gleichzeitig gefordert, denn sie muss vor dem Ende der Frist ein Umsetzungsgesetz durch den Gesetzgebungsprozess bringen. Dazu hat sie Anfang Februar einen Gesetzentwurf vorgelegt, theoretisch könnte das Gesetz noch in dieser Legislaturperiode verabschiedet werden. Die ersten politischen Reaktionen auf den Entwurf lassen aber keinen schnellen Ablauf erwarten.

Der Gesetzentwurf besteht zum größten Teil aus Vorschriften, die Sonderregelungen für die öffentliche Verwaltung schaffen. Der Datenschutz in der Privatwirtschaft wird sich hingegen weitgehend nach der Datenschutz-Grundverordnung (DSGVO) richten. Die Bundesregierung hat aber einige interessante Modifikationen im Sinn, die den Anpassungsaufwand an die strengen und bürokratischen Anforderungen der DSGVO in Deutschland etwas abmildern würden.

Außerdem möchte die Bundesregierung ein paar liebgewordene deutsche Regelungen des Bundesdatenschutzgesetzes konservieren. Dazu gehören die Vorschriften zum betrieblichen Datenschutzbeauftragten, Beschäftigtendatenschutz und Scoring. Die EU-Verordnung lässt hierzu etwas Spielraum, den der deutsche Gesetzgeber nutzen möchte.

Nur wenige, dafür wichtige Änderungen für Unternehmen

Das noch gültige Bundesdatenschutzgesetz verpflichtet jedes Unternehmen, in dem mindestens zehn Personen ständig personenbezogene Daten verarbeiten, einen Datenschutzbeauftragten zu bestellen. Auf europäischer Ebene ist das aber nicht vorgesehen, die DSGVO verpflichtet Unternehmen nur in Ausnahmefällen zur Bestellung von Datenschutzbeauftragten. Mit dem von der Bundesregierung beabsichtigten Erhalt dieser typisch deutschen Regelung werden auch relativ kleine Unternehmen in Deutschland weiterhin einen Datenschutzbeauftragten bestellen müssen.

Für die Verarbeitung von Beschäftigtendaten sieht die DSGVO ebenfalls einen weiten nationalen Spielraum vor. Der wird vermutlich dazu führen, dass das europäische Harmonisierungsziel der Verordnung in diesem Bereich nicht erreicht wird. Die Bundesregierung macht den Anfang, denn ihr Gesetzentwurf übernimmt weitgehend die geltende deutsche Regelung zum Beschäftigtendatenschutz. Damit wird das Thema jedoch nicht abgeschlossen sein. In der nächsten Legislaturperiode könnte ein eigenständiges Beschäftigtendatenschutzgesetz für Deutschland kommen: Es liegt seit langer Zeit in der Schublade und wartet auf eine Bundesregierung, die das Thema anpacken will.

Bonitätsauskünfte werden im Gesetzentwurf ebenfalls in Anlehnung an das bestehende Gesetz geregelt. Ob dafür tatsächlich nationaler Umsetzungsspielraum besteht, kann mit guten Gründen bezweifelt werden, die Bundesregierung will es dennoch versuchen. Im Gesetzentwurf ist es ihr aber noch nicht ganz gelungen, die alten deutschen Vorschriften in den Kontext der Verordnung einzuarbeiten.