Gesetzesentwurf: Bundesrat will Datenschutz für Firmen und NGOs vereinfachen

Nachdem der Koalitionsausschuss Anfang Juli einen Plan zur Verschlankung des Datenschutzes und zur Entlastung kleinerer Unternehmen ankündigte, folgt nun der erste konkrete Schritt dazu von den Ländern. Der Bundesrat hat am Freitag auf Antrag Hamburgs beschlossen, einen Gesetzentwurf zur Reform des Bundesdatenschutzgesetzes (BDSG) beim Bundestag einzubringen. Er greift damit das Ziel auf, datenschutzrechtliche Verfahren in Deutschland spürbar zu vereinfachen und die zersplitterten Aufsichtsstrukturen zu bündeln.

Die Länder reagieren damit auf ein altbekanntes Problem der Digitalwirtschaft: Die durch den Föderalismus geprägte Struktur sorgt zwar für eine hohe Branchenexpertise vor Ort. Sie führt bei bundesweit agierenden Systemen, länderübergreifenden Forschungsprojekten und Konzernen aber teils zu Doppelprüfungen und einer uneinheitlichen Rechtsanwendung. Das soll sich ändern, um Rechtssicherheit für datengetriebene Innovationen zu schaffen.

Kern der skizzierten Novelle ist die gesetzliche Institutionalisierung der Datenschutzkonferenz (DSK), zu der sich der Bundesbeauftragte sowie die Aufsichtsbehörden der Länder zusammengeschlossen haben. Bislang litt das Gremium oft unter langwierigen Konsensfindungen. Künftig soll die DSK die explizite Befugnis erhalten, verbindliche Mehrheitsbeschlüsse zu fassen. Wenn es in Verfahren nach der (Datenschutz-Grundverordnung (DSGVO) zu keinem Einvernehmen über einen gemeinsamen Standpunkt kommt, soll so eine einfache Mehrheit entscheiden.

Jedes Land und der Bund erhalten dabei dem Plan nach je eine Stimme. Diese Beschlüsse sollen vor allem Fragen von grundsätzlicher Bedeutung klären, wie die Auslegung der DSGVO oder die Bewertung neuer Technologien. Um die föderale Eigenständigkeit der Länderbehörden zu wahren, binden diese Beschlüsse die Mitglieder zwar untereinander, entfalten darüber hinaus aber keine direkte Bindungswirkung nach außen und begründen keine einklagbaren Rechte für Dritte. Die genaue Ausgestaltung ihrer Arbeitsweise will der Bundesrat der Geschäftsordnungsautonomie der DSK überlassen, was flexiblere und praxisnahe Lösungen ohne ständige Gesetzesänderungen ermöglichen soll.

Zentraler Ansprechpartner nicht nur für Firmen

Für erhebliche Entlastung in der Praxis soll ein nationaler One-Stop-Shop sorgen. Für verbundene Unternehmen im Sinne des Aktiengesetzes sowie für länderübergreifende wissenschaftliche, historische oder statistische Forschungsvorhaben würde so laut dem Entwurf ein zentraler Ansprechpartner etabliert. Firmen und Forschungseinrichtungen könnten künftig über eine gemeinsame Anzeige beantragen, die Zuständigkeit bei einer einzigen Aufsichtsbehörde zu bündeln. Die Auswahl soll dabei nach klaren, objektiven Kriterien erfolgen: Zuständig ist die Behörde des Bundeslandes, in dem der Verantwortliche mit dem höchsten inländischen Jahresumsatz seinen Sitz hat.

Haben die Beteiligten keinen Umsatz, was oft bei Non-Profit-Organisationen oder staatlichen Instituten der Fall ist, entscheidet die Anzahl der Beschäftigten, die konkret mit der Datenverarbeitung befasst sind. Der Zugang soll für Betroffene unbürokratisch gestaltet werden, da die Anzeige bei einer beliebigen zuständigen Behörde eingereicht werden kann. Diese soll die anderen Parteien unverzüglich informieren.

Um das Verfahren zu beschleunigen, sehen die Länder eine strikte Frist vor: Hat die federführende Behörde die Bündelung nicht innerhalb eines Monats nach Erhalt der vollständigen Unterlagen festgestellt, gilt die beantragte Behörde automatisch als zuständig.

Der Bundesrat ist am Zug

Ergänzt werden soll dieses Modell durch das Einer-für-Alle-Prinzip (EfA), das aus der Verwaltungsdigitalisierung bekannt ist. Sobald eine Datenschutzbehörde ein von einem Verantwortlichen eingesetztes System oder Verfahren geprüft und bewertet hat, wäre dieses Urteil für alle anderen Aufsichtsbehörden bindend. Voraussetzung ist, dass das System von anderen Verantwortlichen ohne wesentliche Änderungen in deren jeweiligem Zuständigkeitsbereich eingesetzt wird. So soll verhindert werden, dass eine Software, die in einem Bundesland als datenschutzkonform gilt, in einem anderen erneut langwierig überprüft werden muss.

Die Wirtschaft könne durch den Wegfall dieser Mehrfachabstimmungen mittelfristig mit einer deutlichen Verringerung des jährlichen Erfüllungsaufwands rechnen, wirbt der Bundesrat für das Vorhaben. Für Bürger und die öffentliche Verwaltung entstünden keine unmittelbaren Mehrkosten oder Veränderungen beim Aufwand. Nun liegt der Ball bei der Bundesregierung und beim Bundestag. Letzterer muss den Entwurf „in angemessener Frist“ beraten.

(nie)