Datenschutzbeauftragter: Keine Pflicht mehr für Kleinbetriebe

Nach gut einem Jahr DSGVO gab es eine wesentliche Neuerung: Der Bundestag verdoppelte den Schwellenwert für das Ernennen eines betrieblichen Datenschutzbeauftragten. Die Datenschutzbestimmungen selbst wurden jedoch nicht gelockert.

Kritische Stimmen zur Neuregelung

Die Pflicht zur Bestellung eines internen oder externen Datenschutzbeauftragten (DSB) hängt nach wie vor von der Anzahl der Mitarbeiter ab, die sich “ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen”, wie es in § 38 BDSG heißt. Ursprünglich hieß es, wenn sich 10 Mitarbeiter ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen, ist ein DSB notwendig.

Der Bundestag jedoch hat nun einem Gesetzentwurf zugestimmt, der diesen Schwellenwert auf 20 Mitarbeiter herauf setzt. Dieser Beschluss führte zu zahlreicher Kritik: Ulrich Kelber, seines Zeichens Bundesdatenschutzbeauftragter, warnte, dass die Schwellenwerterhöhung eine “falsche Maßnahme” sei, “die die Wahrung des hohen Datenschutzniveaus in Deutschland ernsthaft gefährden könnte”. Dass die Neuregelung eine Entlastung für die Unternehmen sei, wäre ein “Trugschluss”. Kelber: “Spätestens wenn man aufgrund des fachlichen Kompetenzverlusts mittelfristig teures externes Wissen einkaufen muss oder sich wegen Datenschutzverstößen der Bußgeldforderung der Aufsichtsbehörde gegenüber sieht, wird man feststellen, dass hier am falschen Ende gespart wurde.”

Wenig begeistert äußerte sich auch der Grünen-Abgeordnete Konstantin von Notz. Schon vor der Abstimmung wies er darauf hin, dass der Schaden dieser Neuerung für die Wirtschaft größer sei als ihr Nutzen. “Die Pflichten bleiben exakt dieselben, es ist nur niemand mehr zuständig. Das einzige, was steigt, ist das Haftungsrisiko”, gab von Notz zu bedenken.

Kritisch äußerte sich ebenfalls die SPD-Berichterstatterin Saskia Esken. Esken meint, auch Kleinbetriebe seien “mit Blick auf die eigene Rechtssicherheit, aber auch mit Blick auf die Qualität ihrer Datennutzung gut beraten, einen betrieblichen Datenschutzbeauftragten zu benennen”.

Was möchte die Regierung mit der Neuerung zu Datenschutzbeauftragtenerreichen?

Die Koalition begründet (siehe PDF) ihr Vorgehen damit, dass kleine Betriebe und Vereine entlastet werden können. Die Befürworter des neuen Schwellenwerts argumentieren, dass 90 Prozent der Handwerksbetriebe davon profitieren würden. Ein massiver Bürokratieabbau sei die Folge.

Die Abstimmung fand am Donnerstag, den 27. Juni 2019 statt. CDU/CSU und SPD stimmten für die Neuerungen, während die Opposition ablehnte. Weitere Details zur Abstimmung können Sie der Website des Bundestags entnehmen.

Der Bundesrat muss der Neuregelung der DSGVO noch zustimmen. Doch was will uns der oben zitierte Gesetzestext konkret sagen? Unter “ständig beschäftigt” gilt für den Gesetzgeber derjenige, der permanent für die Kunden- oder Personalverwaltung zuständig ist. Personen, die beispielsweise als Handwerker oder Mitarbeiter in der Produktion lediglich mit Namen und Adressen von Kunden umgehen, beschäftigen sich “nicht ständig” damit.

Mit der “automatisierten Verarbeitung” der Daten beschreibt der Gesetzgeber, dass das Erheben, Verarbeiten sowie Nutzen personenbezogener Daten mithilfe von Datenverarbeitungsanlagen erfolgt. Das können also Computer, Smartphones oder Server, aber auch ein Kopierer sein, wenn er – wie heute üblich – mit einem Speichermedium arbeitet.

Ausnahmen bestätigen auch die neuen Regeln

Auch wenn der Bundesrat die neuen Regeln im Datenschutz durchwinkt, gibt es Ausnahmen. Denn der neue Schwellenwert für die verpflichtende Bestellung des DSB gilt für sämtliche Unternehmen, außer für jene, die personenbezogene Daten verarbeiten, die zur Bewertung der Persönlichkeit des Betroffenen, seiner Leistungen oder seines Verhaltens beitragen.

Beispiele, die dies verdeutlichen, sind etwa der Hörgeräteakustiker oder auch der Orthopädiemechaniker. Personenbezogene Daten werden verarbeitet und zur Bewertung des Betroffenen genutzt. Dementsprechend müssen solche Unternehmen auch dann einen Datenschutzbeauftragten ernennen, wenn sie unter dem Schwellenwert liegen. Dasselbe gilt für Betriebe, die hoheitliche Aufgaben verfolgen, etwa dem Schornsteinfeger.

Weitere Änderungen in Sachen „Datenschutzbeauftragter“ sind zu erwarten

Die Schwellenwertänderung zur Pflicht zur Bestellung des Datenschutzbeauftragten ist Teil des “Zweiten Datenschutz-Anpassungs- und Umsetzungsgesetzes” von der Bundesregierung. Im Rahmen dessen soll auch das BDSG präzisiert werden. So soll es beispielsweise Mitarbeitern künftig möglich sein, ihre Erlaubnis zur Datenverarbeitung auch in elektronischer Form, etwa per E-Mail, abzugeben.

Insgesamt hat die Bundesregierung einen 454-seitigen Gesetzentwurf (PDF) geschaffen, in dem 154 Fachgesetze geändert werden sollen. Häufig handelt es sich hier um kleinere Umformulierungen; aus einem “verwendet” wird ein “verarbeitet”.

Wünschenswert wäre es, wenn die Regierung die aktuelle Evaluierung der Datenschutz-Grundverordnung dafür nutzt, den Datenschutz möglichst praxisnah und risikogerecht zu gestalten.