Neues Datenschutzgesetz vom Kabinett beschlossen

Das Bundeskabinett hat am 1. Februar 2017 einen neuen Entwurf für ein Gesetz zur Anpassung und Neustrukturierung des deutschen Datenschutzrechts beschlossen. Das „Datenschutz-Anpassungs- und – Umsetzungsgesetz“ (DSAnpUG-EU) ist notwendig, um deutsche Datenschutzvorschriften an die europäische Datenschutzrichtlinie für Polizei und Justiz und an die Vorgaben der neuen EU-Datenschutzgrundverordnung (EU DS-GVO) anzupassen. Die EU DS-GVO hat zum Ziel, ein vereinheitlichtes Datenschutzrecht und damit weitgehend die gleichen Standards für den Umgang mit personenbezogenen Daten innerhalb der EU zu schaffen. Dennoch eröffnet sie mit einer Vielzahl von Öffnungsklauseln Raum für nationale Regelungen in den Mitgliedsstaaten.

Was regelt das neue Gesetz?

Das DSAnpUG-EU stellt eine umfassende Reform und Neustrukturierung des deutschen Datenschutzrechts dar. Im Mittelpunkt der Umgestaltung steht die umfassende Neufassung des aktuellen Bundesdatenschutzgesetzes (BDSG), welches die ab Mai 2018 in Deutschland geltende EU DSGVO ergänzen und konkretisieren soll. Das im Entwurf vorgestellte 85-Paragraphen-starke Gesetzeswerk ist wesentlich umfassender als das bisherige BDSG. Die zu Grunde liegende Verordnung findet zwar als europäische Verordnung unmittelbar Anwendung. Sie wird aber durch das neue BDSG ergänzt. Die Folge: Unternehmen werden künftig beide Regelwerke zu beachten haben. Hinzu kommen bereichsspezifische Regelungen in Fachgesetzen, die sich ebenfalls im Rahmen der vorrangig geltenden Regelungen der EU DS-GVO bewegen müssen.

Kritik von Experten und Datenschutzbehörden

Der vom Bundeskabinett beschlossene Entwurf des DSAnpUG-EU wird – wie die Vorgängerentwürfe auch – teilweise als europarechtswidrig und verfehlt bewertet. Viele Öffnungsklauseln würden im Entwurf des neuen BDSG wiederholt, womit es an der notwendigen konkretisierenden Regelung fehle. Zudem werde der den Mitgliedstaaten eingeräumte Handlungsspielraum teilweise überdehnt, sodass Regelungen geschaffen werden, die von den Öffnungsklauseln der EU-DS-GVO nicht gedeckt seien. So kritisieren die deutschen Aufsichtsbehörden, dass vor allem die Betroffenenrechte ungebührlich eingeschränkt würden. Insgesamt gefährde dies die angestrebte Harmonisierung des Datenschutzrechts in der EU und senke das von der EU DSGVO vorgesehene Datenschutzniveau rechtswidrig ab. Aufgrund der vielen Ausnahmeregelungen und Verweisungen im Entwurf des DSAnpUG-EU sei speziell für Unternehmen, die dem deutschen Recht unterliegen, ein undurchsichtiges Dickicht geschaffen worden. Die Anwendung des neuen Datenschutzrechts würde dadurch erheblich erschwert und konterkariere so die Bemühungen der EU das Datenschutzrecht für Unternehmen europaweit zu vereinheitlichen und zu vereinfachen.

Schließlich lasse der Entwurf in derzeitiger Form offen, inwieweit zusätzliche Regelungen hinsichtlich der zahlreichen bereichsspezifischen Datenschutzvorschriften in Deutschland notwendig sind. Es bestehe demnach die Gefahr einer inkonsistenten Datenschutzstruktur in Deutschland mit sich teils widersprechenden Regelungen. Die Rechtsanwender seien mit dieser Situation schlicht überfordert und es werde durch den Gesetzesentwurf eine erhebliche Rechtsunsicherheit geschaffen.

Ausblick

Es bleibt abzuwarten, in welcher konkreten Form der Entwurf nach der Abstimmung im Bundestag und Bundesrat tatsächlich als Gesetz verkündet wird und ob die angesprochenen Kritikpunkte berücksichtigt werden. Den Unternehmen ist in jedem Fall anzuraten, das Gesetzgebungsverfahren genau zu beobachten und sich schon jetzt mit der größten Datenschutzreform in Europa auseinanderzusetzen, da ihnen andernfalls ab dem 25. Mai 2018 empfindliche Bußgelder bis zu EUR 20 Mio. oder 4% des weltweiten Vorjahresumsatzes drohen. Am 10. März wird der Bundesrat voraussichtlich über das neue Gesetz beraten.

Leistungen von KPMG Law

Unser Team von hoch spezialisierten Rechtsanwälten berät internationale und nationale Konzerne, kleinere und mittelständische Unternehmen, öffentliche Körperschaften, sowie Finanzinvestoren und Start-Ups umfassend im Bereich Informationsmanagement (Datenschutz und IT-Sicherheit), insbesondere bei der Identifikation, Analyse und Bewertung bestehender rechtlicher Dokumentation und interner Prozesse zum Umgang mit personenbezogenen Daten („Privacy Impairment Check“) sowie deren Optimierung.

Darüber hinaus beraten wir gestaltend bei der datenschutzkonformen Einführung eines Informations- und Datenmanagements sowie der Entwicklung und Markteinführung von Produkten („Privacy by Design“).

Selbstverständlich beraten wir Sie auch anlassbezogen bei internen oder externen Untersuchungsverfahren, z.B. nach einem „Data Loss Incident“ im Krisenfall und vertreten Sie in allen behördlichen oder gerichtlichen Verfahren (Prozessvertretung). Sprechen Sie uns jederzeit gerne auf unsere Beratungsangebote an!