„Der Bundestag baut Bürokratie im Datenschutz ab“ – wirklich?

So oder so ähnlich titeln gerade viele Publikationen. Es geht darum, dass der Bundestag am 27.6.2019 ein Gesetz veranschiedet hat, wonach die im §38 BDSG festgeschriebene Benennungspflicht für Datenschutzbeauftragte bei Unternehmen, in denen mindestens 10 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, auf „mindestens 20 Personen“ angehoben wird. Der Hintergrund ist klar: seit etwa eineinhalb Jahren arbeiten diverse Lobbyorganisationen des Mittelstands (deren Arbeit ich insgesamt keinesfalls als negativ darstellen möchte) massiv daran, die Datenschutzvorgaben für KMU „erträglicher“ zu machen. So weit, so begrüßenswert. Das Ziel der Bundesregierung ist – so erklärt man es zumindest offiziell – die Reduzierung der Bürokratie. Ich persönlich kenne auch dabei niemanden, der diesem Ziel nicht zustimmen würde.

Der bürokratische Aufwand im Datenschutz hat mit dem Datenschutzbeauftragten überhaupt nichts (wirklich: NULL) zu tun.

Was die Autoren diverser Publikationen nicht beachten (oder aber bewusst verdrehen) ist die Tatsache, dass durch diese Neuregelung eben genau keine Erleichterungen in den Datenschutzvorgaben für KMU geschaffen werden und schon erst recht keine Bürokratie verringert wird. Denn der bürokratische Aufwand, hat mit dem DSB überhaupt nichts (wirklich: NULL) zu tun. Die Bürokratie trifft den Verantwortlichen und genau diesen Aspekt lässt die Entscheidung des Bundestags völlig außen vor. Das Gegenteil ist der Fall:

Der Datenschutzbeauftragte ist genau die Person, die den Unternehmer von überbordender Bürokratie des Datenschutzmanagements entlasten kann.

Denn der Datenschutzbeauftragte (sofern er angemessen kompetent ist, eine anständige Dienstleistung erbringt und nicht zu den Scharlatanen gehört, die im Mai 2018 sozusagen aus dem Nichts erschienen sind, weil sie „DSGVO“ einigermaßen fehlerfrei buchstabieren konnten und seitdem den Unternehmen schlechte und überteuerte Dienstleistungen andrehen) ist genau die Person, die den Unternehmer von überbordender Bürokratie des Datenschutzmanagements entlastet. Ein guter DSB weiß, was warum wie zu tun ist und was eben nicht, hat die richtigen Werkzeuge an Bord und sorgt dafür, dass der Verantwortliche eben genau so wenig wie möglich Aufwand in das Thema Datenschutz investieren muss (dafür aber an genau den richtigen Stellen).

Redebeitrag von Dr. Konstantin von Notz bei der Bundestagsdebatte am 28.6.2019

Rein fachlich unterliegen viele Unternehmer nämlich einem Trugschluss bezüglich der Benennungspflicht: die 10 (oder nun 20) Personen-Regel ist nicht das einzige Kriterium zur Entscheidung, ob ein Datenschutzbeauftragter zu benennen ist. Vielmehr legen Art. 73 DSGVO und darauf basierend §38 BDSG einen Kriterienkatalog fest, an dem die Benennungspflicht festzumachen ist.

Die 10 (oder nun 20) Personen-Regel ist nicht das einzige Kriterium zur Entscheidung, ob ein Datenschutzbeauftragter zu benennen ist.

Aus gutem Grund: denn die alleinige Betrachtung der Anzahl der Mitarbeiter berücksichtigt nicht das Risiko, das von der Verarbeitung für die Rechte und Freiheiten der betroffenen Personen ausgeht. So sind bspw. im Gesundheitswesen (Krankenhäufer, Pflegeheime und -dienste, usw.) ganz andere Kriterien ebenso maßgebend. Gem. Art. 37 Abs. 1 Buchst. c DSGVO basiert hier die Benennungspflicht regelmäßig auf folgenden Kriterien:

• Verarbeitung von besonderen Kategorien von Daten nach Art. 9, 10 DSGVO
• als Kerntätigkeit und
• im Rahmen einer umfangreichen Verarbeitung

Die Kerntätigkeit ist nicht zuletzt aufgrund gesetzlicher Vorgaben zur Dokumentation genau diese umfangreiche Verarbeitung besonderer personenbezogener Daten (hier. Gesundheitsdaten). Die Anzahl der Mitarbeiter spielt hierbei oft eine untergeordnete bis keine Rolle.

Die Gesetzesänderung hat also in vielen Bereichen (bspw. im Bereich des Gesundheitswesens) keinerlei positive Auswirkungen (nur dass erneut Verunsicherung mittelständischer Unternehmer billigend in Kauf genommen und das „Image“ eines so wichtigen Gesetzes weiter beschädigt wurde).