News & Know How

Referentenentwurf zur Novellierung des BDSG

Ausgangssituation und Zielsetzung

In jüngster Vergangenheit gab es wiederholt Datenpannen, insbesondere im Telekommunikationsbereich. Obwohl alle bekannt gewordenen Fälle gegen bereits bestehende Datenschutznormen verstoßen, sah man dies als willkommenen Anlass, um die ohnehin dehnbaren Vorschriften des Bundesdatenschutzgesetzes etwas zu straffen. Außerdem wird das seit vielen Jahren überfällige Thema Datenschutzaudit geregelt.
Die zentralen Änderungen im Überblick:

Einschränkungen der Werbewirtschaft

Das Listenprivileg soll weitgehend abgeschafft werden. Ohne Einwilligung des Betroffenen sollen Unternehmen dann ihre Kunden nur noch für eigene Angebote oder eigene Markt- und Meinungsforschungen ansprechen dürfen. Eine Ausnahme gilt für Spendenaufrufe gemeinnütziger Träger.

Einwilligung in Datennutzung

Die Kommerzialisierung der Einwilligung wird zugelassen. Erforderlich ist aber eine bewusste, separate und zweifelsfreie Einwilligung, d.h. ein klares Opt-in. Die Einwilligung wird zukünftig auch außerhalb des TMG elektronisch erklärt werden können. Es soll das „milde“ Kopplungsverbot gelten, d.h. marktbeherrschende Unternehmen dürfen die Nutzung ihres Angebotes nicht von der Erteilung der Einwilligung abhängig machen. Allerdings sollen selbst Plattformen wie eBay keine entsprechende marktbeherrschende Stellung einnehmen.

Stärkung des betrieblichen Datenschutzbeauftragten

Der betriebliche Datenschutzbeauftragte wird gestärkt. Bis ein Jahr nach seiner Abberufung soll er nur aus wichtigem Grund gekündigt werden können, falls eine Pflicht zur Bestellung besteht und das Kündigungsschutzgesetz anwendbar ist. Ergänzt wird dies durch Regelungen zur Fortbildung.

Erhöhung Bußgelder

Der Bußgeldrahmen für Verstöße gegen Verfahrensvorschriften wird von EUR 25.000,00 auf EUR 50.000,00 angehoben. Bei einem Verstoß gegen materielle Datenschutzvorschriften soll es ein Bußgeld bis zu EUR 300.000,00 geben können. Außerdem soll die Geldbuße den wirtschaftlichen Vorteil, den der Täter aus der Ordnungswidrigkeit gezogen hat, übersteigen; insoweit dürfen auch die Höchstbeträge überschritten werden. Es bleibt zweifelhaft, ob diese vage Sanktionsandrohung verfassungsrechtlichen Vorgaben genügen kann.

Mitteilungspflicht bei Datenverlust

Geplant ist eine Verpflichtung zum „Responsible Disclosure“. Danach sollen Unternehmen, aus deren Verfügungsbereich sensible Daten (z.B. besondere Daten nach § 3 Abs. 9 BDSG, Bank-, Gesundheits- oder TK-Daten) Dritten zur Kenntnis gelangt sind, bei drohender schwerwiegender Beeinträchtigung unverzüglich die zuständige Aufsichtsbehörde und die Betroffenen informieren müssen. Die dadurch bestehende Verpflichtung zur Selbstbelastung wird vom Referentenentwurf nicht thematisiert. Alternativ zur individuellen Informationen der Betroffenen kann bei Unverhältnismäßigkeit auch eine allgemeine Information der Öffentlichkeit durch halbseitige Anzeigen in zumindest zwei bundesweit erscheinenden Tageszeitungen erfolgen.

Datenschutzauditsiegel

Zulassungspflichtige, private Kontrollstellen sollen auf freiwilliger Basis verantwortliche Stellen regelmäßig überprüfen. Die überprüften Unternehmen können u.a. mit einem entsprechenden Siegel werben. Viele Details werden auf eine noch ausstehende Rechtsverordnung verschoben.

In Kraft treten

Die geplanten Änderungen sollen zum 01.07.2009 in Kraft treten. Der Entwurf sieht eine Übergangsfrist vor, wonach für bis zum 01.07.2010 erhobenen Daten die alten Regelungen fortgelten, damit sich die Werbewirtschaft entsprechend umstellen kann.

Kritik und Ausblick

Der Entwurf stellt einen vernünftigen Kompromiss dar. Gestärkte Kontrollmöglichkeiten des Betroffenen schränken Unternehmen nur bei einer zweckwidrigen Nutzung ihrer Kundendaten ein. Die gesetzlichen Erlaubnistatbestände werden mit der Neuregelung ein Stück Transparenz gewinnen. Für den Onlinebereich ist bedauerlich, dass die genannten Änderungen des BDSG nicht in das TMG (zurück-)gespielt werden. Damit bleibt unklar, ob (und ggf. weshalb nicht) Telemedienanbieter ihre Bestandsdaten zur Eigenwerbung via Print oder für vergleichbare Angebote (vgl. § 7 Abs. 3 UWG) nutzen können.
Bedenklich erscheint die im Datenschutz langsam gängige Gesetzgebungspraxis, Unternehmen gegenüber Aufsichtsbehörden weitgehende Aufklärungs- und Selbstbelastungsverpflichtungen aufzuerlegen.