Entwurf zum deutschen Ausführungsgesetz zur Datenschutz-Grundverordnung europarechtswidrig?
Die deutschen Ausführungsregelungen zur Datenschutz-Grundverordnung der EU stellen einen möglichen Alleingang Deutschlands dar und sorgen für Verwirrung. Eine mögliche Unvereinbarkeit der Vorschriften des Entwurfes für ein neues Bundesdatenschutzgesetz mit dem Unionsrecht kann ebenfalls nicht ausgeschlossen werden.
Die EU-Datenschutz-Grundverordnung (DSGVO) wirkt ab Mai 2018 unmittelbar in allen 28 Mitgliedsstaaten. Durch den Anwendungsvorrang der Verordnung bedarf es keiner nationalen Umsetzung durch die Mitgliedsstaaten. Nationale Regelungen, die den Datenschutz betreffen, werden ab Mai 2018 somit überwiegend verdrängt.
Eine Möglichkeit durch die Hintertür bleibt den Mitgliedsstaaten dennoch erhalten, denn die DSGVO sieht durch Öffnungsklauseln die Möglichkeit spezifischer nationaler Regelungen vor. So bleiben etwa Regelungen, die die Zuständigkeiten von Bundes- und Landesdatenschutzbeauftragten betreffen, zulässig.
Bereits im August legte das Bundesinnenministerium einen Referentenentwurf für ein mögliches Ausführungsgesetz, welches Datenschutz-Anpassungs- und -Umsetzungsgesetz EU (DSAnpUG-EU) heißen soll, vor. Dieser Entwurf stieß auf enorme Kritik. Inzwischen liegt ein überarbeiteter Referentenentwurf vor. Unter anderem ist eine neue Fassung des Bundesdatenschutzgesetzes (BDSG-E) vorgesehen. Den entworfenen Regelungen wird entgegengehalten, dass sie zu komplex und schwer verständlich wären.
Es ist zudem fraglich, ob mit dem Entwurf die im Erwägungsgrund Nr. 8 der DSGVO erwähnte Kohärenz zwischen nationalem Recht und Unionsrecht eingehalten wird und nationale Rechtsvorschriften den Betroffenen dadurch verständlicher gemacht werden. Mit § 24 des BDSG-E soll eine Anlehnung an den bisherigen § 32 BDSG hinsichtlich des Beschäftigtendatenschutzes vorgenommen werden, wobei problematisch ist, ob die Transparenz und Vorhersehbarkeit der DSGVO dem nicht entgegensteht. Auch ist für bereits abgeschlossene Betriebsvereinbarungen durch die DSGVO eine Anpassung erforderlich, was für die Umsetzung in den Unternehmen erhebliche Zeit beansprucht.
Des Weiteren sieht der BDSG-E die Einschränkungen der Informationsrechte des Art. 13 und Art. 14 DSGVO vor. So soll die Unterrichtungspflicht nach Art. 13 DSGVO entfallen, sofern dies mit einem unverhältnismäßigen Aufwand verbunden wäre oder voraussichtlich die Verwirklichung der Ziele die Verarbeitung unmöglich machen oder ernsthaft beeinträchtigen würde und deswegen das Interesse der betroffenen Person an der Informationserteilung zurücktreten muss. Die Frage nach der Konformität mit den europäischen Regelungen stellt sich auch hier. Weiter sollen Bußgelder für Personen, die „in Ausübung ihrer Tätigkeit“ gegen die Vorgaben der DSGVO verstoßen, durch den BDSG-E mit einer Obergrenze von 300.000 € gedeckelt werden. Auch diesbezüglich könnte eine mögliche Unvereinbarkeit mit Art. 83 Abs. 1 DSGVO, nach dem Bußgelder „wirksam und abschreckend“ sein müssen, nicht auszuschließen sein.
Insgesamt soll der Entwurf die Pflichten von Unternehmen in Bezug auf den Datenschutz einschränken, was aus Unternehmersicht grundsätzlich positiv ist. Allerdings ist bei einigen Regelungen eine Unvereinbarkeit mit dem EU-Recht nicht auszuschließen, so dass Unternehmen vor dem Problem stehen, an welchen künftigen Regelungen sie sich orientieren sollen. Sollten sich die Unternehmen nach dem BDSG-E richten und der Entwurf im Gesetzgebungsverfahren scheitern oder sich sogar als europarechtswidrig herausstellen, stehen sie vor einem Problem. Wünschenswert wäre insofern ein europaweit einheitliches Datenschutzrecht und keine 28 verschiedenen Datenschutzgesetze. Von der DSGVO erheblich abweichende Ausführungsregelungen laufen diesem Zweck aber zuwider.
