Nachrichten für Datenschutzbeauftragte

Datenschutz-Gesetzgebung abgeschlossen

(06.07.2009)  •  Der Bundestag hat in seiner letzten regulären Sitzung dieser Legislaturperiode am Freitag den Datenschutz weiter gestärkt. Allerdings bleiben die Änderungen durch die Novellierung klar hinter den Zielen zurück, die die Politik nach den Skandalen im letzten Jahr angekündigt hatte.

Das Bundesdatenschutzgesetz (BDSG) wird durch die zweite Novellierung vielfach geändert und durch die vielen neuen Regelungen und ihrer Ausnahmen deutlich unübersichtlicher (das neue BDSG hier im Wortlaut).

Die wesentlichen Änderungen sind:

• Listenprivileg:
  Das besonders heftig umstrittene Listenprivileg bleibt bestehen. Listenmäßig erfasste Daten wie Name, Anschrift, Geburtsjahr oder Beruf dürfen also auch zukünftig weitergegeben werden (§ 28 Abs. 3).
  
  • Neu ist, dass der Betroffene in die Nutzung seiner Daten formell eingewilligt haben muss. Jedoch genügt hierfür eine Textpassage im Vertrag, die in „drucktechnisch deutlicher Gestaltung besonders hervorzuheben“ ist.
  • Die Weitergabe muss nun zwei Jahre lang dokumentiert werden.
  • Der Betroffene ist über die Herkunft seiner Daten zu informieren (Name des Datenlieferanten im Klartext). Damit soll ihm ermöglicht werden, einer Weitergabe und Nutzung seiner Daten wirksam zu widersprechen.
  Ursprünglich hatte der Regierungsentwurf vorgesehen, dass die Verwendung personenbezogener Daten zu Werbezwecken künftig nur nach einer ausdrücklicher Einwilligung der Betroffenen zulässig sein soll.
  Nicht eingeschränkt werden die Möglichkeiten zur Eigenwerbung mit mit eigenen Kundendaten, die im Rahmen einer Vertragsbeziehung erhoben wurden.
  
  
• Präzisierung der Auftragsdatenverarbeitung:
  Deutlich präzisiert wird die Dokumentations- und Überwachungspflicht bei Auftragsdatenverarbeitungen (§ 11 Abs. 2 BDSG). Hier sind zehn Vorgaben namentlich aufgezählt, die ein Vertrag über Auftragsdatenverarbeitung zu enthalten hat.
  
  
• Datensicherheit:
  Die Sicherheit von Daten soll generell erhöht werden. Soweit möglich, sollen personenbezogene Daten anonymisiert oder pseudonymisiert gespeichert werden (Neufassung des § 3a).
  
  
• Arbeitnehmer-Datenschutz:
  Es wird eine Generalklausel zum Arbeitnehmer-Datenschutz eingefügt (§ 32). Danach dürfen Arbeitgeber die Daten ihrer Beschäftigten nur noch dann zur Aufdeckung einer Straftat nutzen, wenn es tatsächliche Anhaltspunkte für einen Verdacht gibt.
  
  
• Informationspflicht:
  Es greifen Informationspflichten ein, wenn ein Unternehmen feststellt, dass Dritte von besonders sensiblen Daten (z.B. Kreditkarten- oder Gesundheitsdaten) unrechtmäßig Kenntnis erlangt haben. Es sind dann unverzüglich die Aufsichtbehörde und die Betroffenen zu informieren, falls erforderlich auch öffentlich (§ 42a).
  
  
• Bessere Stellung des Datenschutzbeauftragten:
  Der betriebliche Datenschutzbeauftragte erhält einen ähnlich starken Kündigungsschutz wie Betriebsratsmitglieder. Ihm kann bis ein Jahr nach seiner Abberufung nicht ordentlich gekündigt werden. Außerdem hat der Arbeitgeber ihm die Teilnahme an Fort- und Weiterbildungsmaßnahmen zu ermöglichen und die Kosten zu übernehmen (§ 4f Abs. 3.).
  
  
• Mehr Befugnisse der Aufsichtsbehörde:
  Die Aufsichtsbehörde für den Datenschutz kann nicht nur Bußgelder erheben, sondern erstmals auch Maßnahmen anordnen, um Mängel bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten oder der technisch-organisatorischen Maßnahmen zu beseitigen (§ 38 Abs. 5).
  
  
• Höhere Bußgelder:
  Die maximalen Geldbußen bei Verstößen werden angehoben: auf 50.000 Euro (vorher: 25.000 Euro) beziehungsweise auf 300.000 Euro (vorher: 250.000 Euro). Im Einzelfall können sie auch höher ausfallen, um den rechtswidrig erzielten Gewinn abzuschöpfen (§ 43).
  
  
• Kein Verbandsklagerecht:
  Damit sind auch weiterhin nur Klagen von Verbrauchern in konkreten Fällen möglich, nicht aber generelle Klagen durch Verbraucherschützer-Organisationen.
  
  
• Datenschutzaudit verschoben:
  Die zunächst geplanten Regelungen zur Einführung eines Datenschutzaudits nach § 9a BDSG sind nach scharfer Kritik gestrichen worden. Hier soll nach dem Willen der Koalition zunächst ein dreijähriges Pilotprojekt durchgeführt werden.
  
  

In Kraft treten die meisten Regelungen des neuen Gesetzes bereits am 1. September. Eine Übergangsfrist gilt für § 28 in alter Fassung, soweit die genutzten Daten vor dem 1. September 2009 erhoben wurden:

• für Markt- oder Meinungsforschung bis zum 31. August 2010
• für Werbung bis zum 31. August 2012

Der Bundesbeauftragte für den Datenschutz, Peter Schaar, lobte Teile des Kompromisses der Koalition. Es sei mehr Transparenz geschaffen worden, weil die Werbeindustrie angeben müsse, von wem bestimmte Kundendaten stammen. Unbefriedigend sei jedoch, dass die Verwendung von Daten wie Name, Adresse, Beruf, Geburtsjahr oder Titel für Werbezwecke nicht generell an die ausdrückliche Einwilligung der Betroffenen geknüpft werde, sagte er.

Das neue Bundesdatenschutzgesetz, wie es ab dem 1. September 2009 gültig ist, ist hier im Wortlaut abrufbar.

[  zurück  ]