Nachgefragt bei: Rechtsanwalt Dr. Carlo Piltz

Piltz: „Einige Regeln des neuen BDSG verstoßen gegen europäisches Recht”

Die gerade verabschiedeten neuen datenschutzrechtlichen Regeln sorgen für Unruhe in den Unternehmen. Mit welchen Problemen durch die neuen Vorschriften zu rechnen ist und welche davon gegen europäisches Recht verstoßen könnten, darüber gibt der Datenschutzexperte Dr. Carlo Piltz im Interview mit der ESV-Redaktion Auskunft.

Am 27. April hat der Deutsche Bundestag die Novelle des BDSG verabschiedet, am 12. Mai hat der Bundesrat zugestimmt. Dadurch werden Vorgaben der Datenschutz-Grundverordnung umgesetzt. Was halten Sie von dieser Leistung des Gesetzgebers?

Carlo Piltz: Der deutsche Gesetzgeber hat sich sicherlich Mühe gegeben, den Spagat zwischen Einhaltung der europäischen Vorgaben einerseits und Beibehaltung des bekannten Datenschutzrechts andererseits zu vollführen. Meiner Meinung nach, die ich so auch in der Anhörung im Innenausschuss des Bundestages dargelegt habe, besteht aber an der ein oder anderen Stelle das Risiko, dass der deutsche Gesetzgeber über das Ziel hinaus geschossen ist.

Klar ist, dass der Gesetzgeber vor keiner leichten Aufgabe stand: Es besteht Zeitdruck aufgrund der bevorstehenden Bundestagswahl und man ist der erste europäische Mitgliedstaat, der sein nationales Gesetz der DS-GVO anpasst. Zum Teil scheinen die neuen Regelungen jedoch etwas sehr komplex und nur schwer verständlich. Für die Praxis gilt, dass hier ein neues nationales Datenschutzrecht geschaffen wurde, welches neben den bereits hochkomplexen Vorgaben der DS-GVO beachtet werden muss.

Das Lager der Datenschutzexperten ist angesichts des neuen Datenschutzrechts gespalten: Die einen sprechen von komplexen und strukturlosen Änderungen, die bis zum Stichtag, dem 25. Mai 2018, nur schwer in die betriebliche Praxis umgesetzt sein werden. Andere Stimmen geben Entwarnung: Es werde sich mit dem novellierten BDSG nicht viel ändern. Wie ist Ihre Einschätzung?

Carlo Piltz: Beide Lager haben meiner Auffassung nach bis zu einem gewissen Grad Recht. Ziel des neuen BDSG ist es, neben der Anpassung an die DS-GVO, bekannte und bewährte Regelungen des BDSG zu erhalten. Zumindest soweit dies noch möglich ist. Die strittige Frage ist dann eben teilweise, wieweit diese Ausgestaltungsmöglichkeit reicht.

Newsletter Recht

Bleiben Sie informiert - mit unserem Newsletter Recht, den Sie hier bestellen können.

Zum Teil wird sich tatsächlich wenig ändern. So wird es auch weiterhin eine Bestellpflicht für einen Datenschutzbeauftragten geben, wenn bei einer datenverarbeitenden Stelle mindestens zehn Personen mit der Verarbeitung personenbezogener Daten betraut sind. Einzelne Vorschriften stellen sich aber tatsächlich als recht komplex und zum Teil nur schwer verständlich dar. Insbesondere die Regelungen zu den Beschränkungen einzelner Betroffenenrechte sind oft verschachtelt und manchmal auch recht unbestimmt formuliert. Andererseits: mit der absoluten Bestimmtheit jeder Regelung kann auch die DS-GVO nicht glänzen.

Welche Probleme sehen Sie konkret auf die Unternehmen zukommen, die die DS-GVO-Vorgaben umsetzen müssen?

Carlo Piltz: Insbesondere dürfte der Zeitfaktor eine wichtige Rolle spielen. Unternehmen haben jetzt noch ein Jahr Zeit, die neuen Regelungen intern umzusetzen. Dies kann, je nach Größe und interner Aufstellung beim Datenschutz, schon eine sportliche Herausforderung werden. Zudem müssen Unternehmen mit der Rechtsunsicherheit umgehen, dass zum Teil davon ausgegangen wird, dass einige Regelungen des neuen BDSG gegen europäisches Recht verstoßen.

DATENSCHUTZdigital.de

Am 25. Mai 2018 wird das bisherige Bundesdatenschutzgesetz (BDSG) durch die EU-Datenschutz-Grundverordnung (DS-GVO) und ein sie ergänzendes neues BDSG ersetzt. Auf DATENSCHUTZdigital.de bleiben Sie über aktuelle datenschutzrechtliche Entwicklungen informiert.

Um welche Regelungen handelt es sich konkret, die gegen europäisches Recht verstoßen könnten?

Carlo Piltz: Problematische Regelungen finden sich über das BDSG verstreut. Insbesondere bei den Beschränkungen zu den Betroffenenrechten - konkret etwa § 32 BDSG - stellt sich die Frage, ob die vorgesehenen Ausnahmen im BDSG so den Anforderungen der DS-GVO entsprechen. Denn in Art. 23 Absatz 1 lit. j) DS-GVO wird vorgegeben, dass die Beschränkung erfolgen darf, wenn mit der nationalen Regelung das Ziel der Durchsetzung zivilrechtlicher Ansprüche verfolgt wird. § 32 Absatz 1 Nr. 4 BDSG spricht aber von „rechtlichen” Ansprüchen. Letzterer Begriff ist umfassender als jener, der von der DSGVO vorgegeben wird.

„Jede datenverarbeitende Stelle ist aufgerufen, sich mit den neuen Regelungen zu befassen”

Bei welchen vom neuen BDSG unmittelbar Betroffenen sehen Sie besonderen Handlungsbedarf – und bei wem muss man sich angesichts nur eines Jahres bis zum Stichtag sogar Sorgen machen?

Carlo Piltz: Grundsätzlich ist jede datenverarbeitende Stelle aufgerufen, sich mit den neuen Regelungen zu befassen. Besonderer Handlungsbedarf besteht natürlich dort, wo bereits aktuell der Datenschutz eher stiefmütterlich behandelt wurde. Denn ich gehe schon davon aus, dass die Datenschutzaufsichtsbehörden in der näheren Zukunft genauer hinschauen und auch von ihren ausgeweiteten Sanktionsbefugnissen Gebrauch machen werden. Dies haben sie zumindest angekündigt.
 
Werden die neuen Vorschriften mit einem Bußgeldrahmen von bis zu 50.000 Euro den Datenschutz in Deutschland voranbringen?

Carlo Piltz: Meines Erachtens nicht. Diese Aufgabe sollen, so die Hoffnung des europäischen Gesetzgebers, die Bußgeldtatbestände der DS-GVO übernehmen, die, so die Begründung des deutschen Gesetzgebers, auch für Verstöße gegen Vorschriften des BDSG gelten, soweit dies im Zuge der Ausfüllung von Öffnungsklauseln der DS-GVO entstehen. Zudem muss man feststellen, dass die Bußgeldandrohung in § 43 Absatz 1 BDSG einen sehr begrenzten Anwendungsbereich hat. Es geht hierbei um die Umsetzung von Vorgaben der Verbraucherkreditrichtlinie.

Ihr Ausblick: Wenn das neue Recht in Kraft ist, wem nutzt es am meisten – und wem eher nicht?

Carlo Piltz: Ich meine, dass es schwierig ist, „Verlierer” und „Gewinner” des neuen BDSG zu küren. Denn selbst wenn man davon ausgehen mag, dass es einige Erleichterungen für Unternehmen gibt, so steht doch auf der anderen Seite der Medaille immer die genau Einhaltung der Vorgaben dieser Ausnahmen im Raum. Im Ergebnis also weitere (nur andere) Pflichten. Eventuell muss man das neue BDSG erst einmal seine Wirkung entfalten und seine Praxistauglichkeit unter Beweis stellen lassen, um dann in ein bis zwei Jahren erforderliche Anpassungen angehen zu können.

Teil 2 des Interviews lesen Sie auf DATENSCHUTZdigital.de.
 

Zur Person

Dr. Carlo Piltz ist Rechtsanwalt der Kanzlei Reusch Rechtsanwälte in Berlin und Schriftleiter der Fachzeitschrift PinG (Privacy in Germany). Nach dem Jura-Studium in Göttingen war Piltz wissenschaftlicher Mitarbeiter und Doktorand am Lehrstuhl von Prof. Dr. Gerald Spindler. Thema seiner Promotion: „Soziale Netzwerke im Internet – Eine Gefahr für das Persönlichkeitsrecht?” Nach einem Jahr in der Rechtsabteilung der VZ-Netzwerke ist er seit 2014 als Rechtsanwalt zugelassen. Im Rahmen der BDSG-Novelle wurde er als Sachverständiger vom Innenausschuss des Bundestages angehört.

(ESV/mp)

Programmbereich: Wirtschaftsrecht