Geschrieben am 04.07.2019 von:
Sabine Pernikas
Rechtsanwältin | Fachanwältin für IT-Recht
zum Profil
Kontaktiere mich:
+49 (0) 6232 – 100119 0
E-Mail senden
Der Bundestag hat am 27.06.2019 das zweite Datenschutzanpassungs- und Umsetzungsgesetz (2. DSAnpUG) verabschiedet. Neben zahlreichen datenschutzrechtlichen Änderungen von Fachgesetzen soll auch das Bundesdatenschutzgesetz (BDSG) angepasst werden. Was müssen Sie wissen?
Pflicht zur Benennung eines Datenschutzbeauftragten: Anhebung auf 20 Personen
Die geplanten Änderungen im BDSG sind überschaubar, da sie meist redaktioneller Art sind. Eine wichtige Neuerung ergibt sich im Hinblick auf die Pflicht zur Benennung eines Datenschutzbeauftragten, die in § 38 Absatz 1 BDSG geregelt ist. Die maßgebliche Personenzahl, ab der bei nichtöffentlichen Stellen eine Benennungspflicht besteht, wird von aktuell 10 auf 20 angehoben. Hierdurch sollen kleine und mittlere Unternehmen sowie ehrenamtlich tätige Vereine entlastet werden.
Aber auch ohne die zwingende Benennung einen Datenschutzbeauftragten sind alle datenschutzrechtlichen Pflichten von den Unternehmen einzuhalten und umzusetzen. Es werden daher einige Stimmen laut, dass mit der vorgenannten Erleichterung nicht die Bürokratie, sondern Kompetenz und Sachverstand abgebaut würden. Daher sind Unternehmen und sonstige nichtöffentliche Stellen weiterhin gut beraten, einen Datenschutzbeauftragten zu benennen – auch unterhalb der neuen Grenze von 20 Personen.
Wegfall der Schriftform bei Einwilligungen im Beschäftigungsverhältnis
Das Schriftformerfordernis für die Einwilligung im Beschäftigungsverhältnis (§ 26 Absatz 2 Satz 3 BDSG) soll zukünftig entfallen. Solch eine Einwilligung (etwa bei Veröffentlichung von Mitarbeiterfotos auf der Webseite) bedarf nun nicht mehr „der Schriftform“, sondern „hat schriftlich oder elektronisch zu erfolgen“. Demzufolge wird die Einwilligung im Beschäftigtenkontext näher an die Voraussetzungen der DS-GVO angeglichen. Hier wird lediglich verlangt, dass eine „Erklärung oder eine sonstige eindeutig bestätigende Handlung“ vorliegt, „mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“ (Artikel 4 Nr. 11 DS-GVO). Eine bestimmte Form der Einwilligungserklärung ist gerade nicht vorgesehen. Es ist jedoch weiterhin wichtig, dass auch elektronisch erteilte Einwilligungen nachweisbar bleiben, etwa durch das Abspeichern einer E-Mail.
Neue Verarbeitungsgrundlagen und Zuständigkeiten
Ein neuer § 86 BDSG zur „Verarbeitung personenbezogener Daten für Zwecke staatlicher Auszeichnungen und Ehrungen“ wird eingeführt. Demnach dürfen zur Vorbereitung und Durchführung staatlicher Verfahren bei Auszeichnungen und Ehrungen sowohl die zuständigen als auch andere öffentliche und nichtöffentliche Stellen die dazu erforderlichen personenbezogenen Daten (einschließlich besondere Kategorien personenbezogener Daten) auch ohne Kenntnis der betroffenen Person verarbeiten. In landesspezifischen Datenschutzgesetzen (etwa in Bayern) gibt es eine solche Regelung schon länger.
Darüber hinaus werden zukünftig Unternehmen in den Zuständigkeitsbereich des Bundesbeauftragten für Datenschutz fallen, „soweit diese für die geschäftsmäßige Erbringung von Telekommunikationsdienstleistungen Daten von natürlichen oder juristischen Personen verarbeiten und sich die Zuständigkeit nicht bereits aus § 115 Absatz 4 des Telekommunikationsgesetzes ergibt“.
Insgesamt werden (BDSG hinzugezählt) 154 Gesetze an die seit Mai 2018 geltende DS-GVO angepasst. Zu den Regelungsschwerpunkten zählen insbesondere Anpassungen von Begriffsbestimmungen und von Rechtsgrundlagen für die Datenverarbeitung sowie Regelungen zu den Betroffenenrechten. Nun muss nur noch der Bundesrat dem 2. DSAnpUG zustimmen, bevor es in Kraft treten kann.