Source: https://blog.tuv.com/bundesdatenschutzgesetz-2018-kernpunkte-im-ueberblick/
Timestamp: 2019-06-26 03:49:36
Document Index: 97442266

Matched Legal Cases: ['§ 4', '§ 22', '§ 24', '§ 26', '§ 27', '§ 29', '§ 32', '§ 34', '§ 35', '§ 37', '§ 38', '§ 42']

Bundesdatenschutzgesetz 2018: Kernpunkte im Überblick - TÜV Rheinland Blog
Am 12. Mai 2017 hat nach dem Bundestag nun auch der Bundesrat seine Zustimmung gegeben: Pünktlich zum 25. Mai 2018 – zeitgleich mit der EU-Datenschutz-Grundverordnung (DSGVO) – kann ein vollständig reformiertes „Bundesdatenschutzgesetz 2018“ (BDSG) in Kraft treten. Dieser Beitrag bietet einen ersten Überblick über die wichtigsten Bestimmungen und gibt Empfehlungen für die Praxis.
Schwierige Anpassung an die EU-Vorgaben
Der von der Bundesregierung bereits Anfang Februar beschlossene „Entwurf eines Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680“ (DSAnpUG-EU) war lange Zeit heftiger Kritik ausgesetzt. So wurde beispielsweise im Rahmen einer Sachverständigen-Anhörung des Bundestags-Innenausschusses bemängelt, der Gesetzesentwurf verletze in mehreren Punkten europäische Vorgaben. Ein kurzfristig vorgelegter Änderungsantrag der Regierungskoalition konnte einige dieser Kritikpunkte zumindest teilweise ausräumen. So wurde die geplante Einschränkung der Transparenzpflichten und Betroffenenrechte wieder ein gutes Stück zurückgenommen. Andere ebenfalls als europarechtlich bedenklich eingestufte Punkte hingegen sind im nun verabschiedeten DSAnpUG-EU weiterhin unverändert enthalten. Hierzu zählen beispielsweise die eingeschränkten Kontrollbefugnisse der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, die Begrenzung aufsichtsbehördlicher Befugnisse im Bereich der Berufsgeheimnisträger und die Regelung zur Videoüberwachung. Auch die von der Europäischen Kommission im Vorfeld kritisierten Ausnahmen bei der Weiterverarbeitung personenbezogener Daten zu anderen Zwecken durch öffentliche Stellen sind im Prinzip eins zu eins beibehalten worden. Inwieweit diese und andere Bestimmungen des BDSG 2018 von den Öffnungsklauseln der DSGVO tatsächlich abgedeckt sind, muss letztendlich der Europäische Gerichtshof entscheiden.
Regelungsbereiche des BDSG 2018 im Überblick
Folgende datenschutzrechtliche Aspekte im Bereich der Datenverarbeitung durch nicht-öffentliche Stellen werden zusätzlich zur DSGVO auch vom BDSG 2018 mitgeregelt: Videoüberwachung öffentlich zugänglicher Räume (§ 4), Verarbeitung besonderer Kategorien personenbezogener Daten (§ 22), Verarbeitung zu anderen Zwecken (§ 24), Beschäftigendatenschutz (§ 26), Verarbeitung zu wissenschaftlichen, historischen oder statistischen Zwecken sowie zu Archivzwecken (§§ 27, 28), Geheimhaltungspflichten (§ 29), Informationspflichten (§§ 32, 33), Auskunftsrechte (§ 34), Recht auf Löschung (§ 35), automatisierte Entscheidungen im Einzelfall (§ 37), Datenschutzbeauftragte nicht-öffentlicher Stellen (§ 38) und Strafvorschriften (§ 42). Die meisten der genannten Regelungen haben einen klaren Anknüpfungspunkt im heute noch geltenden Bundesdatenschutzgesetz. Andererseits gibt es auch zahlreiche neue Elemente.
BDSG 2018: Ausgewählte Bestimmungen in Kürze
Videoüberwachung: Die bestehende Regelung zur Videoüberwachung öffentlich zugänglicher Räume wurde in das BDSG 2018 überführt. Einzige (europarechtlich problematische) Änderung: Die Information über die Videoüberwachung muss erst „zum frühestmöglichen Zeitpunkt“ gegeben werden.
Beschäftigtendatenschutz: Mit der Regelung im BDSG 2018 wird der status quo im Bereich des Beschäftigtendatenschutzes fortgeführt. Eine umfassende Modernisierung ist trotz der großen Herausforderungen durch die fortschreitende Digitalisierung der Arbeitswelt versäumt worden.
Informationspflichten: Nach dem BDSG 2018 besteht eine Ausnahme von der Informationspflicht u.a. bei der Weiterverarbeitung analog gespeicherter Daten, die direkt bei der betroffenen Person erhoben wurden. Mit der Ausnahmeregelung sollen insbesondere kleine und mittlere Unternehmen entlastet werden, deren Kommunikationswege ausschließlich oder überwiegend nicht-digital ausgestaltet sind.
Auskunftsrecht: Verantwortliche Stellen müssen u.a. dann keine Auskunft geben, wenn die betreffenden Daten gesetzlichen bzw. satzungsmäßigen Aufbewahrungsvorschriften unterliegen oder ausschließlich Zwecken der Datensicherung dienen – vorausgesetzt die Auskunftserteilung würde einen „unverhältnismäßigen Aufwand“ erfordern und die Verarbeitung zu anderen Zwecken ist durch geeignete technisch-organisatorische Maßnahmen ausgeschlossen.
Recht auf Löschung: Das Recht auf Löschung bzw. die Pflicht zur Löschung besteht u.a. dann nicht, wenn im Fall einer „nicht automatisierten“ Datenverarbeitung die Löschung nur mit „unverhältnismäßig hohem Aufwand“ möglich ist und das Interesse der betroffenen Person an der Löschung als gering anzusehen ist. Von dieser Ausnahmeregelung sollen insbesondere Archivierungen in Papierform oder früher verbreitete analoge Speichermedien, wie etwa Mikrofiche, erfasst werden.
Datenschutzbeauftragter: Wenn Unternehmen mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen, muss ein Datenschutzbeauftragter (DSB) bestellt werden. Hier gibt es keine Veränderung zur geltenden Rechtslage. Neu ist allerdings: Unabhängig davon, ob das „10 Personen-Kriterium“ erfüllt ist, muss ein DSB auch dann bestellt werden, wenn das Unternehmen für bestimmte Datenverarbeitungen eine Datenschutz-Folgenabschätzung nach der DSGVO vornehmen muss.
Das BDSG 2018 enthält zahlreiche Bestimmungen, die die DSGVO ergänzen, konkretisieren bzw. modifizieren. Alle datenverarbeitenden Unternehmen in Deutschland sollten sich eingehend mit den neuen Regelungen auseinandersetzen. Insbesondere die Reichweite der komplexen Ausnahmetatbestände sollte gewissenhaft und im Zweifel mithilfe externer Sachverständiger geprüft werden. Denn nach der DSGVO verstößt ein privates Unternehmen auch dann gegen die Verordnung, wenn es nationale Anpassungs- bzw. Umsetzungsregelungen verletzt, die auf der Grundlage von Öffnungsklauseln erlassen wurden. Verstöße gegen das BDSG 2018 können folglich ebenfalls zu einem Bußgeld in Höhe von bis zu 4 Prozent des weltweiten Vorjahresumsatzes führen. Gleichzeitig müssen Unternehmen bis auf Weiteres damit leben, dass zahlreiche Aspekte des neuen BDSG 2018 möglicherweise nicht den Vorgaben der DSGVO entsprechen und insofern europarechtswidrig sind. Fazit: Es bleibt kompliziert. Den „einfachen deutschen Weg“ gibt es nicht.
Ausführliche Präsentationen zum Thema sowie weiterführende Informationen zum Datenschutzmanagement finden Sie im Internet.
Autor(in) Tilman Dralle