Deutscher Industrie- und Handelskammertag

Transkript

1 STELLUNGNAHME Berlin, 5. November 2008 Deutscher Industrie- und Handelskammertag Zum Thema: Entwurf eines Gesetzes zur Änderung des Bundesdatenschutzgesetzes und zur Regelung des Datenschutzaudits A. Zu Art. 1 Änderung des Bundesdatenschutzgesetzes I. Vorbemerkungen Der DIHK hat bereits zu Beginn der Diskussion öffentlich deutlich gemacht, dass er eine Gesetzesänderung ablehnt. Bei den datenschutzrechtlichen Verstößen, die Anlass für die Gesetzesänderung sind, handelt es sich um Rechtsverletzungen, die durch entsprechende Strafverfolgungsmaßnahmen und Bußgelder ausreichend geahndet werden können. Eine gesetzliche Verschärfung von Vorschriften wird zukünftig nicht dazu führen, die Verwendung von Datensammlungen zu verhindern, wenn die Aufsichtsbehörden nicht in der Lage sind, ausreichend zu kontrollieren und Missstände zu verfolgen. Ist das Risiko, beim illegalen Datenhandel erwischt zu werden, gering, so werden auch strengere Gesetze wenig bewirken. Der DIHK fordert daher noch einmal, die aufsichtsbehördlichen Möglichkeiten zu verbessern und somit auch die Beratung von Unternehmen zu verstärken. Wir begrüßen daher die Einrichtung einer Arbeitsgruppe, die sich mit der Verbesserung der Situation der Aufsicht befasst. Die geplanten Gesetzesänderungen, insbesondere die Abschaffung des sog. Listenprivilegs, haben einschneidende Auswirkungen auf die gesamte Wirtschaft. Denn für alle Unternehmen existenziell wichtige Marketingmaßnahmen werden unmöglich gemacht, zumindest aber so erschwert, dass sie in keinem ausgewogenen Verhältnis mehr zu den berechtigten Schutzinteressen der Betroffenen stehen. Selbst die Nutzung adressierte Zeitschriften für Werbebeilagen wäre ohne Einwilligung des Empfängers zukünftig nicht mehr zulässig. Unter den Verschärfungen haben besonders Existenzgründer zu leiden, die für die Vermarktung ihrer Waren und Dienstleistungen noch nicht auf einen Kundenstamm zurückgreifen können, sondern sich diesen erst durch Werbung aufbauen müssen. Ihnen ist es nun verwehrt, durch die Nutzung vorsortierter Adressen gezielt potenzielle Abnehmer anzusprechen

2 Zudem unterscheidet der Entwurf nicht danach, ob Betroffener ein Unternehmer oder ein Verbraucher ist. Damit wird auch Werbung von Unternehmen untereinander unter die Pflicht zur Einwilligung gestellt, obwohl hierfür keinerlei Schutzbedürfnis besteht. Hinzu kommt, dass es bei Unternehmen, die in einer Konzernstruktur miteinander verbunden sind, üblich ist, einem Tochterunternehmen die gesamte Kommunikation mit Dritten zu übertragen. Eine Datenübermittlung der anderen Konzerntöchter an dieses Unternehmen unterläge aber auch der Einwilligungspflicht. Hiermit wären unangemessene Behinderungen verbunden. Diese gravierenden Auswirkungen auf die gesamte Wirtschaft machen es umso unverständlicher, dass die Gesetzesänderung unter einem starken Zeitdruck erfolgt. Es wäre angebracht, die Auswirkungen mit der gebotenen Sorgfalt zu betrachten und dann Konsequenzen für gesetzliche Änderungen zu ziehen. Mit den Änderungen würde das BDSG weit über die Restriktionen des UWG für Werbemaßnahmen hinausgehen. Denn danach ist eine Ansprache von Verbrauchern über postalische Aussendungen grundsätzlich immer zulässig. Im Übrigen reichen die verbraucherschützenden Vorschriften des UWG auch aus, so das dringend davon abgesehen werden sollte, das BDSG als Verbraucherschutzgesetz zu definieren. Dies würde nur dem Abmahnwesen, wie es beim UWG leider immer noch herrscht, Tür und Tor geöffnet. II. Zu den einzelnen Vorschriften 1. Zu 4 f Eine gesetzliche Konkretisierung einer Pflicht der verantwortlichen Stelle, für die Fortbildung des betrieblichen Datenschutzbeauftragten zu sorgen und zu zahlen, erscheint uns überflüssig. Diese Verpflichtung ergibt sich bereits aus 4 f Abs. 2 S. 1. Da Unternehmen auch externe Datenschutzbeauftragte bestellen können, würde diese Regelung in erheblicher Weise in die Vertragsfreiheit eingreifen, weil dann der externe Datenschutzbeauftragte die Kosten von dem beauftragenden Unternehmen einfordern könnte. Eine Regelung, die die Stellung des betrieblichen Datenschutzbeauftragten generell stärkt, halten wir für demgegenüber für sinnvoll. 2. Zu 28 Abs. 3 Entgegen der Begründung sehen wir hier einen weit über die Anforderungen des Art. 14 und des Erwägungsgrunds 30 der Richtlinie 95/46/EG hinausgehenden Ansatz. Nunmehr lautet der Grundsatz, dass die Verarbeitung und Nutzung von personenbezogenen Daten verboten ist. Die Richtlinie - 2 -

3 geht von einem Grundsatz der Angemessenheit, nämlich der Abwägung bestehender, widerstreitender Interessen, aus. Im Übrigen halten wir die Ausnahme der Verarbeitung für eigene Zwecke systematisch passender in Abs. 1 untergebracht. Es mag zutreffen, dass Spendenorganisationen bestimmte Privilegien genießen sollten. Warum sie allerdings Wirtschaftsunternehmen, die eine tragende Säule unserer Gesellschaft sind, vorgezogen werden, ist keinesfalls nachvollziehbar. 3. Zu 28 Abs. 3 a Zu Recht weist die Begründung darauf hin, dass das BDSG über eine Einwilligungsvorschrift in 4 a Abs. 1 verfügt. Es ist nicht erkennbar, warum im Rahmen des 28 eine gesonderte Einwilligungsvorschrift, die zudem noch schärfere Anforderungen verlangt, formuliert ist. Wir halten einen Verweis auf 4 a für völlig ausreichend. Zudem würden Unternehmen verpflichtet sein, trotz eingeholter Einwilligungen nach 4 a nochmals die Betroffenen um eine Einwilligung nach 28 zu bitten. Abgesehen davon, dass dies vom Betroffenen kaum verstanden werden wird, ist damit auch ein unnötiger Aufwand verbunden. 4. Zu 29 Abs. 1 S. 2 Die Erweiterung auf die Geltung der Absätze 3 bis 3b des 28 ist nach unserer Auffassung systemwidrig. Während im 28 Abs. 3 die Verwendung für eigene Zwecke geregelt wird, geht es im 29 um die Verwendung für fremde Zwecke. Der Verweis auf Abs. 3a, d. h. die Einwilligung in die Verarbeitung, erscheint unlogisch bei der Verarbeitung allgemein zugänglicher Daten. Zudem befindet sich hierin ein Widerspruch zur Abwägung in 29 Abs. 1 Ziff. 1. Ferner stellt sich die Frage, ob durch den Verweis auf 28 Abs. 3b hier auch das Kopplungsverbot sinnvoll ist. 5. Zu 29 Abs. 2 S. 2 Diese Vorschrift erscheint unsystematisch. Sinnvoller wäre es den 29 Abs. 1 S. 3 zu Abs. 3 zu machen, damit er dann auch für Abs. 2 gilt. Unabhängig davon halten wir jedoch den Verweis auf die Geltung des 28 Abs. 3 3b für praktisch nicht handhabbar. Der Betroffene müsste zunächst eine gesonderte Unterschrift in die Erhebung, Speicherung, Veränderung oder Nutzung erteilen. Sodann müsste er noch ein Mal eine gesonderte Unterschrift für die Übermittlung erteilen. Es ist kaum vorstellbar, dass ein Bürger diese unterschiedlichen Regelungen versteht. 6. Zu 43 Abs. 3 S

4 Die Anhebung der Bußgelder mag eine gewisse abschreckende Wirkung entfalten. Dennoch haben erst in der letzten Zeit die Aufsichtsbehörden überhaupt stärker von dieser Möglichkeit Gebrauch gemacht. Zudem ist bei der Verfolgung von Straftaten nicht so sehr der Strafrahmen, als vielmehr das Entdeckungsrisiko ausschlaggebend. Dieses muss signifikant erhöht werden. Der Vorschlag, den Gewinn aus der unrechtmäßigen Verwendung von Daten abzuschöpfen, erscheint auf den ersten Blick sinnvoll. Allerdings ist die Möglichkeit des Nachweises, welcher Gewinn aus unrechtmäßiger und welcher aus rechtmäßiger Verarbeitung und Nutzung von Daten stammt, in der Praxis sehr schwierig zu führen. 7. Zu 44a Soll diese Vorschrift etwas bewegen, müsste der Verstoß gegen sie mit Sanktionen belegt werden. Es ist aber fraglich, was die öffentliche Benachrichtigung bewirken soll. Unklar ist, was der Betroffene mit solch einer Mitteilung tun kann und soll. Dies gilt insbesondere für die Fälle, in denen mehrere Monate vergangen sind, weil die interne Klärung Zeit in Anspruch nimmt. Zudem regeln Ziff. 4 und 5 bereichsspezifische Datenschutzfragen, die nach unserer Auffassung auch in die entsprechenden Spezialgesetze gehören. B. Zu Art. 2 Entwurf eines Datenschutzauditgesetzes I. Vorbemerkungen Die Begründung zu dem Gesetzesentwurf macht es deutlich: Das Datenschutzaudit bewegt sich in einem Dilemma. Auf der einen Seite sollen die Anforderungen an den Datenschutz nicht über Gebühr angehoben werden. Auf der anderen Seite kann aber die schlichte Einhaltung der Datenschutzgesetze nicht recht Gegenstand eines Datenschutzauditsiegels sein, da eine solche Werbung den Tatbestand der Irreführung erfüllen würde. Somit ist dem Datenschutzauditgesetz immanent, doch höhere Anförderung an die datenschutzrechtlichen Gegebenheiten in einem Unternehmen zu stellen. Hierfür werden die Unternehmen aber in keiner Weise belohnt, weil sie nicht von datenschutzrechtlichen Pflichten oder Kontrollen freigestellt werden. Zwar normiert der Entewurf die Freiwilligkeit des Datenschutzaudits, dennoch gibt es bereits Bestrebungen in einigen Bundesländern, z. B. bei der öffentlichen Beschaffung nur solche Produkte einzukaufen, die ein Datenschutzaudit durchlaufen haben. Dadurch würde faktisch ein erheblicher Druck auf die Unternehmen entstehen. Die Anforderungen, die der Gesetzentwurf nunmehr für die Erteilung eines Datenschutzgütesiegels vorsieht, sind recht unterschiedlicher Natur. Einerseits wird die organisatorische Stellung des betrieblichen Datenschutzbeauftragten betrachtet die übrigens von der Aufsichtsbehörde ebenfalls - 4 -

5 zu kontrollieren ist, andererseits müssen erst noch die für das Datenschutzkonzept oder die technischen Einrichtungen erforderlichen Anforderungen erarbeitet werden. Somit fehlt es momentan an klaren Regelungen dafür, wann ein Datenschutzauditsiegel verwendet werden kann, da das Gesetz sich im Wesentlichen auf formale Regelungen beschränkt. Ähnlich wie im ersten Entwurf zum Datenschutzauditgesetzes sehen wir in der Verschachtelung von Zuständigkeiten, Zulassungen und Überwachungen weiterhin ein großes Manko. Vor der Zulassung durch den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit müssen die Kontrollstellen eine Akkreditierung durchlaufen, dann unterfallen sie in ihrer Tätigkeit der Überwachung durch die zuständigen Landesbehörden. Daneben sieht 16 aber auch die Möglichkeit einer Beleihung der zugelassenen Kontrollstellen vor. Diese Mischform von verwaltungsrechtlichen Maßnahmen führt weder zu Transparenz noch zu klaren Strukturen, die einer kostengünstigen Umsetzung zugute kämen. Man kann sich kaum ein komplizierteres Gebilde vorstellen als die vom Gesetzentwurf gewählten Anforderungen. Da es sich bei diesem Gesetz um Neuland handelt, schlagen wir vor, es nach einer Frist von drei, vier Jahren zu evaluieren. Diese Aufgabe könnte der Datenschutzauditausschuss übernehmen. II. Zu den einzelnen Vorschriften 1. Zu 1 Zwar verweist die Begründung auf Argumente, warum öffentliche Stellen nicht von dem Datenschutzauditsiegel profitieren sollten. Dennoch bitten wir darum, diesen Ausschluss der öffentlichen Stellen noch einmal zu überdenken. Bei der Fülle von personbezogenen Daten auch höchst sensibler Art, die bei öffentlichen Stellen gesammelt werden, wäre ein Datenschutzaudit nicht verfehlt. Das Datenschutzaudit wird durch die Bezugnahme auf die Stellung des betrieblichen Datenschutzbeauftragten (Ziff. 3) nur für Anwender von technischen Einrichtungen, nicht für Hersteller interessant. Zudem werden durch diesen Bezug kleine Unternehmen, die nicht die in 4 d Abs. 3 BDSG festgelegte Beschäftigtenzahl erreichen und daher keinen Datenschutzbeauftragten bestellen müssen, vom Datenschutzaudit von vorn herein ausgeschlossen. Für die Hersteller von IT-Produkten und für die Anbieter von IT-Dienstleistungen gilt aber der Marketingaspekt ebenfalls. 2. Zu 3 Die gesetzlich festgelegte Einbeziehung des betrieblichen Datenschutzbeauftragten begrüßen wir. So wird ausgeschlossen, dass ein Datenschutzaudit an der Tätigkeit des betrieblichen Datenschutzbeauftragten vorbei durchgeführt werden kann. Allerdings vermissen wir die Einbeziehung anderer Kontrollmaßnahmen, die ebenfalls die Einhaltung datenrechtlicher Vorschriften betreffen

6 Auch hier zeigt sich ein gewisses Dilemma des Datenschutzaudits: Die Schnelllebigkeit von IT- Produkten muss sich in der Tat in einem relativ kurzen Prüfungsrhythmus niederschlagen. Allerdings ist es unverhältnismäßig, diese z. B. für Software geltende Anforderungen auf alle Aspekte des Datenschutzaudits zu übertragen. So ist ein jährlicher Kontrollrhythmus überzogen. Er verursacht erhebliche Kosten bei den Unternehmen. Sinnvoller wäre es, hier eine differenziertere Formulierung zu wählen, bzw. den Rhythmus auf höchstens fünf Jahre anzuheben. 3. Zu 4 Abs. 1 Ziff.2: Die in Bezug genommene DIN EN gilt nur für Produktakkreditierungen, nicht für den Bereich der Konzepte und des Managements. Ziff. 4: Die Verpflichtung für die Kontrollstelle, ihren Sitz oder eine Niederlassung im Inland zu haben, verstößt nach unserer Auffassung gegen die EG-Dienstleistungsrichtlinie. Wir bitten um entsprechende rechtliche Prüfung. 4. Zu 5 Abs. 1 Die Formulierung, dass die Kontrollstelle ein Datenschutzkonzept oder technische Einrichtungen gegen angemessene Vergütung in ihre Kontrollen einzubeziehen hat, ist nach unserer Auffassung missverständlich. Es wird dadurch nicht klar, was die Kontrollstelle nun zu kontrollieren hat. Denn nach 1 Ziff. 1 hat sie ohnehin das Datenschutzkonzept oder die technische Einrichtung auf ihre datenschutzrechtliche Kompatibilität zu überprüfen. 5. Zu 5 Abs. 3 Die Verpflichtung der Kontrollstelle, bei festgestellten Verstößen die Aufsichtsbehörde unverzüglich zu benachrichtigen, bedeutet, dass es neben der Aufsichtsbehörde eine zweite Aufsichtsinstanz gibt. Vor dem Hintergrund, dass die Kontrollstellen auch Private sein können, erscheint die Regelung zu weitgehend, denn sie normiert einen Amtsermittlungsgrundsatz für die Kontrollstelle, die nach unserer Auffassung nur der Aufsichtsbehörde zusteht. Die Regelung fördert damit nicht die Akzeptanz des Datenschutzaudits. 6. Zu 7 Abs. 5 Da es sich bei den Kontrollstellen im Zweifel um private Stellen handelt, ist sehr fraglich, ob diese ein Betretungsrecht nach 7 Abs. 5 i. V. m. Abs. 2 haben können. Wir halten eine solche Regelung für rechtlich bedenklich. 7. Zu 9-6 -

7 Die Anforderungen an die Kontrollstellen machen deutlich, dass Einzelpersonen diese nicht erfüllen können. Damit ist bereits vorgegeben, dass es sich um einen gewissen organisatorischen Umfang handeln muss. Wir halten dies jedoch für keineswegs zwingend. Insgesamt erscheinen die fachlichen Anforderungen in 9 zu hoch gesteckt. Der auch in Bezug genommene 4f BDSG enthält so weit reichende Anforderungen ebenfalls nicht. Die geforderte Ableistung bestimmter Studienrichtungen, ohne die Möglichkeit, die Qualifikation anderweitig nachzuweisen, dürfte die Berufsfreiheit nach Art. 12 GG unzulässig eingrenzen. Die Forderung nachhaltiger Tätigkeit von genau drei Jahren erscheint zufällig. 8. Zu 11 Abs. 1 Ziff. 3 Da die Richtlinien sich auch mit der Stellung des betrieblichen Datenschutzbeauftragten beschäftigen sollen, handelt es sich nach unserer Auffassung um potenzielle Eingriffe in die Privatautonomie der Unternehmen. Insofern stellt sich die Frage des Rechtscharakters der Richtlinien. Dieser wird durch die Regelungen des Gesetzentwurfs keinesfalls deutlich. 9. Zu 12 Abs. 1 Der DIHK ist sicherlich nachvollziehbar recht verwundert über die Kräfteverhältnisse im Datenschutzauditausschuss. Da es im Wesentlichen um Angelegenheiten geht, die Privatunternehmen betreffen, erscheint das Verhältnis von zwölf Vertretern der Verwaltung zu sechs Vertretern von Unternehmen nicht ausgewogen. Konsequent wäre es, für die Mitglieder des Datenschutzauditausschusses dann auch die fachlichen Anforderungen aus 9 Abs. 1 und 3 heranzuziehen, damit die zu erwartenden Richtlinien den gesetzlichen und technischen Anforderungen und Gegebenheiten auch entsprechen können. Eine Nachverlagerung auf die Rechtsaufsicht scheint wenig sinnvoll. 10. Zu 13 Abs. 3 Ziff. 1 Das Stimmenmissverhältnis der Zusammensetzung findet seinen logische Fortsetzung: Bei einer 2/3- Mehrheit können die Vertreter der Wirtschaft regelmäßig von den Vertretern der Verwaltung überstimmt werden. Ein solches Zahlenverhältnis lehnen wir daher entschieden ab. 11. Zu 16 Abs. 1 Der Wortlaut der Vorschrift legt nahe, dass die Kontrollstellen auch die zuständigen Behörden sein können. Dann erübrigen sich allerdings die Vorschriften über die Aufsicht. Unklar wird dann das Verhältnis zwischen der Beleihung durch eine Landesbehörde und der Zulassung durch den BfDI

8 C. Zu Art. 3 Inkrafttreten Die geplante Übergangsfrist von einem Jahr für das Inkrafttreten der Änderungen in Artikel 1 erscheinen zu knapp bemessen. Denn die Unternehmen müssten ihren gesamten Datenbestand entsprechend bearbeiten