Datenschutzlockerung für kleine und mittelständische Unternehmen

Erreicht die vermeintliche Entlastung für KMU wirklich das, was sie verspricht?

Seit dem 25. Mai 2018 ist die Datenschutz-Grundverordnung (DSGVO) in der gesamten Europäischen Union verbindlich anzuwenden. Parallel dazu trat außerdem ein neues Bundesdatenschutzgesetz (BDSG-neu) in Kraft, das eine Konkretisierung und Ergänzung zur DSGVO darstellt. Darin finden sich einige Öffnungsklauseln wieder, die eine nationale Festlegung gewisser Vorschriften ermöglichen. Diese speziellen Regelungen betreffen beispielsweise den Datenschutz im Beschäftigungsverhältnis sowie Fälle, in denen ein Datenschutzbeauftragter benannt werden muss.

Um kleine und mittelständische Unternehmen (KMU) zu entlasten, hat der Bundestag nun vor wenigen Monaten eine Änderung des BDSG-neu beschlossen. Gemäß § 38 Abs. 1 der ursprünglichen Fassung des BSDG-neu müssen Verantwortliche einen Datenschutzbeauftragten benennen, sobald sie mindestens zehn Personen permanent mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Diese Bestellpflicht wurde im Rahmen der Gesetzesänderung auf eine Grenze von 20 Mitarbeitern angehoben. Auf diese Weise sollen KMU von zusätzlichen Bürokratiekosten befreit werden. Doch welchen Nutzen hat die Lockerung wirklich?

Sicherlich ist es mit einigem Aufwand verbunden, Datenschutzanforderungen einzuhalten. So sind zum Beispiel alle Unternehmen dazu verpflichtet, ein Verzeichnis von Verarbeitungstätigkeiten zu führen, erforderliche Einwilligungen einzuholen oder vorgefallene Datenpannen zu melden. Daran ändert sich jedoch auch dann nichts, wenn Datenschutzbeauftragte nur noch seltener als bislang benannt werden müssen. Im Gegenteil ist jedes Unternehmen – unabhängig von seiner Größe – auch weiterhin gefordert, die Richtlinien des Datenschutzes zu beachten. Ohne die Benennung einen Datenschutzbeauftragen kann es somit noch viel eher passieren, dass KMU aufgrund der fehlenden Unterstützung bestimmte Punkte nicht auf dem Schirm haben und einen Verstoß begehen; oder gar davon ausgehen, die Gesetzesänderung spreche sie von ihren Datenschutzverpflichtungen frei, was natürlich nicht zutrifft. In dem Fall entpuppt sich die vermeintlich finanzielle Ersparnis schnell als Kostenfalle – denn ein verhängtes Datenschutzbußgeld kann teuer werden.

Die von der Politik suggerierte Erleichterung stellt sich somit als Irrglaube dar, sowohl was die Kosten als auch den bürokratischen Aufwand betrifft. Ausgebildete und erfahrene Datenschutzbeauftragte greifen den Unternehmen unter die Arme und sorgen dafür, dass diese überhaupt noch Herr über die sich ständig ändernden Anforderungen werden. Daher ist davon auszugehen, dass KMU auch zukünftig nicht ohne fremde Hilfe auskommen. Diese Meinung wird ebenfalls vom Bundesdatenschutzbeauftragten Ulrich Kelber vertreten, der sich schon mehrfach kritisch gegenüber der Gesetzesänderung geäußert hat. Die Datenschutzlockerung zieht überdies nicht in Betracht, dass Unternehmen bei der Verarbeitung personenbezogener Daten besonderer Kategorien[1] ohnehin immer einen Datenschutzbeauftragten benennen müssen.

Unter dem Strich lässt sich festhalten: Sämtliche bürokratische Anforderungen bleiben für KMU weiterhin bestehen, und in finanzieller Hinsicht entfallen lediglich die Kosten für die Bereitstellung, die im Vergleich zu einer Strafe für einen Datenschutzverstoß überschaubar sind. Fachliche Beratung ist also weiterhin anzuraten.

[1] https://www.datenschutz-praxis.de/fachartikel/was-sind-besondere-kategorien-personenbezogener-daten/