Die Pflicht zur Bestellung eines Datenschutzbeauftragten gem. § 38 BDSG sollte abgeschafft werden.
Eine Nebelkerze, die zu Recht nicht gezündet hat
Auf der 1042. Sitzung des Bundesrates am Freitag, dem 22.03.2024, wurde im TOP 25 eine Empfehlung der Ausschüsse über einen Entwurf eines Ersten Gesetzes zur Änderung des Bundesdatenschutzgesetzes beraten und auch abgestimmt. Dieser Entwurf sah u.a. vor, dass § 38 BDSG aufgehoben werden soll.
Was regelt § 38 BDSG? In dieser Norm wird ergänzend zu Art. 37 DSGVO die Bestellung eines Datenschutzbeauftragten nichtöffentlicher Stellen geregelt. Verarbeiten demnach in der Regel mindestens 20 Personen ständig automatisiert personenbezogenen Daten, ist ein Datenschutzbeauftragter zu bestellen.
Die Begründung für dessen Streichung ist eine Nebelkerze par excellence: „Gerade kleine und mittlere Unternehmen sollten aber auch nach den Vorstellungen des europäischen Gesetzgebers (Erwägungsgrund 13 zu der Verordnung (EU) 2016/679 (DSGVO)) nicht unnötigen bürokratischen Anforderungen ausgesetzt werden.“ Was an dieser Stelle jedoch nicht mit kommuniziert wird ist, dass die Unternehmen aufgrund von Art. 37 DSGVO ggf. dennoch verpflichtet sind, einen Datenschutzbeauftragten zu bestellen. Auch wird nicht kommuniziert, dass wenn kein Datenschutzbeauftragter mehr bestellt werden müsste, sämtliche datenschutzrechtlichen Anforderungen an Dokumentationen, Schulungen, Informationen und Sicherstellung der Rechte von Betroffenen etc. dennoch umgesetzt werden müssen. Wer würde dies dann sicherstellen und umsetzen – Sie als Geschäftsführerin oder Geschäftsführer höchstpersönlich?
Ziffer 15 des Entwurfs, der die Aufhebung von § 38 BDSG vorsah, fand in der Sitzung des Bundesrats am 22.03.2024 zu Recht keine Mehrheit. Es gibt in Deutschland eine Vielzahl von unnötigen bürokratischen Anforderungen, die am besten gleich gestrichen werden könnten. Dieser Entwurf mit der oben genannten Begründung war jedoch nur Augenwischerei und hätte für Unternehmen zur mehr Rechtsunsicherheit geführt.