Jahresbericht zum Datenschutz: Von Corona, Cookies und Beschäftigtendatenschutz

Das zweite Pandemiejahr hat Spuren bei Ulrich Kelber hinterlassen. Den heute veröffentlichten Tätigkeitsbericht des Bundesdatenschutzbeauftragten (BfDI) dominieren Gesundheitsthemen, von der Corona-Warn-App über die Pandemie-Software Sormas bis hin zur Elektronischen Patientenakte.

„Das heißt aber nicht, dass die restliche Welt sich nicht weiter bewegt hätte“, sagt Kelber in einer Pressemitteilung. Im Gegenteil: „Die alte Bundesregierung hat zum Ende der Legislaturperiode noch eine ganze Reihe an umfangreichen Gesetzen vorgelegt, zum Beispiel das IT-Sicherheitsgesetz oder die neuen Telekommunikationsgesetze TKG und TTDSG.“

Und das oft in letzter Minute: Nach über zehn Jahren Untätigkeit hat etwa die vergangene Große Koalition, erst kurz vor der Sommerpause und der späteren Bundestagswahl, EU-Vorgaben der E-Privacy-Richtlinie in deutsches Recht übersetzt. Auch andere Gesetzesentwürfe und Verordnungen seien „im Akkord“ vorgelegt worden, heißt es im Bericht. „Wie im Vorjahr gab es selten Zeit, diese Entwürfe sachgerecht zu prüfen und die Bundesregierung zu beraten.“

Wenige umgesetzte Empfehlungen

Ernüchternd fällt auch die Bilanz der Umsetzung vorheriger Empfehlungen aus. Lediglich ein aus dem Vorjahr stammender, relativ bescheidener Vorschlag zur Wahl einer stellvertretenden Person für die Vertretung im Europäischen Datenschutzausschuss bekam von Kelber einen grünen Punkt für die Umsetzung. Die Evaluierung eilig auf den Weg gebrachter Maßnahmen rund um die Corona-Pandemie gab es nicht. Und auch eine sichere Übermittlung digitaler Gesundheitsanwendungen über die Telematikinfrastruktur hat die letzte Bundesregierung nicht berücksichtigt.

Dennoch gab es einige Erfolge zu verzeichnen. So sei die Corona-Warn-App (CWA) aus Sicht des BfDI im internationalen Vergleich und national zu einer erfolgreichen Referenz bei der Bekämpfung der Pandemie mit Smartphone-Apps geworden – obschon eine vorgeschlagene Evaluierung „Unzulänglichkeiten und Verbesserungsmöglichkeiten“ aufdecken könnte. Erfreulich sei auch, dass die Bundesregierung die Forderung des BfDI zu Cookies umgesetzt hat.

Neues Datenschutzgesetz

Zurückzuführen ist das auf EU-Vorgaben aus dem sogenannten Kodex für die elektronische Kommunikation. Dieser hatte eine weitflächige Umarbeitung des Telekommunikationsgesetzes (TKG) und teils des Telemediengesetzes (TMG) notwendig gemacht. Datenvorschriften flossen dabei aus dem TKG ins neu geschaffene Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG), ergänzt um bisherige Regelungen zu Telemedien aus dem TMG.

Unter anderem wurde dabei der Begriff des Telekommunikationsdienstes deutlich erweitert, er erfasst nun beispielsweise Messenger-Dienste, E-Mail-Dienste und Videokonferenzdienste. Zugleich ist seitdem der BfDI auf nationaler Ebene sowohl für Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) als auch bei der Verletzung des Schutzes von Verkehrsdaten zuständig.

Ein umkämpfter Punkt bei der Novellierung waren Cookies und die Frage, ob eine ausdrückliche Einwilligung notwendig ist, um damit im Netz zu tracken. Eigentlich ist dies seit 2009 EU-weit geregelt. „Endlich richtlinienkonform“, wie es im Bericht heißt, ist es aber erst jetzt. Ob die im Gesetz nun verankerten Personal Information Management Systeme (PIMS) die Cookie-Flut bändigen werden, bleibt vorerst unklar: Die Details müssen noch in einer Rechtsverordnung festgelegt werden.

Kelber fordert Beschäftigtendatenschutzgesetz

Ins Pflichtenheft schreibt Kelber der neuen Regierung unter anderem, endlich ein „dringend notwendiges“ Beschäftigtendatenschutzgesetz vorzulegen. Diese Forderung steht schon lange Zeit im Raum, die Ampelregierung hat sich nun auch im Koalitionsvertrag darauf geeinigt. Die rasant fortschreitende Digitalisierung in Betrieben und Verwaltungen lasse den Bedarf nach einer gesetzlichen Regelung immer dringender werden, heißt es im Bericht. Orientieren könne sich die Regierung etwa an dem Bericht eines interdisziplinären Beirats, dem Kelber angehört und der Anfang des Jahres Empfehlungen ausgesprochen hatte.

Regelungslücken bestünden etwa im Bereich der Künstlichen Intelligenz in Bewerbungsverfahren, beim Beschäftigtenscreening oder beim GPS-Tracking von Mitarbeitenden. Ein neues Gesetz müsse spezifische Datenverarbeitungen im Beschäftigtenkontext und Eckpunkte im Beschäftigungsverhältnis regeln. Dazu gehören etwa ein Verbot der Totalüberwachung, Grenzen einer Verhaltens- und Leistungskontrolle, Hinweise zu Beweisverwertungsverboten sowie der Einsatz neuer Technologien, insbesondere algorithmische Systeme.