Überarbeitung des Bundesdatenschutzgesetzes: Bundestag und Bundesrat müssen Gesetzentwurf nachbessern

Der Gesetzentwurf zur Änderung des Bundesdatenschutzgesetzes ist unzureichend und muss im Bundestag nachgebessert werden. Das fordert Thilo Weichert, Datenschutzbeauftragter in Schleswig-Holstein, in einem Gastbeitrag. Der Entwurf der Bundesregierung sieht nur eine überfällige Minimalanpassung an das Europarecht vor, moderner Datenschutz benötigt weitere Befugnisse.

Dieser Gastbeitrag ist von Thilo Weichert, Landesbeauftragter für Datenschutz Schleswig-Holstein und damit Leiter des Unabhängigen Landeszentrums für Datenschutz, Kiel.

Mit der „Digitalen Agenda“ versuchte die Bundesregierung Ende August 2014 erneut vergeblich, sich als Gestalterin der Informationsgesellschaft zu profilieren. Über viele Jahre war sie der Silicon-Valley-Wirtschaft hinterher gelaufen. Inzwischen ist vielen klar, dass diese mit ihrem Geschäftsgebaren und ihrer technik- und profitfixierten Ideologie unsere freiheitlich-demokratischen Werte ignoriert oder gar verleugnet: Rechtsstaatlichkeit, demokratische Prozesse, Verbraucherschutz, digitale Freiheitsrechte … . Von einem offensiven Werben für digitale Grundrechte und von deren tatsächlichen Einfordern und Umsetzen durch die Bundesregierung konnte leider bisher keine Rede sein.

Zurückbleiben hinter europarechtlichen Anforderungen

Mit dem vom Kabinett beschlossenen Gesetzentwurf zur Änderung des Bundesdatenschutzgesetzes bleibt sich die Regierung insofern treu. Ziel des Entwurfes ist es, die verfassungsrechtlich und europarechtlich geforderte völlige Unabhängigkeit des Amtes der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) herzustellen. Bundesinnenminister Thomas de Maizière hatte diese Initiative schon bei der Amtseinführung der neuen BfDI Andrea Voßhoff im Februar 2014 angekündigt. Inzwischen droht diese Initiative hinter den europarechtlichen Anforderungen zurückzubleiben. Der Europäische Gerichtshof hat mit seinen Entscheidungen zur deutschen Datenschutzaufsicht (09.03.2010) und zur österreichischen Datenschutzkommission (16.10.2012) festgestellt, dass eine Rechts- und eine Dienstaufsicht mit der Unabhängigkeit der Datenschutzkontrolle nicht vereinbar sind. Sämtliche Bundesländer haben aus dieser Rechtsprechung längst ihre Konsequenzen gezogen. Der Bund wird nun aktiv, nachdem die Europäische Kommission mit einem weiteren Verfahren gegen Deutschland drohte. Und bisher bremste sie über den Europäischen Rat die Modernisierung des Datenschutzes über die Europäische Datenschutz-Grundverordnung mit dem scheinheiligen Argument, der hohe deutsche Datenschutzstandard müsse erhalten bleiben.

Konkret: Bei der Lektüre des Kabinettsentwurfes scheint das vorrangige Anliegen zu sein, der Realität hinterherhinkend, mit Akribie klarzustellen, dass auch Frauen BfDI sein können. Es wird zudem eine oberste Bundesbehörde geschaffen, die nicht mehr in das Bundesinnenministerium eingebunden ist. Dieses profiliert sich seit Jahrzehnten als Sicherheitsbehörden-, nicht als Datenschutzministerium. Die exekutive Aufsicht wird mit dem Entwurf formell beseitigt. Zu mehr war die ministerielle Gestaltungsmacht aber bisher nicht in der Lage.

Maulkorb für Datenschützer

Während in den Bundesländern regelmäßig das Vorschlagsrecht den demokratisch legitimierteren und weniger von Eigeninteressen geleiteten Parlamenten zugewiesen ist, soll dies im Bund nach dem Willen der Regierung bei ihr verbleiben. Unglücklich ist zudem der Vorschlag, dass bei Zeugenaussagen der BfDI, die den „Kernbereich exekutiver Eigenverantwortung der Bundesregierung“ möglicherweise betreffen, „Einvernehmen mit der Bundesregierung“ hergestellt werden muss. Es ist ungewöhnlich, dass eine kontrollierte Regierung ihr Okay geben muss, wenn zwei Kontrollinstanzen, also z. B. die BfDI und ein Bundestags-Untersuchungsausschuss oder ein Gericht, sich austauschen wollen.

Der Gesetzentwurf behauptet: „Zugleich wird die Datenschutzaufsicht auf Bundesebene insgesamt gestärkt.“ Im Entwurf des Gesetzestextes findet sich davon jedoch nichts, sieht man einmal von der Anhebung der BfDI-Besoldung ab. Die zusätzlichen vier Stellen werden absorbiert durch die neuen personal- und haushaltswirtschaftlichen Aufgaben der Dienststelle. Parallel dazu und in Folge der Snowden-Enthüllungen wurden anlässlich der Vorlage des Entwurfes eines IT-Sicherheitsgesetzes mehrere hundert neue Stellen für Sicherheitsbehörden, nicht aber für den Datenschutz angekündigt. Das Ungleichgewicht zwischen Datenschutz- und Sicherheitsbehörden wird also weiter zulasten des Datenschutzes verstärkt.

Keine Druckmittel

Die europäische Datenschutzrichtlinie sieht verpflichtend vor, der Datenschutzkontrolle „wirksame Eingriffsbefugnisse“ zu übertragen, die beispielhaft genannt werden: „geeignete Veröffentlichung (von) Stellungnahmen, […] die Befugnis Sperrung, Löschung oder Vernichtung von Daten oder […] das Verbot einer Verarbeitung anzuordnen“. In den Entwürfen für eine EU-Datenschutz-Grundverordnung sind als wirksame Sanktionsmöglichkeiten Bußgelder in Höhe von zwei bis fünf Prozent des Unternehmensumsatzes geplant. Dem gegenüber soll der BfDI lediglich das stumpfe Schwert der „Beanstandung“ zur Bewirkung rechtskonformer Zustände bleiben, selbst bei auf Profit ausgerichteten Post- und Telekommunikationsunternehmen. Das Äußerungsrecht der BfDI, bisher die wirksamste Waffe der Datenschutzbeauftragten, wird trotz einer äußerst restriktiven Rechtsprechung und im Widerspruch zum Geist der europäischen Regelung nicht gestärkt.

Kompetenz und Gestaltungswillen könnte der Bundesgesetzgeber dadurch zeigen, dass zumindest die präventiven Aufgaben der Datenschutzbeauftragten verbessert würden, so wie dies manches Landesdatenschutzgesetz tut: Umfassende Beratung, Aus- und Fortbildung, Forschung, Zertifizierung, Auditierung, Standardisierung. Leider sagt der Entwurf hierzu nichts. Es bleibt die Hoffnung, dass der Bundestag und der Bundesrat nachbessern, so dass am Ende etwas herauskommt, was modernem Datenschutz und den warmen Worten der „Digitalen Agenda 2014“ mehr gerecht wird.