Novelle des Bundesdatenschutzgesetzes

© BDI / F.Richter

Im September 2009 ist nach heftiger politischer Diskussion eine weitere Änderung des Bundesdatenschutzgesetzes (BDSG) in Kraft getreten.

Nach der Gesetzesänderung im Frühjahr 2009 (BDSG-Novelle I) hinsichtlich Regelungen zum Scoring (§§ 28a, 28b BDSG n.F.) wurden schließlich auch umstrittene Modifikationen der Regelungen zur Datenverwendung durch nicht-öffentliche Stellen beschlossen (BDSG-Novelle II).

Das zunächst im Artikelgesetz enthaltene Datenschutzauditgesetz (DSAG) wurde gestrichen, nachdem der vorgelegte Entwurf zur Einführung von Auditierungen für Datenschutzkonzepte der Unternehmen allseitig als praxisfern und bürokratisch bewertet wurde. Nunmehr soll zunächst ein mehrjähriges Pilotprojekt geplant werden.

Die Nutzung von Adressdaten wird zukünftig grundsätzlich von der Einwilligung des Betroffenen abhängig gemacht. Die ursprünglich vorgesehene Streichung des für den Adresshandel essentiellen Listenprivilegs konnte durch intensive Argumentationsarbeit aller betroffenen Wirtschaftszweige jedoch verhindert werden. Neben anderen Ausnahmen ist die Nutzung fremder Adressbestände zur postalischen Neukundengewinnung auch weiter ohne Einwilligung möglich. Der Adressnutzer muss allerdings für diese Privilegierung die ursprüngliche Herkunft der Adressdaten im Werbeschreiben mit Klarnamen nennen. Die Forderung der Werbewirtschaft nach einer codierten Herkunftsangabe gemäß österreichischem Vorbild wurde nicht aufgegriffen.

Eine schon im Ausgangsentwurf enthaltene Regelung betrifft alle Unternehmen, die einen betrieblichen Datenschutzbeauftragten zu bestellen haben, mithin alle Unternehmen, in denen mehr als 10 Personen mit der elektronischen Verarbeitung von Personendaten beschäftigt sind. Bestellen diese Unternehmen einen bestehenden oder neuen Mitarbeiter zum betrieblichen Datenschutzbeauftragten, so genießt dieser Mitarbeiter nach § 4f III BDSG n. F. Kündigungsschutz wie ein Betriebsrat; jener gilt auch nach seiner Abberufung als Datenschutzbeauftragter noch ein Jahr weiter. Darüber hinaus hat der Mitarbeiter auf Kosten des Arbeitgebers Anspruch auf Fortbildungen im Datenschutzrecht. 

Negativ kann sich der im Juni in den Gesetzesentwurf eingefügte § 32 BDSG n. F. auf alle Unternehmen für den Bereich Compliance auswirken. Ursprünglich wurde die Norm konzipiert, um die geltende Rechtsprechung zusammenzufassen und die bereits zuvor bestehende Geltung der allgemeinen datenschutzrechtlichen Vorschriften für Arbeitsverhältnisse zu bestätigen. In der Gesetzesfassung jedoch schränkt diese neue Grundsatznorm die innerbetriebliche präventive Bekämpfung von Korruption ein. Nur ein begründeter Verdacht auf bereits begangene Straftaten soll eine diesbezügliche Datenerhebung rechtfertigen können (§ 32 S.2 BDSG n. F.). Zu verhindernde  bevorstehende Taten werden nicht erwähnt. In der Gesetzesbegründung wird zwar ausgeführt, dass Datenerhebungen zur präventiven Kriminalitätsbekämpfung nach § 32 Satz 1 BDSG (erforderliche Datenerhebung "zur Durchführung des Beschäftigungsverhältnisses") zulässig blieben. Diese Konstruktion kann jedoch in der Auslegung durch Gerichte für starke Unsicherheiten sorgen.