Der Wunsch nach weniger Bürokratie ist nachvollziehbar. Gerade kleine und mittlere Unternehmen wünschen sich klare Vorgaben und weniger Verwaltungsaufwand.
Vor diesem Hintergrund wird intensiv über Bürokratieabbau im Datenschutz diskutiert. Zu den politischen Vorschlägen gehören Erleichterungen für kleine und mittlere Unternehmen, Ausnahmen für bestimmte Datenverarbeitungen und Änderungen bei der Pflicht zur Benennung betrieblicher Datenschutzbeauftragter.
Doch führen diese Maßnahmen tatsächlich zu einer spürbaren Entlastung in der Praxis?
Weniger Datenschutzbeauftragte: Was bedeutet das für Ihr Unternehmen?
Derzeit enthält § 38 BDSG eine zusätzliche deutsche Regelung zur Benennung von Datenschutzbeauftragten. Danach müssen Verantwortliche und Auftragsverarbeiter unter anderem einen Datenschutzbeauftragten benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. § 38 BDSG nennt darüber hinaus weitere Fälle, in denen die Personenzahl keine Rolle spielt.
Die DSGVO selbst enthält in Art. 37 eigene Vorgaben zur Benennung eines Datenschutzbeauftragten. Die aktuelle Reformdiskussion betrifft damit insbesondere die zusätzliche nationale Bestellpflicht. Eine Änderung dieser Regelung würde die Vorgaben der DSGVO nicht automatisch beseitigen.
Genau hier liegt ein wichtiger Unterschied.
Ein Unternehmen könnte künftig möglicherweise nicht mehr aufgrund der nationalen Regelung verpflichtet sein, einen Datenschutzbeauftragten zu benennen. Datenschutzrechtliche Fragen können trotzdem weiterhin auftreten.
Die Bestellpflicht kann entfallen. Die Fragen bleiben.
Nehmen wir ein Unternehmen, das eine neue KI-Anwendung einführen möchte.
Dabei können Fragen entstehen: Welche personenbezogenen Daten verarbeitet das System? Auf welcher Grundlage geschieht das? Werden Daten an Dritte oder in Drittländer übermittelt? Welche datenschutzrechtlichen Anforderungen muss das Unternehmen berücksichtigen?
Auch im Tagesgeschäft entstehen solche Situationen.
Ein Kunde verlangt Auskunft über seine personenbezogenen Daten. Beschäftigtendaten müssen gelöscht werden. Ein Datenschutzvorfall tritt auf. Ein Fachbereich möchte neue Software einsetzen.
Dann braucht das Unternehmen weiterhin klare Zuständigkeiten und die erforderliche Fachkunde.
Die entscheidende Frage lautet deshalb:
Wer übernimmt diese Aufgaben, wenn ein Unternehmen keinen Datenschutzbeauftragten mehr benennen muss?
Eine wegfallende Bestellpflicht kann organisatorischen Aufwand reduzieren. Sie bedeutet aber nicht automatisch, dass auch die damit verbundenen datenschutzrechtlichen Fragestellungen verschwinden.
Wenn fachliche Begleitung fehlt, können Risiken entstehen
Genau an diesem Punkt setzt die Kritik des Berufsverbands der Datenschutzbeauftragten an.
Der BvD argumentiert, dass Datenschutzbeauftragte Unternehmen bei der Bewältigung ihrer datenschutzrechtlichen Anforderungen unterstützen. Der Verband warnt deshalb davor, dass eine Reduzierung der Datenschutzbeauftragten das Haftungs- und Bußgeldrisiko für Unternehmen erhöhen könnte.
Das ist eine Position des BvD, keine automatische Folge einer wegfallenden Bestellpflicht.
Die praktischen Fragen dahinter sind dennoch relevant:
Neue Software und KI-Anwendungen
Wer prüft datenschutzrechtliche Fragen, bevor das Unternehmen ein neues System einsetzt?
Betroffenenanfragen
Wer koordiniert die notwendigen Schritte, wenn Kunden oder Beschäftigte Auskunft über ihre personenbezogenen Daten verlangen?
Datenschutzvorfälle
Wer bewertet den Vorfall aus datenschutzrechtlicher Sicht und klärt die nächsten Schritte?
Neue Prozesse und Projekte
Wer erkennt frühzeitig datenschutzrechtliche Fragestellungen und bringt die notwendige Fachkunde ein?
Unternehmen müssen solche Zuständigkeiten weiterhin organisieren, soweit die jeweiligen datenschutzrechtlichen Anforderungen bestehen.
Eine organisatorische Pflicht kann also entfallen, während fachlicher Klärungsbedarf bestehen bleibt.
Auch pauschale Ausnahmen werfen Fragen auf
Die Reformdiskussion betrifft nicht nur Datenschutzbeauftragte. Zu den politischen Vorschlägen gehören auch Ausnahmen für kleine und mittlere Unternehmen, nicht kommerzielle Tätigkeiten und sogenannte risikoarme Datenverarbeitungen.
Hier stellt sich eine weitere Frage: Ist die Größe einer Organisation ein geeigneter Maßstab für das Datenschutzrisiko?
Auch kleinere Organisationen können sensible personenbezogene Daten verarbeiten.
Ein kleiner Sportverein kann beispielsweise Gesundheitsdaten seiner Mitglieder verarbeiten. Auch Daten von Kindern können betroffen sein. Eine Organisation kann also klein sein und trotzdem mit Daten arbeiten, die einen besonderen Schutz benötigen.
Bereits in einer früheren Stellungnahme hat die Stiftung Datenschutz darauf hingewiesen, dass eine vollständige Herausnahme bestimmter Vereine oder eine pauschale Freistellung von einzelnen DSGVO-Pflichten nach der derzeitigen Rechtslage nicht mit den geltenden Grundsätzen des Datenschutzrechts vereinbar wäre.
Pauschale Ausnahmen könnten deshalb ihrerseits neue Abgrenzungsfragen aufwerfen.
Wann entsteht echte Entlastung?
Bürokratieabbau im Datenschutz kann Unternehmen helfen, wenn Anforderungen verständlicher werden, unnötige Doppelstrukturen entfallen und Prozesse einfacher funktionieren.
Unternehmen können viele Abläufe bereits heute effizienter organisieren:
- Zuständigkeiten klar festlegen
- verständliche Prozesse etablieren
- Vorlagen und wiederkehrende Abläufe standardisieren
- bestehende Verfahren regelmäßig prüfen
- Mitarbeitende praxisnah schulen
- Lösch- und Aufbewahrungsprozesse sinnvoll organisieren
So entsteht Entlastung nicht allein durch weniger Vorgaben. Gut organisierte Abläufe können auch die Umsetzung bestehender Anforderungen erleichtern.
Datenschutzfachkunde bleibt gefragt
Gleichzeitig entwickeln sich Technologien und Geschäftsmodelle weiter.
KI-Anwendungen, internationale Datentransfers und neue digitale Prozesse können datenschutzrechtliche Fragestellungen mit sich bringen. Unternehmen müssen diese Fragen auch dann klären, wenn sich einzelne organisatorische Vorgaben ändern.
Deshalb sollte sich die Reformdiskussion nicht allein darauf konzentrieren, welche Pflichten wegfallen.
Mindestens ebenso wichtig ist die Frage:
Wie stellen Unternehmen die notwendige Datenschutzfachkunde künftig sicher?
Entbürokratisierung weitergedacht
Was weniger formale Anforderungen für die Verantwortung im Unternehmen bedeuten, haben wir bereits aus einer anderen Perspektive betrachtet.
In unserem Beitrag„Digitaler Omnibus: Weniger Bürokratie oder mehr Eigenverantwortung?“ geht es darum, warum Entbürokratisierung nicht nur eine Frage von weniger Dokumentation und weniger Aufwand ist. Im Mittelpunkt stehen der risikobasierte Ansatz, die Verantwortung gegenüber Betroffenen und die Frage, wie Unternehmen ihre Entscheidungen nachvollziehbar treffen und dokumentieren.
→ Zum Beitrag „Digitaler Omnibus: Weniger Bürokratie oder mehr Eigenverantwortung?“
Fazit
Bürokratieabbau im Datenschutz ist ein nachvollziehbares Ziel. Entscheidend ist jedoch, wo tatsächlich Aufwand entfällt.
Die Diskussion um betriebliche Datenschutzbeauftragte zeigt das besonders deutlich: Eine geringere Zahl gesetzlich verpflichtend zu benennender Datenschutzbeauftragter kann Unternehmen organisatorisch entlasten. Sie bedeutet aber nicht automatisch, dass damit auch die zugrunde liegenden datenschutzrechtlichen Aufgaben und Fragestellungen entfallen.
Auch pauschale Ausnahmen verdienen einen genauen Blick. Die Größe eines Unternehmens oder Vereins sagt allein noch wenig darüber aus, welche personenbezogenen Daten dort verarbeitet werden.
Ob die Reformen am Ende zu einer spürbaren Entlastung führen, hängt deshalb auch davon ab, ob Datenschutz in der Praxis einfacher wird oder sich Aufgaben lediglich verschieben.
Bis entsprechende Änderungen in Kraft treten, gelten die bestehenden gesetzlichen Anforderungen. Unternehmen sollten die weitere Entwicklung deshalb aufmerksam verfolgen und gleichzeitig prüfen, wie sie Datenschutz heute effizient und klar organisieren.
