Kommt die große DSGVO-Reform?

Die Datenschutz-Grundverordnung (DSGVO) könnte bald erstmals seit
ihrer Einführung 2018 grundlegend überarbeitet werden. Anlass sind
zunehmende Klagen über übermäßige Bürokratie, vor allem für kleine
und mittlere Unternehmen sowie Vereine. Axel Voss,
rechtspolitischer Sprecher der konservativen EVP-Fraktion im
Europaparlament, hat dazu in einem LinkedIn-Posting ein
dreistufiges Modell vorgeschlagen: eine abgespeckte "Mini-DSGVO"
für kleinere Organisationen, eine normale DSGVO für mittlere
Unternehmen und eine strengere "DSGVO Plus" für Unternehmen, deren
Geschäftsmodell wesentlich auf der Verarbeitung personenbezogener
Daten beruht. Überraschend: Der Datenschutzaktivist Max Schrems
unterstützt diese Idee grundsätzlich. In der neuen Episode des
c't-Datenschutz-Podcasts "Auslegungssache" sprechen Redakteur
Holger Bleich und Justiziar Joerg Heidrich mit Prof. Dr. Rolf
Schwartmann über die Vorschläge. Schwartmann ist Professor an der
Technischen Hochschule Köln, Leiter der Kölner Forschungsstelle für
Medienrecht, Vorsitzender der Gesellschaft für Datenschutz und
Datensicherheit (GDD) und außerdem Host des Podcasts "DataAgenda".
Alle drei Diskutanten begrüßen eine mögliche Entlastung kleiner
Unternehmen und Vereine ausdrücklich. Gleichzeitig warnen sie
jedoch davor, die Datenschutzpflichten allein an der Größe
festzumachen. Gerade bei sensiblen Daten müssten auch kleinere
Organisationen weiterhin hohe Standards erfüllen, so Schwartmann.
Die genaue Ausgestaltung könnte komplex werden. Es gelte,
Erleichterungen zu schaffen, ohne das Schutzniveau insgesamt
abzusenken. Ein weiteres Problem sieht Heidrich in der mangelnden
Einheitlichkeit der europäischen Datenschutzaufsicht. Die
nationalen Behörden wenden die DSGVO sehr unterschiedlich an, was
zu Rechtsunsicherheit führt. Eine stärkere Harmonisierung erscheint
nötig, aber die Idee, Aufsichtskompetenz etwa an die EU-Kommission
zu übertragen, stößt in der Episode auf Skepsis. Die Experten
bevorzugen weiterhin unabhängige Datenschutzbehörden, mahnen aber
eine bessere Abstimmung an. Auch in Deutschland wird über
Änderungen diskutiert. So geht aus dem Sondierungspapier zur
möglichen koalitionsbildung von CDU/CSU und SPD hervor, dass die
Pflicht zur Bestellung eines Datenschutzbeauftragten bei kleinen
Unternehmen entfallen beziehungsweise der Schwellwert dafür
deutlich angehoben werden könnte. Schwartmann kritisiert das
deutlich: Ein Datenschutzbeauftragter entlaste Unternehmen eher,
statt sie zu belasten. Ein Wegfall würde bestehende
Datenschutzpflichten nicht beseitigen, sondern den Unternehmen
sogar direkte Risiken aufbürden. Zum Abschluss wagen Schwartmann
und die Podcast-Hosts eine Prognose: Ja, die DSGVO werde wohl
aufgemacht. Doch dass daraus eine umfangreiche Reform entsteht,
halten sie für unwahrscheinlich. Zu groß sei die Gefahr, dass sich
die unterschiedlichen Interessengruppen in komplizierten
Verhandlungen verfangen – und am Ende nur kleine Anpassungen übrig
bleiben.