Draft Act to Amend the Federal Data Protection Act (BDSG)

Begründung

A. Allgemeiner Teil

Die vorgeschlagene Reform des Bundesdatenschutzgesetzes setzt die im Koalitionsvertrag 2025 in Zeile 2100 vereinbarte gesetzliche Verankerung der Datenschutzkonferenz um und realisiert gleichzeitig die angestrebte Bündelung der Zuständigkeiten durch eine effizientere Koordinierungsstruktur.

Die Vorschläge verbinden föderale Fachexpertise mit zentraler Koordinierung und verbessern die Länderzusammenarbeit.

Der Gesetzentwurf wählt dabei verfassungsrechtlich zulässige Ansätze zur Aufgabenbündelung: Zur einheitlichen Umsetzung des EU-Datenschutzrechts werden spezifische, klar abgrenzbare Aufgaben durch verbindliche Mechanismen kooperativer gestaltet und so Vereinfachungen für Bürgerinnen und Bürger sowie Unternehmen geschaffen.

B. Besonderer Teil

Zu Artikel 1 (Änderung des Bundesdatenschutzgesetzes)

Zu den Nummern 1 bis 3 (Inhaltsübersicht und § 18 BDSG-E)

Der neue § 18 BDSG-E ersetzt den bisherigen § 18 BDSG und regelt die Datenschutzkonferenz sowie die Zusammenarbeit der Aufsichtsbehörden grundlegend neu. Die Regelung verzichtet bewusst auf detaillierte Verfahrensregelungen, die im bisherigen § 18 BDSG enthalten waren, und überlässt diese der Geschäftsordnungsautonomie der Datenschutzkonferenz. Dies widerspricht nicht dem Wesentlichkeitsgrundsatz und schafft Raum für praxisnahe Lösungen und klarere Entscheidungswege.

Zu § 18 Absatz 1 BDSG-E

Die Regelung institutionalisiert die Datenschutzkonferenz. Das Ziel ist die einheitliche Anwendung des Unions- und des nationalen Datenschutzrechts. Die explizite

Erwähnung der Öffentlichkeitsinformation stellt klar, dass die Datenschutzkonferenz berechtigt ist, Beschlüsse und Stellungnahmen zu veröffentlichen, Orientierung für Verantwortliche und Betroffene zu bieten.

Die Geschäftsordnungsautonomie ermöglicht flexible Anpassungen ohne Gesetzesänderung. Dies widerspricht nicht dem Wesentlichkeitsgrundsatz, da insoweit keine grundlegenden gesetzlichen Entscheidungen getroffen werden. Vielmehr können Verfahrensdetails der Selbstorganisation überlassen werden.

Zu § 18 Absatz 2 BDSG-E

Die Verbindlichkeit der Mehrheitsbeschlüsse stellt sicher, dass die Datenschutzkonferenz zu einer einheitlicheren Rechtsanwendung beitragen kann. Die Beschlüsse sollen dabei auf Fragen von grundsätzlicher Bedeutung gerichtet sein, etwa die Auslegung einzelner Bestimmungen der Datenschutz-Grundverordnung (DSGVO) oder die datenschutzrechtliche Bewertung neuer Technologien und Verarbeitungsformen. Die Geschäftsordnung kann das Verfahren zur Beschlussfassung näher ausgestalten und dabei auch Regelungen zu besonderen Fallkonstellationen treffen. Das Ziel der einheitlicheren Rechtsanwendung wird auch dadurch gefördert, dass sich die Verbindlichkeit dieser Beschlüsse auch auf nachgelagerte Verfahren und die Rechtsstellung von Verantwortlichen und Betroffenen auswirken kann. Dies wie auch andere prozessuale Folgefragen – etwa zur gerichtlichen Überprüfbarkeit von Beschlüssen der Datenschutzkonferenz – richten sich grundsätzlich nach allgemeinen verwaltungsrechtlichen Grundsätzen. Um zugleich der föderalen Eigenständigkeit der einzelnen Aufsichtsbehörden beim Vollzug des Datenschutzrechts Rechnung zu tragen, wird die Reichweite der Bindungswirkung der Beschlüsse gesetzlich beschränkt, dass die Beschlüsse nur die Mitglieder der Datenschutzkonferenz untereinander binden, im Übrigen aber keine Bindungswirkung entfalten. Sie dienen insbesondere nicht dem Schutz Dritter und begründen keine einklagbaren Rechte.

Die Regelung zur Entscheidungsfindung bei Verfahren nach der DSGVO im zweiten Halbsatz von Satz 3 vereinfacht durch Einführung des Prinzips der einfachen Mehrheit das bisherige, auf Konsens oder komplexen Abstufungen beruhende Verfahren des § 18 BDSG in der derzeit geltenden Fassung, trägt zu einer effektiven Beschlussfassung bei und stärkt so auch bei kontroversen Fragen die Handlungsfähigkeit der deutschen Aufsichtsbehörden im europäischen Kontext.

Zu § 18 Absatz 3 BDSG-E

Die Regelung in Absatz 3 führt das „Einer-für-Alle-Prinzip“ (EfA) in der Datenschutzaufsicht ein. Es überträgt den erfolgreichen Ansatz aus der Verwaltungsdigitalisierung auf die datenschutzrechtliche Bewertungspraxis: Während im Kontext der Umsetzung des Onlinezugangsgesetzes das EfA-Prinzip vorsieht, dass ein Land oder eine Behörde einen digitalen Prozess entwickelt, der anschließend von anderen nachgenutzt werden kann, wird hier die datenschutzrechtliche Bewertung eines Verfahrens oder Systems durch eine Aufsichtsbehörde für alle anderen Aufsichtsbehörden verbindlich geprüft. Die Geschäftsordnung regelt das Verfahren im Detail, insbesondere gemeinsame Prüfstandards, Anregungsmechanismen und die Sicherstellung der Bindungswirkung. Die Bindung gilt nur bei wesentlich unverändertem Einsatz des Verfahrens. Dies vermeidet Doppelprüfungen, schafft Rechtssicherheit und ermöglicht einen länderübergreifenden Einsatz ohne zusätzlichen Prüfungsaufwand.

Zu Nummer 3 (§ 19 Absatz 1 Satz 3 BDSG-E)

Die Änderung des Verweises ist eine notwendige Folgeänderung aufgrund der Neustrukturierung des § 18.

Zu Nummer 4

Zu Buchstabe a (§ 40 Absatz 2 Satz 2 BDSG-E)

Die Änderung des Verweises ist eine notwendige Folgeänderung aufgrund der Neustrukturierung des § 18.

Zu Buchstabe b (§ 40 Absatz 2a – neu –BDSG-E)

Die Regelung knüpft an die objektive Tatsache einer länderübergreifenden Datenverarbeitung durch verbundene Unternehmen oder Forschungseinrichtungen an. Der Fokus liegt dabei auf dem nicht-öffentlichen Bereich sowie auf Forschungseinrichtungen, unabhängig von ihrer Trägerschaft, soweit sie die genannten Zwecke verfolgen.

Der Begriff der „verbundenen Unternehmen“ verweist auf § 15 des Aktiengesetzes und erfasst Konzerne und Unternehmensgruppen in ihrer wirtschaftlichen Einheit, unabhängig von der datenschutzrechtlichen Qualifikation der einzelnen Gruppenmitglieder. Dies ist sachgerecht, da in solchen Unternehmensverbünden häufig konzerninterne Dienstleister für alle Konzerngesellschaften tätig sind oder einheitliche

Datenverarbeitungssysteme verwendet werden, ohne dass zwingend eine gemeinsame Verantwortlichkeit im Sinne des Artikels 26 DSGVO oder eine Auftragsverarbeitung nach Artikel 28 DSGVO vorliegt.

Für Forschungseinrichtungen wird ein breiter Begriff gewählt, der alle Einrichtungen umfasst, die zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken Daten verarbeiten. Diese Formulierung greift die in Artikel 89 DSGVO verwendeten Begriffe auf.

Die Regelung knüpft bewusst nicht an den in der Praxis mitunter schwer abgrenzbaren Begriff der gemeinsamen Verantwortlichkeit nach Artikel 26 DSGVO an, sondern an objektive, leicht nachprüfbare Kriterien. Der Jahresumsatz ist ein solches Kriterium, das in der Regel auch die wirtschaftliche Bedeutung der jeweiligen Verantwortlichen widerspiegelt. Insbesondere für den Fall, dass der Jahresumsatz nicht aussagekräftig ist (etwa bei Non-Profit-Organisationen oder öffentlichen Forschungseinrichtungen), ist auf die Anzahl der mit der Datenverarbeitung befassten Beschäftigten abzustellen. Dies entspricht dem Ansatz von § 5 Absatz 2 Gesundheitsdatennutzungsgesetz, wobei gezielter auf diejenigen abgestellt wird, die mit der Datenverarbeitung befasst sind.

Die Zuständigkeitsbündelung nach Feststellung durch die zuständige Aufsichtsbehörde mitsamt der Zuständigkeitsfiktion nach einem Monat schafft Rechtssicherheit und beschleunigt das Verfahren. Hierfür wird der Zugang für die Betroffenen vereinfacht, indem die Anzeige nur bei einer der zuständigen Aufsichtsbehörden gestellt werden muss; den Betroffenen steht insoweit ein Wahlrecht zu, bei welcher für sie zuständigen Aufsichtsbehörde die Anzeige erfolgt. Das Tätigwerden der sodann allein zuständigen Aufsichtsbehörde im gesamten Bundesgebiet ist im Interesse einer effektiven und einheitlichen Rechtsdurchsetzung erforderlich. Die Fragen der örtlich erweiterten Geltung könnten in der Praxis Abstimmungsbedarf zwischen den Aufsichtsbehörden auslösen, der im Rahmen der Geschäftsordnung zu regeln ist.

Zu Artikel 2 (Inkrafttreten)

Die Vorschrift regelt das Inkrafttreten des Gesetzes.