# 23/16

zum Referentenentwurf für ein Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (DSAnpUG-EU)

 

A. Tenor der Stellungnahme

Mit dem vorgelegten Referentenentwurf ist eine Absenkung des derzeit in Deutschland geltenden Datenschutzniveaus zu befürchten.

Der Gesetzentwurf erscheint aufgrund der gleichzeitigen Umsetzung von Datenschutz-Grundverordnung und JI-Richtlinie strukturell unübersichtlich und für den Rechtsanwender schwer verständlich.

Datenschutzrechtliche Regelungen für den justiziablen Bereich sollten bereichsspezifisch in den jeweiligen Verfahrensordnungen geregelt werden, insbesondere im Bereich des Ermittlungs- und Strafverfahrens.

 
B. Bewertung im Einzelnen

Aufgrund des Umfangs des geplanten Gesetzentwurfs und der – auch vom Bundesministerium des Innern festgestellten – Komplexität der zu regelnden Materie kann der Gesetzentwurf nicht vertieft innerhalb der gesetzten Frist von knapp elf Arbeitstagen in allen Details geprüft werden. Der Deutsche Richterbund nimmt daher nur zu einzelnen Punkten wie folgt vorläufig Stellung:

Mit dem Gesetzentwurf soll in einem Zuge sowohl das deutsche Datenschutzrecht an die Verordnung (EU) 2016/679 (nachfolgend: DS-GVO) angepasst werden als auch die Richtlinie (EU) 2016/680 (nachfolgend: JI-Datenschutz-RL) zumindest teilweise umgesetzt werden, indem das Bundesdatenschutzgesetz umfassend neu gefasst wird. In diesem Zusammenhang sollen auch Änderungen im Bundesverfassungsschutzgesetz, MAD-Gesetz, BND-Gesetz und Sicherheitsüberprüfungsgesetz erfolgen. All dies erscheint im Hinblick auf den Umfang der zu ändernden Regelungen als auch im Hinblick auf den unterschiedlichen Anwendungsbereich von DS-GVO und JI-Datenschutz-RL und die Komplexität der Regelungsmaterie strukturell schwierig. Der Gesetzentwurf ist überfrachtet; der Regelungsinhalt ist aus sich heraus nur schwer verständlich. Die vorgeschlagenen Regelungen dürften selbst für einen fachkundigen Rechtsanwender vielfach nur schwierig zu erfassen sein.

Insgesamt steht – trotz der bei den Verhandlungen zur DS-GVO vorhandenen Bestrebungen zum Erhalt des aktuell geltenden hohen Datenschutzniveaus im nationalen Recht – zu befürchten, dass es mit den vorgeschlagenen Regelungen insgesamt zu einer Absenkung des Datenschutzniveaus in Deutschland kommt. Der Grundsatz der Datensparsamkeit wird nicht ausreichend deutlich. Auch bestehen nach dem Gesetzentwurf umfangreiche Möglichkeiten, erhobene Daten zu anderen Zwecken, als denen, zu denen diese erhoben wurden, zu verwenden, hier insbesondere zum Zwecke des Profilings durch private Stellen, aber auch zum Zwecke der Rasterung zum Zwecke der Gefahrenabwehr bzw. Strafverfolgung durch öffentliche Stellen. Der bisher geltende Zweckbindungsgrundsatz wird damit untergraben. Auch sollen die Informations-, Auskunfts-, Löschungs- und Widerspruchsrechte der Betroffenen im privaten Bereich über die DS-GVO hinaus eingeschränkt werden, was verfassungsrechtlich bedenklich erscheint.

Unionsrechtlich erscheint im hohen Grade problematisch, ob eine Wiederholung der Definitionen im Anwendungsbereich der DS-GVO zulässig ist. Die Begründung zu § 2 BDSG-E überzeugt insoweit nicht.

Im Hinblick auf das Ermittlungs- und Strafverfahren sollte eine Umsetzung der JI-Datenschutz-RL nicht im Bundesdatenschutzgesetz, sondern weitgehend im Rahmen der StPO erfolgen. Im Rahmen der Umsetzung ist sicherzustellen, dass der durch die JI-Datenschutz-RL vorgegebene Schutz der Daten aller Betroffenen in die Regelungen zu entsprechenden Ermittlungsmaßnahmen in die StPO eingearbeitet wird, hier insbesondere auch in Bezug auf Akteneinsichtsrechte und Aktenlöschungsfristen. Auch sollte zunächst im Detail geprüft werden, inwieweit es weiterer Vorgaben eines Datenschutzrechtes im Strafverfahrensrecht – aber auch in den anderen Verfahrensordnungen – bedarf. Entsprechende Ausführungen sind der Gesetzesbegründung nicht in ausreichendem Umfang zu entnehmen. Jedenfalls darf es für das Strafverfahrensrecht nicht zu einer Vermischung der Rechtsschutzmöglichkeiten gegen (straf-)prozessuale Maßnahmen und den datenschutzrechtlichen Beanstandungsmöglichkeiten kommen.

Die Regelungen zur Bestellung eines behördlichen Datenschutzbeauftragten bei Gericht und Staatsanwaltschaften können so nicht überzeugen. Bei Gerichten soll ein zu benennender Datenschutzbeauftragter nicht für die im Rahmen der justiziellen Tätigkeit zu verarbeitenden Daten zuständig sein. Anders soll dies bei Staatsanwaltschaften sein, bei denen der Datenschutzbeauftragte für alle Daten zuständig sein soll. Dies kann inhaltlich nicht überzeugen, auch wenn die Differenzierung europarechtlich wohl gerechtfertigt werden kann. Aus Sicht des Deutschen Richterbundes macht es keinen Unterschied, ob eine Staatsanwaltschaft dieselben Daten im Rahmen eines Ermittlungsverfahrens oder ein Gericht im Rahmen eines Gerichtsverfahrens speichert. Derselbe Widerspruch findet sich in § 55 BDSG-E. Der Deutsche Richterbund plädiert insofern dafür, den Aufgabenkreis des behördlichen Datenschutzbeauftragten bei den Staatsanwaltschaften entsprechend dem gerichtlichen Datenschutzbeauftragten zu bestimmen.

§ 46 BDSG-E enthält eine Regelung zu Zweckänderungen, geht aber nicht auf die besonderen Daten des § 45 BDSG-E ein. Damit könnte der Eindruck entstehen, dass besondere Daten nach § 45 BDSG-E, wenn sie erst einmal erhoben sind, immer zu anderen Zwecken genutzt werden können, wenn die Voraussetzungen des § 43 BDSG-E vorliegen. Zumindest zur Klarstellung sollte in § 46 BDSG-E geregelt werden, dass die besonderen Daten für andere Zwecke bei dem Dritten nur dann genutzt werden dürfen, wenn auch die Voraussetzungen des § 45 BDSG-E gegeben sind.

Im Hinblick auf die noch nicht abgeschlossene Abstimmung des Gesetzentwurfs innerhalb der Bundesregierung und den erfahrungsgemäß daraus resultierenden Änderungen behält sich der Deutsche Richterbund im weiteren Verfahren eine weitere Stellungnahme vor.