Die von Bund und Ländern angestoßene Prüfung einer Abschaffung der Pflicht zur Bestellung von Landesdatenschutzbeauftragten ist in einer Anhörung des nordrhein-westfälischen Landtags auf breite Kritik gestoßen. Mehrere Sachverständige warnten, eine vollständige Zentralisierung der Datenschutzaufsicht beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) sei mit dem geltenden Verfassungsrecht kaum vereinbar oder sogar ausgeschlossen. Zwar sahen nahezu alle Experten Reformbedarf, sie plädierten jedoch überwiegend für eine Modernisierung der bestehenden föderalen Strukturen statt für deren Abschaffung.
Anlass der Anhörung ist die Föderale Modernisierungsagenda von Bund und Ländern. Darin haben sich Bundeskanzler und Ministerpräsidenten Ende 2025 darauf verständigt, die Datenschutzaufsicht zu reformieren. Die Landesregierung Nordrhein-Westfalen unterstützt diese Agenda grundsätzlich. Geprüft werden sollen unter anderem eine stärkere Bündelung der Datenschutzaufsicht, mehr Einheitlichkeit bei der Rechtsanwendung und ausdrücklich auch die „Aufhebung der Pflicht zur Bestellung eines Landesdatenschutzbeauftragten“.
Eine der ausführlichsten Stellungnahmen stammt vom Verfassungsrechtler Dr. Jonas Botta von der FernUniversität Hagen. Der Juniorprofessor für Öffentliches Recht mit Schwerpunkt Datenschutzrecht versucht darin zunächst, die verschiedenen Reformideen voneinander zu trennen, etwas, das seiner Ansicht nach in der politischen Debatte häufig untergeht.
Er machte deutlich, dass die Modernisierungsagenda mehrere Reformoptionen nebeneinander enthalte. Entscheidend sei dabei die Trennung zwischen der Datenschutzaufsicht über den öffentlichen Bereich, also Behörden und Kommunen, und der Aufsicht über private Unternehmen. „Diese Prüfung der Abschaffung der Pflicht einer Bestellung von Landesdatenschutzbeauftragten wirkt wie ein Fremdkörper, weil sie im Kontrast zu den Ausführungen davor steht, wo es eben um den nicht öffentlichen Bereich geht“, so Botta.
Botta kritisierte damit, dass sich die Modernisierungsagenda zunächst ausschließlich mit Reformoptionen für die Datenschutzaufsicht über Unternehmen befasse. Der zusätzliche Prüfauftrag zur Abschaffung der Pflicht zur Bestellung von Landesdatenschutzbeauftragten gehe aus seiner Sicht darüber hinaus und lasse offen, ob lediglich Zuständigkeiten im privaten Bereich neu geordnet oder die Institution der Landesdatenschutzbeauftragten insgesamt infrage gestellt werden soll.
Nach Bottas Auffassung lässt sich die Datenschutzaufsicht über den öffentlichen Bereich weder einfach abschaffen noch ohne Weiteres auf den Bundesdatenschutzbeauftragten übertragen. Dabei verwies er sowohl auf das Volkszählungsurteil des Bundesverfassungsgerichts, „das eben schon die Bedeutung der unabhängigen Datenschutzbeauftragten hervorhebt“, als auch auf Art. 8 der EU-Grundrechtecharta und Art. 16 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV). Eine ersatzlose Abschaffung der Datenschutzaufsicht komme deshalb bereits unions- und verfassungsrechtlich nicht in Betracht.
Auch die Zuständigkeiten der Länder spielten dabei eine zentrale Rolle. Die Aufsicht über Landes- und Kommunalbehörden greife unmittelbar in die Eigenstaatlichkeit der Länder ein. Dafür fehle derzeit jede ausdrückliche Grundlage im Grundgesetz. Für den öffentlichen Bereich sieht Botta deshalb erhebliche verfassungsrechtliche Grenzen.
Anders beurteilt Botta dagegen die Datenschutzaufsicht über private Unternehmen. Dort könne der Bund seine konkurrierenden Gesetzgebungskompetenzen für das bürgerliche Recht, das Recht der Wirtschaft und das Arbeitsrecht nutzen. Eine teilweise Zentralisierung beim Bundesdatenschutzbeauftragten hält er deshalb grundsätzlich für möglich. Ebenso denkbar sei allerdings eine Reform der Datenschutzkonferenz (DSK) mit verbindlichen Mehrheitsentscheidungen. Zwischen diesen Reformpfaden müsse letztlich die Politik entscheiden.
Botta unterschied mehrfach zwischen rechtlichen und politischen Fragen. Die Politik, nicht die Wissenschaft, müsse „entscheiden, welchen Weg sie gehen möchte.“ Die wissenschaftlichen Grundlagen lägen inzwischen vor. Dabei verwies Botta unter anderem auf mehrere Gutachten sowie auf die erst kürzlich veröffentlichten „Stuttgarter Impulse“ der Landesdatenschutzbehörden.
Zentral bei der Anhörung war außerdem Artikel 77a der nordrhein-westfälischen Landesverfassung. Darin ist geregelt, dass der Landtag eine Landesdatenschutzbeauftragte beziehungsweise einen Landesdatenschutzbeauftragten wählt. Bei der Frage, ob diese Vorschrift lediglich die Existenz einer Behörde oder auch deren Aufgaben schütze, vertrat Prof. Gernot Sydow von der Universität Münster eine deutlich andere Auffassung als Botta. Demnach werde häufig suggeriert, das Amt der Landesdatenschutzbeauftragten sei praktisch „sakrosankt“. Tatsächlich regele die Vorschrift in erster Linie die Organisation des Landes. Deshalb stehe sie Reformen des Bundes grundsätzlich nicht entgegen.
Sydow plädierte insgesamt für eine deutlich weitergehende Reform der Datenschutzaufsicht als die übrigen Sachverständigen: „Wenn sich 16 untereinander verständigen sollen, dann sind immer Aushandlungsprozesse nötig.“ Die Datenschutzkonferenz könne zwar verbessert werden. Letztlich bleibe aber jede Abstimmung zwischen den Datenschutzaufsichtsbehörden aufwendig. „Wenn die Vereinheitlichung gewollt ist“, dann sei der Bund die Institution im föderalen Staat, die das leisten könne.
Prof. Tobias Herbst von der Hochschule für Polizei und öffentliche Verwaltung Nordrhein-Westfalen sieht das differenzierter. Er hatte sich mit der Entstehungsgeschichte des Artikels 77a beschäftigt. Damals sei die Vorschrift gerade deshalb in die Landesverfassung aufgenommen worden, um eine unabhängige Kontrolle der Landesverwaltung dauerhaft abzusichern. „Es ergibt wenig Sinn zu sagen, eine solche Verfassungsnorm betrifft nur die Behörde“, so Herbst. Zu einer Behörde gehöre eben auch deren Aufgabenbereich. Deshalb sehe er in Artikel 77a durchaus mehr als eine bloße Organisationsnorm.
Anders als Botta hält Herbst allerdings eine Übertragung der Datenschutzaufsicht über den privaten Bereich auf den Bund grundsätzlich für möglich. Der eigentliche Schutzbereich des Artikels 77a betreffe aus seiner Sicht vor allem die Kontrolle der öffentlichen Verwaltung.
Auch Botta widersprach Sydow deutlich. Er warnte davor, das Amt zwar formal bestehen zu lassen, ihm aber die wesentlichen Aufgaben zu entziehen. „Das Amt darf nicht zur leeren Hülle werden“, warnte Botta. Gerade weil Nordrhein-Westfalen, anders als Bayern, keine getrennten Behörden für den öffentlichen und den privaten Bereich kenne, müsse der Gesetzgeber berücksichtigen, welche Aufgaben dem Amt tatsächlich verblieben.
Ein besonders anschauliches Beispiel brachte Herbst mit der medizinischen Forschung. Gerade dort werde deutlich, warum Datenschutzaufsicht nicht nur aus der Datenschutz-Grundverordnung bestehe. „Da haben Sie schon den öffentlichen und den nicht öffentlichen Bereich zusammen“, sagte Herbst.
Herbst erläuterte dies am Beispiel der medizinischen Forschung. Dort würden Forschungsprojekte häufig gemeinsam von Universitätskliniken, öffentlichen Forschungseinrichtungen und privaten Pharmaunternehmen durchgeführt. Während Universitätskliniken dem Landesrecht unterliegen, greifen für Pharmaunternehmen weitgehend Bundeskompetenzen. Hinzu kommen unterschiedliche Landeskrankenhausgesetze. Eine zentrale Bundesbehörde müsste deshalb sehr unterschiedliche landesrechtliche Regelungen anwenden.
Laut dem früheren Bundesdatenschutzbeauftragten, Prof. Ulrich Kelber, gebe es bereits heute erhebliche Unterschiede zwischen den verschiedenen Landeskrankenhausgesetzen. Die Vorstellung, eine Bundesbehörde müsse künftig sämtliche datenschutzrechtlichen Fragen privater Krankenhäuser unter Anwendung zahlreicher unterschiedlicher Landesregelungen bearbeiten, sei "nur schwierig vorstellbar". Damit wurde bereits zu Beginn der Anhörung deutlich, dass sich der Streit nicht allein um Verfassungsrecht dreht. Mindestens ebenso wichtig ist die praktische Frage, wie Datenschutzaufsicht in einem föderalen Staat überhaupt organisiert werden kann.
Kelber verwies zudem auf die praktische Arbeit der Datenschutzaufsicht. Viele Beschwerden erforderten Vor-Ort-Kontrollen oder Gespräche mit Unternehmen und Behörden. Eine zentrale Bundesbehörde müsse dafür Beschäftigte jeweils aus Bonn entsenden. Das sei ein Aufwand, der aus seiner Sicht gegen die versprochenen Effizienzgewinne spreche.
Wie sich Datenschutzaufsicht im Alltag tatsächlich darstellt, schilderte Bettina Gayk, Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen. Sie rückte die Diskussion bewusst von der abstrakten Strukturfrage auf die tägliche Arbeit der Behörden. Man müsse vor der Frage der Zentralisierung fragen, was eigentlich zentralisiert werden solle. Der weitaus größte Teil der Arbeit bestehe aus Beschwerden einzelner Bürgerinnen und Bürger und gerade nicht aus Verfahren gegen internationale Technologiekonzerne. „Da geht es um die Videoüberwachung im Vorgarten. Da geht es um die Akte, die in der Arztpraxis liegen geblieben ist. Oder um die Übermittlung von Daten an ein Abrechnungszentrum.“
Ebenso gehe es um Fragen, ob ein Rechtsanwalt Gehaltsabrechnungen im Scheidungsverfahren verwenden dürfe oder ob personenbezogene Daten unzulässig weitergegeben worden seien. „Das mutet für mich geradezu absurd an, das zentral aus Berlin oder Bonn zu tun“, so Gayk. Allein 2025 gingen bei ihrer Behörde rund 12.600 Beschwerden ein, nach etwa 7500 im Vorjahr.
Gayk räumte zugleich ein, dass es für größere, bundesweit tätige Unternehmen nachvollziehbare Gründe für Reformüberlegungen gebe. Bei identischen Datenverarbeitungsverfahren könne es sinnvoll sein, Mehrfachprüfungen zu vermeiden. Genau dafür entwickelten die Datenschutzaufsichtsbehörden derzeit mit dem „Einer-für-Alle“-Prinzip einen Lösungsansatz. Allerdings würden große Unternehmen bereits heute oft gemeinsam betreut. Gayk verwies auf bundesweite Arbeitskreise etwa für die Kreditwirtschaft, Versicherungen, den Adresshandel sowie Auskunfteien. Gerade dort finde bereits heute ein intensiver Austausch zwischen den Datenschutzbehörden und den Unternehmen statt.
Die Datenschutzaufsichtsbehörden wollten deshalb vorhandene Koordinierungsmechanismen ausbauen, statt sämtliche Zuständigkeiten beim Bund zu konzentrieren. Ein zentraler Baustein der „Stuttgarter Impulse“ ist das sogenannte „Einer-für-Alle“-Prinzip. Es soll verhindern, dass mehrere Datenschutzaufsichtsbehörden identische Sachverhalte parallel prüfen. „Mit dem ‚Einer-für-alle-Prinzip‘ können wir schneller und effektiver werden, weil wir parallele Prüfungen vermeiden: Wenn eine Behörde einen Sachverhalt geprüft hat, muss dies eine andere Behörde nicht mehr machen, wenn es dort um ein vergleichbares Thema geht“, erklärt dazu der derzeitige Vorsitzende der Datenschutzkonferenz (DSK), der baden-württembergische Landesdatenschutzbeauftragte Tobias Keber, gegenüber heise online.
Die Vorstellung, Datenschutzaufsicht bestehe vor allem aus Verfahren gegen Meta, Google oder andere internationale Plattformen, wies Gayk ebenfalls zurück. Nordrhein-Westfalen führt nach ihren Angaben lediglich sechs grenzüberschreitende Verfahren federführend. An 69 weiteren europäischen Verfahren ist die Behörde beteiligt. „Das, was wir im Kern bearbeiten, ist die Beschwerde der Einzelpersonen.“
Mit den gemeinsam verabschiedeten „Stuttgarter Impulsen“ wollen die Landesdatenschutzbehörden deshalb unter anderem gegen verbreitete Vorstellungen über Datenschutz und Datenschutzaufsicht argumentieren. Das Papier versteht sich ausdrücklich als Gegenentwurf zu einer reinen Zentralisierung. Die Autoren benennen darin fünf aus ihrer Sicht verbreitete „Mythen“: Die Datenschutzaufsicht arbeite uneinheitlich, Deutschland lege die DSGVO besonders streng aus, eine Zentralisierung spare automatisch Personal, Beschwerden ließen sich wie ein Massengeschäft bearbeiten und die Datenschutzaufsicht könne beliebig organisiert werden.
Mit der Datenschutz-Grundverordnung, den europäischen Kohärenzverfahren sowie der Datenschutzkonferenz gebe es bereits heute umfangreiche Mechanismen, um eine möglichst einheitliche Rechtsanwendung sicherzustellen. Dabei verschwieg Gayk nicht, dass es durchaus unterschiedliche Auffassungen gebe. Diese seien allerdings deutlich seltener geworden.
Seit Einführung der neuen Geschäftsordnung der Datenschutzkonferenz habe es nach ihren Angaben lediglich zwei dokumentierte Abweichungen gegeben – einmal aufgrund abweichenden Landesrechts in Bayern und einmal in Form einer Fußnote in einer Orientierungshilfe. Auf ihre Einwände gegen die Annahmen der Föderalen Modernisierungsagenda habe sie von deren Initiatoren lediglich die knappe Antwort erhalten: „We agree to disagree.“
Der frühere Bundesdatenschutzbeauftragte Prof. Ulrich Kelber stellte weniger die Existenz der Landesbehörden als vielmehr den fortbestehenden Koordinierungsbedarf in den Mittelpunkt. Selbst wenn die Datenschutzaufsicht über Unternehmen künftig vollständig beim Bund läge, müssten zahlreiche Bereiche weiterhin zwischen unterschiedlichen Behörden abgestimmt werden.
Kelber verwies unter anderem auf den öffentlichen Bereich, die kirchlichen Datenschutzaufsichten, die Datenschutzaufsichten der Rundfunkanstalten sowie Bereiche, in denen Landes- und Bundesbehörden dieselben Rechtsfragen beurteilen müssten. Deshalb sprach sich Kelber für eine deutliche Stärkung der Datenschutzkonferenz (DSK) aus.
Nach Auffassung Kelbers ließe sich ein großer Teil der heute beklagten Mehrfachprüfungen auch ohne Zentralisierung vermeiden. Er verwies auf das „Einer-für-Alle“-Prinzip. Danach müsse eine Datenschutzaufsichtsbehörde eine bereits erfolgte rechtliche Bewertung nicht noch einmal vollständig wiederholen. Zugleich sprach er sich für einen One-Stop-Shop aus. Unternehmen sollten ihre Verfahren künftig möglichst nur noch gegenüber einer Aufsichtsbehörde erläutern müssen. Anschließend könnten die Ergebnisse durch verbindliche Koordinierungsmechanismen bundesweit übernommen werden.
Nahezu alle Sachverständigen befürworteten eine stärkere Institutionalisierung der Datenschutzkonferenz. Diskutiert wurden unter anderem eine gesetzliche Verankerung im Bundesdatenschutzgesetz, eine dauerhafte Geschäftsstelle, verbindliche Mehrheitsentscheidungen, eine gemeinsame Entscheidungsdatenbank, ein zentrales digitales Eingangsportal und eine stärkere Spezialisierung einzelner Behörden. Lediglich über den Umfang dieser Reformen gingen die Meinungen auseinander.
Während Sydow eine Zentralisierung beim Bund weiterhin für den effizientesten Weg hält, sehen Botta, Kelber, Herbst und Gayk in einer reformierten Datenschutzkonferenz den realistischeren und verfassungsrechtlich sichereren Ansatz. Auch die Rolle der Wirtschaft fiel differenzierter aus, als es die politische Diskussion häufig vermuten lässt. Zwar wünschen sich insbesondere bundesweit tätige Unternehmen weniger parallele Verfahren und möglichst einheitliche Ansprechpartner.
Die Landesdatenschutzbehörden verweisen jedoch darauf, dass daraus nicht automatisch der Wunsch nach einer einzigen Bundesbehörde folgt. In den „Stuttgarter Impulsen“ wird unter anderem auf Erhebungen verwiesen, wonach Datenschutz durchaus als Wettbewerbs- und Standortfaktor wahrgenommen werde.
Eine von Gayk zitierte Bitkom-Befragung zeichnet ebenfalls kein eindeutiges Bild. Unternehmen versprechen sich zwar Vorteile von einer einheitlicheren Rechtsanwendung und weniger Bürokratie. Gleichzeitig befürchten viele den Verlust regionaler Ansprechpartner oder längere Bearbeitungszeiten. Fast jedes fünfte befragte Unternehmen sieht überhaupt keine Vorteile einer zentralen Datenschutzaufsicht.
Während kaum ein Sachverständiger also den Reformbedarf grundsätzlich bestritt, stießen die Überlegungen zur Abschaffung oder weitgehenden Entkernung der Landesdatenschutzbeauftragten auf die größten verfassungsrechtlichen Vorbehalte. Groß war hingegen die Einigkeit darüber, wie die Datenschutzaufsicht effizienter werden könnte: durch mehr Koordinierung, weniger Doppelprüfungen und verbindlichere Entscheidungen der Datenschutzkonferenz.
(mack)
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。