Entwurf für Bundesdatensicherungsgesetz

Ausgangspunkt des Gesetzgebungsvorhabens zu einem Bundesdatenschutzaudit-Gesetz ist § 9 a BDSG, der die gesetzliche Regelung eines Audits ermöglicht:

„Zur Verbesserung des Datenschutzes und der Datensicherheit können Anbieter von Datenverarbeitungssystemen und -programmen und datenverarbeitende Stellen ihr Datenschutzkonzept sowie ihre technischen Einrichtungen durch unabhängige und zugelassene Gutachter prüfen und bewerten lassen sowie das Ergebnis der Prüfung veröffentlichen. Die näheren Anforderungen an die Prüfung und Bewertung, das Verfahren sowie die Auswahl und Zulassung der Gutachter werden durch besonderes Gesetz geregelt.“

Ungeachtet des Umstands, dass die Möglichkeit eines Datenschutzaudits und seine gesetzliche Regelung im BDSG angelegt sind, ist nach Auffassung des BITKOM der Sinn zweifelhaft – eine Eignung als Differenzierungskriterium im Wettbewerb sehen unsere Mitgliedsunternehmen nur punktuell. Unsere wesentlichen Bedenken in Bezug auf ein Datenschutzaudit-Gesetz und dessen beabsichtigten Zusatznutzen haben wir in den letzten Jahren wiederholt dargelegt. Sie lassen sich wie folgt zusammenfassen:

Das Anliegen des Gesetzgebers bei der Aufnahme des § 9 a BDSG war es, die Intentionen und Vorgaben des BDSG dadurch zu verstärken, dass datenverarbeitende Stellen und Anbieter ihre Verfahren bzw. Produkte freiwillig in einem externen Qualitätsprüfungsprogramm begutachten lassen. Bei erfolgreicher Auditierung soll ein Zusatznutzen erreicht werden, insbesondere ein positives Image des Unternehmens, Stärkung des Vertrauens und Marktvorteile. Zugleich soll (so die Begründung des Entwurfs) dem Verbraucher die Möglichkeit einer Marktorientierung bezüglich datenschutzgerechter Produkte bzw. Dienstleistungen gegeben werden.

Ein wettbewerbsfördernder Effekt der Datenschutzgütesiegel ist fraglich. Es ist deshalb auch zweifelhaft, ob die Möglichkeit, das Gütesiegel zu Marketingzwecken zu nutzen, überhaupt in einem sinnvollen Verhältnis zu den Kosten der Prüfung stehen kann. Die Einschätzung, dass auf Seiten der Verbraucher eine Nachfrage bzw. ein entsprechender Bedarf besteht, teilen wir nicht. Diese Einschätzung ist unseres Wissens nach auch noch nirgendwo nachprüfbar belegt worden.

Allenfalls könnte in einzelnen Konstellationen ein Interesse gewerblicher Kunden bestehen, also im sog. Verhältnis B2B. Dieser Aspekt findet in der Entwurfsbegründung jedoch keinerlei Erwähnung. Hier besteht auch die Gefahr einer übermäßigen Belastung gerade kleiner und mittlerer Unternehmen.

Aufgrund der aufgezeigten Problemkreise und unserer Erfahrungswerte (zum Beispiel mit ISO-Zertifizierungen) erscheint es uns sehr fraglich, ob sich durch die Einführung eines Datenschutzaudits ein darauf basierendes Gütesiegel tatsächlich als  Wettbewerbsvorteil und Nutzen für die Unternehmen etablieren wird. Ein greifbarer Nutzen für die Unternehmen könnte allenfalls in der Weise erreicht werden, dass die Auditierung und Zertifizierung für das Unternehmen mit unmittelbaren Erleichterungen oder Entlastungen bei der datenschutzrechtlichen Einbettung gekoppelt ist (z.B. beim konzerninternen Datentransfer oder beim Datentransfer in nicht sichere Drittstaaten, wenn der Prozess auditiert ist).

Schließlich sollte auch das Datenschutzaudit nicht zu einer Schwächung der Position betrieblicher Datenschutzbeauftragter führen, sondern vielmehr zu deren Stärkung, so dass deren aktive Einbindung in den Zertifizierungsprozess sichergestellt sein sollte, um den Eindruck zu vermeiden, dass die Funktion des betrieblichen DSB überprüft wird. Denkbar wäre dies durch eine weitgehend unternehmensinterne Vorbereitung und Dokumentation von Prüfungen, die vom Sachverständigen dann stichpunktartig überprüft würden.

Nach Auffassung des BITKOM ist daher vor allem gesetzgeberische Zurückhaltung und Augenmaß geboten.

Ziel des Ausführungsgesetzes zum Datenschutzaudit kann es nur sein, ein schlankes, begrenztes, praxisorientiertes und für die Unternehmen akzeptables Verfahren einzuführen. Das gewählte einstufige Verfahren ist ein erster wesentlicher Schritt, zumal die meisten Aufsichtsbehörden der Länder personell gar nicht für eine intensive Rolle im Verfahren ausgestattet sind. Dieses sollte berücksichtigen, dass eine breite Akzeptanz und ein offensichtlicher Bedarf derzeit für die Unternehmen -sofern sie ihr Kerngeschäft nicht unter Nutzung sensibler Daten betreiben- nicht ersichtlich ist.   ©   BITKOM