1. Gesetzesbegründung
I. Änderung des Bundesdatenschutzgesetzes
Mit der geplanten Änderung des Bundesdatenschutzgesetzes soll nach der Begründung zum Gesetzentwurf auf die in der jüngeren Vergangenheit bekannt gewordenen Fälle des unberechtigten Handels mit personenbezogenen Daten regiert werden. Die Herkunft der Daten sei größtenteils nicht nachvollziehbar. Der bisherige Erlaubnistatbestand des § 28 Abs. 3 Satz 1 Nr. 3 des Bundesdatenschutzgesetzes habe sich für die Schaffung von Transparenz als besonders nachteilig erwiesen. Danach dürfen bestimmte personenbezogene Daten, wenn sie listenmäßig oder sonst zusammengefasst sind, für Zwecke der Werbung oder der Markt- oder Meinungsforschung, ohne Einwilligung der Betroffenen übermittelt oder genutzt werden. Die praktische Anwendung dieser Vorschrift habe dazu geführt, dass personenbezogene Daten der Bürgerinnen und Bürger weitläufig zum Erwerb oder zur Nutzung angeboten würden, ohne in jedem Fall die in der Vorschrift angelegten Anforderungen zu beachten. Personenbezogene Daten würden ohne Beachtung der Zweckbindung verarbeitet und mit weiteren Daten verknüpft und weiter übermittelt. Zudem habe sich das Verhältnis der Bürgerinnen und Bürger zur Werbung und Markt- oder Meinungsforschung seit der Einführung der Vorschrift im Bundesdatenschutzgesetz von 1977 gewandelt. Die gezielte Ansprache zum Zwecke der Werbung oder Markt- oder Meinungsforschung werde von den Bürgerinnen und Bürgern zunehmend als Belastung empfunden und sei mit dem Wunsch nach mehr Selbstbestimmung verbunden, dass eine verantwortliche Stelle ohne ihre Einwilligung ihre personenbezogenen Daten für fremde Werbezwecke gegen Entgelt an Dritte veräußern oder zur Anmietung zur Verfügung stellen dürfe. Zudem hätten die öffentlich bekannt gewordenen Vorkommnisse deutlich gemacht, dass für eine effektivere Durchsetzung der bestehenden gesetzlichen Regelungen zum Datenschutz die Stellung der betrieblichen Beauftragten für den Datenschutz gestärkt werden müsse und die Bußgeldtatbestände erweitert werden müssten, um zu einem wirksamen Vorgehen der Aufsichtsbehörden beizutragen.
II. Gesetz zur Regelung des Datenschutzaudits
Das Datenschutzauditgesetz bietet gemäß der Begründung zum Gesetzentwurf Unternehmen die Möglichkeit, sich auf freiwilliger Basis einem Datenschutzaudit zu unterziehen und hierfür in ein Kontrollsystem einbeziehen zu lassen. Erfülle ein Datenschutzkonzept oder eine technische Einrichtung von einem Datenschutzauditausschuss beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit festgelegte Richtlinien zur Verbesserung des Datenschutzes und der Datensicherheit und ließen die Unternehmen dies in einem formalisierten Verfahren durch Kontrollstellen regelmäßig überprüfen, könnten sie das Datenschutzkonzept oder die technische Einrichtung mit einem Datenschutzauditsiegel kennzeichnen. Auf diese Weise könnten Unternehmen einen Vorteil gegenüber Wettbewerbern erzielen, die sich keinem Datenschutzaudit unterziehen. Verbraucher könnten gekennzeichnete Datenschutzkonzepte oder technische Einrichtungen an dem Datenschutzauditsiegel erkennen und bei der Entscheidung zwischen mehreren Anbietern berücksichtigen. Anstrengungen, die über die gesetzlichen Anforderungen in Bezug auf den Datenschutz hinausgehen, könnten für Unternehmen einen wirtschaftlichen Mehrwert darstellen. Zugleich werde bei den Verbrauchern Bewusstsein für die Datenschutzrelevanz eines Produktes oder einer Dienstleistung geschaffen und gefördert.
2. Änderungen durch die Koalitionsfraktionen
Nach Änderungsvorschlägen der Koalitionsfraktionen sollen personenbezogene Daten wie Adressen künftig weitergegeben werden dürfen, wenn der Kunde darin einwilligt, teilt der Bundestag mit. Die entsprechende Textpassage etwa in Vertragstexten soll dabei optisch deutlich hervorgehoben sein müssen. Listenmäßig erfasste Daten wie etwa Name, Beruf, Adresse, Geburtsjahr oder Titel sollen auch ohne Einwilligung weitergegeben werden dürfen, sofern die Betroffenen über die Herkunft der Angaben informiert werden. Damit soll ihnen ermöglicht werden, einer solchen Weitergabe und Nutzung ihrer Daten wirksam zu widersprechen. Der Regierungsentwurf hatte ursprünglich vorgesehen, dass die Verwendung personenbezogener Daten zu Werbezwecken oder zur Markt- und Meinungsforschung künftig grundsätzlich nur noch mit ausdrücklicher Einwilligung der Betroffenen zulässig sein soll. Weiterhin möglich soll dagegen die Eigenwerbung mit eigenen Kundendaten sein, die im Rahmen einer Vertragsbeziehung erhoben wurden.
Ferner soll die Sicherheit von Daten durch Vorschriften zur Verschlüsselung durch Anonymisierung und Pseudonymisierung erhöht werden. Gestärkt werden soll zudem die Stellung der betrieblichen Datenschutzbeauftragten, für die weitreichende Kündigungsschutzvorschriften vorgesehen sind. Daneben sollen die Aufsichtsbehörden künftig bei Verstößen gegen Datenschutzregelungen nicht nur Bußgeldverfahren einleiten, sondern auch anordnen können, dass der entsprechende Verstoß eingestellt wird. Auch sollen die Bußgelder für Verstöße gegen Datenschutzbestimmungen deutlich angehoben werden. Dabei ist für solche Fälle auch die Möglichkeit der Gewinnabschöpfung vorgesehen. Die zunächst geplanten Regelungen zur Einführung eines Datenschutzaudits sind hingegen gestrichen worden. Hier soll nach dem Willen der Koalition zunächst ein dreijähriges Pilotprojekt für eine Branche erfolgen.