Herr Dr. Eckhardt, das Kabinett hat die Umsetzung der EU-Datenschutzverordnung beschlossen und dabei von vielen Öffnungsklauseln Gebrauch gemacht. Wie bewerten Sie das Gesetzes-Vorhaben der Regierung grundsätzlich?
Die Datenschutz-Grundverordnung (DS-GVO) ist am 25.05.2016 als Rechtsakt der EU in Kraft getreten und ab dem 25.05.2018 anzuwenden. Die DS-GVO ist – anders als eine EU-Richtlinie – in jedem EU-Mitgliedsstaat unmittelbar geltendes und anzuwendendes Recht. Mit anderen Worten: Der Text der DS-GVO bestimmt in ihrem Anwendungsbereich das Datenschutzrecht.

Die DS-GVO sieht für bestimmte Bereiche sogenannte Öffnungsklauseln für die Mitgliedsstaaten vor. Zum Teil sind diese auch so gestaltet, dass der deutsche Gesetzgeber bis zum 25.05.2018 bestimmte nationale Regelungen schaffen muss, um die Vorgaben der DS-GVO „auszufüllen“. Ein Vergleich der DS-GVO mit dem Bundesdatenschutzgesetz (BDSG) zeigt: Die Aussage „mehr Löcher als Käse“ stimmt nicht. Durch die Cloud Computing-Brille betrachtet ist das absolut Meiste bereits in der DS-GVO geregelt. Das anstehende deutsche Anpassungsgesetz wirkt sich hier kaum aus.

Datenschützer beklagen, die Zweckbindung der Datennutzung werde zu sehr aufgeweicht. Wie sehen Sie das?
Diese Kritik richtet sich gegen die DS-GVO selbst und nicht nur gegen das deutsche Umsetzungsgesetz. Ich teile die Kritik nicht in dieser Pauschalierung. Die Art. 6 Abs. 4 und Art. 6 Abs. 1 lit. f. DS-GVO enthalten Vorgaben für eine zweckändernde Verwendung. Wie bisher im BDSG beruht die zweckändernde Verwendung auf einer Interessenabwägung. Es ist daher eine Frage der Gewichtung gegenläufiger Interessen in der Praxis.

Ein weiterer Kritikpunkt ist die Ausweitung der Videoüberwachung. Wie weit sollte das endgültige Gesetz in dieser Frage gehen?
Das BDSG sieht eine Regelung zur Videoüberwachung vor. Es ist nicht dargelegt, ob die mit der Ausweitung verfolgten Ziele tatsächlich erreichbar sind. Es sollte daher an der bisherigen Regelung inhaltlich festgehalten werden.

Welche Regelungen sollten aus Ihrer Sicht unbedingt in ein endgültiges Gesetzt Eingang finden – und welche auf keinem Fall?
Einer Ausweitung der Videoüberwachung bedarf es nicht. Aus der Sicht des Cloud Computings sind die wichtigsten Fragen in der DS-GVO selbst geregelt und können nicht durch das deutsche „Ausführungsgesetz“ geregelt werden. Auch sind aus der Sicht des Cloud Computings nationale „Sonderlocken“ nicht wünschenswert, sondern stattdessen ein einheitlicher unionsweiter Rechtsrahmen.