Als Fachanwältin für Cybersicherheit: sehen Sie im pauschalen KMU-Kriterium ein Umgehungsrisiko für Unternehmen mit sensiblen Daten?
Sehr geehrte Frau Dillschneider,
Punkt 14 des Koalitionsausschuss-Beschlusses vom 2.7.2026 sieht
vor, sich auf EU-Ebene für eine Ausnahme von KMU und risikoarmen Datenverarbeitungen vom
Anwendungsbereich der DSGVO einzusetzen. Die DSGVO selbst verfolgt grundsätzlich einen
risikobasierten statt größenbasierten Ansatz; da 99,3 Prozent der deutschen Unternehmen
als KMU gelten, könnte eine pauschale Ausnahme auch Betriebe erfassen, die sensible
Daten verarbeiten (z. B. Gesundheits-, Finanz- oder Beschäftigtendaten). Als
Fachanwältin für Cybersicherheit und Obfrau der Grünen im Digitalausschuss: Wie schätzen
Sie das Risiko ein, dass eine größenbasierte statt risikobasierte Ausnahme Schutzlücken
für Betroffene schafft? Welche Kriterien wären aus Ihrer fachlichen Sicht sachgerechter?
Sehr geehrter Herr L.,
vielen Dank für Ihre Anfrage.
Ich stimme Ihnen zu, dass die DSGVO ihre Pflichten bewusst an das Risiko einer Verarbeitung anknüpft, nicht an die Größe eines Betriebs. Eine pauschale Ausnahme für KMU würde diesen Zusammenhang durchbrechen. Da 99, 3 Prozent der Unternehmen als KMU gelten, erfasst eine Größengrenze auch Arztpraxen, Steuerkanzleien oder Personalvermittlungen, also gerade jene Betriebe, die Gesundheits-, Finanz- oder Beschäftigtendaten verarbeiten.
Entscheidend ist der Unterschied zwischen einer Entlastung von einzelnen Pflichten und einer Herausnahme aus dem Anwendungsbereich. Wer ganz aus dem Anwendungsbereich fällt, spart nicht nur Bürokratie, sondern nimmt den betroffenen Menschen auch ihre Rechte auf Auskunft, Berichtigung, Löschung und Widerspruch, sowie den Anspruch auf Datensicherheit, die Meldung von Datenpannen und den Zugang zur Aufsicht. Diese Rechte schützen die Person, deren Daten verarbeitet werden, unabhängig von der Größe der verantwortlichen Unternehmen. Deshalb wären Schutzlücken in diesem Bereich ein enormes Risiko.
Dass kleinere Betriebe beim bürokratischen Aufwand entlastet werden sollen, erachte ich für wichtig. Der richtige Hebel dafür sind die Formalpflichten wie Dokumentation und Verzeichnisse, nicht die Rechte der Betroffenen.
Aus meiner Sicht wären drei Kriterien sachgerechter als die Größe des Unternehmens. Erstens ist die Art der Daten entscheidend, wobei Gesundheits-, Finanz- und Beschäftigtendaten, sowie andere sensible Daten von jeder pauschalen Ausnahme ausgenommen bleiben sollten. Zweitens erachte ich den Umfang und den Zweck der Verarbeitung als äußerst relevant, etwa bei Profiling oder systematischer Beobachtung. Und drittens ist von Bedeutung, ob eine Verarbeitung nur gelegentlich oder geschäftsprägend erfolgt.
Die DSGVO selbst nimmt in Artikel 30 kleine Unternehmen von der Pflicht zum Verarbeitungsverzeichnis aus, allerdings nicht bei riskanten oder sensiblen Verarbeitungen. Dies erachte ich als tragfähiges Modell.
Die Ausnahme auf EU-Ebene ist bislang eine Absichtserklärung und nicht beschlossen.
Wir setzen uns dafür ein, dass eine mögliche Reform bei diesem risikobasierten Ansatz bleibt.
Mit freundlichen Grüßen,
Jeanne Dillschneider
Weitere Fragen an Jeanne Dillschneider
Ihre Überlegung, bestehende unterirdische Strukturen perspektivisch für die Speicherung von Wasser sowie als kühle Orte für die Sommerzeit anzubieten, ist interessant. Selbstverständlich müssten dabei jeweils die baulichen, sicherheitsrechtlichen, hygienischen und wirtschaftlichen Voraussetzungen geprüft werden.
Die verantwortlichen Länder für die Einer-für-Alle-Onlinedienste (EfA-Onlinedienste) tragen auch die fachliche Verantwortung für die Barrierefreiheit derselben.
Im Falle der AfD sind die notwendigen Bedingungen für ein Parteiverbotsverfahren aus unserer Sicht gegeben. Deshalb haben unsere Fraktionsvorsitzenden Katharina Dröge und Britta Haßelmann die anderen demokratischen Fraktionen im Bundestag erneut eingeladen, die Einleitung eines solchen Verfahrens gewissenhaft und gemeinsam zu prüfen
Die angekündigten Änderungen beim Informationsfreiheitsgesetz sehen wir ebenfalls sehr kritisch. Transparenz und demokratische Kontrolle gehören für uns zu den Grundpfeilern eines offenen Rechtsstaats. Das Informationsfreiheitsgesetz leistet dazu einen wichtigen Beitrag.