In dem überarbeiteten Gesetz, das noch am 10. Juli 2009 von Bundesrat ratifiziert werden muss, werden unter anderem die Rechte der Arbeitnehmer und des betrieblichen Datenschutzbeauftragten gestärkt sowie neue Bestimmungen zum Adresshandel eingeführt. Gleichzeitig werden die Befugnisse der Datenschutzbehörden erweitert. Die inzwischen auch personell aufgestockten Datenschutzbehörden sind nunmehr zusätzlich ermächtigt, unzulässige Datenverarbeitungen zu untersagen, wenn diese trotz Aufforderung nicht beseitigt werden. Dabei wurden auch die bei Verstößen gegen das BDSG zu verhängenden Bußgelder erhöht.
Die ursprünglich geplante Einführung eines "Datenschutzaudits", nach dem Unternehmen ihre Datenschutzkonzepte und internen Prozesse sowie technische Einrichtungen prüfen und mit einem speziellen Siegel kennzeichnen lassen können, ist dagegen zunächst einmal aufgeschoben. Zunächst soll in einer noch näher zu bezeichnenden Branche ein dreijähriges Modellprojekt betrieben werden.
Arbeitnehmer werden besser geschützt
Mit dem neuen Gesetz werden zunächst die Rechte der Arbeitnehmer weiter gestärkt. Damit reagiert der Gesetzgeber auf die zahlreichen Datenschutzskandale der letzten Zeit. Die Gesetzesbegründung weist zudem ausdrücklich darauf hin, dass die Neuregelungen weder ein Arbeitnehmerdatenschutzgesetz entbehrlich machen noch inhaltlich etwas vorwegnehmen.
Die Neuregelung schränkt die Recherchemöglichkeiten der Arbeitgeber ein. Weder IT-gestützte Massen-Screenings (etwa bei konkreten Verdachtsmomenten) noch andere rein präventive Maßnahmen (etwa zur Korruptionsbekämpfung, wenn personenbezogene Daten involviert sind) sind künftig zulässig. Zudem gelten schärfere Bedingungen, wenn Detekteien oder anderer spezialisierte Unternehmen eingeschaltet werden. Der Gesetzgeber hat die Anforderungen an die Verträge zur Auftragsdatenverarbeitung verschärft und gleichzeitig Sanktionen für Verstöße eingeführt.
Grundsätzlich erlaubt das Bundesdatenschutzgesetz den Arbeitgebern zur Begründung, Durchführung und Beendigung des Arbeitsverhältnisses Daten zu erheben. Die neue Fassung des BDSG sagt jedoch konkret bei welchen Tatbeständen eine Kontrolle erlaubt sind. Nur wenn es einen konkreten Verdacht gibt, dass ein Mitarbeiter im Beschäftigungsverhältnis eine Straftat begangen hat, darf ein Arbeitgeber etwaigen Rechtsverstößen nachgehen, indem er die E-Mails kontrolliert. Die Anhaltspunkte, die den Verdacht begründen, müssen dokumentiert werden.
Der Gesetzgeber hält die Unternehmen an, genau abzuwägen und die Verhältnismäßigkeit zu wahren. Sowohl Art und Schwere der Straftat sowie Intensität des Verdachts sollen Beachtung finden. Damit untermauert das Gesetz die Bedeutung des erst kürzlich geschaffene "IT-Grundrecht", das das allgemeine Persönlichkeitsrecht unter anderem von Arbeitnehmern stärkt. Unterm Strich sind die Unternehmen künftig aufgefordert, den Sachverhalt intensiv zu ermitteln, bevor sie Kontroll- und Überwachungsmaßnahmen einleiten. Sie dürfen nur dann tätig werden, wenn sich der Verdacht auf den jeweiligen Betroffenen konkretisiert hat.