Das Bundesdatenschutzgesetz (BDSG) ist ein deutsches Gesetz zum Schutz personenbezogener Daten. Es ergänzt die unmittelbar geltende Datenschutz-Grundverordnung (DS-GVO) durch nationale Regelungen und konkretisiert bestimmte datenschutzrechtliche Anforderungen. Das BDSG enthält unter anderem Vorschriften zum Beschäftigtendatenschutz, zur Verarbeitung besonders geschützter personenbezogener Daten und zur Benennung von Datenschutzbeauftragten.
Was regelt das Bundesdatenschutzgesetz?
Das BDSG enthält nationale Datenschutzvorschriften für öffentliche und nichtöffentliche Stellen. Es regelt bestimmte Bereiche, in denen die DS-GVO ergänzende oder abweichende nationale Vorschriften zulässt.
Zu den wesentlichen Regelungsbereichen gehören:
- Beschäftigtendatenschutz
- Besondere Kategorien personenbezogener Daten
- Datenschutzbeauftragte
- Betroffenenrechte
- Datenschutzaufsicht
Darüber hinaus enthält das BDSG besondere Regelungen für die Verarbeitung personenbezogener Daten durch zuständige Behörden zur Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten sowie zur Strafvollstreckung.
Das Gesetz ist damit ein wichtiger Bestandteil des deutschen Datenschutzrechts, ersetzt jedoch nicht die allgemeinen Vorgaben der DS-GVO.
Wie unterscheiden sich BDSG und DS-GVO?
Die DS-GVO ist eine Verordnung der Europäischen Union, die unmittelbar in den Mitgliedstaaten gilt. Sie enthält die grundlegenden Anforderungen an die Verarbeitung personenbezogener Daten.
Das BDSG ist dagegen ein nationales Gesetz, das diese europäischen Regelungen in bestimmten Bereichen ergänzt.
Die DS-GVO enthält sogenannte Öffnungsklauseln, die den Mitgliedstaaten ermöglichen, einzelne datenschutzrechtliche Fragen durch nationale Gesetze näher zu regeln.
Auf dieser Grundlage kann das BDSG zusätzliche Anforderungen festlegen oder bestimmte Sachverhalte konkretisieren.
Ein Beispiel ist die Benennung von Datenschutzbeauftragten. Während Art. 37 DS-GVO die grundlegenden Voraussetzungen enthält, sieht § 38 BDSG zusätzliche nationale Benennungspflichten für nichtöffentliche Stellen vor.
Nationale Regelungen müssen mit dem anwendbaren Unionsrecht vereinbar sein. Soweit die DS-GVO unmittelbar gilt und keine zulässige nationale Ergänzung oder Abweichung vorgesehen ist, kann das BDSG ihre Anforderungen nicht verdrängen.
Für wen gilt das Bundesdatenschutzgesetz?
Der Anwendungsbereich des BDSG ergibt sich insbesondere aus § 1 BDSG.
Das Gesetz gilt unter den dort geregelten Voraussetzungen sowohl für öffentliche als auch für nichtöffentliche Stellen.
Öffentliche Stellen
Hierzu gehören insbesondere Behörden und andere öffentliche Einrichtungen des Bundes.
Für öffentliche Stellen der Länder gelten die Vorschriften des BDSG nur unter den gesetzlichen Voraussetzungen. Daneben bestehen eigene Datenschutzgesetze der Bundesländer.
Nichtöffentliche Stellen
Hierzu gehören beispielsweise private Unternehmen, Vereine und andere privatrechtlich organisierte Einrichtungen.
Für sie gilt das BDSG insbesondere bei der ganz oder teilweise automatisierten Verarbeitung personenbezogener Daten sowie bei bestimmten nicht automatisierten Verarbeitungen in Dateisystemen.
Die Verarbeitung personenbezogener Daten ausschließlich für persönliche oder familiäre Tätigkeiten durch natürliche Personen fällt grundsätzlich nicht unter diesen Anwendungsbereich.
Ob eine konkrete Vorschrift des BDSG anzuwenden ist, hängt jedoch vom jeweiligen Sachverhalt und ihrem gesetzlichen Anwendungsbereich ab.
Nicht jede Bestimmung des BDSG gilt gleichermaßen für alle Unternehmen und Behörden.
Praxisbeispiel: Benennung eines Datenschutzbeauftragten
Ein mittelständisches Unternehmen beschäftigt 35 Mitarbeiter.
Davon sind 24 regelmäßig und dauerhaft mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, beispielsweise in der Personalverwaltung, Kundenbetreuung und Auftragsbearbeitung.
Das Unternehmen prüft, ob es einen Datenschutzbeauftragten benennen muss.
Nach § 38 Abs. 1 BDSG besteht eine entsprechende Pflicht grundsätzlich dann, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Da im Unternehmen 24 Personen diese Voraussetzung erfüllen, ist ein Datenschutzbeauftragter zu benennen.
Das Beispiel verdeutlicht, wie das BDSG die allgemeinen Regelungen der DS-GVO durch zusätzliche nationale Anforderungen ergänzt.
legal data Einschätzung: Unternehmen sollten die DS-GVO und das BDSG nicht getrennt voneinander betrachten. Entscheidend ist, welche europäischen und nationalen Vorschriften für die jeweilige Verarbeitung gelten. Insbesondere bei der Benennung von Datenschutzbeauftragten, beim Beschäftigtendatenschutz und bei der Verarbeitung besonders geschützter Daten empfiehlt sich eine sorgfältige Prüfung der gesetzlichen Anforderungen. So lassen sich datenschutzrechtliche Pflichten frühzeitig erkennen und rechtliche Risiken reduzieren.
Rechtsgrundlagen
- Bundesdatenschutzgesetz (BDSG)
- insbesondere § 1 (Anwendungsbereich)
- § 22 (Verarbeitung besonderer Kategorien personenbezogener Daten)
- § 26 (Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses)
- §§ 32–35 (Beschränkungen von Betroffenenrechten)
- § 38 (Datenschutzbeauftragte nichtöffentlicher Stellen)
- ergänzend insbesondere Art. 6, Art. 9, Art. 23, Art. 37 und Art. 88 DS-GVO
Häufige Fragen zum Bundesdatenschutzgesetz (BDSG)
Was ist das Bundesdatenschutzgesetz?
Das Bundesdatenschutzgesetz ist ein deutsches Datenschutzgesetz, das die DS-GVO in bestimmten Bereichen ergänzt. Es enthält unter anderem Vorschriften zum Beschäftigtendatenschutz, zu Datenschutzbeauftragten und zur Verarbeitung besonders geschützter personenbezogener Daten.
Was ist der Unterschied zwischen BDSG und DS-GVO?
Die DS-GVO ist unmittelbar geltendes europäisches Recht und enthält die grundlegenden Datenschutzanforderungen. Das BDSG ist ein nationales Gesetz, das diese Anforderungen im Rahmen der unionsrechtlichen Vorgaben ergänzt oder konkretisiert.
Gilt das BDSG auch für private Unternehmen?
Ja. Das BDSG gilt unter den Voraussetzungen des § 1 BDSG auch für nichtöffentliche Stellen, beispielsweise private Unternehmen und Vereine. Welche einzelnen Vorschriften anzuwenden sind, hängt vom jeweiligen Sachverhalt ab.
Ist das BDSG neben der DS-GVO weiterhin gültig?
Ja. Das BDSG gilt weiterhin neben der DS-GVO. Seine Bestimmungen sind jedoch nur anwendbar, soweit sie mit dem vorrangigen Unionsrecht vereinbar sind und die jeweiligen gesetzlichen Voraussetzungen erfüllen.
Welche Bereiche des Datenschutzes regelt das BDSG?
Das BDSG enthält ergänzende nationale Vorschriften zu verschiedenen Bereichen des Datenschutzrechts. Dazu gehören insbesondere der Beschäftigtendatenschutz, die Verarbeitung besonderer Kategorien personenbezogener Daten, die Benennung von Datenschutzbeauftragten sowie bestimmte Beschränkungen von Betroffenenrechten.
Verwandte Begriffe.
Arbeitnehmerdatenschutz Der Arbeitnehmerdatenschutz regelt den Schutz personenbezogener Daten von Beschäftigten im Arbeitsverhältnis. Arbeitgeber dürfen Mitarbeiterdaten nur verarbeiten, wenn hierfür eine rechtliche Grundlage besteht und die datenschutzrechtlichen Anforderungen eingehalten werden. Maßgeblich sind insbesondere die Datenschutz-Grundverordnung (DS-GVO) und die europarechtlichen Vorgaben für den Beschäftigtendatenschutz. Geschützt sind unter anderem Bewerbungsunterlagen, Gehaltsdaten, Gesundheitsinformationen und Angaben zur Arbeitsleistung. Art. 5 DS-GVO Datenschutzbeauftragter (DSB) Ein Datenschutzbeauftragter ist eine fachkundige Person, die Unternehmen oder öffentliche Stellen bei der Einhaltung datenschutzrechtlicher Vorschriften berät und deren Umsetzung überwacht. Seine Benennung ist unter bestimmten Voraussetzungen nach Art. 37 der Datenschutz-Grundverordnung (DS-GVO) und § 38 Bundesdatenschutzgesetz (BDSG) verpflichtend. Die Aufgaben und die unabhängige Stellung des Datenschutzbeauftragten sind insbesondere in Art. 38 und 39 DS-GVO geregelt. Art. 37 DS-GVO 