Bundesdatenschutzgesetz

Basisdaten
Titel:	Bundesdatenschutzgesetz
Früherer Titel:	Gesetz zum Schutz vor Mißbrauch personenbezogener Daten bei der Datenverarbeitung
Abkürzung:	BDSG
Art:	Bundesgesetz
Geltungsbereich:	Bundesrepublik Deutschland
Rechtsmaterie:	Verwaltungsrecht
Fundstellennachweis:	204-4
Ursprüngliche Fassung vom:	27. Januar 1977 (BGBl. I S. 201)
Inkrafttreten am:	überw. 1. Januar 1978
Letzte Neufassung vom:	30. Juni 2017 (BGBl. I S. 2097)
Inkrafttreten der Neufassung am:	25. Mai 2018
Letzte Änderung durch:	Art. 12 G vom 20. November 2019 (BGBl. I S. 1626, 1633)
Inkrafttreten der letzten Änderung:	26. November 2019 (Art. 155 G vom 20. November 2019)
GESTA:	B030
Weblink:	Text des Gesetzes
Bitte den Hinweis zur geltenden Gesetzesfassung beachten.

Das deutsche Bundesdatenschutzgesetz (BDSG) regelt zusammen mit den Datenschutzgesetzen der Länder und anderen bereichsspezifischen Regelungen den Umgang mit personenbezogenen Daten, die in Informations- und Kommunikationssystemen oder manuell verarbeitet werden (siehe auch: Datenschutz). Bis Mai 2018 setzte es die Datenschutzrichtlinie um, die durch die Datenschutz-Grundverordnung aufgehoben und ersetzt wurde. 2018 trat eine Neufassung des BDSG in Kraft (BGBl. 2017 I S. 2097).

Geschichtliche Entwicklung

Vereinzelt gab es schon seit langem Bestimmungen, die dem Schutz der Privatsphäre dienten (Beichtgeheimnis, ärztliche Schweigepflicht, Steuergeheimnis, Postgeheimnis). Überlegungen zu einem umfassenden Datenschutz nahmen in den 1960er Jahren in den USA ihren Anfang und gingen einher mit der Entwicklung der Computertechnologie und den damit verbundenen Gefahren für die Privatsphäre (englisch: privacy).

In Deutschland eröffnete Hessen 1970 mit dem ersten Datenschutzgesetz der Welt die Datenschutzgesetzgebung. Im Jahr 1977 folgte der Bund mit der ersten Fassung des Bundesdatenschutzgesetzes. Nach dem Volkszählungsurteil des Bundesverfassungsgerichts 1983 war klar, dass die bisherigen Datenschutzgesetze nicht den verfassungsrechtlichen Anforderungen genügten. Diese mussten innerhalb eines angemessenen Zeitraumes novelliert werden. 1986 verabschiedete Hessen als erstes Land ein neues, daran angepasstes Datenschutzgesetz; 1990 war auch der Bund so weit.

Eine ausdrückliche Kompetenz des Bundes zur umfassenden Regelung des Datenschutzes enthält das Grundgesetz nicht. Die Regelungskompetenz für ein Bundesdatenschutzgesetz ergibt sich aus dem Rückgriff auf die Gesetzgebungszuständigkeiten für verschiedene Bereiche, die für den Datenschutz von Bedeutung sind. Für den Datenschutz im Anwendungsbereich der öffentlichen Verwaltung ist dies die Gesetzgebung für das Verwaltungsverfahren (Art. 70 ff. i. V. m. Art. 84 Abs. 1, Art. 85 Abs. 1 und Art. 86 GG). Die Datenverarbeitung wird als Arbeits- und Organisationsmittel eingesetzt und ist damit dem Bereich des Verwaltungsverfahrens zuzuordnen. Bundesrechtliche Datenschutzbestimmungen können daher für die Verwaltungstätigkeit des Bundes sowie für die der Länder, Gemeinden und Gemeindeverbände erlassen werden, soweit diese Bundesrecht ausführen. Im Bereich der landeseigenen Ausführung von Bundesrecht bedarf es hierzu der Zustimmung des Bundesrates. Für die gesetzliche Regelung des Schutzes der Privatsphäre in nicht-öffentlichen Bereichen beruht die Gesetzgebungskompetenz des Bundes auf der jeweiligen Sachkompetenz, also auf seiner im GG festgelegten Zuständigkeit u. a. für die Gesetzgebung auf dem Gebiet des Wirtschafts-, Arbeits-, Zivil-, Straf- und Prozessrechts.

Novellierung 2009

Das BDSG ist in den Jahren 2009 und 2010 mit drei Novellen geändert worden: Am 1. April 2010 trat mit der „Novelle I“ eine Neuregelung der Tätigkeiten von Auskunfteien und ihrer Vertragspartner (insbesondere Kreditinstitute) sowie des Scorings in Kraft. Die lange und heftig diskutierte „Novelle II“ trat am 1. September 2009 in Kraft. Durch sie werden im BDSG 18 Paragrafen geändert. Inhalt sind Änderungen des Listenprivilegs beim Adresshandel, Neuregelungen für Markt- und Meinungsforschung, Opt-in, Koppelungsverbot, Beschäftigtendatenschutz, Auftragsdatenverarbeitung, neue Befugnisse für die Aufsichtsbehörden und neue oder stark erweiterte Bußgeldtatbestände, Informationspflichten bei Datenschutzverstößen, Kündigungsschutz für Datenschutzbeauftragte. Am 11. Juni 2010 änderte die „Novelle III“ als kleiner Unterpunkt im Rahmen des Gesetzes zur Umsetzung der EU-Verbraucherkreditrichtlinie den § 29 BDSG um zwei Absätze erweitert.

Überblick über das BDSG in der alten Fassung

Das BDSG aF besteht aus sechs Abschnitten:

• Im ersten Abschnitt (§§ 1–11) werden allgemeine und gemeinsame Bestimmungen erläutert,
• im zweiten Abschnitt (§§ 12–26) die Datenverarbeitung für öffentliche Stellen und
• im dritten Abschnitt (§§ 27–38a) für private Stellen geregelt.
• Der vierte Abschnitt (§§ 39–42) enthält Sondervorschriften,
• im fünften Abschnitt (§§ 43–44) werden Straf- und Bußgeldvorschriften und
• im sechsten Abschnitt (§§ 45–48) Übergangsvorschriften genannt.

Allgemeine und gemeinsame Bestimmungen

Wikipedia:WikiProjekt Ereignisse/Vergangenheit/fehlend

§ 1 Absatz 1 BDSG lautet:

„Zweck dieses Gesetzes ist es, den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird.“

Grundsätze

Ein wesentlicher Grundsatz des Gesetzes ist das so genannte Verbotsprinzip mit Erlaubnisvorbehalt. Dieses besagt, dass die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten im Prinzip verboten sind. Sie sind nur dann erlaubt, wenn entweder eine klare Rechtsgrundlage gegeben ist (d. h., das Gesetz erlaubt die Datenverarbeitung in diesem Fall) oder wenn die betroffene Person ausdrücklich (meist schriftlich) ihre Zustimmung zur Erhebung, Verarbeitung und Nutzung gegeben hat (§ 4 Absatz 1, § 4a). Die angewendeten Verfahren mit automatisierter Verarbeitung sind vom (behördlichen oder betrieblichen) Datenschutzbeauftragten zu prüfen oder (wenn ein solcher nicht vorhanden ist) bei der zuständigen Aufsichtsbehörde anzeigepflichtig (§ 4d).

Ebenfalls gilt der in § 3a definierte Grundsatz der Datensparsamkeit und Datenvermeidung: So sollen sich alle Datenverarbeitungssysteme an dem Ziel ausrichten, keine oder so wenig personenbezogene Daten wie möglich zu verwenden und insbesondere von den Möglichkeiten der Anonymisierung und Pseudonymisierung Gebrauch zu machen.

Geschützte Daten

Geregelt wird der Umgang mit personenbezogenen Daten. Daten sind personenbezogen, wenn sie persönliche oder sachliche Verhältnisse einer natürlichen Person beschreiben. Dazu genügt es, wenn die Person nicht namentlich benannt wird, aber bestimmbar ist (beispielsweise: Telefonnummer, E-Mail-Adresse, IP-Adresse beim Surfen, Personalnummer).

Im Gegensatz dazu stehen anonyme Daten, bei denen die Person unbekannt (also unbestimmbar) ist. Pseudonyme Daten, bei denen der Name durch einen Decknamen ersetzt wird, fallen jedoch wieder unter den Geltungsbereich des BDSG, weil es sich dabei um Angaben bestimmbarer Personen handelt. Da es aber aufwändiger ist, vom Pseudonym auf den Inhaber zu schließen, ist das informationelle Selbstbestimmungsrecht hiermit besser geschützt als z. B. mit Namen.

Nicht in den Geltungsbereich des BDSG fallen Daten über juristische Personen (GmbH, AG usw.). Entgegen dem eindeutigen Wortlaut haben einzelne Verwaltungsgerichte Datenschutzgesetze auch auf juristische Personen angewandt.

Besonders geschützt werden so genannte besondere Arten von Daten gemäß § 3 Abs. 9 BDSG, nämlich Daten über ethnische Herkunft, die politische Meinung, religiöse oder philosophische Überzeugungen, die Gewerkschaftszugehörigkeit, die Gesundheit und das Sexualleben. Nach § 4d Abs. 5 BDSG unterliegen diese Daten der Vorabkontrolle. Das bedeutet, dass der Umgang mit den Daten in Institutionen, die Daten dieser Art erheben, verarbeiten oder speichern, vor Beginn der Datenverarbeitung geprüft werden muss. Dafür zuständig ist der Beauftragte für den Datenschutz, der von der betreffenden Institution bestellt werden muss.

Bei diesen Daten ist das Verbotsprinzip mit Erlaubnisvorbehalt durch einen Ausnahmekatalog noch enger definiert und eine ausdrückliche Einwilligung des Betroffenen notwendig.

→ Hauptartikel: Einwilligung (Datenschutzrecht)

Sachlicher Anwendungsbereich

Das BDSG regelt folgende Tätigkeiten: Die Datenerhebung, die Datenverarbeitung und die Datennutzung. Ein Erheben im Sinne des Gesetzes liegt bereits bei der bloßen Beschaffung von Daten über natürliche Personen beim Betroffenen oder bei Dritten vor. Zur Verarbeitung gehört dabei das Speichern, Verändern, Übermitteln, Sperren und Löschen der Daten. Unter Nutzen ist jede Verwendung personenbezogener Daten außerhalb der Verarbeitung zu verstehen. Auch wird im BDSG geregelt, welche Rechte und Pflichten die Aufsichtsbehörden für den Datenschutz haben.

Räumlicher Anwendungsbereich

Deutsche Firmen haben grundsätzlich immer deutsches Datenschutzrecht einzuhalten.

Erhebt, verarbeitet oder nutzt eine im EG/EWR-Ausland sitzende verantwortliche Stelle personenbezogene Daten im Inland (Deutschland), so ist das Datenschutzrecht anzuwenden, das im Sitzland gilt („Sitzprinzip“ - § 1 Abs. 5, S. 1 HS. 1 BDSG). Dementsprechend ist auf den Datenumgang einer in Frankreich sitzenden Firma grundsätzlich französisches Datenschutzrecht anzuwenden. Eine Ausnahme gilt, wenn der Datenumgang durch eine Niederlassung im Inland (Deutschland) erfolgt. In diesem Fall ist wiederum deutsches Datenschutzrecht anzuwenden („Territorialprinzip“ - § 1 Abs. 5, S. 1 HS. 2 BDSG).

Erhebt, verarbeitet oder nutzt eine weder in Deutschland noch im EG/EWR-Raum sitzende verantwortliche Stelle personenbezogene Daten im Inland (Deutschland), so ist grundsätzlich deutsches Datenschutzrecht anzuwenden (§ 1 Abs. 5, S. 2 BDSG). Daher müssen sich Facebook und Co. grundsätzlich an deutsches Datenschutzrecht halten. Solche Stellen haben einen Vertreter im Inland zu bestimmen.

Normadressaten

Im BDSG wird unterschieden zwischen Datenschutz in öffentlichen und nichtöffentlichen Stellen. Öffentlich-rechtliche Wettbewerbsunternehmen, die im Wettbewerb zu privaten Unternehmen stehen (z. B. die Deutsche Bahn), werden wie nichtöffentliche Stellen behandelt.

Datenverarbeitung der nichtöffentlichen Stellen und Beratung

Jede nichtöffentliche Stelle (z. B. Unternehmen), in der 20 oder mehr Personen ständig mit der Bearbeitung personenbezogener Daten mittels elektronischer Datenverarbeitung beschäftigt sind, benötigt einen Datenschutzbeauftragten (kurz DSB). Desgleichen bei zwanzig oder mehr Mitarbeitern, wenn die Daten manuell (z. B. mit Karteikarten) verarbeitet werden, wenn Verarbeitungen eine Vorabkontrolle erfordern oder die Verarbeitung zur Übermittlung (Detektei, Auskunftei) oder anonymen Übermittlung (Meinungsforschung) verarbeitet werden.

Die Pflichten der verantwortlichen (verarbeitenden) Stelle fallen immer der Geschäftsführung zu. Unabhängig von der Bestellung eines Datenschutzbeauftragten umfassen sie u. a.:

• Gewährung der Betroffenenrechte (Benachrichtigung, Auskunft, Korrektur, Sperrung, Löschung)
• transparente und dokumentierte EDV (Verfahrensverzeichnis)
• Schutz der EDV und der Daten im Sinne der IT-Sicherheit (§ 9 BDSG nebst Anhang)
• Nachvollziehbarkeit von Zugriffen, Änderungen und Weitergaben an Dritte

Rechte der Betroffenen

Wikipedia:WikiProjekt Ereignisse/Vergangenheit/fehlend

Seit 2018

Seit Mai 2018 gelten EU-weit die Regeln der Datenschutz-Grundverordnung (DSGVO). Art. 24 ist die zentrale Norm, die Ergänzungen des Landesrechtes für Betroffenenrechte regelt. Diese stehen für Deutschland hauptsächlich im BDSG. Dort sind folgende Betroffenenrechte im dritten Kapitel (Artikel 12 bis 23) geregelt:

• Nach Art. 13 und 14 DSGVO muss jeder betroffenen Person bei einer Datenerhebung in einer Datenschutzerklärung umfangreich Auskunft unter anderem über Zweck, Empfänger und Verantwortliche der Datenverarbeitung, Dauer der Datenspeicherung, Rechte zur Berichtigung, Sperren und Löschen und Verwendung der Daten für Profiling-Zwecke gegeben werden. Wenn sich der Zweck ändert, ist die betroffene Person aktiv zu informieren. § 4, § 29, § 30, § 32 und § 33 BDSG ergänzen diese Normen.
• Nach Art. 15 DSGVO hat jede Person das Recht auf Auskunft über alle sie betreffenden Daten. Die Informationen darüber sind laut Art. 12 in „präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ zu liefern. § 27, § 28, § 29, § 30 und § 34 BDSG ergänzen diese Normen.
• Nach Art. 16 DSGVO hat die betroffene Person ein Recht auf Berichtigung falscher Daten sowie laut Art. 18 DSGVO ein Recht auf Einschränkung („Sperrung“) der Datenverarbeitung, wenn Richtigkeit oder Grundlage der Datenverarbeitung bestritten werden. § 27, § 28 und § 35 BDSG ergänzen diese Normen.
• Das Recht auf Vergessenwerden des Art. 17 DSGVO ist eines der zentralen Rechte der DSGVO. Es umfasst einerseits, dass eine betroffene Person das Recht hat, das Löschen aller sie betreffenden Daten zu fordern, wenn die Gründe für die Datenspeicherung entfallen. Darüber hinaus muss aber auch der Verarbeiter andererseits selbst aktiv die Daten löschen, wenn es keinen Grund mehr für eine Speicherung und Verarbeitung gibt. § 4 und § 35 BDSG ergänzen diese Normen.
• Art. 20 DSGVO gibt jeder Person das Recht, die Daten, die sie betreffen und die sie selbst dem Verantwortlichen übergeben hat, in einem „strukturierten, gängigen und maschinenlesbaren Format zu erhalten“, auch und insbesondere für den Zweck, sie Konkurrenzdienstleistern „ohne Behinderung durch den Verantwortlichen“ zu übermitteln. § 28 BDSG ergänzt diese Norm.
• Art. 20 und Art. 21 DSGVO enthalten Regelungen zum Profiling sowie das Widerspruchsrecht gegen die weitere Nutzung von Profiling-Daten. § 27, § 28, § 30, § 31, § 36 und § 37 BDSG ergänzen diese Normen.

Außer Kraft seit 2018

Betroffene (natürliche Personen, über die Daten bei öffentlichen oder nicht-öffentlichen Stellen gespeichert sind), hatten nach dem Bundesdatenschutzgesetz bis Mai 2018 folgende (nach § 6 Abs. 1 BDSG a.F. unabdingbare) Rechte:

• Auskunft darüber, ob und welche personenbezogenen Daten über sie gespeichert sind
• Auskunft darüber, aus welchen Quellen diese Daten stammen und zu welchem Verwendungszweck sie gespeichert werden
• Berichtigung von falschen personenbezogenen Daten
• Beschwerderecht bei der zuständigen Aufsichtsbehörde für den Datenschutz
• Löschung oder Sperrung ihrer Datensätze. Anstatt einer Löschung wird immer dann eine Sperrung durchgeführt, wenn einer der im Gesetz diesbezüglich vorgesehenen Tatbestände erfüllt ist (z. B. gesetzliche Aufbewahrungsfristen).
• Übermittlung persönlicher Daten an Dritte zu untersagen

Die beiden erstgenannten Rechte können verweigert werden, falls das allgemeine öffentliche Interesse, das Interesse der jeweiligen nicht-öffentlichen Stelle an der Wahrung des Geschäftsgeheimnisses oder das Interesse Dritter zur Geheimhaltung überwiegt. Dies muss allerdings im Einzelfall geprüft werden. Eine Verweigerung der Auskunft muss mit Angabe der Gründe dokumentiert werden.

Jeder Bürger hat also ein Auskunftsrecht bezüglich der über ihn gespeicherten Daten sowie ein Recht auf Richtigstellung falscher Daten. Für die befragten Stellen ergibt sich eine Auskunftspflicht; bei Polizei und Geheimdiensten kann es Einschränkungen geben. Die Auskunft ist von öffentlichen Stellen unentgeltlich zu erteilen (§ 19 Abs. 7 BDSG a.F.). Bei der Auskunftserteilung durch private Stellen kann unter Umständen ein Entgelt verlangt werden (§ 34 BDSG a.F.), allerdings muss der Betroffene darauf hingewiesen und ggf. eine kostenfreie Alternative angeboten werden. Umstritten war lange Zeit die Praxis der Schufa, ein Selbstauskunftersuchen mit einer negativen Wertung zu belegen; diese Praxis hat die Schufa jedoch aufgegeben. Des Weiteren hat jeder das Recht, der Nutzung seiner Adressdaten für Werbung oder der Markt- oder Meinungsforschung bei der datenspeichernden Stelle zu widersprechen und eine Sperrung seiner Daten zu verlangen.

Die alten Regelungen fielen ohne Übergangsregelung von einem auf den anderen Tag weg.

Sondervorschriften

Für die Behörden der Länder und Gemeinden gelten die jeweiligen Landesdatenschutzgesetze. Sonderregelungen gibt es auch für die öffentlich-rechtlichen Rundfunkanstalten.

Öffentlich-rechtliche Religionsgesellschaften unterliegen weder dem Bundesdatenschutzgesetz noch den Landesdatenschutzgesetzen. Die Römisch-katholische Kirche hat die Anordnung über den kirchlichen Datenschutz erlassen und die Synode der Evangelischen Kirche in Deutschland das EKD-Datenschutzgesetz.

Für Verwaltungsverfahren im Geltungsbereich des Sozialgesetzbuchs sind für den Schutz der Sozialdaten besondere Vorschriften gültig, welche statt des Bundesdatenschutzgesetzes oder landesrechtlicher Regelungen anzuwenden sind. Dies gilt auch für die Durchführung jener Gesetze, die gemäß § 68 Erstes Buch Sozialgesetzbuch (SGB I) als besondere Teile des Sozialgesetzbuches gelten, wie also für Verfahren, die BAföG- oder Wohngeldstellen durchführen. Der Sozialdatenschutz ist im zweiten Kapitel des Zehntes Buch Sozialgesetzbuch (SGB X) geregelt.

Siehe auch

• Datenschutzauditgesetz

Literatur

• Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (Hrsg.): DSGVO – BDSG. Texte und Erläuterungen (= BfDI-Info. Nr. 1). Bonn 2019 (299 S., bund.de [PDF; 3,8 MB; abgerufen am 12. März 2019]). 
• Lutz Bergmann, Roland Möhrle, Armin Herb: Kommentar zum Datenschutzrecht. 55. Liefg. Boorberg-Verlag. Stuttgart, August 2018, ISBN 978-3-415-00616-4.
• Wolfgang Däubler, Thomas Klebe, Peter Wedde, Thilo Weichert: Bundesdatenschutzgesetz. Kompaktkommentar zum BDSG. Mit Urteil zu Safe Harbor und Ausblick EU-Datenschutzgrundverordnung. 5. Auflage. Bund-Verlag, Frankfurt (Main) 2016, ISBN 978-3-7663-6446-3.
• Peter Gola, Rudolf Schomerus (bis zur 9. Auflage), Christoph Klug, Barbara Körffer: BDSG – Bundesdatenschutzgesetz. Kommentar. 12. Auflage. Verlag C.H. Beck, München 2015, ISBN 978-3-406-67176-0.
• Spiros Simitis (Hrsg.): Kommentar zum Bundesdatenschutzgesetz Nomos, Autoren: Ulrich Dammann, Alexander Dix, Eugen Ehmann, Walter Ernestus, Otto Mallmann, Thomas Petri, Philip Scholz, Achim Seifert, Spiros Simitis, Bettina Sokoll, 8. Auflage. Nomos, Baden-Baden 2014, ISBN 978-3-8487-0593-1.

Weblinks

• Bundesdatenschutzgesetz
• Bundesdatenschutzgesetz (gültig bis 25. Mai 2018)
• BDSG-Online-Kommentar im Datenschutz-WIKI des BfDI
• Neues Datenschutzrecht in Kraft (Aufsatz von RA Terhaag zu Adresshandel, Listenprivileg, Datenschutzbeauftragten, Arbeitnehmerdatenschutz, Informations- und Anzeigepflichten sowie den neuen Richtlinien für die Auftragsdatenvereinbarung)
• Bericht über die Auswirkungen der §§ 30a und 42a des Bundesdatenschutzgesetzes (BT-Drs. 17/12319)
• Bericht der Bundesregierung über die Auswirkungen der Änderungen der §§ 28 und 29 des Bundesdatenschutzgesetzes (BSDG) im Rahmen der zweiten BDSG-Novelle (BT-Drs. 18/3707)

Belege

Bitte den Hinweis zu Rechtsthemen beachten!