Das Bundesdatenschutzgesetz ist ein Bundesgesetz der Bundesrepublik Deutschland und trat am 01. Januar 1978 in Kraft. Das Gesetz regelt in Verbindung mit den einzelnen Datenschutzgesetzen der Bundesländer und zusätzlichen bereichsspezifischeren Gesetzen und Verordnungen wie mit personenbezogenen Daten umgegangen werden muss, welche manuell oder mittels IT-Systemen verarbeitet werden. Der Zweck des Bundesdatenschutzgesetztes ist es, jeden Einzelnen vor einer Beeinträchtigung seines Persönlichkeitsrechts durch den Umgang mit seinen persönlichen Daten zu schützen.

Seit dem 25. Mai 2018 gilt die umfassend überarbeitete Fassung („BDSG-neu“) als nationales Begleitgesetz zur EU-Datenschutz-Grundverordnung (DSGVO). Das BDSG ergänzt und konkretisiert die DSGVO insbesondere in Bereichen wie Beschäftigtendatenverarbeitung, Videoüberwachung, Aufgaben der Aufsichtsbehörden sowie bei der Verarbeitung zu Zwecken der Strafverfolgung und Gefahrenabwehr. Es wurde seither mehrfach angepasst, um Rechtsprechung und EU-Vorgaben aufzunehmen.

Geschichte des Bundesdatenschutzgesetzes

Auch vor Inkrafttreten des als BDSG abgekürzten Bundesdatenschutzgesetzes existierten Regelungen zum Schutz der Privatsphäre wie beispielsweise das Steuer- und Postgeheimnis, die ärztliche Schweigepflicht oder das Beichtgeheimnis. Bereits in den 60er Jahren wurden Überlegungen angestellt, einen umfassenden Datenschutz zu gewährleisten. Dies geschah auch mit Ausblick auf die Computertechnologie und den damit einhergehenden Gefahren im Bereich des Datenschutzes.

Das erste Datenschutzgesetz weltweit wurde im Jahr 1970 durch das Bundesland Hessen erlassen. Die erste Fassung des Bundesdatenschutzgesetzes erfolgte 1977. Dass dieses Gesetz nicht ausreichend ist, wurde durch ein Urteil des Bundesverfassungsgerichts im Jahr 1983 festgestellt. Das Bundesdatenschutzgesetz wurde daher im Jahr 1990 angepasst. Eine weitere Änderung des Bundesdatenschutzgesetzes erfolgte im Jahr 2009.

Wichtige Etappen bis heute:

• 1970: Hessisches Datenschutzgesetz als weltweites Pioniergesetz.
• 1977/1978: Erste BDSG-Fassung; zentrale Weichenstellung für den Umgang mit personenbezogenen Informationen in Behörden und Unternehmen.
• 1983: Volkszählungsurteil – Einführung des Grundrechts auf informationelle Selbstbestimmung, das bis heute Maßstab ist.
• 1990–2009: Mehrere Novellen zur Anpassung an technische Entwicklungen (z. B. elektronische Datenverarbeitung, Vernetzung).
• 2017/2018: Neufassung („BDSG-neu“) als Begleitgesetz zur DSGVO; Anwendung ab 25. Mai 2018.
• Seit 2019: Laufende Präzisierungen, u. a. zu Aufgaben der Aufsichtsbehörden, Videoüberwachung, Auskunftsrechten sowie spezifischen nationalen Öffnungsklauseln.

Die neue Systematik verankert das BDSG als Ergänzung zur DSGVO (privater und öffentlicher Bereich) und als Umsetzung der EU-Richtlinie für den Bereich der Strafverfolgung. Dadurch sind heute sowohl europäische als auch nationale Vorgaben eng verzahnt.

Anwendungsbereiche des Bundesdatenschutzgesetzes

Das Bundesdatenschutzgesetz regelt die Erhebung, die Verarbeitung und die Nutzung von personenbezogenen Daten. Bereits das Beschaffen von Daten fällt unter den Begriff der Erhebung. Das Sichern, Übermitteln, Verändern, Löschen oder Sperren der Daten fällt unter den Begriff der Datenverarbeitung. Jede Nutzung der Daten außerhalb des Vorgangs der Verarbeitung ist die Datennutzung. Rechte und Pflichten der Aufsichtsbehörden für den Datenschutz werden ebenfalls im BDSG geregelt.

Grundsätzlich gilt das Sitzprinzip, wenn die verantwortliche Stelle ihren Sitz im EG/EWR-Ausland hat. Damit ist das geltende Recht anzuwenden, in deren Staatsgebiet die Stelle liegt. Sobald eine Stelle jedoch eine Niederlassung im Bundesgebiet besitzt, ist das deutsche Bundesdatenschutzgesetz anzuwenden.

Aktualisierung im Lichte der DSGVO: Für private und viele öffentliche Stellen gilt heute primär die DSGVO. Sie knüpft nicht nur an den Sitz an, sondern auch an das Marktortprinzip: Wer Personen in der EU Waren oder Dienstleistungen anbietet oder ihr Verhalten beobachtet, unterliegt den europäischen Datenschutzregeln – unabhängig vom Unternehmenssitz. Das BDSG ergänzt diese Regeln national, beispielsweise bei:

• Beschäftigtendaten (u. a. Regelungen zur Verarbeitung im Arbeitsverhältnis).
• Videoüberwachung öffentlich zugänglicher Räume durch öffentliche und nichtöffentliche Stellen.
• Aufsichtsstrukturen (BfDI und Landesbehörden) sowie deren Befugnisse.
• Verarbeitung zu Zwecken der Strafverfolgung und Gefahrenabwehr (eigener Teil des BDSG).

Abgrenzung zu weiteren Rechtsakten: Für elektronische Kommunikation und Telemedien existieren zusätzliche Vorschriften außerhalb des BDSG. Trotz dieser Parallelregelungen bleibt das BDSG die zentrale nationale Ergänzung zur DSGVO für allgemeine Verarbeitungsvorgänge in Deutschland.

Grundsätze des Datenschutzes und geschützte Daten

Zum Datenschutz gehört unter anderem das Verbotsprinzip mit Erlaubnisvorbehalt. Demnach ist es untersagt personenbezogene Daten zu erheben, verarbeiten und zu nutzen, es sei denn die Datenverarbeitung wird durch das Gesetz ausdrücklich erlaubt oder die betroffene Person hat der Erhebung, Verarbeitung und Nutzung ausdrücklich zugestimmt.

Verfahren zur automatischen Verarbeitung von Daten müssen durch einen Datenschutzbeauftragen geprüft oder der Aufsichtsbehörde angezeigt werden. Zudem sollen keine oder möglichst wenige dieser Daten verwendet und nach Möglichkeit anonymisiert oder mit Pseudonymen genutzt werden.

Aktuelle Grundsätze (DSGVO i. V. m. BDSG):

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz (klare Rechtsgrundlage, verständliche Informationen).
• Zweckbindung (nur für festgelegte, eindeutige Zwecke).
• Datenminimierung (so wenig personenbezogene Informationen wie nötig).
• Richtigkeit (Aktualität, Korrektheit).
• Speicherbegrenzung (Löschung oder Anonymisierung, sobald der Zweck entfällt).
• Integrität und Vertraulichkeit (angemessene technische und organisatorische Maßnahmen, z. B. Verschlüsselung, Zugriffskontrollen).
• Rechenschaftspflicht (Nachweis der Einhaltung aller Pflichten durch den Verantwortlichen).

Von der „Vorabkontrolle“ zur Datenschutz-Folgenabschätzung (DSFA): Historisch war die Vorabkontrolle vorgesehen. Heute ist bei hohem Risiko für Rechte und Freiheiten eine DSFA durchzuführen (z. B. bei umfangreicher Verarbeitung besonderer Kategorien oder systematischer Überwachung). Bei verbleibenden hohen Risiken ist die Aufsichtsbehörde zu konsultieren.

Geschützt sind durch das Bundesdatenschutzgesetz die Daten natürlicher Personen über sachliche oder persönliche Verhältnisse. Anonyme Daten werden durch das BDSG nicht umfasst, jedoch pseudonyme Daten, da die Personen hierbei bestimmbar sind. Die Daten juristischer Personen wie der AG oder der GmbH sind nicht durch das BDSG geregelt. Einem besonderen Schutz unterliegen Daten über ethnische und rassische Herkunft, philosophische oder religiöse Überzeugen, politische Meinungen sowie über das Sexualleben, die Gesundheit und die Gewerkschaftszugehörigkeit. Diese Daten unterliegen einer Vorabkontrolle. Der Beauftragte für Datenschutz muss vor Erhebung, Verarbeitung und Speicherung diese Daten prüfen.

Besondere Kategorien und weitere sensible Daten (aktualisiert):

• Besondere Kategorien: u. a. Gesundheitsdaten, biometrische und genetische Daten, Daten zur rassischen und ethnischen Herkunft, religiösen oder weltanschaulichen Überzeugung, sexuellen Orientierung, Gewerkschaftszugehörigkeit.
• Daten über strafrechtliche Verurteilungen und Straftaten unterliegen besonderen Anforderungen.
• Pseudonymisierung reduziert Risiken, ersetzt aber keine Rechtsgrundlage. Anonymisierte Daten fallen nicht in den Anwendungsbereich.

Rechte von Personen

Personen, deren Daten bei nichtöffentlichen oder öffentlichen Stellen gespeichert sind, stehen nach dem Datenschutzgesetz bestimmte Rechte zu. Sie haben das Recht Auskunft darüber zu erhalten welche persönlichen Daten gespeichert sind und von welchen Quellen sie stammen. Sie haben ein Recht, den Zweck der Verwendung zu erfahren und falsche Daten berichtigen zu lassen. Außerdem können sie die Weitergabe der persönlichen Daten an Dritte verbieten und die Sperrung oder Löschung der Daten verlangen, wobei der Anbieter nicht zur Löschung verpflichtet ist.

Bei Bedarf können Betroffene bei der zuständigen Aufsichtsbehörde Beschwerde einlegen. Auskünfte können jedoch verweigert werden, wenn das allgemeine öffentliche Interesse, das Interesse Dritter oder das Interesse der entsprechenden nichtöffentlichen Stelle größer ist, als das der einzelnen Person. Im Hinblick auf Meinungs- oder Marktforschung sowie Werbung hat jeder Betroffene das Recht der Nutzung seiner Daten zu widersprechen und sie sperren zu lassen.

Erweiterte Betroffenenrechte (nach DSGVO/BDSG):

• Auskunft und Kopie der verarbeiteten personenbezogenen Daten.
• Berichtigung unrichtiger oder unvollständiger Daten.
• Löschung („Recht auf Vergessenwerden“) und Speicherbegrenzung, sofern keine Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung, wenn die Richtigkeit bestritten wird oder die Verarbeitung unrechtmäßig ist.
• Datenübertragbarkeit für Daten, die auf Grundlage von Einwilligung oder Vertrag automatisiert verarbeitet werden.
• Widerspruchsrecht, insbesondere gegen Verarbeitung auf Grundlage berechtigter Interessen oder für Direktwerbung.
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft.
• Recht, nicht einer ausschließlich automatisierten Entscheidung einschließlich Profiling unterworfen zu werden, die rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt.

Informationspflichten bestehen bei Erhebung direkt bei der Person und – mit Ausnahmen – auch bei Erhebung aus anderen Quellen. Ausnahmen von Rechten sind eng auszulegen und müssen begründet werden (z. B. gesetzliche Aufbewahrungspflichten, überwiegende Interessen Dritter, Strafverfolgung).

Häufige Fragen und Antworten