BDSG

Kurz: “Bundesdatenschutzgesetz” — das deutsche Gesetz, das die DSGVO auf nationaler Ebene ergänzt und konkretisiert, wo die DSGVO den Mitgliedsstaaten eigenen Regelungsspielraum lässt.

Genauer: Die DSGVO gilt als EU-Verordnung unmittelbar in allen Mitgliedsstaaten, enthält an manchen Stellen aber sogenannte Öffnungsklauseln, die nationale Gesetzgeber ausfüllen dürfen (z. B. bei Beschäftigtendatenschutz oder der Bestellpflicht eines Datenschutzbeauftragten). Das BDSG regelt diese national spezifischen Punkte für Deutschland und enthält z. B. konkrete Schwellenwerte, ab wie vielen Mitarbeitern ein Datenschutzbeauftragter verpflichtend ist.

Im Detail

Historische Einordnung

Deutschland hatte bereits seit 1977 ein Bundesdatenschutzgesetz — lange bevor es eine EU-weite Regelung gab, war Deutschland damit eines der ersten Länder weltweit mit einem umfassenden Datenschutzgesetz. Mit Inkrafttreten der DSGVO am 25. Mai 2018 wurde das alte BDSG komplett überarbeitet und als “BDSG neu” (bzw. BDSG 2018) neu gefasst — es musste an vielen Stellen an die unmittelbar geltende DSGVO angepasst werden, um Doppelregelungen und Widersprüche zu vermeiden.

Die drei Teile des Gesetzes

Das BDSG ist in drei Teile gegliedert: Teil 1 gilt für alle Bereiche, Teil 2 speziell für Verarbeitungen, die in den Anwendungsbereich der DSGVO fallen, Teil 3 für Bereiche außerhalb (z. B. Polizei, Justiz, die eigene EU-Richtlinien statt der DSGVO befolgen). Für Unternehmen im Alltagsgeschäft ist vor allem Teil 2 relevant.

Beschäftigtendatenschutz (§ 26 BDSG)

Ein praktisches Beispiel für eine BDSG-Konkretisierung ist § 26 BDSG zum Beschäftigtendatenschutz: Er regelt genauer als die DSGVO selbst, unter welchen Bedingungen ein Arbeitgeber Daten von Bewerbern und Angestellten verarbeiten darf — etwa zur Begründung, Durchführung oder Beendigung eines Arbeitsverhältnisses, oder zur Aufdeckung von Straftaten. Wichtig dabei: Eine Einwilligung des Arbeitnehmers als Rechtsgrundlage wird im Beschäftigungskontext besonders kritisch gesehen, weil das strukturelle Abhängigkeitsverhältnis Zweifel an der “Freiwilligkeit” der Einwilligung aufwirft — Arbeitgeber stützen sich deshalb meist auf andere Rechtsgrundlagen wie die Vertragserfüllung.

Datenschutzbeauftragte (§ 38 BDSG)

Ein weiteres wichtiges Beispiel ist § 38 BDSG: Er senkt die Schwelle, ab der ein betrieblicher Datenschutzbeauftragter verpflichtend zu bestellen ist, auf Unternehmen, die in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen — die DSGVO selbst macht dazu keine konkrete Zahlenvorgabe, sondern überlässt genau das den Mitgliedsstaaten. Andere EU-Länder haben teils deutlich andere Schwellenwerte oder verlangen gar keinen verpflichtenden Datenschutzbeauftragten unterhalb bestimmter Risikoschwellen — die deutsche 20-Personen-Grenze gilt europaweit als vergleichsweise streng.

Bußgelder und Zuständigkeiten

Das BDSG regelt außerdem die Zuständigkeit der deutschen Datenschutzaufsichtsbehörden (je Bundesland eine eigene Landesbehörde, zusätzlich der/die Bundesbeauftragte für den Datenschutz für Bundesbehörden) und ergänzt die DSGVO-Bußgeldvorschriften um straf- und ordnungswidrigkeitsrechtliche Bestimmungen für bestimmte vorsätzliche Verstöße, die über die reinen DSGVO-Bußgelder hinausgehen.

Abgrenzung zu den Landesdatenschutzgesetzen

Neben dem BDSG (das für Bundesbehörden und den privaten Sektor gilt) haben alle 16 Bundesländer zusätzlich eigene Landesdatenschutzgesetze, die für Landes- und Kommunalbehörden gelten — eine Krankenkasse oder ein Unternehmen richtet sich nach dem BDSG, eine Stadtverwaltung oder ein Landesministerium nach dem jeweiligen Landesgesetz. Diese föderale Aufsplittung ist historisch gewachsen (Datenschutz ist in Deutschland traditionell Ländersache) und führt in der Praxis dazu, dass es in Deutschland statt einer zentralen auch heute noch 17 verschiedene Datenschutzaufsichtsbehörden gibt (je eine pro Bundesland plus die/der Bundesbeauftragte), die sich zwar eng abstimmen (u. a. über die Datenschutzkonferenz DSK), aber formal unabhängig voneinander entscheiden.

Siehe auch: DSGVO