Das Datenschutzrecht ist das Teilgebiet des Rechts, welches sich mit dem Datenschutz befasst.
Aufgabe des Datenschutzrechts ist es, die informationelle Selbstbestimmung und rechtlich geschützte Geheimnisse – insbesondere das Telekommunikationsgeheimnis – zu gewährleisten und einen Ausgleich zwischen dem Datenschutz des Einzelnen und berechtigten Interessen der Allgemeinheit und staatlicher und privater Datenverarbeiter zu schaffen.
Zum Datenschutzrecht im weitesten Sinne gehören deshalb alle Gesetze, Vereinbarungen, Anordnungen und Gerichtsentscheidungen, die dem Schutz der Privatsphäre dienen, das Recht auf informationelle Selbstbestimmung ausgestalten oder den Umgang mit Geheimnissen und personenbezogenen Daten regeln.
Inter- und supranationales Datenschutzrecht Vereinte Nationen Die Allgemeine Erklärung der Menschenrechte, verkündet am 10. Dezember 1948 von der Generalversammlung der Vereinten Nationen, maß der Privatsphäre der Menschen Bedeutung zu. In Art. 12 der Menschenrechtserklärung heißt es:
Obgleich die Erklärung rechtlich nicht verbindlich war und ist und die in ihr statuierten Rechte ausschließlich deklaratorischer Art sind, kann sie doch zu den Vorläufern oder gar Grundpfeilern des supranationalen Datenschutzrechts gezählt werden.
Im September 2005 forderte die 27. Internationale Konferenz der Beauftragten für den Datenschutz und den Schutz der Privatsphäre die Vereinten Nationen auf, die Rechte auf Privatsphäre („privacy“) und auf Datenschutz als Menschenrechte inhaltlich weiter auszugestalten.
Europarat Nicht zuletzt im Hinblick auf die kurz zuvor verkündete UN-Menschenrechtserklärung enthielt auch die 1950 unterzeichnete und 1953 in Kraft getretene Europäische Menschenrechtskonvention des Europarats eine Regelung zum Datenschutz – auch wenn der Begriff damals noch nicht gebräuchlich war. Gemäß Abs. 1 der Europäischen Menschenrechtskonvention hat „jedermann […] Anspruch auf Achtung seines Privat- und Familienlebens, seiner Wohnung und seines Briefverkehrs“. Dieser – eher deklaratorisch und programmatisch zu verstehende – Satz ist noch heute gültig; in Deutschland steht er im Rang einem Bundesgesetz gleich.
Nachdem die elektronische Datenverarbeitung und damit der Datenschutz in den 1970er Jahren immer mehr an Bedeutung gewonnen hatten, bereitete der Europarat eine eigene Konvention zum Datenschutz vor, die 1981 als Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten vereinbart wurde. Die Europäische Datenschutzkonvention, wie das Übereinkommen umgangssprachlich genannt wurde, trat 1985 in Kraft. Durch die Konvention verpflichten sich die ihr beigetretenen Staaten, bei der automatisierten Datenverarbeitung bestimmte elementare Datenschutzprinzipien zu beachten und diese im eigenen Hoheitsgebiet auch gegenüber Dritten durchzusetzen.
OECD Die Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD) formulierte 1980 Leitlinien für den Schutz des Persönlichkeitsbereichs und den grenzüberschreitenden Verkehr personenbezogener Daten. Die Leitlinien sollen insbesondere den grenzüberschreitenden Datenaustausch erleichtern. Sie stellen jedoch nur unverbindliche Empfehlungen dar und können mittlerweile als inhaltlich überholt gelten. Praktische Bedeutung haben die OECD-Empfehlungen nicht.
Europäische Union Das Datenschutzrecht der Europäischen Union stand bis zum Jahr 2000 vornehmlich unter dem Gedanken der Schaffung und Stärkung des gemeinsamen Europäischen Binnenmarktes. Unterschiedliche nationale Datenschutzgesetze wurden dabei als mögliche Handelshemmnisse angesehen. Mit der Verabschiedung der Charta der Grundrechte der Europäischen Union wurde der Datenschutz als Grundrecht anerkannt.
Die Datenschutzstandards der EU stützen sich auf das Übereinkommen Nr. 108 des Europarats, auf EU-Instrumente wie die Datenschutz-Grundverordnung und die Datenschutzrichtlinie für Polizei und Strafjustiz. In: Amtsblatt der Europäischen Union. L 119, 4. Mai 2016, S. 89–131.EU-Richtlinie für den Datenschutz bei Polizei und Justiz 16. März 2017. sowie auf die einschlägige Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte (EGMR) und des Gerichtshofs der Europäischen Union (EuGH). Fachkundiges Beratungsgremium ist seit Mai 2018 der Europäische Datenschutzausschuss (EDSA), Kontrollinstanz der Europäische Datenschutzbeauftragte.Handbuch zum europäischen Datenschutzrecht Ausgabe 2018. Agentur der Europäischen Union für Grundrechte, Luxemburg 2019.
Praktische Bedeutung hatte das zwischen der Europäischen Union und den Vereinigten Staaten von Amerika vereinbarte Safe-Harbor-Abkommen. Es erlaubte den Transfer von personenbezogenen Daten aus dem Hoheitsgebiet der EU in das der USA, sofern der Datenempfänger bestimmte Datenschutzkriterien erfüllte. Von dieser Möglichkeit machten unter anderem Microsoft und Amazon.de Gebrauch. Am 6. Oktober 2015 erklärte jedoch der EuGH, das Safe-Harbor-Abkommen gewährleiste kein angemessenes Schutzniveau für die übermittelten personenbezogenen Daten. Rechtssache C-362/14.Der Gerichtshof erklärt die Entscheidung der Kommission, in der festgestellt wird, dass die Vereinigten Staaten von Amerika ein angemessenes Schutzniveau übermittelter personenbezogener Daten gewährleisten, für ungültig. Pressemitteilung des EuGH vom 6. Oktober 2015. Damit bot es keine Rechtsgrundlage mehr für Datenübermittlungen in die USA. Am 12. Juli 2016 beschloss die EU-Kommission, den EU-US-Datenschutzschild anzunehmen, um die Forderungen des EuGH aus dessen Urteil vom 6. Oktober 2015 zu erfüllen.Europäische Kommission lanciert EU-US-Datenschutzschild: besserer Schutz für den transatlantischen Datenverkehr. Europäische Kommission, Pressemitteilung vom 12. Juli 2016. Nachdem der EuGH auch das EU-US-Datenschutzschild für nichtig erklärt hatte, erlies Europäische Kommission im Juli 2023 den Angemessenheitsbeschluss für das Nachfolgeabkommen EU-US Data Privacy Framework. Der Angemessenheitsbeschluss kann ab diesem Zeitpunkt als Grundlage für Datenübermittlungen an zertifizierte Organisationen in den USA dienen.
Grundrechtecharta Im Jahr 2000 proklamierten die Staats- und Regierungschefs der EU-Mitgliedstaaten die Charta der Grundrechte der Europäischen Union. Art. 7 der Charta gewährleistet jeder Person „das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihrer Kommunikation“. Art. 8 der Charta statuiert darüber hinaus ein Recht auf Schutz von personenbezogenen Daten. Der Datenschutz wurde damit auf Ebene der Europäischen Union ausdrücklich als Grundrecht anerkannt. Durch den Vertrag von Lissabon wurde die Grundrechtecharta für die EU und ihre Mitgliedstaaten verbindliches Recht.
Abs. 1 des Vertrags über die Arbeitsweise der Europäischen Union legt fest, dass jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten hat.
Richtlinien und Verordnungen
Der Rat der Europäischen Union und das Europäische Parlament erließen deshalb 1995 die Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutzrichtlinie), die das Datenschutzniveau innerhalb des Europäischen Wirtschaftsraums harmonisieren sollte. Der deutsche Bundesgesetzgeber hatte es mit der Umsetzung dieser Richtlinie nicht besonders eilig: Erst 2001, also sechs Jahre nach Inkrafttreten der Datenschutzrichtlinie, wurde das Bundesdatenschutzgesetz den Anforderungen der Richtlinie angepasst.
Die Datenschutzrichtlinie wurde 1997 durch die Richtlinie 97/66/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre im Bereich der Telekommunikation (Telekommunikations-Datenschutzrichtlinie) ergänzt. Der ISDN-Richtlinie, wie die Richtlinie 97/66/EG umgangssprachlich genannt wurde, war keine lange Lebensdauer beschieden. Die sich überschlagenden technischen Entwicklungen in der Telekommunikation, insbesondere die Verbreitung von Mobiltelefonen und Internetzugängen sowie die zunehmende E-Mail-Kommunikation erforderten schon bald eine völlige Überarbeitung der Richtlinie.
Deshalb erließen das Europäische Parlament und der Rat im Jahr 2002 die Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation, die die Telekommunikations-Datenschutzrichtlinie ersetzte.
Nicht zum Datenschutzrecht im eigentlichen Sinne gehörte die 2006 in Kraft getretene Richtlinie 2006/24/EG über die Vorratsspeicherung von Daten. Diese Richtlinie verpflichtete die EU-Mitgliedstaaten, Daten, die bei der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste erzeugt oder verarbeitet werden, auf Vorrat speichern zu lassen. Am 8. April 2014 wurde sie durch den Europäischen Gerichtshof für nichtig erklärt. Die Ungültigerklärung wurde zum Zeitpunkt des Inkrafttretens der Richtlinie wirksam.
Im Jahr 2000 wurde die Verordnung (EG) Nr. 45/2001 verabschiedet. Sie regelt den Datenschutz bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Europäischen Union. Sie wurde 2018 durch die Verordnung (EU) 2018/1725 ersetzt.
Der Rahmenbeschluss 2008/977/JI aus dem Jahr 2008 betrifft den Schutz personenbezogener Daten, die im Rahmen der polizeilichen und justiziellen Zusammenarbeit in Strafsachen verarbeitet werden. Er musste bis zum 27. November 2010 in innerstaatliches Recht umgesetzt werden. Dieser wurde durch die Richtlinie (EU) 2016/680 ersetzt.
Im Rahmen einer allgemeinen Datenschutzreform wurde am 27. April 2016 die Datenschutz-Grundverordnung (DSGVO) erlassen, nach welcher die Datenschutzrichtlinie aus dem Jahr 1995 außer Kraft tritt. Mit der DSGVO wurde die Verarbeitung personenbezogener Daten zum 28. Mai 2015 erstmals europaweit einheitlich geregelt. Prominente Auswirkung hatte diese Änderung der Rechtslage auf Webseitenbetreiber, welche in der EU ansässig sind. Der Link zur Datenschutzerklärung muss vom Webseitenbetreiber – nach diversen Opting-In Verpflichtungen – an einer gut ersichtlichen Stelle auf der Webseite und jeder Unterseite platziert werden.
Die Verordnung (EU) 2025/2518 des Europäischen Parlaments und des Rates vom 26. November 2025 zur Festlegung zusätzlicher Verfahrensregeln für die Durchsetzung der Verordnung (EU) 2016/679 legt Verfahrensvorschriften für die Behandlung von Beschwerden und die Durchführung von Untersuchungen durch Aufsichtsbehörden bei der Durchsetzung der DSGVO fest.
Nationales Datenschutzrecht Deutschland Das deutsche Datenschutzrecht wird maßgeblich durch das Volkszählungsurteil des Bundesverfassungsgerichts von 1983 bestimmt. Das im Volkszählungsurteil erstmals anerkannte Grundrecht auf informationelle Selbstbestimmung und die detaillierten Vorgaben, die das Bundesverfassungsgericht dem Gesetzgeber bezüglich der Einschränkungen dieses Grundrechts auferlegt hat, haben sich in allen gesetzlichen Regelungen zum Datenschutz niedergeschlagen.
Das Grundgesetz für die Bundesrepublik Deutschland von 1949 (GG) enthält mit dem Grundrecht auf Wahrung des Brief-, Post- und Fernmeldegeheimnisses wichtige datenschutzrechtliche Regelungen. Es trifft jedoch keine Aussagen zur Gesetzgebungskompetenz, also zur Frage, ob für das Datenschutzrecht der Bund oder die Länder zuständig sind. Mangels Kompetenzzuweisung steht deshalb grundsätzlich den Ländern die Gesetzgebungskompetenz zu ( Abs. 1 GG). Das Bundesverfassungsgericht hat jedoch entschieden, dass der Bund immer dann Datenschutzregelungen erlassen darf, wenn er „eine ihm zur Gesetzgebung zugewiesene Materie verständigerweise nicht regeln kann, ohne dass die datenschutzrechtlichen Bestimmungen mitgeregelt werden“.Bundesverfassungsgericht, Urteil vom 2. März 2010, Az. 1 BVR 256/08, Abs. 201. Es handelt sich damit um einen Fall der sogenannten Gesetzgebungskompetenz kraft Sachzusammenhangs.