Das deutsche Bundesdatenschutzgesetz (BDSG) ergänzt und präzisiert die Datenschutz-Grundverordnung (DS-GVO) an den Stellen, die nationalen Regelungen der EU-Staaten überlassen sind. Das sind unter anderem die Verarbeitung von Beschäftigtendaten, die Videoüberwachung, die Bestellung von Datenschutzbeauftragten oder die Aufsichtsbehörden. Zudem dient das BDSG der Umsetzung der EU-Datenschutzrichtlinie für Polizei- und Justizbehörden (JI-Richtlinie)..
Das Bundesdatenschutzgesetz trat am 1. Januar 1978 in Kraft, die aktuelle Fassung gilt seit dem 1. Dezember 2021.
Überblick über das BDSG Das BDSG gilt für die Verarbeitung personenbezogener Daten öffentlicher Stellen des Bundes und der Länder (soweit nicht landesrechtliche Regelungen greifen) sowie für nichtöffentliche Stellen. Es besteht aus vier Teilen: Gemeinsame Bestimmungen, Durchführungsbestimmungen zur DS-GVO, Datenschutzbestimmungen für Polizei- und Justizbehörden und Besondere Bestimmungen für Tätigkeiten außerhalb von DS-GVO und JI-Richtlinie.
Teil 1: Gemeinsame Bestimmungen Anwendungsbereich und Begriffsbestimmungen (§§ 1, 2)
Das BDSG gilt für Behörden und für nichtöffentliche Stellen. Dies sind natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts, also z. B. Unternehmen, Selbständige, Freiberufler, Vereine oder Stiftungen. Das Gesetz gilt jedoch nicht für natürliche Personen bei der Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten in Übereinstimmung mit der DS-GVO.Artikel 2 (2) lit c) In: . In: Amtsblatt der Europäischen Union. L, Nr. 119, 4. Mai 2016, S. 1–88. Zusätzlich zu den Begriffsbestimmungen der DS-GVO werden drei weitere Begriffe definiert: „Öffentliche Stellen des Bundes“, „Öffentliche Stellen der Länder“ und „Nichtöffentliche Stellen“.
Rechtsgrundlagen für öffentliche Stellen und Videoüberwachung (§§ 3, 4)
Öffentliche Stellen dürfen personenbezogene Daten ausschließlich dann verarbeiten, wenn dies zur Erfüllung ihrer gesetzlichen Aufgaben erforderlich ist. Die Videoüberwachung öffentlich zugänglicher Räume ist nur unter festgelegten Bedingungen zulässig. Auf eine Videoüberwachung muss deutlich erkennbar hingewiesen werden. Die Mindestinhalte der Hinweise sind vorgeschrieben.
BfDI: Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (§§ 8 – 21) Der Bundesbeauftragte ist zuständig für die Aufsicht über die öffentlichen Stellen des Bundes. Ebenso beaufsichtigt er Unternehmen, die geschäftsmäßig Telekommunikations- oder Postdienstleistungen (3) PostG erbringen. Er erstellt jährlich einen Bericht, der eine Liste der Arten gemeldeter Verstöße und der Arten getroffener Maßnahmen und der verhängten Sanktionen enthält. Er vertritt Deutschland im Europäischen Datenschutzausschuss, sein Stellvertreter ist der Leiter der Aufsichtsbehörde eines Bundeslandes.
Teil 2: Durchführungsbestimmungen zur DS-GVO
Kapitel 1: Rechtsgrundlagen der Verarbeitung personenbezogener Daten (§§ 22 – 31) Besondere Kategorien personenbezogener Daten und Zweckänderungen (§§ 22 – 25)
Die DS-GVO sieht in Art. 9 (4) ergänzende nationale Bestimmungen zur Verarbeitung besonders sensibler Daten wie z. B. Gesundheitsdaten vor. In § 22 präzisiert das BDSG die Voraussetzungen und die technischen und organisatorischen Schutzmaßnahmen, wie zum Beispiel Verfahren zur regelmäßigen Bewertung ihrer Wirksamkeit oder die Benennung eines Datenschutzbeauftragten. Personenbezogene Daten dürfen nur unter bestimmten Voraussetzungen zu einem anderen Zweck verarbeitet werden als demjenigen, zu dem sie erhoben wurden (siehe auch Erwägungsgrund 50 DS-GVO). Dazu gehört zum Beispiel die Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit, die Verfolgung von Straftaten und Ordnungswidrigkeiten oder die Prüfung von Angaben gegenüber einer Behörde, wenn es Anhaltspunkte für deren Unrichtigkeit gibt.
Besondere Verarbeitungssituationen (§§ 26 – 31)
Die DS-GVO delegiert die Datenschutzregelung für die Datenverarbeitung im Beschäftigungskontext an die Mitgliedsstaaten (Art. 88 (1) DS-GVO). Dies erfolgt in § 26 des BDSG. Hier wird insbesondere der Personenkreis der Beschäftigten definiert, z. B. Arbeitnehmer, Auszubildende, BuFDis, Bundesbeamte, Soldaten und auch Bewerber. An die Freiwilligkeit von Einwilligungen stellt das BDSG im Beschäftigungskontext hohe Anforderungen. Die Beteiligungsrechte der Interessenvertretungen der Beschäftigten bleiben unberührt.
Für Zwecke von Wissenschaft, historischer Forschung oder Statistik dürfen besondere Kategorien personenbezogener Daten auch ohne Einwilligung verarbeitet werden. Dabei dürfen entgegenstehende Interessen der betroffenen Person aber nicht erheblich überwiegen. Wenn besondere Kategorien personenbezogener Daten im öffentlichen Interesse archiviert werden, müssen angemessene und spezifische Schutzmaßnahmen getroffen werden. Insbesondere muss dokumentiert werden, wer Daten eingegeben, verändert oder entfernt hat. Datenschutzrechtliche Auskunft braucht nur erteilt zu werden, wenn das Archivgut namentlich erschlossen ist und die Daten mit vertretbarem Verwaltungsaufwand aufzufinden sind.
Datenschutzrechtliche Auskunft braucht nicht erteilt zu werden, wenn Geheimhaltungspflichten entgegenstehen. Dies betrifft insbesondere Daten, die unter der Verantwortung von Berufsgeheimnis- oder Amtsgeheimnisträgern verarbeitet werden.
Wenn ein Verbraucherkredit wegen einer Bonitätsauskunft abgelehnt wird, muss der Verbraucher unverzüglich über die Ablehnung und über die erhaltene Auskunft unterrichtet werden. Zur Berechnung von Scoring-Werten dürfen nur Daten verwendet werden, die nachweisbar für die Berechnung erheblich sind. Sollen Adressdaten in die Berechnung einfließen, muss der Betroffene informiert werden, die Berechnung darf aber nicht ausschließlich auf Adressdaten beruhen.
Kapitel 2: Rechte der betroffenen Person (§§ 32 – 37) Wenn personenbezogene Daten erhoben werden, muss die betroffene Person gemäß DS-GVO umfassend informiert werden, es sei denn sie verfügt schon über die Informationen. Das BDSG legt weitere Ausnahmen von dieser Pflicht fest: zum Beispiel wenn Daten nur analog verwendet werden (wie beispielsweise Visitenkarten), oder wenn öffentliche Sicherheit oder Ordnung, Steuererhebung, öffentliche Gesundheit oder rechtliche Ansprüche des Verantwortlichen gefährdet würden. In diesen Fällen hat die betroffene Person auch kein Recht auf Auskunft. Die Gründe der Auskunftsverweigerung sind zu dokumentieren. Die Ablehnung ist gegenüber der betroffenen Person in der Regel zu begründen. Bei Versicherungsverträgen hat der Versicherte nur dann das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, wenn eine Leistung verweigert wird.
Kapitel 3: Pflichten der Verantwortlichen und Auftragsverarbeiter (§§ 5, 38, 39) Jede öffentliche Stelle muss einen Datenschutzbeauftragten benennen, eine nichtöffentliche Stelle jedoch nur, wenn sie mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Sie braucht auf jeden Fall aber einen Datenschutzbeauftragten, wenn sie wegen hohen Risikos für die Rechte und Freiheiten natürlicher Personen Datenschutz-Folgenabschätzungen durchführen muss, oder wenn sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet.
Kapitel 4: Aufsichtsbehörde für die Datenverarbeitung durch nichtöffentliche Stellen (§ 40) Die datenschutzrechtliche Überwachung der nichtöffentlichen Stellen liegt in der Hoheit der Bundesländer. Deren Aufsichtsbehörden können bei Verstößen die betroffenen Personen unterrichten, den Verstoß anderen für die Verfolgung oder Ahndung zuständigen Stellen anzeigen sowie bei schwerwiegenden Verstößen die Gewerbeaufsichtsbehörde zur Durchführung gewerberechtlicher Maßnahmen unterrichten. Ihre Mitarbeiter dürfen zur Erfüllung ihrer Aufgaben Grundstücke und Geschäftsräume der nichtöffentlichen Stelle betreten und Zugang zu allen Datenverarbeitungsanlagen erhalten. Die Aufsichtsbehörden beraten und unterstützen die Datenschutzbeauftragten.
Kapitel 5 und 6: Sanktionen und Rechtsbehelfe (§§ 41 – 44) Die DS-GVO legt den Rahmen für die Höhe der Sanktionen bei Verstößen fest (Geldbuße bis zu 20 Mio. € oder 4 % des weltweiten JahresumsatzesArt. 83 (5) In: . In: Amtsblatt der Europäischen Union. L, Nr. 119, 4. Mai 2016, S. 1–88.). Die Durchführung der Ahndung von Verstößen erfolgt nach dem Gesetz über Ordnungswidrigkeiten. Wenn eine Geldbuße 100.000 Euro übersteigt, entscheidet das Landgericht. Es gelten dann die Strafprozessordnung und das Gerichtsverfassungsgesetz. Über eine eventuelle Einstellung kann die Staatsanwaltschaft nur mit Zustimmung der Aufsichtsbehörde entscheiden. Datenschutzverletzungen können auch mit Freiheitsstrafe bis zu drei Jahren bestraft werden, wenn Daten gewerbsmäßig Dritten zugänglich gemacht werden oder wenn Daten durch unrichtige Angaben erschlichen werden.
Teil 3: Datenschutzbestimmungen für Polizei- und Justizbehörden
Kapitel 1: Anwendungsbereich, Begriffsbestimmungen und allgemeine Grundsätze für die Verarbeitung personenbezogener Daten (§§ 45 – 47) Der dritte Teil des BDSG gilt für die Verarbeitung personenbezogener Daten durch die Polizei- und Justizbehörden, soweit sie Daten zum Zweck der Erfüllung ihrer Aufgaben verarbeiten. Die Begriffsbestimmungen sind ebenso wie die allgemeinen Grundsätze für die Verarbeitung personenbezogener Daten weitgehend denjenigen der DS-GVO ähnlich.
Kapitel 2: Rechtsgrundlagen der Verarbeitung personenbezogener Daten (§§ 48 – 54) Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nur zulässig, wenn sie zur Aufgabenerfüllung unbedingt erforderlich ist. Es sind geeignete Schutzmaßnahmen vorzusehen. Die Beispielliste enthält acht Maßnahmen, darunter die Festlegung besonderer Aussonderungsprüffristen, die Sensibilisierung der Beteiligten oder die Beschränkung des Zugangs zu den Daten innerhalb der verantwortlichen Stelle. Die konkrete Ausgestaltung der Maßnahmen kann von Einzelfall zu Einzelfall variieren. In diesem Kapitel werden auch die Bedingungen für die Einwilligung, für Zweckänderungen, für die Weisungsbindung und die Verpflichtung auf das Datengeheimnis sowie für automatisierte Einzelentscheidungen festgelegt.
Kapitel 3: Betroffenenrechte (§§ 55 – 61) Der Verantwortliche stellt Informationen zu den Verarbeitungszwecken, zur Wahrnehmung der Betroffenenrechte, zu seinen Kontaktdaten und zum Recht auf Anrufung des Bundesbeauftragten für den Datenschutz in allgemeiner Form für jedermann zugänglich zur Verfügung. Für individuelle Auskünfte, Berichtigungs- oder Löschverlangen werden in diesem Kapitel die Voraussetzungen, Inhalte und Verfahren definiert. Zudem wird hier das Recht auf Beschwerde beim Bundesbeauftragten für den Datenschutz geregelt.
Kapitel 4: Pflichten der Verantwortlichen und Auftragsverarbeiter (§§ 62 – 77) Auftragsverarbeitung (§ 62)
Lässt der Verantwortliche personenbezogene Daten durch einen Dienstleister verarbeiten, bleibt er in der datenschutzrechtlichen Verantwortung. Insbesondere ist er in der Pflicht, dass die Betroffenenrechte erfüllt werden. Die Verarbeitung durch einen Auftragsverarbeiter darf nur auf der Grundlage eines Vertrags erfolgen, der festgelegte Inhalte aufweisen muss, zum Beispiel die strikte Bindung an dokumentierte Weisungen oder die Verpflichtung, alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen zurückzugeben, zu löschen und eventuelle Kopien zu vernichten.
Sicherheit der Datenverarbeitung (§ 64)