Das Bundesdatenschutzgesetz (BDSG) ist ein deutsches Bundesgesetz, das die unmittelbar geltende Datenschutz-Grundverordnung (DSGVO) in Deutschland ergänzt; seine Vorschriften finden keine Anwendung, soweit das Recht der Europäischen Union, im Besonderen die DSGVO, unmittelbar gilt.
Auf einen Blick
Die DSGVO gilt als europäische Verordnung unmittelbar; die Vorschriften des BDSG finden keine Anwendung, soweit das Recht der Europäischen Union, im Besonderen die DSGVO in der jeweils geltenden Fassung, unmittelbar gilt (§ 1 Abs. 5 BDSG).
Andere Rechtsvorschriften des Bundes über den Datenschutz gehen den Vorschriften des BDSG vor; regeln sie einen Sachverhalt, für den das BDSG gilt, nicht oder nicht abschließend, finden die Vorschriften des BDSG Anwendung (§ 1 Abs. 2 BDSG).
Für nichtöffentliche Stellen gilt nach § 38 Abs. 1 BDSG ergänzend zu Art. 37 Abs. 1 Buchstabe b und c DSGVO: Der Verantwortliche und der Auftragsverarbeiter benennen einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen; unter anderem bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung nach der DSGVO unterliegen, und bei geschäftsmäßiger Verarbeitung zum Zweck der Übermittlung gilt die Pflicht unabhängig von der Anzahl der beschäftigten Personen.
Was regelt das Bundesdatenschutzgesetz?
Die DSGVO wird in Deutschland durch das Bundesdatenschutzgesetz (BDSG) und die Landesdatenschutzgesetze ergänzt. Das aktuelle BDSG ist am 25. Mai 2018 in Kraft getreten und ersetzt das BDSG 1990. Andere Rechtsvorschriften des Bundes über den Datenschutz gehen den Vorschriften des BDSG vor; regeln sie einen Sachverhalt, für den das BDSG gilt, nicht oder nicht abschließend, finden die Vorschriften des BDSG Anwendung (§ 1 Abs. 2 BDSG).
Verarbeitet ein Versicherer personenbezogene Daten im Inland, ergänzt das BDSG die DSGVO, etwa mit den Fällen, in denen nach § 38 ein Datenschutzbeauftragter zu benennen ist; die Vorschriften des BDSG finden keine Anwendung, soweit das Recht der Europäischen Union, im Besonderen die DSGVO, unmittelbar gilt. Für nichtöffentliche Stellen gilt nach § 38 Abs. 1 BDSG ergänzend zu Art. 37 Abs. 1 Buchstabe b und c DSGVO: Der Verantwortliche und der Auftragsverarbeiter benennen einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen; unter anderem bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung nach der DSGVO unterliegen, und bei geschäftsmäßiger Verarbeitung zum Zweck der Übermittlung gilt die Pflicht unabhängig von der Anzahl der beschäftigten Personen.
Wie ergänzt das Bundesdatenschutzgesetz die DSGVO?
Die DSGVO lässt den Mitgliedstaaten Raum für spezifischere Vorschriften, etwa zur Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext nach Artikel 88 Absatz 1 DSGVO. § 26 BDSG regelt die Verarbeitung von Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses; nach dem BfDI müssen gemäß Art. 88 Abs. 2 DSGVO alle nationalen Vorschriften so ausgestaltet sein, dass die Grundrechte und Interessen der Betroffenen hinreichend geschützt sind. Zur Aufdeckung von Straftaten setzt § 26 BDSG unter anderem voraus, dass zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat.
Auch beim Datenschutzbeauftragten ergänzt das BDSG die DSGVO: Für nichtöffentliche Stellen nennt § 38 Abs. 1 BDSG eine Schwelle mit in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind; unter anderem bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung nach der DSGVO unterliegen, und bei geschäftsmäßiger Verarbeitung zum Zweck der Übermittlung gilt die Pflicht unabhängig von der Anzahl der beschäftigten Personen.
Bundesdatenschutzgesetz im Vergleich
| Kriterium | Bundesdatenschutzgesetz | DSGVO |
|---|---|---|
| Art des Rechtsakts | Deutsches Bundesgesetz, in Kraft getreten am 25.5.2018 (ersetzt das BDSG 1990) | Verordnung (EU) 2016/679 |
| Verhältnis zueinander | Ergänzt die unmittelbar geltende DSGVO in Deutschland; seine Vorschriften finden keine Anwendung, soweit das Recht der Europäischen Union, im Besonderen die DSGVO, unmittelbar gilt (§ 1 Abs. 5 BDSG) | Wird in Deutschland durch das BDSG und die Landesdatenschutzgesetze ergänzt |
| Datenschutzbeauftragter | § 38 Abs. 1 BDSG (nichtöffentliche Stellen): ergänzend zu Art. 37 Abs. 1 Buchstabe b und c DSGVO, soweit in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind; unter anderem bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung nach der DSGVO unterliegen, und bei geschäftsmäßiger Verarbeitung zum Zweck der Übermittlung unabhängig von dieser Anzahl | Art. 37 Abs. 1 DSGVO: Der Verantwortliche und der Auftragsverarbeiter benennen in den dort genannten Fällen auf jeden Fall einen Datenschutzbeauftragten; Art. 37 Abs. 4 DSGVO: In anderen als den in Absatz 1 genannten Fällen kann ein Datenschutzbeauftragter benannt werden; falls dies nach dem Recht der Union oder der Mitgliedstaaten vorgeschrieben ist, muss er benannt werden |
| Beschäftigtendaten | § 26 BDSG enthält Regeln zur Verarbeitung von Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses; nach dem BfDI müssen gemäß Art. 88 Abs. 2 DSGVO alle nationalen Vorschriften so ausgestaltet sein, dass die Grundrechte und Interessen der Betroffenen hinreichend geschützt sind | Art. 88 Abs. 1 DSGVO: Mitgliedstaaten können durch Rechtsvorschriften oder Kollektivvereinbarungen spezifischere Vorschriften zu Beschäftigtendaten im Beschäftigungskontext schaffen |
Wann gilt das Bundesdatenschutzgesetz neben der DSGVO?
| Prüfpunkt | Was das bedeutet |
|---|---|
| EU-Recht gilt unmittelbar | Die Vorschriften des BDSG finden keine Anwendung, soweit das Recht der Europäischen Union, im Besonderen die DSGVO, unmittelbar gilt (§ 1 Abs. 5 BDSG). |
| Anderes Bundesrecht zum Datenschutz | Andere Rechtsvorschriften des Bundes über den Datenschutz gehen den Vorschriften des BDSG vor; regeln sie einen Sachverhalt, für den das BDSG gilt, nicht oder nicht abschließend, finden die Vorschriften des BDSG Anwendung (§ 1 Abs. 2 BDSG). |
| Nichtöffentliche Stelle | Auf nichtöffentliche Stellen findet das BDSG nach § 1 Abs. 4 unter anderem Anwendung, sofern der Verantwortliche oder Auftragsverarbeiter personenbezogene Daten im Inland verarbeitet. |
| Datenschutzbeauftragter nach § 38 | Für nichtöffentliche Stellen gilt ergänzend zu Art. 37 Abs. 1 Buchstabe b und c DSGVO: Der Verantwortliche und der Auftragsverarbeiter benennen einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen; unter anderem bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung nach der DSGVO unterliegen, und bei geschäftsmäßiger Verarbeitung zum Zweck der Übermittlung gilt die Pflicht unabhängig von der Anzahl der beschäftigten Personen (§ 38 Abs. 1 BDSG). |
Beispiele aus der Praxis
- Ein Unternehmen prüft vor der Anwendung des BDSG, ob ein Fachgesetz des Bundes bereichsspezifische Regelungen zum Datenschutz enthält; nach dem BfDI kommen die Vorschriften des BDSG nur zur Anwendung, wenn sich dort keine oder keine abschließende Regelung findet (§ 1 Abs. 2 BDSG).
- Besteht im Beschäftigungsverhältnis der Verdacht einer Straftat, setzt die Verarbeitung von Beschäftigtendaten zu deren Aufdeckung nach § 26 BDSG unter anderem voraus, dass zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen.
- Ist ein Versicherer eine nichtöffentliche Stelle, die personenbezogene Daten im Inland verarbeitet und in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, benennt er ergänzend zu Art. 37 Abs. 1 Buchstabe b und c DSGVO nach § 38 Abs. 1 BDSG einen Datenschutzbeauftragten.
