BDSG Index und Kernregeln: Paragraphen, Praxis und Quellen

BDSG Index und Kernregeln: Paragraphen, Praxis und Quellen

Bundesdatenschutzgesetz (BDSG): Ein praxisorientierter Index

Inhaltsverzeichnis

Einleitung: Zweck und Anwendungsbereich dieses Index

Das Bundesdatenschutzgesetz (BDSG) ist die zentrale nationale Rechtsvorschrift für den Datenschutz in Deutschland. Es ergänzt und konkretisiert die europaweit geltende Datenschutz-Grundverordnung (DSGVO). Dieser Artikel dient als praxisorientierter Index und rechtliche Referenzübersicht. Er richtet sich an Datenschutzbeauftragte, Compliance-Abteilungen, Juristen, öffentliche Verwaltungen und Studierende, die einen schnellen und strukturierten Überblick über die Regelungen des BDSG benötigen. Das Ziel ist es, die komplexe Materie durch Kurzkommentare, Verweise und praktische Anwendungsfälle zugänglich zu machen.

Wie das BDSG mit der DSGVO zusammenwirkt – Kurzüberblick

Die Datenschutz-Grundverordnung (DSGVO) hat als europäische Verordnung einen direkten Anwendungsvorrang vor nationalem Recht. Sie überlässt den Mitgliedstaaten jedoch in bestimmten Bereichen Gestaltungsspielräume, sogenannte Öffnungsklauseln. Das Bundesdatenschutzgesetz füllt genau diese Klauseln für Deutschland aus. Es regelt spezifische Bereiche wie den Beschäftigtendatenschutz, die Videoüberwachung oder die Verarbeitung besonderer Kategorien personenbezogener Daten detaillierter.

Im Anwendungsbereich der DSGVO gilt daher stets: Zuerst sind die Regelungen der DSGVO zu prüfen. Anschließend ist zu klären, ob das BDSG eine speziellere oder ergänzende Vorschrift enthält. Das Verständnis dieses Zusammenspiels ist für die korrekte Rechtsanwendung unerlässlich.

Schnellzugriff: Wichtige Paragraphen auf einen Blick

Die folgende Tabelle bietet einen schnellen Zugriff auf die am häufigsten relevanten Paragraphen des Bundesdatenschutzgesetzes.

Paragraph Thema Praktische Relevanz
§ 4 BDSG Videoüberwachung öffentlich zugänglicher Räume Grundlage für die Zulässigkeit von Kameras in Eingangsbereichen, auf Parkplätzen oder in Verkaufsräumen.
§ 26 BDSG Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses Die zentrale Norm für den gesamten HR-Bereich, von der Bewerbung über die Vertragsdurchführung bis zur Beendigung.
§ 34 BDSG Beschränkung des Auskunftsrechts Regelt, unter welchen Umständen ein Verantwortlicher die Auskunft nach Art. 15 DSGVO verweigern darf (z.B. bei Geschäftsgeheimnissen).
§ 38 BDSG Benennung von Datenschutzbeauftragten Konkretisiert die Pflicht zur Benennung eines Datenschutzbeauftragten für nicht-öffentliche Stellen in Deutschland.
§ 42 BDSG Bußgeldvorschriften Definiert spezifische nationale Tatbestände, die zu Bußgeldern führen können, z.B. im Bereich der Verbraucherkredite.

Vollständiges Inhaltsverzeichnis des BDSG mit Erläuterungen

Das Bundesdatenschutzgesetz ist in vier Hauptteile gegliedert, die unterschiedliche Anwendungsbereiche abdecken.

Teil 1: Allgemeine Bestimmungen (§§ 1-21)

Dieser Teil legt den Anwendungsbereich des Gesetzes fest und definiert grundlegende Begriffe. Er enthält zudem Regelungen zu den Aufsichtsbehörden des Bundes und der Länder sowie zur Benennung von Datenschutzbeauftragten in öffentlichen Stellen.

  • § 1 Anwendungsbereich des Gesetzes und Begriffsbestimmungen: Klärt, wann das BDSG zusätzlich zur DSGVO anwendbar ist.
  • § 4 Videoüberwachung öffentlich zugänglicher Räume: Eine der wichtigsten nationalen Spezialregelungen.
  • § 5 Benennung von Datenschutzbeauftragten bei öffentlichen Stellen: Verpflichtet öffentliche Stellen zur Benennung eines DSB.

Teil 2: Durchführungsbestimmungen für Verarbeitungen zu Zwecken nach der DSGVO (§§ 22-84)

Dies ist der umfangreichste Teil des BDSG. Er enthält die Konkretisierungen und Ergänzungen zur DSGVO, die durch die Öffnungsklauseln ermöglicht werden.

  • Kapitel 1 (§§ 22-31): Rechtsgrundlagen der Verarbeitung personenbezogener Daten. Hier findet sich die zentrale Norm zum Beschäftigtendatenschutz (§ 26 BDSG).
  • Kapitel 2 (§§ 32-37): Rechte der betroffenen Person. Enthält wichtige Beschränkungen der Betroffenenrechte aus der DSGVO, z.B. das Auskunftsrecht (§ 34 BDSG).
  • Kapitel 3 (§§ 38-40): Pflichten der Verantwortlichen und Auftragsverarbeiter. Konkretisiert die Pflicht zur Benennung von Datenschutzbeauftragten für private Stellen (§ 38 BDSG).
  • Kapitel 4 (§§ 41-44): Sanktionen. Regelt Bußgelder und Strafvorschriften, die über die DSGVO hinausgehen oder diese präzisieren.
  • Kapitel 5 (§§ 45-84): Besondere Verarbeitungssituationen. Enthält Vorschriften für spezifische Kontexte wie journalistische Zwecke, Archivierung, wissenschaftliche Forschung und Regelungen für den öffentlichen Sektor.

Teil 3 und 4: Weitere Anwendungsbereiche

Teil 3 regelt die Datenverarbeitung durch deutsche Behörden außerhalb des Anwendungsbereichs des Unionsrechts (z.B. im Bereich der nationalen Sicherheit). Teil 4 setzt die EU-Richtlinie für den Bereich Justiz und Inneres (JI-Richtlinie) um und ist primär für Strafverfolgungsbehörden relevant.

Kernfelder: Verarbeitung von Beschäftigtendaten und besondere Regeln

Verarbeitung von Beschäftigtendaten nach § 26 BDSG

Der § 26 BDSG ist die maßgebliche Rechtsgrundlage für die Verarbeitung personenbezogener Daten von Beschäftigten in Deutschland. Er erlaubt die Verarbeitung, wenn sie für die Entscheidung über die Begründung, für die Durchführung oder die Beendigung eines Beschäftigungsverhältnisses erforderlich ist.

Wichtige Aspekte des § 26 BDSG:

  • Erforderlichkeitsprinzip: Die Datenerhebung muss für den Arbeitskontext zwingend notwendig sein. Eine reine Nützlichkeit genügt nicht.
  • Einwilligung: Eine Einwilligung von Beschäftigten ist nur unter strengen Voraussetzungen wirksam, da aufgrund des Macht Ungleichgewichts von einer fehlenden Freiwilligkeit ausgegangen werden kann. Sie muss schriftlich erfolgen und den Beschäftigten über den Zweck und sein Widerrufsrecht aufklären.
  • Kollektivvereinbarungen: Betriebs- und Dienstvereinbarungen können ebenfalls eine gültige Rechtsgrundlage für die Datenverarbeitung darstellen.
  • Aufdeckung von Straftaten: Die Verarbeitung zur Aufdeckung von Straftaten ist nur bei einem dokumentierten, begründeten Verdacht zulässig.

Videoüberwachung nach dem Bundesdatenschutzgesetz

Die Videoüberwachung öffentlich zugänglicher Räume durch nicht-öffentliche Stellen ist in § 4 BDSG geregelt. Sie ist nur zulässig, soweit sie zur Wahrnehmung des Hausrechts, zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke erforderlich ist und keine überwiegenden schutzwürdigen Interessen der betroffenen Personen entgegenstehen.

Voraussetzungen für eine rechtmäßige Videoüberwachung:

  • Zweckbindung: Der Zweck (z.B. Schutz vor Vandalismus) muss klar definiert sein.
  • Erforderlichkeit: Es darf kein milderes, gleich wirksames Mittel zur Zweckerreichung geben.
  • Interessenabwägung: Die Interessen des Betreibers müssen die schutzwürdigen Interessen der gefilmten Personen (z.B. Recht auf informationelle Selbstbestimmung) überwiegen.
  • Transparenz: Auf die Überwachung muss durch ein gut sichtbares Piktogramm und Informationsschild (gemäß Art. 13 DSGVO) frühzeitig hingewiesen werden.
  • Speicherdauer: Die Aufnahmen sind unverzüglich zu löschen, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind. In der Regel wird eine Speicherdauer von 72 Stunden als zulässig erachtet.

Rechte betroffener Personen: Vergleich BDSG und DSGVO

Das Bundesdatenschutzgesetz schränkt die in der DSGVO verankerten Rechte betroffener Personen in bestimmten Fällen ein. Dies ist relevant für die Beantwortung von Auskunftsersuchen oder Löschanfragen.

Recht nach DSGVO Einschränkung durch BDSG Begründung / Kontext
Auskunftsrecht (Art. 15 DSGVO) § 34 BDSG Das Recht entfällt, wenn die Auskunft Geschäftsgeheimnisse des Verantwortlichen oder Dritter gefährden würde oder die Daten nur wegen gesetzlicher Aufbewahrungspflichten gespeichert sind.
Recht auf Löschung (Art. 17 DSGVO) § 35 BDSG Eine sofortige Löschung kann durch eine Einschränkung der Verarbeitung ersetzt werden, wenn eine Löschung unmöglich oder nur mit unverhältnismäßigem Aufwand möglich wäre.
Informationspflicht (Art. 13/14 DSGVO) § 32, § 33 BDSG Die Pflicht zur Information entfällt u.a., wenn sie die Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche beeinträchtigen würde.

Pflichten von Verantwortlichen und Auftragsverarbeitern

Neben den umfassenden Pflichten aus der DSGVO (z.B. Führen eines Verzeichnisses von Verarbeitungstätigkeiten, Durchführung von Datenschutz-Folgenabschätzungen) präzisiert das BDSG einige Verantwortlichkeiten, insbesondere die zur Benennung eines Datenschutzbeauftragten (DSB).

Nach § 38 BDSG müssen nicht-öffentliche Stellen einen DSB benennen, wenn:

  • in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
  • Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen.
  • Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden.

Technische und organisatorische Maßnahmen (TOM)

Die Anforderungen an technische und organisatorische Maßnahmen (TOM) ergeben sich primär aus Art. 32 DSGVO. Das BDSG enthält keine abweichenden Kataloge, jedoch unterstreichen die deutschen Aufsichtsbehörden in ihrer Auslegungspraxis die Bedeutung eines risikobasierten Ansatzes. Eine Kernstrategie für 2025 und darüber hinaus ist die Implementierung von zertifizierten Datenschutzmanagementsystemen, um die Angemessenheit der Schutzmaßnahmen nachweisbar zu dokumentieren.

Praxisorientierte Hinweise:

  • Vertraulichkeit: Einsatz von Verschlüsselung, Zugriffskontrollen und Need-to-know-Prinzip.
  • Integrität: Maßnahmen zur Verhinderung unbemerkter Datenveränderungen (z.B. durch Hashwerte oder Versionierung).
  • Verfügbarkeit: Regelmäßige Backups, redundante Systemauslegung und Notfallpläne.
  • Belastbarkeit: Regelmäßige Sicherheitsüberprüfungen und Penetrationstests zur Sicherstellung der System Resilienz.

Dokumentation und Nachweispflichten

Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ist ein zentrales Prinzip. Das Bundesdatenschutzgesetz selbst fordert keine über die DSGVO hinausgehenden Dokumentationen, aber die deutschen Aufsichtsbehörden legen großen Wert auf eine lückenlose und plausible Nachweisführung. Das Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO ist hierbei das zentrale Instrument, um Transparenz über alle Datenverarbeitungsprozesse im Unternehmen zu schaffen und der Aufsichtsbehörde auf Verlangen vorlegen zu können.

Sanktionen, Bußgelder und Rechtsbehelfe

Verstöße gegen Datenschutzvorschriften können empfindliche Bußgelder nach sich ziehen. Die Höhe bemisst sich nach Art. 83 DSGVO und kann bis zu 20 Millionen Euro oder 4 % des weltweiten Vorjahresumsatzes betragen.

Das BDSG ergänzt diesen Rahmen:

  • § 42 BDSG listet spezifische Ordnungswidrigkeiten auf, die mit bis zu 50.000 Euro geahndet werden können, z.B. Verstöße bei der Verarbeitung für Verbraucherkredite oder die Behinderung der Arbeit von Aufsichtsbehörden.
  • § 43 BDSG regelt Bußgelder gegen Unternehmen und stellt klar, dass diese auch für Verstöße von Leitungspersonen haften.
  • § 44 BDSG sieht Strafvorschriften (Freiheitsstrafe oder Geldstrafe) für besonders schwere, wissentliche und kommerziell motivierte Datenschutzverstöße vor.

Praktische Fallbeispiele mit Paragraphen-Verweis

Fall 1: Bewerberdatenmanagement

Ein Unternehmen speichert die Unterlagen abgelehnter Bewerber für 12 Monate, um bei zukünftigen Vakanzen darauf zurückzugreifen. Ein Bewerber verlangt die sofortige Löschung. Lösung: Die Speicherung ist ohne Einwilligung des Bewerbers nach § 26 Abs. 1 BDSG nicht mehr erforderlich, sobald die Stelle besetzt ist. Eine längere Aufbewahrung (ca. 3-6 Monate zur Abwehr von AGG-Ansprüchen) kann gerechtfertigt sein, 12 Monate jedoch nicht. Das Unternehmen muss die Daten löschen.

Fall 2: Kamera am Firmeneingang

Ein Einzelhändler installiert eine Kamera, die den Eingangsbereich und Teile des öffentlichen Gehwegs erfasst, um Diebstähle aufzuklären. Lösung: Die Überwachung des eigenen Eingangsbereichs kann nach § 4 BDSG zur Wahrnehmung des Hausrechts zulässig sein. Die Erfassung des öffentlichen Gehwegs ist jedoch in der Regel unzulässig, da die Interessen der Passanten überwiegen. Die Kamera muss neu ausgerichtet werden.

Checklisten für Datenschutzbeauftragte und Entscheider

Für Datenschutzbeauftragte (DSB):

  • ✅ Ist das Verzeichnis von Verarbeitungstätigkeiten aktuell und vollständig?
  • ✅ Wurden für alle risikoreichen Verarbeitungen Datenschutz-Folgenabschätzungen durchgeführt?
  • ✅ Sind die Informationspflichten nach Art. 13/14 DSGVO in allen Prozessen (z.B. Webseiten-Formulare, Bewerbungsverfahren) umgesetzt?
  • ✅ Werden die Betroffenenrechte fristgerecht und vollständig bearbeitet?
  • ✅ Sind die technischen und organisatorischen Maßnahmen dokumentiert und auf ihre Wirksamkeit geprüft?

Für Entscheider und Management:

  • ✅ Ist die Rolle des Datenschutzbeauftragten mit den notwendigen Ressourcen (Zeit, Budget, Kompetenzen) ausgestattet?
  • ✅ Ist das Thema Datenschutz in die Risikomanagement-Strategien des Unternehmens integriert?
  • ✅ Besteht ein etablierter Prozess für die Meldung von Datenschutzverletzungen?
  • ✅ Werden Mitarbeitende regelmäßig zum Thema Datenschutz und Informationssicherheit geschult?
  • ✅ Sind die Verträge mit Auftragsverarbeitern (AVV) geprüft und aktuell?

Barrierefreie Darstellung und Downloadoptionen

Die Bereitstellung rechtlicher Informationen sollte barrierefrei erfolgen. Dieser Artikel ist zur besseren Lesbarkeit klar strukturiert. Verantwortliche Stellen sollten darauf achten, wichtige Dokumente wie Datenschutzinformationen in einem zugänglichen Format, beispielsweise als barrierefreies PDF, zur Verfügung zu stellen, um allen Personen einen gleichberechtigten Zugang zu ermöglichen.

Glossar zentraler Fachbegriffe

  • Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (z.B. Name, Adresse, IP-Adresse).
  • Verantwortlicher: Die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
  • Auftragsverarbeiter: Eine natürliche oder juristische Person, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
  • Betroffene Person: Die Person, deren Daten verarbeitet werden.
  • Verarbeitung: Jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder die Veränderung.

Amtliche Quellen und weiterführende Links

Anhang: Hinweise zu Beispielformularen

Musterformulare und Vorlagen, beispielsweise für ein Verzeichnis von Verarbeitungstätigkeiten, Verträge zur Auftragsverarbeitung oder Einwilligungen, werden häufig von den Landes- und Bundesdatenschutzaufsichtsbehörden sowie von Fachverbänden zur Verfügung gestellt. Es wird empfohlen, auf diese offiziellen und geprüften Quellen zurückzugreifen, um Rechtssicherheit zu gewährleisten.