Bei BDSG DSGVO gilt: Die Datenschutz-Grundverordnung (DSGVO) gilt unmittelbar in der gesamten EU und hat Vorrang. Das Bundesdatenschutzgesetz (BDSG) ergänzt sie in Deutschland dort, wo die DSGVO den Mitgliedstaaten Spielraum lässt, zum Beispiel beim Beschäftigtendatenschutz, bei der Videoüberwachung und bei der Pflicht zum Datenschutzbeauftragten. Unternehmen mit Sitz in Deutschland müssen deshalb immer beide Regelwerke zusammen beachten. Dieser Beitrag ersetzt keine Rechtsberatung.
Das Wichtigste in Kürze
- Die DSGVO ist EU-weit verbindlich, das BDSG enthält nationale Ergänzungen für Deutschland.
- Bei einem Widerspruch zwischen beiden Gesetzen setzt sich die DSGVO durch, das BDSG darf sie nur im Rahmen von Öffnungsklauseln konkretisieren.
- Das BDSG enthält unter anderem Regeln zu Beschäftigtendaten, Videoüberwachung, Scoring und zur Benennung eines Datenschutzbeauftragten.
- Das BDSG gilt für Unternehmen jeder Größe, auch für kleine und mittlere Betriebe.
- Wer nur die DSGVO liest, übersieht deutsche Sonderregeln, besonders im Personalbereich.
Was ist der Unterschied zwischen DSGVO und BDSG?
Die DSGVO ist eine EU-Verordnung. Sie gilt seit dem 25. Mai 2018 unmittelbar in allen Mitgliedstaaten und muss nicht erst in nationales Recht umgesetzt werden. Sie legt die Grundregeln fest: Grundsätze der Verarbeitung, Rechtsgrundlagen, Betroffenenrechte, Pflichten der Verantwortlichen und Bußgelder.
Das BDSG ist ein deutsches Gesetz. Es regelt Fragen, die die DSGVO bewusst den Mitgliedstaaten überlässt, und schafft Verfahrensregeln für Deutschland. Es gilt für öffentliche und für private Stellen. Die wichtigsten Unterschiede im Überblick:
| Thema | DSGVO | BDSG |
|---|---|---|
| Geltung | Unmittelbar in allen EU-Staaten | Nur in Deutschland, ergänzend zur DSGVO |
| Beschäftigtendaten | Öffnungsklausel in Art. 88 DSGVO, kaum Details | § 26 BDSG mit Regeln zur Datenverarbeitung im Beschäftigungsverhältnis |
| Videoüberwachung | Allgemeine Rechtsgrundlagen, vor allem Art. 6 DSGVO | § 4 BDSG für öffentlich zugängliche Räume |
| Datenschutzbeauftragter | Art. 37 DSGVO nennt die Fälle allgemein | § 38 BDSG nennt eine Personengrenze für Unternehmen |
| Besondere Datenkategorien | Art. 9 DSGVO | § 22 BDSG mit ergänzenden Ausnahmen, etwa für Gesundheitsdaten |
| Scoring und Bonitätsauskünfte | Art. 22 DSGVO zu automatisierten Entscheidungen | § 31 BDSG mit Zusatzanforderungen |
| Sanktionen | Bußgelder bis 20 Mio. Euro oder 4 Prozent des weltweiten Jahresumsatzes (Art. 83) | Straf- und Bußgeldvorschriften in §§ 42 und 43 BDSG |
Welches Gesetz hat Vorrang, die DSGVO oder das BDSG?
Die DSGVO hat Anwendungsvorrang. Wo sie eine Frage abschließend regelt, etwa bei den Rechtsgrundlagen in Art. 6 oder bei den Betroffenenrechten in Art. 15 bis 22, kann das BDSG nichts Abweichendes bestimmen. Eine nationale Regel, die der DSGVO widerspricht, darf nicht angewendet werden.
Das BDSG darf nur dort ergänzen, wo die DSGVO Öffnungsklauseln enthält. Das sind Stellen, an denen die Verordnung den Mitgliedstaaten ausdrücklich Raum lässt. Ein bekanntes Beispiel ist Art. 88 DSGVO zum Datenschutz im Beschäftigungsverhältnis. Das Verhältnis lässt sich also so beschreiben: Die DSGVO setzt den Rahmen, das BDSG füllt ihn an einzelnen Stellen aus.
Für die Praxis heißt das: Prüfen Sie zuerst die DSGVO. Fragen Sie danach, ob das BDSG für Ihren Fall eine Ergänzung enthält. Im Streitfall wird geklärt, ob die nationale Regel von einer Öffnungsklausel gedeckt ist.
Was regelt das BDSG zusätzlich zur DSGVO?
Für kleine und mittlere Unternehmen sind vor allem diese Bereiche relevant.
Beschäftigtendatenschutz
§ 26 BDSG betrifft die Verarbeitung von Daten im Beschäftigungsverhältnis, also von der Bewerbung bis zur Beendigung. Arbeitgeber dürfen nur Daten verarbeiten, die für die Entscheidung über die Begründung, die Durchführung oder die Beendigung des Arbeitsverhältnisses erforderlich sind. Eine Einwilligung ist im Arbeitsverhältnis nur eingeschränkt tragfähig, weil Beschäftigte sich oft nicht frei entscheiden können. Die genaue Reichweite von § 26 BDSG ist nach der europäischen Rechtsprechung umstritten. Prüfen Sie deshalb im Zweifel zusätzlich die Rechtsgrundlagen in Art. 6 DSGVO.
Videoüberwachung
§ 4 BDSG betrifft die Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen, etwa Eingangsbereiche, Verkaufsräume oder Kassenzonen. Die Überwachung muss für ein konkretes Ziel erforderlich sein, zum Beispiel zur Wahrnehmung des Hausrechts, und darf keine überwiegenden Interessen der gefilmten Personen verletzen. Auf die Überwachung muss deutlich hingewiesen werden, und gespeicherte Aufnahmen sind zu löschen, sobald sie nicht mehr erforderlich sind. Ob § 4 BDSG für private Unternehmen anwendbar ist, wird fachlich unterschiedlich beurteilt. In der Praxis prüfen Sie die Kamera deshalb sicherheitshalber auch nach Art. 6 Abs. 1 lit. f DSGVO mit einer dokumentierten Interessenabwägung.
Datenschutzbeauftragter
Die DSGVO verlangt in Art. 37 einen Datenschutzbeauftragten nur in bestimmten Fällen. Das BDSG ergänzt in § 38, dass nichtöffentliche Stellen einen Datenschutzbeauftragten benennen müssen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Unabhängig von dieser Grenze gilt die Pflicht, wenn eine Datenschutz-Folgenabschätzung nötig ist oder Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden.
Besondere Datenkategorien, Scoring und Sanktionen
§ 22 BDSG ergänzt Art. 9 DSGVO und enthält Ausnahmen für die Verarbeitung besonders geschützter Daten, etwa Gesundheitsdaten. § 31 BDSG stellt zusätzliche Anforderungen an Scoring und Bonitätsauskünfte. Die §§ 42 und 43 BDSG enthalten ergänzende Straf- und Bußgeldvorschriften, während der Bußgeldrahmen der DSGVO bei bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes liegt.
Wie ist das BDSG aufgebaut und woher kommt es?
Das erste Bundesdatenschutzgesetz trat 1977 in Kraft und war eines der frühen umfassenden Datenschutzgesetze. Es wurde mehrfach reformiert. Mit Wirkung zum 25. Mai 2018 wurde es an die DSGVO angepasst. Diese Fassung wird häufig als BDSG-neu bezeichnet. In Gesetzestexten und Behördenschreiben steht heute einfach BDSG, gemeint ist die aktuelle Fassung.
Das BDSG besteht aus vier Teilen:
- gemeinsame Bestimmungen, etwa zu Begriffen, Videoüberwachung und Datenschutzbeauftragten,
- Bestimmungen zur Durchführung der DSGVO, darunter Beschäftigtendaten und Betroffenenrechte,
- Bestimmungen für Verarbeitungen zu Zwecken von Polizei und Justiz,
- besondere Bestimmungen für weitere Verarbeitungen.
Für Unternehmen sind meist der erste und der zweite Teil relevant. Die Teile für Polizei und Justiz betreffen sie in der Regel nicht.
Gilt das BDSG auch für kleine Unternehmen?
Ja. Das BDSG gilt für alle Unternehmen, die in Deutschland personenbezogene Daten verarbeiten, unabhängig von ihrer Größe. Kleine Betriebe sind aber oft von einzelnen Pflichten nicht betroffen. Ein Beispiel ist die Benennungspflicht für einen Datenschutzbeauftragten, die an die Zahl der mit Datenverarbeitung beschäftigten Personen anknüpft. Die DSGVO selbst gilt dagegen immer, die Pflichten zu Verzeichnis, Information und Betroffenenrechten müssen auch Kleinbetriebe erfüllen. Einen Einstieg für kleinere Betriebe finden Sie in unserem Beitrag zur Umsetzung des Datenschutzes im Unternehmen. Wie Sie die Rechte der betroffenen Personen praktisch erfüllen, erklärt unser Beitrag zu den Betroffenenrechten nach der DSGVO.
Wie setzen Sie DSGVO und BDSG im Mittelstand praktisch um?
Diese Schritte haben sich für kleine und mittlere Unternehmen bewährt:
- Verarbeitungen erfassen. Listen Sie auf, welche Daten Sie zu welchem Zweck verarbeiten: Personal, Kunden, Lieferanten, Website, Kameras.
- Personalbereich gesondert prüfen. Bewerbungen, Personalakten, Zeiterfassung und Zugriff auf Mitarbeiter-E-Mails brauchen eine saubere Rechtsgrundlage und klare Regeln. Eine Einsicht in dienstliche Postfächer ist nur unter engen Voraussetzungen zulässig.
- Kameras bewerten. Dokumentieren Sie Zweck, Erforderlichkeit und Speicherdauer. Bringen Sie gut sichtbare Hinweisschilder an.
- Datenschutzbeauftragten klären. Prüfen Sie die Benennungspflicht. Wenn Sie einen Datenschutzbeauftragten benennen, veröffentlichen Sie seine Kontaktdaten und teilen Sie sie der Aufsichtsbehörde mit. Ein interner oder ein externer Datenschutzbeauftragter ist möglich. Er sollte unabhängig arbeiten können und früh in Entscheidungen eingebunden werden. Fehlt eine Pflichtbenennung, kann das als Ordnungswidrigkeit geahndet werden.
- Betriebsvereinbarungen anpassen. Wenn Sie einen Betriebsrat haben, prüfen Sie bestehende Vereinbarungen zu Zeiterfassung, Kameras und IT-Nutzung.
- Maßnahmen und Schulung festhalten. Legen Sie technische und organisatorische Maßnahmen fest, schulen Sie Mitarbeitende und dokumentieren Sie beides.
Unsere Einschätzung aus der Praxis
In kleinen und mittleren Unternehmen scheitert es selten am Gesetzestext, sondern daran, dass nur die DSGVO betrachtet wird. Der Personalbereich fällt dann durch: Mitarbeiter-E-Mails werden ohne Regeln eingesehen, Kameras hängen ohne Dokumentation und Hinweisschilder, Einwilligungen von Beschäftigten werden pauschal eingeholt. Auch die Frage nach dem Datenschutzbeauftragten wird oft erst gestellt, wenn die Aufsichtsbehörde nachfragt. Beginnen Sie mit zwei Dingen: einer Übersicht aller Verarbeitungen und einer Prüfung der Bereiche Personal und Kameras. Das deckt erfahrungsgemäß die größten Lücken ab. Alles Weitere lässt sich danach in Ruhe ordnen.
Häufige Fragen
Kann das BDSG die DSGVO ersetzen oder aushebeln?
Nein. Die DSGVO hat Vorrang. Das BDSG darf nur dort ergänzen, wo die DSGVO den Mitgliedstaaten Spielraum lässt, etwa nach Art. 88 DSGVO beim Beschäftigtendatenschutz.
Was bedeutet BDSG-neu?
Mit BDSG-neu ist die Fassung des Bundesdatenschutzgesetzes gemeint, die zum 25. Mai 2018 an die DSGVO angepasst wurde. Im Gesetzestext und im Alltag heißt es heute einfach BDSG.
Gilt das BDSG auch für kleine Firmen?
Ja. Alle Unternehmen, die in Deutschland personenbezogene Daten verarbeiten, müssen das BDSG zusätzlich zur DSGVO beachten. Einzelne Pflichten, etwa die Benennung eines Datenschutzbeauftragten, hängen von der Größe und Tätigkeit ab.
Ab wann brauche ich einen Datenschutzbeauftragten?
Nach § 38 BDSG müssen nichtöffentliche Stellen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Datenverarbeitung beschäftigt sind. Unabhängig davon gilt die Pflicht etwa bei Verarbeitungen, die eine Datenschutz-Folgenabschätzung erfordern.
Welche Bußgelder drohen bei Verstößen?
Die DSGVO sieht Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor. Das BDSG ergänzt Straf- und Bußgeldvorschriften. Die Höhe im Einzelfall hängt von der Schwere des Verstoßes ab.
Als nächsten Schritt empfehlen wir, die Bereiche Personal und Videoüberwachung zuerst zu prüfen und die Ergebnisse schriftlich festzuhalten. Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung im Einzelfall. Fragen zur Umsetzung in Ihrem Unternehmen beantworten wir gern: Nehmen Sie Kontakt auf.
