Kurz gesagt: Die DSGVO ist eine EU-Verordnung und gilt seit dem 25. Mai 2018 unmittelbar in Deutschland. Das neue BDSG ergänzt sie nur dort, wo die DSGVO den Mitgliedstaaten Spielraum lässt, etwa beim Beschäftigtendatenschutz, beim Datenschutzbeauftragten und bei den Strafvorschriften.
Viele Prüfungsfragen zum Datenschutz drehen sich darum, welches Gesetz eigentlich gilt. Ältere Lernunterlagen arbeiten noch mit dem Bundesdatenschutzgesetz in der Fassung vor 2018 und mit Begriffen wie Datei oder Datengeheimnis. Das ist überholt. Seit dem 25. Mai 2018 stehen die Grundregeln in der Datenschutz-Grundverordnung (DSGVO). Das deutsche Bundesdatenschutzgesetz (BDSG) wurde zum selben Tag komplett neu gefasst und hat seitdem eine andere Aufgabe. Wenn du dieses Zusammenspiel verstehst, findest du dich in jeder Datenschutzfrage schneller zurecht.
Die DSGVO: EU-Recht, das direkt gilt
Die DSGVO ist die Verordnung (EU) 2016/679. Sie ist 2016 in Kraft getreten und gilt seit dem 25. Mai 2018. Entscheidend ist die Rechtsform: Eine EU-Verordnung gilt in allen Mitgliedstaaten unmittelbar, ohne dass ein nationales Gesetz sie umsetzen muss. Das unterscheidet sie von einer EU-Richtlinie, die erst durch nationale Gesetze wirksam wird. Vor 2018 war der Datenschutz in der EU über eine Richtlinie aus dem Jahr 1995 geregelt, deshalb sah er in jedem Land etwas anders aus.
Die DSGVO hat 99 Artikel. Davor stehen 173 Erwägungsgründe. Das sind keine Rechtsnormen, sie erklären aber, wie die Artikel gemeint sind. In Prüfung und Praxis brauchst du vor allem diese Artikel:
- Art. 4: Begriffsbestimmungen, zum Beispiel personenbezogene Daten, Verarbeitung, Verantwortlicher
- Art. 5: Grundsätze der Verarbeitung
- Art. 6: Rechtsgrundlagen
- Art. 9: besondere Kategorien personenbezogener Daten
- Art. 12 bis 22: Rechte der betroffenen Personen
- Art. 28: Auftragsverarbeitung
- Art. 33 und 34: Meldung von Datenpannen
- Art. 83: Geldbußen
Das BDSG: Ergänzung, nicht Konkurrenz
Wenn EU-Recht unmittelbar gilt, hat es Vorrang vor deutschem Recht. Das BDSG sagt das in Paragraf 1 Absatz 5 selbst: Es findet keine Anwendung, soweit die DSGVO unmittelbar gilt. Das BDSG darf also nichts regeln, was der DSGVO widerspricht.
Warum gibt es das BDSG dann noch? Weil die DSGVO an vielen Stellen sogenannte Öffnungsklauseln enthält. Damit erlaubt sie den Mitgliedstaaten, bestimmte Fragen selbst genauer zu regeln. Deutschland hat das unter anderem so genutzt:
- Beschäftigtendatenschutz: Paragraf 26 BDSG regelt die Verarbeitung von Daten der Beschäftigten, auf Grundlage von Art. 88 DSGVO.
- Datenschutzbeauftragter: Paragraf 38 BDSG bestimmt, wann private Unternehmen über die DSGVO hinaus einen Datenschutzbeauftragten benennen müssen.
- Besondere Kategorien: Paragraf 22 BDSG nennt zusätzliche Fälle, in denen etwa Gesundheitsdaten verarbeitet werden dürfen.
- Zweckänderung: Paragraf 24 BDSG erlaubt privaten Stellen die Weiterverarbeitung zu einem anderen Zweck, etwa zur Verfolgung von Straftaten.
- Strafvorschriften: Paragraf 42 BDSG stellt bestimmte schwere Verstöße unter Strafe. Die Geldbußen stehen dagegen direkt in Art. 83 DSGVO.
Der Aufbau des BDSG
Das BDSG hat vier Teile. Teil 1 enthält gemeinsame Regeln, etwa zur Videoüberwachung öffentlich zugänglicher Räume (Paragraf 4) und zu den Aufsichtsbehörden. Teil 2 ergänzt die DSGVO und ist für private Sicherheitsdienste der wichtigste Teil. Teil 3 setzt eine eigene EU-Richtlinie für Polizei und Justiz um, also für Behörden, die Straftaten verfolgen oder Gefahren abwehren. Teil 4 betrifft Bereiche außerhalb des EU-Rechts. Teil 3 gilt für dich als Wachperson nicht, auch wenn du mit der Polizei zusammenarbeitest.
Ein Beispiel für Grenzen des BDSG
Wie weit das BDSG neben der DSGVO wirken kann, ist nicht immer klar. Ein Beispiel ist Paragraf 4 BDSG zur Videoüberwachung öffentlich zugänglicher Räume: Das Bundesverwaltungsgericht hat 2019 im Fall einer Zahnarztpraxis entschieden, dass sich private Betreiber nicht auf diese Vorschrift stützen können, sondern nach Art. 6 Abs. 1 Buchstabe f DSGVO zu beurteilen sind. Auch bei Paragraf 26 BDSG gibt es seit einem Urteil des Europäischen Gerichtshofs von 2023 Zweifel, ob die allgemeine Erlaubnis in Absatz 1 Satz 1 mit der DSGVO vereinbar ist. Nach verbreiteter Ansicht ist sie nicht mehr anwendbar, Arbeitgeber stützen sich dann direkt auf Art. 6 DSGVO. Ein eigenes Beschäftigtendatenschutzgesetz ist geplant, aber nicht beschlossen. Für die Prüfung reicht die Regel: Wenn DSGVO und BDSG sich widersprechen, gewinnt die DSGVO.
Welches Gesetz prüfst du zuerst?
- DSGVO: Fällt die Verarbeitung überhaupt in ihren Anwendungsbereich? Welche Rechtsgrundlage nach Art. 6 kommt in Betracht?
- Spezialgesetz: Gibt es eine besondere Vorschrift für diesen Bereich? Nach Paragraf 1 Absatz 2 BDSG gehen speziellere Bundesgesetze dem BDSG vor. Für das Bewachungsgewerbe regeln etwa die Gewerbeordnung und die Bewachungsverordnung, welche Daten ins Bewacherregister gemeldet und welche Unterlagen aufbewahrt werden.
- BDSG: Ergänzt es die DSGVO für diesen Fall, zum Beispiel bei Beschäftigtendaten?
Für Landesbehörden gelten zusätzlich die Datenschutzgesetze der Länder. Für einen privaten Sicherheitsdienst sind sie nicht maßgeblich. Die Aufsicht über private Unternehmen führt aber die Datenschutzbehörde des Landes, in dem das Unternehmen sitzt.
Ein Fall aus dem Dienst
Dein Objektleiter will an der Pforte eines Logistikzentrums eine neue Besucherliste einführen. Ein Kollege meint: Das sei kein Problem, die DSGVO gelte für deutsche Firmen sowieso nur, wenn sie Daten ins Ausland schicken. Hier gelte nur das BDSG.
Das ist falsch. Die DSGVO gilt für jede Verarbeitung durch ein Unternehmen in der EU, auch wenn die Daten nie das Gelände verlassen. Ob die Besucherliste erlaubt ist, richtet sich nach den Rechtsgrundlagen in Art. 6 DSGVO, hier in der Regel nach dem berechtigten Interesse des Auftraggebers an der Kontrolle, wer sich auf dem Gelände aufhält. Das BDSG wird erst wichtig, wenn es um die Daten der eigenen Beschäftigten geht, etwa wenn die Liste auch die Dienstzeiten der Wachleute festhalten soll.
Typische Prüfungsfallen
- Die DSGVO ist eine Verordnung, keine Richtlinie. Sie braucht kein Umsetzungsgesetz.
- Bei einem Widerspruch geht die DSGVO dem BDSG vor, nicht umgekehrt.
- Das BDSG in der Fassung vor 2018 ist außer Kraft. Begriffe daraus sind nur noch historisch.
- Geldbußen stehen in Art. 83 DSGVO, Straftaten in Paragraf 42 BDSG.
- Teil 3 des BDSG betrifft Polizei und Justiz. Er gibt Wachpersonen keine zusätzlichen Befugnisse.
Teste dich: Übungsfragen zu diesem Thema
Wie in der IHK-Prüfung können eine oder zwei Antworten richtig sein. Kreuze an und prüfe dann.
Seit wann gilt die DSGVO in Deutschland unmittelbar?
Was gilt, wenn eine Vorschrift des BDSG der DSGVO widerspricht?
Welche Themen regelt das BDSG ergänzend zur DSGVO?
Was ist eine Öffnungsklausel?
Für wen gilt Teil 3 des BDSG?
Ein Kollege sagt, für ein deutsches Bewachungsunternehmen gelte nur das BDSG, solange keine Daten ins Ausland gehen. Was stimmt?
Mehr Fragen aus diesem Sachgebiet gibt es in der Prüfungssimulation und gesammelt auf der Seite Prüfungsfragen Datenschutzrecht.
§1 BDSG im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.