Bundesdatenschutzgesetz

Das deutsche Bundesdatenschutzgesetz (BDSG) regelt zusammen mit den Datenschutzgesetzen der Bundesländer und anderen bereichsspezifischeren Regelungen den Umgang mit personenbezogenen Daten, die in IT-Systemen oder manuell verarbeitet werden (siehe auch: Datenschutz).

Basisdaten		bgcolor="#F7F8FF"	Titel:	Bundesdatenschutzgesetz	bgcolor="#F7F8FF"	Abkürzung:	BDSG	bgcolor="#F7F8FF"	Art:	Bundesgesetz	bgcolor="#F7F8FF"	Geltungsbereich:	Bundesrepublik Deutschland	bgcolor="#F7F8FF"	Rechtsmaterie:	Verwaltungsrecht	bgcolor="#F7F8FF"	FNA:	204-3	bgcolor="#F7F8FF"	Ursprüngliche Fassung vom:	27. Januar 1977 (BGBl. I S. 201)	bgcolor="#F7F8FF"	In Kraft getreten am:	1. Januar 1978	bgcolor="#F7F8FF"	Neubekanntmachung vom:	14. Januar 2003 (BGBl. I S. 66)	bgcolor="#F7F8FF"	Letzte Änderung durch:	§ 13 IFG vom 5. September 2005 (BGBl. I S. 2722)
Inkrafttreten der letzten Änderung: ¹⁾	1. Januar 2006 (§ 15 G vom 5. September 2005)
¹⁾ Bitte beachten Sie den Hinweis zur geltenden Gesetzesfassung!

Geschichtliche Entwicklung

Vereinzelt gab es schon seit langem Bestimmungen, die dem Schutz der Privatsphäre dienten (Beichtgeheimnis, ärztliche Schweigepflicht, Steuergeheimnis, Postgeheimnis). Überlegungen zu einem umfassenden Datenschutz nahmen in den 1960er Jahren in den USA ihren Anfang und gingen einher mit der Entwicklung der Computertechnologie und den damit verbundenen Gefahren für die Privatsphäre (privacy).

In Deutschland eröffnete Hessen 1970 mit dem ersten Datenschutzgesetz der Welt den Reigen der Datenschutzgesetzgebung. Nach dem Volkszählungsurteil des Bundesverfassungsgerichts 1983 war klar, dass die bisherigen Datenschutzgesetze nicht den verfassungsrechtlichen Anforderungen genügten. Diese mussten innerhalb eines angemessenen Zeitraumes novelliert werden. 1986 verabschiedete Hessen als erstes Bundesland ein neues Datenschutzgesetz, 1990 war auch der Bund so weit.

Eine ausdrückliche Kompetenz des Bundes zur umfassenden Regelung des Datenschutzes enthält das Grundgesetz nicht. Die Regelungskompetenz für ein Bundesdatenschutzgesetz ergibt sich aus dem Rückgriff auf die Gesetzgebungszuständigkeiten für verschiedene Bereiche, die für den Datenschutz von Bedeutung sind. Für den Datenschutz im Anwendungsbereich der öffentlichen Verwaltung ist dies die Gesetzgebung für das Verwaltungsverfahren (Art. 70 ff. i. V. m. Art. 84 Abs. 1, 85 Abs. 1 und 86 GG). Die Datenverarbeitung wird als Arbeits- und Organisationsmittel eingesetzt und ist damit dem Bereich des Verwaltungsverfahrens zuzuordnen. Bundesrechtliche Datenschutzbestimmungen können daher für die Verwaltungstätigkeit des Bundes sowie für die der Länder, Gemeinden und Gemeindeverbände erlassen werden, soweit diese Bundesrecht ausführen; im Bereich der landeseigenen Ausführung von Bundesrecht bedarf es hierzu der Zustimmung des Bundesrates. Für die gesetzliche Regelung des Schutzes der Privatsphäre im nicht-öffentlichen Bereichen beruht die Gesetzgebungskompetenz des Bundes auf der jeweiligen Sachkompetenz, also auf seiner im GG festgelegten Zuständigkeit u. a. für die Gesetzgebung auf dem Gebiet des Wirtschafts-, Arbeits-, Zivil-, Straf- und Prozessrechts.

Überblick über das BDSG

Das BDSG besteht aus sechs Abschnitten:

Im ersten Abschnitt (§§ 1-11) werden allgemeine und gemeinsame Bestimmungen erläutert,
im zweiten Abschnitt (§§ 12-26) die Datenverarbeitung für öffentliche Stellen und
im dritten Abschnitt (§§ 27-38a) für private Stellen geregelt.
Der vierte Abschnitt (§§ 39-42) enthält Sondervorschriften,
im fünften Abschnitt (§§ 43-44) werden Straf- und Bußgeldvorschriften und
im sechsten Abschnitt (§§ 45-46) Übergangsvorschriften genannt.

Allgemeine und gemeinsame Bestimmungen

§ 1 Absatz 1 BDSG sagt:

Zweck dieses Gesetzes ist es, den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird.

Grundsätze

Ein wesentlicher Grundsatz des Gesetzes ist das so genannte Verbotsprinzip mit Erlaubnisvorbehalt. Dieses besagt, dass die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten im Prinzip verboten ist. Sie ist nur dann erlaubt, wenn entweder eine klare Rechtsgrundlage gegeben ist (das heißt, das Gesetz erlaubt die Datenverarbeitung in diesem Fall) oder wenn die betroffene Person ausdrücklich (meist schriftlich) ihre Zustimmung zur Erhebung, Verarbeitung und Nutzung gegeben hat. Die angewendeten Verfahren mit automatisierter Verarbeitung sind vom (behördlichen oder betrieblichen) Datenschutzbeauftragten zu prüfen, oder (wenn ein solcher nicht vorhanden ist) beim zuständigen Landesdatenschutzbeauftragten anzeigepflichtig.

Ebenfalls gilt der in § 3a definierte Grundsatz der Datenvermeidung und Datensparsamkeit: So sollen sich alle Datenverarbeitungssysteme an dem Ziel ausrichten, keine oder so wenig personenbezogene Daten wie möglich zu verwenden und insbesondere von den Möglichkeiten der Anonymisierung und Pseudonymisierung Gebrauch zu machen.

Geschützte Daten

Geregelt wird der Umgang mit personenbezogener Daten. Daten sind personenbezogen, wenn sie persönliche oder sachliche Verhältnisse einer natürlichen Person beschreiben. Dazu genügt es, wenn die Person nicht namentlich benannt wird, aber bestimmbar ist (beispielsweise: Telefonnummer, E-Mail-Adresse, IP-Adresse beim Surfen, Personalnummer).

Im Gegensatz dazu stehen anonyme Daten, bei denen die Person unbekannt (also unbestimmbar) ist. Pseudonyme Daten, bei denen der Name durch einen Decknamen ersetzt wird, fallen jedoch wieder unter den Geltungsbereich des BDSG, weil es sich dabei um Angaben bestimmbarer Personen handelt. Da es aber aufwändiger ist, vom Pseudonym auf den Inhaber zu schliessen, ist das informationelle Selbstbestimmungsrecht hiermit besser geschützt, als mit z.B. Namen.

Nicht in den Geltungsbereich des BDSG fallen Daten über juristische Personen (GmbHs, AGs usw.).

Besonders geschützt werden so genannte sensible Daten gemäß § 3 Abs. 9 BDSG, nämlich Daten über rassische und ethnische Herkunft, die politische Meinung, religiöse oder philosophische Überzeugungen, die Gewerkschaftszugehörigkeit, die Gesundheit und das Sexualleben.

Bei diesen Daten ist das Verbotsprinzip mit Erlaubnisvorbehalt durch einen Ausnahmekatalog noch enger definiert und eine ausdrückliche Einwilligung des Betroffenen notwendig.

Sachlicher Anwendungsbereich

Das BDSG regelt folgende Tätigkeiten: Die Datenerhebung, die Datenverarbeitung und die Datennutzung. Zur Verarbeitung gehört dabei das Speichern, Verändern, Übermitteln, Sperren und Löschen der Daten. Auch wird im BDSG geregelt, welche Rechte und Pflichten die Aufsichtsbehörden für den Datenschutz haben.

Räumlicher Anwendungsbereich

Bei einem Sitz der verantwortlichen Stelle im EG/EWR-Ausland gilt grundsätzlich das Sitzprinzip, d.h. der Sitz der verantwortlichen Stelle ist maßgeblich für das nationale Recht. Eine Firma mit Sitz in Frankreich beispielsweise kann ihr französisches Recht bei der Datenverarbeitung in Deutschland exportieren.

Falls die Stelle jedoch eine Niederlassung in Deutschland hat, gilt grundsätzlich das Territorialprinzip, d. h. es gilt das deutsche BDSG. Dies gilt ebenso für Stellen, die einen Sitz in einem Nicht-EG-EWR-Staat haben.

Normadressaten

Im BDSG wird unterschieden zwischen Datenschutz von staatlichen ("öffentlichen") und von privaten ("nicht-öffentlichen") Stellen. Öffentlich-rechtliche Wettbewerbsunternehmen, die im Wettbewerb zu privaten Unternehmen stehen (z.B. die Deutsche Bahn), werden wie private Stellen behandelt.

Datenverarbeitung der privaten Stellen

Jede private Stelle (z. B. Unternehmen), in der fünf oder mehr Arbeitnehmer mit der Bearbeitung personenbezogener Daten beschäftigt sind, benötigt einen Datenschutzbeauftragten (kurz DSB).

Entgegen einer verbreiteten Auffassung galt die vielzitierte Schonfrist (§ 45 BDSG) nicht für die Bestellung eines Datenschutzbeauftragten. Vielmehr versuchten Anbieter mit Auflauf der Schonfrist am 23. Mai 2004 diesen Termin zu nutzen um das Thema Datenschutzbeauftragter wieder ins Gespräch zu bringen. § 45 BDSG spricht nur von bereits existenter (E)DV.

Die Pflichten der verarbeitenden (verantwortlichen!) Stelle fallen immer der Geschäftsführung zu. Unabhängig von der Bestellung eines Datenschutzbeauftragten umfassen sie unter anderem:

Gewährung der Betroffenenrechte (Benachrichtigung, Auskunft, Korrektur, Sperrung, Löschung),
transparente und dokumentierte EDV (Verfahrensverzeichnis),
Schutz der EDV und der Daten im Sinne der IT-Sicherheit,
Nachvollziehbarkeit von Zugriffen, Änderungen und Weitergaben an Dritte.

Rechte der Betroffenen

Betroffene (natürliche Personen, über die Daten bei öffentlichen oder nicht-öffentlichen Stellen gespeichert sind), haben nach dem Bundesdatenschutzgesetz folgende unabdingbare Rechte:

Auskunft darüber, ob und welche personenbezogenen Daten über sie gespeichert sind
Auskunft darüber, aus welchen Quellen diese Daten stammen und zu welchem Verwendungszweck sie gespeichert werden
Berichtigung von falschen personenbezogenen Daten
Übermittlung persönlicher Daten an Dritte zu untersagen
Löschung seiner Daten
Sperrung seiner Datensätze
Beschwerderecht bei der zuständigen Aufsichtsbehörde für den Datenschutz

Die beiden erstgenannten Rechte können verweigert werden, falls das allgemeine öffentliche Interesse, das Interesse der jeweiligen nicht-öffentlichen Stelle an der Wahrung des Geschäftsgeheimnisses oder das Interesse Dritter zur Geheimhaltung überwiegt. Dies muss allerdings im Einzelfall geprüft werden. Eine Verweigerung der Auskunft muss mit Angabe der Gründe dokumentiert werden.

Jeder Bundesbürger hat also ein Auskunftsrecht bezüglich der über ihn gespeicherten Daten sowie ein Recht auf Richtigstellung falscher Daten. Für die befragten Stellen ergibt sich eine Auskunftspflicht, von der jedoch Polizei und Geheimdienste ausgenommen sind. Die Auskunft ist typischerweise unentgeltlich zu erteilen. Umstritten war lange Zeit die Praxis der Schufa, ein Selbstauskunftersuchen mit einer negativen Wertung zu belegen; diese Praxis hat die Schufa jedoch aufgegeben. Des weiteren hat jeder Einwohner von Deutschland das Recht der Nutzung seiner Adressdaten für Werbung oder der Markt- oder Meinungsforschung bei der datenspeichernden Stelle zu widersprechen und eine Sperrung seiner Daten zu verlangen.

Sondervorschriften

Die Evangelische Kirche in Deutschland, die Evangelischen Landeskirchen und die Bistümer der Katholischen Kirche unterliegen nicht dem Bundesdatenschutzgesetz, sondern haben eigene Datenschutzvorschriften erlassen. Ebenso haben die Bundesländer eigene Landesdatenschutzgesetze erlassen.

Für Verwaltungsverfahren im Geltungsbereich des Sozialgesetzbuchs sind für den Schutz der Sozialdaten besondere Vorschriften gültig, welche statt des Bundesdatenschutzgesetzes oder landesrechtlicher Regelungen anzuwenden sind. Dies gilt auch für die Durchführung jener Gesetze, die gem. § 68 Sozialgesetzbuch I ^* als besondere Teile des Sozialgesetzbuches gelten, also z. B. für Verfahren, die BAföG- oder Wohngeldstellen durchführen. Der Sozialdatenschutz ist im zweiten Kapitel des SGB X geregelt.

Literatur

Peter Gola, Rudolf Schomerus, Christoph Klug: BDSG – Bundesdatenschutzgesetz. Kommentar. 8. Auflage, Verlag C. H. Beck, München 2005, ISBN 3406521525
Peter Gola, Andreas Jaspers: Das neue BDSG im Überblick. Datakontext-Verlag, 3. Auflage, Frechen 2005, ISBN 389577376X
Spiros Simitis (Hrsg.): Kommentar zum Bundesdatenschutzgesetz. Nomos, 5. Auflage, Baden-Baden 2003, ISBN 3789075205

Siehe auch

Weblinks

Bundesdatenschutzgesetz als HTML und PDF-Dokument bei juris.de

Rechtsquelle (Deutschland) | Datenschutzrecht

Gourt Home::Gourt :: Bundesdatenschutzgesetz