BDSG und personenbezogene Daten: Was Unternehmen wissen müssen
Der Begriff „personenbezogene Daten“ ist zentral für den Datenschutz in Deutschland. Das Bundesdatenschutzgesetz (BDSG) regelt den Umgang mit solchen Daten gemeinsam mit der Datenschutz-Grundverordnung (DSGVO). Für Unternehmen, Behörden und andere Organisationen ist entscheidend zu verstehen, welche Informationen geschützt sind und unter welchen Voraussetzungen sie verarbeitet werden dürfen.
Was sind personenbezogene Daten?
Die grundlegende Definition steht in Artikel 4 Nummer 1 DSGVO. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine Person kann direkt oder indirekt erkennbar sein – etwa anhand eines Namens, einer Kennnummer, von Standortdaten oder durch besondere Merkmale ihrer Identität.
Es muss also nicht immer der vollständige Name vorliegen. Auch mehrere Informationen, die zusammen eine Person bestimmbar machen, können personenbezogene Daten sein.
Beispiele für personenbezogene Daten
- Name, Anschrift, Telefonnummer und E-Mail-Adresse
- Kundennummer, Personalnummer oder Kontodaten
- IP-Adresse und Standortdaten
- Fotos, Video- und Tonaufnahmen, wenn Personen erkennbar sind
- Informationen zu Gesundheit, Einkommen, Beruf oder Kaufverhalten
Auch Angaben ohne direkten Bezug zu einem Namen können personenbezogen sein, wenn eine Person mithilfe zusätzlicher Informationen ermittelt werden kann. Pseudonymisierte Daten bleiben daher grundsätzlich personenbezogene Daten. Wirklich anonymisierte Daten fallen dagegen nicht mehr darunter, sofern eine Identifizierung mit vernünftigerweise verfügbaren Mitteln nicht möglich ist.
Welche Rolle spielt das BDSG?
Die DSGVO gilt unmittelbar in Deutschland und enthält die allgemeinen Datenschutzregeln. Das BDSG ergänzt sie in bestimmten Bereichen und nutzt Spielräume, die die DSGVO den Mitgliedstaaten lässt. Es ist deshalb meist nicht entweder die DSGVO oder das BDSG maßgeblich, sondern beide Regelwerke sind zusammen zu betrachten.
Das BDSG enthält unter anderem Vorschriften zur Verarbeitung von Beschäftigtendaten, zur Videoüberwachung öffentlich zugänglicher Räume und zu besonderen Aufgaben von Datenschutzbehörden. Welche Vorschrift im Einzelfall gilt, hängt unter anderem davon ab, wer die Daten verarbeitet und zu welchem Zweck.
Wann dürfen personenbezogene Daten verarbeitet werden?
Jede Erhebung, Speicherung, Nutzung, Übermittlung oder Löschung personenbezogener Daten ist grundsätzlich eine Verarbeitung. Nach der DSGVO ist sie nur zulässig, wenn eine Rechtsgrundlage besteht. Häufige Rechtsgrundlagen sind:
- Die betroffene Person hat wirksam eingewilligt.
- Die Verarbeitung ist erforderlich, um einen Vertrag zu erfüllen oder vorvertragliche Maßnahmen durchzuführen.
- Eine rechtliche Verpflichtung verlangt die Verarbeitung.
- Die Verarbeitung ist zum Schutz lebenswichtiger Interessen erforderlich.
- Eine Aufgabe im öffentlichen Interesse oder die Ausübung öffentlicher Gewalt macht sie erforderlich.
- Ein berechtigtes Interesse liegt vor und überwiegt nicht die Rechte und Interessen der betroffenen Person.
Zusätzlich müssen die Grundsätze der DSGVO beachtet werden. Dazu gehören insbesondere Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Vertraulichkeit und Sicherheit. Organisationen sollten nur solche Daten erheben, die sie für einen klar festgelegten Zweck tatsächlich benötigen.
Besonders geschützte Daten
Für bestimmte Daten gelten strengere Regeln. Artikel 9 DSGVO nennt besondere Kategorien personenbezogener Daten. Dazu gehören beispielsweise Angaben zur Gesundheit, zur ethnischen Herkunft, zu politischen Meinungen, zur Religion, zur Gewerkschaftszugehörigkeit sowie genetische und biometrische Daten zur eindeutigen Identifizierung einer Person.
Ihre Verarbeitung ist grundsätzlich untersagt, sofern keine besondere Ausnahme greift – etwa eine ausdrückliche Einwilligung oder eine gesetzlich geregelte Erlaubnis. Daten über strafrechtliche Verurteilungen und Straftaten werden gesondert in Artikel 10 DSGVO geregelt.
Beschäftigtendaten und § 26 BDSG
Für Daten von Beschäftigten enthält § 26 BDSG besondere Regelungen. Personenbezogene Daten dürfen verarbeitet werden, wenn dies für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Auch die Aufdeckung bestimmter Straftaten im Beschäftigungsverhältnis kann unter engen Voraussetzungen eine Verarbeitung rechtfertigen.
Eine Einwilligung von Beschäftigten muss freiwillig sein. Wegen des Abhängigkeitsverhältnisses am Arbeitsplatz ist dabei besonders sorgfältig zu prüfen, ob tatsächlich eine freie Entscheidung möglich ist. Für konkrete Fälle sollten die einschlägigen Vorschriften der DSGVO, des BDSG und gegebenenfalls weiterer Gesetze gemeinsam geprüft werden.
Rechte betroffener Personen
Personen, deren Daten verarbeitet werden, haben nach der DSGVO verschiedene Rechte. Dazu zählen insbesondere:
- das Recht auf Auskunft über die verarbeiteten Daten,
- das Recht auf Berichtigung unrichtiger Daten,
- das Recht auf Löschung oder Einschränkung der Verarbeitung, soweit die Voraussetzungen erfüllt sind,
- das Recht auf Datenübertragbarkeit in bestimmten Fällen,
- das Recht, einer Verarbeitung zu widersprechen, wenn die gesetzlichen Voraussetzungen vorliegen,
- das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.
Unternehmen und andere Verantwortliche müssen außerdem transparent darüber informieren, welche Daten sie zu welchem Zweck verarbeiten, wie lange sie gespeichert werden und welche Rechte betroffene Personen haben.
Was sollten Unternehmen beachten?
Ein wirksamer Datenschutz beginnt mit einem Überblick über die eigenen Datenverarbeitungen. Organisationen sollten Zwecke und Rechtsgrundlagen dokumentieren, Zugriffsrechte beschränken und geeignete technische sowie organisatorische Sicherheitsmaßnahmen treffen. Ebenso wichtig sind festgelegte Löschfristen, verständliche Datenschutzhinweise und ein Verfahren zur Bearbeitung von Betroffenenanfragen.
Ob eine bestimmte Information personenbezogen ist und welche Vorschrift des BDSG greift, hängt häufig vom Zusammenhang und vom Verarbeitungszweck ab. Bei umfangreicher, sensibler oder risikoreicher Verarbeitung empfiehlt sich eine Prüfung des konkreten Sachverhalts durch eine qualifizierte Datenschutzstelle oder Rechtsberatung.
Hinweis: Dieser Beitrag bietet eine allgemeine Information und ersetzt keine rechtliche Beratung.
Acht Vorteile des BDSG: Schutz und Transparenz bei personenbezogenen Daten
- Schützt die Privatsphäre natürlicher Personen.
- Ergänzt die DSGVO um deutsche Regelungen.
- Definiert klare Pflichten für Verantwortliche.
- Stärkt die Rechte betroffener Personen.
- Regelt den Umgang mit Beschäftigtendaten.
- Fördert transparente Datenverarbeitung.
- Verlangt angemessene Sicherheitsmaßnahmen.
- Hilft, Datenschutzrisiken zu begrenzen.
Herausforderungen des BDSG: Komplexität, Doppelregelungen und Mehraufwand im Umgang mit personenbezogenen Daten
- Die Abgrenzung personenbezogener Daten kann komplex sein.
- BDSG und DSGVO müssen gemeinsam berücksichtigt werden.
- Datenschutzpflichten verursachen zusätzlichen Aufwand.
Schützt die Privatsphäre natürlicher Personen.
Das BDSG schützt die Privatsphäre natürlicher Personen, indem es klare Regeln für den Umgang mit personenbezogenen Daten festlegt. Unternehmen und Behörden dürfen Informationen wie Namen, Kontaktdaten oder Gesundheitsangaben nicht beliebig erheben, speichern oder weitergeben, sondern benötigen dafür eine rechtliche Grundlage und müssen die geltenden Datenschutzprinzipien beachten. So erhalten Menschen mehr Kontrolle darüber, wie ihre Daten verwendet werden, und werden vor unangemessener oder missbräuchlicher Verarbeitung geschützt.
Ergänzt die DSGVO um deutsche Regelungen.
Das BDSG ergänzt die europaweit geltende DSGVO um nationale Regelungen für Deutschland. Es konkretisiert deren Vorgaben und nutzt Spielräume, die die DSGVO den Mitgliedstaaten lässt – etwa bei Beschäftigtendaten oder der Videoüberwachung. So berücksichtigt der Datenschutz neben den einheitlichen europäischen Grundsätzen auch besondere rechtliche Anforderungen in Deutschland.
Definiert klare Pflichten für Verantwortliche.
Ein wesentlicher Vorteil des BDSG im Zusammenspiel mit der DSGVO ist, dass es klare Pflichten für Verantwortliche festlegt. Unternehmen und Behörden müssen personenbezogene Daten rechtmäßig und zweckgebunden verarbeiten, angemessen schützen und betroffene Personen transparent informieren. Zudem sind sie verpflichtet, Datenschutzmaßnahmen und bestimmte Verarbeitungsvorgänge zu dokumentieren. Diese Vorgaben schaffen klare Zuständigkeiten und helfen dabei, Datenschutz im Arbeitsalltag verlässlich umzusetzen.
Stärkt die Rechte betroffener Personen.
Das BDSG stärkt gemeinsam mit der DSGVO die Rechte betroffener Personen im Umgang mit ihren personenbezogenen Daten. Betroffene können unter anderem Auskunft darüber verlangen, welche Daten verarbeitet werden, unrichtige Angaben berichtigen lassen und unter bestimmten Voraussetzungen die Löschung oder Einschränkung der Verarbeitung beantragen. Diese Rechte fördern Transparenz und geben Menschen mehr Kontrolle darüber, wie ihre persönlichen Informationen genutzt werden.
Regelt den Umgang mit Beschäftigtendaten.
Das BDSG regelt den Umgang mit personenbezogenen Daten von Beschäftigten und schafft damit wichtige Orientierung für Arbeitgeber und Mitarbeitende. § 26 BDSG legt fest, unter welchen Voraussetzungen Daten verarbeitet werden dürfen, etwa wenn dies für die Begründung, Durchführung oder Beendigung eines Arbeitsverhältnisses erforderlich ist. So trägt die Regelung dazu bei, den betrieblichen Umgang mit Beschäftigtendaten nachvollziehbar zu gestalten und die Privatsphäre der Mitarbeitenden zu schützen.
Fördert transparente Datenverarbeitung.
Das BDSG fördert eine transparente Verarbeitung personenbezogener Daten, indem es Verantwortliche dazu verpflichtet, nachvollziehbar mit Informationen umzugehen und betroffene Personen über wichtige Aspekte der Verarbeitung zu informieren. Dazu gehören beispielsweise die Zwecke und Rechtsgrundlagen der Datennutzung sowie die Rechte der Betroffenen. Diese Transparenz stärkt das Vertrauen und hilft Menschen, besser nachzuvollziehen, was mit ihren Daten geschieht.
Verlangt angemessene Sicherheitsmaßnahmen.
Das BDSG verlangt, personenbezogene Daten durch angemessene technische und organisatorische Maßnahmen zu schützen. Dazu können beispielsweise Zugriffsbeschränkungen, Verschlüsselung, regelmäßige Datensicherungen und klare Zuständigkeiten gehören. Welche Maßnahmen geeignet sind, richtet sich unter anderem nach Art und Umfang der Verarbeitung sowie nach dem jeweiligen Risiko. So unterstützt das Gesetz Unternehmen dabei, Daten vor unbefugtem Zugriff, Verlust oder Missbrauch zu bewahren und das Vertrauen der betroffenen Personen zu stärken.
Hilft, Datenschutzrisiken zu begrenzen.
Das BDSG hilft dabei, Datenschutzrisiken zu begrenzen, indem es klare Vorgaben für den Umgang mit personenbezogenen Daten festlegt. Unternehmen und Behörden müssen unter anderem prüfen, auf welcher Rechtsgrundlage sie Daten verarbeiten, den Zugriff angemessen schützen und nur erforderliche Informationen erheben. Solche Regeln können das Risiko von Datenmissbrauch, unbefugtem Zugriff und Datenschutzverletzungen verringern und stärken zugleich das Vertrauen der betroffenen Personen.
Die Abgrenzung personenbezogener Daten kann komplex sein.
Die Abgrenzung personenbezogener Daten kann komplex sein, weil Informationen nicht nur dann als personenbezogen gelten, wenn sie direkt einen Namen oder eine Adresse enthalten. Auch einzelne Angaben wie eine IP-Adresse, eine Kundennummer oder Standortdaten können in Verbindung mit weiteren Informationen eine Person identifizierbar machen. Unternehmen müssen daher im jeweiligen Zusammenhang sorgfältig prüfen, welche Daten unter die DSGVO und das BDSG fallen. Diese Einordnung kann zusätzlichen Prüf- und Dokumentationsaufwand verursachen und bei einer fehlerhaften Bewertung zu Datenschutzverstößen führen.
BDSG und DSGVO müssen gemeinsam berücksichtigt werden.
Ein möglicher Nachteil im Umgang mit personenbezogenen Daten besteht darin, dass Unternehmen häufig sowohl das BDSG als auch die DSGVO berücksichtigen müssen. Die DSGVO bildet zwar den europäischen Rechtsrahmen, wird in Deutschland jedoch durch nationale Vorschriften des BDSG ergänzt. Dadurch kann es anspruchsvoll sein, für eine konkrete Datenverarbeitung die jeweils einschlägigen Regelungen zu bestimmen und korrekt anzuwenden. Das erhöht den Prüf- und Dokumentationsaufwand und kann insbesondere bei komplexen oder sensiblen Verarbeitungsvorgängen zusätzlichen Beratungsbedarf verursachen.
Datenschutzpflichten verursachen zusätzlichen Aufwand.
Ein Nachteil der Regelungen zu personenbezogenen Daten im BDSG ist der zusätzliche organisatorische Aufwand, der für Unternehmen und andere verantwortliche Stellen entstehen kann. Sie müssen unter anderem dokumentieren, warum Daten verarbeitet werden, passende Schutzmaßnahmen einrichten, Mitarbeitende schulen und Anfragen betroffener Personen fristgerecht bearbeiten. Gerade kleinere Organisationen können dadurch personell und finanziell belastet werden. Dieser Aufwand ist jedoch Teil der Verantwortung, persönliche Daten rechtmäßig und sorgfältig zu schützen.