Inhalt anzeigen
Das Bundesdatenschutzgesetz (BDSG) ergänzt die unmittelbar geltende Datenschutz-Grundverordnung (DSGVO) in Deutschland. Es enthält nationale Vorschriften für Bereiche, in denen die DSGVO den Mitgliedstaaten Gestaltungsspielraum lässt, sowie Regelungen für öffentliche Stellen des Bundes und für Verarbeitungen im Polizei- und Justizbereich.
Die seit dem 25. Mai 2018 geltende Fassung wurde ursprünglich häufig als „BDSG-neu“ bezeichnet. Heute ist die schlichte Bezeichnung BDSG fachlich klarer. Dieser Beitrag berücksichtigt den konsolidierten Gesetzesstand vom September 2026.
Wichtigste Informationen zum BDSG
- Die DSGVO gilt unmittelbar und hat Anwendungsvorrang vor entgegenstehendem nationalem Recht.
- Das BDSG ergänzt und konkretisiert die DSGVO, ersetzt sie aber nicht.
- Für Unternehmen besonders relevant sind Beschäftigtendaten, die Benennung von Datenschutzbeauftragten, Scoring und Bonitätsauskünfte sowie besondere Sanktionen.
- Neben dem BDSG können speziellere Bundes- und Landesgesetze gelten.
- Die Anwendung einzelner BDSG-Regelungen muss stets mit den Anforderungen der DSGVO und der aktuellen Rechtsprechung vereinbar sein.
Aktueller Rechtsstand und Primärquellen
Maßgeblich sind insbesondere:
- der konsolidierte Text des Bundesdatenschutzgesetzes,
- die Datenschutz-Grundverordnung im EUR-Lex-Portal,
- das EuGH-Urteil C-34/21 zum Beschäftigtendatenschutz und
- das EuGH-Urteil C-634/21 zum SCHUFA-Scoring.
Die amtliche deutsche Fassung des BDSG wurde zuletzt 2026 geändert. Bei Übersetzungen und Sekundärquellen ist deshalb zu prüfen, ob sie den aktuellen deutschen Gesetzesstand vollständig abbilden.
Wie verhalten sich DSGVO und BDSG zueinander?
Die DSGVO ist in allen EU-Mitgliedstaaten unmittelbar anwendbar. Nationale Gesetze dürfen ihre Vorgaben nicht abschwächen oder widersprüchlich neu regeln. Sie können jedoch dort ergänzen, wo die DSGVO sogenannte Öffnungsklauseln enthält oder nationale Ausgestaltung ausdrücklich zulässt.
Das BDSG nutzt solche Spielräume beispielsweise für Beschäftigtendaten, Datenschutzbeauftragte nichtöffentlicher Stellen und bestimmte Informations- oder Betroffenenrechte. Bei einem Widerspruch ist die unionsrechtskonforme Auslegung entscheidend; nicht vereinbare nationale Vorschriften dürfen nicht angewendet werden.
Für wen gilt das BDSG?
§ 1 BDSG unterscheidet zwischen öffentlichen und nichtöffentlichen Stellen. Für Unternehmen und andere nichtöffentliche Stellen gilt das Gesetz insbesondere bei ganz oder teilweise automatisierter Verarbeitung personenbezogener Daten sowie bei nicht automatisierter Verarbeitung in Dateisystemen.
Räumlich knüpft das BDSG unter anderem an eine Verarbeitung im Inland, an die Tätigkeit einer inländischen Niederlassung oder an den Anwendungsbereich der DSGVO an. Speziellere Datenschutzvorschriften des Bundes können dem BDSG vorgehen.
Wie ist das BDSG aufgebaut?
Das Gesetz besteht aus vier Teilen:
- gemeinsame Bestimmungen,
- Ergänzungen und Konkretisierungen der DSGVO,
- Regelungen für Verarbeitungen nach der EU-Richtlinie für Polizei und Justiz sowie
- besondere Bestimmungen für Verarbeitungen außerhalb dieser beiden Regelungsbereiche.
Für privatwirtschaftliche Unternehmen sind vor allem die Teile 1 und 2 relevant. Welche Vorschrift greift, hängt jedoch vom konkreten Zweck, der verantwortlichen Stelle und der Art der Verarbeitung ab.
Wann muss ein Datenschutzbeauftragter benannt werden?
Die Grundpflichten ergeben sich aus Artikel 37 DSGVO. Ergänzend verlangt § 38 BDSG bei nichtöffentlichen Stellen regelmäßig die Benennung eines Datenschutzbeauftragten, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Unabhängig von dieser Personenzahl besteht die Pflicht, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO unterliegen oder personenbezogene Daten geschäftsmäßig zu bestimmten Übermittlungs-, Markt- oder Meinungsforschungszwecken verarbeitet werden. Die Voraussetzungen sind getrennt voneinander zu prüfen; die 20-Personen-Schwelle ist daher keine allgemeine Befreiung.
Beschäftigtendatenschutz nach § 26 BDSG
§ 26 BDSG regelt die Verarbeitung personenbezogener Daten für Zwecke des Beschäftigungsverhältnisses. Eine Verarbeitung kann insbesondere zulässig sein, wenn sie für die Entscheidung über die Begründung, Durchführung oder Beendigung eines Beschäftigungsverhältnisses erforderlich ist.
Bei Einwilligungen müssen das Abhängigkeitsverhältnis und die konkreten Umstände berücksichtigt werden. Das Gesetz erlaubt grundsätzlich eine schriftliche oder elektronische Einwilligung; der Arbeitgeber muss über Zweck und Widerrufsrecht in Textform informieren. Für besondere Kategorien personenbezogener Daten gelten zusätzliche Anforderungen.
Der EuGH hat 2023 klargestellt, dass nationale Beschäftigtendatenschutzregeln die Voraussetzungen des Artikels 88 DSGVO erfüllen müssen. Pauschale Berufungen auf § 26 BDSG reichen deshalb nicht: Erforderlichkeit, Zweck, Transparenz, Schutzmaßnahmen und die allgemeinen DSGVO-Grundsätze müssen im Einzelfall nachvollziehbar geprüft werden.
Scoring und Bonitätsauskünfte
§ 31 BDSG enthält Bedingungen für die Verwendung von Wahrscheinlichkeitswerten bei Vertragsentscheidungen und für die Berücksichtigung offener Forderungen durch Auskunfteien. Dazu gehören unter anderem die Einhaltung des Datenschutzrechts, ein wissenschaftlich anerkanntes mathematisch-statistisches Verfahren sowie Einschränkungen bei der Nutzung von Anschriftendaten.
Seit dem EuGH-Urteil vom 7. Dezember 2023 darf § 31 BDSG jedoch nicht isoliert betrachtet werden. Wenn ein Score für die Entscheidung eines Dritten maßgeblich ist, kann bereits seine automatisierte Erstellung eine automatisierte Entscheidung im Sinne von Artikel 22 DSGVO darstellen. Verantwortliche müssen daher insbesondere Rechtsgrundlage, Transparenz, Datenqualität, Betroffenenrechte und die Bedeutung des Scores für die konkrete Entscheidung prüfen.
Verbraucherkredite
§ 30 BDSG betrifft den Zugang von Darlehensgebern aus anderen EU-Mitgliedstaaten zu Bonitätsinformationen und Informationspflichten bei abgelehnten Verbraucherdarlehen. Wird ein Vertrag infolge einer Auskunft abgelehnt, muss der Verbraucher grundsätzlich unverzüglich über die Ablehnung und die erhaltene Auskunft informiert werden. Weitere Pflichten aus DSGVO, Kreditrecht und Artikel 22 DSGVO bleiben daneben bestehen.
Straf- und Bußgeldvorschriften
Die Bußgeldregelungen der DSGVO, insbesondere Artikel 83, bleiben zentral. Ergänzend enthält § 42 BDSG Strafvorschriften für bestimmte vorsätzliche unbefugte Datenverarbeitungen. § 43 BDSG sieht für bestimmte Verstöße im Zusammenhang mit Verbraucherkrediten Geldbußen bis zu 50.000 Euro vor.
Nicht jeder Datenschutzverstoß fällt unter diese BDSG-Tatbestände. Je nach Sachverhalt können stattdessen oder zusätzlich DSGVO-Bußgelder, Schadensersatzansprüche, arbeitsrechtliche Folgen oder andere Spezialgesetze relevant sein.
Was sollten Unternehmen praktisch beachten?
- Für jede Verarbeitung zunächst die einschlägige DSGVO-Regelung bestimmen.
- Prüfen, ob das BDSG oder ein spezielleres Gesetz ergänzende Anforderungen enthält.
- Rechtsgrundlage, Zweck, Erforderlichkeit, Empfänger, Löschfristen und Schutzmaßnahmen dokumentieren.
- Benennungspflicht und Stellung des Datenschutzbeauftragten regelmäßig überprüfen.
- Beschäftigtendaten nicht allein aufgrund einer pauschalen Berufung auf § 26 BDSG verarbeiten.
- Scoring-Verfahren und Bonitätsentscheidungen nach DSGVO, EuGH-Rechtsprechung und BDSG gemeinsam bewerten.
- Gesetzesänderungen und relevante Gerichtsentscheidungen in einen festen Aktualisierungsprozess aufnehmen.
Fazit
Das BDSG bleibt ein wichtiger Bestandteil des deutschen Datenschutzrechts, ist aber stets zusammen mit der DSGVO zu lesen. Für eine belastbare Umsetzung genügt es nicht, nur einzelne Paragrafen zu zitieren. Entscheidend sind die konkrete Verarbeitung, der europarechtliche Rahmen und die aktuelle Rechtsprechung.