Bundesdatenschutzgesetz: Pflichten, Rechte und Risiken

Das Bundesdatenschutzgesetz, häufig als BDSG abgekürzt, ist für viele Unternehmen, Arbeitgeber, Vereine und öffentliche Stellen ein zentraler Teil des deutschen Datenschutzrechts. Es steht jedoch nicht allein. Seit Geltung der Datenschutz-Grundverordnung ist die DSGVO der vorrangige europäische Rahmen, während das BDSG diese Vorgaben an mehreren Stellen ergänzt, konkretisiert oder für bestimmte Bereiche besondere Regeln enthält.

Gerade daraus entstehen in der Praxis Unsicherheiten: Welche Pflichten ergeben sich unmittelbar aus der DSGVO, wann greift das Bundesdatenschutzgesetz, und welche Rolle spielen Landesdatenschutzgesetze, Arbeitsrecht, Telekommunikationsrecht oder Aufbewahrungspflichten? Eine belastbare Einordnung ist wichtig, weil Datenschutzverstöße nicht nur Bußgelder auslösen können. Auch Auskunftsverlangen, Schadensersatzforderungen, Auseinandersetzungen mit Beschäftigten, Reputationsrisiken und Beweisprobleme spielen eine erhebliche Rolle.

Der folgende Beitrag ordnet das BDSG praxisnah ein. Er erläutert gesetzliche Grundlagen, Abgrenzungen, typische Fallkonstellationen, Risiken, Fristen, Nachweise und Handlungsschritte. Die Darstellung ersetzt keine Prüfung des Einzelfalls, zeigt aber, welche Punkte Betroffene und Verantwortliche frühzeitig klären sollten.

Inhaltsverzeichnis

1. Was regelt das Bundesdatenschutzgesetz?
2. Verhältnis von DSGVO, BDSG und Spezialgesetzen
3. Abgrenzung zu ähnlichen Begriffen und typischen Missverständnissen
4. Wann Unternehmen das Bundesdatenschutzgesetz beachten müssen
5. Beschäftigtendatenschutz nach dem BDSG
6. Rechte betroffener Personen nach DSGVO und BDSG
7. Praxisrelevante Fallkonstellationen zum Bundesdatenschutzgesetz
8. Risiken, Haftung und typische Fehler
9. Fristen, Löschung, Aufbewahrung und Verjährung
10. Beweisfragen und Dokumentation im Datenschutz
11. Handlungsschritte für Unternehmen und Betroffene
12. FAQ zum Bundesdatenschutzgesetz
13. … und 1 weitere Abschnitte

Was regelt das Bundesdatenschutzgesetz?

Das Bundesdatenschutzgesetz ist ein deutsches Datenschutzgesetz, das die Verarbeitung personenbezogener Daten in bestimmten Bereichen regelt und ergänzt. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören nicht nur Name, Anschrift und E-Mail-Adresse, sondern auch Kundennummern, IP-Adressen, Standortdaten, Bewerbungsunterlagen, Gesundheitsdaten, Leistungsdaten von Beschäftigten oder Bonitätsinformationen.

Seit dem 25. Mai 2018 ist die DSGVO in allen EU-Mitgliedstaaten unmittelbar anwendbar. Das bedeutet: Viele zentrale Vorgaben, etwa zu Rechtmäßigkeit, Transparenz, Betroffenenrechten, Datenschutz-Folgenabschätzung, Auftragsverarbeitung und Bußgeldern, ergeben sich direkt aus der DSGVO. Das Bundesdatenschutzgesetz tritt daneben, soweit die DSGVO den Mitgliedstaaten sogenannte Öffnungsklauseln lässt oder besondere nationale Regelungen zulässt.

Das BDSG enthält daher unter anderem Vorschriften zum Datenschutzbeauftragten in nicht öffentlichen Stellen, zum Beschäftigtendatenschutz, zu besonderen Verarbeitungssituationen, zu Einschränkungen einzelner Betroffenenrechte, zu Scoring und Bonitätsauskünften sowie Regelungen für öffentliche Stellen des Bundes. Außerdem setzt es europäische Vorgaben für Datenverarbeitungen durch Polizei- und Strafverfolgungsbehörden um.

Für Unternehmen ist besonders wichtig: Das BDSG ersetzt die DSGVO nicht. Wer personenbezogene Daten verarbeitet, muss regelmäßig zuerst prüfen, ob die Verarbeitung nach Art. 6 DSGVO oder bei besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO zulässig ist. Erst danach stellt sich die Frage, ob das BDSG zusätzliche Anforderungen, Erleichterungen oder Einschränkungen enthält. In der Praxis entscheidet häufig gerade dieses Zusammenspiel darüber, ob eine Verarbeitung tragfähig begründet und dokumentiert werden kann.

Der Anwendungsbereich hängt zudem davon ab, wer Daten verarbeitet. Für öffentliche Stellen der Länder gelten vorrangig die jeweiligen Landesdatenschutzgesetze, während Bundesbehörden dem BDSG unterliegen. Private Unternehmen, Freiberufler, Stiftungen oder Vereine müssen neben der DSGVO vor allem die für nicht öffentliche Stellen relevanten Vorschriften des BDSG beachten. Je nach Branche kommen Spezialgesetze hinzu, etwa im Gesundheitswesen, im Finanzsektor, im Arbeitsrecht oder bei digitalen Diensten.

Verhältnis von DSGVO, BDSG und Spezialgesetzen

Eine häufige Fehlannahme lautet, das Bundesdatenschutzgesetz sei das wichtigste oder allein maßgebliche Datenschutzgesetz in Deutschland. Grundsätzlich ist aber die DSGVO die zentrale Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Das BDSG konkretisiert diese Vorgaben nur dort, wo europäisches Recht dies zulässt oder verlangt. Diese Reihenfolge ist nicht nur theoretisch relevant. Sie beeinflusst, welche Rechtsgrundlage genannt werden muss, welche Informationspflichten bestehen, welche Behörde zuständig ist und wie ein Datenschutzkonzept aufgebaut wird.

Gleichzeitig darf das BDSG nicht unterschätzt werden. Gerade bei Personalakten, internen Ermittlungen, Datenschutzbeauftragten, Bonitätsprüfungen oder behördlichen Datenverarbeitungen enthält es praxisrelevante Ergänzungen. Hinzu kommen Spezialgesetze, die für bestimmte Branchen oder Verarbeitungssituationen vorrangige oder zusätzliche Anforderungen enthalten können. Die folgende Übersicht zeigt die typische Abgrenzung, ersetzt aber keine Prüfung der konkreten Datenverarbeitung.

Die praktische Konsequenz dieser Mehrschichtigkeit ist: Eine Datenschutzprüfung sollte nicht mit der Frage enden, ob es eine Einwilligung gibt. Oft ist eine Einwilligung gar nicht erforderlich oder wegen eines Abhängigkeitsverhältnisses problematisch, etwa im Arbeitsverhältnis. In anderen Fällen kann eine gesetzliche Pflicht, ein Vertrag, ein berechtigtes Interesse oder eine Spezialnorm die bessere Grundlage sein. Entscheidend ist, dass die gewählte Rechtsgrundlage zur konkreten Verarbeitung passt und nachvollziehbar dokumentiert wird.

In Konzernstrukturen, bei bundesweit tätigen Unternehmen oder bei Standorten in Hamburg, München und Frankfurt am Main kommt eine weitere Ebene hinzu. Die zuständige Datenschutzaufsicht kann je nach Hauptniederlassung, Bundesland und Datenverarbeitung variieren. Unterschiedliche Behörden können Schwerpunkte unterschiedlich gewichten, etwa bei Videoüberwachung, Tracking, Beschäftigtendaten oder Auskunftsansprüchen. Das ändert nichts an der Rechtslage, beeinflusst aber die praktische Risikoeinschätzung und die Kommunikation mit Behörden.

Abgrenzung zu ähnlichen Begriffen und typischen Missverständnissen

Das Bundesdatenschutzgesetz wird in der Praxis oft mit anderen Begriffen vermischt. Diese Unschärfe kann zu fehlerhaften Entscheidungen führen, insbesondere wenn Verantwortliche glauben, eine einzelne Datenschutzregel löse alle Fragen. Datenschutzrecht ist jedoch kein einheitlicher Block, sondern ein Zusammenspiel verschiedener Normen, Pflichten und Rollen.

Vom BDSG abzugrenzen ist zunächst die DSGVO. Die DSGVO ist unmittelbar geltendes EU-Recht und hat Anwendungsvorrang. Widerspricht nationales Recht der DSGVO, kann es unanwendbar sein. Das BDSG darf die DSGVO daher grundsätzlich nicht unterlaufen, sondern nur in zulässigen Spielräumen ergänzen. Besonders sichtbar ist dies im Beschäftigtendatenschutz. § 26 BDSG bleibt praxisrelevant, muss aber unionsrechtskonform ausgelegt werden. Pauschale Annahmen, jede Personalmaßnahme sei schon wegen § 26 BDSG erlaubt, sind riskant.

Abzugrenzen ist das BDSG außerdem von den Landesdatenschutzgesetzen. Diese betreffen vor allem öffentliche Stellen der Länder, etwa Landesbehörden, Kommunen oder bestimmte öffentliche Einrichtungen. Ein Unternehmen in München oder Frankfurt am Main fällt nicht deshalb unter ein Landesdatenschutzgesetz, weil es dort tätig ist. Es bleibt grundsätzlich bei DSGVO und BDSG, ergänzt durch Spezialgesetze. Für eine Stadtverwaltung, eine staatliche Hochschule oder eine Landesbehörde kann die Beurteilung dagegen anders aussehen.

Nicht identisch ist Datenschutz außerdem mit IT-Sicherheit. Technische Schutzmaßnahmen wie Verschlüsselung, Rollenberechtigung, Backups oder Protokollierung sind wichtige Elemente des Datenschutzes. Sie ersetzen aber keine Rechtsgrundlage, keine Information der Betroffenen und keine Prüfung der Zweckbindung. Umgekehrt ist eine formell richtige Datenschutzerklärung wertlos, wenn Zugriffsrechte unkontrolliert vergeben werden oder sensible Daten ohne ausreichende Absicherung in Cloud-Systeme gelangen.

Auch das Fernmeldegeheimnis, das Telekommunikation-Telemedien-Datenschutz-Gesetz beziehungsweise inzwischen relevante digitale Spezialregelungen, arbeitsrechtliche Verschwiegenheitspflichten und berufsrechtliche Geheimhaltung sind eigenständige Prüfungsbereiche. Besonders bei Webseiten, Apps, Beschäftigtenüberwachung, Kanzleien, Arztpraxen oder Finanzdienstleistern sollte deshalb sorgfältig geprüft werden, welche Norm tatsächlich einschlägig ist.

Wann Unternehmen das Bundesdatenschutzgesetz beachten müssen

Unternehmen müssen das Bundesdatenschutzgesetz beachten, wenn sie personenbezogene Daten verarbeiten und eine Vorschrift des BDSG für die konkrete Situation einschlägig ist. Das ist häufiger der Fall, als viele Verantwortliche annehmen. Bereits kleinere Unternehmen verarbeiten regelmäßig Kundendaten, Lieferantendaten, Beschäftigtendaten, Bewerberdaten, Nutzungsdaten von Webseiten oder Zahlungsinformationen. Datenschutzrechtlich relevant ist dabei nicht erst eine Weitergabe an Dritte. Schon das Erheben, Speichern, Ordnen, Abfragen, Verwenden, Verändern oder Löschen von Daten ist eine Verarbeitung.

Besonders praktisch ist § 38 BDSG. Danach müssen nicht öffentliche Stellen unter bestimmten Voraussetzungen einen Datenschutzbeauftragten benennen. Regelmäßig ist dies erforderlich, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dabei kommt es nicht nur auf Vollzeitkräfte an. Auch Teilzeitkräfte, Aushilfen oder freie Mitarbeitende können relevant sein, wenn sie regelmäßig mit personenbezogenen Daten arbeiten.

Unabhängig von der Personenzahl kann eine Pflicht zur Benennung bestehen, wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden. Ob eine Datenschutz-Folgenabschätzung erforderlich ist, hängt unter anderem von Art, Umfang, Umständen und Zwecken der Verarbeitung ab. Beispiele sind umfangreiche Überwachung, systematische Bewertung persönlicher Aspekte, sensible Gesundheitsdaten oder Technologien mit hohem Eingriffsrisiko.

Für Unternehmen entstehen BDSG-Fragen zudem bei Bonitätsprüfungen, Betrugsprävention, internen Untersuchungen, Hinweisgebersystemen, Videoüberwachung, Zugriffen auf dienstliche E-Mail-Postfächer, Bewerbermanagement und Personalcontrolling. Häufig überschneiden sich Datenschutzrecht, Arbeitsrecht, Gesellschaftsrecht und Compliance. Ein einzelner Standardtext reicht dann selten aus. Entscheidend ist, ob Zweck, Datenumfang, Zugriffskreis, Speicherdauer und Schutzmaßnahmen konkret festgelegt sind.

Unternehmen sollten zudem beachten, dass Datenschutzpflichten nicht erst bei Beschwerden relevant werden. Die DSGVO verlangt Rechenschaftsfähigkeit. Verantwortliche müssen also nachweisen können, dass sie die Datenschutzgrundsätze einhalten. Das BDSG ergänzt diesen Rahmen. Wer etwa keinen erforderlichen Datenschutzbeauftragten benennt, keine tragfähige Beschäftigtendatenprüfung vornimmt oder Scoring-Prozesse nicht transparent begründet, kann in eine schwierige Verteidigungsposition geraten.

Beschäftigtendatenschutz nach dem BDSG

Ein besonders wichtiger Anwendungsbereich des Bundesdatenschutzgesetzes ist der Beschäftigtendatenschutz. § 26 BDSG regelt die Verarbeitung personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses. Dazu zählen nicht nur Arbeitnehmerinnen und Arbeitnehmer, sondern unter anderem auch Bewerber, Auszubildende und ehemalige Beschäftigte, soweit die Verarbeitung mit dem Beschäftigungskontext zusammenhängt.

Grundsätzlich dürfen Beschäftigtendaten verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses, für dessen Durchführung oder Beendigung erforderlich ist. Erforderlichkeit bedeutet nicht bloße Zweckmäßigkeit. Der Arbeitgeber muss darlegen können, warum eine konkrete Datenverarbeitung für einen legitimen arbeitsbezogenen Zweck notwendig ist und kein milderes, gleich geeignetes Mittel zur Verfügung steht.

Typische zulässige Verarbeitungen sind die Führung von Personalakten, Lohnabrechnung, Arbeitszeiterfassung, Urlaubsverwaltung, Qualifikationsnachweise oder die Kommunikation im Arbeitsverhältnis. Schwieriger wird es bei Leistungs- und Verhaltenskontrollen, GPS-Ortung, Videoüberwachung, E-Mail-Auswertung, Gesundheitsdaten, Background-Checks oder internen Ermittlungen. Hier können die Interessen der Beschäftigten erheblich überwiegen, wenn Maßnahmen zu weit gehen, heimlich erfolgen oder nicht hinreichend eingegrenzt sind.

§ 26 BDSG enthält auch eine Regelung zur Aufdeckung von Straftaten. Danach können Beschäftigtendaten verarbeitet werden, wenn dokumentierte tatsächliche Anhaltspunkte den Verdacht begründen, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der betroffenen Person nicht überwiegt. In der Praxis ist diese Hürde hoch. Ein allgemeines Misstrauen, anonyme Vermutungen ohne Substanz oder pauschale Kontrollinteressen genügen regelmäßig nicht.

Einwilligungen im Arbeitsverhältnis sind besonders sorgfältig zu prüfen. Wegen des Abhängigkeitsverhältnisses ist Freiwilligkeit nicht selbstverständlich. Das BDSG nennt Kriterien, etwa rechtliche oder wirtschaftliche Vorteile für Beschäftigte oder gleichgelagerte Interessen von Arbeitgeber und Beschäftigten. Dennoch sollte eine Einwilligung nicht als Standardlösung genutzt werden, wenn eine Datenverarbeitung tatsächlich für das Arbeitsverhältnis erforderlich ist oder wenn Beschäftigte faktisch keinen freien Entscheidungsspielraum haben.

Zu beachten ist außerdem die unionsrechtliche Einordnung. Nationale Regeln zum Beschäftigtendatenschutz müssen mit der DSGVO vereinbar sein und werden von Gerichten teilweise eng ausgelegt. Arbeitgeber sollten deshalb nicht allein auf den Wortlaut des § 26 BDSG vertrauen, sondern zusätzlich die Grundsätze der DSGVO prüfen: Transparenz, Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität, Vertraulichkeit und Rechenschaftsfähigkeit.

Rechte betroffener Personen nach DSGVO und BDSG

Betroffene Personen haben gegenüber Verantwortlichen umfangreiche Rechte. Diese Rechte ergeben sich überwiegend aus der DSGVO, werden aber durch das Bundesdatenschutzgesetz in bestimmten Fällen eingeschränkt oder konkretisiert. Für Betroffene ist wichtig: Ein Datenschutzrecht besteht nicht nur bei Datenpannen. Schon die Frage, welche Daten ein Unternehmen oder eine Behörde verarbeitet, kann Gegenstand eines Auskunftsersuchens sein.

Zu den wichtigsten Betroffenenrechten gehören das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch und das Recht, nicht ausschließlich einer automatisierten Entscheidung unterworfen zu werden, soweit die gesetzlichen Voraussetzungen vorliegen. Außerdem können Betroffene Beschwerde bei einer Datenschutzaufsichtsbehörde einlegen und unter bestimmten Voraussetzungen Schadensersatz verlangen.

Das BDSG enthält an mehreren Stellen Einschränkungen dieser Rechte. Informationspflichten können etwa begrenzt sein, wenn Daten nur aufgrund gesetzlicher Aufbewahrungspflichten gespeichert werden oder wenn die Information unverhältnismäßigen Aufwand erfordern würde und besondere Voraussetzungen erfüllt sind. Auch Auskunftsrechte können in engen Fällen beschränkt sein, etwa wenn durch die Auskunft Rechte Dritter beeinträchtigt würden oder gesetzliche Geheimhaltungspflichten entgegenstehen.

Solche Einschränkungen sind jedoch kein Freibrief. Verantwortliche müssen im Zweifel begründen, warum sie eine Auskunft, Löschung oder Information ganz oder teilweise verweigern. Pauschale Formulierungen wie Betriebsgeheimnis, Datenschutz anderer Personen oder gesetzliche Pflicht reichen regelmäßig nicht aus. Häufig ist eine gestufte Lösung möglich, etwa durch Schwärzungen, Teilauskünfte oder Erläuterungen zum Datenbestand.

Für Verbraucher, Kunden, Patienten, Bewerber und Beschäftigte ist eine strukturierte Anfrage oft sinnvoll. Wer wissen möchte, welche Daten gespeichert sind, sollte den Verantwortlichen eindeutig bezeichnen, das betroffene Vertrags- oder Beschäftigungsverhältnis benennen und um Auskunft nach Art. 15 DSGVO bitten. Bei konkreten Anliegen, etwa falschen Bonitätsdaten oder unzulässiger Werbung, sollte zusätzlich die Berichtigung, Löschung oder der Widerspruch ausdrücklich verlangt werden.

Für Unternehmen liegt die Herausforderung darin, Anfragen fristgerecht und rechtlich sauber zu beantworten. Eine zu knappe Antwort kann ebenso problematisch sein wie eine ungeprüfte Herausgabe fremder Daten. Gerade bei Personalakten, internen E-Mails oder Compliance-Untersuchungen müssen Betroffenenrechte und Rechte Dritter sorgfältig abgewogen werden.

Praxisrelevante Fallkonstellationen zum Bundesdatenschutzgesetz

Das Bundesdatenschutzgesetz wird häufig erst sichtbar, wenn ein konkreter Konflikt entsteht. In der Beratungspraxis zeigen sich wiederkehrende Konstellationen, in denen die Abgrenzung zwischen zulässiger Datenverarbeitung und Datenschutzverstoß schwierig ist. Die folgenden Beispiele verdeutlichen typische Prüfungsfragen, ohne eine abschließende rechtliche Bewertung im Einzelfall vorwegzunehmen.

Ein häufiger Fall betrifft Arbeitgeber, die wegen eines Diebstahlverdachts oder einer Pflichtverletzung interne Ermittlungen durchführen. Werden E-Mails, Zutrittsprotokolle, Zeiterfassungsdaten oder Videoaufnahmen ausgewertet, müssen Zweck, Anlass, Datenumfang und Zugriffskreis genau bestimmt werden. Liegen dokumentierte tatsächliche Anhaltspunkte vor, kann eine Verarbeitung eher begründbar sein. Fehlt eine konkrete Tatsachengrundlage, droht die Maßnahme unverhältnismäßig zu sein.

Ein weiteres Beispiel ist die Videoüberwachung in Geschäftsräumen, Lagerflächen oder öffentlich zugänglichen Bereichen. Ein Einzelhändler in Hamburg kann ein berechtigtes Interesse an Diebstahlprävention haben. Dennoch müssen Kamerawinkel, Speicherdauer, Hinweisschilder, Zugriffsrechte und Alternativen geprüft werden. Eine permanente Überwachung von Beschäftigten oder Kunden ohne klare Begrenzung ist regelmäßig problematisch. Auch Tonaufnahmen sind besonders kritisch.

Im Finanz- und Immobilienbereich, etwa bei Unternehmen in Frankfurt am Main, spielen Bonitätsauskünfte und Scoring eine große Rolle. Wer Kreditauskünfte einholt, Mietinteressenten bewertet oder automatisierte Entscheidungen vorbereitet, muss die gesetzlichen Anforderungen an Transparenz, Datenqualität, Zweckbindung und Zulässigkeit beachten. Nach der Rechtsprechung des Europäischen Gerichtshofs zu automatisierten Entscheidungen ist besonders sorgfältig zu prüfen, ob ein Score faktisch entscheidend für eine Vertragsentscheidung ist.

Auch im Bewerbungsverfahren entstehen BDSG-Fragen. Arbeitgeber dürfen nur solche Informationen erheben, die für die konkrete Stelle erforderlich sind. Fragen nach Schwangerschaft, Gewerkschaftszugehörigkeit, pauschalen Gesundheitsdaten oder alten Ermittlungsverfahren sind häufig unzulässig oder nur in engen Ausnahmefällen erlaubt. Ein polizeiliches Führungszeugnis kann bei bestimmten Tätigkeiten erforderlich sein, etwa bei besonderer Vertrauensstellung oder gesetzlichen Vorgaben. Als Standardanforderung für jede Stelle ist es jedoch kritisch.

Bei Webseiten und digitalen Diensten liegt der Schwerpunkt zwar häufig auf DSGVO und speziellen Regeln für Cookies, Tracking und elektronische Kommunikation. Das BDSG kann dennoch relevant werden, etwa wenn Nutzungsdaten mit Kundendaten verbunden, Profile erstellt oder Daten für Marktforschung und Bonitätszwecke weiterverarbeitet werden. Unternehmen in München, die etwa eine App mit Standortfunktionen einsetzen, sollten nicht nur die Datenschutzerklärung prüfen, sondern auch technische Voreinstellungen, Einwilligungsprozesse und Löschroutinen.

Risiken, Haftung und typische Fehler

Verstöße gegen Datenschutzvorgaben können unterschiedliche Folgen haben. Im Vordergrund stehen häufig behördliche Maßnahmen und Bußgelder. Datenschutzaufsichtsbehörden können Auskünfte verlangen, Verarbeitungen untersagen, Löschung anordnen oder technische und organisatorische Maßnahmen beanstanden. Nach der DSGVO können Bußgelder erheblich sein; ihre konkrete Höhe hängt jedoch von Art, Schwere, Dauer, Verschulden, Kooperationsverhalten, Unternehmensgröße und weiteren Umständen ab. Das BDSG enthält ergänzende Regelungen, ändert aber nicht daran, dass die DSGVO den zentralen Bußgeldrahmen vorgibt.

Neben behördlichen Risiken kommen zivilrechtliche Ansprüche in Betracht. Betroffene können unter bestimmten Voraussetzungen Schadensersatz wegen materieller oder immaterieller Schäden verlangen. Ob ein ersatzfähiger Schaden vorliegt, ist einzelfallabhängig. Gerichte prüfen zunehmend genau, ob ein Datenschutzverstoß nachgewiesen ist, ob ein konkreter Schaden dargelegt wurde und ob ein Kausalzusammenhang besteht. Pauschale Behauptungen reichen nicht immer aus, um einen Anspruch durchzusetzen.

Für Arbeitgeber können Datenschutzverstöße zusätzlich arbeitsrechtliche Folgen haben. Unzulässig erhobene Beweise sind nicht automatisch unverwertbar, können aber im Prozess problematisch sein. Bei heimlicher Überwachung, unverhältnismäßiger Kontrolle oder mangelhafter Beteiligung des Betriebsrats können Kündigungen, Abmahnungen oder interne Maßnahmen angreifbar werden. Zudem drohen Konflikte mit Betriebsrat, Datenschutzbeauftragtem und Aufsichtsbehörde.

Typische Fehler sind insbesondere:

• Verwechslung von DSGVO und BDSG, ohne die jeweils einschlägige Rechtsgrundlage sauber zu bestimmen.
• Einwilligungen als Standardlösung, obwohl Freiwilligkeit zweifelhaft ist oder eine gesetzliche Grundlage passender wäre.
• Keine Benennung eines Datenschutzbeauftragten, obwohl § 38 BDSG oder Art. 37 DSGVO dies verlangt.
• Unvollständige oder veraltete Verzeichnisse von Verarbeitungstätigkeiten.
• Zu lange Speicherung von Bewerber-, Kunden-, Video- oder Beschäftigtendaten ohne Löschkonzept.
• Unzureichende Dokumentation von Interessenabwägungen, Datenschutz-Folgenabschätzungen und technischen Schutzmaßnahmen.
• Ungeprüfte Weitergabe personenbezogener Daten an Dienstleister ohne wirksamen Auftragsverarbeitungsvertrag.
• Zu späte oder unvollständige Reaktion auf Auskunftsersuchen, Löschverlangen oder Datenpannen.

Ein weiterer Fehler liegt darin, Datenschutz als rein formales Thema zu behandeln. Mustertexte, Datenschutzerklärungen und Einwilligungsformulare können sinnvoll sein, wenn sie zur tatsächlichen Verarbeitung passen. Sie helfen jedoch wenig, wenn im Unternehmen andere Datenflüsse bestehen, Zugriffskonzepte fehlen oder Beschäftigte nicht wissen, wie sie mit Anfragen umgehen müssen. Datenschutzrechtliche Haftung entsteht häufig nicht durch einen einzelnen spektakulären Vorfall, sondern durch fehlende Routinen und unklare Verantwortlichkeiten.

Fristen, Löschung, Aufbewahrung und Verjährung

Datenschutzrechtliche Fristen sind für Verantwortliche und Betroffene gleichermaßen wichtig. Eine der bekanntesten Fristen betrifft Auskunftsersuchen und andere Betroffenenrechte. Verantwortliche müssen grundsätzlich unverzüglich, spätestens innerhalb eines Monats nach Eingang des Antrags reagieren. Bei komplexen oder zahlreichen Anträgen kann die Frist unter bestimmten Voraussetzungen um zwei weitere Monate verlängert werden. Die Verlängerung muss jedoch innerhalb der ersten Monatsfrist mitgeteilt und begründet werden.

Bei Datenschutzverletzungen gilt eine besonders kurze Frist. Muss eine Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde gemeldet werden, hat dies grundsätzlich binnen 72 Stunden nach Bekanntwerden zu erfolgen. Eine Meldung ist erforderlich, wenn voraussichtlich ein Risiko für Rechte und Freiheiten natürlicher Personen besteht. Ist das Risiko hoch, müssen zusätzlich die betroffenen Personen benachrichtigt werden. Ob eine Meldung erforderlich ist, hängt vom Einzelfall ab, etwa von Datenart, Umfang, Schutzmaßnahmen und möglichen Folgen.

Löschfristen richten sich nicht nach einer einzigen festen Regel. Personenbezogene Daten dürfen nur so lange gespeichert werden, wie sie für den jeweiligen Zweck erforderlich sind oder gesetzliche Aufbewahrungspflichten bestehen. Handels- und steuerrechtliche Pflichten können Aufbewahrungsfristen von sechs oder zehn Jahren auslösen. Bewerberdaten werden häufig deutlich kürzer aufbewahrt, sofern keine Einwilligung in einen Talentpool oder ein laufender Streit besteht. Videoaufnahmen sind regelmäßig nur sehr kurz zu speichern, soweit kein konkreter Anlass für eine längere Sicherung besteht.

Wichtig ist die Unterscheidung zwischen Löschung und Sperrung beziehungsweise Einschränkung. Wenn Daten wegen gesetzlicher Aufbewahrungspflichten nicht gelöscht werden dürfen, müssen sie für andere Zwecke gesperrt oder in ihrer Verarbeitung eingeschränkt werden. Eine Rechnung darf etwa nicht einfach gelöscht werden, nur weil ein Kunde dies verlangt. Gleichzeitig darf sie nicht mehr für beliebige Marketingzwecke genutzt werden, wenn dafür keine Grundlage besteht.

Verjährung spielt vor allem bei Schadensersatzansprüchen eine Rolle. Datenschutzrechtliche Schadensersatzansprüche unterliegen regelmäßig den allgemeinen zivilrechtlichen Verjährungsregeln. Häufig beträgt die regelmäßige Verjährungsfrist drei Jahre ab Schluss des Jahres, in dem der Anspruch entstanden ist und die betroffene Person Kenntnis von den anspruchsbegründenden Umständen und der Person des Schuldners hatte oder ohne grobe Fahrlässigkeit hätte haben müssen. Besonderheiten können sich im Arbeitsverhältnis, bei vertraglichen Ausschlussfristen oder spezialgesetzlichen Regelungen ergeben.

Für Unternehmen empfiehlt sich ein Fristenkalender, der Datenschutzanfragen, Datenpannen, Löschtermine, Aufbewahrungsfristen und Prüfzyklen erfasst. Für Betroffene ist wichtig, Anfragen und Reaktionen zu dokumentieren, damit später nachvollziehbar bleibt, wann welche Frist begonnen hat und wie der Verantwortliche reagiert hat.

Beweisfragen und Dokumentation im Datenschutz

Im Datenschutzrecht ist Dokumentation kein Nebenaspekt, sondern Teil der rechtlichen Pflichterfüllung. Die DSGVO verpflichtet Verantwortliche zur Rechenschaft. Sie müssen also nicht nur datenschutzkonform handeln, sondern dies auch nachweisen können. Das Bundesdatenschutzgesetz ergänzt diesen Rahmen dort, wo es besondere Verarbeitungssituationen regelt. Wer im Streitfall nicht erklären kann, warum eine Datenverarbeitung erforderlich war, welche Rechtsgrundlage gewählt wurde und welche Schutzmaßnahmen bestanden, hat regelmäßig ein erhebliches Beweisproblem.

Beweisfragen stellen sich auf beiden Seiten. Verantwortliche müssen etwa nachweisen können, dass sie Betroffenenanfragen rechtzeitig beantwortet, Einwilligungen wirksam eingeholt, Löschfristen umgesetzt oder Dienstleister ordnungsgemäß eingebunden haben. Betroffene müssen bei Schadensersatzforderungen darlegen, welche Datenverarbeitung beanstandet wird, warum sie rechtswidrig sein soll und welcher Schaden entstanden ist. Je nach Konstellation können auch Indizien genügen oder Darlegungslasten abgestuft sein. Eine sorgfältige Dokumentation verbessert die Position aber regelmäßig erheblich.

Benötigte Nachweise können unter anderem sein:

• Verzeichnis der Verarbeitungstätigkeiten mit Zwecken, Datenkategorien, Empfängern und Löschfristen.
• Datenschutzhinweise, Informationsschreiben und Versionen früherer Datenschutzerklärungen.
• Einwilligungsprotokolle mit Zeitpunkt, Inhalt, Widerrufshinweis und technischer Erfassung.
• Interessenabwägungen nach Art. 6 Abs. 1 lit. f DSGVO, insbesondere bei Werbung, Sicherheit oder internen Prüfungen.
• Dokumentation nach § 26 BDSG bei Verdachtsfällen im Beschäftigungsverhältnis.
• Auftragsverarbeitungsverträge, Weisungen, Sicherheitskonzepte und Dienstleisterprüfungen.
• Löschkonzepte, Löschprotokolle und Nachweise über Einschränkungen der Verarbeitung.
• Korrespondenz zu Auskunfts-, Löschungs-, Berichtigungs- oder Widerspruchsersuchen.
• Meldungen und interne Bewertungen von Datenschutzverletzungen einschließlich 72-Stunden-Prüfung.

Gerade bei internen Ermittlungen, Videoüberwachung oder automatisierten Entscheidungen sollte die Dokumentation vor Beginn oder jedenfalls zeitnah erfolgen. Nachträgliche Begründungen wirken oft weniger belastbar. Für Betroffene empfiehlt es sich, Anfragen schriftlich zu stellen, Eingangsbestätigungen zu sichern und erhaltene Auskünfte geordnet abzulegen. Screenshots, Vertragsunterlagen, E-Mail-Korrespondenz und behördliche Schreiben können später entscheidend sein.

Handlungsschritte für Unternehmen und Betroffene

Ein sinnvoller Umgang mit dem Bundesdatenschutzgesetz beginnt nicht erst, wenn eine Aufsichtsbehörde schreibt oder ein Auskunftsersuchen eingeht. Verantwortliche sollten ihre Datenverarbeitungen so strukturieren, dass Zuständigkeiten, Rechtsgrundlagen und Fristen nachvollziehbar sind. Betroffene wiederum sollten ihre Rechte gezielt geltend machen und Belege sichern. Die folgenden Schritte können als Orientierung dienen, müssen aber an die konkrete Situation angepasst werden.

• Datenverarbeitung erfassen: Unternehmen sollten prüfen, welche personenbezogenen Daten wo, zu welchem Zweck, durch wen und wie lange verarbeitet werden. Ohne diese Bestandsaufnahme lassen sich DSGVO und BDSG kaum zuverlässig anwenden.
• Rollen klären: Festzustellen ist, wer Verantwortlicher, gemeinsamer Verantwortlicher oder Auftragsverarbeiter ist. Diese Einordnung beeinflusst Verträge, Informationspflichten und Haftungsrisiken.
• Rechtsgrundlagen bestimmen: Für jede wesentliche Verarbeitung sollte dokumentiert werden, ob Vertrag, gesetzliche Pflicht, berechtigtes Interesse, Einwilligung, Beschäftigtenkontext oder eine Spezialnorm einschlägig ist.
• BDSG-Sonderfragen prüfen: Relevant sind insbesondere § 38 BDSG zur Benennung eines Datenschutzbeauftragten, § 26 BDSG zu Beschäftigtendaten sowie Regelungen zu Scoring, besonderen Daten und Beschränkungen von Betroffenenrechten.
• Fristenkalender einrichten: Auskunftsersuchen sind grundsätzlich innerhalb eines Monats zu beantworten; meldepflichtige Datenschutzverletzungen sind grundsätzlich binnen 72 Stunden gegenüber der Aufsicht zu prüfen und gegebenenfalls zu melden.
• Dokumentation sichern: Entscheidungen über Interessenabwägungen, Einwilligungen, Löschfristen, Dienstleister und Sicherheitsmaßnahmen sollten versioniert abgelegt werden. Dies ist auch für spätere Beweisfragen wichtig.
• Lösch- und Aufbewahrungskonzept erstellen: Daten sollten nicht unbegrenzt gespeichert werden. Gleichzeitig müssen handels-, steuer-, arbeits- oder haftungsrechtliche Aufbewahrungspflichten berücksichtigt werden.
• Dienstleister überprüfen: Cloud-Anbieter, IT-Dienstleister, Lohnbüros, Marketingagenturen oder Aktenvernichter benötigen je nach Rolle passende Verträge, Weisungen und Sicherheitsstandards.
• Beschäftigte schulen: Mitarbeitende sollten wissen, wie sie mit Auskunftsersuchen, Datenpannen, Bewerberdaten, Kundendaten und sensiblen Informationen umgehen müssen.
• Bei Betroffenenanfragen strukturiert vorgehen: Betroffene sollten ihr Anliegen schriftlich formulieren, den Zeitraum und das Vertrags- oder Beschäftigungsverhältnis nennen und Fristen notieren. Unternehmen sollten Identität, Umfang und Rechte Dritter prüfen.
• Datenpannen bewerten: Bei Verlust, Fehlversand, Ransomware oder unbefugtem Zugriff sollte zeitnah geklärt werden, welche Daten betroffen sind, ob ein Risiko besteht und welche Schutzmaßnahmen erforderlich sind.
• Streitfälle rechtlich einordnen: Bei Bußgeldverfahren, arbeitsrechtlichen Konflikten, Schadensersatzforderungen oder komplexen Auskunftsfragen kann eine rechtliche Prüfung helfen, unnötige Eskalationen und Beweisnachteile zu vermeiden.

Für kleinere Unternehmen ist es oft sinnvoll, mit den risikoreichsten Bereichen zu beginnen: Beschäftigtendaten, Kundendatenbanken, Webseiten-Tracking, Dienstleister, Löschfristen und Betroffenenanfragen. Für größere Organisationen kommt die Governance-Ebene hinzu, also Verantwortlichkeiten, Kontrollprozesse und Berichtswege. Betroffene sollten dagegen zunächst klären, welches konkrete Ziel sie verfolgen: Auskunft, Berichtigung, Löschung, Widerspruch, Beschwerde oder Schadensersatz. Je genauer das Ziel formuliert ist, desto besser lässt sich der weitere Weg bestimmen.

FAQ zum Bundesdatenschutzgesetz

Fazit: Bundesdatenschutzgesetz richtig einordnen

Das Bundesdatenschutzgesetz bleibt ein wichtiger Bestandteil des deutschen Datenschutzrechts, wirkt aber immer im Zusammenspiel mit der DSGVO und einschlägigen Spezialgesetzen. Für Unternehmen stehen vor allem Rechtsgrundlagen, Beschäftigtendaten, Datenschutzbeauftragte, Dokumentation, Löschkonzepte und Fristen im Vordergrund. Betroffene sollten ihre Rechte gezielt formulieren, Nachweise sichern und Reaktionsfristen im Blick behalten.

Priorität haben regelmäßig eine saubere Bestandsaufnahme der Datenverarbeitung, die Prüfung der passenden Rechtsgrundlage, die Klärung besonderer BDSG-Anforderungen und eine belastbare Dokumentation. Bei Datenpannen, arbeitsrechtlichen Konflikten, Scoring, Auskunftsstreitigkeiten oder möglichen Schadensersatzansprüchen hängt die Bewertung stark vom Einzelfall ab. Pauschale Lösungen sind hier selten tragfähig. Wer frühzeitig strukturiert vorgeht, reduziert Beweisprobleme und kann rechtliche Risiken sachlich einordnen.