Das Bundesdatenschutzgesetz (BDSG) ist das deutsche Gesetz, das die DSGVO dort ergänzt, wo die EU den Mitgliedstaaten eigene Regeln erlaubt. Die DSGVO bleibt das Hauptgesetz und gilt unmittelbar. Das BDSG füllt die Lücken: wann Gesundheitsdaten verarbeitet werden dürfen, wer einen Datenschutzbeauftragten braucht, wie weit die Aufsicht bei Berufsgeheimnisträgern gehen darf und welche Verstöße strafbar sind. Die heutige Fassung gilt seit dem 25. Mai 2018.
Ein Beispiel aus dem Alltag
Die Physiotherapiepraxis Muster (ein erfundenes Beispiel) hat 22 Mitarbeitende, die täglich mit der Praxissoftware arbeiten. Drei Fragen landen auf dem Tisch der Inhaberin:
- Darf die Praxis Befunde und Behandlungsverläufe speichern? Die DSGVO verbietet die Verarbeitung von Gesundheitsdaten grundsätzlich. Die Erlaubnis für die Behandlung steht in Art. 9 DSGVO in Verbindung mit § 22 BDSG.
- Braucht die Praxis einen Datenschutzbeauftragten? Die DSGVO selbst verlangt das nur in bestimmten Fällen. Das BDSG legt in § 38 fest: ab 20 Personen, die ständig mit der Verarbeitung beschäftigt sind, ja.
- Darf die Datenschutzaufsicht bei einer Prüfung Einsicht in Patientenakten verlangen? Hier zieht § 29 BDSG eine Grenze zugunsten der Schweigepflicht.
Alle drei Antworten stehen nicht in der DSGVO, sondern im BDSG.
Das BDSG im Einzelnen
Warum es neben der DSGVO ein BDSG gibt
Die DSGVO ist eine Verordnung und gilt in jedem EU-Staat direkt. An vielen Stellen erlaubt sie aber nationale Regeln, die sogenannten Öffnungsklauseln. Beispiele: Art. 9 Abs. 2 und 4 (besondere Kategorien wie Gesundheitsdaten), Art. 23 (Beschränkung von Betroffenenrechten), Art. 37 Abs. 4 (Datenschutzbeauftragter) und Art. 88 (Beschäftigtendaten). Deutschland hat diese Spielräume im BDSG genutzt.
Das BDSG gilt für nicht-öffentliche Stellen, also Unternehmen, Praxen, Kanzleien und Vereine, sowie für öffentliche Stellen des Bundes. Landesbehörden folgen den Landesdatenschutzgesetzen. Wo DSGVO und BDSG sich widersprechen, geht die DSGVO vor. Das Gesetz kann also nichts erlauben, was die DSGVO verbietet. Was die DSGVO selbst regelt, erklärt unser Beitrag Was ist die DSGVO?.
§ 22 BDSG: Gesundheitsdaten und andere besondere Kategorien
Art. 9 DSGVO verbietet die Verarbeitung besonderer Kategorien personenbezogener Daten, etwa Gesundheitsdaten, genetische und biometrische Daten, außer eine Ausnahme greift. § 22 BDSG konkretisiert diese Ausnahmen für Deutschland, unter anderem für Gesundheitsvorsorge, medizinische Diagnostik und Behandlung durch Personen, die einer Schweigepflicht unterliegen. Dazu verlangt § 22 Abs. 2 angemessene Schutzmaßnahmen, etwa Zugriffsbeschränkungen, Verschlüsselung, Pseudonymisierung und die Sensibilisierung der Mitarbeitenden. Mehr zur Grundnorm in unserem Beitrag zu Art. 9 DSGVO und Gesundheitsdaten.
§ 26 BDSG: Beschäftigtendaten
§ 26 BDSG regelt, wann Arbeitgeber Daten ihrer Beschäftigten verarbeiten dürfen, etwa für Einstellung, Durchführung und Beendigung des Arbeitsverhältnisses, und erlaubt Kollektivvereinbarungen wie Betriebsvereinbarungen als Grundlage. Wichtig: Der Europäische Gerichtshof hat 2023 (Rechtssache C-34/21) zu einer fast gleichlautenden hessischen Regelung entschieden, dass eine solche nationale Vorschrift nur angewendet werden darf, wenn sie die strengen Anforderungen von Art. 88 Abs. 2 DSGVO erfüllt. Seitdem gilt § 26 Abs. 1 Satz 1 BDSG nach verbreiteter Auffassung als nicht mehr anwendbar. Arbeitgeber stützen die Verarbeitung im Arbeitsverhältnis deshalb in der Regel direkt auf Art. 6 DSGVO, etwa die Erfüllung des Arbeitsvertrags oder eine rechtliche Verpflichtung.
§ 38 BDSG: Datenschutzbeauftragter ab 20 Personen
Ein Unternehmen muss einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl gilt die Pflicht, wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist oder wenn Daten geschäftsmäßig zum Zweck der Übermittlung oder der Markt- und Meinungsforschung verarbeitet werden. Mitgezählt werden alle, die regelmäßig mit Daten arbeiten, auch Teilzeitkräfte und Auszubildende.
§ 29 BDSG: Berufsgeheimnisträger
§ 29 BDSG schützt Geheimnisse, die nicht offengelegt werden dürfen. Zwei Punkte sind für Praxen und Kanzleien wichtig:
- Betroffenenrechte: Informations- und Auskunftspflichten gelten nicht, soweit dadurch Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach geheim gehalten werden müssen, etwa wegen überwiegender Interessen eines Dritten.
- Grenzen der Aufsicht: Nach § 29 Abs. 3 bestehen bestimmte Untersuchungsbefugnisse der Datenschutzaufsicht, insbesondere der Zugang zu Räumen und zu Daten, gegenüber Berufsgeheimnisträgern nach § 203 StGB nicht, soweit ihre Ausübung zu einem Verstoß gegen deren Geheimhaltungspflicht führen würde.
Das heißt nicht, dass Praxen und Kanzleien unbeaufsichtigt sind. Die übrigen Pflichten der DSGVO bleiben vollständig bestehen.
Aufsicht, Bußgelder und Strafvorschriften
Zuständig für Unternehmen ist die Datenschutzbehörde des jeweiligen Bundeslandes. Bußgelder richten sich nach Art. 83 DSGVO: bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Zusätzlich enthält § 42 BDSG Strafvorschriften: Wer wissentlich nicht allgemein zugängliche Daten einer großen Zahl von Personen ohne Berechtigung gewerbsmäßig weitergibt, riskiert bis zu drei Jahre Freiheitsstrafe. Die Tat wird nur auf Antrag verfolgt.
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.
Was das BDSG nicht schützt
Das BDSG baut auf der DSGVO auf und übernimmt damit auch deren Grenze: Es schützt personenbezogene Daten, also Informationen über erkennbare Menschen. Nach Erwägungsgrund 26 DSGVO gilt das Datenschutzrecht für anonyme Informationen nicht. Was keinem Menschen mehr zugeordnet werden kann, fällt aus DSGVO und BDSG gleichermaßen heraus.
Für Praxen und Kanzleien heißt das: § 22 BDSG schützt den Befund einer bestimmten Patientin. Denselben Befund ohne Namen, Geburtsdatum und Versichertennummer, also Diagnose, Medikation und Verlauf, schützt er nicht mehr. Solche Datensätze dürfen rechtmäßig gebündelt, lizenziert und verkauft werden, etwa an Datenhändler, Versicherer oder KI-Entwickler.
Zwei Einschränkungen dazu:
- Pseudonymisiert ist nicht anonymisiert. Ersetzt jemand den Namen nur durch eine Nummer, bleibt das Datum personenbezogen, jedenfalls für jeden, der die Zuordnung herstellen kann. Mehr dazu unter Pseudonymisierung und Anonymisierung.
- Echte Anonymität ist schwer. Forschende haben gezeigt, dass sich 99,98 % der US-Amerikaner aus 15 Merkmalen wieder identifizieren lassen. Mit KI wird solcher Abgleich billiger.
Wie aus einem einzelnen Dokument ein handelbarer Datensatz wird, zeigt Die Datenspur. Die Quellen finden Sie auf Legal verkäuflich.
Was das für KI-Werkzeuge bedeutet
Wenn Sie in Praxis, Kanzlei oder Unternehmen ein KI-Werkzeug einführen, prüfen Sie:
- AVV nach Art. 28 DSGVO: Handelt der Anbieter nur auf Ihre Weisung?
- Schutzmaßnahmen nach § 22 BDSG: Sind Gesundheitsdaten verschlüsselt und der Zugriff beschränkt?
- Lizenz: Erlauben die Nutzungsbedingungen dem Anbieter, Ihre Inhalte weiterzuverwenden, auch „anonymisiert“ oder „aggregiert“?
- Training und Speicherung: Wird mit Ihren Eingaben trainiert, und speichern die angebundenen Modellanbieter etwas?
- Datenschutzbeauftragter: Wenn Sie einen haben, beziehen Sie ihn vor der Einführung ein.
Wysor ist Auftragsverarbeiter nach Art. 28 DSGVO und verarbeitet Ihre Inhalte nur, um den Dienst für Sie zu erbringen. Wir nehmen uns keine Lizenz zur Weiterverwendung, trainieren nicht mit Ihren Inhalten und verkaufen sie nicht, weder personenbezogen noch anonymisiert. Das steht im Vertrag und bindet auch jeden, dem Wysor künftig gehören könnte. Ihre Daten sind bei der Übertragung und im Ruhezustand verschlüsselt und werden in der EU gehostet. Bei jedem angebundenen KI-Modellanbieter gilt Zero Data Retention: Die Daten werden verarbeitet und danach gelöscht. Sie arbeiten in einem Arbeitsbereich mit mehreren Modellen, darunter GPT, Claude und Gemini. So lässt sich KI DSGVO-konform nutzen, auch in Praxen und Kanzleien.
Häufige Fragen
Was ist das BDSG? Das Bundesdatenschutzgesetz ist das deutsche Datenschutzgesetz, das die DSGVO ergänzt. Es regelt die Punkte, bei denen die DSGVO den Mitgliedstaaten eigene Regeln erlaubt, etwa Beschäftigtendaten, Gesundheitsdaten und den Datenschutzbeauftragten.
Was ist der Unterschied zwischen DSGVO und BDSG? Die DSGVO ist EU-Recht und gilt in allen Mitgliedstaaten unmittelbar. Das BDSG ist deutsches Recht und füllt nur die Spielräume, die die DSGVO lässt. Bei einem Widerspruch geht die DSGVO vor.
Ab wann braucht man nach BDSG einen Datenschutzbeauftragten? In der Regel ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Unabhängig davon, wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder Daten geschäftsmäßig zur Übermittlung verarbeitet werden.
Gilt § 26 BDSG noch? Die Vorschrift steht weiter im Gesetz. Nach dem EuGH-Urteil von 2023 (C-34/21) gilt aber die Generalklausel in § 26 Abs. 1 Satz 1 nach verbreiteter Auffassung als nicht mehr anwendbar. Arbeitgeber stützen sich deshalb meist direkt auf Art. 6 DSGVO.
Gilt das BDSG für anonymisierte Daten? Nein. Wie die DSGVO gilt das BDSG nur für personenbezogene Daten. Wirklich anonymisierte Daten fallen heraus und können rechtmäßig weitergegeben werden.
Weiterlesen
- Was ist die DSGVO?. Die Grundregeln, auf denen das BDSG aufbaut.
- § 203 StGB einfach erklärt. Die Schweigepflicht, die § 29 BDSG schützt.
- TDDDG einfach erklärt. Cookies, Tracker und Einwilligung.
- Legal verkäuflich. Die Quellen hinter dem Markt für anonymisierte Daten.
Fragen zu BDSG, AVV oder Datenschutz in Wysor? Schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der App.
