Source: https://keyed.de/blog/bdsg-und-dsgvo/
Timestamp: 2019-09-15 09:43:06
Document Index: 50434194

Matched Legal Cases: ['Art. 1', 'Art. 1', 'Art. 1', 'Art. 85', 'Art. 88', 'Art. 37', 'Art. 288', 'Art. 83', '§ 43', '§ 42', '§ 42', 'Art. 38', 'Art. 37', 'Art. 37', '§ 38', 'Art. 39', 'Art. 12', 'Art. 13', 'Art. 15', 'Art. 15', 'Art. 5', 'Art. 28', 'Art. 28', 'Art. 30', 'Art. 88', 'Art. 88', '§ 26']

11. Mai 2019 Nils Möllers
Beide! Die Datenschutz-Grundverordnung ist eine europaweite Verordnung, welche von den einzelnen Mitgliedsstaaten der europäischen Union umgesetzt werden muss. Durch sogenannte Öffnungsklauseln überlässt der europäische Gesetzgeber den Ländern der EU gewisse Sachverhalte spezifisch durch zusätzliche Gesetze genauer zu definieren.
Selbstverständlich dürfen sich die nationalen Gesetze, wie das Bundesdatenschutzgesetz (BDSG), nicht in den Grundsätzen der Datenschutzgrundverordnung unterscheiden. Schließlich gilt Europarecht vor nationalem Recht. Dennoch gibt es gewisse Freiheiten für die nationale Gesetzgebung.
Im folgenden Beitrag möchten wir Ihnen aufzeigen, welche Besonderheiten Sie in dem Zusammenspiel zwischen DSGVO und BDSG beachten müssen.
DSGVO vs. BDSG – Was gilt denn nun?
Das Verhältnis zwischen DSGVO und BDSG
Die wichtigsten Neuregelungen der DSGVO und des BDSG
Die Datenschutz Grundverordnung, abgekürzt auch DSGVO oder EU-DSGVO genannt, wird seit dem 25. Mai 2018 angewendet. Diese neue Datenschutzverordnung aus Mai 2018 trat formell bereits am 25. Mai 2016 in Kraft, damit den verantwortlichen Stellen genügend Zeit für die rechtzeitige Umsetzung bis zum 25. Mai 2018 verbleibt.
Diese neue Verordnung aus dem Jahr 2018, auch gerne als EU-Datenschutz-Grundverordnung oder EU-Datenschutzverordnung bezeichnet, regelt Datenschutzvorschriften, die für alle Mitgliedstaaten der Europäischen Union unmittelbar gelten. Dies bedeutet, dass es keiner weiteren gesetzlichen Umsetzung durch die Mitgliedstaaten bedarf, anders als zum Beispiel bei europäischen Richtlinien.
Durch die neue Datenschutzgrundverordnung soll ein weitestgehend einheitliches Datenschutzrecht innerhalb der EU etabliert werden. Die EU-Datenschutzgrundverordnung regelt u.a. die Rechte und Kontrollmöglichkeiten der Betroffen, welche durch das neue Regelwerk gestärkt werden. Es geht also um den Schutz der Personen, deren personenbezogene Daten verwendet werden.
Die Ziele der Datenschutz Grundverordnung aus dem Jahr 2018 sind in Art. 1 DSGVO definiert: Zum einen geht es in der neuen europäischen EU-Datenschutz-Grundverordnung um den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und um den Schutz der Grundrechte und Grundfreiheiten natürlicher Personen, Art. 1 Abs.1 und Abs. 2 DSGVO. Art. 1 Abs. 3 DSGVO macht deutlich, dass der freie Verkehr personenbezogener Daten in der Union aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten weder eingeschränkt noch verboten werden darf.
Neue Regelungen in der DSGVO lassen sich beispielsweise im Segment der Rechtsgrundlagen, der Rechte der Betroffenen und der Pflichten der Verantwortlichen zu finden.
Das neue Bundesdatenschutzgesetz, kurz BDSG-neu, wurde am 05.07.2017 im Bundesgesetzblatt veröffentlicht. In Kraft getreten ist das neue BDSG zeitgleich mit der neuen DSGVO an 25.05.2018. Das Bundesdatenschutzgesetz-neu ergänzt die Regelungen der neuen EU-Datenschutz-Grundverordnung bzw. konkretisiert diverse Vorgaben aus der DSGVO. In der DSGVO sind in einigen Vorschriften sog. Öffnungsklauseln bzw. Konkretisierungsklauseln geregelt.
Durch diese Klauseln haben die einzelnen Mitgliedstaaten die Möglichkeit, die Vorgaben aus der DSGVO durch eigene gesetzliche Regelungen zu konkretisieren, spezifizieren bzw. zu modifizieren. Diese Regelungen dürfen allerdings den Vorgaben der DSGVO nicht widersprechen. Klauseln dieser Art finden sich z.B. in Art. 85 DSGVO für die Verarbeitung und Freiheit der Meinungsäußerung und Informationsfreiheit, für die Verarbeitung von personenbezogenen Daten im Beschäftigungskontext in Art. 88 DSGVO und für die Benennung eines Datenschutzbeauftragten in Art. 37 Abs. 4 S.1 2. Hs. DSGVO.
Für die Regelung des Datenschutzes existieren mit der DSGVO und dem BDSG-neu zwei Regelwerke. Um Datenschutzrecht effektiv einhalten zu können, muss das Verhältnis der beiden Gesetze zueinander gekannt werden. Festzuhalten ist zunächst, dass es sich bei der DSGVO um ein europarechtliches Regelwerk handelt, welches für alle Mitgliedstaaten innerhalb der Europäischen Union gilt.
Bemerkenswert ist hierbei, dass die Datenschutz-Grundverordnung keiner weiteren Umsetzung in den jeweiligen Mitgliedstaaten bedarf und somit unmittelbar gilt. Eine nationale Umsetzung für die Entfaltung der unmittelbaren Geltung, wie z.B. bei europarechtlichen Richtlinien, ist nicht erforderlich, vgl. Art. 288 Abs. 2 und Abs. 3 AEUV. Das Bundesdatenschutzgesetz-neu ist dagegen ein deutsches nationales Regelwerk und gilt daher nur innerhalb der Bundesrepublik Deutschland.
Als Teil des Unionsrechts genießt die DSGVO Anwendungsvorrang vor Bundesrecht, d.h. im Fall einer Normenkollision zwischen der DSGVO und dem BDSG-neu hat stets die DSGVO als ranghöheres Recht Anwendungsvorrang. Der Sinn in der Regelung eines weiteren Regelwerks in Form des BDSG-neu liegt darin, dass der europäische Gesetzgeber mit den Öffnungs- bzw. Konkretisierungsklauseln in der DSGVO den Mitgliedstaaten einen Handlungsspielraum eröffnen wollten, damit diese in einigen datenschutzrechtlich relevanten Bereichen eigene Vorschriften erlassen können. Im Grunde ist das BDSG-neu daher eine Ergänzung bzw. Konkretisierung der DSGVO. Im BDSG-neu finden sich somit nur Vorschriften, die in der DSGVO bewusst aus- bzw. offen gelassen sind.
Die neue Datenschutzverordnung DSGVO und das neue Bundesdatenschutzgesetz beinhalten einige wichtige Neuregelungen. Im Folgenden finden Sie eine DSGVO-Zusammenfassung und eine Übersicht bezüglich des neuen nationalen Datenschutzgesetzes BDSG-neu:
Die neuen Bußgeldvorschriften in der DSGVO haben für viel Aufmerksamkeit in den Medien gesorgt: Bußgelder von bis zu 20 Millionen Euro bzw. bis zu 4 Prozent des globale erzielten Jahresumsatzes, je nachdem, welcher Betrag höher ist, drohen den verantwortlichen Stellen nach der DSGVO, vgl. Art. 83 Abs. 5 DSGVO. Vor Anwendbarkeit der DSGVO bezifferte sich das maximal drohende Bußgeld nach dem alten Bundesdatenschutzgesetz auf 300.000 €.
Verstöße gegen die Sonderbestimmungen des BDSG-neu werden höchstens mit einem Bußgeld von 50.000 € geahndet, § 43 Abs. 2 BDSG-neu.
Wenn Personen wissentlich nicht allgemein zugängliche personenbezogene Daten einer großen Zahl von Personen übermitteln oder zugänglich machen, ohne hierzu berechtigt zu sein und dabei gewerbsmäßig handeln, können sie sogar eine Freiheitsstrafe von bis zu drei Jahren oder mit einer Geldstrafe bestraft werden, vgl. § 42 Abs. 1 BDSG-neu.
Zudem wird gem. § 42 Abs. 1 BSDG-neu mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft, wer personenbezogene Daten, die nicht allgemein zugänglich sind, ohne hierzu berechtigt zu sein, verarbeitet oder durch unrichtige Angaben erschleicht und hierbei gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen.
Die Stellung des Datenschutzbeauftragten (DSB) wird ähnlich wie im alten BDSG geregelt, vgl. Art. 38 DSGVO. Ab wann genau ein DSB zu bestellen bzw. zu benennen ist, dürfen die Mitgliedstaaten aufgrund der Öffnungsklausel in Art. 37 Abs. 4 S.1 2. Hs. DSGVO im Einzelnen in eigenen Regelungen konkretisieren. Die Pflicht, einen Datenschutzbeauftragten nach der DSGVO zu bestellen bzw. zu benennen, ist in Art. 37 DSGVO nicht sehr präzise definiert.
Deutschland hat von dieser Öffnungsklausel Gebrauch gemacht und die Anforderungen, ab wann genau ein Datenschutzbeauftragter zu benennen ist, präzisiert bzw. verschärft geregelt: Nach dem neuen Datenschutzgesetz BDSG-neu aus dem Jahr 2018 müssen verantwortliche Stelle oder Auftragsverarbeiter einen Datenschutzbeauftragten benennen, soweit sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.
Hiernach muss ein DSB angestellt werden, sobald sich mindestens 10 Personen mit der Verarbeitung von personenbezogener Daten beschäftigen, § 38 Abs. 1 S.1 2. Hs. BDSG-neu.
Die neue Datenschutzgrundverordnung DSGVO regelt umfassende Überwachungspflichten für den DSB. So muss der Datenschutzbeauftragte gem Art. 39 Abs. 1 lit. b) DSGVO die Einhaltung dieser Verordnung und anderer Datenschutzgesetze der Union bzw. der Mitgliedstaaten überwachen.
Der Aufwand für die Einhaltung von Datenschutzgesetzen wie die DSGVO und das BDSG-neu werden in der Zukunft weiter zunehmen: Datenschutz enthält eine gewisse Dynamik, weshalb die Anforderungen an die Überwachung & Dokumentation laufend steigen.
Das Stichwort “Transparenz” spielt bei der Datenverarbeitung in den neuen Datenschutzbestimmungen aus 2018 eine große Rolle: Gem. Art. 12 Abs.1 S.1 DSGVO müssen Informationen, die betroffenen Personen nach den Art. 13 und 14 DSGVO mitgeteilt werden müssen, präzise, transparent, verständlich und in einer leicht zugänglicher Form in einer klaren und einfachen Sprache übermittelt werden.
Nach diesem Transparenzgrundsatz aus der Datenschutz-Grundverordnung müssen die betroffenen Personen noch umfangreicher und verständlicher über die Art und den Umfang der Verarbeitung ihrer personenbezogenen Daten informiert werden.
Die Auskunftsrechte von betroffenen Personen in Artikel 15 DSGVO
Die Betroffenenrechte von Personen, deren personenbezogenen Daten verarbeitet werden, wurden signifikant verstärkt. So existiert in Art. 15 DSGVO ein umfassendes Auskunftsrecht gegenüber verantwortlichen Stellen beispielsweise bezüglich der Verarbeitungszwecke oder die geplante der vorgenommen Verarbeitung von personenbezogenen Daten, vgl. Art. 15 Abs. 1 lit. a) und lit. d) DSGVO.
Die Nachweispflichten für die Einhaltung des Datenschutzes haben für verantwortliche Stellen drastisch zugenommen. Aus dieser Pflicht resultieren umfassende Dokumentationspflichten bezüglich der Einhaltung des Datenschutzes, vgl. Art. 5 Abs. 2 DSGVO.
Diese und weitere umfassende Datenschutzbestimmungen aus der neuen Datenschutz-Grundverordnung erfordern ein organisiertes Datenschutz-Management-System der Unternehmen und verantwortlichen Stellen. Diese Datenschutz-Management-Systeme müssen den umfassenden Vorgaben der neuen Datenschutzverordnung genüge und laufend aktualisiert werden.
Auftragsverarbeitung gemäß der DSGVO
Die gesetzlichen Vorgaben für die sog. Auftragsverarbeitung, früher im alten Bundesdatenschutzgesetz noch als Auftragsdatenverarbeitung bezeichnet, ergeben sich unmittelbar aus Art. 28 DSGVO.
In Art. 28 DSGVO ist insbesondere geregelt, welche Elemente ein Vertrag für die Auftragsverarbeitung enthalten muss, der zwischen Auftraggeber und Auftragnehmer geschlossen werden muss.
Darüber hinaus existiert für Auftragsverarbeiter die Pflicht, ein Verzeichnis zu allen Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung zu führen, Art. 30 Abs. 2 DSGVO.
Auch der Arbeitnehmerschutz ist rechtlich in der DSGVO verankert:
Hier wurden einige Prinzipien aus dem alten Bundesdatenschutzgesetz implementiert. Durch Rechtsvorschriften bzw. durch Kollektivvereinbarungen dürfen Mitgliedstaaten konkrete Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext erlassen.
Die Anforderungen an derartige Rechtsvorschriften sind in Art. 88 Abs. 2 DSGVO näher bezeichnet: Diese müssen geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen sowie der Grundrechte der betroffenen Personen umfassen.
Deutschland hat von der Klausel in Art. 88 Abs. 1 DSGVO Gebrauch gemacht und eine Regelung im neuen Bundesdatenschutzgesetz aus 2018 in § 26 BDSG-neu getroffen.
Aus diesen neuen Bestimmungen können sich daher Pflichten bezüglich der Anpassung von Betriebsvereinbarungen ergeben.
Das BDSG-neu kann nicht als ein eigenständiges und vollständiges Gesetz angesehen werden. Es konkretisiert und ergänzt lediglich das Datenschutzrecht der EU-DSGVO. Es kann also nicht alleine, sondern nur in Verbindung der DSGVO in Betracht gezogen werden.
: bdsg, bdsg und dsgvo, datenschutz, dsgvo, Verhältnis dsgvo und bdsg
Endlich ist mir das Verhältnis zwischen DSGVO und BDSG klar, vielen Dank für die Erläuterungen.
13. September 2019 12:19
Gerne. Vielen Dank für den Beitrag!
Die Datenschutz-Folgenabschätzung ist ein in der DSGVO geregeltes neues Verfahren. Zuvor existierte im alten BDSG mit der Vorabkontrolle ein…