Die DSGVO gilt unmittelbar als europäische Verordnung. Das Bundesdatenschutzgesetz ergänzt sie dort, wo das Unionsrecht nationale Regelungen zulässt oder verlangt. Für eine Verarbeitung in Deutschland lautet die Frage deshalb meistens nicht, welches der beiden Gesetze man auswählt, sondern welche Vorschriften gemeinsam anwendbar sind. Eine nationale Erlaubnis muss sich innerhalb des unionsrechtlichen Spielraums halten; sie setzt die Grundsätze der DSGVO nicht außer Kraft.
Dieser Vergleich erläutert die wichtigsten Entscheidungen für Unternehmen und andere Verantwortliche, geprüft am 28. September 2026. Die aktuelle BDSG-Fassung im Bundesportal berücksichtigt Änderungen aus 2026. Eine Beschreibung als „zuletzt geändert 2023“ wäre daher überholt. Für konkrete Vorgänge sind außerdem Fachgesetze, gegebenenfalls Landesrecht und einschlägige Rechtsprechung zu prüfen. Eine allgemeine Gegenüberstellung kann diese Zuordnung erleichtern, aber nicht jede sektorale Sonderregel vollständig erfassen.
Welche Aufgabe haben DSGVO und BDSG jeweils?
Die DSGVO regelt unter anderem Rechtsgrundlagen, Transparenz, Betroffenenrechte, Sicherheit, Auftragsverarbeitung und internationale Übermittlungen. Sie schafft auch die europäischen Grundregeln für Aufsicht, Haftung und Geldbußen. Das BDSG enthält beispielsweise ergänzende Vorschriften zum Beschäftigtendatenschutz, zur Benennung von Datenschutzbeauftragten sowie zu bestimmten Verarbeitungssituationen und Einschränkungen von Betroffenenrechten. Außerdem regelt es Aufgaben und Organisation der Bundesaufsicht. Beide Gesetze sind deshalb nicht wie alternative Vertragsbedingungen austauschbar.
Eine Öffnungsklausel ist eine Vorschrift der DSGVO, die nationalen Gestaltungsspielraum eröffnet. Dieser Spielraum kann eng begrenzt sein. Artikel 88 betrifft spezifischere Vorschriften für Beschäftigtendaten, Artikel 9 lässt unter bestimmten Bedingungen nationale Regelungen zu besonderen Datenkategorien zu, und Artikel 23 erlaubt nur qualifizierte Beschränkungen bestimmter Rechte. Prüfen Sie bei einer BDSG-Norm daher auch, welche europäische Vorschrift sie trägt und welche Voraussetzungen diese vorgibt.
Für die Praxis empfiehlt sich eine kurze Begründung pro Verarbeitung: Zweck, Grund nach Artikel 6, gegebenenfalls zusätzliche Bedingung nach Artikel 9 oder 10 und einschlägige nationale Regel. Nicht jeder Datensatz braucht eine besondere BDSG-Erlaubnis. Viele alltägliche Verarbeitungen werden unmittelbar nach der DSGVO beurteilt. Die Übersicht zu den DSGVO-Anforderungen hilft, diese allgemeine Prüfung von den nachfolgend beschriebenen deutschen Ergänzungen zu unterscheiden.
Gilt das BDSG für jede Stelle in Deutschland?
§ 1 BDSG unterscheidet öffentliche Stellen des Bundes, bestimmte Tätigkeiten öffentlicher Stellen der Länder und nichtöffentliche Stellen. Für Landesbehörden und Kommunen sind regelmäßig die jeweiligen Landesdatenschutzgesetze wichtig. Im privaten Bereich ist das BDSG grundsätzlich relevant, soweit sein sachlicher und räumlicher Anwendungsbereich eröffnet ist. Rein persönliche oder familiäre Tätigkeiten natürlicher Personen sind aus dem dort beschriebenen privaten Anwendungsbereich ausgenommen.
Auch die Aussage, eine ausländische Organisation ohne deutsche Niederlassung müsse immer nur die DSGVO beachten, wäre zu pauschal. § 1 Absatz 4 enthält mehrere Anknüpfungen, darunter Verarbeitung im Inland, Tätigkeiten einer inländischen Niederlassung und bestimmte Konstellationen ohne Niederlassung in EU oder EWR bei Anwendbarkeit der DSGVO. Prüfen Sie den konkreten Sachverhalt. Der Standort des Firmensitzes allein entscheidet nicht zuverlässig über alle ergänzenden deutschen Vorschriften.
Spezielle Bundesvorschriften über Datenschutz gehen nach § 1 Absatz 2 den allgemeinen BDSG-Vorschriften vor; soweit sie einen Sachverhalt nicht abschließend regeln, kann das BDSG ergänzend eingreifen. Das betrifft beispielsweise fachgesetzliche Konstellationen im Sozial- oder Gesundheitsbereich. Landesrecht kann ebenfalls relevant sein. Ein Unternehmen sollte daher nicht schon deshalb jede sektorale Vorschrift verwerfen, weil es eine private Rechtsform hat. Entscheidend sind Tätigkeit, Daten und jeweiliger gesetzlicher Anwendungsbereich.
Datenschutzbeauftragte: die deutsche Ergänzung verstehen
§ 38 Absatz 1 BDSG verlangt bei nichtöffentlichen Verantwortlichen und Auftragsverarbeitern eine Benennung, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Das ist nicht einfach die Gesamtzahl aller Beschäftigten. Ermitteln Sie, welche Personen die beschriebene Verarbeitung regelmäßig als Teil ihrer Tätigkeit ausüben. Dokumentieren Sie die tatsächlichen Aufgaben und prüfen Sie Veränderungen, etwa bei Wachstum oder einer neuen internen Organisation.
Daneben enthält § 38 Fälle unabhängig von dieser Personenzahl: Verarbeitungen, die einer Datenschutz-Folgenabschätzung unterliegen, sowie geschäftsmäßige Verarbeitung zum Zweck der Übermittlung, der anonymisierten Übermittlung oder der Markt- beziehungsweise Meinungsforschung. Eine Organisation unterhalb der Zahl 20 darf deshalb nicht nach dem Zählen aufhören. Prüfen Sie die Tätigkeiten und ihre gesetzlichen Voraussetzungen. Der Überblick zur DSFA-Pflicht nach Artikel 35 unterstützt den ersten dieser Prüfwege.
Zusätzlich gilt Artikel 37 DSGVO. Er erfasst unter anderem Kerntätigkeiten mit umfangreicher regelmäßiger und systematischer Überwachung sowie Kerntätigkeiten mit umfangreicher Verarbeitung besonderer Kategorien oder strafrechtlicher Daten. Für Behörden und öffentliche Stellen gilt ein eigener Benennungstatbestand, mit Ausnahme der Gerichte im Rahmen ihrer justiziellen Tätigkeit. Eine freiwillige Benennung ist von einer Pflicht zu unterscheiden. Die Rolle des Datenschutzbeauftragten umfasst Beratung und Kontrolle, während die Verantwortung für rechtmäßige Verarbeitung bei der Organisation bleibt.
Beschäftigtendaten: § 26 im europäischen Rahmen anwenden
§ 26 BDSG betrifft unter anderem die Entscheidung über die Begründung sowie die Durchführung und Beendigung eines Beschäftigungsverhältnisses. Er verlangt Erforderlichkeit und enthält zusätzliche Regeln, etwa für Ermittlungen wegen möglicher Straftaten, Einwilligungen und besondere Datenkategorien. Eine pauschale Klausel im Arbeitsvertrag rechtfertigt deshalb keine beliebige Sammlung von Mitarbeiterdaten. Beginnen Sie mit einer konkreten Aufgabe und fragen Sie, welche Informationen dafür tatsächlich benötigt werden.
Bei einer Einwilligung müssen insbesondere die Abhängigkeit im Arbeitsverhältnis und die Umstände berücksichtigt werden. § 26 Absatz 2 nennt mögliche Anhaltspunkte für Freiwilligkeit, etwa einen rechtlichen oder wirtschaftlichen Vorteil oder gleichgelagerte Interessen. Das bedeutet keine allgemeine Vermutung, dass jede unterschriebene Erklärung freiwillig ist. Stellen Sie die Folgen einer Ablehnung und eines Widerrufs verständlich dar. Für wirklich notwendige Personalverwaltung sollte die Rechtsgrundlage ohnehin nach dem konkreten gesetzlichen Tatbestand geprüft werden.
Das Urteil C-34/21 vom 30. März 2023 betraf den hessischen Schulbereich und die Anforderungen an nationale Vorschriften nach Artikel 88. Es hat § 26 BDSG nicht pauschal insgesamt aufgehoben. Der Gerichtshof verlangt für spezifischere nationale Regeln einen eigenständigen Regelungsgehalt und geeignete besondere Schutzmaßnahmen. Für Arbeitgeber folgt daraus, dass sie die europarechtlichen Grenzen ernsthaft prüfen müssen; ein bloßer Verweis auf § 26 genügt nicht als nachvollziehbare Beschreibung jeder HR-Verarbeitung.
Auch Betriebs- oder Dienstvereinbarungen sind kein rechtsfreier Raum. Im Urteil C-65/23 vom 19. Dezember 2024 bestätigte der Gerichtshof, dass neben Artikel 88 auch die Anforderungen aus Artikeln 5, 6 und 9 einzuhalten sind und die Erforderlichkeit vollständig gerichtlich überprüfbar bleibt. Regeln Sie deshalb Datenarten, Zwecke, Zugriffe, Überwachungsgrenzen und Löschung konkret. Beispiele für die Umsetzung finden Sie im Leitfaden zu Personalwesen und Mitarbeiterdaten.
Besondere Kategorien und Forschung nicht vermischen
Gesundheitsdaten und andere besondere Kategorien unterliegen dem zusätzlichen Schutz des Artikels 9 DSGVO. Eine Rechtsgrundlage nach Artikel 6 genügt dafür allein nicht. § 22 BDSG ergänzt bestimmte zulässige Konstellationen, etwa in den Bereichen soziale Sicherheit, Versorgung und öffentliche Gesundheit, mit jeweiligen Voraussetzungen. Er ist keine allgemeine Erlaubnis, sensible Daten zu verarbeiten, sobald eine Organisation einen nützlichen Zweck nennt.
§ 22 Absatz 2 verlangt angemessene spezifische Schutzmaßnahmen. Die Auswahl richtet sich nach der Verarbeitung und ihren Risiken. Praktisch können eingeschränkte Zugriffe, Trennung von Datenbeständen, Verschlüsselung und nachvollziehbare Bearbeitung relevant sein. Prüfen Sie, welche Person welche Informationen für ihre Aufgabe benötigt. Eine Personalabteilung braucht beispielsweise nicht automatisch dieselben medizinischen Einzelheiten wie eine behandelnde Fachperson. Die Einordnung unter Artikel 9 DSGVO sollte vor der technischen Freigabe feststehen.
Strafrechtliche Daten fallen unter Artikel 10 und sind nicht bloß eine weitere Untergruppe des Artikels 9. Ebenso dürfen Forschungsprojekte nicht pauschal mit § 22 begründet werden: Für Forschung enthält unter anderem § 27 eigene Voraussetzungen und Schutzanforderungen. Ein internes Projekt wird nicht allein durch seine Bezeichnung zu privilegierter wissenschaftlicher Forschung. Beschreiben Sie Erkenntnisziel, Methodik, Datenbedarf und die einschlägige gesetzliche Grundlage, bevor Sie Ausnahmen von allgemeinen Pflichten erwägen.
Scoring: § 31 ersetzt Artikel 22 nicht
§ 31 BDSG betrifft Scoring und Bonitätsauskünfte. Er enthält unter anderem Anforderungen an die Aussagekraft der verwendeten Daten sowie Grenzen für Anschriftendaten und bestimmte Forderungsinformationen. Die §§ 32 bis 37 bilden dagegen keinen allgemeinen Abschnitt zur Vertragsanbahnung und Bonitätsprüfung. Insbesondere § 35 regelt Löschung. Schon diese richtige Zuordnung verhindert, dass eine unpassende Vorschrift als scheinbare Rechtsgrundlage im Register landet.
Im Fall SCHUFA, C-634/21, vom 7. Dezember 2023 ging es unter anderem um die Rolle eines Wahrscheinlichkeitswerts bei der Kreditentscheidung. Die automatisierte Score-Erstellung kann selbst eine Entscheidung im Sinne von Artikel 22 darstellen, wenn der Dritte dem Wert eine maßgebliche Rolle für seine Entscheidung beimisst. Nicht jeder unterstützende Zahlenwert ist damit automatisch verboten. Es kommt auf seine tatsächliche Funktion und die Voraussetzungen des Artikels 22 an.
Prüfen Sie daher zwei Ebenen: Ist die Ermittlung und Verwendung der Daten rechtmäßig, und liegt zusätzlich eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung vor? Eine nur formale menschliche Bestätigung beantwortet die zweite Frage nicht zuverlässig. Dokumentieren Sie, welche Prüfung die entscheidende Person tatsächlich vornimmt und ob sie das Ergebnis ändern kann. Die Erläuterung zu automatisierten Entscheidungen nach Artikel 22 hilft bei dieser Prozessanalyse.
Auskunft und Geheimhaltung: Ausnahmen konkret begründen
Die DSGVO gewährt das Auskunftsrecht; das BDSG enthält ergänzende Einschränkungen. § 29 behandelt bestimmte Geheimhaltungskonstellationen, beispielsweise wenn eine Auskunft gesetzlich oder ihrem Wesen nach geheimhaltungsbedürftige Informationen offenbaren würde. Daraus folgt keine pauschale Ausnahme für jede interne Unterlage. Prüfen Sie die betroffenen Informationen und Interessen. Wenn sich geschützte Angaben durch Schwärzung oder eine verständliche Zusammenstellung abgrenzen lassen, ist eine vollständige Ablehnung nicht ohne Weiteres gerechtfertigt.
§ 34 Absatz 1 Nummer 2 BDSG ist ebenfalls eng zu lesen. Er betrifft Daten, die ausschließlich wegen gesetzlicher oder satzungsmäßiger Aufbewahrungspflichten oder allein für Datensicherung beziehungsweise Datenschutzkontrolle gespeichert sind. Zusätzlich muss die Auskunft unverhältnismäßigen Aufwand erfordern und eine Verarbeitung zu anderen Zwecken durch geeignete Maßnahmen ausgeschlossen sein. Der bloße Hinweis „Archiv“ oder „Back-up“ erfüllt diese kumulativen Bedingungen nicht.
Dokumentieren Sie die Gründe einer Einschränkung und prüfen Sie die Mitteilung an die betroffene Person. Wenn einem Antrag nicht entsprochen wird, verlangt Artikel 12 Absatz 4 grundsätzlich ohne Verzögerung und spätestens innerhalb eines Monats eine Begründung sowie Informationen über Beschwerde und gerichtlichen Rechtsbehelf. Eine gesetzlich zulässige Einschränkung der Begründung ist gesondert zu prüfen. Ein geregelter Auskunftsprozess sorgt dafür, dass solche Entscheidungen rechtzeitig und nachvollziehbar getroffen werden.
Löschung, Aufbewahrung und Zweckänderung unterscheiden
Artikel 17 DSGVO enthält das Recht auf Löschung und seine Ausnahmen. § 35 BDSG ergänzt bestimmte eng beschriebene Situationen. Absatz 1 betrifft insbesondere nicht automatisierte Verarbeitung, bei der Löschung wegen der besonderen Speicherart unmöglich oder unverhältnismäßig aufwendig ist und das Löschinteresse als gering anzusehen ist. Dann tritt unter den gesetzlichen Voraussetzungen Einschränkung an die Stelle der Löschung; bei unrechtmäßig verarbeiteten Daten greift diese Regel nicht.
Daraus lässt sich keine allgemeine Erlaubnis ableiten, veraltete Daten in schlecht konstruierten digitalen Systemen unbegrenzt zu behalten. Prüfen Sie ebenso, ob eine behauptete Aufbewahrungspflicht die konkreten Informationen tatsächlich erfasst. Eine Rechnung kann aufbewahrungspflichtig sein, während zusätzliche Gesprächsnotizen denselben Zeitraum nicht benötigen. Das Löschkonzept sollte Datenkategorien, Fristbeginn, Zugriffsbegrenzung und technische Umsetzung auseinanderhalten. Ein einziges Datum für sämtliche Unterlagen eines Kunden ist häufig zu grob.
Für die Verwendung zu einem neuen Zweck ist wiederum eine eigene Prüfung erforderlich. § 24 enthält bestimmte Regeln für nichtöffentliche Stellen; er ist keine pauschale Freigabe für jede wirtschaftlich interessante Zweitnutzung. Auch die Vereinbarkeit mit dem ursprünglichen Zweck und gegebenenfalls besondere Kategorien bleiben zu beachten. Halten Sie die neue Nutzung getrennt von bloßer gesetzlicher Aufbewahrung. Dass Informationen noch vorhanden sein dürfen, bedeutet nicht automatisch, dass sie weiter für Werbung oder Analysen verwendet werden dürfen.
Aufsicht und Sanktionen richtig zuordnen
Die Bundesbeauftragte für den Datenschutz ist nicht automatisch für jedes Unternehmen zuständig. Die Aufsichtsverteilung richtet sich nach den einschlägigen gesetzlichen Zuständigkeiten; für viele private Stellen sind Landesaufsichtsbehörden zuständig. Bei grenzüberschreitenden Verarbeitungen können zusätzlich die europäischen Kooperationsregeln relevant sein. Klären Sie die zuständige Stelle im Voraus, ohne daraus eine Verlagerung Ihrer materiellen Pflichten abzuleiten. Ein Sitzwechsel macht eine Verarbeitung nicht allein deshalb zulässig.
Die allgemeinen DSGVO-Geldbußen richten sich nach Artikel 83 und dem jeweiligen Verstoß. § 43 BDSG ist kein pauschaler Zuschlag von 50.000 Euro auf jede Datenschutzverletzung. Die dortigen Ordnungswidrigkeiten betreffen bestimmte Pflichten nach § 30 bei Verbraucherkrediten. Prüfen Sie den konkreten Tatbestand und das anwendbare Verfahrensrecht. Allgemeine Behauptungen, Aufsichtsbehörden würden stets die schärfere Norm wählen oder Bußen automatisch addieren, erklären die Rechtslage nicht zuverlässig.
§ 42 enthält daneben eng umschriebene Straftatbestände. Absatz 1 betrifft wissentlich unbefugte Übermittlung oder anderweitige Zugänglichmachung nicht allgemein zugänglicher personenbezogener Daten einer großen Zahl von Personen bei gewerbsmäßigem Handeln. Absatz 2 erfasst bestimmte unbefugte Verarbeitung oder Erschleichung gegen Entgelt beziehungsweise mit Bereicherungs- oder Schädigungsabsicht. Die jeweiligen Voraussetzungen sind entscheidend. Ein gewöhnlicher versehentlicher Datenschutzfehler lässt sich deshalb nicht ohne Weiteres als Straftat nach dieser Vorschrift darstellen.
Das Zusammenspiel im Unternehmen dokumentieren
Ergänzen Sie Ihr Verzeichnis der Verarbeitungstätigkeiten um nachvollziehbare Verweise auf tatsächlich einschlägige Normen. Eine Liste aller Datenschutzparagrafen ist weniger hilfreich als eine kurze Begründung pro Vorgang. Verbinden Sie diese Bewertung mit den betroffenen Systemen und Zuständigkeiten. Wenn sich ein Zweck, eine Datenquelle oder ein Empfängerkreis ändert, muss erkennbar sein, wer die rechtliche Prüfung erneut anstößt und die technischen Einstellungen anpasst.
Beispielsweise braucht eine neue Personalsoftware nicht nur eine Vertragsprüfung. Die Organisation muss beurteilen, welche Beschäftigtendaten übernommen werden, welche Auswertungen nötig sind, wer sie sehen darf und wann sie gelöscht werden. Benennungspflichten und mögliche DSFA sind getrennte Entscheidungen. Die richtige Rechtsgrundlage ersetzt weder Sicherheitsmaßnahmen noch Transparenz. Umgekehrt schafft eine sichere technische Plattform keine Erlaubnis für eine sachlich unnötige Überwachung.
Berücksichtigen Sie außerdem benachbarte Regelwerke nur für ihren tatsächlichen Gegenstand. Bei digitalen Diensten kann das heute so bezeichnete TDDDG für den Zugriff auf Informationen in Endgeräten relevant sein; diese Frage ist von der anschließenden Verarbeitung personenbezogener Daten zu unterscheiden. Der Leitfaden zu Endgerätezugriffen und Cookie-Bannern behandelt diese zusätzliche Prüfung. Auch eine Einwilligung in einen Endgerätezugriff beantwortet nicht automatisch jede spätere Datenschutzfrage.
Häufige Fragen
Hat das BDSG Vorrang, weil es spezieller ist?
Nicht gegenüber entgegenstehendem unmittelbar anwendbarem Unionsrecht. Nationale Regeln müssen innerhalb des eröffneten Spielraums bleiben. Spezielle deutsche Fachgesetze können gegenüber dem allgemeinen BDSG vorrangig sein, müssen aber ebenfalls den einschlägigen unionsrechtlichen Rahmen einhalten. Prüfen Sie deshalb nicht nur die Reihenfolge nationaler Gesetze, sondern zuerst, ob die DSGVO eine Ergänzung oder Abweichung überhaupt zulässt.
Braucht ein kleines Unternehmen keinen Datenschutzbeauftragten?
Die Größe allein reicht für diese Schlussfolgerung nicht. Neben der qualifizierten Personenschwelle des § 38 gelten die dortigen tätigkeitsbezogenen Fälle und Artikel 37 DSGVO. Prüfen Sie insbesondere DSFA-pflichtige Verarbeitungen sowie die Kerntätigkeiten. Dokumentieren Sie die Bewertung auch dann, wenn keine Benennung erforderlich ist. Die übrigen Datenschutzpflichten gelten unabhängig davon weiter.
Ist jede Einhaltung des BDSG zugleich DSGVO-Konformität?
Nein. Das BDSG ergänzt nur bestimmte Bereiche. Eine Organisation muss daneben etwa Transparenz, Sicherheit, Auftragsverarbeitung und internationale Übermittlungen prüfen. Eine sauber begründete nationale Rechtsgrundlage ist ein Teil dieser Arbeit. Entscheidend ist, dass rechtliche Bewertung, tatsächliche Verarbeitung und umgesetzte Schutzmaßnahmen übereinstimmen und bei relevanten Änderungen gemeinsam überprüft werden.