Datenschutz in Deutschland: DSGVO und BDSG einfach erklärt

Deutschland wendet die DSGVO an, dieselbe Verordnung wie jeder andere EU-Mitgliedstaat, und legt darüber zusätzlich eine eigene nationale Ebene. Zu verstehen, dass es sich um zwei Ebenen statt einer handelt, macht den Rest des deutschen Datenschutzrechts erst verständlich, und genau hier hören die meisten knappen Erklärungen zu früh auf.

Die Verordnung regelt die Substanz: die Rechtsgrundlagen, die Rechte der betroffenen Person, die Pflichten des Verantwortlichen. Das Bundesdatenschutzgesetz füllt dann die Lücken, die die Verordnung bewusst den Mitgliedstaaten überlassen hat, und es ist das BDSG, nicht die DSGVO, das mehrere der tatsächlich gesuchten Fragen beantwortet. Wann ein deutsches Unternehmen einen Datenschutzbeauftragten benennen muss. Welche Behörde zuständig ist. Woran ein rein nationales Bußgeld anknüpft.

Informationen zuletzt geprüft am 20. Juli 2026. Diese Seite enthält allgemeine rechtliche Informationen und stellt keine Rechtsberatung im Einzelfall dar.

Die zwei Ebenen, und welche Ihre Frage beantwortet

Die DSGVO gilt unmittelbar. Sie wird nicht in deutsches Recht umgesetzt, und es gibt kein deutsches Gesetz, das sie noch einmal wiedergibt. Kommt eine Regel aus der Verordnung, verweist die Zitierung auf einen Artikel: Art. 15 DSGVO für das Auskunftsrecht, Art. 28 DSGVO für Auftragsverarbeitungsverträge.

Das Bundesdatenschutzgesetz steht daneben und wird mit dem Paragraphenzeichen zitiert, etwa als § 38 BDSG oder § 40 BDSG. Es wiederholt die Verordnung nicht. Es besetzt die Öffnungsklauseln, die die Verordnung gelassen hat, und regelt Bereiche, die die Verordnung überhaupt nicht erfasst, etwa die Verarbeitung zu Zwecken der Polizei und der Strafjustiz.

Diese Aufteilung erklärt, warum eine Frage wie eine DSGVO-Frage aussehen und trotzdem eine deutsche Antwort haben kann. Ob ein Unternehmen einen Datenschutzbeauftragten benennen muss, ist das klarste Beispiel: Die DSGVO legt Gründe fest, die überall gelten, und § 38 BDSG fügt dann eine deutsche Schwelle hinzu, die deutlich mehr Organisationen erfasst, als die Verordnung allein es täte.

Wer wen beaufsichtigt

Das ist der nützlichste einzelne Abschnitt dieser Seite, denn die weitverbreitete Version davon ist falsch.

Deutschland hat keine einzige Datenschutzaufsichtsbehörde, und der BfDI und die siebzehn Landesbehörden setzen nicht gemeinsam durch. Die Trennung folgt aus dem Gesetz und aus der Art der Stelle. § 40 Abs. 1 BDSG unterstellt nichtöffentliche Stellen der Aufsicht der Landesbehörden, was im Grunde die gesamte Privatwirtschaft bedeutet. § 9 Abs. 1 BDSG beschränkt den BfDI auf öffentliche Stellen des Bundes sowie auf die Verarbeitung im Bereich der Telekommunikation.

Für ein gewöhnliches deutsches Unternehmen, einen Laden, eine Agentur, einen Vermieter, einen Arbeitgeber, ist daher die Behörde des Landes zuständig, in dem es niedergelassen ist. Nicht der BfDI. Eine Beschwerde bei der falschen Behörde vernichtet die Beschwerde nicht, kostet aber Zeit.

Die vollständige Seite: wer wen beaufsichtigt und wie eine Beschwerde abläuft.

Der Datenschutzbeauftragte, und die Variante, die alle vergessen

§ 38 BDSG wird gewöhnlich als die Zwanzig-Personen-Regel zusammengefasst, und diese Zusammenfassung ist auf eine Weise unvollständig, die etwas ausmacht.

Die erste Variante ist die Personenzahl: Eine nichtöffentliche Stelle, die in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, muss einen Datenschutzbeauftragten benennen. Die zweite Variante ignoriert die Personenzahl vollständig und knüpft stattdessen daran an, was die Organisation tut, etwa an Verarbeitungen, die einer Datenschutz-Folgenabschätzung bedürfen, und an geschäftsmäßige Verarbeitung zum Zweck der Übermittlung oder der Markt- und Meinungsforschung.

Ein Unternehmen mit drei Mitarbeitenden kann daher zur Benennung verpflichtet sein. Wer nur die erste Variante liest, hält seine Organisation für befreit, obwohl sie es nicht ist.

Die vollständige Seite: wann deutsches Recht einen Datenschutzbeauftragten verlangt.

Das Auskunftsrecht

Art. 15 DSGVO gibt jeder Person das Recht zu erfahren, ob eine Organisation ihre Daten verarbeitet, und wenn ja, diese Daten zusammen mit einem festgelegten Katalog an Informationen über die Verarbeitung zu erhalten.

Es braucht weder Form noch Begründung, und es kostet nichts. Die verantwortliche Stelle hat einen Monat Zeit zu antworten, verlängerbar um zwei weitere Monate, wenn das Ersuchen komplex ist oder viele Ersuchen zugleich vorliegen, und eine Gebühr oder Ablehnung ist nur bei einem offensichtlich unbegründeten oder exzessiven Ersuchen möglich.

Die vollständige Seite: was ein Unternehmen tatsächlich herausgeben muss.

Auftragsverarbeitungsverträge

Verarbeitet eine Organisation personenbezogene Daten im Auftrag einer anderen, verlangt Art. 28 DSGVO einen schriftlichen Vertrag, den Auftragsverarbeitungsvertrag. Fast jedes deutsche Unternehmen hat mehrere davon, ohne darüber nachzudenken, weil gewöhnliche Geschäftssoftware meist genau ein solches Verhältnis begründet.

Der wiederkehrende Fehler liegt nicht in der Formulierung. Er liegt in der Einordnung: der Entscheidung, ob die andere Partei ein weisungsgebundener Auftragsverarbeiter oder ein eigenständig entscheidender Verantwortlicher ist. Wer das falsch einschätzt, hat den falschen Vertrag für das jeweilige Verhältnis.

Die vollständige Seite: wann ein AVV erforderlich ist und was er enthalten muss.

Was ein Verstoß kostet, vorsichtig formuliert

Die DSGVO legt in Art. 83 Abs. 4 und Art. 83 Abs. 5 zwei unterschiedliche Bußgeldstufen fest, wobei die höhere Stufe Verstößen gegen die Grundprinzipien und gegen die Rechte der betroffenen Person vorbehalten ist. Diese Seite nennt die Obergrenzen nicht, weil der amtliche EU-Text zum Zeitpunkt der Prüfung nicht abrufbar war und wir keine Zahlen aus Sekundärquellen wiedergeben.

Getrennt davon ist § 43 BDSG ein rein nationales Bußgeld, gedeckelt bei 50.000 Euro. Es ist eng gefasst: Es knüpft an fehlerhaft behandelte Auskunftsersuchen bei Auskunfteien nach § 30 BDSG an, und § 43 Abs. 3 BDSG schließt öffentliche Stellen vollständig davon aus. Es wird häufig so zitiert, als wäre es das allgemeine deutsche Datenschutz-Bußgeld. Das ist es nicht, und es als Obergrenze zu behandeln, würde das Risiko unter der Verordnung erheblich unterschätzen.

Wo das mit dem Rest der Seite zusammenhängt

Datenschutz ist eines von drei getrennten Regelwerken, die auf ein und dieselbe Aufnahme oder Beobachtung anwendbar sein können. Die anderen beiden sind der strafrechtliche Schutz des gesprochenen Worts und des Bildes sowie das zivilrechtliche Persönlichkeitsrecht.

Für das größere Bild des deutschen Rechts, der Gerichte und weiterer Rechtsthemen siehe Deutsches Recht erklärt.

Häufig gestellte Fragen

Gilt in Deutschland die DSGVO oder deutsches Recht?

Beides. Die DSGVO gilt unmittelbar und legt die Substanz fest. Das Bundesdatenschutzgesetz füllt die Öffnungsklauseln, die die Verordnung den Mitgliedstaaten überlassen hat, und regelt Bereiche, die die Verordnung nicht erfasst. Mehrere der meistgesuchten deutschen Fragen, etwa wann ein Datenschutzbeauftragter erforderlich ist und welche Behörde ein Unternehmen beaufsichtigt, werden vom BDSG beantwortet, nicht von der Verordnung.

Welche Datenschutzbehörde ist für mein Unternehmen zuständig?

Für ein privates Unternehmen die Behörde des Landes, in dem es niedergelassen ist. Nach § 40 Abs. 1 BDSG beaufsichtigen die siebzehn Landesbehörden nichtöffentliche Stellen, was im Grunde die gesamte Privatwirtschaft abdeckt. Der BfDI beaufsichtigt öffentliche Stellen des Bundes sowie die Verarbeitung im Bereich der Telekommunikation nach § 9 Abs. 1 BDSG. Die verbreitete Behauptung, BfDI und Landesbehörden würden gemeinsam durchsetzen, ist unzutreffend und schickt Betroffene an die falsche Stelle.

Braucht ein kleines Unternehmen einen Datenschutzbeauftragten?

Das hängt von beiden Varianten des § 38 BDSG ab, nicht nur von der Personenzahl. Die erste Variante erfasst eine nichtöffentliche Stelle, die dauerhaft mindestens zwanzig Personen mit automatisierter Verarbeitung beschäftigt. Die zweite Variante ignoriert die Personenzahl vollständig und knüpft an die Art der Verarbeitung an, sodass auch eine sehr kleine Organisation davon erfasst sein kann. Die DSGVO fügt eigene Gründe hinzu, die unabhängig von der deutschen Schwelle gelten.

Wie viel Zeit hat ein Unternehmen, um auf ein Datenauskunftsersuchen zu antworten?

Einen Monat, verlängerbar um zwei weitere Monate, wenn das Ersuchen komplex ist oder die verantwortliche Stelle viele Ersuchen erhalten hat. Das Ersuchen braucht keine bestimmte Form, keine Begründung und keine Gebühr, und eine Gebühr oder Ablehnung ist nur möglich, wenn ein Ersuchen offensichtlich unbegründet oder exzessiv ist.

Wie hoch ist das maximale Bußgeld nach deutschem Datenschutzrecht?

Die DSGVO legt in Art. 83 Abs. 4 und Abs. 5 zwei unterschiedliche Stufen fest, wobei die höhere Stufe Verstößen gegen die Grundprinzipien und gegen die Rechte der betroffenen Person vorbehalten ist. Diese Seite nennt die Obergrenzen nicht, weil der amtliche EU-Text zum Zeitpunkt der Prüfung nicht abrufbar war. Beachten Sie gesondert, dass der Betrag von 50.000 Euro in § 43 BDSG ein eng gefasstes nationales Bußgeld ist, das an fehlerhaft behandelte Auskunftsanfragen bei Auskunfteien anknüpft, und nicht die allgemeine Obergrenze.

Brauche ich einen Anwalt, um mich bei einer Datenschutzbehörde zu beschweren?

Nein. Eine Datenschutzbeschwerde ist kostenlos und erfordert keinen Anwalt. Es handelt sich um ein aufsichtsrechtliches Verfahren, keinen Anspruch, sodass die Behörde ermitteln und gegen die Organisation vorgehen kann, es aber selbst kein Weg zu Schadensersatz ist. Ein Schadensersatzanspruch ist eine gesonderte Angelegenheit der Zivilgerichte.

Was ist ein Auftragsverarbeitungsvertrag und wann brauche ich einen?

Es ist der Vertrag, den Art. 28 DSGVO verlangt, wenn eine Organisation personenbezogene Daten im Auftrag einer anderen verarbeitet. Die meisten Unternehmen brauchen mehrere davon, weil gewöhnliche Geschäftssoftware meist genau dieses Verhältnis begründet. Der wiederkehrende Fehler ist die falsche Einordnung der anderen Partei, einen eigenständigen Verantwortlichen als Auftragsverarbeiter zu behandeln oder umgekehrt, statt ein Mangel in der Formulierung.

Steht eine Änderung des deutschen Beschäftigtendatenschutzes bevor?

Keine Änderung ist in Kraft, und keine steht unmittelbar bevor. § 26 BDSG bleibt in Kraft, auch wenn der Europäische Gerichtshof in der Rechtssache C-34/21 entschieden hat, dass eine nationale Generalklausel dieser Art keine spezifischere Regelung im Sinne der Verordnung ist. Das vorgeschlagene Beschäftigtendatengesetz kam nicht voran: Der Entwurf verfiel mit der vorigen Koalition, und das Vorhaben taucht im aktuellen Koalitionsvertrag nicht auf.