Den Datenschutz in Deutschland regeln vor allem die Datenschutz-Grundverordnung (DSGVO) als EU-Verordnung und das Bundesdatenschutzgesetz (BDSG) als deutsches Ergänzungsgesetz. Für Websites, Apps und Telekommunikation kommt das TDDDG hinzu. Daneben gelten Spezialgesetze, etwa für Kirchen, Sozialdaten, Werbung, Fotos, Berufsgeheimnisse und Hinweisgeber. Welche davon Ihr Unternehmen betreffen, hängt von Branche, Größe und Tätigkeit ab.
Die Grundordnung kurz erklärt
Die DSGVO gilt unmittelbar und geht dem deutschen Recht vor. Das BDSG und die Spezialgesetze füllen nur die Spielräume, die die DSGVO lässt, oder regeln Bereiche wie Cookies, die die DSGVO nicht abschließend erfasst. Wie die Vorrangregeln im Einzelnen funktionieren, erklärt der Artikel Was ist das Verhältnis von DSGVO, BDSG und TDDDG zueinander?
Datenschutzgesetze in Deutschland: Die Übersicht
| Gesetz | Gilt für | Wichtigste Inhalte für Unternehmen | Fundstelle |
|---|---|---|---|
| DSGVO | alle Unternehmen, Vereine und Behörden | Grundsätze, Rechtsgrundlagen, Betroffenenrechte, Verarbeitungsverzeichnis, Datenpannen, Bußgelder | VO (EU) 2016/679, gilt seit 25.05.2018 |
| BDSG | Unternehmen und Bundesbehörden | § 22 besondere Kategorien, § 26 Beschäftigtendaten, § 38 Datenschutzbeauftragter, § 31 Scoring, §§ 42, 43 Straf- und Bußgeldvorschriften | BDSG vom 30.06.2017 |
| TDDDG | Websites, Apps, Telekommunikation | § 25 Cookies und Zugriff auf Endgeräte, § 19 technische Vorkehrungen, § 3 Fernmeldegeheimnis | seit 01.12.2021, bis 13.05.2024 TTDSG |
| DDG | Anbieter digitaler Dienste | Impressumspflicht | § 5 DDG, ersetzt seit 14.05.2024 das TMG |
| Landesdatenschutzgesetze | Behörden und öffentliche Stellen der Länder und Kommunen | ergänzen die DSGVO für den öffentlichen Bereich | je Bundesland ein Gesetz |
| Kirchliches Datenschutzrecht | katholische und evangelische Einrichtungen, auch Caritas und Diakonie | eigene Gesetze, eigene kirchliche Aufsicht | KDG, DSG-EKD, Art. 91 DSGVO |
| Sozialdatenschutz | Sozialleistungsträger wie Krankenkassen und Jobcenter | Sozialgeheimnis | § 35 SGB I, §§ 67 ff. SGB X |
| Betriebsverfassungsgesetz | Betriebe mit Betriebsrat | Datenschutz im Betriebsrat, Mitbestimmung bei Überwachungstechnik | § 79a, § 87 Abs. 1 Nr. 6 BetrVG |
| UWG | werbende Unternehmen | Einwilligung für Werbung per E-Mail und Telefon | § 7 UWG |
| Kunsturhebergesetz | Veröffentlichung von Fotos | Einwilligung der Abgebildeten und Ausnahmen | §§ 22, 23 KUG |
| Strafgesetzbuch | Berufsgeheimnisträger und alle Personen | Schweigepflicht, Schutz vor heimlichen Bildaufnahmen | §§ 203, 201a StGB |
| HinSchG | Beschäftigungsgeber ab 50 Beschäftigten | interne Meldestelle, Vertraulichkeit, Datenverarbeitung | §§ 8, 10, 12 HinSchG |
| KI-Verordnung | Anbieter und Betreiber von KI-Systemen | risikobasierte Pflichten, KI-Kompetenz | VO (EU) 2024/1689 |
| Data Act | Hersteller vernetzter Produkte, Cloud-Anbieter | Zugang zu Gerätedaten, Anbieterwechsel | VO (EU) 2023/2854, gilt seit 12.09.2025 |
| BSI-Gesetz (NIS2) | wichtige und besonders wichtige Einrichtungen | IT-Sicherheit, Meldepflichten bei Vorfällen | BSIG, in Kraft seit 06.12.2025 |
Was sich zuletzt geändert hat
- BDSG: § 31 BDSG zu Scoring und Bonitätsauskünften wird zum 20.11.2026 durch § 37a BDSG ersetzt. Die Abschaffung der deutschen Benennungspflicht in § 38 Abs. 1 BDSG ist nur angekündigt, nicht beschlossen. Die Schwelle von 20 Personen gilt also weiter. Details finden Sie auf der Seite Wann ist ein Datenschutzbeauftragter Pflicht?
- TDDDG und DDG: Seit dem 14.05.2024 heißen die Gesetze anders, das Impressum steht in § 5 DDG. Das Fernmeldegeheimnis steht in § 3 TDDDG, nicht mehr im Telekommunikationsgesetz.
- KI-Verordnung: Die Pflicht zur KI-Kompetenz nach Art. 4 KI-VO ist seit dem 27.07.2026 durch die VO (EU) 2026/1744 abgeschwächt.
Zwei Hinweise zur Einordnung: Das Verhältnis des Kunsturhebergesetzes zur DSGVO ist umstritten. Prüfen Sie Fotos deshalb immer auch nach Art. 6 DSGVO. Und § 26 BDSG ist nicht die einzige Grundlage für Beschäftigtendaten, Art. 6 und Art. 88 DSGVO spielen ebenfalls eine Rolle.
Welche Gesetze gelten für mein Unternehmen?
Online-Shop mit 12 Beschäftigten
Grundlage ist die DSGVO. Für die Website kommen § 25 und § 19 TDDDG sowie das Impressum nach § 5 DDG hinzu. Newsletter und E-Mail-Werbung an Bestandskunden richten sich nach § 7 Abs. 3 UWG. Prüft der Shop die Bonität über eine Auskunftei, gilt § 31 BDSG, ab dem 20.11.2026 § 37a BDSG. Für die Beschäftigten gilt § 26 BDSG. Eine Pflicht zum Datenschutzbeauftragten nach § 38 BDSG besteht bei 12 Beschäftigten in der Regel nicht.
Arztpraxis
Gesundheitsdaten sind besondere Kategorien nach Art. 9 DSGVO, ergänzt durch § 22 BDSG. Ärztinnen und Ärzte unterliegen zusätzlich der Schweigepflicht nach § 203 StGB. Die Behandlungsakte ist zehn Jahre nach Abschluss der Behandlung aufzubewahren (§ 630f Abs. 3 BGB). Was das für die Praxis bedeutet, zeigt die Seite Datenschutz in der Arztpraxis.
Handwerksbetrieb mit 25 Beschäftigten
Neben der DSGVO gilt § 26 BDSG für Personalakten, Zeiterfassung und Fahrzeugortung. Ob ein Datenschutzbeauftragter Pflicht ist, hängt davon ab, ob mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Monteure, die täglich mit Tablet und Auftrags-App arbeiten, können mitzählen. Eine interne Meldestelle nach § 12 HinSchG ist unter 50 Beschäftigten nicht vorgeschrieben. Gibt es einen Betriebsrat, gilt § 79a BetrVG. Fotos von Beschäftigten auf der Website brauchen eine saubere Grundlage nach DSGVO und KUG.
Kirchlicher Kita-Träger
Für katholische Träger gilt das KDG, für evangelische das DSG-EKD. Art. 91 DSGVO erlaubt diese eigenen Regeln, die Aufsicht führt eine kirchliche Datenschutzaufsicht. Wird die Kita im Rahmen der Jugendhilfe in Anspruch genommen, ist der Schutz der Daten in entsprechender Weise zu gewährleisten (§ 61 Abs. 3 SGB VIII). Für Fotos von Kindern holen Sie in der Regel die Einwilligung der Sorgeberechtigten ein.
Praktische Schritte
- Listen Sie Ihre Tätigkeiten auf: Website, Shop, Werbung, Beschäftigte, Gesundheitsdaten, KI-Einsatz, Hinweisgebersystem.
- Ordnen Sie jeder Tätigkeit die Gesetze aus der Tabelle zu.
- Prüfen Sie Sonderstatus: kirchlicher Träger, Berufsgeheimnisträger, NIS2-Einrichtung.
- Zählen Sie die Personen, die ständig mit personenbezogenen Daten arbeiten (§ 38 BDSG).
- Dokumentieren Sie das Ergebnis, etwa zusammen mit dem Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO).
- Prüfen Sie jährlich, ob Gesetzesänderungen wie § 37a BDSG Sie betreffen.
Datenkodex unterstützt als externer Datenschutzbeauftragter Unternehmen dabei, die für sie geltenden Datenschutzgesetze zu bestimmen und umzusetzen. Einen strukturierten Überblick liefert ein Datenschutz-Audit.