Deutsche Datenschutzgesetze: BDSG und TTDSG
EU-DSGVO und das neue BDSG
Die Datenschutz-Grundverordnung (DSGVO) gilt auf europäischer Ebene und ist somit vor dem nationalen Recht anzuwenden. Die DSGVO regelt allgemein den Umgang mit personenbezogenen Daten sowie die Rechte der Betroffenen zum Schutz eben dieser. Es ist wichtig zu betonen, dass der Datenschutz in Deutschland stark von der DSGVO beeinflusst wird.
Als maßgebendes EU-Recht gilt die DSGVO unmittelbar für alle EU-Mitgliedsstaaten seit ihrem Inkrafttreten am 25. Mai 2018 ohne weiteren Handlungsbedarf seitens der Länder. Im Gesetzestext der DSGVO finden sich jedoch einige sogenannte Öffnungsklauseln, welche Spielraum für eine Auslegung des Gesetzes auf nationaler Ebene lassen. Dies bietet Raum für spezifische Regelungen im Datenschutz Deutschlands.
Anknüpfend an diese Öffnungsklauseln sowie zur Anpassung an das Datenschutzniveau, das die DSGVO vorgibt, wurde in Deutschland auf nationaler Ebene das Bundesdatenschutzgesetz (BDSG) überarbeitet und als BDSG-neu wirksam. Das BDSG-neu nimmt hierbei Bezug sowohl auf die DSGVO als auch die Richtlinie EU 2016/680 (Datenschutzrichtlinie zu Polizei und Justiz) und ergänzt die beiden europäischen Gesetze um Regelungen auf nationaler Ebene, insbesondere im Hinblick auf personenbezogene Daten.
Hier finden Sie den Gesetzestext zum BDSG-neu in voller Länge.
Es ist hierbei wichtig zu betonen, dass das BDSG-neu lediglich eine Ergänzung bzw. Konkretisierung der DSGVO darstellt, die detaillierten Bestimmungen der EU-Verordnung aber vorrangig anzuwenden sind. Im BDSG-neu finden sich beispielsweise ergänzende Bestimmungen zur Datenverarbeitung im Beschäftigtenverhältnis (§26 BDSG-neu) sowie der Videoüberwachung öffentlich zugänglicher Räume (§4 BDSG-neu).
Ebenso legt das überarbeitete Datenschutzgesetz eine Pflicht zur Bestellung eines Datenschutzbeauftragten nicht-öffentlicher Stellen fest (§38 BDSG-neu). Demnach müssen Unternehmen, die als Verantwortliche und Auftragsverarbeiter agieren, einen Datenschutzbeauftragten ernennen, „soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“, so heißt es im BDSG-neu wörtlich.Sie wissen nicht genau, welche Arten von Daten-Trackern auf Ihrer Website aktiv sind? Testen Sie jetzt den Cookiebot™ Scanner, um volle Transparenz zu erhalten und sicherzustellen, dass der Datenschutz eingehalten wird.
Testen Sie jetzt den Cookiebot™ Scanner, um volle Transparenz zu erhalten.
Das BDSG-neu ist in vier Teile gegliedert:
- Gemeinsame Bestimmungen: In diesem Teil finden sich allgemeine Bestimmungen, die unabhängig von DSGVO und der Datenschutzrichtlinie Polizei und Justiz gelten, wie z.B. Datenverarbeitungen in Bezug auf nationale Sicherheit
- Ergänzende Bestimmungen: Dieser Teil befasst sich mit den bereits erwähnten Öffnungsklauseln, die in der DSGVO zu finden sind. In Teil 2 des BDSG-neu erfahren diese eine Ergänzung, z.B. in Bezug auf Geldbuße bei Verstößen gegen die DSGVO.
- Umsetzung der Datenschutzrichtlinie Polizei und Justiz (Richtlinie EU 2016/680): In diesem Teil werden die Betroffenenrechte, Pflichten der Verantwortlichen, sowie Datenübermittlungen an Drittstaaten ergänzt.
- Besondere Bestimmungen: Dieser Teil führt Bestimmungen auf, die nicht in die Anwendungsbereiche der DSGVO oder der Richtlinie EU 2016/680 fallen.
Insgesamt ist festzuhalten, dass das BDSG-neu besonders für den öffentlichen Bereich sowie für Polizei und Justiz relevante Bestimmungen enthält.
Bei den Regelungen für nicht-öffentliche Stellen, insbesondere im Hinblick auf die Verarbeitung von personenbezogenen Online-Daten, kann das nationale Gesetz aber keine spezifischen Regelungen vorweisen.
Auch in Bezug auf den Einsatz von Cookies und Online-Tracking findet sich im BDSG-neu keine Ergänzung zur DSGVO. Nichtsdestotrotz sind die DSGVO-Bestimmungen zu Cookies, wie beispielsweise die Einwilligung, vorrangig anzuwenden und dem BDSG-neu übergeordnet.
Erfahren Sie hier mehr zu den DSGVO-Anforderungen zu Cookies.
Fazit: Das BDSG-neu gilt in Deutschland als allgemeines Gesetz zum Schutz des Persönlichkeitsrechts und regelt die Verarbeitung von personenbezogenen Daten, sowohl analog als auch digital, durch öffentliche und privatwirtschaftliche Stellen.
Es nimmt dabei jedoch keinen detaillierten Bezug auf Anforderungen an die Datenverarbeitung durch Online-Medien oder Telemedien. Diese werden seit dem 1. Dezember 2021 durch das neue Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) geregelt.
Aus TMG und TKG wurde TTDSG
Auf EU-Ebene ist der Datenschutz zweigleisig geregelt. Neben der bereits erwähnten DSGVO, die den Schutz von personenbezogenen Daten regelt, existiert noch die ePrivacy-Richtlinie, deren Zweck es ist Spezialfälle der DSGVO zu regeln und den Schutz der Privatsphäre sicherzustellen. Während also die DSGVO verhindert, dass jemand unbefugtes Informationen über Sie, z.B. Ihre Krankenakte, kopiert und im Internet verscherbelt, ist die ePrivacy-Richtlinie dafür da, dass auch im digitalen Raum ihre privaten Geräte und Dateien nur von Ihnen eingesehen und bearbeitet werden können.
Anders als die DSGVO hat die ePrivacy-Richtlinie aber selbst keine Gesetzeskraft. Sie verpflichtet lediglich alle EU-Mitgliedsstaaten ihren Inhalt in nationale Rechtsakte umzusetzen. Mit dem Zusammenschließen der beiden bereits bestehenden Gesetze TMG und TKG zum TTDSG hat Deutschland am 1. Dezember 2021 eben diese Verpflichtung umgesetzt.
Derzeit bestehen bei der Online-Verfolgung von Endnutzerdaten noch Rechtsunsicherheiten, insbesondere beim Einsatz von Cookies.
Der EuGH hat am 1. Oktober 2019 in Bezug auf die Verwendung von Cookie-Bannern entschieden, dass die aktive und freiwillige Einwilligung der Nutzer unbedingt erforderlich ist, bevor nicht-essentielle Cookies auf einer Website platziert werden dürfen.
Der deutsche BGH hat dies in einem Urteil vom 28. Mai 2020 bestätigt.
Mit dem TTDSG mischt sich jetzt eine weitere Stimme in den Chor Cookie-Regelungen. Allerdings kommt das TTDSG, dessen Zweck es ist die Privatsphäre der Nutzerinnen und Nutzer zu schützen, dabei aus einer neuen Richtung auf das Thema zu. Die bisherige Rechtsprechung schränkt den Spielraum von Cookies ein, weil sie dazu benutzt werden können personenbezogene Daten zu erheben. Das TTDSG hingegen interpretiert die Endgeräte, mit denen wir auf das Internet zugreifen, als Teil der persönlichen Privatsphäre und deshalb als schützenswert.
Das macht Cookies und ähnliche Tracking-Technologien zum Problem, weil diese von Webseiten auf die Geräte Ihrer Besucherinnen und Besucher übertragen werden. In den Augen des TTDSG ist das Setzen von Cookies also ein Eingriff in die Privatsphäre der Besucherinnen und Besucher einer Website.
Lesen Sie hier den Gesetzestext des TTDSG in voller Länge.
Die neue Perspektive des TTDSG hat wichtige Auswirkungen darauf, wie eine Website und ihre Tracking-Technologien zu regeln sind, um gesetzeskonform zu sein. Im Folgenden wollen wir uns die für Ihre Website relevanten Anforderungen des TTDSG im Detail ansehen und erklären, wie Sie Konformität mit dem Datenschutz-Standard in Deutschland erreichen.
Testen Sie Cookiebot CMP 14 Tage lang kostenlos… oder für immer, wenn Sie eine kleine Website haben.
TTDSG – Was Sie wissen müssen
Der Inhalt des TTDSG orientiert sich eng an den Vorgaben der DSGVO, ist aber nicht wie letztere auf den Schutz personenbezogener Daten ausgelegt, sondern regelt auch den Zugriff und Speicherung auf den Geräten von Webseiten-Besucherinnen und -Besuchern.
Das BDSG-neu ist in vier Teile gegliedert:
- Teil 1: Allgemeine Vorschriften
- Teil 2: Datenschutz und Schutz der Privatsphäre in der Telekommunikation
- Teil 3: Telemediendatenschutz, Endeinrichtungen
- Teil 4: Straf- und Bußgeldvorschriften und Aufsicht
Für Websites, auf denen Cookies oder ähnliche Tracking-Technologien im Einsatz sind, ist besonders §25 Schutz der Privatsphäre bei Endeinrichtungen relevant, in welchem das Einwilligungserfordernis festgeschrieben ist.
Regelungen zu Cookies – §25 TTDSG
Die Verwendung von Cookies auf einer Website führt dazu, dass personenbezogene Nutzerdaten gegebenenfalls verfolgt und gespeichert werden.
Laut der DSGVO und ePrivacy-Richtlinie muss die Einwilligung erfolgen, bevor personenbezogene Daten des betroffenen Nutzers verarbeitet werden dürfen.
Das TTDSG übernimmt nun diese Einwilligungsbedingung und überträgt sie auf jegliche Zugriffe auf die Endgeräte von Website-Besuchern. So heißt es in §25 TTDSG wörtlich:
„Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.“
Mit Endeinrichtungen sind im TTDSG hierbei alle an ein öffentliches Kommunikationsnetz angeschlossenen Geräte gemeint, die zum Aussenden, Verarbeiten oder Empfangen von Nachrichten verwendet werden. Einfacher gesagt: jegliches Endgerät mit einer Internetverbindung. Cookies, die im Browser von Internetnutzern gespeichert werden, zählen demnach ebenso dazu.
Das Gesetz legt hier klar die vorherige informierte Einwilligung, wie sie aus Art. 7 DSGVO bereits bekannt ist, auch in Deutschland als Bedingung zur Verarbeitung personenbezogener Daten fest. Für eine konkrete Ausgestaltung der Einwilligungserklärung verweist das TTDSG an dieser Stelle direkt auf die DSGVO.
Erfahren Sie hier mehr zu den DSGVO-Anforderungen an die Cookie-Einwilligung.
Genauso wie die DSGVO, erlaubt auch das TTDSG Ausnahmen zu dieser strengen Regel. So sind laut §25 Absatz 2 TTDSG folgende Tatbestände von der Einwilligungspflicht ausgenommen:
- Technisch unbedingt erforderliche Cookies
- Cookies, die ausschließlich der Übertragung von Nachrichten über ein öffentliches Telekommunikationsnetz dienen
Cookies, die in eine dieser beiden Kategorien fallen, dürfen auch ohne Einwilligung gesetzt werden. Die Formulierung dieser Ausnahme weicht jedoch von der „berechtigtes Interesse“-Regelung durch DSGVO und BDSG ab und schafft vielerorts Unsicherheiten. Vor dem Inkrafttreten des TTDSG haben viele Websites von der Cookie-Kategorie „berechtigtes Interesse“ gemacht. Cookies dieser Kategorie konnten ohne Einwilligung der Nutzer gesetzt werden, ohne die geltenden Gesetze zu verletzen.
Was genau in die Kategorie „unbedingt erforderlich“ fällt und was nicht, ist Auslegungssache und wird wohl erst vor Gerichten geklärt werden müssen. Allerdings ist die Einigkeit groß, dass nicht alle Cookies, die früher in die Kategorie „berechtigtes Interesse“ fielen, jetzt auch in die Kategorie „unbedingt erforderlich“ fallen. Viele Website-Betreiber müssen ihre bisherige Cookie-Erklärung überarbeiten, um ihre Website TTDSG-konform zu machen – auch wenn sie bereits DSGVO-konform war.
Testen Sie Cookiebot 14 Tage lang kostenlos… oder für immer, wenn Sie eine kleine Website haben.
Scannen Sie Ihre Website kostenlos, um zu sehen, welche Cookies und Tracker in Betrieb sind.
Zusammenfassung: Das Telekomunikation-Telemedien-Datenschutz-Gesetz (TTDSG) regelt seit dem 1. Dezember 2021 wie Unternehmen, die Ihren Sitz in Deutschland haben oder Waren beziehungsweise Dienstleistungen auf dem deutschen Markt anbieten, Cookies auf ihrer Website handhaben müssen. Mit dem Inkrafttreten des TTDSG fanden die deutschen Datengesetze eine überfällige Anpassung an die Vorgaben der DSGVO und ePrivacy-Richtlinie.
Insbesondere §25 TTDSG gibt klare Anforderungen an das Setzen von Cookies auf Endgeräten vor. So muss dies stets durch die Erteilung einer freiwilligen Einwiligung seitens der Nutzer erfolgen.
Verändert hat sich durch die Einführung des TTDSG vor allem, unter welchen Bedingungen Ausnahmen zu dieser Regelung geltend gemacht werden dürfen. So wurde der bisherige Ausnahmefall „berechtigtes Interesse“ durch den wahrscheinlich restriktiveren Fall „technisch notwendig“ abgelöst.
Für volle Konformität mit der DSGVO, testen Sie Cookiebot CMP noch heute kostenlos.
Datenschutzkonformität auf Ihrer Website erreichen – So geht’s
Cookie-Einwilligung mit Cookiebot™ einholen
Wenn auf Ihrer Website Cookies oder ähnliche Tracking-Technologien im Einsatz sind, die personenbezogene Daten der Nutzer verarbeiten, müssen Sie laut DSGVO, ePR und TTDSG die freiwillige und informierte Einwilligung Ihrer Nutzer einholen.
Die einfachste Möglichkeit die aktive Einwilligung zu erfragen, besteht durch so genannte Cookie-Hinweise oder -Banner, welche Sie mithilfe einer Consent Management-Lösung auf Ihrer Website implementieren können.
Cookiebot™ ist eine Consent Management-Plattform (CMP), die mit einem leistungsstarken Scanner alle Cookies und Tracker auf Ihrer Website findet und zurückhält, bis die Endnutzer ihre ausdrückliche Einwilligung erteilt haben.
Testen Sie Cookiebot 14 Tage lang kostenlos… oder für immer, wenn Sie eine kleine Website haben.
Scannen Sie Ihre Website kostenlos, um zu sehen, welche Cookies und Tracker in Betrieb sind.
FAQ
Was ist das BDSG?
Das Bundesdatenschutzgesetz (kurz: BDSG) wurde in überarbeiteter Fassung als BDSG-neu aktualisiert und gilt als allgemeines Gesetz zum Schutz des Persönlichkeitsrechts deutscher Bürger und regelt ebenso die analoge und digitale Verarbeitung von personenbezogenen Daten durch öffentliche und privatwirtschaftliche Stellen. Im BDSG finden sich u.a. Erweiterungen der in der DSGVO vorzufindenden Öffnungsklauseln in Bezug auf die Datenverarbeitung im Beschäftigtenverhältnis (§26 BDSG-neu), sowie der Bestellung eines Datenschutzbeauftragten (§38 BDSG-neu).
Was ist das TTDSG?
Das Telekommunikation-Telemedien-Datenschutzgesetz (kurz: TTDSG) bündelt als maßgebendes Gesetz die Bestimmungen aus dem Telekommunikationsgesetz (TKG) sowie dem Telemediengesetz (TMG) und passt das Datenschutzniveau hierbei an die europäischen Standards nach DSGVO und ePR-Richtlinie an. Durch diese Neuformulierung und Bündelung in einem einheitlichen Gesetz sollten Rechtunsicherheiten geklärt werden, die vor allem in Bezug auf Online-Datenverarbeitung durch, z.B. Cookies, bestehen. Dazu hatten in Vergangenheit auch der EuGH und der deutsche BGH maßgebend entschieden.
Erfahren Sie hier mehr zur Datenschutzkonformität von Cookie-Hinweisen und dem BGH-Urteil.
Was besagt das TTDSG in Bezug auf Cookies?
Die wesentliche Regelung zu Cookies findet sich in §25 TTDSG. Dort wird klar die Einwilligung seitens der Endnutzer als Bedingung für die Datenverarbeitung auf Endeinrichtungen, zum Beispiel durch Cookies oder vergleichbare Tracking-Technologien, festgelegt. Die Einwilligung muss hierbei den Anforderungen der DSGVO entsprechen, d.h. freiwillig und informiert erfolgen sowie jederzeit widerrufen werden können.
Erfahren Sie hier mehr zu den Anforderungen der DSGVO in Bezug auf Cookies.
Wann tritt das TTDSG in Kraft?
Das Telekommunikation-Telemedien-Datenschutzgesetz (kurz: TTDSG) ist am 1. Dezember 2021 ohne Übergangsfrist in Kraft getreten. Derzeit befindet sich die ePrivacy-Verordnung, die als europäisches Gesetz Vorrang vor dem TTDSG haben wird, auf EU-Ebene in den Trilogverhandlungen. Bis zu ihrem Erlass findet das deutsche Datenschutzgesetz gemeinsam mit der DSGVO Anwendung.
Erfahren Sie hier mehr zum aktuellen Stand der ePrivacy-Verordnung der EU.
Was sind personenbezogene Daten?
Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Diese Daten können direkt oder indirekt Rückschlüsse auf die Person zulassen. Zu den personenbezogenen Daten gehören unter anderem Namen, Telefonnummern, E-Mail-Adressen, Geburtsdaten, IP-Adressen und Standorte. Der Schutz personenbezogener Daten ist in Deutschland durch das Datenschutzgesetz und die Datenschutz-Grundverordnung (DSGVO) geregelt. Dabei liegt der Fokus auf dem Schutz der Privatsphäre und der informationellen Selbstbestimmung der betroffenen Personen. Es gibt auch besondere Kategorien personenbezogener Daten, wie z.B. Informationen zur ethnischen Herkunft, religiösen oder weltanschaulichen Überzeugungen, Gesundheitsdaten oder genetischen Daten. Die Verarbeitung personenbezogener Daten ist in der Regel nur erlaubt, wenn dies durch eine gesetzliche Grundlage oder Einwilligung der betroffenen Person gerechtfertigt ist. Datenschutz in Deutschland stellt sicher, dass personenbezogene Daten angemessen geschützt werden, sowohl in Bezug auf die Datenverarbeitung als auch auf deren Speicherung und Übertragung.
Was ist eine natürliche Person?
Eine natürliche Person ist jeder Mensch mit einer bestimmten Identität, der sich in einem bestimmten staatlichen Hoheitsgebiet befindet und spezifische Rechte und Pflichten hat. Der Begriff „natürliche Person“ ist auch ein Rechtsbegriff und findet sich etwa im Bürgerlichen Gesetzbuch oder im Handelsgesetzbuch. Von der natürlichen Person unterschieden wird die juristische Person. Diese entsteht durch einen Rechtsakt und bezeichnet oft Vereine oder Gesellschaften. Demnach sind natürliche Personen, eben als Menschen in ihrer Rolle als Rechtssubjekte, durch Datenschutzgesetze geschützt, wenn ihre personenbezogenen Daten erhoben, gespeichert oder verarbeitet werden.
Ressourcen
Die Allgemeine Datenschutz-Grundverordnung (DSGVO) im Überblick
Das Bundesdatenschutzgesetz (BDSG) in überarbeiteter Fassung
Mehr zur EuGH-Entscheidung im Fall Planet49
Was Sie über Cookie-Hinweise und das BGH-Urteil wissen sollten
Datenschutzkanzlei: Neue Cookie-Regelung – Überblick zum Entwurf des TTDSG
Die meistgenutzte Lösung für die datenschutzkonforme Nutzung von Cookies und Online-tracking
Von mehr als
500,000+
Webseiten genutzt
Verwaltet mehr als
13 Milliarden
Nutzereinwilligungen
Unterstützt mehr als
40
Sprachen
