Das Bundesdatenschutzgesetz (BDSG) ist ein deutsches Gesetz, das die Verarbeitung personenbezogener Daten durch öffentliche und nicht-öffentliche Stellen regelt. Es dient dem Schutz personenbezogener Daten und definiert die Rechte und Pflichten der Beteiligten, wie Betroffene, Verantwortliche und Auftragsverarbeiter.
Die Datenschutz-Grundverordnung (DSGVO) ist eine EU-Verordnung, die den Datenschutz innerhalb der Europäischen Union vereinheitlicht und stärkt. Die DSGVO gilt unmittelbar in allen Mitgliedsstaaten der EU und ersetzt nationale Datenschutzgesetze wie das BDSG.
Das BDSG bleibt jedoch weiterhin relevant, da es spezifische Regelungen für den Datenschutz in Deutschland enthält, die ergänzend zur DSGVO gelten. Das BDSG regelt beispielsweise die Einrichtung von Datenschutzbehörden auf Bundes- und Landesebene, die Aufgaben und Befugnisse dieser Behörden sowie die Verarbeitung personenbezogener Daten durch Arbeitgeber und Arbeitnehmer.
Darüber hinaus enthält das BDSG auch Regelungen zur Anwendung der DSGVO auf nationaler Ebene, wie z.B. ergänzende Vorschriften zur Verarbeitung personenbezogener Daten zu journalistischen und wissenschaftlichen Zwecken. Zusammengefasst ergänzt das BDSG die DSGVO und stellt sicher, dass der Datenschutz in Deutschland im Einklang mit den Vorgaben der DSGVO umgesetzt wird. Wir sind im Datenschutzrecht für Unternehmen (in Teilbereichen) tätig und konzentrieren uns besonders auf eine Verteidigung im Datenschutzstrafrecht, etwa bei Bußgeldern. Beachten Sie unsere Beiträge zum Datenschutzrecht im Blog!
Anwaltskanzlei Ferner Alsdorf: Kontakt zu Rechtsanwalt Ferner im Raum Aachen
Fachlich hochqualifiziert: Alle unsere Strafverteidiger sind Fachanwälte für Strafrecht; RA JF ist zudem Fachanwalt für IT-Recht mit fortlaufenden Publikationen und Lehrbeauftragter für IT-Compliance und Wirtschaftsstrafrecht (FH Aachen)
KI-Assistenten gehören längst zum Arbeitsalltag. Mit ihnen entsteht aber eine neue betriebliche Messgröße: der Token-Verbrauch. Wer viele Token verbraucht, gilt schnell als „produktiv“ – und genau das setzt Fehlanreize. Bei Amazon und anderen US-Konzernen ist daraus bereits ein Phänomen geworden, das unter dem Stichwort Tokenmaxxing diskutiert wird. Für das Management stellen sich zwei Fragen, die juristisch sauber zu trennen sind: Darf der Arbeitgeber die Tokennutzung seiner Beschäftigten überhaupt überwachen? Und wie ist es arbeitsrechtlich zu bewerten, wenn Mitarbeiter ihren Token-Verbrauch künstlich aufblähen?
Der Europäische Gerichtshof hat mit seinem Urteil in der Rechtssache C-291/24 einen weiteren grundlegenden Schritt hin zu einem eigenständigen europäischen Unternehmenssanktionsrecht vollzogen. Ausgangspunkt war ein österreichisches Verfahren zu Geldwäschepflichtverstößen von Kreditinstituten, in dem die nationale Rechtslage eine Sanktionierung juristischer Personen davon abhängig machte, dass zuvor eine natürliche Person als „schuldige“ Verantwortliche festgestellt und im Spruch benannt wird.
Der EuGH hat dieses Modell klar verworfen – mit Konsequenzen weit über das österreichische Geldwäscherecht hinaus auch auf das europäische Datenschutz- und Sicherheitsrecht. Mit aufgeworfenen Fragen zum Bestand der bisherigen Handhabung des Bußgeldrechts in Deutschland.
Die Einhaltung datenschutzrechtlicher Vorgaben ist nicht nur für Arbeitgeber, sondern auch für Betriebsräte verbindlich. Das Hessische Landesarbeitsgericht hat in einem Beschluss vom 10. März 2025 (16 TaBV 109/24) entschieden, dass ein Betriebsratsmitglied wegen grober Verletzung seiner datenschutzrechtlichen Pflichten aus dem Gremium ausgeschlossen werden kann.
Im konkreten Fall hatte der Betriebsratsvorsitzende personenbezogene Daten von Mitarbeitern an seinen privaten E-Mail-Account weitergeleitet, um sie zu Hause zu bearbeiten. Das Gericht sah darin einen schweren Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) und das Betriebsverfassungsgesetz (BetrVG), der einen Ausschluss rechtfertige. Die Entscheidung zeigt, wie streng die Anforderungen an den Umgang mit personenbezogenen Daten sind – und dass selbst gut gemeinte Absichten keine Verletzung der Datenschutzregeln entschuldigen.
Das Landesarbeitsgericht Hamm hat mit Urteil vom 28. Mai 2025 (Aktenzeichen: 18 Sa 959/24) eine überraschend harte Grenze für betriebliche Videoüberwachung gezogen. Ein Arbeitgeber, der seinen Mitarbeiter über 22 Monate hinweg nahezu flächendeckend mit 34 Kameras überwachte, muss nun 15.000 Euro Schmerzensgeld zahlen. Die Entscheidung zeigt nun, wie selbst offene Überwachungssysteme, die scheinbar der Sicherheit oder Diebstahlsprävention dienen, unverhältnismäßig sein können – und dass Arbeitnehmer in solchen Fällen ganz erhebliche Entschädigungsansprüche geltend machen können.
Wo beginnt die rote Linie des § 42 BDSG: Der Schutz personenbezogener Daten ist heute nicht nur eine Frage des Vertrauens, sondern auch des Rechts. Seit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) und der Anpassung des Bundesdatenschutzgesetzes (BDSG) steht fest: Wer mit Daten leichtfertig umgeht, riskiert nicht nur Bußgelder, sondern unter Umständen auch strafrechtliche Konsequenzen. Doch wo genau verläuft die Grenze zwischen einem bloßen Verstoß gegen Datenschutzregeln und einer strafbaren Handlung? § 42 BDSG normiert diese Grenze – und wirft zugleich zahlreiche Fragen auf.
In der datenschutzrechtlichen Debatte um die Zulässigkeit von Fanpages auf sozialen Netzwerken galt bislang als nahezu gesichert, dass Betreiber und Plattformanbieter gemeinsam im Sinne von Art. 26 DSGVO für die Datenverarbeitung verantwortlich sind.
In einer aktuellen Entscheidung hat sich das Verwaltungsgericht Köln (Urteil vom 17.07.2025 – 13 K 1419/23, nicht rechtskräftig) mit der datenschutzrechtlichen Verantwortlichkeit für die Verarbeitung personenbezogener Daten im Zusammenhang mit dem Betrieb einer behördlichen „Fanpage“ in einem sozialen Netzwerk befasst. Im Zentrum standen Fragen zur Anwendbarkeit des § 25 TTDSG, zur gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO sowie zur datenschutzrechtlichen Relevanz von Cookie-Bannern und den ihnen zugrunde liegenden Datenverarbeitungsprozessen.
Strafbarkeit von Deepfakes: Ein ganz Vorschlag für ein Gesetz aus dem Bundesrat zielt darauf ab, den strafrechtlichen Schutz von Persönlichkeitsrechten vor sogenannten Deepfakes zu verbessern. Ansatzpunkt ist die Schaffung eines neuen Straftatbestandes in Form eines neuen §201b StGB. Ich selbst habe mich klar gegen dieses Ansinnen postiert.
Update Juli 2025: Der erste Anlauf aus Mitte 2024 ist mit dem Scheitern der Regierung der sachlichen Diskontinuität anheim gefallen, hatte sich also inhaltlich erledigt. Am 05.07.2025 hat der Bundesrat nun erneut das Thema beschlossen und der Bundestag wird sich wieder damit zu beschäftigen haben. Inhaltlich hat sich nichts geändert, es ist exakt die Vorlage die aus dem Mai 2024 bekannt.
Hintergrund: Deepfakes sind realistisch wirkende Medieninhalte, die mithilfe von Künstlicher Intelligenz (KI) erzeugt oder verändert werden. Diese Inhalte bergen erhebliche Gefahren, da sie Täuschungen erzeugen können, die sowohl individuelle Persönlichkeitsrechte als auch den demokratischen Willensbildungsprozess beeinträchtigen.
LAG Köln stärkt Arbeitgeberrechte bei Arbeitszeitbetrug: Mit Urteil vom 11. Februar 2025 (Az. 7 Sa 635/23) hat das Landesarbeitsgericht Köln eine vielbeachtete Entscheidung zum Einsatz privater Detektive zur Aufdeckung von Arbeitszeitbetrug getroffen und dabei die Voraussetzungen für die Erstattung entsprechender Überwachungskosten durch den Arbeitnehmer klar umrissen.
Gleichzeitig stellt das Gericht fest, dass die heimliche Beobachtung eines Mitarbeiters durch eine Detektei unter engen Voraussetzungen auch im Lichte der DSGVO und des allgemeinen Persönlichkeitsrechts zulässig sein kann. Das Urteil konkretisiert die Grenzen zulässiger Arbeitnehmerüberwachung und formuliert zugleich rechtsdogmatisch präzise Kriterien für den Ersatz der hierdurch entstehenden Kosten.
Personalrekrutierung wird schnell zur datenschutzrechtlichen Gratwanderung: Arbeitgeber, die sich über Bewerber online informieren, bewegen sich in einem Spannungsfeld zwischen berechtigtem Informationsinteresse und der Pflicht zur Achtung der informationellen Selbstbestimmung. In einem Urteil des Landesarbeitsgerichts Düsseldorf vom 10. April 2024 (Az. 12 Sa 1007/23) rückt diese Thematik in den Fokus und offenbart die juristisch diffizile Balance zwischen Auswahlermessen, datenschutzrechtlicher Legitimation und Persönlichkeitsrechtsschutz – insbesondere dann, wenn die gesammelten Informationen sensible oder gar vorverurteilende Inhalte betreffen.
Die digitale Überwachung durch Spionage-Apps wirft einen dunklen Schatten auf den technologischen Fortschritt. Ursprünglich als Werkzeuge für besorgte Eltern beworben, die das Online-Verhalten ihrer Kinder im Blick behalten möchten, hat sich ein lukrativer Markt für heimliche Überwachung entwickelt – häufig mit verheerenden Folgen für Opfer, insbesondere Frauen in Beziehungen. Netzpolitik konnte einen Blick auf das konkrete Geschäftsmodell werfen – und es sollte eine Mahnung für alle sein, ihre Smartphones besser im Griff zu haben (dazu auch der Bericht bei Tagesschau).
Die Vorschrift des § 42 Bundesdatenschutzgesetz (BDSG) ist eine zentrale Norm des Datenschutzstrafrechts in Deutschland. Sie unterstreicht den Schutz personenbezogener Daten durch Sanktionsmaßnahmen und schafft eine Grundlage für die Verfolgung schwerwiegender Verstöße gegen datenschutzrechtliche Pflichten. Insbesondere im Arbeitsverhältnis, wo der Umgang mit personenbezogenen Daten alltäglich ist, spielt die Norm eine erhebliche Rolle.
In einer jüngst vom Bundesarbeitsgericht (BAG) entschiedenen Sache (Urteil vom 25.07.2024, Az. 8 AZR 225/23) ging es um die Zulässigkeit der Überwachung eines Arbeitnehmers durch eine Detektei. Anlass war der Verdacht einer vorgetäuschten Arbeitsunfähigkeit. Diese Entscheidung wirft entscheidende Fragen im Zusammenhang mit Datenschutz und der Verarbeitung von Gesundheitsdaten gemäß der Datenschutz-Grundverordnung (DSGVO) auf.
Das Landgericht Hamburg (Az. 314 O 8/24) traf eine weitreichende Entscheidung zur Anwendbarkeit der DSGVO auf Datenverarbeitungen, die vor deren Inkrafttreten am 25. Mai 2018 begannen. Die Entscheidung könnte Präzedenzwirkung für den Umgang mit „alten“ Daten haben, die vor Inkrafttreten der DSGVO erhoben und gespeichert wurden, nun aber weiterhin bei Unternehmen vorliegen.
In Dresden kam es jüngst zu einem gravierenden Datenschutzverstoß, der bundesweit für Aufsehen sorgt. Ein Systemadministrator des Eigenbetriebs für IT-Dienstleistungen in der Landeshauptstadt Dresden steht im Verdacht, eine Wahlbenachrichtigungsdatei mit personenbezogenen Daten von etwa 430.000 Bürgerinnen und Bürgern unbefugt kopiert zu haben. Die Ermittlungen laufen und werfen Licht auf mögliche Schwachstellen in der datenschutzrechtlichen Verwaltung.
