Die DSGVO als PDF: Gesetze im Internet finden

Ein Verein will seine Mitgliederliste digital führen, eine Lehrerin plant eine Lern-App für ihre Klasse, ein Kleinunternehmer überarbeitet seine Website — und alle stehen vor derselben Frage: Was steht eigentlich genau in der Datenschutz-Grundverordnung? Wer nach DSGVO PDF Gesetze im Internet sucht, möchte den amtlichen Wortlaut, nicht die Zusammenfassung einer Kanzlei. Dabei wartet eine Überraschung: Das bekannte Bundesportal ist für die europäische Verordnung gar nicht die zuständige Quelle. Dieser Beitrag zeigt, wo die DSGVO und das deutsche Bundesdatenschutzgesetz offiziell veröffentlicht sind, wie beide zusammenhängen und wie Sie in den Texten gezielt die Stellen finden, die Sie brauchen.

DSGVO als PDF bei Gesetze im Internet? Der offizielle Weg zum Gesetzestext

Das Portal „Gesetze im Internet“ unter gesetze-im-internet.de wird vom Bundesministerium der Justiz gemeinsam mit der juris GmbH betrieben. Es stellt nahezu das gesamte aktuelle Bundesrecht kostenlos bereit — Gesetze und Rechtsverordnungen des Bundes, jeweils in konsolidierter Fassung und zum Download als PDF, HTML, XML oder EPUB. Wer dort allerdings nach der DSGVO sucht, wird nicht fündig. Der Grund liegt in der Rechtsnatur der Verordnung.

Die DSGVO ist kein deutsches Gesetz, sondern eine Verordnung der Europäischen Union: die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016. Als EU-Verordnung gilt sie in allen Mitgliedstaaten unmittelbar, ohne dass der Bundestag sie in ein nationales Gesetz übertragen muss. Veröffentlicht wird sie deshalb nicht im Bundesgesetzblatt, sondern im Amtsblatt der Europäischen Union. Die Suche nach einer DSGVO-PDF bei Gesetze im Internet führt also ins Leere, die nach dem Bundesdatenschutzgesetz dagegen zum Ziel.

EUR-Lex: Die amtliche Quelle der DSGVO

Den offiziellen Text der DSGVO finden Sie auf EUR-Lex, dem Rechtsportal der Europäischen Union unter eur-lex.europa.eu. Dort ist die Verordnung in allen 24 Amtssprachen abrufbar — als HTML-Ansicht und als PDF der Amtsblatt-Ausgabe. So gehen Sie vor:

1. Rufen Sie EUR-Lex auf und stellen Sie die Sprache auf Deutsch.
2. Geben Sie in die Schnellsuche „2016/679“ ein oder suchen Sie nach der CELEX-Nummer 32016R0679.
3. Wählen Sie im Treffer das Dokumentformat PDF für die Amtsblatt-Fassung oder HTML für die Lesefassung.
4. Achten Sie auf Hinweise zu Berichtigungen; EUR-Lex verknüpft sie direkt mit dem Dokument.

Im PDF finden Sie den vollständigen Text: 173 Erwägungsgründe, die Absicht und Auslegung der Regeln erläutern, gefolgt von 99 Artikeln in elf Kapiteln. Seit dem 25. Mai 2018 ist die Verordnung in der gesamten EU anzuwenden.

Die DSGVO als Fundament des digitalen Datenschutzes: Eine Einordnung

Mit der europäischen Datenschutz-Grundverordnung hat die EU ihr Datenschutzrecht vereinheitlicht. Vorher galt die Datenschutzrichtlinie von 1995, die jeder Mitgliedstaat selbst umsetzte — mit der Folge, dass das Schutzniveau von Land zu Land schwankte. Die DSGVO ersetzt dieses Flickwerk durch einen gemeinsamen Rahmen. Für Unternehmen bedeutet das: Wer in mehreren EU-Staaten tätig ist, folgt grundsätzlich denselben Regeln.

Das Kernprinzip ist schnell erklärt: Personenbezogene Daten dürfen nur verarbeitet werden, wenn eine Rechtsgrundlage vorliegt — etwa eine Einwilligung, ein Vertrag oder eine gesetzliche Pflicht (Art. 6). Hinzu kommen Grundsätze wie Zweckbindung, Datenminimierung und Speicherbegrenzung (Art. 5). Die Verordnung gilt nach dem Marktortprinzip auch für Anbieter außerhalb der EU, sofern sie Waren oder Dienstleistungen an Menschen in der Union richten.

Politisch ist die DSGVO mehr als eine technische Vorschrift. Sie konkretisiert das Grundrecht auf Schutz personenbezogener Daten aus Art. 8 der EU-Grundrechtecharta. In Deutschland knüpft sie an eine lange Tradition an: Das Bundesverfassungsgericht hat bereits 1983 im Volkszählungsurteil das Recht auf informationelle Selbstbestimmung anerkannt. Wie das Gericht arbeitet und welche Rolle es für Grundrechte spielt, erklärt der Beitrag Was macht das Bundesverfassungsgericht?. Welche Rechtsgüter die Verordnung im Einzelnen schützt, lesen Sie im Beitrag Was schützt die DSGVO eigentlich?.

Vom EU-Recht zum nationalen Gesetz: Das BDSG einfach erklärt

Was ist das BDSG, wenn die DSGVO doch unmittelbar gilt? Das Bundesdatenschutzgesetz ergänzt die Verordnung dort, wo sie den Mitgliedstaaten Spielräume lässt — die sogenannten Öffnungsklauseln. Die DSGVO erlaubt nationalen Gesetzgebern etwa, den Beschäftigtendatenschutz genauer zu regeln, Ausnahmen für Forschung und Archive festzulegen oder die Benennung von Datenschutzbeauftragten zu konkretisieren. Das BDSG in seiner neuen Fassung gilt ebenfalls seit dem 25. Mai 2018.

Genau dieses Gesetz finden Sie bei Gesetze im Internet. Suchen Sie dort nach „BDSG“, öffnen Sie die Übersichtsseite, und Sie können das Gesetz vollständig als PDF herunterladen oder Paragraf für Paragraf im Browser lesen. Die Fassung wird bei Änderungen aktualisiert; der Stand ist oben im Dokument vermerkt.

Für die Praxis heißt das: Bei einer konkreten Frage lesen Sie zuerst die DSGVO und prüfen dann, ob das BDSG für Ihren Fall eine Sonderregel enthält. Bei Landesbehörden kommen zusätzlich die Landesdatenschutzgesetze ins Spiel, die auf den Portalen der Bundesländer veröffentlicht sind. Das Zusammenspiel aus europäischem und nationalem Recht ist auch für die Verwaltungsmodernisierung zentral, wie der Beitrag über das neue Gesetz zur Digitalisierung der Verwaltung zeigt.

Rechte der Betroffenen: Was die DSGVO für Bürger bedeutet

Wem gilt der Schutz der DSGVO? Geschützt sind natürliche Personen — also Menschen, nicht Unternehmen oder Vereine als juristische Personen. Auf die Staatsangehörigkeit kommt es nicht an. Ausgenommen sind Verarbeitungen zu rein persönlichen oder familiären Zwecken, etwa das private Adressbuch.

Die Rechte der Betroffenen stehen im dritten Kapitel der Verordnung (Art. 12 bis 23). Die wichtigsten im Überblick:

• Auskunft (Art. 15): Sie dürfen erfahren, ob und welche Daten über Sie verarbeitet werden, zu welchem Zweck und an wen sie gehen.
• Berichtigung (Art. 16): Falsche Daten müssen korrigiert werden.
• Löschung (Art. 17): Das „Recht auf Vergessenwerden“ greift etwa, wenn der Zweck entfallen ist oder Sie Ihre Einwilligung widerrufen.
• Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20)
• Widerspruch (Art. 21), zum Beispiel gegen Direktwerbung.

Hinzu kommt das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77). Damit diese Rechte nicht nur auf dem Papier stehen, verpflichtet die DSGVO die datenverarbeitenden Stellen zu aktiver Verantwortung.

Art. 24 DSGVO: Die Verantwortung der Verantwortlichen

Art. 24 DSGVO legt fest, dass der Verantwortliche — also die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet — geeignete technische und organisatorische Maßnahmen ergreifen muss. Er muss zudem nachweisen können, dass die Verarbeitung der Verordnung entspricht. Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Risiken für die Betroffenen bestimmen, welche Maßnahmen angemessen sind. Eine Schule, die eine Lernplattform einführt, muss also anders vorsorgen als ein Kegelverein mit Mitgliederliste. Wie sich solche Fragen im Bildungsbereich stellen, zeigt der Beitrag Digitalisierung in der Schule.

Verstöße können teuer werden: Art. 83 sieht Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.

Praktische Tipps für die Suche in juristischen Datenbanken

Der Weg zur amtlichen Quelle ist der erste Schritt. Ebenso wichtig ist, sich im Text zurechtzufinden, denn die DSGVO umfasst im Amtsblatt rund 88 Seiten.

So lesen Sie die Verordnung effizient

• Mit dem Inhaltsverzeichnis starten: Die elf Kapitel sind thematisch gegliedert — Kapitel III enthält die Betroffenenrechte, Kapitel IV die Pflichten der Verantwortlichen, Kapitel VIII die Sanktionen.
• Erwägungsgründe mitlesen: Sie stehen vor den Artikeln und erklären, wie eine Vorschrift gemeint ist. Viele Fachportale ordnen jedem Artikel die passenden Erwägungsgründe zu.
• Volltextsuche nutzen: In der PDF- oder HTML-Fassung finden Sie mit der Suchfunktion Ihres Browsers oder PDF-Readers jeden Begriff in Sekunden.
• Sprachfassungen vergleichen: Bei Unklarheiten hilft die englische Fassung, die GDPR. GDPR und DSGVO sind dieselbe Verordnung — General Data Protection Regulation ist lediglich der englische Name.

Verlässliche Quellen erkennen

Neben EUR-Lex und Gesetze im Internet gibt es zahlreiche private Seiten, die die Datenschutzbestimmungen übersichtlich aufbereiten. Sie sind praktisch zum Nachschlagen, ersetzen aber nicht den amtlichen Text. Prüfen Sie bei solchen Angeboten, ob der Stand aktuell ist und ob Berichtigungen eingearbeitet wurden. Für verbindliche Auslegungen lohnt der Blick in die Leitlinien des Europäischen Datenschutzausschusses und in die Veröffentlichungen der Aufsichtsbehörden von Bund und Ländern.

Fazit: Zwei Portale, ein Datenschutzrecht

Der Verein, die Lehrerin und der Kleinunternehmer vom Anfang brauchen am Ende zwei Lesezeichen: EUR-Lex für die Verordnung (EU) 2016/679 und Gesetze im Internet für das BDSG. Wer den Unterschied zwischen europäischer Verordnung und nationalem Ergänzungsgesetz kennt, findet die amtlichen PDF-Fassungen in wenigen Minuten — und liest die Regeln dort, wo sie verbindlich stehen. Dass beide Texte frei zugänglich sind, ist dabei selbst ein demokratisches Prinzip: Recht, das alle betrifft, muss auch für alle lesbar sein.

Häufige Fragen (FAQ)