§ 4d BDSG: Die Meldepflicht von datenverarbeitenden Unternehmen

Von Franziska, letzte Aktualisierung am: 15. Januar 2020

Keine automatisierte Datenverarbeitung ohne Meldung bei der Datenschutzbehörde

§ 4d BDSG regelt die Meldepflicht von nicht-öffentlichen Stellen bei einer automatisierten Datenverarbeitung.

Wenn Unternehmen bei ihrer Arbeit automatisiert personenbezogene Daten nutzen, erheben oder verarbeiten, müssen sie ihrer Meldepflicht nach § 4d Bundesdatenschutzgesetz (BDSG) nachkommen.

Das heißt, sie müssen die automatisierte Datenverarbeitung und die damit verbundene Speicherung personenbezogener Daten bei der zuständigen Behörde melden. In der Regel ist das die Datenschutzbehörde des jeweiligen Bundeslandes.

Ohne eine entsprechende Meldung dürfen große Datensammlungen mit personenbezogenen Daten weder angelegt noch verwendet werden.

Die Meldepflicht erleichtert es dem Gesetzgeber, die Regelungen zum Datenschutz so umzusetzen, wie es in der EU-Datenschutz-Grundverordnung (EU-DSGVO) vorgeschrieben ist.

Inhaltsverzeichnis:

FAQ: Meldepflicht nach § 4d BDSG a. F.

Nach § 4d BDSG a. F. unterlagen datenverarbeitende Unternehmen der Meldepflicht. Was bedeutete das?

Unternehmen, die automatisiert personenbezogene Daten erhoben oder verarbeiteten, mussten dies und die damit verbundene Speicherung bei der zuständigen Behörde (Datenschutzbehörde) melden.

Für welche Datenverarbeitungsverfahren galt diese Pflicht genau?

Wir haben die hierunter fallenden Verfahren hier für Sie zusammengefasst.

Konnten Unternehmen diese Pflicht abgeben, indem sie ein anderes Unternehmen beauftragten?

Nein, sie blieben nach § 11 BDSG a. F. auch weiterhin verantwortlich für die Datenverarbeitung.

Die Meldepflicht nach § 4d BDSG

Grundsätzlich gilt diese Datenschutz-Meldepflicht für alle Verfahren, bei denen personenbezogenen Daten automatisiert verarbeitet werden. Hierunter fallen z. B. die folgenden Verfahren:

die Verwaltung von Kunden- und Lieferantendaten, z. B. für einen Onlineshop
die Verwaltung von Bank- und Kreditdaten eines Kreditinstituts
die Erfassung von Telefondaten
die Videoüberwachung

Diese Meldepflicht gilt nach § 4d Absatz 4 BDSG ausnahmslos für automatisierte Verarbeitungsverfahren, wenn personenbezogene Daten geschäftsmäßig aus folgenden Gründen gespeichert werden:

zum Zweck der Übermittlung nach § 29 BDSG (Hierunter fallen insbesondere der Adresshandel, Werbung und Auskunfteien.)
für die anonymisierte Übermittlung im Sinne von § 30 BDSG
für die Markt- und Meinungsforschung gemäß § 30 a BDSG

Wer muss melden?

Zur Meldung verpflichtet ist immer die Stelle, die für die Verarbeitung der personenbezogenen Daten verantwortlich ist.

Unternehmen können diese Pflicht nicht dadurch abwälzen, dass sie ein anderes Dienstleistungsunternehmen mit der Datenverarbeitung beauftragen. Dies geht aus § 11 BDSG hervor. Das heißt, seine Meldepflicht zum Datenschutz bleibt auch im Falle einer solchen Beauftragung bestehen.

Wann muss die Meldung erfolgen?

Die Meldung hat bereits vor der Inbetriebnahme der entsprechenden Datenverarbeitung zu erfolgen. Auch Änderungen zu den meldepflichtigen Verfahren und deren Beendigung müssen vorher gemeldet werden.

Ausnahmen von der Meldepflicht zum Datenschutz nach § 4d BDSG

Die Meldepflicht nach § 4d BDSG besteht bereits vor Inbetriebnahme der Datenverarbeitung.

Werden personenbezogene Daten zu anderen Zwecken gespeichert bzw. verarbeitet, kann diese Verpflichtung unter bestimmten Voraussetzungen entfallen. Hat die verantwortliche Stelle einen betrieblichen Datenschutzbeauftragten (DSB) bestellt, so entfällt diese Meldepflicht nach § 4 Absatz 2 BDSG.

Eine weitere Ausnahme sieht Absatz 3 dieser Vorschrift vor. Sie greift unter folgenden Voraussetzungen:

Die verantwortliche Stelle erhebt, verarbeitet oder nutzt diese Daten nur für eigene Zwecke.
In der Regel sind maximal neun Personen mit der Erhebung, Nutzung oder Verarbeitung beschäftigt.
Es liegt eine Einwilligung der betroffenen Personen vor oder
die Erhebung, Nutzung oder Verarbeitung dient der Begründung, Durchführung oder Beendigung eines Schuldverhältnisses mit dem Betroffenen.

Was muss gemeldet werden – Der Inhalt der Meldung

Der Inhalt der Meldung ergibt sich aus § 4e BDSG. Danach sind folgende Angaben zu machen:

Firmenname der verantwortlichen Stelle
Name der Firmenleitung und idealerweise Name des Datenschutzbeauftragten
Anschrift der Firma bzw. verantwortlichen Stelle
Zweck der Datenverarbeitung, -erhebung oder –nutzung
Übersicht zu den betroffenen Personen, deren Daten erfasst werden
Empfänger der Daten bzw. Kategorien von Empfängern
Fristen für die Datenlöschung
Datenübermittlung an Drittstaaten, soweit diese geplant sind
eine Beschreibung zur Datensicherheit bzw. zu getroffenen Sicherheitsmaßnahmen

Verletzung der Meldepflicht

Verstöße gegen die Pflicht stellen eine Ordnungswidrigkeit dar. Wenn ein Verantwortlicher seine Meldung unterlässt oder ihr zu spät bzw. nur unvollständig nachkommt, riskiert er ein Bußgeld in Höhe von 50.000 Euro.

§ 4d BDSG regelt die Meldung automatisierter Verarbeitungsverfahren. Hiervon zu unterscheiden ist die Möglichkeit, dem Datenschutzbeauftragten eine konkrete Verletzung zu melden. Diese Möglichkeit besteht sogar dann, wenn der Meldende von der Verletzung nicht selbst betroffen ist.

Konnten wir Ihnen weiterhelfen? Dann bewerten Sie uns bitte:

(73 Bewertungen, Durchschnitt: 4,30 von 5)

Diese Themen könnten Sie auch interessieren:

1 Kommentar

Neuen Kommentar verfassen

Dietmar sagt:

29. September 2018 um 10:35 Uhr

Hallo.! 29.09.2018. Seit nun mehr von 20 Jahren steht in meinen PA die Anschrift meiner Hauptwohnung. Dies wiederum wird mir eine Schriftliche Nutzungsuntersagung ausgeschrieben per 03.09.2018. Grund es gibt im Deutschen Gestz – Gesetze die sich koliedieren was nun Meldeplicht , Meldegesetz , Bedgriff Wohnung alles eingehalten, Androhung des Entzuges der Anschrift.
Wer möchte Unterlagen einsehen bzw oder hat einen Tipp für mich bin für jeden Hinweis Dankbar Für eine Nachricht auf meiner e – mail bedanke ich mich im voraus. M.f.G. D. Schuh

Antworten