Meldepflicht


Hinweis zur Meldepflicht nach § 4 d Bundesdatenschutzgesetz (BDSG) zum Register nach § 38 Abs. 2 BDSG beim Hessischen Datenschutzbeauftragten

Die Meldung nach § 4 d BDSG kann ab sofort in elektronischer Form abgegeben werden. Das hier bereit gestellte Formular kann am Bildschirm ausgefüllt werden und direkt per E-Mail an den Hessischen Datenschutzbeauftragten übermittelt werden. Anstelle der bisher zu leistenden Unterschrift geben Sie bitte zukünftig einen Ansprechpartner in der Meldung an, der Fragen zur Registermeldung beantworten kann.


Zurück zur Übersicht der Fachthemen

zurück nach oben
zurück nach oben springen
 
Artikel/Seite in der Druckansicht öffnen
Artikel/Seite in der Druckansicht öffnen
 
Artikel/Seite per eMail versenden
Artikel/Seite per eMail versenden
   
Stand: 16.02.2012

 
 

Merkblatt zur Meldepflicht verantwortlicher nicht öffentlicher Stellen bei der Aufsichtsbehörde für den Datenschutz nach § 4d BDSG


  1. Allgemeines

  2. Das Bundesdatenschutzgesetz (BDSG) ist bei der Erhebung, Nutzung und Verarbeitung personenbezogener Daten anzuwenden, wenn die Daten unter Einsatz von Datenverarbeitungsanlagen (also automatisiert) oder in oder aus nicht automatisierten Dateien verarbeitet oder genutzt oder dafür erhoben werden und dies nicht ausschließlich für persönliche oder familiäre Tätigkeiten erfolgt (§ 1 Abs. 2 Nr. 3 BDSG).


  3. Zur Meldepflicht

  4. Was ist Gegenstand der Meldepflicht?
    Grundsätzlich müssen alle Verfahren automatisierter Verarbeitungen personenbezogener Daten bei der Datenschutzaufsichtsbehörde gemeldet werden. Unter Verfahren ist die Gesamtheit an Verarbeitungen zu verstehen, mit denen eine oder mehrere miteinander verbundene Zweckbestimmung(en) realisiert werden sollen. Daher kann ein Verfahren eine Vielzahl von DV-Dateien umfassen.


    Die Verfahren automatisierter Verarbeitungen, in denen personenbezogene Daten geschäftsmäßig

    • zum Zweck der Übermittlung (§ 29 BDSG, z. B. Auskunfteitätigkeit, Adresshandel) oder
    • zum Zweck der anonymisierten Übermittlung (§ 30 BDSG) oder
    • zum Zweck der Markt- u. Meinungsforschung (§ 30 a BDSG)
    gespeichert werden, unterliegen ohne Ausnahme der Meldepflicht (§ 4d Abs. 4 BDSG).


    In welchen Fällen gelten Ausnahmen von der Meldepflicht?
    Für Verfahren automatisierter Verarbeitungen personenbezogener Daten, die anderen Zwecken dienen, entfällt die Meldepflicht unter folgenden Voraussetzungen:

    • Wenn die verantwortliche Stelle einen betrieblichen Datenschutzbeauftragten (DSB) bestellt hat (§ 4d Abs. 2 BDSG).
    Bestimmte Stellen müssen immer einen DSB bestellen und sind dann von der Meldepflicht befreit, sobald sie der Pflicht zur Bestellung eines DSB nachgekommen sind. Eine Pflicht zur DSB-Bestellung besteht, wenn die verantwortliche Stelle
    • in der Regel mehr als neun Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt oder
    • automatisierte Verarbeitungen vornimmt, die einer Vorabkontrolle nach § 4d Abs. 5 BDSG unterliegen oder
    • personenbezogene Daten geschäftsmäßig zum Zwecke der Übermittlung oder der anonymisierten Übermittlung erhebt, verarbeitet oder nutzt. (Die Meldepflicht kann hier aber nur für Verfahren entfallen, die nicht diesen Zwecken dienen, z.B. Gehaltsabrechnung bei Auskunfteien.)

    Wenn keine Pflicht zur Bestellung eines DSB besteht, können verantwortliche Stellen freiwillig einen DSB bestellen und sind dann ebenfalls von der Meldepflicht befreit.

    • Wenn verantwortliche Stellen personenbezogene Daten für eigene Zwecke erheben, verarbeiten oder nutzen, hierbei höchstens neun Personen mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigt sind und entweder eine Einwilligung der Betroffenen vorliegt oder die Erhebung, Verarbeitung oder Nutzung der Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnisses mit dem Betroffenen dient, besteht ebenfalls keine Meldepflicht (§ 4d Abs. 3 BDSG).

  5. Wer muss melden?

  6. Die Meldepflicht trifft immer die Stelle, die für die Verarbeitung verantwortlich ist. Verantwortlich im Sinne des BDSG sind Stellen nicht nur, wenn sie die Verarbeitung selbst ausführen, sondern auch dann, wenn sie sich hierbei eines Dienstleistungsunternehmens bedienen, das die Verarbeitung in ihrem Auftrag vornimmt (§ 3 Abs. 7 BDSG). Ggf. trifft also den Auftraggeber die Meldepflicht.

  7. Wann muss gemeldet werden?

  8. Nach § 4d Abs. 1 BDSG hat die Meldung bereits vor der Inbetriebnahme des meldepflichtigen Verfahrens zu erfolgen. Auch Änderungen der meldepflichtigen Angaben und die Beendigung des meldepflichtigen Verfahrens sind vorher mitzuteilen (§ 4e Satz 2 BDSG).


  9. Bei wem muss gemeldet werden?

  10. Die Meldung muss bei der nach § 38 BDSG zuständigen Aufsichtsbehörde für den Datenschutz erfolgen, in deren Aufsichtsbezirk die meldepflichtige Stelle ihren Sitz hat. An welchem Ort im Inland die Datenverarbeitung erfolgt, ist für die Meldung also unerheblich. Wenn die meldepflichtige Stelle ihren Sitz außerhalb der Europäischen Union und außerhalb eines Vertragsstaates des Abkommens über den Europäischen Wirtschaftsraum (EWR: Island, Norwegen und Liechtenstein) hat, muss die Meldung bei der Aufsichtsbehörde erfolgen, in deren Zuständigkeitsbereich der im Inland ansässige Vertreter der meldepflichtigen Stelle seinen Sitz hat.

  11. Notwendiger Inhalt der Meldungen

  12. Welche Angaben bei der Meldung gemacht werden müssen, ist aus dem zu verwendenden Meldeformular ersichtlich. Die rechtliche Notwendigkeit für die im Formular geforderten Angaben ergibt sich aus § 4e BDSG.

    Das Hauptblatt mit den geforderten Angaben zur verantwortlichen Stelle und den dortigen Verantwortungsträgern ist von jeder Stelle nur einmal auszufüllen. Die Angaben zu den jeweiligen automatisierten Verfahren sind mit dem

    Formular Anlagen für jedes einzelne betriebene Verfahren gesondert zu melden. Der Name und die Anschrift der verantwortlichen Stelle müssen im Kopf der Anlage nochmals angegeben werden. Wenn eine meldepflichtige Stelle nach der Meldung weitere meldepflichtige Verfahren durchführt oder durchführen lässt, genügt es, wenn sie lediglich eine neue Anlage ausfüllt und vorlegt.


    Ebenso ist zu verfahren, wenn sich Änderungen bei bereits gemeldeten Verfahren ergeben (wobei dann die Nummerierung der geänderten Anlage anzugeben ist). Das Hauptblatt ist nur dann neu auszufüllen, wenn sich auch insoweit Änderungen ergeben.


    Die geforderten Angaben zu dem im Inland ansässigen Vertreter einer außerhalb der Europäischen Union oder des Gebietes des EWR gelegenen verantwortlichen Stelle sind nach § 1 Abs. 5 Satz 3 BDSG notwendig.


    Für die Stellen, die trotz der Bestellung eines betrieblichen Datenschutzbeauftragten der Meldepflicht unterliegen (siehe II.), ist die Benennung des DSB sinnvoll, da dieser nach § 4f Abs. 5 Satz 2 BDSG auch der Ansprechpartner für Bürgerinnen und Bürger ist.


    Das Meldeformular kann hier heruntergeladen werden:

    Anmeldung nach § 4 d Bundesdatenschutzgesetz (BDSG) zum Register nach § 38 Abs. 2 BDSG beim Hessischen Datenschutzbeauftragten (PDF-Datei, 58 kB; um die Datei abspeichern zu können, benötigen Sie eine aktuelle Version des Acrobat Reader)

  13. Ordnungswidrigkeiten

  14. Wenn eine verantwortliche nichtöffentliche Stelle vorsätzlich oder fahrlässig entgegen § 4d Abs. 1, auch in Verbindung mit § 4e Satz 2 BDSG, eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht, begeht sie nach § 43 Abs. 1 Nr. 1 BDSG eine Ordnungswidrigkeit, die mit einer Geldbuße bis zu 50.000 € geahndet werden kann.

zurück nach oben
zurück nach oben springen
 
Artikel/Seite in der Druckansicht öffnen
Artikel/Seite in der Druckansicht öffnen
 
Artikel/Seite per eMail versenden
Artikel/Seite per eMail versenden
   
Stand: 30.01.2014