Verpflichtung auf Vertraulichkeit: § 5 BDSG regelt das Datengeheimnis nicht mehr
Unzählige Formulare verpflichten Beschäftigte bis heute „auf das Datengeheimnis nach § 5 BDSG“. Diesen Paragrafen gibt es seit 2018 nicht mehr in dieser Form. Worauf sich die Verpflichtung im Unternehmen heute stützt und warum sie deshalb nicht überflüssig ist.
Wer im Betrieb Zugang zu personenbezogenen Daten bekommt, unterschreibt meist ein Blatt. Auf sehr vielen dieser Blätter steht bis heute eine Verpflichtung auf das Datengeheimnis nach § 5 Bundesdatenschutzgesetz. Das ist die Vorschrift aus dem alten BDSG. Im BDSG in der seit 2018 geltenden Fassung trägt § 5 die Überschrift Benennung und regelt die Benennung der oder des Datenschutzbeauftragten. Ein Datengeheimnis steht dort nicht mehr. Es gibt einen § 53 mit dieser Überschrift, der gilt aber im Bereich der Richtlinie (EU) 2016/680, also für Strafverfolgung und öffentliche Sicherheit, und nicht für einen gewöhnlichen Betrieb. Die Verpflichtung selbst ist damit nicht hinfällig. Sie hat nur eine andere Grundlage bekommen, und wer die alte zitiert, unterschreibt etwas, das ins Leere zeigt.
Was mit § 5 BDSG passiert ist
Formulare mit „Verpflichtung auf das Datengeheimnis gemäß § 5 BDSG“ zitieren eine Vorschrift, die im heutigen BDSG etwas anderes regelt. Das fällt spätestens bei einer Prüfung auf.
Das alte Bundesdatenschutzgesetz kannte in § 5 das Datengeheimnis: Personen, die bei der Datenverarbeitung beschäftigt waren, durften personenbezogene Daten nicht unbefugt verarbeiten, und sie waren bei Aufnahme der Tätigkeit darauf zu verpflichten. Daher stammt das Blatt, das viele Betriebe bis heute unterschreiben lassen.
Mit dem BDSG in der ab 2018 geltenden Fassung ist diese Vorschrift entfallen. § 5 trägt dort die Überschrift Benennung und betrifft die oder den Datenschutzbeauftragten. Die Überschrift Datengeheimnis findet sich noch in § 53, dieser Teil des Gesetzes setzt aber die Richtlinie (EU) 2016/680 um und gilt für die Verarbeitung zu Zwecken der Strafverfolgung und der öffentlichen Sicherheit.
Für einen Handwerksbetrieb, eine Praxis oder ein Maschinenbauunternehmen ist § 53 damit nicht einschlägig. Wer weiter auf § 5 BDSG verpflichtet, benennt eine Grundlage, die es für ihn nicht gibt. Das macht die Unterschrift nicht wertlos, aber es macht das Papier angreifbar an genau der Stelle, an der es Sicherheit geben sollte.
Wer verpflichtet ist, und seit wann Im Musterbetrieb ansehen oder 14 Tage kostenlos testen. Der Text geht darunter weiter.
Worauf sich die Verpflichtung heute stützt
Die DSGVO kennt keine Vorschrift, die eine Verpflichtungserklärung ausdrücklich anordnet. Sie kennt drei Stellen, aus denen sich der Sinn und im Auftragsverhältnis auch die Notwendigkeit ergibt.
| Vorschrift | Was dort steht | Wen es trifft |
|---|---|---|
| Art. 29 DSGVO | Unterstellte Personen mit Zugang zu personenbezogenen Daten dürfen diese ausschließlich auf Weisung des Verantwortlichen verarbeiten | jede unterstellte Person, unmittelbar |
| Art. 32 Abs. 4 DSGVO | Der Verantwortliche unternimmt Schritte, um genau das sicherzustellen | den Arbeitgeber: er muss etwas tun |
| Art. 28 Abs. 3 Buchst. b | Im Auftragsverarbeitungsvertrag ist zuzusichern, dass die befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen | Dienstleister und ihre Auftraggeber |
Die Tabelle gibt den Wortlaut sinngemäß wieder. Art. 29 richtet sich an die Person, Art. 32 Absatz 4 an den Verantwortlichen; die Verpflichtungserklärung ist einer der Schritte, mit denen er seine Pflicht erfüllt.
Warum die Unterschrift trotzdem sinnvoll bleibt
Art. 32 Absatz 4 verlangt Schritte, nennt aber keine. Die schriftliche Verpflichtung ist der einfachste nachweisbare Schritt, den ein Betrieb gehen kann, und sie hat einen zweiten Zweck, der oft untergeht: Sie ist der Moment, in dem eine beschäftigte Person erfährt, dass sie mit Daten zu tun hat, die Regeln unterliegen.
Im Auftragsverhältnis wird sie zur harten Anforderung. Wer als Dienstleister für andere verarbeitet, muss nach Art. 28 Absatz 3 Buchstabe b zusichern können, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Ohne diese Zusicherung fehlt dem Vertrag ein Pflichtinhalt.
Praktisch heißt das: Das Blatt bleibt, die Fundstelle darauf ändert sich. Statt § 5 BDSG gehören Art. 29 und Art. 32 Absatz 4 DSGVO darauf, und bei Dienstleistern zusätzlich der Bezug zum Vertrag nach Art. 28.
Was mit Berufsgeheimnissen ist
Art. 28 Absatz 3 Buchstabe b nennt neben der vertraglichen Verpflichtung ausdrücklich die angemessene gesetzliche Verschwiegenheitspflicht. Wo eine solche besteht, etwa bei Berufsgeheimnisträgern, tritt sie an die Stelle der Erklärung.
Für die übrigen Beschäftigten eines gewöhnlichen Betriebs besteht keine solche gesetzliche Pflicht. Dort bleibt die Verpflichtung der Weg, über den der Betrieb seine Schritte nach Art. 32 Absatz 4 belegt.
Was auf ein solches Blatt gehört, und was nicht
Die Verordnung schreibt keinen Inhalt vor. Was sich aus ihrem Zweck ergibt: die richtige Fundstelle, der Hinweis, dass Daten nur auf Weisung verarbeitet werden dürfen, der Umstand, dass die Pflicht auch nach dem Ende der Tätigkeit fortbesteht, und das Datum der Belehrung.
Was nicht darauf gehört, ist eine Auflistung möglicher Sanktionen in Euro. Sie beeindruckt niemanden, veraltet und verschiebt den Ton von Aufklärung zu Drohung. Und was ebenfalls nicht darauf gehört, ist eine pauschale Einwilligung in irgendetwas: Eine Verpflichtung ist keine Einwilligung, und die beiden Dinge auf einem Blatt zu vermischen, schwächt beide.
Diese Seite enthält bewusst keinen Mustertext. Die Ausgestaltung berührt das Arbeitsverhältnis und gegebenenfalls die Mitbestimmung, und ein Muster ohne diese Prüfung wäre genau die Art von Vorlage, die den Fehler mit § 5 BDSG überhaupt erst so langlebig gemacht hat.
Verwandte Themen
Wer verpflichtet ist, und seit wann
In Sicherio hängt die Verpflichtung an der beschäftigten Person: Datum, Fundstelle und Nachweis liegen dort, wo auch die übrige Personaldokumentation steht, und neue Kollegen tauchen als offener Punkt auf, statt vergessen zu werden. 14 Tage kostenlos testen.
Häufige Fragen
Zum Mitnehmen
Bestandsaufnahme Datenschutz
Die Fragen, die beim Lieferantencheck und bei einer Anfrage der Aufsicht zuerst kommen. Zum Durchgehen, bevor jemand anderes sie stellt.
PDF, 3 Seiten, Fragen in 5 Bereichen
- Was im Verzeichnis der Verarbeitungstätigkeiten steht und was fehlt
- Welche Auftragsverarbeiter erfasst sind
- Wie eine Betroffenenanfrage im Haus abläuft
- Woran auffällt, dass das Verzeichnis nicht mehr stimmt
Öffnet das PDF direkt. Oder unten eintragen, dann kommt die ausfüllbare Fassung per Mail.
Zum Inhalt dieser Seite
Diese Seite gibt den Wortlaut der Artikel 28, 29 und 32 DSGVO wieder und den Stand des BDSG in der Fassung von 2018. Wie eine Verpflichtung im einzelnen Betrieb auszugestalten ist, berührt Arbeitsrecht und gegebenenfalls die Mitbestimmung und gehört zu Ihrer Rechtsberatung. Diese Seite enthält bewusst keinen Mustertext.
Die hier dargestellten Informationen beruhen auf einer sorgfältigen Auswertung öffentlich zugänglicher Rechts- und Fachquellen zum Stand vom 3. September 2026. Sie sollen einen ersten Überblick über die jeweilige Fachthematik geben und die eigenverantwortliche Orientierung erleichtern.
Die Inhalte stellen keine Rechts- oder Fachberatung im Einzelfall dar und ersetzen nicht die Prüfung durch eine qualifizierte Fachkraft — etwa einen Datenschutzbeauftragten oder eine qualifizierte Fachberatung. Für die konkrete Anwendung auf Ihren Betrieb ist eine individuelle fachliche Bewertung erforderlich.
Trotz sorgfältiger Recherche können sich Gesetzeslagen, Normen und behördliche Auslegungen ändern. Wir übernehmen keine Gewähr für die Vollständigkeit, Richtigkeit und Aktualität der dargestellten Informationen.
Hinweise auf Fehler oder veraltete Angaben nehmen wir gerne unter kontakt@sicherio.de entgegen.
Mehr zu unserem Vorgehen: Redaktionelle Grundsätze