Das Hessische Datenschutzgesetz ist das Datenschutzgesetz für die öffentliche Verwaltung des Landes Hessen. Es trat 1970 in Kraft und ist damit das erste und älteste formelle Datenschutzgesetz der Welt.
Das Gesetz regelt, wann die öffentliche Verwaltung des Landes Hessen personenbezogene Daten verarbeiten darf und welche Vorgaben sie dabei beachten muss. Durch diese Reglementierung der Datenverarbeitung soll sichergestellt werden, dass die Personen, deren Daten verarbeitet werden, nicht in ihrem Recht auf informationelle Selbstbestimmung verletzt werden (§ 1 Abs. 1 Nr. 1).
Außerdem soll durch das Gesetz „das auf dem Grundsatz der Gewaltenteilung beruhende verfassungsmäßige Gefüge des Staates […] vor einer Gefährdung infolge der automatisierten Datenverarbeitung“ bewahrt werden (§ 1 Abs. 1 Nr. 2). Dieses – für ein Datenschutzgesetz ungewöhnliche – Ziel soll durch Regelungen erreicht werden, die das Informationsgefälle der Legislative gegenüber der Exekutive nivellieren.
Dieses Gesetz gilt gemäß § 3 Abs. 1 für Behörden und sonstige öffentliche Stellen des Landes Hessen und für die hessische Kommunalverwaltung. Es gilt auch für die sonstigen der Aufsicht des Landes Hessen unterstehenden juristischen Personen des öffentlichen Rechts, z. B. die Johann Wolfgang Goethe-Universität Frankfurt am Main, und für deren Vereinigungen. Unternehmen der Privatwirtschaft sind nur dann an das Hessische Datenschutzgesetz gebunden, wenn und soweit sie hoheitliche Aufgaben unter Aufsicht der hessischen Behörden wahrnehmen, z. B. Schornsteinfeger oder wenn sie Daten im Auftrag hoheitlicher Stellen verarbeiten (§ 4).
Für den Hessischen Rundfunk und für öffentlich-rechtliche Unternehmen, die am Wettbewerb teilnehmen, gelten gemäß § 3 Abs. 5 und 6 nur bestimmte Teile des Gesetzes, ebenso für den Hessischen Landtag (§ 39).
Das Hessische Datenschutzgesetz ist in fünf Teile gegliedert:
Erster Teil: Allgemeiner Datenschutz (§§ 1–20)
Zweiter Teil: Hessischer Datenschutzbeauftragter (§§ 21–31)
Dritter Teil: Besonderer Datenschutz (§§ 32–37)
Vierter Teil: Rechte des Landtags und der kommunalen Vertretungsorgane (§§ 38, 39)
Fünfter Teil: Schlussvorschriften (§§ 40–44)
Erster Teil: Allgemeiner Datenschutz
Der Erste Teil des Hessischen Datenschutzgesetzes ist in drei Abschnitte untergliedert. Der Erste Abschnitt (§§ 1 bis 10) enthält Grundsatzregelungen.
In § 1 ist der Gesetzeszweck genannt.
In § 2 werden grundlegende Begriffe des Gesetzes definiert, u. a. die Begriffe „personenbezogene Daten“, „datenverarbeitende Stelle“, „Dritter“, „Empfänger“, „Akte“ und „Datei“. § 2 Abs. 2 stellt klar, was unter dem Begriff der „Datenverarbeitung“ zu verstehen ist, nämlich „jede Verwendung gespeicherter oder zur Speicherung vorgesehener personenbezogener Daten“. Der Datenverarbeitungsbegriff des HDSG umfasst also auch die erstmalige Erhebung von personenbezogenen Daten. Darin unterscheidet er sich von der Datenverarbeitung im Sinne des Bundesdatenschutzgesetzes, die den Vorgang der Datenerhebung nicht umfasst.
In § 3 wird der Anwendungsbereich bestimmt.
§ 4 regelt die Datenverarbeitung im Auftrag. Ist der Auftragnehmer eine Stelle, die nicht dem Geltungsbereich des HDSG unterfällt, so muss vertraglich sichergestellt werden, dass der Auftragnehmer die Bestimmungen des HDSG befolgt und sich der Kontrolle durch den Hessischen Datenschutzbeauftragten unterwirft. Dadurch soll verhindert werden, dass der Datenschutz durch eine Verlagerung der Datenverarbeitung ausgehebelt wird.
§ 5 legt fest, dass jede datenverarbeitende Stelle einen Datenschutzbeauftragten zu bestellen hat, und bestimmt dessen Aufgabenbereich. Die Pflicht zur Führung von Verfahrensverzeichnissen ist in § 6 festgelegt. § 7 Abs. 1 regelt, in welchen Fällen überhaupt Daten verarbeitet werden dürfen, nämlich dann, wenn das Hessische Datenschutzgesetz oder eine diesem vorgehende Rechtsvorschrift dies vorsieht, zulässt oder zwingend voraussetzt oder wenn der Betroffene eingewilligt hat. § 7 Abs. 2 enthält Details zu den Voraussetzungen einer wirksamen Einwilligung. § 8 zählt auf, welche Rechte die Personen haben, deren Daten verarbeitet werden. Das Datengeheimnis ist in § 9 statuiert. § 10 verpflichtet die datenverarbeitenden Stellen, bestimmte organisatorische und technische Maßnahmen zu ergreifen, um den Datenschutz und die Datensicherheit zu gewährleisten.