152-FZ „Über personenbezogene Daten“

Was ist das Bundesgesetz Nr. 152-FZ „Über personenbezogene Daten“

Das Bundesgesetz Nr. 152-FZ „Über personenbezogene Daten“ ist ein zentraler Rechtsakt der Russischen Föderation, verabschiedet am 27. Juli 2006. Das Gesetz regelt die Erhebung, Verarbeitung, Speicherung, Übermittlung und den Schutz personenbezogener Daten (PBD) russischer Bürger. Seine Anforderungen sind für alle Organisationen und Einzelunternehmer verbindlich, die mit personenbezogenen Informationen arbeiten: Behörden, Banken, Versicherungs- und medizinische Unternehmen, Internetdienste, Personalabteilungen sowie alle anderen Strukturen, die auf die eine oder andere Weise Daten über Personen verarbeiten.

In einfachen Worten ist 152-FZ ein Regelwerk, das Ihre persönlichen Daten vor Verlusten und unseriösen Unternehmen schützt. Das Gesetz verpflichtet jede Organisation (den Betreiber), Ihre Einwilligung zur Datenerhebung einzuholen, die Daten vertraulich zu behandeln und zuverlässig zu schützen sowie sie auf erste Aufforderung zu löschen. Dies betrifft Banken, Online-Shops, medizinische Einrichtungen und alle anderen Strukturen, die Zugang zu Ihren Daten erhalten.

Die Einhaltung des Gesetzes wird von Roskomnadzor überwacht; für Verstöße sind empfindliche Geldbußen und strafrechtliche Verantwortlichkeit vorgesehen. Nach Angaben von Roskomnadzor wurden 2025 mehr als 5.000 Verstöße gegen 152-FZ festgestellt, die Gesamtsumme der Geldbußen überstieg 2,5 Milliarden Rubel. Dies unterstreicht die Bedeutung der Gesetzeskonformität für jede Organisation, die mit Bürgerdaten arbeitet.

Grundlegende Bestimmungen von 152-FZ

Das Gesetz legt klare Grundsätze für die Verarbeitung personenbezogener Daten fest, die alle Betreiber einhalten müssen:

• Rechtmäßigkeit und Fairness: Die Datenverarbeitung muss auf rechtlicher Grundlage und in gutem Glauben erfolgen. Eine Verarbeitung durch Täuschung oder ohne rechtliche Grundlage ist nicht zulässig.
• Begrenzung auf bestimmte Zwecke: Daten dürfen nur für vorab festgelegte und rechtmäßige Zwecke verarbeitet werden. Die Verwendung von Daten für Zwecke, die mit den ursprünglich angegebenen unvereinbar sind, ist nicht zulässig.
• Unzulässigkeit der Zusammenführung von Datenbanken: Es ist verboten, Datenbanken mit personenbezogenen Daten zusammenzuführen, deren Verarbeitung für unvereinbare Zwecke erfolgt.
• Sicherstellung der Richtigkeit und Aktualität: Der Betreiber ist verpflichtet, Maßnahmen zur Sicherstellung der Richtigkeit und Aktualität der Daten zu ergreifen sowie auf Antrag der betroffenen Person unvollständige oder unrichtige Daten zu löschen oder zu präzisieren.
• Speicherung nicht länger als notwendig: Daten dürfen nicht länger gespeichert werden, als es die Zwecke der Verarbeitung erfordern. Nach Erreichen der Zwecke oder bei Wegfall der Notwendigkeit sind die Daten zu vernichten oder zu anonymisieren.

Eine zentrale Anforderung des Gesetzes ist die informierte und bewusste Einwilligung der betroffenen Person in die Verarbeitung ihrer Daten. Für biometrische und besondere Kategorien personenbezogener Daten (Rasse, Nationalität, politische Ansichten, Gesundheit, Intimleben) gelten zusätzliche Anforderungen und ein erhöhter Schutz. Zum wirksamen Schutz solcher Daten setzen Organisationen häufig DLP-Systeme zur Verhinderung von Leaks und SIEM-Lösungen zur Überwachung von Sicherheitsereignissen ein.

Pflichten der Betreiber personenbezogener Daten

Betreiber (Organisationen und Einzelunternehmer, die personenbezogene Daten verarbeiten) sind verpflichtet, eine Reihe von Anforderungen zu erfüllen, die in 152-FZ und den Verordnungen (insbesondere der FSTEC-Verordnung Nr. 21 und der Regierungsverordnung Nr. 1119) festgelegt sind:

• Roskomnadzor über den Beginn der Verarbeitung personenbezogener Daten benachrichtigen (außer wenn dies nicht erforderlich ist — beispielsweise, wenn Daten nur zur Erfüllung eines Arbeitsvertrags verarbeitet werden).
• Die Vertraulichkeit personenbezogener Daten gewährleisten und technische sowie organisatorische Schutzmaßnahmen ergreifen.
• Zertifizierte KIS-Werkzeuge verwenden, wenn dies erforderlich ist (beispielsweise bei der Übertragung von Daten über offene Kommunikationskanäle oder bei der Arbeit mit Biometrie).
• Eine verantwortliche Person benennen für die Organisation der Verarbeitung personenbezogener Daten.
• Informationssysteme zertifizieren lassen, um die Einhaltung der Anforderungen der Regulierungsbehörden (FSTEC, FSB) zu bestätigen.
• Interne Aufzeichnungen und Kontrolle über die Verarbeitung personenbezogener Daten führen.

Zum Schutz der Daten werden umfassende Maßnahmen eingesetzt: Firewalls, DLP-Systeme, SIEM-Lösungen, Zugriffskontrollsysteme und Antivirus-Software. Mehr über Schutzwerkzeuge erfahren Sie in unserem Glossar.

Verantwortlichkeit für Verstöße gegen 152-FZ

Ein Verstoß gegen die Anforderungen des Gesetzes zieht ernste Konsequenzen nach sich — von Verwaltungsstrafen bis zur Strafverfolgung:

• Verwaltungsrechtliche Haftung (Gesetzbuch der Russischen Föderation über Ordnungswidrigkeiten): Geldbußen für Beamte — 10.000 bis 100.000 Rubel, für juristische Personen — 100.000 bis 500.000 Rubel. Für die Verarbeitung von Daten ohne Einwilligung oder für unvereinbare Zwecke können die Geldbußen 700.000 Rubel erreichen.
• Umsatzbezogene Geldbußen: Bei wiederholten Verstößen und großen Datenlecks sind umsatzbezogene Geldbußen von bis zu 3 % des Jahresumsatzes des Unternehmens vorgesehen, jedoch nicht weniger als 1 Million Rubel (gemäß den ab 2025 in Kraft getretenen Änderungen).
• Strafrechtliche Haftung (Artikel 137 des Strafgesetzbuchs der Russischen Föderation): Für die illegale Erhebung und Verbreitung personenbezogener Daten (einschließlich unter Nutzung der Amtsposition) ist eine Freiheitsstrafe von bis zu 5 Jahren vorgesehen.
• Blockierung von Websites und Aussetzung der Tätigkeit: Roskomnadzor hat das Recht, Websites zu blockieren, die gegen 152-FZ verstoßen, sowie die Tätigkeit von Organisationen bis zur Beseitigung der Verstöße auszusetzen (bis zu 90 Tage).

Laut Statistik erließ Roskomnadzor 2025 mehr als 7.000 Beschlüsse über Verwaltungsstrafen für Verstöße gegen 152-FZ. Die durchschnittliche Geldbuße für juristische Personen betrug 250.000 Rubel, für Beamte — 40.000 Rubel.

So stellen Sie die Einhaltung von 152-FZ sicher

Zur Risikominimierung und Gewährleistung der Einhaltung gesetzlicher Anforderungen wird Organisationen empfohlen, folgende Schritte zu unternehmen:

1. Regelmäßige Prüfung aller Systeme und Prozesse der Verarbeitung personenbezogener Daten durchführen, alle Quellen und Datenströme identifizieren.
2. Eine verantwortliche Person benennen für die Organisation der Verarbeitung personenbezogener Daten und interne Richtlinien entwickeln (Richtlinie zur Verarbeitung personenbezogener Daten, Datenschutzrichtlinie).
3. Die Einwilligung der betroffenen Personen zur Verarbeitung in schriftlicher oder elektronischer Form einholen (mittels elektronischer Signatur).
4. Technische Schutzwerkzeuge einführen: DLP-Systeme zur Verhinderung von Leaks, SIEM-Systeme zur Überwachung, KIS-Werkzeuge zur Verschlüsselung und Firewalls zum Schutz vor externen Bedrohungen.
5. Zertifizierung von Informationssystemen durch autorisierte Stellen (FSTEC, FSB) gemäß den Anforderungen durchführen.
6. Mitarbeiter schulen in den Regeln der Arbeit mit personenbezogenen Daten und der Verantwortlichkeit bei deren Verstoß.

Unsere Dienstleistungen Zertifizierung und Planung sicherer Systeme helfen Ihnen, die Anforderungen der Regulierungsbehörden zu erfüllen und Sanktionen zu vermeiden. Der vollständige Text des Gesetzes und aktuelle Änderungen sind immer im Abschnitt Dokumente verfügbar.