Versicherung

Die Auslagerung der Beihilfebearbeitung durch den Beitritt zu Beihilfeversicherungen stellt für Kommunen zweifellos eine wirtschaftlich sinnvolle Alternative zur Wahrnehmung der Aufgabe in eigener Zuständigkeit dar. Auch für die betroffenen Beihilfeberechtigten können sich datenschutzrechtlich Vorteile ergeben. So kann die mit der Auslagerung einhergehende Anonymität zwischen Antragsteller und Sachbearbeiter durchaus auch im Interesse des Betroffenen sein, da der vom Gesetzgeber geforderten Abschottung der Beihilfedaten von anderen Personaldaten (§ 102 a S. 2 und 3 LBG) bei dieser Verfahrensweise in besonderem Maße Rechnung getragen wird. Erfahrungsgemäß ist diese Abschottung gerade in kleineren Behörden nur schwer zu realisieren.

Einschränkungen ergeben sich jedoch dann, wenn die Beihilfebearbeitung durch nicht öffentliche Stellen erfolgen soll:

Die Beachtung der datenschutzrechtlichen Bestimmungen durch den Auftragnehmer einschließlich der Duldung der Kontrolle durch den LfD kann in diesen Fällen lediglich vertraglich zugesichert werden (§ 4 Abs. 1 LDSG). Auch dürfte das durch arbeitsvertragliche Sanktionen zu erreichende Schutzniveau bei einem privaten Auftragnehmer deutlich geringer sein. Weiterhin ist zu beachten, dass durch entsprechende vertragliche Vereinbarungen, ggf. auch gegen den ausdrücklichen Willen des Betroffenen, Personen außerhalb des öffentlichen Bereichs, die nicht zum gesetzlich zulässigen Empfängerkreis von Personaldaten gehören, Kenntnis von besonders sensiblen Informationen erhalten.

In diesem Zusammenhang ist auch die Regelung des § 4 Abs. 4 LDSG zu sehen, die bei Berufs- oder besonderen Amtsgeheimnissen, die sich auch auf Beihilfedaten erstrecken, ein grundsätzliches Verbot der Auftragsdatenverarbeitung durch nicht öffentliche Stellen beinhaltet.

Aus diesen Gründen sollte die Bearbeitung der Beihilfeangelegenheiten nach Auffassung des LfD grundsätzlich nur durch andere öffentliche Stellen (z. B. kommunale Beihilfe- oder Versorgungskassen, Zweckverbände) oder ­ wie dies bei der Pfälzischen Pensionsanstalt bislang auch der Fall ist ­ durch dem öffentlichen Bereich nahe stehende Beihilfeversicherungen erfolgen, die ihrerseits der strafbewehrten Verschwiegenheitspflicht nach § 203 Abs. 1 Nr. 6 StGB unterliegen.

In Rechtsprechung und Literatur werden zur rechtlichen Einordnung und Zulässigkeit des Outsourcings im Bereich der Beihilfe unterschiedliche Auffassungen vertreten. Das hängt auch damit zusammen, dass entsprechende gesetzliche Vorgaben in Rheinland-Pfalz, wie auch in den meisten anderen Bundesländern, bislang nicht vorhanden sind.

Der LfD hat sich daher gegenüber dem Ministerium der Finanzen für die Schaffung von normenklaren Vorschriften für die Beihilfebearbeitung durch externe Stellen eingesetzt, um den bestehenden Rechtsunsicherheiten bei den Beihilfeberechtigten und den Kommunen hinsichtlich der Zulässigkeit des Outsourcings besser begegnen zu können. Das Ministerium hatte zwar zunächst mitgeteilt, dass bei der anstehenden Neufassung der Beihilfen-Zuständigkeitsverordnung eine Beihilfebearbeitung durch öffentlich-rechtliche Versorgungskassen für den kommunalen Bereich ausdrücklich ermöglicht werden solle, angesichts der in dieser Sache anhängigen Gerichtsverfahren und „gegenteiliger Tendenzen" in verschiedenen Ländern werde dies jedoch nicht weiter verfolgt. Der LfD fand diese Argumente wenig überzeugend und hat sich daher erneut gegenüber dem Finanzministerium in dem o. g. Sinne eingesetzt.

Heimarbeitsplätze beim Medizinischen Dienst der Krankenversicherung

Als dem LfD bekannt geworden war, dass beim MDK Mitarbeiterinnen in Heimarbeit Pflegegutachten schreiben, wurden an mehreren Heimarbeitsplätzen örtliche Feststellungen zum Datenschutz getroffen. Die Anforderungen, die bei der Einführung von Heimarbeitsplätzen aus datenschutzrechtlicher Sicht zu beachten sind, wurden bereits im 17. Tb. (Tz. 17.3) ausführlich dargelegt.

Auch wenn das Schreiben von ärztlichen Gutachten (hier ausnahmslos Pflegegutachten) im Wege der Heimarbeit sowohl für die betroffenen Mitarbeiterinnen als auch für den MDK zweifelsohne mit Vorteilen verbunden ist, hat eine datenschutzrechtliche Prüfung auch die schutzwürdigen Interessen der betroffenen Patienten zu berücksichtigen, deren sensible medizinische Daten im Wege der Heimarbeit verarbeitet werden. Diese haben nämlich einen Anspruch darauf, dass mit der Auslagerung der Gutachtenerstellung, über die sie nicht einmal unterrichtet sind, keine ­ im Vergleich zur Datenverarbeitung in der MDK-Dienststelle ­ unverhältnismäßige Beeinträchtigung ihrer Datenschutzrechte verbunden ist.

Positiv festzustellen war, dass der MDK seinerseits bereits Maßnahmen zur Sicherstellung des Datenschutzes im Bereich der Heimarbeitsplätze ergriffen hatte. So wurden beispielsweise sämtliche Heimarbeitsplätze mit dienstlich bereitgestellten Systemen ausgestattet, die erstellten Gutachten werden wenige Tage nach Erstellung automatisch gelöscht und es besteht keine Möglichkeit, die Gutachten am Heimarbeitsplatz auszudrucken. Weiterhin wurden die Mitarbeiterinnen und Mitarbeiter vertraglich verpflichtet, keine nicht dienstliche Software zu installieren und Arbeitsplatzbegehungen auch durch Mitarbeiter des LfD zu gestatten.

Unabhängig hiervon stellt sich jedoch die Frage, ob und unter welchen Voraussetzungen angesichts der Sensibilität der Daten eine Verarbeitung im Wege der Heimarbeit grundsätzlich als zulässig zu bewerten ist. Nach Auffassung des LfD kommt § 4 Abs. 4 Satz 2 LDSG entsprechend zur Anwendung, so dass wegen entgegenstehender schutzwürdiger Interessen der Betroffenen die Verarbeitung personenbezogener Daten, die der ärztlichen Schweigepflicht unterliegen, im Wege der Heimarbeit grundsätzlich nicht in Betracht kommt. Aus diesem Grunde ist eine pseudonymisierte Datenverarbeitung am Heimarbeitsplatz anzustreben.

Wie die örtlichen Feststellungen ergeben haben, ist dies ­ wenn auch mit einem gewissen Aufwand ­ durchaus zu bewerkstelligen.

Auf die vollständige Nennung des Patientennamens könnte beim Diktat künftig verzichtet und stattdessen ein Pseudonym gebildet werden. Auch ist es in aller Regel nicht erforderlich, für das Schreiben der Gutachten die MDK-Akten am Heimarbeitsplatz zur Verfügung zu haben, so dass diese in der MDK-Dienststelle verbleiben könnten. Weiterhin ist eine Anpassung der MDK-Software MEDIKOS dergestalt möglich, dass die Heimarbeiterinnen beim Zugriff auf die Patientendatenbank das zu erstellende Gutachten auch ohne Namensangabe der betreffenden Person eindeutig zuordnen können. Eine abschließende Stellungnahme des MDK lag im Berichtszeitraum noch nicht vor. Angesichts der gewonnenen Erkenntnisse wird sich der LfD mit den ihm zur Verfügung stehenden Möglichkeiten nachhaltig für eine pseudonymisierte Datenverarbeitung am Heimarbeitsplatz einsetzen.

Datenschutzfragen im Zusammenhang mit der Internet- und E-Mail-Nutzung durch Bedienstete

Der zunehmende Einsatz der Informationstechnologie im Bereich der öffentlichen Verwaltung führte zu zahlreichen Anfragen beim LfD. Unter dem Gesichtspunkt des Mitarbeiterdatenschutzes ist im Bereich der Internet- und E-Mail-Nutzung ­ wie bei der Telefondatenerfassung auch ­ zwischen dienstlicher und privater Nutzung zu unterscheiden.

Ist nur die dienstliche Nutzung des Internets oder der E-Mail-Kommunikation erlaubt, findet in Bezug auf die Erhebung, Verarbeitung und Nutzung personenbezogener Mitarbeiterdaten allgemeines Datenschutzrecht Anwendung. Benutzeraktivitäten dürfen im Rahmen der Durchführung von technisch-organisatorischen Datenschutzmaßnahmen nach § 9 Abs. 2 LDSG protokolliert werden.

Die Löschungsvorschriften des Teledienstedatenschutzgesetzes finden keine Anwendung, weil sie nur im Verhältnis der Anbieter von Telediensten zu den Nutzern gelten. Vorliegend handelt es sich dagegen um die Frage, welche Daten die nutzende Stelle selbst im Verhältnis zu ihren Mitarbeitern speichern darf. Diese Frage wird durch das Medienrecht nicht geregelt.

Im Zusammenhang mit der Nutzung des Internets begegnet daher die Protokollierung des Benutzernamens, der aufgerufenen Seiten, des Datums und der Uhrzeit des Aufrufs sowie des Umfangs der Nutzung keinen datenschutzrechtlichen Bedenken. Ausgehende dienstliche E-Mails sind gem. § 9 Abs. 2 Ziff. 6 LDSG auch in Bezug auf deren Inhalte elektronisch zu protokollieren, sofern diese nicht in ausgedruckter Form zu den Akten genommen werden.

Die erfassten Protokolldaten dürfen nach § 13 Abs. 5 und § 31 Abs. 5 LDSG grundsätzlich nur zu Zwecken der Datenschutzkontrolle, der Datensicherung oder zur Sicherstellung eines ordnungsgemäßen Betriebes einer Datenverarbeitungsanlage und somit nicht zu Zwecken der Verhaltens- oder Leistungskontrolle genutzt werden. Eine stichprobenweise Überprüfung des Arbeitgebers/Dienstherrn, ob sich die Internet- bzw. E-Mail-Nutzung im Rahmen des dienstlich Zugelassenen bewegt, ist damit jedoch nicht ausgeschlossen. Im Rahmen der Novellierung des Landesdatenschutzgesetzes ist eine entsprechende Klarstellung in § 31 Abs. 5 LDSG vorgesehen.

Da die Protokollierung von Nutzeraktivitäten darüber hinaus jedoch nach § 80 Abs. 2 LPersVG mitbestimmungspflichtig ist, hängt die Zulässigkeit der Auswertung von Protokolldaten im konkreten Einzelfall entscheidend vom Ergebnis des Mitbestimmungsverfahrens ab. Aus datenschutzrechtlicher Sicht ist der Abschluss einer Dienstvereinbarung, die analog zur Telefondatenerfassung Regelungen zur Speicherung und Nutzung der erfassten Daten beinhaltet, sicherlich wünschenswert.

Die Situation stellt sich jedoch dann anders dar, wenn auch die private Internet-Nutzung oder E-Mail-Kommunikation zugelassen ist. In diesem Fall liegt zwischen Arbeitgeber/Dienstherrn und Bediensteten ein Anbieter-Nutzer-Verhältnis im Sinne der sog. Multimedia-Vorschriften (Teledienstegesetz, Teledienstedatenschutzgesetz und Mediendienste-Staatsvertrag) vor. Der Arbeitgeber/Dienstherr hat als „Anbieter" grundsätzlich die sich aus dem Teledienstdatenschutzgestz ergebenden Pflichten (vgl. § 4 ff.

TDDSG) sowie das Fernmeldegeheimnis nach Art. 10 GG und § 85 Abs. 1 TKG zu beachten.

Die insoweit unterschiedlichen rechtlichen Rahmenbedingunen erfordern daher nicht nur eine klare und eindeutige Regelung darüber, ob die private Internet- bzw. E-Mail-Nutzung zugelassen ist, sondern auch ­ falls dies der Fall ist ­ eine von der dienstlichen Nutzung getrennte Datenerfassung. Was bei der E-Mail-Nutzung durch die Vergabe einer separaten privaten E-Mail-Anschrift noch relativ einfach zu bewerkstelligen ist, stößt jedoch bei der Internet-Nutzung an seine Grenzen. Ist das private „Surfen" etwa während der Mittagspause unentgeltlich gestattet, müsste die Protokollierung für den entsprechenden Zeitraum zurückgefahren werden, was bei einer Gleitzeitregelung kaum zu realisieren sein dürfte.

Damit stellt sich die Frage, ob die Betroffenen auf der Basis einer Einwilligungserklärung auf die ihnen bei der Privatnutzung zustehenden Datenschutzrechte verzichten können. In der gegenwärtigen Fassung des § 5 Abs. 2 TDDSG wird die Verarbeitung und Nutzung von Bestandsdaten etwa für Werbe- oder Marktforschungszwecke unter Einwilligungsvorbehalt gestellt. Aufgrund dieser Regelung hatte der LfD in der Vergangenheit die Auffassung vertreten, dass eine weiter gehende Erhebung und Verarbeitung von Nutzungsdaten auch bei erfolgter Einwilligung unzulässig ist. Nach einem Gesetzesentwurf der Bundesregierung zum elektronischen Geschäftsverkehr (Bundestagsdrucksache 14/6098 vom 17. Mai 2001) soll § 5 Abs. 2 jedoch gestrichen werden. Es ist daher davon auszugehen, dass nach dem Willen des Gesetzgebers Bestands- und Nutzungsdaten auf der Basis einer nach § 3 Abs. 1 und 2

TDDSG-E erteilten Einwilligungserklärung des Nutzers auch über den Regelungsbereich des Teledienstedatenschutzgesetzes hinaus erhoben, verarbeitet und genutzt werden dürfen.

Dieser Verzicht kann auch konkludent durch Beachtung der vom Arbeitgeber/Dienstherrn vorgegebenen Bedingungen der Privatnutzung (Bsp.: private Internet-Nutzung nur außerhalb der Arbeitszeit; Kennzeichnung einer E-Mail als „privat") erfolgen. Erforderlich ist jedoch, dass die Nutzer vorher darüber unterrichtet worden sind, dass und in welchem Umfang eine Protokollierung der Internet- und E-Mail-Aktivitäten erfolgt und insoweit das Fernmeldegeheimnis eingeschränkt wird sowie sonstige Vorschriften zum Schutz des Nutzers nach dem Teledienstedatenschutzgesetz nicht zur Anwendung kommen. Weiterhin sind die Nutzer darüber zu unterrichten, unter welchen Voraussetzungen Protokolldaten ausgewertet und an Dritte übermittelt werden (vgl. § 3 Abs. 8 TDDSG-E). Aufgrund dieser Informationen kann der Mitarbeiter dann selbst darüber entscheiden, ob er unter diesen Voraussetzungen das Internet und die E-Mail-Kommunikation privat nutzen möchte oder nicht.

Aufbewahrung der Ergebnisse von Einstellungstests in der Personalakte

Die Fachhochschule für öffentliche Verwaltung ­ Fachbereich Polizei ­ beabsichtigte, die Einstellungstests bei der Polizei zu evaluieren. Der LfD wurde gebeten, sich insbesondere zu Fragen der Anonymisierung und der Anmeldung zum Datenschutzregister zu äußern. Die Beschäftigung mit der Thematik förderte dann zutage, dass in der Vergangenheit die Ergebnisse des mehrtätigen Auswahlverfahrens in recht ausführlicher Form zu den Personalakten der erfolgreichen Bewerber genommen wurden. Dies bezog sich beispielsweise auf das Diktat, den Aufsatz und die Protokolle über Gruppendiskussionen und Einzelgespräche.

Unterlagen über Einstellungstests sind jedoch nicht in Personalakten, sondern als Sachakte zu führen. Denn der Zweck des Auswahlverfahrens und der damit in Zusammenhang stehenden Datenerhebungen ist mit der Entscheidung über die Einstellung oder Ablehnung des Bewerbers erreicht. Da Personalentscheidungen auf der Grundlage der gesamten Personalakte getroffen werden, kann nicht ausgeschlossen werden, dass sich die weitere Aufbewahrung der Unterlagen in der Personalakte im Einzelfall für den Beamten nachteilig auswirken kann. Auch besteht die Gefahr, dass durch die Aufnahme von Gesprächsprotokollen Angaben über die religiöse, weltanschauliche oder politische Anschauung in unzulässiger Weise zum Gegenstand von Personalakten werden.

Das Innenministerium schloss sich dieser Rechtsauffassung an und sagte zu, dass künftig nur noch das Ergebnis des Einstellungstests zu den Personalakten genommen wird. Eine sofortige Bereinigung der Alt-Personalakten sei bei über 10 000 Akten allerdings nicht durchführbar. Es wurde Einvernehmen darüber erzielt, dass diese sukzessive anlassbezogen, also bspw. bei Abgabe der Personalakte an eine andere Dienststelle im Rahmen einer Versetzung, erfolgen soll.

Der LfD setzte sich im Rahmen der Novellierung des Landesdatenschutzgesetzes dafür ein, dass in § 31 LDSG eine gesetzliche Regelung aufgenommen wird, wonach die Weiterverarbeitung der bei ärztlichen oder psychologischen Untersuchungen und Tests erhobenen Daten nur mit schriftlicher Einwilligung des Betroffenen zulässig ist. Dem wurde in dem vorliegenden Gesetzentwurf Rechnung getragen.

Personaldatenschutz bei Mitarbeitergesprächen

In der Anfrage des Personalrats einer Kreissparkasse ging es um die datenschutzrechtlichen Aspekte bei sog. Rückkehrgesprächen.

Diese Gespräche sollten nach der Hausmitteilung der Kreissparkasse mit Mitarbeiterinnen und Mitarbeitern geführt werden, die nach krankheitsbedingter Abwesenheit in den Dienst zurückkehren. In dem ­ wie es hieß ­ „ausführlichen" Gespräch sollten die Mitarbeiter u. a. den gegenwärtigen Gesundheitszustand und die Hintergründe der Erkrankung mitteilen. Der Inhalt des Gesprächs sollte dokumentiert, von den teilnehmenden Personen unterzeichnet und an die Personalabteilung weitergeleitet werden.

Dem Arbeitgeber ist es im Rahmen seiner Fürsorgepflicht zwar unbenommen, einzelne Mitarbeiter auf ihre Fehlzeiten und die damit einhergehende Mehrbelastung der Kolleginnen und Kollegen hinzuweisen. Datenschutzrechtlich relevant sind diese Gespräche jedoch insoweit, als die Mitarbeiter bei dieser Verfahrensweise gehalten sind, dem Arbeitgeber Auskunft über ihre Erkrankung zu geben und die Dokumentation des Gesprächs in die Personalakte aufgenommen werden soll.

Ein Arbeitnehmer ist aber ­ abgesehen bei Gesundheitsgefahren für Kollegen, etwa durch eine ansteckende Krankheit ­ nicht verpflichtet, dem Arbeitgeber Näheres über seine Erkrankung (z. B. Diagnose, Symptome, Ursachen) mitzuteilen. Dies ergibt sich aus den arbeits- und sozialrechtlichen Vorschriften zur Arbeitsunfähigkeitsbescheinigung, die die Weitergabe von Informationen über die Art der Erkrankung des Arbeitnehmers an den Arbeitgeber gerade nicht vorsehen. In einer Entscheidung des Arbeitsgerichts Mannheim (RDV 2000, 281 f.) weist das Gericht darauf hin, dass eine allgemeine Verpflichtung des Arbeitnehmers, den Arbeitgeber über die Art seiner Erkrankung zu unterrichten, nicht besteht. Beantwortet der Arbeitnehmer die Frage des Arbeitgebers nicht auf freiwilliger Basis, so hat der Arbeitgeber im Regelfall keinerlei rechtliche Möglichkeiten, dies durchzusetzen.

Bei Durchführung der Rückkehrgespräche ist der Arbeitnehmer daher u. a. darauf hinzuweisen, dass er zur Offenbarung über Art, Ausmaß und Hintergründe seiner Erkrankung weder verpflichtet ist noch seine Weigerung, Gesundheitsdaten gegenüber dem Arbeitgeber zu offenbaren, zu beruflichen Nachteilen führt.

Der Personalrat wurde in diesem Sinne unterrichtet. Er wurde auch darauf hingewiesen, dass die Dokumentation der Rückkehrgespräche ebenso wie Aufzeichnungen über sog. Mitarbeiter- oder Personalführungsgespräche, deren Ergebnisse in einer Zielvereinbarung festgehalten werden, aufgrund ihrer Zielsetzung (Verbesserung der Führungs- und Kooperationsbeziehungen zwischen Vorgesetztem und Mitarbeiter) kein zulässiger Gegenstand von Personalakten sind.