Inkasso

Umgang mit Daten, die der Auftragnehmer von Dritten oder vom Betroffenen beschafft,

- die Kontaktaufnahme des Auftragnehmers mit dem Betroffenen.

Ergibt die Abgrenzung, dass die Tätigkeit der für die Erfüllung der Aufgabe eingeschalteten Stelle als Auftragsdatenverarbeitung anzusehen ist, so folgt daraus für den Auftraggeber, dass er „Herr der Daten" bleibt und für die Datenverarbeitung verantwortlich ist. Er gilt als datenverarbeitende Stelle im Sinne des § 4 Abs. 3 Nr. 1, 2 BlnDSG. Seine Pflichten ergeben sich aus § 3 Abs. 1, 4 BlnDSG (vgl. auch § 11 Abs. 1, 2 BDSG).

Der Auftragnehmer darf die Daten nur im Rahmen der Weisungen des Auftraggebers verarbeiten, d. h. die zur Datenverarbeitung überlassenen Daten nicht anderweitig verwenden und nicht länger aufbewahren, als der Auftraggeber bestimmt.

Auch wenn die Auftragsdatenverarbeitung für Auftraggeber und -nehmer eine Reihe von zusätzlichen Verpflichtungen (z. B. die vertragliche Ausgestaltung sowie die Unterrichtung nach § 3 Abs. 4 BlnDSG) mit sich bringt, so hat diese rechtliche Einordnung auch erhebliche Vorteile. Durch die Bindung des Auftragnehmers an die Weisungen des Auftraggebers wird er quasi als rechtliche Einheit mit der speichernden Stelle betrachtet. Dies hat die Konsequenz, dass die Übertragung der personenbezogenen Daten an den Auftragnehmer zur Durchführung der weisungsgemäßen Aufgabe und die Rückführung an den Auftraggeber nicht als Datenübermittlung zu bewerten sind. Auch die übrigen Datenverarbeitungsschritte (§ 4 Abs. 2 BlnDSG) werden datenschutzrechtlich aus der Sicht des Auftraggebers beurteilt, auch wenn sie tatsächlich durch den Auftragnehmer wahrgenommen werden.

Ergibt die Abgrenzung nach den genannten Kriterien, dass die öffentliche Stelle mehr als bloße Datenverarbeitungsschritte, nämlich eine gesamte Funktion übertragen hat, hängen die rechtlichen Konsequenzen davon ab, welcher der beiden Unterfälle einschlägig ist: Ist ein Mandat erteilt worden, so stellt die Weitergabe von Daten zwischen Mandatsgeber und Mandatsnehmer nur eine interne, dem Zweckbindungserfordernis unterliegende Nutzung und keine Datenübermittlung dar, obgleich es sich beim Mandat um einen Unterfall der Funktionsübertragung handelt.

Demgegenüber sind bei der Delegation Datentransfers zwischen Auftraggeber und Auftragnehmer als Datenübermittlungen anzusehen. Der Auftragnehmer ist nicht Teil der datenverarbeitenden Stelle, sondern Dritter. Er hat alle Anforderungen, die die datenschutzrechtlichen Bestimmungen an die Verarbeitung personenbezogener Daten stellen, selbst zu erfüllen.

Die bei der Funktionsübertragung in Betracht kommenden Fallkonstellationen können wiederum relativ leicht voneinander abgegrenzt werden je nach dem, ob es sich um öffentliche, hoheitliche Aufgaben oder um öffentliche, nicht-hoheitliche Aufgaben oder um nicht-öffentliche Aufgaben (z. B. fiskalischer Art) handelt, und je nach dem, ob es hierbei jeweils um die Übertragung auf öffentliche oder aber auf nicht-öffentliche Stellen geht:

- Wird eine öffentliche, hoheitliche Aufgabe auf eine öffentliche Stelle übertragen, so wird ­ im Fall des Mandats ­ der Auftragnehmer Teil der auftraggebenden Stelle, die Weitergabe der Daten ist interne Nutzung, deren Zulässigkeit sich allein an dem in § 11 Abs. 1 BlnDSG genannten Zweckbindungserfordernis orientiert. Ein Beispiel ist die Übertragung der Personalaktenführung einer öffentlichen Stelle auf eine andere öffentliche Stelle, wobei letztere als Auftragnehmerin ermächtigt ist, im Namen des Auftraggebers für diesen nach außen (etwa unter Nutzung des Briefkopfes des Auftraggebers) zu handeln. Liegt dagegen der Fall einer Delegation vor, entscheidet der Auftragnehmer selbständig. Die Weitergabe von Daten stellt eine Datenübermittlung dar, deren Zulässigkeit sich nach § 12 BlnDSG richtet. Ein Beispiel ist die Vollzugshilfe der Feuerwehr nach § 3 Abs. 2 ASOG.

- Wird eine öffentliche, hoheitliche Aufgabe auf eine nichtöffentliche Stelle übertragen, so kann es sich hierbei nur um Bericht des Berliner Datenschutzbeauftragten Stellungnahme des Senats den Unterfall der Delegation handeln, weil eine Mandatserteilung bei privaten Stellen nicht möglich ist. Voraussetzung für eine derartige Delegation ist die Beleihung, die nur durch oder auf Grund Gesetzes sowie nach Veröffentlichung des Beleihungsaktes erfolgen darf. Da Beliehene (z. B. Schornsteinfeger, Notare, amtlich beeidigte Sachverständige, Gerichtsvollzieher) immer als öffentliche Stellen gelten, richtet sich die Zulässigkeit des zwischen Auftragnehmer und Auftraggeber stattfindenden Datenaustauschs nach § 12 BlnDSG.

- Wird eine öffentliche, nicht-hoheitliche Aufgabe auf eine andere öffentliche Stelle übertragen, so gilt im Falle der Mandatserteilung dasselbe wie bei einer hoheitlichen Aufgabe.

Als (frei erfundenes) Beispiel mag hier die Ausrichtung eines Empfangs durch das Protokoll einer öffentlichen Verwaltung unter dem Briefkopf der anderen (beauftragenden) Verwaltung dienen. Wird der Empfang dagegen unter dem eigenen Briefkopf des Auftragnehmers durchgeführt, so handelt es sich um den Unterfall der Delegation, die (im Gegensatz zur Beleihung) auch ohne gesetzliche Ermächtigung durch Vertrag möglich ist. Datentransfers zwischen den beiden beteiligten Stellen erfolgen innerhalb des öffentlichen Bereichs, so dass die Zulässigkeit der Datenübermittlung nach § 12 BlnDSG zu beurteilen ist.

- Wird eine öffentliche, nicht-hoheitliche Aufgabe auf eine nicht-öffentliche Stelle übertragen, so ist auch hier eine Mandatserteilung nicht möglich. Der Fall der Delegation, die mangels Beleihungserfordernisses keiner gesetzlichen Ermächtigung bedarf, trägt die Besonderheit, dass die beauftragte nicht-öffentliche Stelle wie eine öffentliche Stelle behandelt wird, weil sie Aufgaben der öffentlichen Verwaltung wahrnimmt (§ 2 Abs. 1 Satz 2 BlnDSG). Die hieraus zu ziehende wichtige Konsequenz ist, dass Datentransfers zwischen Auftragnehmer und Auftraggeber innerhalb des öffentlichen Bereichs stattfinden, so dass sich die Zulässigkeit der Datenübermittlung nach § 12 (und nicht nach § 13) BlnDSG richtet. Dieses Ergebnis ist sachgerecht, weil somit in den Fällen der Funktionsübertragung, die zumeist eine zweckgleiche Datenverarbeitung beinhaltet, die Rechtmäßigkeit der Datenübermittlung auf Grund von § 12 Abs. 1 Satz 2 BlnDSG (zweckgleiche Datenübermittlung im öffentlichen Bereich) an dem dort genannten (weniger strengen) Kriterium der Erforderlichkeit gemessen werden kann (ohne etwa für den Datenaustausch eine Rechtsgrundlage fordern zu müssen). Unter diese Fallkonstellation fallen z. B. die mit der Reform der öffentlichen Verwaltung beauftragten Management-Firmen.

- Wird eine nicht-öffentliche Aufgabe (z. B. fiskalischer Art) auf eine öffentliche Stelle übertragen, so kann dies im Wege des Mandats erfolgen, so z. B. wenn das Landesverwaltungsamt Diensträume einer anderen öffentlichen Verwaltung unter deren Briefkopf bewirtschaftet. Erfolgt die Bewirtschaftung hingegen unter dem Briefkopf des Landesverwaltungsamts, so handelt es sich um den Fall der Delegation, die keiner gesetzlichen Grundlage bedarf und bei der eine zwischen Auftraggeber und Auftragnehmer stattfindende Datenübermittlung nach § 12 BlnDSG zu beurteilen ist.

- Wird die nicht-öffentliche Aufgabe dagegen auf eine nichtöffentliche Stelle übertragen, so kann dies wiederum (mangels Zulässigkeit der Mandatserteilung) nur im Wege der Delegation erfolgen. Als Besonderheit gegenüber den anderen Fallkonstellationen ist der Umstand hervorzuheben, daß wegen der Übertragung einer nicht-öffentlichen Aufgabe die private Stelle nicht als öffentliche Stelle im Sinne des § 2 Abs. 1 Satz 2 BlnDSG anzusehen ist. Es handelt sich also um eine Datenübermittlung an eine Stelle außerhalb des öffentlichen Bereichs, so dass die Zulässigkeit nach § 13 (und nicht nach § 12) BlnDSG zu beurteilen ist. Typisches Beispiel hierfür ist die von beauftragten Privatunternehmen durchzuführende Inkassotätigkeit. Die Zulässigkeit der von diesen Unternehmen durchzuführenden Datenverarbeitungsschritte beurteilt sich ihrerseits nach den Bestimmungen des (für den Privatbereich geltenden) BDSG. Bericht des Berliner Datenschutzbeauftragten Stellungnahme des Senats

Defekte Speichermedien

Ein bezirkliches Krankenhaus teilte uns mit, dass eine voll bespielte optische Speicherplatte (WORM) seines elektronischen Krankengeschichtenarchivs wegen eines Defekts nicht mehr lesbar sei. Die Lieferfirma, die das System technisch auch betreute, hatte erklärt, dass die defekte WORM nur beim Hersteller in den USA wieder lesbar gemacht werden kann.

Eine Auslieferung der optischen Platte an die US-amerikanische Herstellerfirma würde bedeuten, dass zumindest nach der Reparatur die in den Krankenakten archivierten personenbezogenen Patientendaten den Mitarbeitern des Unternehmens im Klartext offenbart werden würden. Dies würde eine Verletzung der ärztlichen Schweigepflicht bedeuten, die u. U. auch strafrechtlich relevant wäre, denn eine solche Offenbarung ist von § 26 Abs. 3 Berliner Krankenhausgesetz nicht abgedeckt.

Eine Lesbarmachung der defekten WORM beim Hersteller in den USA wäre daher nur zulässig, wenn die WORM durch einen der ärztlichen Schweigepflicht unterliegenden Mitarbeiter des Krankenhauses (das kann auch ein IT-Fachmann sein, der als ärztlicher Erfüllungsgehilfe gelten kann) in die USA transportiert wird, dort die Reparatur oder Datenrekonstruktion der WORM unter Kontrolle dieses Mitarbeiters erfolgt und dann von ihm wieder nach Berlin gebracht wird. Diese Lösung setzt voraus, daß die realen Kontrollmöglichkeiten vorab auf Wirksamkeit geprüft und mit dem Hersteller abgestimmt werden.

Eine solche Lösung ist natürlich wenig praktikabel und zu aufwendig. Wir haben daher empfohlen, die defekte WORM physisch zu zerstören und den Datenbestand auf einer neuen WORM erneut aufzubauen. Dieses war möglich, weil die gescannten Daten auf anderen Datenträgern gesichert worden waren. Anderenfalls wäre ein erneutes Einscannen der in Papierform noch vorliegenden Krankengeschichten erforderlich gewesen.

Ein anderes Bezirksamt sah berechtigterweise die Gefahr, daß Computerhardware, die personenbezogene Daten enthält, an Firmen unter Umständen zwecks Fehlersuche oder Fehlerbehebung herausgegeben werden müsse, und erarbeitete eine Mustervereinbarung zur Einhaltung der datenschutzrechtlichen Vorschriften in solchen Fällen.

Das Bezirksamt wollte sich zunächst von den Unternehmen bestätigen lassen, dass die Fehlersuche bzw. -behebung nicht vor Ort, sondern nur in der Firma möglich ist und dass die Mitnahme der Hardware zur Auftragserfüllung unabdingbar ist. Ein solcher Fall tritt nach unserer Kenntnis bei heutigen Standardsystemen (PCs und Server) nur in zwei seltenen Fällen auf:

- wenn die Festplatte während der Garantiezeit defekt wird oder

- wenn der Defekt in einem System auftritt, dessen Gehäuse nur durch den Hersteller oder dessen Beauftragte geöffnet werden kann und für das kein Vor-Ort-Service angeboten wird.

Der letzte Fall dürfte heutzutage kaum mehr in Betracht kommen. Der erste Fall jedoch tritt auf, wenn bei Schäden in der Garantiezeit der Hardware-Lieferant bzw. -Hersteller prüfen will, ob der aufgetretene Schaden und dessen Ursache die Garantiebedingungen erfüllen. Nur in diesem Falle ist eine vertragliche Regelung zum Schutz der personenbezogenen Daten auf der Festplatte erforderlich.

Ansonsten gehen wir von folgendem aus:

- Die Lokalisierung des defekten Bauteils in einem System ist einem Servicetechniker stets vor Ort möglich.

- Die Reparatur defekter Bauteile ist in der Regel unökonomisch im Vergleich zum Austausch. Der Austausch defekter Teile erfolgt vor Ort, auch um die Beschränkung der Systemverfügbarkeit zu minimieren.

- Die Festplatte ist die einzige fest eingebaute Hardwarekomponente, die nach Unterbrechung der Stromversorgung noch schutzbedürftige Daten enthalten kann. Aus diesem Grunde tritt das zu behandelnde datenschutzrechtliche Risiko nur für dieses Bauteil auf.

Der Senat stimmt mit der Meinung des Berliner Datenschutzbeauftragten überein.

Die Senatsverwaltung für Gesundheit und Soziales wird, soweit die entsprechende aufsichtsrechtliche Zuständigkeit gegeben ist, auch bei zukünftigem Auftauchen derartiger Vorkommnisse im Rahmen der zur Verfügung stehenden aufsichtsrechtlichen Mittel tätig werden.