Der Datenschutz in der gesetzlichen Rentenversicherung

Transkript

1 Der Datenschutz in der gesetzlichen Rentenversicherung Elisabeth Schorn Leitende Referentin in Versicherung und Rente und Datenschutzbeauftragte Deutsche Rentenversicherung Nordbayern, Würzburg 1 Einleitung Wer bei der Deutschen Rentenversicherung Leistungen beantragt, muss alle Tatsachen angeben, die für die Leistung erheblich sind und auf Verlangen der Erteilung der erforderlichen Auskünfte durch Dritte zustimmen. Bezieht jemand bereits eine Leistung, sind Änderungen in den Verhältnissen, die für die Leistung erheblich sind, oder über die im Zusammenhang mit der Leistung Erklärungen abgegeben worden sind, unverzüglich mitzuteilen. Beweismittel sind zu bezeichnen und auf Verlangen des zuständigen Leistungsträgers sind Beweisurkunden vorzulegen oder ihrer Vorlage zuzustimmen. Die Angaben werden einerseits benötigt, um dem Einzelnen die ihm zustehende Leistung zu gewähren, und andererseits die missbräuchliche Inanspruchnahme von Sozialleistungen zu verhindern. Zumeist sind die bekannt zu gebenden Daten besonders sensibel. Sie betreffen häufig den intimen Lebensbereich eines Menschen, zum Beispiel den Gesundheitszustand, und sind deshalb äußerst schutzwürdig. Daher garantiert die Deutsche Rentenversicherung jedem, der im Laufe seines Lebens mit ihr zu tun hat, die Wahrung des Sozialgeheimnisses. Jeder hat ein Recht darauf, dass der Rentenversicherungsträger keine Daten unbefugt und unbegrenzt erhebt, speichert, verarbeitet oder nutzt. 2 Recht auf informationelle Selbstbestimmung Das Urteil des Bundesverfassungsgerichts zum Volkszählungsgesetz das sogenannte Volkszählungsurteil vom ist nach wie vor von grundlegender Bedeutung für die Zulässigkeit moderner Datenverarbeitung. Es enthält fundamentale Aussagen für alle Rechtsbereiche, in denen personenbezogene Daten eine Rolle spielen. Das Bundesverfassungsgericht hat klargestellt, dass das Recht auf informationelle Selbstbestimmung ein Grundrecht ist. Dieses Recht wird vor allem aus dem Recht auf freie Entfaltung der Persönlichkeit (Artikel 2 Grundgesetz) und der Unantastbarkeit der Menschenwürde (Artikel 1 Grundgesetz) hergeleitet. Dieses Grundrecht gewährleistet insoweit die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe seiner persönlichen Daten zu bestimmen. Einschränkungen dieses Rechts sind nur im überwiegenden Allgemeininteresse zulässig. Sie bedürfen einer verfassungsmäßigen gesetzlichen Grundlage, die dem rechtsstaatlichen Gebot der Normenklarheit entsprechen muss. Der Gesetzgeber hat bei seinen Regelungen ferner den Grundsatz der Verhältnismäßigkeit zu beachten. Auch hat er organisatorische und verfahrensrechtliche Vorkehrungen zu treffen, welche der Gefahr einer Verletzung des Persönlichkeitsrechts entgegenwirken. Für den Umgang mit Sozialdaten hat der Gesetzgeber die Vorgaben des Bundesverfassungsgerichts grundsätzlich erfüllt: Die Datenerhebung, -verarbeitung und -nutzung erfolgt auf der Basis des 35 Erstes Sozialgesetzbuch (S G B I) und der 67 ff. Zehntes Sozialgesetzbuch (S G B X). Die Wahrnehmung des Rechts auf informationelle Selbstbestimmung setzt voraus, dass der Einzelne mit hinreichender Sicherheit überschauen kann, welche ihn betreffende Informationen in welchen Bereichen seiner sozialen Umwelt bereits bekannt sind. Nur unter dieser Voraussetzung ist er in der Lage, in freier Entscheidung über die Weitergabe und Verwendung ihn betreffender Informationen zu bestimmen. Seite 1

2 3 Sozialdaten Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener), die von einem Sozialleistungsträger im Hinblick auf seine Aufgaben nach dem Sozialgesetzbuch erhoben, verarbeitet oder genutzt werden, sind gemäß 67 Absatz 1 S G B X Sozialdaten. Erfasst werden grundsätzlich alle Informationen, die etwas über eine natürliche Person aussagen, zum Beispiel Name, Anschrift, Geburtsdatum, Familienstand, Beruf, Gesundheitszustand, Einkommen, Schulden, Aufenthalt in einer Rehabilitationsklinik und nicht zuletzt die Versicherungsnummer. 4 Sozialgeheimnis 35 S G B I regelt das Sozialgeheimnis. Danach gilt als Sozialgeheimnis nicht nur der Anspruch, dass personenbezogene Daten nicht unbefugt offenbart werden dürfen, sondern es werden alle Phasen des Umgangs mit den Daten erfasst. Betroffen sind somit die Erhebung, die Verarbeitung und die Nutzung von Daten. Erheben von Sozialdaten ist das aktive und zielgerichtete Beschaffen von Daten, insbesondere durch Anhören, Befragen oder Anfordern von Unterlagen. Die Verarbeitung umfasst das Speichern, Verändern, Übermitteln, Sperren und Löschen von Daten. Das Nutzen ist ein Auffangtatbestand, der immer dann vorliegt, wenn die Verwendung von Sozialdaten weder dem Erheben noch einer der Phasen des Verarbeitens von Sozialdaten zugewiesen werden kann. Unerheblich ist, ob die Daten in Papierform in einer Akte oder elektronisch gespeichert in einer Datei enthalten sind. Das Gesetz schreibt vor, dass der Rentenversicherungsträger die technischen und organisatorischen Maßnahmen treffen muss, die erforderlich sind, um einen wirksamen Schutz der Sozialdaten zu gewährleisten. Die Anforderungen an die Datensicherheit sind als Maßnahmekatalog niedergelegt. Die Kontrollmaßnahmen, die entsprechende Sicherungsmaßnahmen voraussetzen, sollen den Risiken der Datenverarbeitung entgegenwirken. Sie werden laufend an den technischen Fortschritt im Bereich der Datenverarbeitungstechnik angepasst. Die Zutrittskontrolle verwehrt den unbefugten Zugang zu Datenverarbeitungsanlagen, mit denen Sozialdaten verarbeitet werden. Die Zugangskontrolle verhindert die unbefugte Nutzung von Datenverarbeitungssystemen. Die Zugriffskontrolle gewährleistet, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können. Die Weitergabekontrolle umfasst sämtliche Aspekte der Weitergabe personenbezogener Daten. Die Maßnahmen und Kontrollen gewährleisten, dass Sozialdaten bei der elektronischen Übertragung oder während des Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Bei der elektronischen Übermittlung wird darauf geachtet, dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung von Sozialdaten durch Einrichtungen zur Datenübertragung vorgesehen sind. Die Eingabekontrolle gewährleistet, dass nachträglich überprüft und festgestellt werden kann, welche Sozialdaten von wem ins Datenverarbeitungssystem eingegeben wurden. Die Auftragskontrolle gewährleistet, dass Sozialdaten, die im Auftrag verarbeitet oder genutzt werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet oder genutzt werden können. Die Verfügbarkeitskontrolle verhindert eine Zerstörung und den Verlust von Sozialdaten. Sie umfasst die physische Sicherung der Datenverarbeitung gegen zufällige Zerstörung oder Verlust durch Schutz gegen Wasserschäden, vor Blitzschlag oder Stromausfall. Das Trennungsgebot sorgt für die getrennte Speicherung von Daten, die zu unterschiedlichen Zwecken erhoben worden sind. Die Wahrung des Sozialgeheimnisses bewirkt, dass innerhalb des Rentenversicherungsträgers die Daten über den Versicherten nur den für die Feststellung der Leistungen zuständigen Personen zugänglich sind oder nur an diese innerhalb des Hauses weitergegeben werden dürfen. Unter den Schutzbereich fallen auch die Daten Verstorbener. Nach dem Tod ist eine Einwilligung des Betroffenen nicht mehr möglich. Insoweit wird eine Verarbeitung oder Nutzung der Daten für den Fall eröffnet, dass schutzwürdige Interessen des Verstorbenen oder seiner Hinterbliebenen nicht beeinträchtigt werden. Hier muss nach dem mutmaßlichen Willen des Verstorbenen geforscht werden. Die Mitarbeiter der Deutschen Rentenversicherung haben auch nach Beendigung ihrer Tätigkeit das Sozialgeheimnis zu wahren. Seite 2

3 Das Sozialgeheimnis gilt für alle Sozialleistungsträger, ihre Verbände, ihre Arbeitsgemeinschaften und deren Verbände, die Datenstelle der Träger der Rentenversicherung, gemeinsame Servicestellen, Integrationsfachdienste, die Künstlersozialkasse, die Deutsche Post-A G, soweit sie mit der Berechnung oder Auszahlung von Sozialleistungen betraut ist, die Behörden der Zollverwaltung, soweit sie im Zusammenhang mit der Bekämpfung von Schwarzarbeit tätig werden, die Versicherungsämter und Gemeindebehörden, soweit sie für beziehungsweise als Sozialleistungsträger tätig werden, sowie die anerkannten Adoptionsvermittlungsstellen, soweit sie Aufgaben nach dem Sozialrecht wahrnehmen. 5 Datenschutzrechtliche Grundsätze Die sachgerechte Erhebung und Verarbeitung von Daten hat bei den Rentenversicherungsträgern erhebliche Bedeutung für ihre Aufgabenerledigung. Die Berechtigten sollen die ihnen zustehenden Leistungen möglichst schnell erhalten. Unter diesem Gesichtspunkt würde es sich oftmals als zweckmäßig erweisen, die erforderlichen Daten an der Quelle der Daten zu erheben. Das Sozialgeheimnis geht den anderen Weg. Danach sind die Sozialdaten grundsätzlich beim Betroffenen selbst zu erheben. Das bedeutet, der Betroffene selbst muss sich darum bemühen, dass die Daten beschafft und von ihm selbst oder auf seine Veranlassung hin an die ersuchende Stelle übermittelt werden. Benötigt der Rentenversicherungsträger für bestimmte Zwecke im Einzelfall weitergehende Informationen, dürfen diese Daten nur mit Einwilligung des Betroffenen erhoben und verarbeitet werden. Die Einwilligung muss in der Regel schriftlich erfolgen. Voraussetzung für die Rechtswirksamkeit ist die Einsichtsfähigkeit des Betroffenen, nicht seine Geschäftsfähigkeit. Einsichtsfähigkeit liegt vor, wenn der Betroffene die Bedeutung und die Tragweite seiner Einwilligungserklärung erkennen und beurteilen kann. Im Sozialrecht kann davon grundsätzlich bei einer Person, die das 15. Lebensjahr vollendet hat, ausgegangen werden (vgl. 36 S G B I). Einwilligungen dürfen nur aus konkretem Anlass eingeholt werden und müssen sich auf konkret erkennbare Datenflüsse beziehen. Grundsätzlich entspricht nur eine zeitnahe und hinsichtlich des Zwecks der Übermittlung konkret abgefasste Einwilligungserklärung des Versicherten den datenschutzrechtlichen Anforderungen. 6 Datenerhebung Von diesem Grundsatz der Datenerhebung beim Betroffenen oder nur mit Einwilligung des Betroffenen gibt es zwei Ausnahmen: Die erste betrifft die Datenerhebung bei anderen Leistungsträgern und ihnen gleichgestellten Stellen. Es müssen drei Voraussetzungen erfüllt sein: Der andere Leistungsträger muss zur Übermittlung an die erhebende Stelle befugt sein, es bedeutet einen unverhältnismäßigen Aufwand, die Daten beim Betroffenen zu erheben und es ergeben sich keine Anhaltspunkte für die Beeinträchtigung schutzwürdiger Interessen beim Betroffenen. Die zweite Fallgestaltung betrifft die Datenerhebung direkt bei anderen Personen oder Stellen. Sie ist möglich, wenn eine Rechtsvorschrift das zulässt oder eine Übermittlung an die erhebende Stelle sogar vorgeschrieben ist. Als Beispiele sind die Ermittlungen zum Einkommen wegen Anrechnung auf die Rentenleistungen denkbar oder die Auskunftspflichten des Arbeitgebers im Zusammenhang mit einem Beschäftigungsverhältnis. 7 Datenspeicherung, -veränderung und -nutzung Ebenso wie bei der Datenerhebung gilt auch bei der Datenverarbeitung der für das Datenschutzrecht insgesamt zentrale Grundsatz der Erforderlichkeit. Es ist immer zu prüfen, ob das Speichern, Verändern oder Nutzen für die Erfüllung der Aufgaben erforderlich ist. Des Weiteren ist der Grundsatz der Zweckbindung zu beachten. Wenn die Speicherung, Veränderung oder Nutzung im Anschluss an die Erhebung dieser Daten erfolgt, ist sie auf die Zwecke beschränkt, für die die Daten erhoben worden sind. Ist keine Erhebung vorausgegangen, dürfen die Daten nur für die Zwecke verändert oder genutzt werden, für die sie gespeichert wurden. Seite 3

4 8 Datenübermittlung 8.1 Übermittlungstatbestände, die der Erfüllung von Aufgaben der Rentenversicherungsträger und anderer Sozialleistungsträger dienen Erfüllung sozialer Aufgaben Übermitteln ist das Bekanntgeben gespeicherter oder durch Datenverarbeitung gewonnener Sozialdaten an einen Dritten (Empfänger) in der Weise, dass die Daten durch die verantwortliche Stelle an den Empfänger weitergegeben werden oder der Empfänger von der verantwortlichen Stelle zur Einsicht oder zum Abruf bereitgehaltene Daten einsieht oder abruft. Dritter ist jede Person oder Stelle außerhalb der verantwortlichen Stelle, aber nicht der Betroffene oder eine Stelle, die Sozialdaten im Auftrag verarbeitet oder nutzt (zur Auftragsdatenverarbeitung siehe Ziffer 11). Geschützt wird jegliche Form der Datenweitergabe egal ob mündlich, schriftlich oder in anderer Weise. Den Übermittlungstatbeständen des S G B X ist die Einwilligung vorangestellt. Das bedeutet, vor einer Datenweitergabe ist die Einwilligung des Betroffenen einzuholen, wenn und soweit nach dem Gesetz keine sonstigen Übermittlungstatbestände greifen. Andererseits ist die Übermittlung von Sozialdaten auch ohne Einwilligung des Betroffenen zulässig, wenn eine Übermittlungsbefugnis besteht. Die für die Praxis bedeutsamste Übermittlungsermächtigung enthält 69 S G B X. Danach ist eine Übermittlung zulässig, soweit sie erforderlich ist für die Erfüllung der Zwecke, für die sie erhoben wurden oder für die Erfüllung einer Aufgabe des übermittelnden oder des empfangenden Sozialleistungsträgers nach dem Sozialgesetzbuch. Dadurch wird die Übermittlung auf Sozialdaten beschränkt, die eine andere dem Sozialgeheimnis unterliegende Stelle für die Erfüllung ihrer gesetzlichen Aufgaben unbedingt kennen oder mitteilen muss. Der übermittelnde Träger ist für die Zulässigkeit der Übermittlung verantwortlich. Er darf sich dabei in aller Regel auf die Angaben der ersuchenden Stelle verlassen. Es trifft ihn allerdings dann eine Prüfpflicht, wenn er Zweifel an der Richtigkeit der Angaben haben muss. Eine Übermittlung von Sozialdaten ist auch für die Durchführung eines mit der Erfüllung einer Aufgabe nach dem Sozialgesetzbuch zusammenhängenden gerichtlichen Verfahrens einschließlich eines Strafverfahrens zulässig oder für die Richtigstellung unwahrer Tatsachenbehauptungen im Zusammenhang mit einem Verfahren über die Erbringung von Sozialleistungen. Letztere bedarf der vorherigen Genehmigung durch die zuständige oberste Bundes- oder Landesbehörde. Andere Stellen und Einrichtungen, die mit ähnlichen Aufgaben wie die Sozialleistungsträger betraut sind, werden diesen gleichgestellt Leistungsmissbrauch und illegale Beschäftigung Die Übermittlung von Daten an andere Leistungsträger zur Bekämpfung von Leistungsmissbrauch und illegaler Ausländerbeschäftigung regelt 67e S G B X. Nach dieser Vorschrift dürfen Bedienstete von Rentenversicherungsträgern im Rahmen der nach 2 Schwarzarbeitsbekämpfungsgesetz oder nach 28p Viertes Sozialgesetzbuch (S G B IV) durchzuführenden Prüfungen bei den Arbeitgebern der überprüften Personen erfragen, ob und welche Sozialleistungen nach dem Sozialgesetzbuch oder nach dem Asylbewerberleistungsgesetz sie beziehen, bei welcher Krankenkasse sie versichert sind oder ob sie selbstständig tätig sind, ob und welche Beiträge sie zur Sozialversicherung abführen und ob und welche ausländischen Arbeitnehmer sie mit der erforderlichen Genehmigung und nicht zu ungünstigeren Arbeitsbedingungen als vergleichbare deutsche Arbeitnehmer beschäftigen. Zugleich resultieren daraus die entsprechenden Offenbarungspflichten der Befragten. Die Antworten auf diese Fragen dürfen zu Prüfzwecken an die jeweils zuständigen Leistungsträger, an die zuständigen Krankenkassen als Einzugsstellen und an die Bundesagentur für Arbeit übermittelt werden Forschung und Planung 75 S G B X regelt die Übermittlung von Sozialdaten für Zwecke der Forschung oder Planung durch externe Stellen im Rahmen ihrer Aufgaben. Erforderlich ist stets, dass die wissenschaftliche Forschung im beziehungsweise für den Sozialleistungsbereich durchgeführt wird. Es wird davon ausgegangen, dass ein großer Teil der Forschung oder Planung mit anonymisierten Daten durchgeführt werden kann. Seite 4

5 8.2 Übermittlungstatbestände, die der Erfüllung von Aufgaben der Nicht-Sozialleistungsträger dienen Arbeitsschutz Die Bestimmung des 70 S G B X regelt die Zulässigkeit der Übermittlung von Sozialdaten für die Durchführung des Arbeitsschutzes. Der Begriff Arbeitsschutz wird weit ausgelegt. Er umfasst grundsätzlich alle Normen, die öffentlich-rechtliche Pflichten zum Schutz der Arbeitnehmer enthalten, aber auch Maßnahmen der Unfallverhütung und der Ersten Hilfe, wenn diese den genannten Behörden (Gewerbeaufsichtsämter, Bergämter) obliegen gesetzliche Pflichten und Mitteilungsbefugnisse Die Übermittlung von Sozialdaten für die Erfüllung besonderer gesetzlicher Pflichten und Mitteilungsbefugnisse beschränkt sich auf die in 71 S G B X ausdrücklich genannten Fälle. Danach ist die Übermittlung von Sozialdaten zulässig, soweit sie erforderlich ist für die Erfüllung der gesetzlichen Mitteilungspflichten zur Sicherung des Steueraufkommens. Darüber hinaus wird die Übermittlung von Sozialdaten an Strafverfolgungsbehörden, an Gesundheitsämter, Wohnungsämter und an Registerbehörden geregelt. Hinzukommen Übermittlungen zur Bekämpfung von Schwarzarbeit und illegaler Beschäftigung nach dem Schwarzarbeitsbekämpfungsgesetz, Übermittlungen an die Verwaltungsstelle Cottbus der Deutschen Rentenversicherung Knappschaft-Bahn-See, soweit diese bei geringfügig Beschäftigten Aufgaben nach dem Einkommensteuergesetz durchführt. Die Übermittlung von Sozialdaten an die Deutsche Rentenversicherung Bund für die Erfüllung ihrer Aufgaben als zentrale Stelle ist erforderlich, damit sie ihre Aufgaben zu den Mitteilungen über Zulagengewährungen nach dem Altersvermögensgesetz ( Riesterrente ) wahrnehmen kann. Die Datenweitergabe an Gläubiger im Zusammenhang mit einer Pfändung ( 54 S G B I) ist zulässig, wenn ein ordnungsgemäß zugestellter Pfändungs- und Überweisungsbeschluss vorliegt und der Sozialversicherungsträger zur Abgabe einer Drittschuldnererklärung nach 840 Absatz 1 Zivilprozessordnung aufgefordert wird, was regelmäßig der Fall ist. Anfragen im Vorfeld einer beabsichtigten Pfändung zur Vermeidung des Kostenrisikos dürfen dagegen nicht beantwortet werden. Das Antwortschreiben auf solche Anfragen darf keine Rückschlüsse auf eine Zuständigkeit des Sozialversicherungsträgers und auf eine eventuell Rentenzahlung ermöglichen. Außerdem schafft 71 S G B X die Befugnis, Sozialdaten an Ausländerbehörden zu übermitteln. Er verpflichtet sogar dazu, unter bestimmten Voraussetzungen Sozialdaten von Asylbewerbern an die für die Durchführung des Asylbewerberleistungsgesetzes zuständigen Behörden weiterzuleiten. 71 S G B X ermächtigt schließlich die Leistungsträger, in Betreuungssachen den Vormundschaftsgerichten Sozialdaten zur Kenntnis zu geben. 8.3 Übermittlungstatbestände zur Durchsetzung privater und öffentlich-rechtlicher Ansprüche Verletzung der Unterhaltspflicht und Versorgungsausgleich 74 S G B X regelt die Übermittlung von Sozialdaten bei Verletzung der Unterhaltspflicht und beim Versorgungsausgleich. Einerseits besteht eine Übermittlungsbefugnis zur Durchführung eines gerichtlichen Verfahrens oder eines Vollstreckungsverfahrens wegen eines gesetzlichen oder vertraglichen Unterhaltsanspruchs oder eines Verfahrens über den Versorgungsausgleich gegenüber den Gerichten. Andererseits ergibt sich für die Geltendmachung des Anspruchs eine Auskunftsberechtigung des Unterhalts- oder Versorgungsausgleichsberechtigten selbst nach vorheriger Mahnung des zur Auskunft eigentlich verpflichteten Unterhaltspflichtigen oder im Versorgungsausgleich Verpflichteten. Um dem Auskunftsberechtigten diese Mahnung zu ermöglichen, darf die Anschrift des Auskunftspflichtigen übermittelt werden. Der Auskunftsberechtigte ist verpflichtet, dem Rentenversicherungsträger nachzuweisen, dass er den Auskunftspflichtigen gemahnt und dabei auf die Übermittlungsbefugnis der in 35 S G B I genannten Stellen hingewiesen hat, und dass seit der Mahnung eine angemessene Frist verstrichen ist. Seite 5

6 8.3.2 Durchsetzung öffentlich-rechtlicher Ansprüche und im Vollstreckungsverfahren Daneben gibt es eine neue Übermittlungsvorschrift für Daten, die im Vollstreckungsverfahren und zur Durchsetzung öffentlich-rechtlicher Ansprüche erforderlich sind. 74a S G B X legt fest, dass zur Durchsetzung öffentlich-rechtlicher Ansprüche in Höhe von mindestens 500 Euro im Einzelfall auf Ersuchen Name, Vorname, Geburtsdatum, Geburtsort, derzeitige Anschrift des Betroffenen, sein derzeitiger oder zukünftiger Aufenthaltsort sowie Namen, Vornamen oder Firma und Anschriften der derzeitigen Arbeitgeber übermittelt werden dürfen. Zur Durchführung eines Vollstreckungsverfahrens, dem zu vollstreckende Ansprüche von mindestens 500 Euro zu Grunde liegen, dürfen im Einzelfall auf Ersuchen des Gerichtsvollziehers nur die derzeitige Anschrift des Betroffenen, sein derzeitiger oder zukünftiger Aufenthaltsort sowie Namen, Vornamen oder Firma und Anschriften seiner derzeitigen Arbeitgeber übermittelt werden. Diese Festlegung richtet sich ausschließlich an die Träger der gesetzlichen Rentenversicherung. Der Gerichtsvollzieher muss bestätigen, dass der Schuldner seiner Pflicht zur Abgabe der Vermögensauskunft nicht nachkommt, bei einer Vollstreckung in die in der Vermögensauskunft aufgeführten Vermögensgegenstände eine vollständige Befriedigung des Gläubigers voraussichtlich nicht zu erwarten wäre oder die Anschrift oder der derzeitige oder zukünftige Aufenthaltsort des Schuldners trotz Anfrage bei der Meldebehörde nicht bekannt ist. Die zu übermittelnden Sozialdaten sind abschließend aufgezählt. Dies bedeutet, dass darüber hinaus keine Sozialdaten mitgeteilt werden dürfen. Außerdem ist eine zeitliche Einschränkung zur Übermittlung der Daten vorgesehen. Danach soll eine Datenübermittlung nur zulässig sein, wenn das Auskunftsersuchen nicht länger als sechs Monate zurückliegt. Damit wird deutlich, dass eine Datenübermittlung auch im zeitlichen Zusammenhang mit dem Auskunftsersuchen stehen muss. Im Übrigen ist eine Güterabwägung vorzunehmen; eine Übermittlung darf nicht erfolgen, wenn schutzwürdige Interessen des Betroffenen beeinträchtigt werden. Die Verpflichtung zur Übermittlung entfällt, wenn sich die ersuchende Stelle die gewünschten Angaben auf andere Weise beschaffen kann. 8.4 Übermittlungstatbestände, die dem Schutz öffentlicher Interessen dienen Amtshilfe 68 S G B X regelt die Übermittlung von Sozialdaten für Aufgaben der Polizeibehörden, der Staatsanwaltschaften und Gerichte und der Behörden der Gefahrenabwehr. Der Katalog der Sozialdaten, die an die genannten Institutionen übermittelt werden dürfen, entspricht dem zur Durchsetzung öffentlich-rechtlicher Ansprüche. Auch die Voraussetzungen wie zeitlicher Zusammenhang, Güterabwägung und keine Möglichkeit, sich die Daten anderweitig zu beschaffen, müssen gegeben sein. Der Schutz des von der Übermittlung Betroffenen wird hier noch gestärkt, da nur ein eingeschränkter Personenkreis über das Übermittlungsersuchen entscheiden darf. Dies sind der Leiter der ersuchten Stelle, sein allgemeiner Stellvertreter oder ein besonders bevollmächtigter Bediensteter. Damit soll gewährleistet werden, dass die Voraussetzungen von den in 35 S G B I genannten Stellen sorgfältig geprüft werden und diese Stellen so zu einer besonderen Absicherung des Sozialgeheimnisses beitragen. Durch das Terrorismusbekämpfungsgesetz vom 09. Januar 2002 wurde die Bestimmung zur Rasterfahndung eingefügt. Die Einbeziehung von Sozialdaten in eine nach Bundes- oder Landesrecht zulässige Rasterfahndung zur Gefahrenabwehr oder Strafverfolgung soll die Arbeit der Polizeibehörden, Staatsanwaltschaften, Gerichte und der Behörden der Gefahrenabwehr wirkungsvoll unterstützen. Die ersuchende Stelle trägt die Verantwortung für die Zulässigkeit der Übermittlung. Dies entspricht den Regelungen im Bundesdatenschutzgesetz und den Grundsätzen zur Verantwortlichkeit im Rahmen der Durchführung von Amtshilfe. Durch die übermittelnde Stelle kann somit allenfalls eine Prüfung erfolgen, ob die ersuchende Stelle zum Adressatenkreis gehört und ob ein richterlicher Beschluss zur Rasterfahndung vorliegt. Seite 6

7 8.4.2 Schutz der inneren und äußeren Sicherheit Nach 72 S G B X dürfen Sozialdaten an das Bundesamt für Verfassungsschutz, das Bundeskriminalamt, den Bundesnachrichtendienst, die Landesämter für Verfassungsschutz und den Militärischen Abschirmdienst übermittelt werden, soweit dies im Einzelfall für deren rechtmäßige Aufgabenerfüllung erforderlich ist. Der Übermittlungsumfang wird beschränkt. Danach dürfen nur Name und Vorname sowie früher geführte Namen, Geburtsdatum, Geburtsort, derzeitige und frühere Anschriften sowie Namen und Anschriften seiner derzeitigen und früheren Arbeitgeber übermittelt werden. Ein vom Leiter der ersuchenden Behörde bestimmter Volljurist hat zu prüfen und zu entscheiden, ob die angeforderten Sozialdaten zur Erfüllung der Aufgaben der ersuchenden Stelle erforderlich sind. Auf Seiten der ersuchten Rentenversicherungsträger entscheidet der Geschäftsführer oder sein allgemeiner Stellvertreter über das Übermittlungsersuchen Durchführung eines Strafverfahrens Nach 73 S G B X dürfen Sozialdaten übermittelt werden, soweit sie zur Durchführung eines Strafverfahrens wegen eines Verbrechens oder wegen einer sonstigen Straftat von erheblicher Bedeutung erforderlich sind. Hierzu dürfen Sozialdaten unter Berücksichtigung des Grundsatzes der Erforderlichkeit unbegrenzt übermittelt werden. Eine Übermittlung darf auch zur Durchführung eines Strafverfahrens wegen einer anderen Straftat erfolgen. Allerdings dürfen nur die in 72 S G B X genannten Angaben und Angaben über erbrachte und demnächst zu erbringende Geldleistungen gemacht werden. Verbrechen sind rechtswidrige Taten, die im Mindestmaß mit einer Freiheitsstrafe von einem Jahr oder darüber bedroht sind ( 12 Absatz 1 Strafgesetzbuch [StGB]). Sonstige Straftaten von erheblicher Bedeutung sind ebenso wie die anderen genannten Straftaten Vergehen. Das sind Taten, die im Mindestmaß mit geringeren Freiheitsstrafen als einem Jahr oder mit Geldstrafe bedroht sind ( 12 Absatz 2 StGB). Erhebliche Bedeutung haben die Straftaten, die in gravierendem Maße die Rechtssphäre des Opfers verletzen (zum Beispiel Straftaten gegen die sexuelle Selbstbestimmung) oder erhebliche materielle beziehungsweise finanzielle Schäden verursachen (Stichwort: Wirtschaftskriminalität). Die für den Übermittlungsumfang wichtige Entscheidung, ob ein Vergehen eine Straftat von erheblicher Bedeutung darstellt oder nicht, ist nicht vom Sozialversicherungsträger, sondern vom Richter zu treffen. Der Sozialleistungsträger hat lediglich zu kontrollieren, ob dem Übermittlungsersuchen die erforderliche richterliche Anordnung zu Grunde liegt Rechtfertigender Notstand Nach den Grundsätzen des rechtfertigenden Notstands ( 34 StGB) ist die Verletzung eines Rechts dann in Kauf zu nehmen, wenn es nur dadurch möglich ist, ein höheres Rechtsgut zu retten. Demnach ist eine Übermittlung von Daten ohne Zustimmung des Betroffenen und ohne gesetzliche Mitteilungspflicht ausnahmsweise auch dann zulässig, wenn es um die Abwehr gegenwärtiger Gefahren für Leben, Leib, Freiheit oder ein anderes Rechtsgut geht und bei Abwägung der widerstreitenden Interessen das geschützte Interesse das beeinträchtigte, das heißt den Schutz der Sozialdaten des einzelnen Betroffenen wesentlich überwiegt. 8.5 Übermittlung von Sozialdaten ins Ausland Übermittlung im Europäischen Raum und in Drittstaaten mit angemessenem Datenschutzniveau Die Bestimmung des 77 S G B X erklärt die Übermittlung von Sozialdaten an Personen oder Stellen in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum oder an Stellen der Organe und Einrichtungen der Europäischen Gemeinschaften und an Personen und Stellen in einem Drittstaat sowie an über- oder zwischenstaatliche Stellen, die ein angemessenes Datenschutzniveau gewährleisten, in bestimmten Fällen für zulässig. Seite 7

8 Ob ein angemessenes Datenschutzniveau gewährleistet ist, stellt zunächst das Bundesversicherungsamt beziehungsweise das Bundesministerium des Innern fest. Diese Festlegung gilt solange, bis die Kommission der Europäischen Gemeinschaften die Feststellungen zum angemessenen Datenschutzniveau trifft. Eine Übermittlung ist erlaubt, soweit dies für die Erfüllung einer gesetzlichen Aufgabe des deutschen Sozialversicherungsträgers oder zur Erfüllung einer solchen Aufgabe von ausländischen Stellen notwendig ist. Ferner können Daten für die Richtigstellung unwahrer Tatsachenbehauptungen im Zusammenhang mit einem Verfahren über die Erbringung von Sozialleistungen, zur Durchführung des Arbeitsschutzes, zur Bekämpfung illegaler Beschäftigung und bei Verletzung der Unterhaltspflicht und bei Versorgungsausgleich, soweit die gerichtlich geltend gemachten Ansprüche oder die Rechte des Empfängers den deutschen Vorschriften entsprechen, weitergegeben werden Übermittlung unter besonderen Voraussetzungen Darüber hinaus ist eine Übermittlung möglich, wenn der Betroffene eingewilligt hat oder die Übermittlung in Anwendung zwischenstaatlicher Abkommen oder zur Durchführung eines Strafverfahrens oder eines gerichtlichen Verfahrens, das mit der Erfüllung einer Aufgabe nach dem Sozialgesetzbuch zusammenhängt, erfolgt. Diese Möglichkeit besteht nicht, wenn der Betroffene ein schutzwürdiges Interesse am Ausschluss der Übermittlung hat Übermittlung in Drittstaaten ohne angemessenes Datenschutzniveau Zur Erfüllung einer gesetzlichen Aufgabe des deutschen Sozialversicherungsträgers oder zur Erfüllung einer solchen Aufgabe von ausländischen Stellen, zur Durchführung eines damit zusammenhängenden gerichtlichen Verfahrens einschließlich eines Strafverfahrens, zur Durchführung des Arbeitsschutzes und zur Bekämpfung illegaler Beschäftigung dürfen Sozialdaten auch in Drittstaaten sowie an über- oder zwischenstaatliche Stellen, die kein angemessenes Datenschutzniveau gewährleisten, übermittelt werden. Allerdings nur, wenn der Betroffene kein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat. Generell ist in allen Fällen der Übermittlung ins Ausland zu beachten, dass die Stelle, an die Daten übermittelt werden, auf die Zweckbindung hinzuweisen ist; das heißt die Stelle darf die Daten nur zu dem Zweck verarbeiten oder nutzen, zu dessen Erfüllung sie übermittelt werden. 9 Einschränkungen der Übermittlungsbefugnis Die dargestellten, das Sozialgeheimnis durchbrechenden Übermittlungsbefugnisse erfahren durch das S G B X selbst wieder Einschränkungen. So werden durch 76 S G B X für besonders schutzwürdige Sozialdaten die Übermittlungsbefugnisse eingeschränkt und somit besondere Geheimhaltungsstandards garantiert. Dadurch wird für den Bereich der Sozialversicherung sichergestellt, dass das Arztgeheimnis und die sonstigen Berufsgeheimnisse des 203 Absatz 1 und 3 StGB auch dann gewahrt werden, wenn der Arzt oder eine andere zur Geheimhaltung verpflichtete Person Sozialdaten an Leistungsträger weiterleiten. Diese Daten dürfen nur unter den gleichen Voraussetzungen übermittelt werden, unter denen dies auch dem Arzt und den nach 203 Absatz 1 und 3 StGB sonst zur Verschwiegenheit verpflichteten Personen erlaubt wäre. Das ist nur dann der Fall, wenn der Betroffene der Übermittlung zustimmt oder sonst ein Recht zur Mitteilung besteht. Für die Zusammenarbeit der Leistungsträger untereinander wird von dem oben aufgestellten Grundsatz eine Ausnahme gemacht. Daten, die dem Leistungsträger im Zusammenhang mit einer Begutachtung wegen der Erbringung von Sozialleistungen oder wegen der Ausstellung einer Bescheinigung zugänglich gemacht worden sind, können im Rahmen des 69 S G B X übermittelt werden. Diese Ausnahme wird allerdings wiederum dadurch eingeschränkt, dass der Betroffene der Weiterleitung von Begutachtungsdaten widersprechen kann, mit der Folge, dass diese Daten nicht übermittelt werden dürfen. Dies jedoch kann die Konsequenz haben, dass Leistungen nicht erbracht werden können, weil der Widersprechende seinen Mitwirkungspflichten gemäß 60 bis 66 S G B I nicht genügt hat. Der Betroffene ist von der speichernden Stelle zu Beginn des Verwaltungsverfahrens, also bei der Stellung seiner Anträge, auf das Widerspruchsrecht schriftlich hinzuweisen. Seite 8

9 10 Rechte des Betroffenen 10.1 Anrufung des Bundesbeauftragten / Landesbeauftragten für den Datenschutz Ist jemand der Ansicht, dass er beim Erheben, Verarbeiten oder Nutzen seiner Sozialdaten in seinen Rechten verletzt wurde, kann er sich an den Bundesbeauftragten beziehungsweise Landesbeauftragten für den Datenschutz wenden, wenn er eine Verletzung seiner Rechte durch eine der in 35 S G B I genannten Stellen behauptet ( 81 S G B X) Schadensersatz 82 S G B X in Verbindung mit 8 Absatz 1 Bundesdatenschutzgesetz enthält eine Schadensersatzregelung, nach der die in 35 S G B I genannten Stellen einem durch eine unzulässige oder unrichtige automatisierte Erhebung, Verarbeitung oder Nutzung von Sozialdaten geschädigten Betroffenen zum Ersatz des entstandenen materiellen Schadens verpflichtet sind, ohne dass es auf ein Verschulden ankommt (Gefährdungshaftung). Im Falle einer schweren Verletzung seines Persönlichkeitsrechts hat der Betroffene Anspruch auf Schmerzensgeld Auskunftsansprüche des Betroffenen Das Auskunftsrecht ( 83 S G B X) stellt ein zentrales Recht des Betroffenen dar. In ihm konkretisiert sich eine der Hauptaussagen des Volkszählungsurteils, wonach der Bürger wissen muss, welche Stelle welche Daten über ihn gespeichert hat. Das Recht auf Auskunft schafft erst die Voraussetzung dafür, dass der Betroffene von seinen sonstigen Mitwirkungs- und Kontrollrechten wirksam Gebrauch machen kann. Der Rentenversicherungsträger entscheidet über das Verfahren und über die Form der Auskunftserteilung nach pflichtgemäßem Ermessen. Die Auskunft kann schriftlich oder mündlich erfolgen, wobei allerdings fernmündliche Auskünfte prinzipiell unterbleiben sollten, da die Auskunft nur dem wirklich Betroffenen erteilt werden darf und der Gesprächspartner sich nicht wie bei persönlicher Vorsprache durch Pass oder Personalausweis legitimieren kann. Die Auskunft kann auch durch die Gewährung von Akteneinsicht erteilt werden Berichtigung, Löschung und Sperrung von Daten, Widerspruchsrecht Neben dem Anspruch auf Auskunft hat der Betroffene nach 84 S G B X das Recht auf Berichtigung, Löschung und Sperrung seiner Sozialdaten. Außerdem dürfen personenbezogene Daten nicht erhoben, verarbeitet oder genutzt werden, soweit der Betroffene bei der verantwortlichen Stelle widerspricht und das schutzwürdige Interesse des Betroffenen das Interesse der verantwortlichen Stelle an dieser Erhebung, Verarbeitung oder Nutzung überwiegt. Das Widerspruchsrecht besteht nicht, wenn eine Rechtsvorschrift zur Erhebung, Verarbeitung oder Nutzung verpflichtet. 11 Verarbeitung und Nutzung von Sozialdaten im Auftrag Behörden und sonstige Stellen des 35 S G B I sind nicht immer in der Lage, Datenverarbeitungstätigkeiten selbst auszuführen. Darüber hinaus kann es aus Kostengründen angebracht sein, bestimmte Verarbeitungsvorgänge ganz oder teilweise nicht selbst durchzuführen. Dem trägt die Vorschrift des 80 S G B X über die Verarbeitung und Nutzung von Sozialdaten im Auftrag Rechnung. Durch die Auftragserteilung darf sich das Niveau des Schutzes der betroffenen Sozialdaten nicht verschlechtern. Deshalb ist der Auftraggeber zur sorgfältigen Auswahl des Auftragnehmers verpflichtet. Der Datenschutz beim Auftragnehmer muss den Anforderungen genügen, die für den Auftraggeber gelten. Der Auftrag ist schriftlich zu erteilen und muss die notwendigen Weisungen (zum Beispiel technische und organisatorische Maßnahmen) enthalten. Insoweit hat der Auftraggeber den Auftragnehmer vor Beginn der Datenverarbeitung und sodann in regelmäßigen Abständen zu kontrollieren und damit die Beachtung der Grundsätze des Sozialdatenschutzes sicherzustellen. Der Auftragnehmer ist verpflichtet, die ihm überlassenen Sozialdaten nicht für andere Zwecke zu verarbeiten oder zu nutzen und nicht länger zu speichern, als der Auftraggeber schriftlich bestimmt hat. Der Leistungsträger hat seiner Aufsichtsbehörde unter Berücksichtigung einer angemessenen Überprüfungszeit vor der Auftragserteilung schriftlich Anzeige zu erstatten. Seite 9

10 Entsprechendes gilt, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag vorgenommen wird und dabei ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. 12 Fazit Die hier gegebene Übersicht über das Recht des Sozialdatenschutzes zeigt, dass die Befugnis des Einzelnen, selbst über die Preisgabe seiner Daten zu bestimmen, kein absolutes Recht ist. Im Interesse der Allgemeinheit und der Versichertengemeinschaft müssen gewisse Einschränkungen hingenommen werden. Diese Einschränkungen sind jedoch gesetzlich geregelt und auf bestimmte Zwecke beschränkt. 13 Exkurs: Elektronische Datenübermittlung 13.1 Antrag-Online / eantrag Nach 151a Absatz 1 Sechstes Sozialgesetzbuch (S G B VI) darf für die Aufnahme von Leistungsanträgen bei dem Versicherungsamt oder der Gemeindebehörde und die Übermittlung der Anträge an den Träger der Rentenversicherung ein automatisiertes Verfahren eingerichtet werden. Dieses ermöglicht, die für das automatisierte Verfahren erforderlichen Daten aus der Stammsatzdatei der Datenstelle der Rentenversicherung ( 150 Absatz 2 S G B VI) und dem Versicherungskonto ( 149 Absatz 1 S G B VI) abzurufen. Der Umfang der in diesem Zusammenhang zulässig durch die Versicherungsämter oder Gemeindebehörden aus dem Versicherungskonto abrufbaren Sozialdaten ist in 151a Absatz 2 Satz 2 S G B VI abschließend aufgezählt. Hierbei handelt es sich um das Datum des letzten Zuzugs aus dem Ausland unter Angabe des Staates, das Datum der letzten Kontenklärung und die Anschrift Dialogisierung Eine wichtige Datenverarbeitung im Auftrag stellt die gegenseitige Beauftragung der Träger der gesetzlichen Rentenversicherung mit der Versichertenbetreuung dar die sogenannte Dialogisierung. Die Rentenversicherungsträger haben dazu vereinbart, dass derjenige Rentenversicherungsträger, bei dem der Versicherte persönlich vorspricht, zum Zweck der Auskunft und Beratung mit der Verarbeitung und Nutzung von Sozialdaten beauftragt wird, die der an sich für den Versicherten zuständige Rentenversicherungsträger bereitstellt. Damit wird dem einzelnen Versicherten die Möglichkeit gegeben, Auskünfte zu seinem Rentenversicherungskonto nicht nur dem für ihn zuständigen, sondern bei allen Rentenversicherungsträgern zu erhalten. Aus datenschutzrechtlicher Sicht ist bei diesem Verfahren die Zweckbindung der zur Verfügung gestellten Daten zu beachten und sicherzustellen. Zugriff auf die im Dialogisierungsverfahren zugänglichen Daten darf deshalb nur Mitarbeitern gewährt werden, die auch tatsächlich Versicherte beraten. Diese dürfen die Daten nur für Zwecke der Auskunftserteilung an den Versicherten selbst, nicht jedoch für sonstige Aufgaben des Rentenversicherungsträgers (zum Beispiel Einkommensanrechnung) verwenden. Mit der Übertragung des Dienststellennetzes des Auskunfts- und Beratungsdienstes auf die Regionalträger in der Deutschen Rentenversicherung stellt sich die Frage, ob die Versichertenbetreuung nach wie vor im Auftrag durchgeführt wird. Aufgrund der Zuständigkeitsverteilung durch die Organisationsreform in der gesetzlichen Rentenversicherung ist es vertretbar, dass die Regionalträger insoweit eigene Aufgaben wahrnehmen. Die Beratungsfunktion obliegt allen Trägern der gesetzlichen Rentenversicherung. Die entsprechenden Vereinbarungen werden insoweit zu überprüfen sein. Die Voraussetzungen für die Einrichtung eines automatisierten Abrufverfahrens gemäß 79 S G B X und 148 S G B VI, insbesondere die Berücksichtigung der schutzwürdigen Interessen der Betroffenen, die Vielzahl der Übermittlungen und die Unterrichtung des Bundesbeauftragten / Landesbeauftragten für den Datenschutz sind unproblematisch. Auch auf die schriftliche Einverständniserklärung im Einzelfall kann verzichtet werden. Erforderlich ist lediglich die eindeutige Identifizierung des jeweiligen Auskunftsersuchenden. Seite 10

11 13.3 Die Deutsche Rentenversicherung setzt zur Unterstützung der internen und externen Kommunikation ein - Verfahren ein. Um den besonderen Risiken begegnen zu können, die beim Betrieb eines -Systems für den Schutz und die Sicherheit bestehen, gibt es einige Regeln. Vertrauliche Informationen dürfen an externe Empfänger nur verschlüsselt übertragen werden; da aber verschlüsselte s nicht auf schadensstiftende Software untersucht werden können, ist die Verwendung von verschlüsselten s in der Deutschen Rentenversicherung nur innerhalb der hierfür konzipierten Verfahren (zum Beispiel ebescheid) zugelassen. Anträge und Aufträge der Versicherten sind schriftlich und mit Unterschrift zu stellen. Ausnahmen sind nur im Rahmen der von der Deutschen Rentenversicherung angebotenen eservices mit einer elektronischen Signatur möglich. Dazu wird empfohlen, einen sicheren Kartenleser mit eigener Tastatur zur PIN-Eingabe zu verwenden. Per mitgeteilte Wünsche Betroffener, ihre Daten (zum Beispiel Anschriften, Bankverbindungen, Angaben im Versicherungskonto) abzuändern oder zu ergänzen, dürfen nicht berücksichtigt werden. Die Betroffenen sind (bevorzugt per Brief) aufzufordern, ihr Anliegen auf dem Postweg oder über den eservice der Deutschen Rentenversicherung mitzuteilen. Seite 11