12. Wahlperiode der Abg. Thomas Oelmayer u. a. Bündnis 90/Die Grünen. des Ministeriums für Wissenschaft, Forschung und Kunst

Transkript

1 Landtag von Baden-Württemberg Drucksache 12 / Wahlperiode Antrag der Abg. Thomas Oelmayer u. a. Bündnis 90/Die Grünen und Stellungnahme des Ministeriums für Wissenschaft, Forschung und Kunst Externe Datenschutzbeauftragte an Universitätskliniken Antrag Der Landtag wolle beschließen, die Landesregierung zu ersuchen zu berichten: 1. Wie wurde die Verpflichtung der Universitätskliniken Ulm, Tübingen, Heidelberg und Freiburg zur Bestellung eines Datenschutzbeauftragten bisher erfüllt? 2. Wie ist das Rechtsverhältnis der Universitätskliniken Ulm, Tübingen und Heidelberg zu dem jetzt bestellten gemeinsamen externen Datenschutzbeauftragten ausgestaltet? Wie wird vor allem die ordnungsgemäße Erfüllung der Verpflichtungen der Universitätskliniken nach datenschutzrechtlichen Vorschriften sichergestellt? 3. Welche Gründe bestehen für die Universitätsklinken Ulm, Tübingen und Heidelberg für die Bestellung eines gemeinsamen externen Datenschutzbeauftragten? Welche Kostenreduzierungen oder Mehraufwendungen ergeben sich? 4. Wie wird die Bestellung eines gemeinsamen externen Datenschutzbeauftragten von der Landesregierung beurteilt? Wird die Bestellung nach datenschutzrechtlichen Vorschriften insbesondere als zulässig erachtet, und welche Vor- und Nachteile werden gesehen? 5. Wie wird die Aufgabenerfüllung durch Mitarbeiter des externen Datenschutzbeauftragten in sachlicher und rechtlicher Hinsicht beurteilt? Wird diese als zulässig angesehen? 6. Wie beurteilt die Landesregierung die Bestellung von externen Datenschutzbeauftragten im Hinblick auf die Mitbestimmung der Personalräte? Wurde der gemeinsame externe Datenschutzbeauftragte an den genannten Universitätskliniken im Einvernehmen mit den jeweiligen Personalräten bestellt? Eingegangen: / Ausgegeben:

2 7. Wie wird die Geltung von 203 StGB für den externen Datenschutzbeauftragten beurteilt, wird insbesondere 203 Abs. 2 Nr. 1 oder Nr. 2 StGB für anwendbar erachtet? Besteht gegebenenfalls eine besondere Verpflichtung nach 1 Abs. 1 Nr. 1 VerpflG? 8. Wie wird die rechtliche Situation von Mitarbeitern des externen Datenschutzbeauftragten im Hinblick auf 203 StGB gesehen? Besteht für diese gegebenenfalls eine besondere Verpflichtung nach 1 Abs. 1 Nr. 2 VerpflG? 9. Wie beurteilt der Landesbeauftragte für den Datenschutz die Bestellung eines gemeinsamen externen Datenschutzbeauftragten an den betreffenden Universitätskliniken? 10. Liegen der Landesregierung bereits Erkenntnisse über die Arbeit von externen Datenschutzbeauftragten in anderen öffentlichen Bereichen vor? Oelmayer, Hackl, Jacobi, Sabine Schlager, Renate Thon Bündnis 90/Die Grünen Begründung Die Universitätskliniken Ulm, Tübingen und Heidelberg haben zur Erfüllung der ihnen obliegenden Verpflichtung eine selbständige Person zum gemeinsamen Datenschutzbeauftragten bestellt. Dieser nimmt seine Aufgaben auch mit Hilfe bei ihm tätiger Mitarbeiter wahr. Die Bestellung eines externen Datenschutzbeauftragten wird von verschiedenen Seiten kritisch gesehen. Insbesondere werden Probleme im Hinblick auf die Geltung von 203 StGB für den Datenschutzbeauftragten selbst und für ihn tätige Mitarbeiter gesehen. Weitere Probleme ergeben sich im Hinblick auf die Mitbestimmung von Personalräten. Vor allem im Hinblick auf die Tatsache, daß es sich im Bereich der Universitätskliniken um besonders sensible Patientendaten handelt, soll der Berichtsantrag zur Beurteilung dienen, ob die Anforderungen des Datenschutzes durch die Wahrnehmung der Aufgaben mittels eines externen Datenschutzbeauftragten und seiner Mitarbeiter in ausreichendem Maß gewährleistet sind. Stellungnahme*) Mit Schreiben vom 21. Januar 1998 Nr. III 199.4/165 nimmt das Ministerium für Wissenschaft, Forschung und Kunst zu dem Antrag wie folgt Stellung: Zu 1.: Im Jahr 1993 haben das Ministerium für Wissenschaft, Forschung und Kunst und die Universitätsklinika Freiburg, Heidelberg und Tübingen im Rahmen eines gemeinsamen Auswahlverfahrens, fachkundige und persönlich geeignete Kandidaten für die Aufgabe des Datenschutzbeauftragten gemäß 51 Landeskrankenhausgesetz (LKHG) Baden-Württemberg ausgewählt. 2 *) Der Überschreitung der Drei-Wochen-Frist wurde zugestimmt.

3 Das Klinikum Freiburg und das Klinikum Heidelberg haben einen gemeinsamen Kandidaten zum 1. Januar 1994 schriftlich zu ihrem Datenschutzbeauftragten bestellt. Dieser gemeinsame Datenschutzbeauftragte ist leitender Angestellter und Prokurist der WIBERA AG Wirtschaftsprüfungs- und Steuerberatungsgesellschaft und war bis zum 31. Dezember 1996 am Klinikum Heidelberg im Amt. Ab 1. Januar 1997 hat das Klinikum Heidelberg einen anderen geeigneten Kandidaten zum externen Datenschutzbeauftragten bestellt. Dieser externe Datenschutzbeauftragte war seit dem 1. Januar 1994 als interner Datenschutzbeauftragter am Klinikum Tübingen tätig. Das Klinikum Tübingen entschied sich mit Wirkung vom 1. Januar 1994 für die Bestellung eines hauptamtlichen internen Datenschutzbeauftragten und fand in der ausgewählten Person einen ausgezeichneten Mitarbeiter. Um sich die fachkundige, vertrauenswürdige und erfahrene Arbeit ihres Datenschutzbeauftragten zu sichern, ergriff das Universitätsklinikum Tübingen die Initiative, den bisherigen internen Datenschutzbeauftragten gemeinsam mit den anderen Universitätsklinika als externen Datenschutzbeauftragten zu bestellen. Seit 1996 ist der bisherige interne Datenschutzbeauftragte als externer Datenschutzbeauftragter am Universitätsklinikum Tübingen tätig. Das Universitätsklinikum Ulm nahm am gemeinsamen Auswahlverfahren der Klinika nicht teil, da es bereits einen Datenschutzbeauftragten bestellt hatte. Nach Ablauf des mit dem externen Datenschutzbeauftragten abgeschlossenen Werkvertrages wurde der am Universitätsklinikum Heidelberg und Tübingen bereits als externer Datenschutzbeauftragte Verpflichtete am 16. Dezember 1996 zum externen Datenschutzbeauftragten auch des Universitätsklinikums Ulm bestellt. Zu 2.: Die Universitätsklinika Heidelberg, Tübingen und Ulm haben mit einem Fachunternehmen für Datenschutzmanagement einen Dienstleistungsvertrag abgeschlossen. Der Inhaber des Unternehmens wurde zum Datenschutzbeauftragten bestellt. Der Datenschutzbeauftragte ist Ansprechpartner für Mitarbeiter/-innen der Universitätsklinika. Die Einhaltung und Umsetzung ihrer Rechte macht er bei den Datenschutz-Verantwortlichen und Datenverarbeitungs-Zuständigen des Klinikums geltend und informiert darüber in seinen Veranstaltungen. Er führt das Verfahrensregister nach 10 Landesdatenschutzgesetz (LDSG). Die Einhaltung der datenschutzrechtlichen Vorschriften, insbesondere die datenschutzgerechte Anwendung von DV-Programmen, wird gewährleistet durch eine offensive Information der Mitarbeiter/-innen der Klinika durch Schulungen, Informationsveranstaltungen und Veröffentlichungen und ein Datenschutz-Handbuch. Das Datenschutz-Handbuch enthält unter anderem auch verbindliche Datenschutz- Richtlinien, Checklisten und Merkblätter. Der Datenschutzbeauftragte berät und kontrolliert bei der Einführung neuer Betriebsabläufe und Anwendungssysteme. Über neue Vorhaben wird er informiert. Der Datenschutzbeauftragte führt nach einem systematischen Plan Kontrollen bei Klinikumseinrichtungen durch. Über festgestellte Datenschutzdefizite verfaßt er einen Bericht. Der Datenschutzbeauftragte berichtet mindestens einmal jährlich dem Klinikumsvorstand. Bei Bedarf wird er auf seinen Wunsch gehört. Seine erforderliche materielle Ausstattung und Unterstützung ist durch den Dienstleistungsvertrag abgedeckt. 3

4 Zu 3.: Gesucht wurde von den Klinika eine qualitativ hochwertige, professionell gehandhabte Datenschutzlösung bei einem (im heutigen Umfeld) wirtschaftlich vertretbaren Ansatz. Das derzeit angewendete Konzept nutzt Synergieeffekte. Alle Klinika haben beim Datenschutz wiederkehrende, gleiche Problemstellungen. Oft werden an den Klinika dieselben DV-Anwendungssysteme eingesetzt. An den Universitätsklinika entstehen häufig Zielkonflikte zwischen Forschung und Lehre einerseits und der Patientenversorgung andererseits. Lösungen hierfür müssen sowohl dem Interesse der Patienten an Leben, Gesundheit und Schutz seiner persönlichen Daten als auch dem Interesse der Allgemeinheit an qualifizierter Forschung und Lehre gerecht werden. Im heutigen hochkomplexen Umfeld von Datenverarbeitung und Datenkommunikation diese Lösungen zu finden, bedarf einer starken Kombination von fachlicher, methodischer und sozialer Kompetenz. Der gegenwärtig an den Universitätsklinika Heidelberg, Tübingen und Ulm bestellte Datenschutzbeauftragte ist aufgrund seines bisherigen beruflichen Werdegangs besonders qualifiziert. Juristische, betriebswirtschaftliche und EDV-Kenntnisse durch Ausbildung und Studium sowie langjährige leitende Arbeit in DV-Bereichen von Verwaltung und Wirtschaft ermöglichen dem Datenschutzbeauftragten eine analytisch, konzeptionell und datenschutzgerecht erfolgreiche und umfeldgerechte Arbeit an den Universitätsklinika. Gegenüber der internen Lösung (1 Stelle BAT IIa/Ib DM einschließlich laufender Kosten für Fortbildungen, Seminare, Fachmessen usw. und eines Sekretariates BAT VI/VII DM) ist die jetzige externe Lösung an den Klinika Heidelberg und Tübingen kostengünstiger (Jahresaufkommen zirka DM). Lediglich am Universitätsklinikum Ulm verursacht die jetzige externe Lösung einen Kostenmehraufwand in Höhe von DM, liegt aber dennoch deutlich unter den vorgenannten Kosten für eine interne Lösung. Zu 4.: Die Bestellung des externen Datenschutzbeauftragten ist nach 51 Abs 1 LKHG in Verbindung mit 36 ff Bundesdatenschutzgesetz zulässig. Ein externer Datenschutzbeauftragter, der Verträge mit mehreren Klienten besitzt, ist im Interesse von Patienten und Mitarbeitern unabhängiger gegenüber der Klinikumsleitung. Erforderliches Spezialwissen wird vielfach eingesetzt. Durch die Erfahrungen mit mehreren Einsatzstellen werden Datenschutzdefizite schneller erkannt und leichter beseitigt. Synergieeffekte werden genutzt. Der externe Datenschutzbeauftragte ist nicht betriebsblind und kann daher auf Sachverhalte aufmerksam machen, welche die eigenen Mitarbeiter nicht wahrnehmen. Externe Datenschutzbeauftragte verfügen auch über Erfahrungen aus anderen Unternehmen und mit Technologien, die im eigenen Unternehmen nicht eingesetzt werden. Eine einheitliche Umsetzung datenschutzrechtlicher Vorschriften an den Universitätsklinika wird gewährleistet. Mit der Aufsichtsbehörde ist der externe Datenschutzbeauftragte wegen der Zuständigkeit für mehrere Unternehmen in der Regel im ständigen Kontakt, so daß auch von dort regelmäßig Impulse für seine Datenschutztätigkeit ausgehen. Außerdem fallen Kosten für Aus-, Fort- und Weiterbildung des Datenschutzbeauftragten nicht an. Nachteilig ist bei externen Datenschutzbeauftragten unter Umständen ein größerer Einarbeitungsaufwand. Zu 5.: Beim Umfang der vorhandenen Aufgaben ist eine alleinige Aufgabenerfüllung durch den Datenschutzbeauftragten selbst unmöglich. Wie zum Beispiel auch der 4

5 Landesbeauftragte für den Datenschutz benötigt der Datenschutzbeauftragte der Universitätsklinika daher Mitarbeiter/-innen, auf die Aufgaben delegiert werden. Vertraglich wurde mit dem Datenschutzbeauftragten eine Sorgfaltspflicht bei der Auswahl der Mitarbeiter/-innen vereinbart, die für das jeweilige Klinikum tätig werden. In rechtlicher Hinsicht ist eine Aufgabenerfüllung durch Mitarbeiter/-innen des Datenschutzbeauftragten nicht zu beanstanden. Es gibt hierfür keine gesetzlichen Regelungen. Für die Aktivitäten seiner Mitarbeiter/-innen ist der Datenschutzbeauftragte voll verantwortlich. Zu 6.: Nach der Novellierung des Landespersonalvertretungsgesetzes (LPVG) unterliegt die Bestellung eines Datenschutzbeauftragten nach 79 Abs. 3 Nr. 2 LPVG der Mitbestimmung des Personalrats. An den Universitätsklinika Freiburg, Heidelberg und Tübingen wurde das Mitbestimmungsverfahren durchgeführt; das Einvernehmen des Personalrats liegt vor. Das Mitbestimmungsverfahren ist am Klinikum Ulm aufgrund der verweigerten Zustimmung des Personalrats zur Bestellung des ausgewählten externen Datenschutzbeauftragten noch nicht abgeschlossen. Zu 7.: Die Landesregierung ist der Auffassung, daß ein externer Datenschutzbeauftragter Amtsträger i. S. v. 203 Abs 2 Nr. 1 StGB ist. Für ihn selbst kann dabei die noch offene und ersichtlich auch gerichtlich noch nirgends geklärte Frage dahinstehen, ob er als sonstige Stelle i. S. v. 11 Abs 1 Nr. 2c StGB anzusehen ist. Er wird sonst zumindest dazu bestellt, i. S. v. 11 Abs 1 Nr. 2c StGB im Auftrag einer Behörde oder sonstigen Stelle Aufgaben öffentlicher Verwaltung wahrzunehmen. Die Universitätsklinika sind auch nach ihrer Umwandlung in Anstalten des öffentlichen Rechts Stellen der öffentlichen Verwaltung, die Aufgaben in diesem Sinne wahrnehmen. Einer besonderen Verpflichtung nach dem Verpflichtungsgesetz bedarf es nicht. Am Klinikum Ulm ist sie gleichwohl erfolgt. Zu 8.: Bei den Mitarbeitern/-innen des externen Datenschutzbeauftragten kommt es darauf an, ob er selbst als sonstige Stelle i. S. von 11 Abs 1 Nr. 2c StGB anzusehen ist (siehe zu 7.). Dann wären auch seine Mitarbeiter/-innen Amtsträger i. S. v. 203 Abs 2 Nr. 1 StGB. Ansonsten wäre eine gesonderte Verpflichtung erforderlich. Es ist naheliegend, ihn als sonstige Stelle anzusehen, da er zur Erfüllung öffentlicher Aufgaben berufen ist. Um angesichts dieser gerichtlich noch nicht geklärten Rechtslage kein Risiko einzugehen, wurden gleichwohl alle Mitarbeiter/- innen des externen Datenschutzbeauftragten gesondert nach dem Verpflichtungsgesetz verpflichtet, so daß jedenfalls 203 Abs 2 Nr. 2 StGB anzuwenden ist. Zu 9.: Zu dieser Frage nimmt der Landesbeauftragte für den Datenschutz folgendermaßen Stellung: Der Landesbeauftragte für den Datenschutz hält es zwar für wünschenswert, wenn jedes Universitätsklinikum einen qualifizierten, festangestellten Mitarbeiter oder eine qualifizierte, festangestellte Mitarbeiterin zum/zur Beauftragten für den Datenschutz i. S. von 51 des Landeskrankenhausgesetzes bestellt. Er sieht jedoch 5

6 keine Möglichkeit, die Bestellung eines gemeinsamen externen Beauftragten für den Datenschutz durch die Universitätskliniken Ulm, Tübingen und Heidelberg zu beanstanden, weil 51 Abs 1 LKHG i. V. mit 36 ff BDSG die Bestellung eines solchen externen Beauftragten für den Datenschutz für Krankenhäuser zuläßt. Zu 10.: An Universitätsklinika anderer Länder (zum Beispiel in Kiel, Lübeck, Rostock) sind ebenfalls externe Datenschutzbeauftragte tätig. Konkrete Zahlen, wieviel Krankenhäuser von der Möglichkeit der Bestellung eines externen Datenschutzbeauftragten Gebrauch gemacht haben, liegen nicht vor. Nach Angaben der Baden- Württembergischen Krankenhausgesellschaft gegenüber dem Sozialministerium kann es sich dabei jedoch nur um wenige Einzelfälle handeln. Kenntnisse über Datenschutzbeauftragte in anderen öffentlichen Bereichen liegen dem Wissenschaftsministerium nicht vor. Die Aufsicht wird hier vorzugsweise durch den Landesbeauftragten für den Datenschutz und seinen Mitarbeitern/-innen ausgeübt. Für jede öffentliche Stelle, wozu auch die Universitäten gehören, wird der Datenschutz vor dem Hintergrund heutiger Datenverarbeitungs- und Datenkommunikationsmöglichkeiten zu einer immer wichtigeren Aufgabe. Dem trägt die anstehende Novellierung des BDSG nach heutigem Entwurfsstand Rechnung. Alle öffentlichen Stellen haben danach einen Datenschutzbeauftragten zu bestellen. Im Interesse der Betroffenen und der öffentlichen Stellen selbst an einer qualitativ hochwertigen, professionellen aber auch wirtschaftlich vertretbaren Aufgabenerledigung werden künftig wohl zunehmend öffentliche Stellen einen externen Datenschutzbeauftragten bestellen. Eine Erledigung im Nebenamt würde nur zu sogenannten Alibi -Datenschutzbeauftragten führen. Dies läge nicht im Interesse der Betroffenen. von Trotha Minister für Wissenschaft, Forschung und Kunst 6