Merkblatt zur Verpflichtung auf das Datengeheimnis nach 6 Abs. 2 Sächsisches Datenschutzgesetz

Transkript

1 Merkblatt zur Verpflichtung auf das Datengeheimnis nach 6 Abs. 2 Sächsisches Datenschutzgesetz 1. Was versteht man unter der "Verpflichtung auf das Datengeheimnis"? Die Verpflichtung auf das Datengeheimnis nach 6 Abs. 2 SächsDSG ist ein formaler Akt zu Beginn des Dienst- oder Arbeitsverhältnisses. Sie wird durch den Leiter der öffentlichen Stelle, den Arbeitgeber oder jeweils einen Beauftragten vorgenommen. Sie schließt die wichtige vorhergehende Unterrichtung des Bediensteten über das Datengeheimnis nach 6 Abs. 1 SächsDSG sowie die sonstigen bei (seiner) Tätigkeit zu beachtenden Vorschriften über den Datenschutz formal ab. Sie sollte am ersten Arbeitstag erfolgen. Sie sollte auf einem separaten Blatt in die Personalakte eingefügt werden. Bei Arbeitnehmern reicht es nicht aus, eine entsprechende Klausel in den Arbeitsvertrag aufzunehmen. Sie ist nicht konstitutiv für die Geltung des Datengeheimnisses, das auch dann gilt, wenn nicht oder mangelhaft verpflichtet wurde. Die vorhergehende Unterrichtung des Bediensteten sollte durch eine geeignete Person vorgenommen werden. Dies kann der Datenschutzbeauftragten nach 11 SächsDSG sein. Datengeheimnis ist das Verbot der Verarbeitung personenbezogener Daten ohne entsprechende Befugnis, die sich nach 4 Abs. 1 SächsDSG nur aus einer Rechtsvorschrift (u. a. Gesetz, Rechtsverordnung, Satzung) oder der Einwilligung des Betroffenen ergeben kann. In der Unterrichtung sind zumindest dieser Grundsatz der Verarbeitung personenbezogener Daten (Verbot mit Erlaubnisvorbehalt) sowie die sich aus einer Verletzung ergebenden dienst-, arbeits-, ordnungswidrigkeiten- oder strafrechtlichen Konsequenzen eingehend zu erörtern. Wünschenswert ist die Darlegung der für den konkreten Bediensteten oder Mitarbeiter geltenden spezifischen Rechtsgrundlagen der Datenverarbeitung (z. B. im Sozialbereich 35 SGB I, 68 ff. SGB X etc.). Sonstige bei ihrer Tätigkeit zu beachtende Vorschriften sind insbesondere die technisch-organisatorischen Maßnahmen zur Gewährleistung des Datenschutzes, 9 SächsDSG. 2. Wer muss auf das Datengeheimnis verpflichtet werden? Für eine öffentliche Stelle tätig sind sämtliche Bedienstete einer datenverarbeitenden Stelle nach 3 Abs. 3 SächsDSG und sämtliche Mitarbeiter eines Auftragnehmers nach 7 Abs. 1 SächsDSG, die Zugang zu personenbezogenen Daten haben. Der Begriff Zugang ist weit auszulegen. Auf die konkrete Tätigkeit des Bediensteten oder Mitarbeiters kommt es nicht an. Zugang kann auch derjenige haben, zu dessen Aufgaben die Verarbeitung personenbezogener Daten nicht gehört. Unter den Begriff fallen mithin neben den regulären Voll- und Teilzeitbediensteten der datenverarbeitenden Stelle und ggf. des Auftragnehmers (z. B. Wartungs-, Aktenvernichtungsunternehmen etc.) auch deren Auszubildende, Praktikanten, Gutachter, externe Datenschutzbeauftragte und freie Mitarbeiter. Rechtsgrundlage der Tätigkeit für eine öffentliche Stelle in diesem Sinne kann ein Minister- oder Beamtenverhältnis, ein Dienst-, Arbeits-, Auftrags- oder Werkvertrag sein. In Auftragsverträgen gemäß 7 Abs. 2 Satz 2 SächsDSG muss sichergestellt werden, dass der Auftragnehmer seine Mitarbeiter entsprechend zu verpflichten hat. Verarbeitet eine Personalvertretung personenbezogene Daten für eigene Zwecke, muss die datenverarbeitende Stelle auch die damit befassten Mitglieder der Personalvertretung verpflichten, soweit dies im Einzelfall nicht schon vor Aufnahme ihrer sonstigen Tätigkeit geschehen ist.

2 Für eine öffentliche Stelle tätig ist des Weiteren auch das externe oder ausgegliederte Hilfspersonal der Daten verarbeitenden Stelle und des Auftragnehmers, das Zugang zu personenbezogenen Daten der datenverarbeitenden Stelle hat (Reinigungskräfte, Botendienste etc.). Auf die konkrete Wahrscheinlichkeit der Kenntnisnahme durch das Hilfspersonal kommt es nicht an. 3. Was bewirkt die schriftliche Verpflichtung auf das Datengeheimnis? Die Verpflichtung auf das Datengeheimnis individualisiert die objektiv-rechtlichen Pflichten des Datenschutzrechts. So wird etwa das Verbot der Datenverarbeitung mit Erlaubnisvorbehalt ( 4 Abs. 1 SächsDSG) oder die Erforderlichkeit der Datenerhebung zur Aufgabenerfüllung (vgl. 12 bis 17 SächsDSG) zur persönlichen Verpflichtung aller für eine öffentliche Stelle tätigen Personen, d. h. jedes einzelnen Bediensteten, Mitarbeiters eines Auftragnehmers oder jeder einzelnen externen Hilfskraft. Verstößt ein Beamter oder Arbeitnehmer im öffentlichen Dienst oder ein Mitarbeiter eines beauftragten Unternehmens gegen eine bereichsspezifische Datenschutzvorschrift oder eine Vorschrift des Sächsischen Datenschutzgesetzes, verstößt er dadurch immer auch gegen seine Pflicht zur Einhaltung des Datengeheimnisses. Dies eröffnet disziplinar-, arbeits-, ordnungswidrigkeiten- oder strafrechtliche Konsequenzen, z. B. nach 38, 39 SächsDSG oder 203 Abs. 2, 353b Abs. 1 StGB. Strafrechtliche Konsequenzen nach 203 Abs. 2, 353b Abs. 1 StGB werden für externe Hilfspersonen (z. B. Reinigungskräfte) allerdings nur eröffnet, wenn diese zuvor nach 1 Abs. 1 Nr. 1, 2 Verpflichtungsgesetz verpflichtet und damit nach 11 Abs. 1 Nr. 4b StGB Amtsträgern gleichgestellt worden sind.

3 Auszug aus dem SächsDSG zur Verpflichtung auf das Datengeheimnis 6 Datengeheimnis. (1) Den für eine öffentliche Stelle tätigen Personen ist es untersagt, personenbezogene Daten unbefugt zu verarbeiten (Datengeheimnis). Das Datengeheimnis besteht auch nach Beendigung der Tätigkeit fort. (2) Die in Absatz 1 Satz 1 genannten Personen sind bei der Aufnahme ihrer Tätigkeit über ihre Pflichten nach Absatz 1 sowie die sonstigen bei ihrer Tätigkeit zu beachtenden Vorschriften über den Datenschutz zu unterrichten und auf deren Einhaltung schriftlich zu verpflichten. 38 Ordnungswidrigkeiten. (1) Ordnungswidrig handelt, wer 1. unbefugt von diesem Gesetz geschützte personenbezogene Daten, die nicht offenkundig sind, a) verarbeitet, b) zum Abruf bereithält oder c) für sich oder einen anderen abruft oder auf andere Weise verschafft, 2. die Übermittlung von personenbezogenen Daten, die durch dieses Gesetz geschützt werden und nicht offenkundig sind, durch unrichtige Angaben erschleicht, 3. nach einer Verpflichtung gemäß 6 Abs. 2 das Datengeheimnis gemäß 6 Abs. 1 Satz 1 oder 2 verletzt, wenn die Verletzung nicht mit Strafe bedroht ist, 3a. entgegen 10 Abs. 3 Satz 1 eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht, 4. entgegen 11 Abs. 2 Satz 3 den Datenschutzbeauftragten einer öffentlichen Stelle wegen der Erfüllung seiner Aufgaben benachteiligt, 5. als Datenschutzbeauftragter einer öffentlichen Stelle seine Verschwiegenheitspflicht nach 11 Abs. 5 Satz 1 verletzt, wenn die Verletzung nicht mit Strafe bedroht ist, 6. personenbezogene Daten ohne die nach 14 Abs. 3 Satz 3 oder nach 16 Abs. 4 Satz 3 erforderliche Einwilligung oder entgegen 36 Abs. 3 für einen anderen Zweck verarbeitet, 7. eine Auskunft nach 18 Abs. 1 unrichtig oder unvollständig erteilt, 8. entgegen 24 Abs. 1 Satz 3 einen anderen benachteiligt oder maßregelt, weil er von seinem Recht auf Anrufung des Sächsischen Datenschutzbeauftragten Gebrauch gemacht hat, 8a. entgegen 28 Abs. 1 Satz 1 Nr. 1 eine Auskunft nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erteilt, 8b. entgegen 28 Abs. 1 Satz 1 Nr. 2 Einsicht in Unterlagen und Akten oder Zutritt zu den Diensträumen nicht, nicht vollständig oder nicht rechtzeitig gewährt, 9. bei der Datenverarbeitung im Auftrag als Auftragnehmer gegen eine Weisung des Auftraggebers gemäß 7 Abs. 2 Satz 4 und 5 verstößt, 10. entgegen 16 Abs. 5 eine vollziehbare Auflage oder eine Vereinbarung nicht, nicht rechtzeitig oder nicht vollständig erfüllt oder 11. entgegen 36 Abs. 2 die dort bezeichneten Merkmale nicht getrennt speichert. (2) Die Ordnungswidrigkeit kann mit einer Geldbuße bis zu EUR geahndet werden. (3) Der Sächsische Datenschutzbeauftragte ist Verwaltungsbehörde im Sinne von 36 Abs. 1 Nr. 1 des Gesetzes über Ordnungswidrigkeiten (OWiG) in der Fassung der Bekanntmachung vom 19. Februar 1987 (BGBl. I S. 602), zuletzt geändert durch Artikel 2 des Gesetzes vom 22. August 2002 (BGBl. I S. 3387, 3516), in der jeweils geltenden Fassung. Die Staatsregierung wird ermächtigt, dem Sächsischen Datenschutzbeauftragten durch Rechtsverordnung die Zuständigkeit für die Verfolgung und Ahndung von Ordnungswidrigkeiten nach anderen da-

4 tenschutzrechtlichen Bestimmungen zuzuweisen. Die Zuweisung bedarf der Zustimmung des Sächsischen Datenschutzbeauftragten. 39 Straftaten. Wer eine der in 38 Abs. 1 Nr. 1 bis 8 bezeichneten Handlungen gegen Entgelt oder in der Absicht begeht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft. Der Versuch ist strafbar.