Abgrenzung Auftragsdatenverarbeitung gegenüber Schweigepflicht

Offenbarung im Sinne §203 StGB

Die Regelungen zur Auftragsdatenverarbeitung (§11 BDSG, §11 DSG NRW, §80 SGB X) begründen keine Offenbarungsbefugnis im Sinne des § 203 StGB1), sondern bewirken, dass der Datenfluss zwischen Auftragnehmer und Auftraggeber rechtlich nicht als Datenübermittlung, sondern als sonstige Art der Datenweitergabe (Datennutzung) angesehen wird: „Dritte sind nicht der Betroffene sowie Personen und Stellen, die im Inland, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen“ (§3 Abs. 3 Satz 3 BDSG). Eine Offenbarung liegt auch dann nicht vor, wenn:

  1. Jede Zugriffsmöglichkeit des beauftragten Dritten auf die Patientendaten ausgeschlossen wird. Beispiele:
    • Wartungsarbeiten an Praxisrechnern durch externe Mitarbeiter sind dadurch möglich, dass von einem Geheimnisträger (oder dessen Gehilfen entsprechend §203 StGB) die Arbeiten überwacht und darauf achtet, dass kein Zugriff auf Patientendaten erfolgt.
    • Bei einer externen Entsorgung ist ein beaufsichtigendes Begleiten von Transport und Vernichtung möglich.
  2. Die Daten vor ihrer Bearbeitung durch externe Mitarbeiterinnen/Mitarbeiter durch den Geheimnisträger oder dessen Gehilfen anonymisiert oder pseudonymisert werden
  3. Eine weitere Möglichkeit zur Verhinderung einer unzulässigen Offenbarung könnte darin bestehen, dass der Auftragnehmer nicht als externer Dritter angesehen wird, sondern als Gehilfe. In der Offenbarung an einen Berufsgehilfen liegt keine Verletzung der ärztlichen Schweigepflicht nach § 203 StGB. Auch bei dem Berufsgehilfen des Arztes ist das Zeugnisverweigerungsrecht des Arztes (§ 53 StPO) und der Beschlagnahmeschutz für ärztliche Unterlagen (§ 97 StPO) gewährleistet. Entsprechendes gilt für das zivilrechtliche Zeugnisverweigerungsrecht (§ 383 Abs. 1 Nr. 6 ZPO).

Die Bestimmungen von §7 GDSG NRW wird auf Grund der Tatsache, dass hier explizite Bestimmungen zur Auftragsdatenverarbeitung von Patientendaten getroffen werden, von einigen Autoren als spezial-gesetzgeberische Offenbarungsbefugnis entsprechend §203 StGB angesehen. Eine richterliche Entscheidung hierzu steht jedoch aus, so dass für den rechtssicheren Einsatz von Mitarbeitern von GKD/UKM am UKD nur die „Gehilfen-Lösung“ in Frage kommt.

Gehilfe im Sinne von §203 StGB

Voraussetzung für die Annahme eines Gehilfenstatus ist, dass der Schweigepflichtige in seiner Funktion nach § 203 StGB unmittelbar unterstützt wird2). Die Qualifikation des Tätigwerdenden ist dabei richtigerweise nicht maßgeblich. Erfasst werden nicht nur einfache Hilfstätigkeiten, sondern ein Gehilfe i.S.v. § 203 StGB kann auch jemand sein, der hoch qualifizierte Tätigkeiten erbringt3). Insofern ist der Begriff Gehilfe nicht mit dem allgemeinen Sprachgebrauch zu erklären.
Der Gehilfe muss nicht zwingend eine der Aufgaben erledigen, die als spezifische Hauptaufgaben des Schweigepflichtigen bezeichnet werden können, also beispielsweise bei einem Arzt die Behandlung und Untersuchung des Patienten. Ausreichend ist auch das Erledigen von Nebenaufgaben, zu denen der Schweigepflichtige verpflichtet ist, beispielsweise das Ausstellen von Rechnungen oder das Verarbeiten von Daten. Zu fordern ist aber, dass die Aufgaben unmittelbar der Berufsausübung dienen und hinreichend eingebunden in die Vertrauensbeziehung zwischen Schweigepflichtigen und Geheimnisträger erfolgen.
Der Schweigepflichtige muss gegenüber dem Gehilfen weisungsberechtigt sein, denn ohne ein solches Weisungsrecht wäre eine Zuordnung zu einer Funktionseinheit bzw. zum Geheimnisverpflichteten willkürlich und unbeständig4). Eine Zuordnung ohne ein tatsächliches Weisungsrecht wäre vor dem Hintergrund des geschützten Rechtsgutes nicht hinnehmbar und würde das Geheimnis vollkommen von der Person des Schweigepflichtigen abkoppeln. Dies entspricht nicht dem Willen des Gesetzgebers, der über die Einschränkung in § 203 Abs. 1 StGB aufgrund der enumerativen Aufzählung von Schweigepflichtigen auch der Person des Schweigepflichtigen Bedeutung zumessen wollte.
Ein Weisungsrecht ist aber zutreffend dann entbehrlich, wenn sich die Zuordnung zu einer Funktionseinheit schon erkennbar aus anderen Umständen ergibt. Wird beispielsweise innerhalb eines Krankenhauses ein weiterer Arzt in die Behandlung eingeschaltet, ergibt sich schon aus der Zugehörigkeit zu derselben Organisation eine eindeutige Zuordnung, so dass es nicht auf ein vereinbartes oder tatsächliches Weisungsrecht ankommt. Der Patient kann mit solch einer Einschaltung von Personen aus einem von vornherein abgegrenzten Bereich rechnen. Werden aber Personen außerhalb eines solchen Bereichs herangezogen, wie dies beim Outsourcing der Fall ist, dann kann auf ein tatsächliches Weisungsrecht als weiteres notwendiges Kriterium für eine eindeutige Zuordnung nicht verzichtet werden5).
Dabei ist es unerheblich, ob die Personen die Tätigkeit nur gelegentlich oder als Haupt- bzw. Nebenberuf ausüben, sofern sie weisungsgebunden in das Vertrauensverhältnis eingebunden sind. Damit wird auch Kongruenz zum Strafprozessrecht erzielt, da § 53a StPO nach im Vordringen befindlicher Auffassung derart eingebundene Personen ebenfalls als Gehilfen erfasst und über § 97 Abs. 4 StPO Beschlagnahmefreiheit für Gegenstände, die im Gewahrsam der Gehilfen sind, gewährleistet6). Werden hingegen Aufgaben von gleichgeordneten Personen selbstständig erfüllt, sind diese als externe Dritte und nicht als Gehilfen zu bezeichnen7).
In der Literatur wird das Erfordernis eines Arbeitsvertrages überwiegend verneint8). Für die fehlende Notwendigkeit eins Arbeitsvertrags kann auch ein Vergleich mit § 53a StPO angeführt werden9). Bei dieser Vorschrift wird nach h.M. der Begriff „Gehilfe“ ebenfalls dahingehend interpretiert, dass derjenige, der nur faktisch tätig wird, ein Gehilfe sein kann10). Als maßgeblich wird die Veranlassung der Tätigkeit durch den Hauptberufsgeheimnisträger gesehen. Lediglich Tätigkeiten, die nicht im unmittelbaren Zusammenhang mit der Berufstätigkeit stehen, werden nicht vom Begriff des Gehilfen erfasst11). Wohl aber bedarf es der Existenz überhaupt einer vertraglichen Vereinbarung, durch die eine eindeutige Ausgestaltung der Beziehung im Sinne einer weisungsgebundenen, unmittelbaren Unterstützung erfolgt.
Dies gilt aber dann nicht, wenn Personal eines rechtlich und organisatorisch selbständigen Unternehmens für den Outsourcer tätig wird. Auch wenn der Einsatz des Fremdpersonals kontinuierlich über längere Zeit erfolgen soll, steht doch das Fremdpersonal in zwei Beziehungen, zum einen in der Tätigkeitsbeziehung zum Outsourcer, zum anderen in der arbeitsvertraglichen Beziehung zum anbietenden Dienstleistungsunternehmen. Daher bedarf es einer vertraglichen Vereinbarung mit dem Outsourcingnehmer hinsichtlich des Tätigwerdens des eingesetzten Fremdpersonals. Darin ist das Direktionsrecht hinsichtlich der auszuführenden Tätigkeit sowie die organisatorische Einbindung in den Bereich des Outsourcers so zu regeln, dass eine klare Zuordnung zum Outsourcer möglich ist. Durch das Direktionsrecht muss sichergestellt sein, dass hinsichtlich des Umgangs mit medizinischen Daten der Schweigepflichtige eindeutig die Kontrolle und die Steuerung der Tätigkeiten behält. Das Fremdpersonal muss in diesem Punkt einem Arbeitnehmer des Outsourcers gleichgestellt sein.
Aus dem Angeführten ergibt sich, dass eine vertraglich begründete Zusammenarbeit zwischen Outsourcer und privatem IT- Dienstleistungsunternehmen, ein sog. „joint venture“, nicht ausreicht, um den Personen des IT-Dienstleistungsunternehmen einen Gehilfenstatus zu verschaffen. In solchen Fällen erfolgt lediglich eine Verbindung zweier rechtlich selbstständiger Institutionen, aber keine Einbindung. Entsprechendes gilt für mit dem Outsourcer verbundene Unternehmen oder für Tochterunternehmen des Outsourcers, da auch hier grundsätzlich rechtlich selbstständige Unternehmen bestehen, die nicht über gesellschaftsrechtliche Qualifikationen zu i.S.v. § 203 StGB maßgeblichen Funktionseinheiten werden.
Um externe Mitarbeiterinnen und Mitarbeiter als Gehilfen des Outsourcers anzusehen, ist die Überlassung des Arbeitnehmers durch den Dienstleister an den Outsourcer entsprechend dem Gesetz zur Regelung der Arbeitnehmerüberlassung (Arbeitnehmerüberlassungsgesetz - AÜG) der einzige Weg zu sein.


Zurück zur Themenübersicht

1) Tröndle/Fischer, 50 Aufl. 2001, § 203 StGB, Rd.-Nr. 28, Auernhammer, 3. Aufl. 1993, § 11 BDSG, Rd.-Nr. 10; Gola/Schomerus, 6. Aufl. 1997, § 11 BDSG, Tz. 1.1; Walz in: Simitis/Dammann, § 11 BDSG, Rd.-Nr. 32 f.; Hamburgischer Datenschutzbeauftragter, 16. Tb. 1997, Tz. 18.1.1
2) Schünemann, in: Leipziger Kommentar StGB, § 203 Rn. 77; Cierniak, in: Münchener Kommentar StGB, § 203 Rn. 114; Tröndle/Fischer, StGB, § 203 Rn. 21; zu den unterschiedlichen, sachlich sich kaum unterscheidenden Formulierungen vgl. Sieber, in: Handbuch Multimedia Recht, Teil 19 Rn. 488
3) Cierniak, in: Münchener Kommentar StGB, § 203 Rn. 118; Klöcker/Meister, Datenschutz im Krankenhaus, S. 36; OLG Oldenburg NStZ 83, S. 39, das auch die Verwaltungsleitung als Gehilfen ansieht
4) Schünemann, in: Leipziger Kommentar StGB, § 203 Rn. 77; Cierniak, in: Münchener Kommentar StGB, § 203 Rn. 115; Ehmann, CR 91, S. 295
5) Taupitz, MedR 1993, S. 375
6) Fritzemeyer, in Söbbing: IT-Outsourcing, S. 755
7) Cierniak, in: Münchener Kommentar StGB, § 203 Rn. 114; Neubeck, in: KMR StPO, § 53a Rn. 2ff
8) 8. Schünemann, in: Leipziger Kommentar StGB, § 203 Rn. 77; Cierniak, in: Münchener Kommentar StGB, § 203 Rn. 115
9) Für eine „harmonisierte Auslegung des Gehilfenbegriffs in StGB und StPO“ Hoenike/Hülsdunk, MMR 2004, S. 789
10) Meyer-Goßner, StPO, § 53a Rn. 2; Senge, in: Karlsruher Kommentar StPO, § 53a Rn. 2; Rogall, in: Systematischer Kommentar StPO, § 53a Rn. 8; Lemke, in: Heidelberger Kommentar StPO, § 53a Rn. 2
11) Senge, in: Karlsruher Kommentar StPO, § 53a Rn. 2

Navigation
QR-Code
QR-Code Abgrenzung Auftragsdatenverarbeitung gegenüber Schweigepflicht (erstellt für aktuelle Seite)