0 Rechtsentwicklung
Rz. 1
§ 82a wurde zum 25.5.2018 durch Art. 24 des Gesetzes zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften v. 17.7.2017 (BGBl. I S. 2541) neu in das 2. Kapitel des SGB X eingefügt. Er ergänzt für die Erhebung von Sozialdaten die europaweit zum 25.5.2018 einheitlich geregelten Datenschutzbestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG – Datenschutz-Grundverordnung (DSGVO) v. 27.4.2016 (ABl. L 119/1).
In Ergänzung zu Art. 14 DSGVO enthält § 82a Ausnahmen von den dort geforderten Informationspflichten, wenn Sozialdaten nicht bei der betroffenen Person erhoben wurden. Diese Informationspflichten waren bis zum 24.5.2018 in § 67a Abs. 4 und 5 a. F. enthalten und wurden im Wesentlichen in § 82a übernommen und redaktionell angepasst, insbesondere an die Begriffsbestimmungen nach Art. 4 DSGVO i. V. m. § 67.
Als ein besonderer Ausnahmetatbestand wurde die Regelung des § 83 Abs. 4 Nr. 3 a. F. in § 82a Abs. 2 mit überführt.
1 Allgemeines
Rz. 2
Bis zum 24.5.2018 enthielt § 67a a. F. sämtliche Voraussetzungen und Pflichten im Zusammenhang mit der Erhebung von Sozialdaten. Seit dem 25.5.2018 enthält dieser in Ergänzung der unmittelbar geltenden Vorschriften der DSGVO für die zulässige Erhebung von Daten, insbesondere Art. 6 DSGVO (Rechtmäßigkeit der Verarbeitung) und Art. 9 DSGVO (Verarbeitung besonderer Kategorien von personenbezogenen Daten), nur noch die speziellen Anforderungen an die Erhebung von Sozialdaten (vgl. die Komm. zu § 67a).
Die Informationspflichten und die Ausnahmen davon ergeben sich für Datenerhebungen seit dem 25.5.2018 zunächst unmittelbar aus Art. 13 und 14 DSGVO.
Die Ausnahme des Art. 13 Abs. 4 DSGVO von der Informationspflicht wird bei der Erhebung bei der betroffenen Person (Direkterhebung) durch § 32 BDSG erweitert und für die Erhebung von Sozialdaten durch § 82 (vgl. die Komm. zu § 82).
Ergänzungen zu der Ausnahmen des Art. 14 Abs. 5 DSGVO bei der Erhebung bei anderen Personen oder Stellen (Dritterhebung) ergeben sich aus § 33 BDSG und speziell für die Erhebung von Sozialdaten durch § 82a (Rz. 23 ff.).
Rz. 3
Seit dem 25.5.2018 bestimmt Art. 4 DSGVO die im Datenschutzrecht europaweit einheitlich und unmittelbar zu verwendenden Begriffe und benennt in Nr. 2 als Verarbeitung "jeden ... Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen ...". Damit wird die Erhebung seit dem 25.5.2018 der Verarbeitung zugeordnet. Definiert wird der Begriff der Erhebung seit dem 25.5.2018 weder in der DSGVO noch im SGB X. Näheres hierzu kann der Komm. zu § 67 SGB X entnommen werden.
Im Ergebnis kann das Erheben weiterhin als das Beschaffen, Aufnehmen und Sammeln von Daten bezeichnet werden.
2 Rechtspraxis
Rz. 4
Art. 14 DSGVO enthält die unmittelbar geltenden Informationspflichten bei der sog. Dritterhebung, also wenn personenbezogene Daten nicht bei der betroffenen Person erhoben werden (Rz. 5 ff.).
§ 33 BDSG enthält Ausnahmen von diesen Informationspflichten (Rz. 19 ff.).
§ 82a sieht für die Dritterhebung von Sozialdaten in bestimmten Fällen weitere Ausnahmen von diesen Informationspflichten des Art. 14 DSGVO vor und fordert dafür konkret zu ergreifende Schutzmaßnahmen (Rz. 23 ff.).
Art. 12 DSGVO enthält Anforderungen an transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person, die auch die Informationspflichten nach Art. 14 DSGVO betreffen (Rz. 14 ff.).
2.1 Informationspflichten gemäß Art. 14 DSGVO
Rz. 5
Die Grundsätze einer fairen und transparenten Verarbeitung machen es erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird. Der Verantwortliche sollte der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten (Erwägungsgrund [EG] 60 DSGVO).
Art. 14 DSGVO setzt diese Erwägungen um, in dem er mit Abs. 1 konkrete Forderungen stellt, welche Informationen der betroffenen Person bei einer Dritterhebung mitzuteilen sind (Rz. 7 und 8) und welche Informationen nach Abs. 2 darüber hinaus zur Verfügung zu stellen sind (Rz. 9 und 10). Abs. 3 bestimmt Näheres zum Zeitpunkt der Informationserteilung. Nach Abs. 4 sind besondere Anforderungen vor einer Weiterverarbeitung zu anderen Zwecken zu erfüllen (Rz. 10). Eine Ausnahme von der Informationspflicht enthält Abs. 5 (Rz. 11 ff.).
2.1.1 Mitzuteilende Informationen nach Art. 14 Abs. 1 DSGVO
Rz. 6
Der Verantwortliche teilt der betroffenen Person nach Art. 14 Abs. 1 DSGVO Folgendes mit:
- den Namen und die Kontaktdaten des Verantwortlichen sowie ggf. seines Vertreters (Buchst. a);
- die Kontaktdaten des Datenschutzbeauftragten (Buchst. b);
- die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für d...