Jansen, SGB X § 78 Zweckbindung und Geheimhaltungspflich ... / 2 Rechtspraxis

2.1 Datenempfänger

Rz. 5

Die von § 78 umfassten Empfänger sind alle Personen und Stellen, die keine Stelle nach § 35 SGB I sind, da für diese spezielle in § 67c festgelegte Zweckbindungen gelten (vgl. Komm. zu § 67c) und denen auf der Grundlage entweder einer Einwilligung der betroffenen Person (Art. 6 Abs. 1 Buchst. a DSGVO i. V. m. § 67b) oder einer anderen gesetzlichen Übermittlungsbefugnis nach den §§ 68 bis 77 Sozialdaten übermittelt worden sind. Dabei ist es gleichgültig, ob es sich um natürliche oder juristische Personen, um öffentlich-rechtliche oder privatrechtliche, um deutsche oder ausländische Stellen handelt.

Zum Empfängerkreis gehören auch die nach § 69 Abs. 2 privilegierten Stellen (die Quasi-Leistungsträger, vgl. Komm. zu § 69), weil ihre Gleichstellung sie nicht zu Leistungsträgern macht.

2.2 Zweckbindung und Verwendungsverbot (Abs. 1 Satz 1)

Rz. 6

Die Datenempfänger (Rz. 5) sind verpflichtet, die erhaltenen Daten nur zu den Zwecken zu speichern, zu verändern, zu nutzen, zu übermitteln, in der Verarbeitung einzuschränken oder zu löschen, zu denen sie sie befugt erhalten haben (Zweckbindung).

Rz. 7

Der Zweck oder die Zwecke ergeben sich aus dem konkreten Anlass oder aus der konkreten Aufgabenstellung des Empfängers und nicht aus den für den übermittelnden Leistungsträger geltenden Übermittlungsvorschriften der §§ 68 bis 75.

Rz. 8

Befugt übermittelte Sozialdaten dürfen nur zu den Zwecken gespeichert, verändert, genutzt, übermittelt, in der Verarbeitung eingeschränkt oder gelöscht werden, zu denen sie übermittelt wurden. Daraus folgt, dass unbefugt übermittelte Sozialdaten nicht gespeichert, verändert, genutzt, übermittelt, in der Verarbeitung eingeschränkt oder gelöscht werden dürfen.

Das bedeutet, dass die empfangende Stelle die Daten nicht speichern, verändern, nutzen, übermitteln oder in der Verarbeitung beschränken darf, wenn sie im Nachhinein feststellt, dass sie die Daten nicht hätte erheben dürfen. Dies gilt unabhängig davon, dass die Übermittlung aus Sicht der übermittelnden Stelle zulässig war.

Erfolgte die Datenübermittlung unzulässig, weil die übermittelnde Stelle keine Rechtsgrundlage für die Übermittlung hatte, so darf die empfangende Stelle die Daten ebenfalls nicht speichern, verändern, nutzen, übermitteln oder in der Verarbeitung beschränken. Die übermittelnde Stelle hat – unmittelbar, nachdem sie Kenntnis von der Unzulässigkeit ihrer Datenübermittlung erlangt hat – die empfangende Stelle über diese Unzulässigkeit zu unterrichten und ein Verwendungsverbot für die unzulässig übermittelten Sozialdaten auszusprechen. In diesem Verwendungsverbot muss zum Ausdruck gebracht werden, dass die Daten unbefugt übermittelt wurden, dass sie daher nicht gespeichert, verändert, genutzt, übermittelt oder in der Verarbeitung beschränkt werden dürfen und an die übermittelnde Stelle zurückzugeben oder zu löschen sind. Die empfangende Stelle sollte außerdem aufgefordert werden zu bestätigen, dass sie die Daten gelöscht hat und den Vorgang so behandelt, als hätte sie diese Daten nicht erhalten.

Die empfangende Stelle hat die unzulässig erhaltenen Sozialdaten zu löschen (Art. 17 Abs. 1 DSGVO, § 35 BDSG bzw. entsprechende Regelungen der Landesdatenschutzgesetze). Die weitere Verarbeitung dieser unzulässig erhaltenen Sozialdaten ist ausgeschlossen. Sämtliche weiteren Maßnahmen, insbesondere Verwaltungsakte, die aufgrund unzulässig übermittelter Sozialdaten ergangen sind, sind rechtswidrig.

Rz. 9

Hinweis

Hinsichtlich der Durchsetzbarkeit eines ausgesprochenen Verwendungsverbotes gibt es in der Praxis unterschiedliche Erfahrungen. Sozialleistungsträger, denen gegenüber § 78 zunächst nicht gilt, denen aber unter Hinweis auf diese Vorschrift i. V. m. § 67c ein Verwendungsverbot erteilt wurde, reagieren regelmäßig verständnisvoll und geben die unbefugt übermittelten Daten zurück. Insbesondere Gerichte haben jedoch große Schwierigkeiten mit einer Rückgabe der Daten/Unterlagen, vor allem, wenn diese bereits in eine gerichtliche Entscheidung eingeflossen sind.

Im Ergebnis gibt es für die übermittelnde Stelle keine Möglichkeit der Durchsetzung eines Verwendungsverbotes, wenn die empfangende Stelle die Rückgabe verweigert bzw. die erhaltenen Daten/Informationen dennoch verwendet.

Von Bedeutung können hier jedoch die Rechte der betroffenen Person zur Anrufung des Datenschutzbeauftragten (§ 81), auf Klage gegen den Verantwortlichen (§ 81b), auf wirksamen gerichtlichen Rechtsbelf gegen Verantwortliche (Art. 79 DSGVO), auf Löschung von Daten (§ 84, Art. 17 DSGVO) und auf Schadensersatz (Art. 82 DSGVO) sein sowie die Möglichkeit, gegen die übermittelnde, aber auch gegen die empfangende Stelle, die die Daten trotz eines Verwendungsverbotes verarbeitet und nutzt, Strafanzeige nach § 85 zu stellen.

2.3 Zusätzliche Voraussetzung für eine zulässige Übermittlung an nicht-öffentliche Stellen (Abs. 1 Satz 2)

Rz. 10

Mit Abs. 1 Satz 2 wird seit dem 25.5.2018 geregelt, dass eine Übermittlung von Sozialdaten an eine nicht-öffentliche Stelle nur zulässig ist, wenn diese sich gegenüber der übermittelnden Stelle verpflichtet hat, die zu übermittelnden Sozialdaten entsprechend Abs. 1 Satz 1 nur für den Zweck zu verarbei...