0 Rechtsentwicklung
Rz. 1
§ 67a wurde durch das Gesetz zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze v. 18.5.2001 (BGBl. I S. 904), mit dem die Vorgaben der EU-Richtlinie (Richtlinie 95/46/EG des Europäischen Parlaments und des Rates v. 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, ABl. EG L 281 v. 23.11.1995 S. 31) in deutsches Recht umgesetzt wurden, erheblich erweitert. Insbesondere mit den neu eingefügten Sätzen 2 bis 4 von Abs. 1, die Art. 8 Abs. 2 i. V. m. Abs. 3 und 4 der Richtlinie umsetzen (Verarbeitung besonderer Kategorien personenbezogener Daten), soll ein für den Betroffenen verständlicher und transparenter Verfahrensablauf sichergestellt werden. Dies ist auch der Hintergrund für die erweiterten Informationspflichten des Abs. 3 und die mit Einfügung des Abs. 5 neu aufgenommenen Benachrichtigungspflichten. § 67a ist mit dem Zweiten SGB-ÄndG ab 1.7.1994 in das SGB eingefügt worden. Mit der Neufassung des SGB X v. 18.1.2001 (BGBl. I S. 130) ist die Vorschrift neu bekannt gemacht worden.
Rz. 2
Am 24.5.2016 trat die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung -DSGVO) in Kraft (ABl. 2016 L 119), deren Regelungen seit dem 25.5.2018 unmittelbar anwendbar sind.
Durch Art. 19 und Art. 24 des Gesetzes zur Änderung des Bundesversorgungsgesetz und anderer Vorschriften v. 17.7.2017 (BGBl. I S. 2541) wurde § 67a mit Wirkung zum 25.5.2018 umfassend an die DSGVO angepasst:
Abs. 1 Satz 3 erhielt einen anderen Inhalt und Satz 4 ist entfallen.
Die früheren Abs. 3 bis 5 sind entfallen bzw.
- der Inhalt des bisherigen Abs. 3 Satz 1 und 3 ergibt sich unmittelbar aus Art. 13 DSGVO,
- der Inhalt des bisherigen Abs. 5 Satz 2 ergibt sich im Wesentlichen direkt aus Art. 14 Abs. 5 DSGVO,
- die bisherige Regelung des Abs. 3 Satz 2 findet sich seit 25.5.2018 in § 82 Abs. 1,
- der Regelungsgehalt des bisherigen Abs. 4 ist seit dem 25.5.2018 in § 82a Abs. 2 und
- die bisherige Regelung des Abs. 5 Satz 3 ist in § 82a Abs. 4 enthalten.
1 Allgemeines
Rz. 3
§ 67a regelt, unter welchen Voraussetzungen und bei wem Sozialdaten erhoben werden dürfen und ergänzt damit Art. 6 DSGVO, der die Rechtmäßigkeit der Verarbeitung beschreibt.
Bis zum 24.5.2018 definierte § 67 Abs. 5 SGB X a. F. das Erheben als das Beschaffen von Daten über die betroffene Person. Die Erhebung von Daten war bis zu diesem Zeitpunkt eine eigenständige Phase des Umganges mit Sozialdaten neben der Verarbeitung und der Nutzung.
Rz. 4
Seit dem 25.5.2018 bestimmt Art. 4 DSGVO die im Datenschutzrecht europaweit einheitlich und unmittelbar zu verwendenden Begriffe und benennt in Nr. 2 als Verarbeitung "jeden ... Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen ...". Damit wird die Erhebung seit dem 25.5.2018 der Verarbeitung zugeordnet; Vorschriften zur Verarbeitung regeln seitdem grundsätzlich auch die Erhebung von personenbezogenen Daten; eine Ausnahme von diesem Grundsatz findet sich z. B. in § 67b Abs. 1 (vgl. die Komm. zu § 67b).
Definiert wird der Begriff der Erhebung seit dem 25.5.2018 weder in der DSGVO noch im SGB X. Näheres hierzu kann der Komm. zu § 67 SGB X entnommen werden. Im Ergebnis kann das Erheben weiterhin als das Beschaffen, Aufnehmen und Sammeln von Daten bezeichnet werden.
2 Rechtspraxis
Rz. 5
Seit dem 25.5.2018 ist aufgrund der unmittelbaren Rechtswirkung der Vorschriften der DSGVO (vgl. Rz. 2) für die zulässige Erhebung von Sozialdaten nicht mehr nur § 67a maßgebend, sondern insbesondere die Art. 6 DSGVO (Rechtmäßigkeit der Verarbeitung) und Art. 9 DSGVO (Verarbeitung besonderer Kategorien von personenbezogenen Daten).
Zusätzlich gelten die unmittelbar anzuwendenden Vorschriften der DSGVO, wie auch die Gesetzesbegründung zu § 67b Abs. 1 klarstellt: "Neben den spezifischen Befugnissen des Sozialgesetzbuches kann auch unmittelbar aus der Verordnung (EU) 2016/679, insbesondere aus Artikel 6 Absatz 1 der Verordnung (EU) 2016/679 die Zulässigkeit der Verarbeitung von Sozialdaten folgen, was § 35 Absatz 2 Satz 1 des Ersten Buches deklaratorisch deutlich macht" (BT-Drs. 18/12611).
Die Erhebung ist seit dem 25.5.2018 nach Art. 4 Nr. 2 DSGVO ein Vorgang der Verarbeitung (vgl. die Komm. zu § 67).
Zunächst regelt Abs. 1 Satz 1, zu welchen Zwecken die Erhebung von Sozialdaten nur zulässig ist (Erforderlichkeit im Zusammenhang mit der gesetzlichen Aufgabenerfüllung der Stellen nach § 35 SGB I).
Besondere Voraussetzungen sind nach Abs. 1 Satz 2 und 3 bei der Erhebung besonderer Kategorien von personenbezogenen Daten (Art. 9 Abs. 1 DSGVO) zu beachten; hier kommt es darauf an, welche gesetzlichen Aufgaben oder Pflichten mit der Erhebung dieser Daten erfüllt werden sollen und ob ggf. zusätzlich geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorzuse...