3.1 Erhebung von Sozialdaten
Die Erhebung von Sozialdaten ist nur dann zulässig, wenn ihre Kenntnis zur Erfüllung einer Aufgabe der erhebenden Stelle nach dem Sozialgesetzbuch erforderlich ist. Sozialdaten sind grundsätzlich bei der betroffenen Person zu erheben. Dabei ist der Erhebungszweck ihm gegenüber anzugeben.
3.2 Speicherung/Veränderung/Nutzung/Übermittlung/Einschränkung der Verarbeitung/Löschung von Sozialdaten
Die Speicherung, Veränderung, Nutzung, Übermittlung, Einschränkung der Verarbeitung und Löschung von Sozialdaten durch die in § 35 SGB I genannten Stellen ist zulässig, soweit es gesetzliche Bestimmungen erlauben oder anordnen. Dies gilt auch für die besonderen Kategorien personenbezogener Daten im Sinne der DSGVO. Die Übermittlung von biometrischen, genetischen oder Gesundheitsdaten ist nur zulässig, soweit eine gesetzliche Übermittlungsbefugnis, insbesondere nach den §§ 68 bis 77 SGB X, vorliegt.
3.3 Verarbeitung von Sozialdaten im Auftrag
§ 80 SGB X regelt die Verarbeitung von Sozialdaten im Auftrag. Die Vorschrift entspricht im Wesentlichen dem bisherigen Recht, ist aber redaktionell angepasst worden. Die Erteilung eines Auftrags zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung
- den Auftragsverarbeiter, die bei diesen vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen,
- die Art der Daten, die im Auftrag verarbeitet werden sollen, und den Kreis der betroffenen Personen,
- die Aufgabe, zu deren Erfüllung die Verarbeitung der Daten im Auftrag erfolgen soll, sowie
- den Abschluss von etwaigen Unterauftragsverhältnissen
schriftlich oder elektronisch anzeigt.
Soll eine öffentliche Stelle mit der Verarbeitung von Sozialdaten beauftragt werden, hat diese rechtzeitig vor der Auftragserteilung die beabsichtigte Beauftragung ihrer Rechts- oder Fachaufsichtsbehörde schriftlich oder elektronisch anzuzeigen.
In § 80 Abs. 3 SGB X sind die Einzelheiten geregelt bei Auftragserteilung zur Verarbeitung von Sozialdaten durch nicht-öffentliche Stellen.
Eine solche Auftragserteilung ist nur zulässig, wenn beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder die übertragenen Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger besorgt werden können.
Dies gilt aber nicht, wenn Dienstleister in der Informationstechnik, deren absolute Mehrheit der Anteile oder deren absolute Mehrheit der Stimmen dem Bund oder den Ländern zusteht, mit vorheriger Genehmigung der obersten Dienstbehörde des Verantwortlichen beauftragt werden.
§ 80 Abs. 3 SGB X gilt nicht bei Verträgen über die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Die Verträge sind bei zu erwartenden oder bereits eingetretenen Störungen im Betriebsablauf unverzüglich der Rechts- oder Fachaufsichtsbehörde mitzuteilen.