Sozialdatenschutz / 3 Datenverarbeitung

3.1 Erhebung von Sozialdaten

Die Erhebung von Sozialdaten ist nur dann zulässig, wenn ihre Kenntnis zur Erfüllung einer Aufgabe der erhebenden Stelle nach dem Sozialgesetzbuch erforderlich ist. Sozialdaten sind grundsätzlich bei der betroffenen Person zu erheben. Dabei ist der Erhebungszweck ihr gegenüber anzugeben. Als Erhebung gilt auch die Entscheidung der betroffenen Person nach § 67f Abs. 1 Satz 1 Nr. 1 i. V. m. Abs. 4 Satz 2 SGB X oder ein ausdrückliches Ersuchen im Anwendungsbereich des § 77a SGB X. Bei Vorliegen der entsprechenden Voraussetzungen können sie allerdings auch ohne Mitwirkung der betroffenen Person erhoben werden.^[1]

[1] § 67a SGB X.

3.2 Speicherung/Veränderung/Nutzung/Übermittlung/Einschränkung der Verarbeitung/Löschung von Sozialdaten

Die Speicherung, Veränderung, Nutzung, Übermittlung, Einschränkung der Verarbeitung und Löschung von Sozialdaten durch die in § 35 SGB I genannten Stellen ist zulässig, soweit es gesetzliche Bestimmungen erlauben oder anordnen.^[1] Dies gilt auch für die besonderen Kategorien personenbezogener Daten i. S. d. Art. 9 Abs. 1 DSGVO.^[2] Die Übermittlung von biometrischen, genetischen oder Gesundheitsdaten ist nur zulässig, soweit eine gesetzliche Übermittlungsbefugnis, insbesondere nach den §§ 68 bis 77 SGB X, vorliegt.^[3]

[1] § 67b Abs. 1 Satz 1 SGB X.

[2] § 67b Abs. 1 Satz 2 SGB X.

[3] § 67b Abs. 1 Satz 3 SGB X.

3.3 Verarbeitung von Sozialdaten im Auftrag

§ 80 SGB X regelt die Verarbeitung von Sozialdaten im Auftrag. Die Vorschrift entspricht im Wesentlichen dem bisherigen Recht, ist aber redaktionell angepasst worden. Die Erteilung eines Auftrags zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung

• den Auftragsverarbeiter, die bei diesem vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen,
• die Art der Daten, die im Auftrag verarbeitet werden sollen, und den Kreis der betroffenen Personen,
• die Aufgabe, zu deren Erfüllung die Verarbeitung der Daten im Auftrag erfolgen soll, sowie
• den Abschluss von etwaigen Unterauftragsverhältnissen

schriftlich oder elektronisch anzeigt.^[1]

Soll eine öffentliche Stelle mit der Verarbeitung von Sozialdaten beauftragt werden, hat diese rechtzeitig vor der Auftragserteilung die beabsichtigte Beauftragung ihrer Rechts- oder Fachaufsichtsbehörde schriftlich oder elektronisch anzuzeigen.^[2]

In § 80 Abs. 3 SGB X sind die Einzelheiten geregelt bei Auftragserteilung zur Verarbeitung von Sozialdaten durch nicht-öffentliche Stellen.

Eine solche Auftragserteilung ist nur zulässig, wenn beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder die übertragenen Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger besorgt werden können.^[3]

Dies gilt aber nicht, wenn Dienstleister in der Informationstechnik, deren absolute Mehrheit der Anteile oder deren absolute Mehrheit der Stimmen dem Bund oder den Ländern zusteht, mit vorheriger Genehmigung der obersten Dienstbehörde des Verantwortlichen beauftragt werden.^[4]

§ 80 Abs. 3 SGB X gilt nicht bei Verträgen über die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Die Verträge sind bei zu erwartenden oder bereits eingetretenen Störungen im Betriebsablauf unverzüglich der Rechts- oder Fachaufsichtsbehörde mitzuteilen.^[5]

[1] § 80 Abs. 1 Satz 1 SGB X.

[2] § 80 Abs. 1 Satz 2 SGB X.

[3] § 80 Abs. 3 Satz 1 SGB X.

[4] § 80 Abs. 3 Satz 2 SGB X.

[5] § 80 Abs. 5 SGB X.