Jansen, SGB X § 67 Begriffsbestimmungen / 2.2.2.7 Offenlegung

Rz. 30

Art. 4 Nr. 2 DSGVO führt zum 25.5.2018 den neuen Begriff der Offenlegung ein. Art. 4 Nr. 2 DSGVO definiert den Begriff Offenlegung zwar nicht, erläutert ihn aber durch beispielhafte Auflistung verschiedener Arten von Offenlegung. Konkret und abschließend werden benannt die Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung.

Der Begriff Offenlegung ist damit weiter gefasst als der bisher im deutschen Datenschutzrecht verwendete und definierte Begriff der Übermittlung. Die Offenlegung ist als Auffangtatbestand für jede Art der Verbreitung und der Übermittlung von Daten zu verstehen.

Rz. 31

Im deutschen Datenschutzrecht wird auch nach der Anpassung des BDSG und der Vorschriften im SGB an die DSGVO zum 25.5.2018 weiter der Begriff Übermittlung verwendet, da aufgrund des sehr weiten Verständnisses des Begriffes Offenlegung die Reichweite und Folgen der Zulassung einer Offenlegung von Sozialdaten nicht absehbar waren.

Eine Begriffsanpassung, also die Übermittlung durch Offenlegung zu ersetzen, war auch nicht zwingend erforderlich, da nach der DSGVO die Übermittlung einen eigenständigen Regelungsbereich hat. So enthalten z. B. Art. 44 DSGVO (Allgemeine Grundsätze zur Datenübermittlung) und Art. 45 DSGVO (Datenübermittlung auf Grundlage eines Angemessenheitsbeschlusses) Regelungen ausschließlich in Bezug auf Übermittlungen. In Art. 48 DSGVO (Nach dem Unionsrecht nicht zulässige Übermittlung oder Offenlegung) werden beiden Formen der Verarbeitung – Übermittlung und Offenlegung – im Alternativverhältnis verwendet. Art. 14 DSGVO (Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden) dagegen erhebt Forderungen, "falls die Offenlegung an einen anderen Empfänger beabsichtigt ist" (Abs. 3 Buchst. c).

2.2.2.7.1 Übermittlung

Rz. 32

Der Begriff Übermittlung spielt im SGB X eine zentrale Rolle.

Bis 24.5.2018 definierte § 67 Abs. 6 Nr. 3 SGB X a. F. Übermitteln als das Bekanntgeben gespeicherter oder durch Datenverarbeitung gewonnener Sozialdaten an einen Dritten in der Weise, dass

• die Daten an den Dritten weitergegeben werden oder
• der Dritte zur Einsicht oder zum Abruf bereitgehaltene Daten einsieht oder abruft;
• Übermitteln im Sinne dieses Gesetzbuches auch das Bekanntgeben nicht gespeicherter Sozialdaten ist;
• das Senden von Sozialdaten durch eine De-Mail-Nachricht an die jeweiligen akkreditierten Diensteanbieter – zur kurzfristigen automatisierten Entschlüsselung zum Zweck der Überprüfung auf Schadsoftware und zum Zweck der Weiterleitung an den Adressaten der De-Mail-Nachricht – keine Übermittlung darstellt.

Rz. 33

Seit dem 25.5.2018 enthält weder Art. 4 Nr. 2 DSGVO noch § 67 eine Definition des Begriffs der Übermittlung. Aus § 67d Abs. 1 ist jedoch zu entnehmen, welche Vorgänge der Verarbeitung Übermittlung i. S. d. SGB X sind. Danach trägt die übermittelnde Stelle die Verantwortung für die Zulässigkeit "der Bekanntgabe von Sozialdaten durch ihre Weitergabe an einen Dritten oder durch Einsichtnahme oder den Abruf eines Dritten von zur Einsicht oder zum Abruf bereitgehaltenen Daten".

Die Übermittlung erfolgt also entweder

• durch Weitergabe an den Dritten oder
• durch Einsichtnahme oder Abruf von bereitgehaltenen Daten.

Dies entspricht im Wesentlichen der früheren Definition in § 67 Abs. 6 SGB X a. F. (vgl. Rz. 32). Zur Definition von Abruf vgl. den Hinweis in Rz. 26.

Rz. 34

Die Voraussetzungen, unter denen die Übermittlung von Sozialdaten zulässig ist, sind abschließend in § 67b und §§ 67d bis 78 geregelt.

2.2.2.7.2 Verbreitung oder andere Form der Bereitstellung

Rz. 35

Eine Offenlegung i. S. v. Art. 4 Nr. 2 DSGVO kann auch in Form von Verbreitung oder sonstiger Bereitstellung von Daten erfolgen. Beide Begriffe sind weder in der DSGVO noch im SGB X definiert.

Rz. 36

Die Verbreitung kommt an keiner anderen Stelle der DSGVO vor; lediglich in EG 49 der DSGVO wird von der Verhinderung der "Verbreitung schädlicher Programmcodes" gesprochen. Allgemein wird darunter auch Bekanntmachung, Publikation, Übertragung, Veröffentlichung, Weitergabe, Wiedergabe verstanden.

Rz. 37

Der Begriff Bereitstellung kommt an mehreren Stellen in der DSGVO vor; insbesondere Art. 70 DSGVO (Aufgaben des Ausschusses) enthält mehrfach die "Bereitstellung von Leitlinien, Empfehlungen".

Auch im Zusammenhang mit den Informationspflichten bei der Datenerhebung enthalten die Art. 12 und 13 DSGVO Vorgaben zur Bereitstellung von Informationen. Laut EG 60 der DSGVO könnten die betreffenden Informationen "in Kombination mit standardisierten Bildsymbolen bereitgestellt werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln".

Noch deutlicher erläutert EG 58 der DSGVO, was eine andere Form der Bereitstellung sein kann. Der Grundsatz der Transparenz setzt danach voraus, "dass eine für die Öffentlichkeit oder die betroffene Person bestimmte Information präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst ist und ...