Jansen, SGB X § 78 Zweckbindung und Geheimhaltungspflich ... / 1 Allgemeines

Rz. 2

§ 78 enthält auch nach der Anpassung an die DSGVO eine Regelung zur Aufrechterhaltung des Sozialdatenschutzes bei Weitergabe an Dritte, die keine in § 35 SGB I genannten Stellen sind. Damit dient er in Form einer weiteren Beschränkung dem datenschutzrechtlichen Zweckbindungsprinzip, das seit 25.5.2018 zu den unmittelbar geltenden Grundsätzen der Verarbeitung personenbezogener Daten gehört (Art. 5 Abs. 1 Buchst. b DSGVO).

Dies gilt auch für die Verarbeitung besonderer Kategorien von Daten i. S. v. Art. 9 Abs. 1 DSGVO, für die auch ohne ausdrückliche Erwähnung in Art. 9 Abs. 2 DSGVO keine geringere Zweckbindung gilt (BT-Drs. 18/12611).

Die Vorschrift stellt sicher, dass befugt übermittelte Sozialdaten, auch wenn der Datenempfänger keine in § 35 SGB I genannte Stelle ist, nicht den umfassenden Schutz des Sozialgeheimnisses verlieren und auch dem Empfänger nicht zur freien Verfügung stehen. Dies wird durch zwei Beschränkungen erreicht: Die Datenempfänger sind zur Geheimhaltung verpflichtet und die befugt übermittelten Sozialdaten sind hinsichtlich der Verarbeitung (vgl. Art. 4 Nr. 2 DSGVO) zweckgebunden.

Unbefugt übermittelte Sozialdaten dürfen nicht verwendet werden (vgl. Rz. 8, 9).

Rz. 3

Bis zum 24.5.2018 regelte § 78 die Zweckbindung der Verarbeitung und Nutzung beim Empfänger und umfasste damit alle Phasen des Umganges mit Sozialdaten außer der Erhebung; die Begriffsbestimmungen waren abschließend in § 67 a. F. festgelegt.

Seit dem 25.5.2018 ergeben sich die Begriffsbestimmungen aus Art. 4 DSDGVO, ergänzt für den Sozialdatenschutz in § 67. Art. 4 Nr. 2 DSGVO bestimmt – nicht abschließend aufgelistet – als Vorgänge der Verarbeitung "das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung".

§ 78 regelte seit dem 25.5.2018 nur ausgewählte und konkret benannte Verarbeitungsvorgänge: die Speicherung, Veränderung, Nutzung, Übermittlung, Einschränkung der Verarbeitung und Löschung. Über Art. 5 Abs. 1 Buchst. b DSGVO (Rz. 2) galt aber auch für die weiteren Verarbeitungsvorgänge i. S. v. Art. 4 Nr. 2 DSGVO eine Zweckbindung (vgl. die Komm. zu § 35 SGB I, die Ausführungen zu Art. 5 DSGVO enthält).

Mit Art. 131 2. DSAnpUG-EU wurden die konkret benannten Verarbeitungsvorgänge wieder ersetzt durch das Wort "verarbeiten". Die Bestimmung regelt die Geheimhaltungspflicht und die Zweckbindung im Sozialdatenschutzrecht (sog. verlängerter Sozialdatenschutz). Da es sich nicht um eine Befugnisnorm handelt, wurde von einer Differenzierung der Teilschritte der Verarbeitung abgesehen und angenommen, dass durch die Verwendung des weiten Verarbeitungsbegriffs des Art. 4 Nr. 2 DSGVO die Zweckbindung umfassend für alle Formen der Datenverarbeitung rechtssicher erreicht wird (vgl. BR-Drs. 430/18 S. 491)

Rz. 4

Weder Art. 4 Nr. 2 DSGVO noch § 67 enthält eine Definition des Begriffs Übermittlung. Aus § 67d Abs. 1 lässt sich entnehmen, welche Vorgänge der Verarbeitung Übermittlungen i. S. d. SGB X sind. Danach trägt die übermittelnde Stelle die Verantwortung für die Zulässigkeit "der Bekanntgabe von Sozialdaten durch ihre Weitergabe an einen Dritten oder durch Einsichtnahme oder den Abruf eines Dritten von zur Einsicht oder zum Abruf bereitgehaltenen Daten". Näheres zu den Begriffsbestimmungen nach Art. 4 DSGVO und § 67 kann der Komm. zu § 67 entnommen werden.