4.8.1  Datenverarbeitung im Auftrag oder Funktionsübertragung

Obgleich wir mehrfach Hinweise und Beispiele zur Abgrenzung der Datenverarbeitung im Auftrag von der Funktionsübertragung gegeben haben (vgl. JB 1993, 3.2; JB 1994, 3.3), stößt sie immer wieder auf Schwierigkeiten, die jedoch ausgeräumt werden müssen, weil von der richtigen rechtlichen Einordnung der Tätigkeiten ihre datenschutzrechtliche Zulässigkeit abhängt. Für öffentliche Stellen sollen folgende Abgrenzungshilfe gegeben werden:

Bei der Datenverarbeitung im Auftrag unterstützt der Auftragnehmer den Auftraggeber in einer oder mehreren Phasen der Datenverarbeitung und betreibt in vollständiger Abhängigkeit von ihm die Datenverarbeitung entsprechend seinen Weisungen bezüglich Art und Umfang. Für eine Auftragsdatenverarbeitung sprechen

• eine fehlende Entscheidungsbefugnis des Auftragnehmers über die Daten,
• der Umgang nur mit Daten, die der Auftraggeber zur Verfügung stellt,
• ein Auftragsschwerpunkt, der auf die praktisch-technische Durchführung einer Datenverarbeitung gerichtet ist, die nach außen der Auftraggeber vertritt,
• eine fehlende (vertragliche) Beziehung des Auftragnehmers zum Betroffenen.

Nimmt der Auftragnehmer dagegen mehr als diese "Hilfsfunktion" wahr, weil ihm neben der Datenverarbeitung für den Auftraggeber weitere Aufgaben oder Funktionen zur eigenständigen Erfüllung übertragen werden, ändert sich der datenschutzrechtliche Charakter der Rechtsbeziehung. Die dabei übermittelten Daten dienen dann nicht mehr dem Geschäftszweck, diese im Auftrag für den Auftraggeber gemäß seinen Weisungen zu verarbeiten, sondern dazu, daß der Auftragnehmer eine gewisse vertraglich geschuldete Leistung in eigener Verantwortlichkeit erarbeiten und erbringen möchte, zu deren Erfüllung er die übermittelten Daten benötigt. In diesem Fall wird dem Auftragnehmer eine ganze Aufgabe übertragen, die er eigenverantwortlich wahrnimmt, so daß hier ein Fall der Funktionsübertragung vorliegt. Daran ändert auch die Tatsache nichts, daß die Beteiligten weiterhin von "Auftragsverhältnis, Beauftragung" o.ä. sprechen. Der Begriff der Datenverarbeitung im Auftrag ist enger als der des Auftrags und nicht mit diesem zu verwechseln.

Eine Funktionsübertragung kann wiederum im Wege einer Delegation oder der Erteilung eines Mandats erfolgen:

Im Falle eines Mandats ändert sich die originäre Zuständigkeit nicht. Die beauftragte Stelle wird lediglich ermächtigt, im Namen des Auftraggebers für diesen nach außen zu handeln, etwa indem der Auftragnehmer unter dem Briefkopf des Auftraggebers tätig wird. Widerspruch und Klage sind unverändert gegen den Mandatsgeber zu richten. Zwar erfolgt hier de facto ein Wechsel in der (gesetzlich festgelegten) Zuständigkeit. Für die Erteilung eines Mandats ist jedoch eine gesetzliche Grundlage nicht erforderlich.

Im Fall der Delegation wird die Zuständigkeit für die gesamte Aufgabe auf eine andere Stelle übertragen, die nicht nur selbständig tätig wird, sondern auch im eigenen Namen entscheidet. Widerspruch und Klage richten sich gegen den "Delegationsempfänger", also diejenige Stelle, die im Rahmen der Delegation die neue Zuständigkeit erhalten hat. Da gesetzlich geregelte Zuständigkeiten nur durch Gesetz geändert werden können, bedarf die Delegation einer gesetzlichen Ermächtigung.

Wird zum Beispiel einer anderen Stelle nicht nur die Erstellung der Lohn- und Gehaltsabrechnung auf Grund der übergebenen Daten übertragen, sondern darüber hinaus die Aufgabe, in eigener Verantwortung die Errechnung der Löhne und Gehälter entsprechend den Tarifverträgen zu ermitteln, die erforderlichen Steuererklärungen zu erstellen oder die Löhne und Gehälter auszuzahlen, so handelt es sich um eine Funktionsübertragung. Entscheidet diese Stelle nach außen im eigenen Namen, so liegt der Unterfall der Delegation vor. Wird sie dagegen lediglich ermächtigt, im Namen der Lohn- und Gehaltsstelle für diese (unter deren Briefkopf) nach außen zu handeln, so hat eine Mandatsübertragung stattgefunden.

Für eine Funktionsübertragung in der einen oder anderen Form sprechen

• die Überlassung von Nutzungsrechten an herausgegebenen Daten,
• eine gewollte Dienstleistung, die über die praktisch-technische Datenverarbeitung hinausgeht (Personalverwaltung, Inkasso, Werbung, Kontenbearbeitung u.ä.),
• die fehlende Möglichkeit, auf einzelne Phasen der Verarbeitung oder Nutzung Einfluß zu nehmen (z.B. bei Umfragen, Bestelldienst, Kundenbetreuung, Vermittlung oder Datenbank-Recherchen),
• die auf den Auftragnehmer abgewälzte Verantwortlichkeit für die Zulässigkeit und Richtigkeit der Daten (siehe Haftungsregelungen im Vertrag),
• der Umgang mit Daten, die der Auftragnehmer von Dritten oder vom Betroffenen beschafft,
• die Kontaktaufnahme des Auftragnehmers mit dem Betroffenen.

Ergibt die Abgrenzung, daß die Tätigkeit der für die Erfüllung der Aufgabe eingeschalteten Stelle als Auftragsdatenverarbeitung anzusehen ist, so folgt daraus für den Auftraggeber, daß er "Herr der Daten" bleibt und für die Datenverarbeitung verantwortlich ist. Er gilt als datenverarbeitende Stelle im Sinne des § 4 Abs.3 Nr.1, 2 BlnDSG. Seine Pflichten ergeben sich aus § 3 Abs.1, 4 BlnDSG (vgl. auch § 11 Abs.1, 2 BDSG).

Der Auftragnehmer darf die Daten nur im Rahmen der Weisungen des Auftraggebers verarbeiten, d.h. die zur Datenverarbeitung überlassenen Daten nicht anderweitig verwenden und nicht länger aufbewahren, als der Auftraggeber bestimmt.

Auch wenn die Auftragsdatenverarbeitung für Auftraggeber und -nehmer eine Reihe von zusätzlichen Verpflichtungen (z.B. die vertragliche Ausgestaltung sowie die Unterrichtung nach § 3 Abs.4 BlnDSG) mit sich bringt, so hat diese rechtliche Einordnung auch erhebliche Vorteile. Durch die Bindung des Auftragnehmers an die Weisungen des Auftraggebers wird er quasi als rechtliche Einheit mit der speichernden Stelle betrachtet. Dies hat die Konsequenz, daß die Übertragung der personenbezogenen Daten an den Auftragnehmer zur Durchführung der weisungsgemäßen Aufgabe und die Rückführung an den Auftraggeber nicht als Datenübermittlung zu bewerten sind. Auch die übrigen Datenverarbeitungsschritte (§ 4 Abs.2 BlnDSG) werden datenschutzrechtlich aus der Sicht des Auftraggebers beurteilt, auch wenn sie tatsächlich durch den Auftragnehmer wahrgenommen werden.

Ergibt die Abgrenzung nach den genannten Kriterien, daß die öffentliche Stelle mehr als bloße Datenverarbeitungsschritte, nämlich eine gesamte Funktion übertragen hat, hängen die rechtlichen Konsequenzen davon ab, welcher der beiden Unterfälle einschlägig ist:
Ist ein Mandat erteilt worden, so stellt die Weitergabe von Daten zwischen Mandatsgeber und Mandatsnehmer nur eine interne, dem Zweckbindungserfordernis unterliegende Nutzung und keine Datenübermittlung dar, obgleich es sich beim Mandat um einen Unterfall der Funktionsübertragung handelt.

Demgegenüber sind bei der Delegation Datentransfers zwischen Auftraggeber und Auftragnehmer als Datenübermittlungen anzusehen. Der Auftragnehmer ist nicht Teil der datenverarbeitenden Stelle, sondern Dritter. Er hat alle Anforderungen, die die datenschutzrechtlichen Bestimmungen an die Verarbeitung personenbezogener Daten stellen, selbst zu erfüllen.

Die bei der Funktionsübertragung in Betracht kommenden Fallkonstellationen können wiederum relativ leicht voneinander abgegrenzt werden je nach dem, ob es sich um öffentliche, hoheitliche Aufgaben oder um öffentliche, nicht-hoheitliche Aufgaben oder um nicht-öffentliche Aufgaben (z.B. fiskalischer Art) handelt, und je nach dem, ob es hierbei jeweils um die Übertragung auf öffentliche oder aber auf nicht-öffentliche Stellen geht:

• Wird eine öffentliche, hoheitliche Aufgabe auf eine öffentliche Stelle übertragen, so wird - im Fall des Mandats - der Auftragnehmer Teil der auftraggebenden Stelle, die Weitergabe der Daten ist interne Nutzung, deren Zulässigkeit sich allein an dem in § 11 Abs.1 BlnDSG genannten Zweckbindungserfordernis orientiert. Ein Beispiel ist die Übertragung der Personalaktenführung einer öffentlichen Stelle auf eine andere öffentliche Stelle, wobei letztere als Auftragnehmerin ermächtigt ist, im Namen des Auftraggebers für diesen nach außen (etwa unter Nutzung des Briefkopfes des Auftraggebers) zu handeln. Liegt dagegen der Fall einer Delegation vor, entscheidet der Auftragnehmer selbständig. Die Weitergabe von Daten stellt eine Datenübermittlung dar, deren Zulässigkeit sich nach § 12 BlnDSG richtet. Ein Beispiel ist die Vollzugshilfe der Feuerwehr nach § 3 Abs.2 ASOG.
• Wird eine öffentliche, hoheitliche Aufgabe auf eine nicht-öffentliche Stelle übertragen, so kann es sich hierbei nur um den Unterfall der Delegation handeln, weil eine Mandatserteilung bei privaten Stellen nicht möglich ist. Voraussetzung für eine derartige Delegation ist die Beleihung, die nur durch oder auf Grund Gesetzes sowie nach Veröffentlichung des Beleihungsaktes erfolgen darf. Da Beliehene (z.B. Schornsteinfeger, Notare, amtlich beeidigte Sachverständige, Gerichtsvollzieher) immer als öffentliche Stellen gelten, richtet sich die Zulässigkeit des zwischen Auftragnehmer und Auftraggeber stattfindenden Datenaustauschs nach § 12 BlnDSG.
• Wird eine öffentliche, nicht-hoheitliche Aufgabe auf eine andere öffentliche Stelle übertragen, so gilt im Falle der Mandatserteilung dasselbe wie bei einer hoheitlichen Aufgabe. Als (frei erfundenes) Beispiel mag hier die Ausrichtung eines Empfangs durch das Protokoll einer öffentlichen Verwaltung unter dem Briefkopf der anderen (beauftragenden) Verwaltung dienen. Wird der Empfang dagegen unter dem eigenen Briefkopf des Auftragnehmers durchgeführt, so handelt es sich um den Unterfall der Delegation, die (im Gegensatz zur Beleihung) auch ohne gesetzliche Ermächtigung durch Vertrag möglich ist. Datentransfers zwischen den beiden beteiligten Stellen erfolgen innerhalb des öffentlichen Bereichs, so daß die Zulässigkeit der Datenübermittlung nach § 12 BlnDSG zu beurteilen ist.
• Wird eine öffentliche, nicht-hoheitliche Aufgabe auf eine nicht-öffentliche Stelle übertragen, so ist auch hier eine Mandatserteilung nicht möglich. Der Fall der Delegation, die mangels Beleihungserfordernisses keiner gesetzlichen Ermächtigung bedarf, trägt die Besonderheit, daß die beauftragte nicht-öffentliche Stelle wie eine öffentliche Stelle behandelt wird, weil sie Aufgaben der öffentlichen Verwaltung wahrnimmt (§ 2 Abs.1 Satz 2 BlnDSG). Die hieraus zu ziehende wichtige Konsequenz ist, daß Datentransfers zwischen Auftragnehmer und Auftraggeber innerhalb des öffentlichen Bereichs stattfinden, so daß sich die Zulässigkeit der Datenübermittlung nach § 12 (und nicht nach § 13) BlnDSG richtet. Dieses Ergebnis ist sachgerecht, weil somit in den Fällen der Funktionsübertragung, die zumeist eine zweckgleiche Datenverarbeitung beinhaltet, die Rechtmäßigkeit der Datenübermittlung auf Grund von § 12 Abs.1 Satz 2 BlnDSG (zweckgleiche Datenübermittlung im öffentlichen Bereich) an dem dort genannten (weniger strengen) Kriterium der Erforderlichkeit gemessen werden kann (ohne etwa für den Datenaustausch eine Rechtsgrundlage fordern zu müssen). Unter diese Fallkonstellation fallen z.B. die mit der Reform der öffentlichen Verwaltung beauftragten Management-Firmen.
• Wird eine nicht-öffentliche Aufgabe (z.B. fiskalischer Art) auf eine öffentliche Stelle übertragen, so kann dies im Wege des Mandats erfolgen, so z.B. wenn das Landesverwaltungsamt Diensträume einer anderen öffentlichen Verwaltung unter deren Briefkopf bewirtschaftet. Erfolgt die Bewirtschaftung hingegen unter dem Briefkopf des Landesverwaltungsamts, so handelt es sich um den Fall der Delegation, die keiner gesetzlichen Grundlage bedarf und bei der eine zwischen Auftraggeber und Auftragnehmer stattfindende Datenübermittlung nach § 12 BlnDSG zu beurteilen ist.
• Wird die nicht-öffentliche Aufgabe dagegen auf eine nicht-öffentliche Stelle übertragen, so kann dies wiederum (mangels Zulässigkeit der Mandatserteilung) nur im Wege der Delegation erfolgen. Als Besonderheit gegenüber den anderen Fallkonstellationen ist der Umstand hervorzuheben, daß wegen der Übertragung einer nicht-öffentlichen Aufgabe die private Stelle nicht als öffentliche Stelle im Sinne des § 2 Abs.1 Satz 2 BlnDSG anzusehen ist. Es handelt sich also um eine Datenübermittlung an eine Stelle außerhalb des öffentlichen Bereichs, so daß die Zulässigkeit nach § 13 (und nicht nach § 12) BlnDSG zu beurteilen ist. Typisches Beispiel hierfür ist die von beauftragten Privatunternehmen durchzuführende Inkassotätigkeit. Die Zulässigkeit der von diesen Unternehmen durchzuführenden Datenverarbeitungsschritte beurteilt sich ihrerseits nach den Bestimmungen des (für den Privatbereich geltenden) BDSG.

4.8.2 Defekte Speichermedien

Ein bezirkliches Krankenhaus teilte uns mit, daß eine voll bespielte optische Speicherplatte (WORM) seines elektronischen Krankengeschichtenarchivs wegen eines Defekts nicht mehr lesbar sei. Die Lieferfirma, die das System technisch auch betreute, hatte erklärt, daß die defekte WORM nur beim Hersteller in den USA wieder lesbar gemacht werden kann.

Eine Lesbarmachung der defekten WORM beim Hersteller in den USA wäre daher nur zulässig, wenn die WORM durch einen der ärztlichen Schweigepflicht unterliegenden Mitarbeiter des Krankenhauses (das kann auch ein IT-Fachmann sein, der als ärztlicher Erfüllungsgehilfe gelten kann) in die USA transportiert wird, dort die Reparatur oder Datenrekonstruktion der WORM unter Kontrolle dieses Mitarbeiters erfolgt und dann von ihm wieder nach Berlin gebracht wird. Diese Lösung setzt voraus, daß die realen Kontrollmöglichkeiten vorab auf Wirksamkeit geprüft und mit dem Hersteller abgestimmt werden.

Eine solche Lösung ist natürlich wenig praktikabel und zu aufwendig. Wir haben daher empfohlen, die defekte WORM physisch zu zerstören und den Datenbestand auf einer neuen WORM erneut aufzubauen. Dieses war möglich, weil die gescannten Daten auf anderen Datenträgern gesichert worden waren. Anderenfalls wäre ein erneutes Einscannen der in Papierform noch vorliegenden Krankengeschichten erforderlich gewesen.

Ein anderes Bezirksamt sah berechtigterweise die Gefahr, daß Computerhardware, die personenbezogene Daten enthält, an Firmen unter Umständen zwecks Fehlersuche oder Fehlerbehebung herausgegeben werden müsse, und erarbeitete eine Mustervereinbarung zur Einhaltung der datenschutzrechtlichen Vorschriften in solchen Fällen.

• wenn die Festplatte während der Garantiezeit defekt wird oder
• wenn der Defekt in einem System auftritt, dessen Gehäuse nur durch den Hersteller oder dessen Beauftragte geöffnet werden kann und für das kein Vor-Ort-Service angeboten wird.

Ansonsten gehen wir von folgendem aus:

• Die Lokalisierung des defekten Bauteils in einem System ist einem Servicetechniker stets vor Ort möglich.
• Die Reparatur defekter Bauteile ist in der Regel unökonomisch im Vergleich zum Austausch. Der Austausch defekter Teile erfolgt vor Ort, auch um die Beschränkung der Systemverfügbarkeit zu minimieren.
• Die Festplatte ist die einzige fest eingebaute Hardwarekomponente, die nach Unter-brechung der Stromversorgung noch schutzbedürftige Daten enthalten kann. Aus diesem Grunde tritt das zu behandelnde datenschutzrechtliche Risiko nur für dieses Bauteil auf.
• Auch eine defekte Festplatte wird nur ausgetauscht. Für den Fall, daß keine Garantieaspekte mehr berührt werden, kann die defekte Festplatte vernichtet werden. Die Rekonstruktion der auf ihr enthaltenden Daten erfolgt über die Datensicherung. Der Fall, daß diese grob fahrlässig unterlassen worden ist, soll außer Betracht gelassen werden.

Der Anwendungsfall für den vorgelegten Muster-Vereinbarungsentwurf ist daher auf die Fehlerursachenforschung bei Festplatten im Garantiefall beschränkt. Auf jeden Fall hat die Firma ausführlich die Gründe darzustellen, weshalb die Fehlersuche und -behebung nicht vor Ort erfolgen kann und weshalb eine Mitnahme der Hardware und der Datenbestände zur Auftragserfüllung unabdingbar ist. Damit nicht aus Bequemlichkeit oder aus der Fehleinschätzung des Begehrens der Firma eine unnötige Gefährdung der Vertraulichkeit der gespeicherten Daten möglich ist, haben wir dem Bezirksamt empfohlen, uns von jedem Einzelfall, in dem die Herausgabe von Hardware mit personenbezogenen Daten erfolgen soll, einschließlich dieser Begründung zu unterrichten. Diese Empfehlung erstreckt sich auch auf alle anderen privaten und öffentlichen datenverarbeitenden Stellen des Landes, wenn Unsicherheit darüber besteht, wie man sich in solchen Fällen verhalten sollte.

Die externe Fehlersuche und -behebung ist Auftragsdatenverarbeitung, für die im öffentlichen Bereich des Landes § 3 Abs.1 und 4 BlnDSG anzuwenden sind. Dies bedeutet, daß für die Tätigkeiten das Berliner Datenschutzgesetz vertraglich auch auf den privaten Auftragnehmer zu erstrecken ist, die Kontrollkompetenz des Berliner Datenschutzbeauftragten mit seinen Befugnissen für die öffentlichen Stellen des Landes vertraglich abgesichert und bestimmte Meldepflichten erfüllt werden müssen. Soweit für die Daten sogar Offenbarungsverbote vorliegen und Datenverarbeitung im Auftrag nicht spezialrechtlich geregelt ist, ist die Herausgabe von Festplatten mit personenbezogenen Daten gänzlich unzulässig (z.B. im Geltungsbereich der ärztlichen Schweigepflicht).

Ein anderes Bezirksamt lieferte eine Woche später einen konkreten Anwendungsfall:

Der behördliche Datenschutzbeauftragte bat uns um Rat, weil die Festplatte eines Personal Computers, der den vollständigen Datenbestand eines Amtes in der Abteilung Sozialwesen enthielt, beschädigt war. Die Wartungsfirma hatte eine neue Festplatte eingebaut, der Sicherungsbestand war eingespielt worden, die defekte Festplatte mit den Sozialdaten sollte jedoch zum Nachweis des Garantiefalls an die Herstellerfirma geschickt werden.

• Da zumindest der Hersteller in der Lage sein dürfte, den Datenbestand trotz des Defekts sichtbar zu machen, kommt eine Herausgabe der defekten Festplatte an diesen nur dann in Betracht, wenn die Daten verschlüsselt sind.
• Wenn die Rekonstruierbarkeit der Daten nicht ausgeschlossen werden kann, käme es mit der Übersendung der Festplatte an den Hersteller, u.U. sogar ins Ausland, zu einer Offenbarung von Sozialdaten, für die eine Rechtsgrundlage nicht erkennbar ist.
• Wollte man - was in Zweifel zu ziehen ist - die Bereitstellung der Festplatte zum Nachweis eines der Gewährleistung unterliegenden Defekts wie auch Wartung und Fernwartung als Datenverarbeitung im Auftrag ansehen, wären die beiden Voraussetzungen des § 80 Abs.5 SGB X zu prüfen, wonach eine Störung des Betriebsablaufes zu befürchten sein muß oder die Arbeit erheblich kostengünstiger im Auftrag erledigt werden kann und der größte Teil des Datenbestandes in der öffentlichen Stelle verbleibt. Beide Voraussetzungen waren eindeutig nicht gegeben.

Wir konnten also nur empfehlen, in Zukunft Wartungsverträge zu schließen bzw. Garantiebedingungen mit den Vertragspartnern abzusprechen, die einen datenschutzgerechteren Weg zur Inanspruchnahme der Gewährleistung zulassen.

In diesem Falle empfehlen wir, die defekte Festplatte unter Verzicht auf die Gewährleistung zu vernichten, was angesichts heutiger Hardwarepreise für Zubehör von Standard-PCs im Verhältnis zu den Risiken für die Vertraulichkeit der Sozialdaten auch angemessen ist.

Eine Petentin suchte uns auf und übergab uns vier etikettierte und beschriebene Disketten, die sie bei einem Technikdiscounter als Leerdisketten erstanden hatte. Die Disketten enthielten sensible personenbezogene Daten und weitere als Betriebsgeheimnisse einer Baufirma anzusehende Informationen.

Es stellte sich heraus, daß dieser bei dem Discounter einige Zeit zuvor einen PC gekauft hatte, der bald darauf einen möglicherweise durch Virenbefall bewirkten Defekt aufwies, so daß die Festplatte nicht mehr gelesen werden konnte. Der Computerbesitzer reklamierte den Defekt beim Discounter, der dem besonders guten Kunden einen Gefallen tun wollte, indem er den Computer nicht wie üblich an die Service-Zentrale sandte, sondern versuchte, den Schaden sofort zu beheben. Der Kunde erhielt im Rahmen des Garantieaustausches einen neuen Rechner. Die Festplatte des defekten PCs konnte aktiviert und die sicherzustellenden Daten auf den neuen Rechner übertragen werden. Außerdem sollten die Daten auf Sicherungsdisketten überspielt werden und diese dem Kunden zusätzlich ausgehändigt werden, was versehentlich allerdings nicht geschah. Als dieses beanstandet wurde, waren die bespielten Disketten beim Discounter trotz intensiver Nachforschungen auch nicht mehr auffindbar. Wie dann die Disketten in die für den Verkauf bestimmten Schachteln gekommen sind, war nicht mehr nachvollziehbar.

Der Fall zeigt, daß beim Umgang mit bespielten Disketten besondere Sorgfalt geboten ist. Zu empfehlen ist, daß man grundsätzlich bespielte Disketten nicht mehr in den Originalverpackungen aufbewahren sollte. Dies gilt nicht nur in diesem Sonderfall. Auch sonst empfiehlt es sich, dafür zu sorgen, daß Neudisketten und bespielte Disketten nicht durcheinandergebracht werden.