Frage: Wir sind als Projektträger für Bundesministerien tätig. Ein Teil der Aufgaben umfasst die Verwendungsnachweisprüfung. In diesem Rahmen erhalten wir von den Zuwendungsempfängern - allerdings meistens von den Projektleitern (Universitätsprofessoren) - wissenschaftliche Schlussberichte. Dort wird der Projekterfolg und die erzielten Ergebnisse geschildert. Der Schlussbericht ist für die Öffentlichkeit und wird nach unserer Prüfung von uns an die TIB zur Veröffentlichung weitergeleitet. Es kann bei unserer Prüfung vorkommen, dass wir die Verwendung von personenbezogenen Daten feststellen, die nur mit Zustimmung des Betroffenen veröffentlicht werden dürfen.  Frage: inwieweit sind wir haftbar, wenn nicht zu veröffentlichene personenbezogene Daten (z.B. Daten zum Gehalt , Mutterschutz etc.) in einem Schlussbericht von uns weiter an die TIB zur Veröffentlichung geleitet werden? Wir lassen uns beim Upload des Berichtes vom Projektleiter (nicht vom Zuwendungsempfänger (Uni-Verwaltung) bestätigen, dass er der Veröffentlichung zustimmt. Wo liegen die Verantwortlichkeiten? Beim Autor, bei der Uni, bei uns?

Antwort: Sehr geehrter Fragesteller,  bei der Haftung und Verantwortung im Umgang mit personenbezogenen Daten ist zwischen öffentlichem, zivilem und ggf. Straf-Recht zu unterscheiden.  Zivilrechtlich sind Ansprüche aus einem Vertrag auszuschliessen, da Sie in keinem Vertragsverhältnis zu denen stehen, die die Daten Preisgegeben haben.   Andere Unterlassungsansprüche richten sich gegen den Verursacher- im übrigen gilt dies auch für das Verwaltungsrecht, wenn die Zahlungen in dem Kontext erfolgt sind ( dort: 'Störerhaftung' analog). Aus meiner Sicht ist ihre Aufgabe jedoch zwischengeschaltet: Weder erheben Sie die Daten, noch veröffentlichen Sie diese selber. Dazu schreiben Sie:  'Der Schlussbericht ist für die Öffentlichkeit und wird nach unserer Prüfung von uns an die TIB zur Veröffentlichung weitergeleitet.'  Die Haftung liegt bei dem Institut, welches die Veröffentlichung vorgenommen hat. Es haftet im Rahmen der Pressegesetze und im Rahmen des BGB- z.B. Persönlichkeitsrechtverletzung - so dass ein Betroffener sich an den wenden muss, der die Publikation öffentlich gemacht hat.   Somit kann es nur noch um die interne Haftung gehen. Auch hier habe ich keine Bedenken, denn die Erhebung und ordnungsgemäße Führung, somit auch strafrechtlich relevante Punkte, liegen alle bei den erhebenden Stellen(mag dies ihr Auftraggeber sein). Da sie keine Daten erheben, besteht diese Gefahr also nicht.   Allerdings verwenden Sie diese Daten, obwohl sie feststellen, dass sie zustimmungsbedürftig sind. Die einzige Pflicht, die ich hier für SIe sehe , ist , dass Sie nach a href="https://dejure.org/gesetze/BGB/242.html" target="_blank" class="djo_link" title="§ 242 BGB: Leistung nach Treu und Glauben">§§ 242/a> , a href="https://dejure.org/gesetze/BGB/311.html" target="_blank" class="djo_link" title="§ 311 BGB: Rechtsgeschäftliche und rechtsgeschäftsähnliche Schuldverhältnisse">311 BGB/a>  den Auftraggeber darüber unterrichten, dass Sie festgestellt haben, das man Ihnen zustimmungsbedürftige personenbezogene Daten übermittelt hat. Sollte das aber auf der Hand liegen, kann auch von einem Mitverschulden nach a href="https://dejure.org/gesetze/BGB/254.html" target="_blank" class="djo_link" title="§ 254 BGB: Mitverschulden">§ 254 BGB/a>  keine Rede sein, so dass ich keine Haftung und Verantwortung erkennen kann.  Ich hoffe, Ihre Frage verständlich beantwortet zu haben und bedanke mich für das entgegengebrachte Vertrauen. Bei Unklarheiten können Sie die kostenlose Nachfragefunktion benutzen.  Mit freundlichen Grüßen !--dejureok-->

Relevante Paragraphen: § 242, § 254, § 311