Source: https://www.datenschutzbeauftragter-info.de/und-nochmal-wenn-fachleute-von-ihrer-taetigkeit-keine-ahnung-haben/
Timestamp: 2017-02-25 04:59:10
Document Index: 165026839

Matched Legal Cases: ['§ 161', '§ 3', '§ 3', '§ 12', '§ 203', '§ 4', '§ 161', 'Art. 2', 'Art. 1', '§ 161', '§ 161', '§ 4', '§ 28', '§ 28', '§ 28', '§ 161', '§ 161', '§ 4', 'in dubio']

10. November 2011|	6 Kommentare
Von Dr. Datenschutz	Fachbeitrag	Wieder hat uns ein Fall von „Wenn Fachleute von ihrer Tätigkeit keine Ahnung haben …“ erreicht, der verdeutlicht, dass der umfassende Datenschutz und insbesondere zumindest schon einmal die Kenntnis hierüber – so als Grundvoraussetzung – bedauerlicherweise immer noch nur ein bloßer Traum ist.
Anders als im letzten Fall hat sich nun aber eine staatliche Behörde die Ehre gegeben, mit Unkenntnis (offenbar nicht nur im Datenschutz) zu glänzen. Aber wieso sollte sich auch der Staat an seine eigene Vorgaben halten?
So wurde kürzlich eine private Einrichtung, die medizinische Leistungen erbringt und daher mit sensiblen Daten umgeht, zunächst telefonisch von einer nordrhein-westfälischen Polizeibehörde gebeten, Anschrift und Geburtsdatum einer ehemaligen Patientin zu übermitteln, gegen die wegen eines mutmaßlich leichten Vermögensdelikts ermittelt wurde. Der Name der beschuldigten Person war der Polizei durchaus bekannt, so dass Unverständnis darüber bestand, weshalb die Polizeibehörde nicht einfach eine Einwohnermeldeamtsauskunft einholte. Das hätte wohl Arbeit bedeutet. Dem Schreiben der Polizeibehörde war zudem nicht zu entnehmen gewesen, ob sie von einer Auskunftspflicht oder einer sog. freiwilligen Drittauskunft ausging.
Die private Einrichtung nahm nicht auf die telefonische Anfrage, sondern erst auf ein Schreiben der Polizeibehörde durch ihren externen betrieblichen Datenschutzbeauftragten – der explizit in dieser Eigenschaft das Schreiben beantwortete – in der Form Stellung, dass die Einrichtung staatliche Stellen im Rahmen der Zulässigkeit bestmöglich unterstütze, datenschutzrechtlich aber zumindest einer summarischen Prüfungspflicht unterliege, die ergeben hatte, dass weder eine Rechtsgrundlage ersichtlich noch ein Einverständnis der ehemaligen Patientin belegt war, um eine Datenweitergabe ohne Verstoß gegen geltendes Datenschutzrecht vorzunehmen. Die Stellungnahme enthielt eine umfassende Begründung des Prüfungsergebnisses und stellte der Polizeibehörde anheim, ihr Auskunftsersuchen, insbesondere im Hinblick auf die Rechtsgrundlage für eine Datenübermittlung zu konkretisieren, um die Angelegenheit erneut prüfen zu können.
Wochen später meldete sich nicht die Polizeibehörde, sondern ließ sich die Staatsanwaltschaft herab, den externen betrieblichen Datenschutzbeauftragten – nicht einmal personalisiert – ersichtlich formlos anzuschreiben und Bekanntgabe der „Personaldaten“ der Beschuldigten zu fordern. Hierbei bezog sich die Staatsanwaltschaft nun auf die §§ 161, 161 a StPO und ließ sich nicht nehmen, weitere strafprozessuale Maßnahmen anzudrohen. Weitere Hinweise enthielt das Schreiben nicht.
Da sich der externe betriebliche Datenschutzbeauftragte persönlich weder in der tatsächlichen Lage noch in der Pflicht befand, „Personaldaten“ herauszugeben, rief er die zuständige Staatsanwaltschaft an, um – nach andauerndem lautstarken und unqualifizierten sowie drohenden – Äußerungen wie „wir bekommen die Daten auf jeden Fall!“ der Staatsanwaltsvertreterin zu erklären, dass die Einrichtung die verantwortliche Stelle und daher richtiger Adressat sei und die Eigenschaft als externer betrieblicher Datenschutzbeauftragter nicht zu einer Bevollmächtigung und Vertretung für die Einrichtung führe. Nochmals wurde auch darauf hingewiesen, dass die Einrichtung medizinischen Personal beschäftigte, dass eventuell einer Schweigepflicht unterliegen könnte.
Nun ist das Vorgehen der hier in Aktion befindlichen staatlichen Behörden aus verschiedenen Gründen problematisch. Die folgenden Punkte sollen im Umgang mit derartigen Begegnungen sensibilisieren:
1. Telefonische Datenerhebung
Bereits das telefonische Auskunftsersuchen der Polizeibehörde zu einer Anschrift und einem Geburtsdatum stellt eine Form der Erhebung (vgl. § 3 Abs. 3 BDSG) personenbezogener Daten und für denjenigen, der die Daten herausgeben soll, eine Datenübermittlung (vg. § 3 Abs. 4 Nr. § BDSG) dar . Die Gefahr bei einem telefonischen Auskunftsersuchen ist jedoch, dass für denjenigen, der Daten bekannt geben soll, unbekannt ist, ob der Anrufer tatsächlich berechtigt ist, die Daten zu empfangen.
Daher sollte in jedem Fall davon abgesehen werden, telefonische Auskünfte zu erteilen, um Datenschutzverstöße und entsprechende Sanktionen wie erhebliche Bußgelder oder bei vorsätzlichen Datenschutzverstößen ggf. auch Freiheitsstrafen, ganz abgesehen von Imageschäden für ein Unternehmen zu vermeiden. Im Fall einer telefonischen Anfrage sollte also immer ein schriftliches Auskunftsersuchen erbeten werden.
2. Schriftliche Datenerhebung
Das Schreiben der Polizeibehörde stellte ein Auskunftsersuchen dar, mittels dessen bei einer nicht-öffentlichen Stelle entweder eine Drittauskunft (bei bestehender Auskunftspflicht) oder eine freiwillige Auskunft begehrt werden kann. Da im geschilderten Fall eine nordrhein-westfälische Polizeibehörde um Auskunft ersuchte, gilt gemäß § 12 Abs. 3 Datenschutzgesetz Nordrhein-Westfalen. Hiernach muss bei Bestehen einer Auskunftspflicht von der ersuchenden Stelle auf diese und sonst auf die Freiwilligkeit der Auskunft hingewiesen werden. Dies gilt übrigens auch für eine telefonische Datenerhebung.
Die freiwillige Auskunft wiederum stellt sich bei Bestehen einer Pflicht zur Verschwiegenheit z.B. bei Ärzten, Rechtsanwälten (vgl. § 203 StGB) als problematisch dar. Denn bei freiwilliger Auskunft liegt zugleich eine Verletzung der Pflicht zur Verschwiegenheit vor und kann nicht unerhebliche Haftungsansprüche des Betroffenen (z.B. Unterlassungsansprüche) einerseits und eine Geld- oder Haftstrafe andererseits nach sich ziehen.
Die private Einrichtung war um Mitteilung der Anschrift und des Geburtsdatums, also personenbezogener Daten einer ehemaligen Patientin ersucht worden. Bei einer solchen Mitteilung handelt es sich um eine Datenweitergabe im Sinne des BDSG. Die Übermittlung als Form der Verarbeitung personenbezogener Daten ist wiederum nur zulässig, soweit das BDSG oder eine andere Rechtsvorschrift dies erlaubt oder der Betroffene eingewilligt hat (vgl. § 4 Abs. 1 BDSG = Verbot mit Erlaubnisvorbehalt).
Eine Einwilligung der ehemaligen Patientin als Betroffene lag nicht vor und war auch seitens der Polizeibehörde nicht belegt worden.
Ebenso wenig war von der Polizeibehörde eine Rechtsgrundlage benannt worden, so dass die Einrichtung berechtigt von der freiwilligen Auskunft Abstand genommen hatte, zumal sie als Leistungserbringer von medizinischen Leistungen zur besonderen Sensibilität im Umgang mit Patientendaten verpflichtet war.
a. Strafprozessordnung
Die Staatsanwaltschaft hatte sich später auf die §§ 161 und 161 a StPO als Rechtsgrundlage berufen. Fraglich ist, ob diese tatsächlich als Rechtsgrundlage für den Eingriff in das Grundrecht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 und Art. 1 Abs. 1 Grundgesetz) des Betroffenen ausreicht.
§ 161 StPO bezieht sich dem Wortlaut nach zunächst nur auf Auskunftsverlangen gegenüber Behörden, nicht aber gegenüber nicht-öffentlichen Stellen. Ggf. kann aufgrund des Wortlautes „Ermittlungen jeder Art“ in § 161 Abs. 1 Satz 1 StPO aber auch ausgelegt werden, dass dies gegenüber privaten Unternehmen gleichermaßen gilt. Allerdings ist die Vorschrift sehr unbestimmt und es gibt deshalb einige Stimmen, nach denen die Vorschrift mit Blick auf den intensiven Grundrechtseingriff nicht als Rechtsgrundlage im Sinne des § 4 Abs. 1 BDSG ausreicht.
b. Bundesdatenschutzgesetz
Mangels bereichsspezifischer Sondervorschriften muss aber Abs. 2 Nr. 2 b) des § 28 BDSG (Übermittlung der Daten zu Zwecken der Strafverfolgung) als mögliche Rechtsgrundlage zur Datenübermittlung geprüft werden. Hiernach müsste die Übermittlung der personenbezogenen Daten für die Verfolgung von Straftaten erforderlich sein und kein Grund zur Annahme bestehen, dass der Betroffene ein schutzwürdiges Interesse am Ausschluss der Übermittlung hat.
Ob die Datenübermittlung für die Strafverfolgung objektiv erforderlich ist, kann die Einrichtung und jedes andere Unternehmen als Adressatin in der Praxis mangels Information über den Ermittlungsstand so gut wie nicht überprüfen. Im geschilderten Fall konnte die Einrichtung schon nicht von der Erforderlichkeit der Datenübermittlung ausgehen, weil mittels des Namens eine Einwohnermeldeamtsauskunft möglich gewesen wäre und keine Information darüber erfolgte, ob eine solche durchgeführt und nicht erfolgreich war.
Nur Befugnis – keine Anordnung
§ 28 Abs. 2 Nr. 2 b) BDSG ordnet aber keine Übermittlung an, sondern normiert lediglich eine Befugnis. Allerdings droht bei Verweigerung der Auskunft eine förmliche Vorladung oder eine Beschlagnahme. Insoweit besteht regelmäßig ein faktischer Zwang.
Zu berücksichtigen ist zudem, dass aus Beschlagnahmen von Unterlagen auch Zufallsfunde resultieren und eventuell gegen das Unternehmen verwendet werden können.
6. Anforderungen an das Auskunftsersuchen
Ein Auskunftsersuchen sollte anders als die behördliche Korrespondenz im geschilderten Fall zudem Ausführungen zum Zwecke der Anfrage und zur weiteren Verwendung der Daten enthalten.
Soweit der um Auskunft Ersuchte einer Pflicht zur Verschwiegenheit unterliegt, muss er zudem auf ein mögliches Zeugnisverweigerungsrecht hingewiesen werden.
All die Voraussetzungen erfüllten weder das Schreiben der Polizeibehörde noch das Schreiben der Staatsanwaltschaft, die sich die Stellungnahme offensichtlich nicht einmal durchgelesen hatte und meinte in Unkenntnis von Datenschutz, der externe betriebliche Datenschutzbeauftragte sei nun eine Art Bevollmächtigter und rechtliche Vertretung für die private Einrichtung.
Veröffentlicht am: 10. November 2011	|
Kategorie: Fachbeitrag	Tags: Auskunft, Auskunftspflicht, Beschlagnahmung, Datenerhebung, Datenübermittlung, Datenweitergabe, informationelle Selbstbestimmung, Patientendaten, Staatsanwaltschaft	Sie haben Fragen?
6 Kommentare zu diesem Beitrag	Wie ist der Fall ausgegangen?
Aynur am 10. November 2011, 22:22 Uhr	Antworten	Noch ist der Fall nicht ausgegangen. Wir werden aber sicherlich berichten…
Dr. Datenschutz am 11. November 2011, 16:10 Uhr	Antworten	Bei Krankenhäusern, Pflegeheimen oder sonstigen Einrichtungen, die der Betreuung pflegebedürftiger oder behinderter Menschen oder der Heimerziehung dienen greift § 28 Meldegesetz NRW. Danach mussen die vorgenannten Einrichtungen ein Verzeichnis führen, in dem
1. Tag der Aufnahme und den der Entlassung,
4. gebräuchlichen Vornamen (Rufnamen),
5. Tag und den Ort der Geburt,
6. Staatsangehörigkeiten,
7. Familienstand und
des Aufgenommenen dokumentiert sind.
Den Meldebehörde, der Polizei und den Staatsanwaltschaften ist hieraus Auskunft zu erteilen, wenn dies nach ihrer Feststellung zu Abwehr einer erheblichen und gegenwärtigen Gefahr, zur Verfolgung von Straftaten oder zur Aufklärung des Schicksals von Vermissten und Unfallopfern im Einzelfall erforderlich ist.
Ob die Regelung im vorliegenden Fall einschlägig ist, kann man natürlich nur bei genauer Kenntnis des Sachverhaltes beurteilt werden (insbesondere stellt sich die Frage, welche Qualität die verfolgte Straftat haben muss). Da sie aber vielen nicht bekannt ist (ebenso wie die anderen Datenübermittlungsbefugnisse, die sich aus den Meldegesetzen ergeben), ist eine Erwähnung nicht schädlich.
S. Ertel am 21. November 2011, 11:21 Uhr	Antworten	Vielen Dank für den Hinweis. Für die genannten Einrichtungen gelten in der Tat die Regelungen der Meldegesetze der jeweiligen Länder, nach denen der Polizei und der Staatsanwaltschaft bei Vorliegen der Voraussetzungen Auskunft über die im Verzeichnis enthaltenen Daten zu erteilen ist.
Dr. Datenschutz am 21. November 2011, 15:05 Uhr	Antworten	Hallo Herr Datenschutz!
Ich schreibe das hier nur mal schnell auf, weil mich das so aufregt, was Sie hier verbreiten! Interessante Ausführungen. Jedoch ziemlich einseitig und wie ich gerade zu einem anderen Thema las anscheinend auch mit gefährlichem Halbwissen und unzutreffend! Mir wird zudem etwas schlecht, wie Sie hier über die Polizei und Staatsanwaltschaft urteilen. Hier bewahrheitet sich anscheinend mal wieder: Datenschutz = Täterschutz! Ich vermute deshalb, dass Sie irgendein Problem mit unserem Staatsapparat haben und hoffe, dass Sie nicht mal Opfer einer wirklichen Straftat werden und die Behörden dann nichts ermitteln können. Es ist sind Polizei und Staatsanwaltschaft die schließlich nicht aus Dafke, sondern zwecks Verfolgung einer Straftat hier Daten benötigen. Dass das Meldeamt nicht kontaktiert wurde, wird schlicht und einfach an der verbrecherischen Verschleierungstatktik des Beschuldigten liegen, der seinen wirklichen Wohnort verbirgt. Gerade bei Vermögensdelikten sehr beliebt, um den Gläubigern die Durchsetzung ihrer Forderungen zu erschweren. Ein uniformierter Polizist ist ansonsten Kraft seiner Uniform und Hoheitsabzeichen als Amtsträger legitimiert und muss keinen Ausweis vorzeigen! Wo würde das sonst auch hinführen! Es gibt keinen Durchsuchungsbefehl! Das heisst Durchsuchungsbeschluss! Rechtsgrundlage für das Auskunftsersuchen im Falle der medizinischen Einrichtung ist: § 161a StPO. Die Einrichtung bzw. deren Mitarbeiter sind Zeugen, die zum Aufenthalt der Person Angaben machen können. Der Betroffene muss auch nicht seine Einwilligung geben! Lesen Sie doch mal den Gesetztestext! Entweder Eingriffsgrundlage vorhanden (hier § 161a StPO, ODER Einwilligung!) Unten finden Sie zudem im Absatz 2 die „angedrohte Beugehaft“. Also bitte mehr Sachkunde hier an den Tag legen!
Felix Savon am 28. April 2016, 13:29 Uhr	Antworten	Vielen Dank auch für diesen konstruktiven Beitrag. Wie Sie dem Artikel entnehmen können, stellt dieser lediglich dar, dass es „einige Stimmen [gibt], nach denen die Vorschrift mit Blick auf den intensiven Grundrechtseingriff nicht als Rechtsgrundlage im Sinne des § 4 Abs. 1 BDSG ausreicht.“. Dies kann man sicher diskutieren und Argumente für die eine und die andere Auffassung ins Feld führen, was hier jedoch den Rahmen sprengen würde. Generell ist darauf hinzuweisen, dass das Recht auf informationelle Selbstbestimmung ein Grundrecht ist und als solches mit der Grundsatzentscheidung des Bundesverfassungsgerichts vom 15.12.1983 (Az.: Az. 1 BvR 209, 269, 362, 420, 440, 484/83 – Volkszählungsurteil) als Ausfluss des allgemeinen Persönlichkeitsrechts und der Menschenwürde als Grundrecht etabliert wurde. Dieses ist nun einmal auch von öffentlichen Stellen zu beachten.
Hinsichtlich möglicher Verdächtiger gilt im Rahmen eines Ermittlungsverfahrens noch immer der Grundsatz in dubio pro reo. Für Be- oder Angeschuldigte sowie selbstverständlich auch für verurteilte Täter gelten im Übrigen auch die Grundrechte.
Uniformen kann man überall im Kostümverleih erwerben, weswegen eine Legitimation mittels eines offiziellen Ausweispapiers in jedem Fall verlangt werden kann.
Dr. Datenschutz am 2. Mai 2016, 15:55 Uhr	Antworten	Hinterlassen Sie einen Kommentar Antwort abbrechen	KommentarDie von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.Name / Pseudonym (Pflichtfeld) ﻿E-Mail (Pflichtfeld, wird nicht veröffentlicht) Website (optional)
Datenschutz-Grundverordnung (DSGVO) – DatenschutzbeauftragterEU-Datenschutz-Grundverordnung: Das müssen Sie wissenDatenschutzmanagement nach der DSGVO – Leitfaden für die PraxisDatenschutz-Grundverordnung und DatensicherheitElektronische Personalakte datenschutzkonform umsetzen	Neueste Beiträge