Datenschutz im Krankenhaus. Andrea Hauser

mitwirkenden Personen« diejenigen erfasst, die zwar an der beruflichen oder dienstlichen Tätigkeit der schweigepflichtigen Person mitwirken, also in diese Tätigkeit in irgendeiner Weise eingebunden werden und Beiträge dazu leisten, allerdings ohne in die Sphäre des Berufsgeheimnisträgers eingegliedert zu sein.⁷⁰ Eine Mitwirkung an der beruflichen Tätigkeit ist nur dann gegeben, wenn die mitwirkende Person unmittelbar mit der beruflichen Tätigkeit der schweigepflichtigen Person, ihrer Vorbereitung, Durchführung, Auswertung und Verwaltung befasst ist.⁷¹

Grundlage der sonstigen Mitwirkung einer nicht in den Betrieb des Geheimnisträgers eingegliederten Person kann insbesondere ein Vertragsverhältnis sein. Darunter fallen nicht nur der unmittelbare Vertrag zwischen Berufsgeheimnisträger und dem selbständig tätigen Vertragspartner, sondern in mehrstufigen Auftragsverhältnissen auch vertragliche Verbindungen des Auftragnehmers mit seinen Angestellten oder den – im Einvernehmen mit dem Berufsgeheimnisträger – beauftragten weiteren Unterauftragnehmern.⁷²

      Laut Gesetzesbegründung können Beispiele für derartige mitwirkende Tätigkeiten insbesondere sein:

      • Schreibarbeiten,

      • Rechnungswesen,

      • Annahme von Telefonanrufen,

      • Aktenarchivierung und -vernichtung,

      • Einrichtung, Betrieb, Wartung – einschließlich Fernwartung – und Anpassung informationstechnischer Anlagen, Anwendungen und Systeme aller Art, beispielsweise auch von entsprechend ausgestatteten medizinischen Geräten,

      • Bereitstellung von informationstechnischen Anlagen und Systemen zur externen Speicherung von Daten oder

• Mitwirkung an der Erfüllung von buchführungs- und steuerrechtlichen Pflichten des Berufsgeheimnisträgers.⁷³

      Damit werden insbesondere die klassischen Anwendungsfälle einer AV angesprochen.

Zu beachten ist aber, dass es einer Verpflichtung zur Geheimhaltung nicht bedarf, wenn die mitwirkende Person selbst Berufsgeheimnisträger, das heißt bereits nach § 203 Abs. 1 und 2 StGB zur Geheimhaltung verpflichtet ist (beispielsweise Rechtsanwälte, Steuerberater etc.). Dies wird damit begründet, dass eine zusätzliche Geheimhaltungsverpflichtung bei diesen Personengruppen keinen Mehrwert bringen würde.⁷⁴

      3.2.4.3 Rechtsfolgen der Gesetzesänderung

      Durch die Gesetzesänderung wird in § 203 Abs. 3 Satz 2 StGB klargestellt, dass die Weitergabe personenbezogener Daten an sonstige mitwirkende Personen durch den Berufsgeheimnisträger kein unbefugtes Offenbaren darstellt, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist.

Gleichzeitig wurde jedoch in § 203 Abs. 4 Satz 2 StGB ein neuer Straftatbestand für Berufsgeheimnisträger geschaffen. Der Berufsgeheimnisträger macht sich selbst strafbar, wenn er einer anderen Person die Mitwirkung an seiner beruflichen Tätigkeit ermöglicht hat, ohne dafür Sorge zu tragen, dass die mitwirkende Person über die Pflicht zur Geheimhaltung belehrt wurde. Diese Vorschrift findet auch auf mitwirkende Personen Anwendung, die sich ihrerseits befugtermaßen weiterer Personen bedienen. Berufsgeheimnisträger müssen somit seit dem Inkrafttreten der Neuregelung⁷⁵ bei der Einschaltung externer Dienstleister die Einhaltung der Verpflichtung im Sinne des § 203 StGB sicherstellen, um sich nicht dem Risiko einer Strafbarkeit gemäß § 203 Abs. 4 Satz 2 StGB auszusetzen.

      3.2.4.4 Mögliche Fallgestaltungen des Einsatzes sonstiger mitwirkender Personen

      Im Rahmen der Mitwirkung einer sonstigen Person an der Tätigkeit eines Berufsgeheimnisträgers sind folgende Fallgestaltungen denkbar:

      • Eine Einzelperson wirkt als sonstige Person an der Tätigkeit des Berufsgeheimnisträgers mit;

      • ein Unternehmen wirkt als Dienstleister (= sonstige Person) an der Tätigkeit des Berufsgeheimnisträgers mit.

      3.2.4.5 Umsetzungsmöglichkeiten für die Verpflichtung nach § 203 StGB

      In beiden möglichen Fallgestaltungen (Einzelperson oder Unternehmen als sonstige Person) gibt es grundsätzlich die Möglichkeit, die Verpflichtung nach § 203 StGB entweder

• über eine gesonderte Verpflichtungserklärung nach § 203 StGB (also unabhängig von einem AV-Vertrag) vorzunehmen. Sofern eine Fallgestaltung vorliegt, der eine Auftragsverarbeitung zugrunde liegt, würden somit bei dieser Variante sowohl eine gesonderte Verpflichtungserklärung nach § 203 StGB als auch ein AV-Vertrag vorliegen. Die gesonderte Verpflichtungserklärung nach § 203 StGB ist je nach Fallkonstellation mit Blick auf eine für den Berufsgeheimnisträger tätige Einzelperson⁷⁶ oder ein für den Berufsgeheimnisträger tätiges Unternehmen⁷⁷ zu formulieren.

      oder

• über eine Regelung in einem AV-Vertrag sicherzustellen.⁷⁸ Dies ist allerdings nur möglich, wenn es sich um eine Fallgestaltung handelt, der eine AV zugrunde liegt. Da sämtliche Berufsgruppen nach § 203 StGB verpflichtet werden müssen, die nicht als berufsmäßig tätige Gehilfen zu qualifizieren sind, dürfte in der Regel eine AV mit entsprechendem AV-Vertrag vorliegen. Diese Konstellation hatte auch der Gesetzgeber im Blick, als er die Neuregelung in § 203 StGB getroffen hat.⁷⁹ Möglicherweise sind aber auch Fallgestaltungen denkbar, in denen die Mitwirkung an der Tätigkeit eines Berufsgeheimnisträgers nicht auf Grundlage einer AV erfolgt, die mitwirkende Person aber gleichwohl nicht als berufsmäßig tätiger Gehilfe zu qualifizieren ist, sodass eine Verpflichtung nach § 203 StGB vorzunehmen ist. Beispiele hierfür können ein für das Krankenhaus tätiger Gärtner oder Handwerker oder das im Krankenhaus eingesetzte Reinigungspersonal sein. In einem solchen Fall müsste die strafrechtliche Verpflichtung mangels AV-Vertrag über eine gesonderte Verpflichtungserklärung nach § 203 StGB erfolgen.

      Beide Varianten (gesonderte Verpflichtungserklärung nach § 203 StGB oder Regelung in einem AV-Vertrag) sind rechtlich zulässig.

Unabhängig davon, welche Variante zur Umsetzung der Verpflichtung nach § 203 StGB gewählt wird, ist jeweils zu beachten, dass für eine wirksame Verpflichtung die relevanten Rechtsvorschriften abgedruckt werden müssen.⁸⁰

      Bei der Frage, welche der oben aufgeführten Varianten zur Umsetzung der Verpflichtung nach § 203 StGB gewählt werden sollte, können folgende Aspekte eine Rolle spielen:

      Für eine gesonderte Verpflichtungserklärung nach § 203 StGB kann sprechen, dass der datenschutzrechtlich gemäß Art. 28 DS-GVO erforderliche AV-Vertrag und die Einhaltung der Vorgaben des § 203 StGB voneinander zu trennen sind, da es sich hierbei um unterschiedliche Rechtskreise handelt. Zu beachten ist dabei, dass gemäß § 203 StGB sämtliche Berufsgruppen zu verpflichten sind, die nicht berufsmäßig tätige Gehilfen des Berufsgeheimnisträgers sind, aber gleichwohl an der Tätigkeit des Berufsgeheimnisträgers mitwirken. Es ist also denkbar, dass nicht jegliche Fallgestaltung, in der eine Verpflichtung gemäß § 203 StGB erfolgen muss, auch gleichzeitig den Abschluss eines AV-Vertrages gemäß Art. 28 DS-GVO nach sich zieht. Daher kann es sich anbieten, die Verpflichtung nach § 203 StGB (unabhängig