Jansen, SGB X § 78 Zweckbindung und Geheimhaltungspflicht eines Dritten, an den Daten ...

Uwe Opitz

0 Rechtsentwicklung

Rz. 1

§ 78 trat zum 1.1.1981 mit der Einfügung des SGB X v. 18.1.1980 (BGBl. I S. 1469) in das Sozialgesetzbuch in Kraft. Er wurde durch das Zweite SGB-ÄndG v. 13.6.1994 (BGBl. I S. 1229) novelliert; die äußerst rigide Zweckbindung wurde zugunsten der Strafverfolgung und ähnlicher öffentlicher Belange gelockert. Weitere Änderungen in dieser Richtung erfuhr § 78 durch das Justizmitteilungsgesetz zum 1.6.1998 in Abs. 1 und durch Einfügung von Abs. 4 durch das Strafverfahrensänderungsgesetz zum 1.11.2000, geändert durch Art. 3 des Gesetzes zur Änderung des Ordnungswidrigkeitenverfahrensrechts vom 26.7.2002 (BGBl. I S. 2864).
Im Zusammenhang mit der Neufassung des SGB X v. 18.1.2001 (BGBl. I S. 130) wurde die Vorschrift neu bekanntgemacht.

Zum 23.5.2001 wurde § 78 durch das Gesetz zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze v. 18.5.2001 (BGBl. I S. 904), mit dem die Vorgaben der EU-Richtlinie (Richtlinie 95/46/EG des Europäischen Parlaments und des Rates v. 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, ABl. EG L 281 v. 23.11.1995 S. 31) in deutsches Recht umgesetzt wurden, in der Überschrift und in Abs. 1 Satz 2 und 3 geändert.

Abs. 4 der Vorschrift wurde zum 1.10.2002 geändert durch Art. 3 des Gesetzes zur Änderung des Ordnungswidrigkeitenverfahrensrechts v. 26.7.2002 (BGBl. I S. 2864; Ber. S. 3516).

Weitere Änderungen erfuhr § 78 in Abs. 1 zum 12.12.2009 durch Art. 15 Abs. 99 des Gesetzes zur Neuordnung und Modernisierung des Bundesdienstrechts (Dienstrechtsneuordnungsgesetz – DneuG) v. 5.2.2009 (BGBl. I S. 160); der Verweis in Satz 4 auf § 125c BRRG wurde durch § 115 BBG ersetzt.

Zum 25.5.2018 wurde § 78 durch Art. 24 des Gesetzes zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften v. 17.7.2017 (BGBl. I S. 2541) an die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG – Datenschutz-Grundverordnung (DSGVO), ABl. L 119/1, redaktionell angepasst, insbesondere an die Begriffsbestimmungen des Art. 4 DSGVO. Abs. 1 erhielt einen neuen Satz 2, der eine zusätzliche Voraussetzung für die Zulässigkeit der Übermittlung an nicht-öffentliche Stellen enthält.

1 Allgemeines

Rz. 2

§ 78 enthält auch nach der Anpassung an die DSGVO eine Regelung zur Aufrechterhaltung des Sozialdatenschutzes bei Weitergabe an Dritte, die keine in § 35 SGB I genannten Stellen sind. Damit dient er in Form einer weiteren Beschränkung dem datenschutzrechtlichen Zweckbindungsprinzip, das seit 25.5.2018 zu den unmittelbar geltenden Grundsätzen der Verarbeitung personenbezogener Daten gehört (Art. 5 Abs. 1 Buchst. b DSGVO).

Dies gilt auch für die Verarbeitung besonderer Kategorien von Daten i. S. v. Art. 9 Abs. 1 DSGVO, für die auch ohne ausdrückliche Erwähnung in Art. 9 Abs. 2 DSGVO keine geringere Zweckbindung gilt (BT-Drs. 18/12611).

Die Vorschrift stellt sicher, dass befugt übermittelte Sozialdaten, auch wenn der Datenempfänger keine in § 35 SGB I genannte Stelle ist, nicht den umfassenden Schutz des Sozialgeheimnisses verlieren und auch dem Empfänger nicht zur freien Verfügung stehen. Dies wird durch zwei Beschränkungen erreicht: Die Datenempfänger sind zur Geheimhaltung verpflichtet und die befugt übermittelten Sozialdaten sind hinsichtlich ihrer Speicherung, Veränderung, Nutzung, Übermittlung, Einschränkung der Verarbeitung oder Löschung (Vorgänge der Verarbeitung gemäß Art. 4 Nr. 2 DSGVO) zweckgebunden.

Unbefugt übermittelte Sozialdaten dürfen nicht verwendet werden (vgl. Rz. 8, 9).

Rz. 3

Bis zum 24.5.2018 regelte § 78 die Zweckbindung der Verarbeitung und Nutzung beim Empfänger und umfasste damit alle Phasen des Umganges mit Sozialdaten außer der Erhebung; die Begriffsbestimmungen waren abschließend in § 67 a. F. festgelegt.

Seit dem 25.5.2018 ergeben sich die Begriffsbestimmungen aus Art. 4 DSDGVO, ergänzt für den Sozialdatenschutz in § 67. Art. 4 Nr. 2 DSGVO bestimmt – nicht abschließend aufgelistet – als Vorgänge der Verarbeitung "das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung".

§ 78 regelt seit dem 25.5.2018 nur ausgewählte und konkret benannte Verarbeitungsvorgänge: die Speicherung, Veränderung, Nutzung, Übermittlung, Einschränkung der Verarbeitung und Löschung. Über Art. 5 Abs. 1 Buchst. b DSGVO (Rz. 2) gilt aber auch für die weiteren Verarbeitungsvorgänge i. S. v. Art. 4 Nr. 2 DSGVO eine Zweckbindung (vgl. die Komm. zu § 35 SGB I, die Ausführungen zu Art. 5 DSGVO enthält).