Sozialdaten im Auftrag (§ 80 SGB X)
Sozialdaten im Auftrag verarbeitet ein Dienstleister, wenn er für einen Sozialleistungsträger wie eine Krankenkasse tätig wird. Dafür gilt § 80 SGB X zusätzlich zu Art. 28 DSGVO – mit eigener Anzeigepflicht und weiteren Voraussetzungen.
Sozialdaten sind personenbezogene Daten in der Hand von Sozialleistungsträgern.
Gemeint sind personenbezogene Daten, die eine in § 35 SGB I genannte Stelle – etwa Kranken-, Pflege-, Renten- oder Unfallversicherung – für ihre gesetzlichen Aufgaben verarbeitet. Sie unterliegen dem Sozialgeheimnis. Im Kundenservice einer Krankenkasse gehört praktisch jede Auskunft dazu: Versicherungsverhältnis, Beiträge, Leistungsanträge, Krankengeld. Vieles davon sind zugleich Gesundheitsdaten.
Lässt ein Träger diese Daten von einem externen Callcenter oder einer ausgelagerten Sachbearbeitung verarbeiten, genügt ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO allein nicht. Das Sozialgesetzbuch stellt zusätzliche Bedingungen.
§ 80 SGB X stellt vier zusätzliche Anforderungen.
- Anzeige an die Aufsicht (Abs. 1): Der Verantwortliche zeigt seiner Rechts- oder Fachaufsichtsbehörde den Auftrag rechtzeitig vor der Erteilung schriftlich oder elektronisch an. Anzugeben sind der Auftragsverarbeiter, dessen technische und organisatorische Maßnahmen und ergänzende Weisungen, die Art der Daten und der Kreis der Betroffenen, die Aufgabe sowie etwaige Unterauftragsverhältnisse.
- Ort der Verarbeitung (Abs. 2): Zulässig ist die Verarbeitung im Inland, in einem anderen EU-Mitgliedstaat oder in einem gleichgestellten Staat – in einem Drittstaat nur, wenn ein Angemessenheitsbeschluss nach Art. 45 DSGVO vorliegt.
- Nicht-öffentliche Auftragsverarbeiter (Abs. 3): Ein privates Unternehmen darf nur beauftragt werden, wenn beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder die Arbeiten dort erheblich kostengünstiger besorgt werden können.
- Aufsicht über den Dienstleister (Abs. 4): Nicht-öffentliche Auftragsverarbeiter unterliegen der Aufsicht der zuständigen Datenschutzbehörde.
Den Wortlaut finden Sie in § 80 SGB X bei gesetze-im-internet.de.
Die Pflichten sind klar zwischen den Parteien verteilt.
| Aufgabe | Zuständig |
|---|---|
| Anzeige an die Aufsichtsbehörde | Auftraggeber (Verantwortlicher) |
| Begründung nach Abs. 3 dokumentieren | Auftraggeber |
| Angaben zu TOMs, Standorten und Unterauftragnehmern liefern | Dienstleister |
| Weisungen umsetzen, Mitarbeitende auf Vertraulichkeit verpflichten | Dienstleister |
| Abschluss des Auftragsverarbeitungsvertrags | Beide |
Für die Zeitplanung heißt das: Die Anzeige muss vor der Auftragserteilung erfolgen. Ein Dienstleister sollte die nötigen Unterlagen deshalb schon im Angebot oder in der Ausschreibung vollständig liefern.
Ein Dienstleister im EU-Ausland ist nach dem Gesetz möglich.
§ 80 Abs. 2 SGB X nennt andere EU-Mitgliedstaaten ausdrücklich neben dem Inland. Ein Auftragsverarbeiter in Rumänien ist damit nicht ausgeschlossen; die übrigen Voraussetzungen gelten unverändert. Manche Träger haben darüber hinaus eigene Vorgaben oder stimmen sich mit ihrer Aufsicht ab. Diese Darstellung ersetzt keine Rechtsberatung – die Prüfung im Einzelfall liegt beim Verantwortlichen.
Ausführlicher behandelt das Thema der Beitrag Sozialdaten im Auftrag verarbeiten. aLIVE Support ist seit über zehn Jahren für Krankenkassen und Kassenärztliche Vereinigungen tätig; Kundenservice für Krankenkassen ist wahlweise aus Rumänien oder aus Deutschland möglich, die Projektdaten liegen auf Servern in Deutschland.
Fragen zu § 80 SGB X.
Ihre Frage ist nicht dabei? Wir antworten innerhalb eines Werktags.
Der Verantwortliche, also zum Beispiel die Krankenkasse. Sie zeigt den Auftrag ihrer Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung an; der Dienstleister liefert die dafür nötigen Angaben.
Nein. Die Vorschrift betrifft Sozialdaten der in § 35 SGB I genannten Stellen, etwa gesetzliche Krankenkassen. Für private Versicherer gelten die DSGVO und weitere Vorschriften, unter anderem zur beruflichen Schweigepflicht.
