Sozialdatenschutz

Was ist das Sozialgeheimnis?

Nach § 35 Abs. 1 SGB I hat jeder Anspruch darauf, dass die ihn betreffenden Sozialdaten von den Leistungsträgern nicht unbefugt verarbeitet werden. Dazu gehört, dass Sozialdaten auch innerhalb der Behörde nur Befugten zugänglich sind. Sozialdaten sind nach § 67 Abs. 2 SGB X personenbezogene Daten, die eine in § 35 SGB I genannte Stelle im Hinblick auf ihre Aufgaben nach dem Sozialgesetzbuch verarbeitet.

Die Vorschriften des Zweiten Kapitels SGB X (§§ 67 bis 85a) regeln die Verarbeitung von Sozialdaten abschließend, soweit nicht die DSGVO unmittelbar gilt (§ 35 Abs. 2 SGB I). Sozialdatenschutz ist also eine Ergänzung der DSGVO, kein Ersatz.

Gilt das Sozialgeheimnis für Bildungsträger?

Private Bildungsträger gehören nicht zu den Stellen, die § 35 SGB I aufzählt. Daten, die sie selbst bei ihren Teilnehmern erheben, etwa bei Anmeldung, Eignungsfeststellung oder im Unterricht, verarbeiten sie nach der DSGVO und dem Bundesdatenschutzgesetz. Rechtsgrundlage ist in der Regel die Durchführung des Vertrags mit dem Teilnehmer (Art. 6 Abs. 1 Buchst. b DSGVO); Gesundheitsdaten, etwa aus Attesten, sind besondere Kategorien nach Art. 9 DSGVO.

Erhält der Träger Sozialdaten von Agentur für Arbeit oder Jobcenter, zum Beispiel bei einer Zuweisung in eine Vergabemaßnahme, gilt zusätzlich § 78 SGB X: Er darf die Daten nur zu dem Zweck verarbeiten, zu dem sie ihm befugt übermittelt wurden, und muss sie in demselben Umfang geheim halten wie die Behörde selbst. Seine Beschäftigten, die mit diesen Daten arbeiten, sind auf diese Pflichten hinzuweisen (§ 78 Abs. 2 SGB X).

Welche Daten darf ein Bildungsträger an Kostenträger melden?

Meldungen, die für die Durchführung und Abrechnung der geförderten Maßnahme erforderlich sind, etwa Beginn, Anwesenheit, Fehlzeiten, Abbruch oder Teilnahmebescheinigung, gehören zum Zweck der Teilnahme. Darüber hinausgehende Inhalte, zum Beispiel Diagnosen aus Attesten oder private Angaben aus Coachinggesprächen, sollten nur weitergegeben werden, wenn eine Rechtsgrundlage oder eine wirksame Einwilligung besteht. Eine Einwilligung muss freiwillig sein, was in einem Förderverhältnis besonders sorgfältig zu prüfen ist.

Die Agentur für Arbeit kann nach § 183 SGB III Auskünfte verlangen und Unterlagen einsehen. Stellt sie dabei hinreichende Anhaltspunkte für Datenschutzverstöße fest, soll sie die zuständige Datenschutzaufsichtsbehörde unterrichten (§ 183 Abs. 2 Satz 3 SGB III).

Welche technischen Anforderungen gelten?

Die DSGVO verlangt angemessene technische und organisatorische Maßnahmen, ein Verzeichnis der Verarbeitungstätigkeiten und Verträge zur Auftragsverarbeitung mit Softwareanbietern. In der Praxis heißt das: Zugriff auf Teilnehmerakten nur nach Rolle, keine Weitergabe per unverschlüsselter E-Mail, Löschkonzept nach Ablauf der Aufbewahrungsfristen und sorgfältige Auswahl von Cloud-Diensten, bevorzugt mit Datenverarbeitung in der EU.

Wie lange dürfen Teilnehmerdaten gespeichert werden?

Die DSGVO verlangt, Daten nur so lange zu speichern, wie es für den Zweck erforderlich ist. Für Bildungsträger ergeben sich längere Aufbewahrungsfristen vor allem aus dem Handels- und Steuerrecht für Abrechnungsunterlagen sowie aus den Nachweispflichten gegenüber Kostenträgern und fachkundiger Stelle. Ein Löschkonzept legt je Datenart fest, wann gelöscht wird.

Besonders sensible Inhalte, etwa Atteste mit Diagnose oder Notizen aus Coachinggesprächen, sollten nicht länger aufbewahrt werden als nötig und nur einem kleinen Personenkreis zugänglich sein.