§ 82 SGB X: Informationspflichten bei der Erhebung von Sozialdaten bei der betroffenen Person
| veröffentlicht am |
12.11.2019 |
|---|---|
| Änderung | Die GRA wurde vollständig überarbeitet und mit dem Regionalträger abgestimmt. |
| Stand | 23.04.2018 |
|---|---|
| Erstellungsgrundlage | in der Fassung des Gesetzes zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften vom 17.07.2017 in Kraft getreten am 25.05.2018 |
| Rechtsgrundlage | |
| Version | 001.01 |
- Inhalt der Regelung
- Allgemeines
- Ausnahmen von der Informationspflicht über Kategorien von Empfängern (§ 82 Abs. 1 SGB X)
- Ausnahmen von der Informationspflicht bei Zweckänderung der Datenverarbeitung (§ 82 Abs. 2 SGB X)
- Zustimmung zur Information (§ 82 Abs. 5 SGB X)
Inhalt der Regelung
§ 82 SGB X regelt Ausnahmen zu speziellen Informationspflichten bei der Erhebung von personenbezogenen Daten bei der betroffenen Person nach Art. 13 DSGVO.
Ergänzende/korrespondierende Regelungen
Die Regelung enthält die bis zum 24.05.2018 in § 67a Abs. 3 S. 2 SGB X enthaltene Einschränkung der Informationspflicht und schränkt die Informationspflichten nach Art. 13 DSGVO weiter ein.
Die Beschränkungen der Informationspflichten beruhen auf Art. 23 DSGVO.
Allgemeines
Nach Art. 13 DSGVO muss ein Verantwortlicher die betroffene Person zum Zeitpunkt der Datenerhebung über festgelegte Punkte der bevorstehenden Verarbeitung personenbezogener Daten informieren (zum Beispiel über die Zwecke, für die die Verarbeitung erfolgt, und die Rechtsvorschriften, die diese Zwecke festlegen). Dies gilt auch, wenn der Verantwortliche erhobene personenbezogene Daten für andere als die ursprünglichen Zwecke weiter verwenden möchte (GRA zu Art. 13 DSGVO).
Diese Informationspflichten zum Zeitpunkt der Datenerhebung und bei Zweckänderung gelten grundsätzlich auch für Sozialdaten.
Die Informationspflicht besteht nicht, wenn und soweit die betroffene Person bereits über die Informationen verfügt (Art. 13 Abs. 4 DSGVO).
Weitere Einschränkungen der Informationspflichten dürfen durch Rechtsvorschriften der Europäischen Union oder der Mitgliedstaaten zum Beispiel für den Bereich der sozialen Sicherheit vorgenommen werden (Art. 23 Abs. 1 Buchst. e DSGVO). Der deutsche Gesetzgeber darf insoweit für Sozialdaten Einschränkungen der Informationspflichten vornehmen und er hat das mit den Regelungen in § 82 SGB X und § 82a SGB X getan.
Ausnahmen von der Informationspflicht über Kategorien von Empfängern (§ 82 Abs. 1 SGB X)
Art. 13 Abs. 1 Buchst. e DSGVO verpflichtet den Verantwortlichen, die betroffene Person insbesondere über Empfänger oder Kategorien von Empfängern personenbezogener Daten zum Zeitpunkt der Datenerhebung bei der betroffenen Person zu informieren.
Art. 13 Abs. 4 DSGVO regelt die Ausnahme, dass die Information unterbleiben kann, wenn und soweit die betroffene Person bereits über die Informationen verfügt - hier also über Empfänger oder Kategorien von Empfängern.
Nach § 82 Abs. 1 SGB X muss der Verantwortliche die betroffene Person über die Übermittlung von Sozialdaten nur in folgenden Fällen vorab informieren:
- soweit die betroffene Person nach den Umständen des Einzelfalles nicht mit der Nutzung oder der Übermittlung von Sozialdaten an diese Kategorien von Empfängern rechnen muss,
- soweit es sich nicht um Speicherung, Veränderung, Nutzung, Übermittlung, Einschränkung der Verarbeitung oder Löschung von Sozialdaten innerhalb einer in § 35 SGB I genannten Stelle oder einer Organisationseinheit im Sinne von § 67 Abs. 4 S. 2 SGB X handelt, oder
- soweit es sich (bei der Kategorie von Empfängern) nicht um eine in § 35 SGB I genannte Stelle oder um Organisationseinheiten im Sinne von § 67 Abs. 4 S. 2 SGB X handelt, die auf Grund eines Gesetzes zur engen Zusammenarbeit verpflichtet sind.
Die Leistungsträger im Sinne des § 35 SGB I und deren Verbände sind gemäß § 86 SGB X verpflichtet, bei der Erfüllung ihrer Aufgaben nach dem SGB eng zusammenzuarbeiten. Das Gleiche gilt gemäß § 12 SGB IX für die Rehabilitationsträger im Sinne des § 6 SGB IX. Die betroffenen Personen dürften von der Übermittlung an andere Sozialleistungsträger in den allermeisten Fällen bereits unterrichtet sein. Sie müssen in diesen Fällen jedenfalls mit einer Nutzung innerhalb des Sozialleistungsträgers und der Übermittlung an andere Träger rechnen.
Dies bedeutet, dass keine Unterrichtungspflicht hinsichtlich möglicher Datenempfänger nach § 69 Abs. 1 Nr. 1 SGB X (GRA zu § 69 SGB X) besteht. Diese Ausnahmen galten bereits nach dem bis zur DSGVO geltenden Recht und waren in § 67a Abs. 3 SGB X in der Fassung bis 24.05.2018 geregelt.
Ausnahmen von der Informationspflicht bei Zweckänderung der Datenverarbeitung (§ 82 Abs. 2 SGB X)
Beabsichtigt der Verantwortliche, personenbezogene Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten ursprünglich erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Art. 13 Abs. 2 DSGVO zur Verfügung (Art. 13 Abs. 3 DSGVO).
Die Beschränkung der Informationspflicht nach § 82 Abs. 2 SGB X gilt nur für die in Art. 13 Abs. 3 DSGVO vorgesehene Fallgruppe, dass der Verantwortliche beabsichtigt, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die Daten bei der betroffenen Person erhoben wurden. Die Informationspflicht aus Art. 13 Abs. 1 und 2 DSGVO wird demgegenüber nicht beschränkt.
Erstmals ist mit der DSGVO eine (Folge-)Informationspflicht des Verantwortlichen bei beabsichtigter Zweckänderung eingeführt worden. In dieser Konstellation besteht im Gegensatz zu der in Art. 13 Abs. 1 und 2 DSGVO vorgesehenen Informationspflicht zum Zeitpunkt der Erhebung der Daten typischerweise kein unmittelbarer Kontakt zwischen dem Verantwortlichen und der betroffenen Person.
Art. 13 Abs. 4 DSGVO regelt die Ausnahme, dass die Information unterbleiben kann, wenn und soweit die betroffene Person bereits über die Informationen verfügt - hier also über die beabsichtigte Weiterverarbeitung.
Der § 82 Abs. 2 SGB X enthält darüber hinaus Einschränkungen der Informationspflicht über die Zweckänderung:
- wenn die Erteilung der Information die ordnungsgemäße Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgaben gefährden würde und die Interessen des Verantwortlichen an der Nichterteilung der Information die Interessen der betroffenen Person überwiegen,
- wenn die Erteilung der Information die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohl des Bundes oder eines Landes Nachteile bereiten würde und die Interessen des Verantwortlichen an der Nichterteilung der Information die Interessen der betroffenen Person überwiegen oder
- wenn die Erteilung der Information eine vertrauliche Übermittlung von Daten an öffentliche Stellen gefährden würde (Art. 23 Abs. 1 Buchst. e DSGVO). Erfasst sind Fallgruppen, in denen die Information der betroffenen Person über die Weiterverarbeitung zu einer Vereitelung oder ernsthaften Beeinträchtigung des - legitimen - Verarbeitungszwecks führen würde.
Schutzmaßnahmen bei Entfallen der Informationspflicht (§ 82 Abs. 3 SGB X)
Die Regelung legt fest, dass der Verantwortliche geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person zu treffen hat, wenn eine Information der betroffenen Person nach Maßgabe des Absatzes 2 unterbleibt. Hierdurch wird Art. 23 Abs. 2 DSGVO umgesetzt.
Zu den geeigneten Maßnahmen zählt die Bereitstellung dieser Informationen für die Öffentlichkeit. Eine Veröffentlichung in allgemein zugänglicher Form kann etwa die Bereitstellung der Information auf einer allgemein zugänglichen Webseite des Verantwortlichen sein (ErwG 58 DSGVO). Die Information hat in Entsprechung zu Art. 12 Abs. 1 DSGVO in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu erfolgen.
Der Verantwortliche hat schriftlich zu fixieren, aus welchen Gründen er von einer Information abgesehen hat. Die Stichhaltigkeit der Gründe unterliegt der Kontrolle durch die zuständige Aufsichtsbehörde, die durch die Dokumentationspflicht ermöglicht wird.
Die in Satz 1 und 2 geforderten Maßnahmen finden im Fall des Absatzes 2 Nummer 3 (der vertraulichen Übermittlung von Daten an öffentliche Stellen) keine Anwendung, da sie zur Vereitelung oder ernsthaften Beeinträchtigung des - legitimen - Verarbeitungszwecks führen könnten.
Nachholung der Information (§ 82 Abs. 4 SGB X)
Die Vorschrift bestimmt, dass der Verantwortliche die Information der betroffenen Person zeitnah nachzuholen hat, wenn die Ausschlussgründe des Absatzes 2 nur vorübergehend vorliegen. Die Nachholung hat spätestens innerhalb von zwei Wochen nach Wegfall des Hinderungsgrundes zu erfolgen.
Zustimmung zur Information (§ 82 Abs. 5 SGB X)
Die Norm betrifft den Fall der Informationserteilung bei Datenübermittlung durch öffentliche Stellen an Staatsanwaltschaften und Gerichte im Bereich der Strafverfolgung, an Polizeibehörden, Verfassungsschutzbehörden, den Bundesnachrichtendienst und den Militärischen Abschirmdienst (vgl. GRA zu §§ 68, 72 und 73 SGB X).
Durch die Zustimmungspflicht soll die Gefährdung der ordnungsgemäßen Erfüllung der Aufgaben dieser Behörden vermieden werden; insbesondere könnte die betroffene Person vorzeitig von laufenden Ermittlungen der Strafverfolgungsbehörden oder der anderen Behörden erfahren, so dass die Gefahr von Verdunklungshandlungen entstehen könnte.
Ob eine solche Gefahr besteht, kann nur die Stelle beantworten, die die Daten erhalten hat. Die Regelung stützt sich auf Art. 23 Abs. 1 Buchst. a, b, c, d und e DSGVO.
| Gesetz zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften vom 17.07.2017 (BGBl. I S. 2541) |
Inkrafttreten: 25.05.2018 Quelle zum Entwurf: BT-Drucksache 18/12611 |
Durch Artikel 24 wurde die Vorschrift an die DSGVO angepasst. Dabei wurde der Inhalt der Vorschrift komplett umgestaltet und erhielt eine neue Überschrift.
Die Regelung enthält die bis zum 24.05.2018 in § 67a Abs. 3 S. 2 SGB X enthaltene Einschränkung der Informationspflicht und schränkt die Informationspflichten nach Art. 13 DSGVO weiter ein.
Bis zum 24.05.2018 regelte die Vorschrift die Voraussetzungen, unter denen Betroffenen Schadensersatz zustand, wenn ihnen durch die unrichtige Erhebung, Verarbeitung oder Nutzung ihrer personenbezogenen Sozialdaten ein Schaden entstanden war.
Haftung und Recht auf Schadenersatz ist in Art. 82 DSGVO geregelt. Im deutschen Sozialrecht gibt es seit dem 25.05.2018 keine Spezialvorschrift mehr.
| Gesetz zur Änderung des BDSG und anderer Gesetze vom 18.05.2001 (BGBl. I S. 904) |
Inkrafttreten: 23.05.2001 Quelle zum Entwurf: BT-Drucksache 14/5822 |
Die Vorschrift wurde umfassend überarbeitet und in Satz 1 wurde der Schadensersatz bei nicht automatisierter Erhebung, Verarbeitung und Nutzung von Sozialdaten aufgenommen.
| 2. SGBÄndG vom 13.06.1994 (BGBl. I S. 1229) |
Inkrafttreten: 01.07.1994 Quellen zum Entwurf: BT-Drucksache 12/5187 und 12/7324 |
Diese Vorschrift wurde neu eingefügt.