Читать книгу Datenschutz im Krankenhaus - Andrea Hauser - Страница 54

In beiden möglichen Fallgestaltungen (Einzelperson oder Unternehmen als sonstige Person) gibt es grundsätzlich die Möglichkeit, die Verpflichtung nach § 203 StGB entweder

• über eine gesonderte Verpflichtungserklärung nach § 203 StGB (also unabhängig von einem AV-Vertrag) vorzunehmen. Sofern eine Fallgestaltung vorliegt, der eine Auftragsverarbeitung zugrunde liegt, würden somit bei dieser Variante sowohl eine gesonderte Verpflichtungserklärung nach § 203 StGB als auch ein AV-Vertrag vorliegen. Die gesonderte Verpflichtungserklärung nach § 203 StGB ist je nach Fallkonstellation mit Blick auf eine für den Berufsgeheimnisträger tätige Einzelperson⁷⁶ oder ein für den Berufsgeheimnisträger tätiges Unternehmen⁷⁷ zu formulieren.

oder

• über eine Regelung in einem AV-Vertrag sicherzustellen.⁷⁸ Dies ist allerdings nur möglich, wenn es sich um eine Fallgestaltung handelt, der eine AV zugrunde liegt. Da sämtliche Berufsgruppen nach § 203 StGB verpflichtet werden müssen, die nicht als berufsmäßig tätige Gehilfen zu qualifizieren sind, dürfte in der Regel eine AV mit entsprechendem AV-Vertrag vorliegen. Diese Konstellation hatte auch der Gesetzgeber im Blick, als er die Neuregelung in § 203 StGB getroffen hat.⁷⁹ Möglicherweise sind aber auch Fallgestaltungen denkbar, in denen die Mitwirkung an der Tätigkeit eines Berufsgeheimnisträgers nicht auf Grundlage einer AV erfolgt, die mitwirkende Person aber gleichwohl nicht als berufsmäßig tätiger Gehilfe zu qualifizieren ist, sodass eine Verpflichtung nach § 203 StGB vorzunehmen ist. Beispiele hierfür können ein für das Krankenhaus tätiger Gärtner oder Handwerker oder das im Krankenhaus eingesetzte Reinigungspersonal sein. In einem solchen Fall müsste die strafrechtliche Verpflichtung mangels AV-Vertrag über eine gesonderte Verpflichtungserklärung nach § 203 StGB erfolgen.

Beide Varianten (gesonderte Verpflichtungserklärung nach § 203 StGB oder Regelung in einem AV-Vertrag) sind rechtlich zulässig.

Unabhängig davon, welche Variante zur Umsetzung der Verpflichtung nach § 203 StGB gewählt wird, ist jeweils zu beachten, dass für eine wirksame Verpflichtung die relevanten Rechtsvorschriften abgedruckt werden müssen.⁸⁰

Bei der Frage, welche der oben aufgeführten Varianten zur Umsetzung der Verpflichtung nach § 203 StGB gewählt werden sollte, können folgende Aspekte eine Rolle spielen:

Für eine gesonderte Verpflichtungserklärung nach § 203 StGB kann sprechen, dass der datenschutzrechtlich gemäß Art. 28 DS-GVO erforderliche AV-Vertrag und die Einhaltung der Vorgaben des § 203 StGB voneinander zu trennen sind, da es sich hierbei um unterschiedliche Rechtskreise handelt. Zu beachten ist dabei, dass gemäß § 203 StGB sämtliche Berufsgruppen zu verpflichten sind, die nicht berufsmäßig tätige Gehilfen des Berufsgeheimnisträgers sind, aber gleichwohl an der Tätigkeit des Berufsgeheimnisträgers mitwirken. Es ist also denkbar, dass nicht jegliche Fallgestaltung, in der eine Verpflichtung gemäß § 203 StGB erfolgen muss, auch gleichzeitig den Abschluss eines AV-Vertrages gemäß Art. 28 DS-GVO nach sich zieht. Daher kann es sich anbieten, die Verpflichtung nach § 203 StGB (unabhängig davon, ob diese für eine Einzelperson oder ein Unternehmen erfolgt) grundsätzlich getrennt und unabhängig von etwaigen AV-Verträgen gemäß Art. 28 DS-GVO vorzunehmen, um nicht in jedem Einzelfall prüfen zu müssen, ob in der jeweiligen Fallgestaltung sowohl ein AV-Vertrag als auch eine Verpflichtung nach § 203 StGB erforderlich sind. Darüber hinaus kann für eine gesonderte strafrechtliche Verpflichtung nach § 203 StGB sprechen, dass im Falle von Änderungen, die gegebenenfalls zu einem späteren Zeitpunkt bei der Verpflichtungserklärung nach § 203 StGB erforderlich werden könnten, nicht gleichzeitig auch eine Anpassung des jeweiligen AV-Vertrages erfolgen müsste. Spätere Änderungen können sich gegebenenfalls im Laufe der Zeit durch Anforderungen aus der Rechtsprechung ergeben, die zum jetzigen Zeitpunkt noch nicht absehbar sind.

In Fällen, in denen ein AV-Vertrag notwendig ist und gleichzeitig eine Verpflichtung nach § 203 StGB erfolgen muss, kann es demgegenüber empfehlenswert sein, die Verpflichtungserklärung nach § 203 StGB in den AV-Vertrag zu integrieren bzw. die Verpflichtung nach § 203 StGB über Regelungen im AV-Vertrag sicherzustellen, um nicht zwei gesonderte Regelungen treffen zu müssen.