Zweites Kapitel – Schutz der Sozialdaten → Dritter Abschnitt – Organisatorische Vorkehrungen zum Schutz der Sozialdaten, besondere Datenverarbeitungsarten

Überschrift neugefasst durch G vom 18. 5. 2001 (BGBl I S. 904).

(1) 1Werden Sozialdaten im Auftrag durch andere Stellen erhoben, verarbeitet oder genutzt, ist der Auftraggeber für die Einhaltung der Vorschriften dieses Gesetzbuches und anderer Vorschriften über den Datenschutz verantwortlich. 2Die in den §§ 82 bis 84 genannten Rechte sind ihm gegenüber geltend zu machen.

Absatz 1 Satz 1 geändert durch G vom 18. 5. 2001 (BGBl I S. 904).

(2) 1Eine Auftragserteilung für die Erhebung, Verarbeitung oder Nutzung von Sozialdaten ist nur zulässig, wenn der Datenschutz beim Auftragnehmer nach der Art der zu erhebenden, zu verarbeitenden oder zu nutzenden Daten den Anforderungen genügt, die für den Auftraggeber gelten. 2Der Auftrag ist schriftlich zu erteilen, wobei insbesondere im Einzelnen festzulegen sind:

  1. 1.

    der Gegenstand und die Dauer des Auftrags,

  2. 2.

    der Umfang, die Art und der Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen,

  3. 3.

    die nach § 78a zu treffenden technischen und organisatorischen Maßnahmen,

  4. 4.

    die Berichtigung, Löschung und Sperrung von Daten,

  5. 5.

    die bestehenden Pflichten des Auftragnehmers, insbesondere die von ihm vorzunehmenden Kontrollen,

  6. 6.

    die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen,

  7. 7.

    die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragnehmers,

  8. 8.

    mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz von Sozialdaten oder gegen die im Auftrag getroffenen Festlegungen,

  9. 9.

    der Umfang der Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem Auftragnehmer vorbehält,

  10. 10.

    die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten nach Beendigung des Auftrags.

3Der Auftraggeber ist verpflichtet, erforderlichenfalls Weisungen zur Ergänzung der beim Auftragnehmer vorhandenen technischen und organisatorischen Maßnahmen zu erteilen. 4Der Auftraggeber hat sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. 5Das Ergebnis ist zu dokumentieren. 6Die Auftragserteilung an eine nicht öffentliche Stelle setzt außerdem voraus, dass der Auftragnehmer dem Auftraggeber schriftlich das Recht eingeräumt hat,

  1. 1.

    Auskünfte bei ihm einzuholen,

  2. 2.

    während der Betriebs- oder Geschäftszeiten seine Grundstücke oder Geschäftsräume zu betreten und dort Besichtigungen und Prüfungen vorzunehmen und

  3. 3.

    geschäftliche Unterlagen sowie die gespeicherten Sozialdaten und Datenverarbeitungsprogramme einzusehen,

soweit es im Rahmen des Auftrags für die Überwachung des Datenschutzes erforderlich ist.

Absatz 2 Satz 1 neugefasst durch G vom 18. 5. 2001 (BGBl I S. 904). Satz 2 neugefasst und Sätze 4 und 5 eingefügt durch G vom 5. 8. 2010 (BGBl I S. 1127); bisheriger Satz 4 wurde Satz 6.

(3) 1Der Auftraggeber hat seiner Aufsichtsbehörde rechtzeitig vor der Auftragserteilung

  1. 1.

    den Auftragnehmer, die bei diesem vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen nach Absatz 2 Satz 2 und 3,

  2. 2.

    die Art der Daten, die im Auftrag erhoben, verarbeitet oder genutzt werden sollen, und den Kreis der Betroffenen,

  3. 3.

    die Aufgabe, zu deren Erfüllung die Erhebung, Verarbeitung oder Nutzung der Daten im Auftrag erfolgen soll, sowie

  4. 4.

    den Abschluss von etwaigen Unterauftragsverhältnissen

schriftlich anzuzeigen. 2Wenn der Auftragnehmer eine öffentliche Stelle ist, hat er auch schriftliche Anzeige an seine Aufsichtsbehörde zu richten.

Absatz 3 Satz 1 Nummern 2 und 3 neugefasst durch G vom 18. 5. 2001 (BGBl I S. 904).

(4) Der Auftragnehmer darf die zur Datenverarbeitung überlassenen Sozialdaten nicht für andere Zwecke verarbeiten oder nutzen und nicht länger speichern, als der Auftraggeber schriftlich bestimmt.

(5) 1Die Erhebung, Verarbeitung oder Nutzung von Sozialdaten im Auftrag durch nicht öffentliche Stellen ist nur zulässig, wenn

  1. 1.

    beim Auftraggeber sonst Störungen im Betriebsablauf auftreten können oder

  2. 2.

    die übertragenen Arbeiten beim Auftragnehmer erheblich kostengünstiger besorgt werden können und der Auftrag nicht die Speicherung des gesamten Datenbestandes des Auftraggebers umfasst. 2Der überwiegende Teil der Speicherung des gesamten Datenbestandes muss beim Auftraggeber oder beim Auftragnehmer, der eine öffentliche Stelle ist, und die Daten zur weiteren Datenverarbeitung im Auftrag an nicht öffentliche Auftragnehmer weitergibt, verbleiben.

Absatz 5 geändert durch G vom 18. 5. 2001 (BGBl I S. 904).

(6) 1Ist der Auftragnehmer eine in § 35 des Ersten Buches genannte Stelle, gelten neben den §§ 85 und 85a nur § 4g Abs. 2, § 18 Abs. 2 und die §§ 24 bis 26 des Bundesdatenschutzgesetzes. 2Bei den in § 35 des Ersten Buches genannten Stellen, die nicht solche des Bundes sind, treten an Stelle des Bundesbeauftragten für den Datenschutz insoweit die Landesbeauftragten für den Datenschutz. 3Ihre Aufgaben und Befugnisse richten sich nach dem jeweiligen Landesrecht. 4Ist der Auftragnehmer eine nicht öffentliche Stelle, kontrolliert die Einhaltung der Absätze 1 bis 5 die nach Landesrecht zuständige Aufsichtsbehörde. 5Bei öffentlichen Stellen der Länder, die nicht Sozialversicherungsträger oder deren Verbände sind, gelten die landesrechtlichen Vorschriften über Verzeichnisse der eingesetzten Datenverarbeitungsanlagen und Dateien.

Absatz 6 Satz 1 geändert durch G vom 18. 5. 2001 (BGBl I S. 904).

(7) 1Die Absätze 1, 2, 4 und 6 gelten entsprechend, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag vorgenommen wird und dabei ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. 2Verträge über Wartungsarbeiten sind in diesem Falle rechtzeitig vor der Auftragserteilung der Aufsichtsbehörde mitzuteilen; sind Störungen im Betriebsablauf zu erwarten oder bereits eingetreten, ist der Vertrag unverzüglich mitzuteilen.

Absatz 7 angefügt durch G vom 18. 5. 2001 (BGBl I S. 904).

Zu § 80: Vgl. RdSchr. 07 s Zu § 80 SGB X.