Externe Dienstleister in sozialen Einrichtungen: Warum der AVV nicht alles regelt

Wann neben der DSGVO auch § 203 StGB und besondere Anforderungen des Sozialdatenschutzes zu beachten sind

Cloud-Dienste, Fachsoftware, externe IT-Dienstleister oder KI-Anwendungen gehören längst zum Arbeitsalltag, auch vieler sozialer Einrichtungen. Werden dabei personenbezogene Daten verarbeitet, ist eine der ersten Fragen häufig: Haben wir mit dem Anbieter einen Vertrag zur Auftragsverarbeitung abgeschlossen? Das ist wichtig. Es kann aber zu kurz greifen.

Denn gerade in Einrichtungen der Daseinsvorsorge und bei sozialen Trägern können Informationen verarbeitet werden, die nicht nur durch die DSGVO geschützt sind. Je nach Tätigkeit und beteiligten Personen können zusätzlich besondere Geheimhaltungspflichten nach § 203 StGB oder Vorschriften des Sozialdatenschutzes gelten. Dies gilt auch allgemein für Berufsgeheimnisträger.

Ein unterschriebener AVV bedeutet deshalb nicht automatisch, dass ein externer Dienstleister rechtlich vollständig abgesichert eingebunden ist.

Datenschutz und Geheimnisschutz sind nicht dasselbe

Die DSGVO schützt personenbezogene Daten und regelt, unter welchen Voraussetzungen sie verarbeitet werden dürfen.

§ 203 StGB schützt dagegen das fremde Geheimnis, das bestimmten Berufs- und Personengruppen im Rahmen ihrer Tätigkeit anvertraut wird.

Im sozialen Bereich können darunter beispielsweise staatlich anerkannte Sozialarbeiter und Sozialpädagogen fallen. Auch bestimmte Beratungsberufe sowie Amtsträger werden von § 203 StGB erfasst.

Ein Beispiel: Eine Sozialpädagogin dokumentiert in einer elektronischen Klientenakte Informationen über die psychische Erkrankung eines Jugendlichen, seine familiäre Situation und Inhalte persönlicher Gespräche.

Diese Informationen sind personenbezogen und treffen den Kern der Entwicklung vom Kind zum Erwachsenen. Gleichzeitig können diese Informationen Geheimnisse im Sinne des § 203 StGB darstellen. Gesundheitsangaben wie eine psychische Erkrankung zählen datenschutzrechtlich zudem zu den besonderen Kategorien nach Art. 9 DSGVO, für die bereits erhöhte Anforderungen gelten.

Nicht jede soziale Einrichtung fällt automatisch unter § 203 StGB

Wichtig ist allerdings: § 203 StGB gilt nicht pauschal für jede soziale Einrichtung und jeden dort Beschäftigten.

Entscheidend ist vielmehr, welche Personen und Funktionen konkret beteiligt sind. § 203 StGB nennt hierfür bestimmte Berufs- und Personengruppen. Dazu gehören im sozialen Bereich beispielsweise staatlich anerkannte Sozialarbeiter und Sozialpädagogen sowie unter bestimmten Voraussetzungen Ehe-, Familien-, Erziehungs-, Jugend- und Suchtberater. Ebenfalls erfasst sein können etwa Amtsträger oder für den öffentlichen Dienst besonders verpflichtete Personen.

Für die Praxis bedeutet das: Im ersten Schritt ist zu klären, ob Berufsgeheimnisträge im Sinne von § 203 StGB am Verarbeitungsvorgang der Daten beteiligt sind, der vom externen Dienstleister unterstützt wird.

Erst danach stellt sich die nächste Frage: Kann der externe Dienstleister auf Geheimnisse zugreifen, die dieser Person im Rahmen ihrer Tätigkeit anvertraut oder bekannt geworden sind?

Warum der AVV allein nicht immer ausreicht

Ein AVV nach Art. 28 DSGVO und die Anforderungen des § 203 StGB erfüllen unterschiedliche Funktionen.

Der AVV regelt die Verarbeitung personenbezogener Daten im Auftrag. Dazu gehören beispielsweise Vorgaben zu Weisungen, Vertraulichkeit, technischen und organisatorischen Maßnahmen und zum Einsatz weiterer Auftragsverarbeiter.

§ 203 StGB sieht dagegen den Schutz fremder Geheimnisse im Vordergrund.

Das bedeutet allerdings nicht, dass geschützte Personen keine externen Dienstleister einsetzen dürfen. Das Gesetz berücksichtigt ausdrücklich, dass weitere Personen an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken können (§ 203 Abs. 3 StGB).

Externe Dienstleister dürfen deshalb eingebunden werden. Ihnen dürfen geschützte Geheimnisse jedoch nur insoweit zugänglich gemacht werden, wie dies für ihre konkrete Mitwirkung erforderlich ist.

Das kann beispielsweise relevant werden bei:

• Fach- und Fallmanagementsoftware,
• Cloud- und Hostingdiensten,
• Dokumentenmanagementsystemen,
• IT-Support und Fernwartung oder
• extern betriebenen KI-Systemen.

Entscheidend ist also nicht allein, ob ein Dienstleister Daten „aktiv liest“. Auch technische Zugriffs- und Supportmöglichkeiten können bei der Prüfung relevant sein.

Auch die Geheimhaltung muss geregelt sein

Kommt § 203 StGB zur Anwendung, wird ein weiterer Punkt wichtig: die Verpflichtung des mitwirkenden Dienstleisters zur Geheimhaltung.

Der Berufsgeheimnisträger muss dafür Sorge tragen, dass eine sonstige mitwirkende Person zur Geheimhaltung verpflichtet wird (§ 203 Abs. 4 Satz 2 StGB).

Hinzu kommt: Auch die mitwirkende Person selbst – etwa der Dienstleister oder dessen Beschäftigte – kann sich strafbar machen, wenn sie ein solches Geheimnis unbefugt offenbart (§ 203 Abs. 4 Satz 1 StGB). Die Geheimhaltungspflicht betrifft damit nicht nur die ursprünglich nach § 203 StGB geschützte Person, sondern auch weitere Personen, die eingebunden werden in die Verarbeitungsvorgänge im Hinblick auf das geschützte Geheimnis.

Dafür ist nicht zwingend immer ein zusätzliches Dokument mit der Überschrift „Vereinbarung nach § 203 StGB“ erforderlich.

Entscheidend ist vielmehr, ob die notwendigen Regelungen bereits wirksam im bestehenden Vertragswerk enthalten sind. Das kann beispielsweise im Dienstleistungsvertrag oder AVV der Fall sein. Fehlen entsprechende Regelungen, kann eine Ergänzung erforderlich werden und sollte vereinbart sein.

Für Unternehmen und Einrichtungen lohnt sich deshalb ein genauer Blick in die vorhandenen Verträge.

Und was ist mit dem Sozialgeheimnis?

Bei bestimmten Einrichtungen kann zusätzlich der besondere Sozialdatenschutz relevant sein.

§ 35 SGB I schützt das sogenannte Sozialgeheimnis. Für die Verarbeitung von Sozialdaten im Auftrag enthält § 80 SGB X weitere Anforderungen. Dazu kann beispielsweise gehören, dass die Beauftragung rechtzeitig vorab gegenüber der zuständigen Rechts- oder Fachaufsichtsbehörde angezeigt werden muss (§ 80 Abs. 1 SGB X).

Auch hier gilt: Nicht jede soziale Einrichtung unterliegt automatisch denselben sozialdatenschutzrechtlichen Vorschriften; diese knüpfen an § 35 Abs. 1 SGB I genannte Stellen an (insbesondere Sozialleistungsträger und die für sie tätigen Auftragnehmer).

Je nach Konstellation können deshalb DSGVO, § 203 StGB und Sozialdatenschutz nebeneinander zu beachten sein.

Was hat das mit KI zu tun?

Das Thema ist nicht neu. Durch den zunehmenden Einsatz generativer KI wird es aber besonders sichtbar.

Gibt beispielsweise eine staatlich anerkannte Sozialpädagogin Informationen aus einem konkreten Klientenfall in ein extern betriebenes KI-System ein, können dem Anbieter des KI-Systems und gegebenenfalls weiteren eingesetzten Dienstleistern geschützte Geheimnisse zugänglich werden. Staatlich anerkannte Sozialpädagogen gehören ausdrücklich zu den von § 203 StGB erfassten Berufsgruppen.

Dann reicht die Frage „Hat der KI-Anbieter einen AVV?“ häufig nicht aus.

Es muss geprüft werden, welche Informationen verarbeitet werden, welche weiteren Anbieter beteiligt sind und ob die Anforderungen des Geheimnisschutzes eingehalten werden.

Das gilt genauso für andere externe Systeme.

Sechs Fragen vor der Beauftragung eines Dienstleisters

Statt pauschal mit jedem Dienstleister zusätzliche Vereinbarungen abzuschließen, empfiehlt sich eine strukturierte Prüfung:

1. Sind Personen beteiligt, die § 203 StGB unterliegen?
2. Welche Informationen erhält oder verarbeitet der Dienstleister?
3. Können ihm dabei geschützte Geheimnisse zugänglich werden?
4. Ist dieser Zugang für seine konkrete Tätigkeit erforderlich?
5. Ist die notwendige Geheimhaltung auch für weitere mitwirkende Personen sichergestellt?
6. Greifen zusätzlich Anforderungen der DSGVO oder des Sozialdatenschutzes?

Diese Fragen lassen sich gut in das bestehende Dienstleistermanagement integrieren.

Fazit: Ein AVV kann nur ein Teil der Prüfung sein

Ein abgeschlossener AVV ist bei der Einbindung externer Dienstleister häufig ein wichtiger Baustein. Er beantwortet aber nicht automatisch alle rechtlichen Fragen.

Gerade bei sozialen Einrichtungen sollte zusätzlich geprüft werden, ob geschützte Geheimnisse nach § 203 StGB betroffen sind oder besondere Anforderungen des Sozialdatenschutzes gelten.

Das betrifft nicht nur KI. Auch Fachsoftware, Cloudanbieter, Hosting, Dokumentenmanagementsysteme oder IT-Support können relevant sein.

Eine zusätzliche Frage im Dienstleistermanagement kann deshalb viel bewirken: „Können diesem Dienstleister geschützte Geheimnisse zugänglich werden – und wenn ja, haben wir auch diese Anforderungen berücksichtigt?“

FAQ

Muss jede soziale Einrichtung § 203 StGB beachten?

Nein. Entscheidend ist, ob Personen beteiligt sind, die zu den in § 203 Abs. 1 oder 2 StGB genannten Personenkreisen gehören, und ob ihnen entsprechende fremde Geheimnisse anvertraut oder sonst bekannt geworden sind.

Reicht ein AVV bei einem externen Dienstleister aus?

Nicht zwingend. Der AVV regelt die datenschutzrechtlichen Anforderungen an eine Auftragsverarbeitung nach Art. 28 DSGVO. Sind zusätzlich Geheimnisse im Sinne des § 203 StGB betroffen, müssen auch die dortigen Anforderungen berücksichtigt werden.

Muss immer eine separate Vereinbarung nach § 203 StGB abgeschlossen werden?

Nein. Entscheidend ist, dass die erforderliche Geheimhaltungsverpflichtung wirksam sichergestellt ist. Ob dies in einem separaten Dokument oder bereits im bestehenden Vertrag erfolgt, hängt von der konkreten Vertragsgestaltung ab.

Betrifft das auch KI-Anbieter?

Das kann der Fall sein. Können einem externen KI-Anbieter im Rahmen der Tätigkeit einer von § 203 StGB erfassten Person geschützte Geheimnisse zugänglich werden, muss auch § 203 StGB bei der Prüfung berücksichtigt werden.