何时除 GDPR 外，还须遵守《德国刑法典》第 203 条及社会数据保护的特殊要求
云服务、专业软件、外部 IT 服务提供商和人工智能应用早已成为日常工作的一部分，许多社会机构也不例外。如果在此过程中处理个人数据，人们首先想到的问题往往是：我们是否与提供商签订了委托处理协议？这一点固然重要，但仅此可能还不够。
因为尤其是在公共服务机构和社会服务机构中，所处理的信息可能不仅受 GDPR 保护。根据具体业务和参与人员的不同，还可能适用《德国刑法典》第 203 条规定的特殊保密义务或社会数据保护规定。这一点也普遍适用于职业秘密持有人。因此，签署了数据处理协议（DPA），并不自动意味着外部服务提供商的引入在法律上已完全稳妥。
数据保护与秘密保护并非一回事
GDPR 保护个人数据，并规定在何种条件下可以处理个人数据。而《刑法典》第 203 条保护的则是他人秘密，即特定职业群体和人员在执业过程中受托知悉的秘密。
在社会领域，这可能包括经国家认可的社会工作者和社会教育工作者。某些咨询类职业以及公职人员也受《刑法典》第 203 条约束。
举个例子：一位社会教育工作者在电子个案档案中记录了一名青少年的心理疾病、家庭状况以及个人谈话内容。
这些信息属于个人数据，触及儿童成长为成年人过程中的核心问题。同时，这些信息也可能构成《刑法典》第 203 条意义上的秘密。此外，在数据保护法上，心理疾病等健康信息属于 GDPR 第 9 条规定的特殊类别数据，本身就适用更高的要求。
并非所有社会机构都自动适用《刑法典》第 203 条
但需要注意：《刑法典》第 203 条并非一概适用于所有社会机构及其全部员工。
关键在于具体涉及哪些人员和职能。《刑法典》第 203 条为此列举了特定的职业群体和人员。在社会领域，这包括经国家认可的社会工作者和社会教育工作者，以及在特定条件下的婚姻、家庭、教育、青少年和成瘾问题咨询师。公职人员或负有特别公务义务的人员等也可能被涵盖在内。
在实践中，这意味着：第一步要明确，在外部服务提供商所支持的数据处理过程中，是否有《刑法典》第 203 条意义上的职业秘密持有人参与。
在此之后，才需要回答下一个问题：外部服务提供商能否接触到该人员在执业过程中受托知悉或以其他方式获知的秘密？
为什么仅有数据处理协议并不总是足够
根据 GDPR 第 28 条签订的数据处理协议与《刑法典》第 203 条的要求，各自发挥着不同的作用。
数据处理协议规范的是受托处理个人数据，例如有关指示、保密、技术和组织措施以及使用其他受托处理者的规定。
而《刑法典》第 203 条的重点则在于保护他人秘密。
但这并不意味着受该条约束的人员不得使用外部服务提供商。法律明确考虑到，其他人员可以参与其职业或公务活动（《刑法典》第 203 条第 3 款）。
因此，可以引入外部服务提供商，但只能在其具体参与所必需的范围内向其开放受保护的秘密。
例如，这可能在以下情况下变得重要：
因此，关键并不只在于服务提供商是否“主动读取”数据。技术上的访问和支持权限在评估时同样可能相关。
保密义务同样需要约定
如果适用《刑法典》第 203 条，另一点就变得重要：参与服务的提供商须承担保密义务。职业秘密持有人必须确保其他参与人员负有保密义务（《刑法典》第 203 条第 4 款第 2 句）。
此外，参与人员本身——例如服务提供商或其员工——如果擅自泄露此类秘密，也可能承担刑事责任（《刑法典》第 203 条第 4 款第 1 句）。因此，保密义务不仅涉及原本受《刑法典》第 203 条约束的人员，也涉及参与处理该受保护秘密的其他人员。
为此，并不一定总需要一份标题为“依据《刑法典》第 203 条的协议”的额外文件。关键在于，现有合同体系中是否已有效包含必要的规定，例如在服务合同或数据处理协议中。如果缺少相应规定，可能需要补充并加以约定。因此，企业和机构值得仔细审视现有合同。
那么，社会秘密（Sozialgeheimnis）呢？
对于某些机构，特殊的社会数据保护规定也可能适用。《社会法典》第一编（SGB I）第 35 条保护所谓的社会秘密。对于委托处理社会数据，《社会法典》第十编（SGB X）第 80 条规定了额外要求，例如委托须事先及时向主管的法律监督或专业监督机构报告（SGB X 第 80 条第 1 款）。
这里同样如此：并非所有社会机构都自动适用相同的社会数据保护规定；这些规定针对的是 SGB I 第 35 条第 1 款所列的机构（尤其是社会福利承担机构及为其提供服务的受托方）。因此，视具体情况，可能需要同时遵守 GDPR、《刑法典》第 203 条和社会数据保护规定。
这与人工智能有什么关系？
这一话题并不新鲜，但随着生成式人工智能的日益普及，它变得尤为突出。例如，如果一位经国家认可的社会教育工作者将某一具体个案的信息输入外部运营的人工智能系统，人工智能系统的提供商以及可能参与的其他服务提供商就可能接触到受保护的秘密。经国家认可的社会教育工作者明确属于《刑法典》第 203 条所涵盖的职业群体。
此时，仅问一句 “人工智能提供商是否签署了数据处理协议？” 往往是不够的。还需要审查处理哪些信息、涉及哪些其他提供商，以及是否满足秘密保护的要求。这同样适用于其他外部系统。
委托服务提供商之前要问的六个问题
与其笼统地与每个服务提供商达成额外协议，不如进行结构化的评估：
结论
在引入外部服务提供商时，签订数据处理协议往往是重要的一环，但它并不能自动解决所有法律问题。
数据处理协议只是审查的一部分
尤其是社会机构，还应额外审查是否涉及《刑法典》第 203 条所保护的秘密，或是否适用社会数据保护的特殊要求。
这不仅涉及人工智能。专业软件、云服务提供商、托管服务、文档管理系统或 IT 支持也可能相关。
因此，在服务提供商管理中多问一个问题，往往能起到很大作用：“该服务提供商是否可能接触到受保护的秘密？如果是，我们是否也考虑了相应的要求？”
常见问题解答
每个社会机构都必须遵守《刑法典》第 203 条吗？
不是。关键在于是否涉及属于《刑法典》第 203 条第 1 款或第 2 款所列人员范围的人，以及他们是否受托知悉或以其他方式获知了相应的他人秘密。
与外部服务提供商签订数据处理协议就够了吗？
不一定。数据处理协议规范的是 GDPR 第 28 条对委托处理的数据保护要求。如果还涉及《刑法典》第 203 条意义上的秘密，则也必须考虑该条的要求。
是否总是必须另行签订一份依据《刑法典》第 203 条的协议？
不是。关键在于有效落实必要的保密义务。是通过单独文件还是在现有合同中落实，取决于具体的合同安排。
这是否也适用于人工智能供应商？
有可能。如果外部人工智能提供商在《刑法典》第 203 条所涵盖人员的执业活动中可能接触到受保护的秘密，则在审查时也必须考虑《刑法典》第 203 条。
社会数据保护方面还可能存在哪些附加要求？
对于某些机构，除 GDPR 外，《社会法典》第一编（SGB I）第 35 条规定的社会秘密也可能适用。对于委托处理社会数据，《社会法典》第十编（SGB X）第 80 条规定了额外要求，视具体情况可能包括事先向主管监管机构报告。
在委托服务提供商之前，社会机构应该考虑哪些事项？
社会机构尤其应明确：是否有职业秘密持有人参与、服务提供商处理哪些信息、其能否接触到受保护的秘密，以及这种访问是否必要。此外，还应审查是否已全面考虑 GDPR、《刑法典》第 203 条以及（如适用）社会数据保护的要求。
