Bekanntmachung der Hinweise des Innenministeriums (Nummer 29) zum Bundesdatenschutzgesetz für die private Wirtschaft und zum Bildschirmtext-Staatsvertrag.
Aus der Praxis der Aufsichtsbehörde für den Datenschutz im nichtöffentlichen Bereich und der Verwaltungsbehörde nach Artikel 13 des Bildschirmtest-Staatsvertrags. Vom 27. Dezember 1989, Az.: 2-0552.1/4 bzw. 2-0263.9-1/. Die Veröffentlichung erfolgt im Anschluß an die Hinweise Nr. 28 im Staatsanzeiger für Baden-Württemberg Nr.1/2 vom 04.01.1989, Seite 10.1. Datenverarbeitung im Auftrag (§ 31 Abs. 1 Satz 1 Nr. 3; §§ 37 ff. BDSG)
1.1 Nochmals: Mikrofilm-Service-Unternehmen
Im Hinweis Nr. 28 hat die Aufsichtsbehörde die Auffassung vertreten, die speichernde Stelle (hier: Arzt, Krankenhaus) dürfe die personenbezogenen Daten an Mikrofilm-Service-Betriebe und evtl. Subunternehmer nur im Rahmen eines Auftragsverhältnisses mit eindeutigen Weisungen nach § 37 BDSG weitergeben. Fehle es hieran, so liege regelmäßig eine unzulässige Datenübermittlung vor, weil die Voraussetzungen nach § 24 BDSG nicht gegeben seien.
Die Aussage ist mißverstanden worden. Deshalb stellt die Aufsichtsbehörde klar:
§ 24 BDSG kommt nur dann zu Anwendung, wenn Daten an einen Dritten weitergegeben, d.h. i.S. des § 2 Abs. 2 Nr. 2 BDSG übermittelt werden. Der Auftragnehmer ist nicht Dritter, § 2 Abs. 3 Nr. 2 BDSG. Das Innenministerium ging bei seiner Formulierung des Hinweises (Erster Spiegelstrich) nicht davon aus, daß ein Auftragsverhältnis i.S. des BDSG nur dann vorliegt, wenn eindeutige Weisungen zwischen Auftraggeber und Auftragnehmer vereinbart sind. Bei der Sensibilität der Daten aus dem medizinischen Bereich besteht jedoch im Rahmen des § 37 i.V. mit § 6 Abs. 1 Satz 1 BDSG und der Nr. 8 der Anlage dazu die Notwendigkeit, klare Absprachen zwischen den datenverarbeitenden Stellen zu treffen (vgl. auch unseren Hinweis Nr. 11 unter Ziff. 6.2).
Fehlt es hingegen an einem Auftragsverhältnis insgesamt, so liegt eine Datenübermittlung - hier zwischen dem Arzt/Krankenhaus und dem "Dritten” - vor.
1.2 Telefonmarketing
Firmen, die Telefonmarketing (auch Telemarketing genannt) als Dienstleistung anbieten, erhalten von ihren Auftraggebern häufig Adressen aus deren Kundenbestand bzw. -datei, um telefonisch Kontakt aufzunehmen und im Gespräch beispielsweise Informationen über neue Produkte weiterzugeben und evtl. Bestellungen aufzunehmen. Teilweise werden zusätzlich Adressen durch das Telefonmarketing-Unternehmen angemietet.
Schwerpunkt der Tätigkeit ist dabei (abgesehen von der vorherigen Beratung und Abstimmung der genauen Gesprächskonzeption mit dem Auftraggeber) die Führung und Dokumentation der einzelnen Telefongespräche. Die Dokumentation erfolgt auf Papier (Vordrucke) oder durch Dateneingabe am Bildschirm.
Dabei entsteht regelmäßig eine Datei, soweit sie nicht bereits durch den verwendeten Auszug aus der Kundenkartei des Auftraggebers gegeben war. Soweit die Datei personenbezogene Daten enthält, handelt es sich bei der Tätigkeit des Telefonmarketing-Unternehmens - je nach Ausgestaltung und Abwicklung des Vertrags - um Datenverarbeitung im Auftrag im Sinne von § 31 Abs. 1 Satz 1 Nr. 3 BDSG. Anhaltspunkte für diese Auftragsdatenverarbeitung sind beispielsweise, wenn sich die Tätigkeit des Dienstleistungsunternehmens im wesentlichen darauf beschränkt, im Rahmen der zu führenden Telefongespräche Daten zu erheben, zu erfassen oder vorhandene Daten zu ändern (etwa durch Fragen nach dem Ansprechpartner, nach der Aufnahme von Bestellungen, Informations- oder Besuchswünschen usw.) und der Auftraggeber als wesentliches Ergebnis der Tätigkeit die Daten erhält. Aber auch dann, wenn beispielsweise lediglich neue Produktinformationen an den Kundenkreis vermittelt werden sollen, also keine Daten erhoben und gespeichert bzw. verändert werden, wird man von Datenverarbeitung im Auftrag ausgehen müssen, weil die vom Auftraggeber zur Verfügung gestellten Kunden-Daten durch das Telefonmarketing-Unternehmen auftragsgemäß zeitweilig gespeichert, d.h. aufbewahrt werden zur weiteren Verwendung (§ 2 Abs. 1 Nr. 1 BDSG). Schließlich spricht für das Vorliegen von Auftragsdatenverarbeitung, wenn der Auftraggeber ausdrücklich Datenherr bleiben will.
Unter diesen Voraussetzungen werden durch das Telefon-Marketing-Unternehmen fremde personenbezogene Daten geschäftsmäßig im Auftrag verarbeitet u.a. mit der Folge, daß diese Tätigkeit gem. § 31 Abs. 1 Satz 1 Nr. 3 BDSG der Meldepflicht nach § 39 BDSG unterliegt.
Etwas anderes könnte nur gelten, wenn die Datenverarbeitung bloßes Hilfsmittel für die Erfüllung eines übergeordneten Zwecks wäre, wie er beispielsweise bei der Unternehmens- und Wirtschaftsberatung gegeben ist. Diese ist allerdings in der Regel dadurch gekennzeichnet, daß die Datenverarbeitung lediglich die Basis für die weitergehende Analyse und die Erarbeitung von Konzepten darstellt.
