Verschwiegenheit des Datenschutzbeauftragten nach § 5 DSG

§ 5 DSG verpflichtet den Datenschutzbeauftragten und die für ihn tätigen Personen zur Geheimhaltung. Besonders geschützt ist die Identität einer Person, die sich an den Datenschutzbeauftragten wendet. Der Schutz umfasst auch Umstände, aus denen sich diese Identität ableiten lässt. Die erhaltenen Informationen dürfen ausschließlich für die Aufgaben des Datenschutzbeauftragten verwendet werden. Die Pflicht gilt auch nach dem Ende der Tätigkeit weiter.

Im Mittelpunkt steht die besondere Verschwiegenheitspflicht des betrieblichen Datenschutzbeauftragten. Das allgemeine Datengeheimnis anderer Beschäftigter nach § 6 DSG und die Meldepflicht bei einer Datenpanne folgen eigenen Bestimmungen.

§ 5 Abs 1 DSG verpflichtet den Datenschutzbeauftragten und die für ihn tätigen Personen bei der Erfüllung ihrer Aufgaben zur Geheimhaltung. Der Wortlaut knüpft damit an die Funktion und die Tätigkeit an. Erfasst sind auch Personen, die den Datenschutzbeauftragten bei seiner Arbeit unterstützen.

Nach Art. 37 Abs 6 DSGVO kann der Datenschutzbeauftragte beim Verantwortlichen oder Auftragsverarbeiter beschäftigt sein oder seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen. Für die Geheimhaltung nach § 5 DSG kommt es daher nicht allein darauf an, ob die Funktion intern oder extern besetzt ist. Die österreichische Datenschutzbehörde beschreibt ebenfalls beide Organisationsformen.

Die besondere Pflicht des Datenschutzbeauftragten ist von den Geheimhaltungspflichten anderer Beschäftigter zu unterscheiden. § 6 DSG regelt das Datengeheimnis für den Verantwortlichen, den Auftragsverarbeiter und ihre Mitarbeiter. Die persönliche Kontaktaufnahme mit dem Datenschutzbeauftragten fällt in den besonderen Schutzbereich des § 5 DSG. Dieser Beitrag behandelt die Absätze 1 und 2 des § 5 DSG. Die Absätze 3 bis 5 enthalten zusätzliche Organisationsregeln für Datenschutzbeauftragte im öffentlichen Bereich.

§ 5 Abs 1 DSG nennt ausdrücklich die Identität betroffener Personen, die sich an den Datenschutzbeauftragten gewandt haben. Der Schutz umfasst auch Umstände, die Rückschlüsse auf diese Personen zulassen. Eine Namensnennung ist daher nicht die einzige Art, jemanden erkennbar zu machen.

Ein interner Bericht kann etwa durch Abteilung, Zeitpunkt, Projekt oder die Einmaligkeit des geschilderten Vorgangs eine Person identifizieren. Vor der Weitergabe sollte deshalb geprüft werden, welche Angaben für die fachliche Beurteilung gebraucht werden und welche Merkmale die Person erkennbar machen. Eine sachliche Beschreibung kann in manchen Fällen ohne Namen auskommen.

Ein Hinweisgeberkanal ist ein eigener Meldeweg mit einer eigenen rechtlichen Einordnung. Die Verschwiegenheit des Datenschutzbeauftragten folgt dagegen aus seiner Funktion und schützt insbesondere Personen, die ihn zu Fragen ihrer Daten oder ihrer Datenschutzrechte kontaktieren.

Nach Art. 38 Abs 3 DSGVO berichtet der Datenschutzbeauftragte unmittelbar an die höchste Managementebene des Verantwortlichen oder des Auftragsverarbeiters. Diese Berichtspflicht hebt die besondere Verschwiegenheit nach § 5 Abs 1 DSG nicht auf.

Art. 38 Abs 3 DSGVO enthält keine allgemeine Ausnahme, nach der die Identität jeder Person offengelegt werden dürfte, die den Datenschutzbeauftragten kontaktiert. Die Pflichten sind gemeinsam umzusetzen. Ein Bericht kann den festgestellten Ablauf, das Risiko und den nötigen Abhilfeschritt darstellen, ohne eine Person zu benennen, wenn deren Identität für die Aufgabe nicht erforderlich ist.

Weisungsfreiheit und direkte Berichte an die Geschäftsleitung betreffen einen eigenen Teil der Rolle des Datenschutzbeauftragten. Der Beitrag zu Weisungsfreiheit, Berichtslinie und Ressourcen des Datenschutzbeauftragten ordnet diese organisatorische Seite ein.

§ 5 Abs 1 DSG beschränkt die Verwendung zugänglich gemachter Informationen auf die Erfüllung der Aufgaben des Datenschutzbeauftragten. Art. 39 DSGVO nennt dazu die Unterrichtung und Beratung, die Überwachung der Einhaltung datenschutzrechtlicher Vorgaben, die Beratung zu Datenschutz-Folgenabschätzungen, die Zusammenarbeit mit der Aufsichtsbehörde und die Funktion als Anlaufstelle.

Eine Information, die der Datenschutzbeauftragte in dieser Funktion erhalten hat, wird dadurch nicht automatisch zu einem allgemeinen Personalakt oder zu einem freien Beweismittel für eine betriebliche Untersuchung. Soll sie für einen anderen Zweck verwendet werden, braucht es eine davon getrennte rechtliche Prüfung. Die Aufgaben und Zugriffsrechte anderer Beschäftigter sind ebenfalls eigenständig zu ordnen.

Die allgemeine Vergabe und Kontrolle von Zugriffen auf Mitarbeiterdaten behandelt der Beitrag zu Rollen, Protokollen und Kontrollen bei Beschäftigtendaten. Für Mitteilungen im Rahmen einer Aufgabe des Datenschutzbeauftragten gelten zusätzlich die Zweckbindung und die Datenminimierung nach Art. 5 Abs 1 lit c DSGVO.

§ 5 Abs 1 DSG erlaubt die Offenlegung der Identität oder erkennbarer Umstände, wenn die betroffene Person den Datenschutzbeauftragten ausdrücklich von der Verschwiegenheit entbunden hat. Die Erklärung muss daher als ausdrückliche Entbindung erkennbar sein. Aus dem bloßen Umstand, dass jemand eine Prüfung wünscht, folgt noch keine Freigabe seiner Identität.

Für die praktische Beurteilung kommt es darauf an, worauf sich die Erklärung bezieht. Es sollte geklärt sein, welche Angaben an wen weitergegeben werden dürfen und für welchen Anlass. Eine schriftliche Dokumentation erleichtert den Nachweis, auch wenn § 5 DSG selbst keine besondere Form der Erklärung nennt.

Die Entbindung betrifft die besondere Pflicht nach § 5 DSG nur innerhalb ihres erklärten Umfangs. Der Gesetzestext lässt sonstige Verschwiegenheitspflichten ausdrücklich unberührt. Eine Einwilligung oder Freigabe sollte deshalb nicht als pauschale Aufhebung aller anderen Geheimhaltungspflichten behandelt werden.

Der letzte Satz des § 5 Abs 1 DSG hält ausdrücklich fest, dass der Datenschutzbeauftragte und die für ihn tätigen Personen auch nach dem Ende ihrer Tätigkeit zur Geheimhaltung verpflichtet bleiben. Ein Wechsel der Funktion macht Informationen über frühere Kontaktaufnahmen daher nicht nachträglich frei verfügbar.

Bei einem Wechsel des Datenschutzbeauftragten sollten Zugriffsrechte, offene Vorgänge und die Zuständigkeit für vorhandene Unterlagen geordnet übergeben werden. Dabei ist der fortdauernde Geheimhaltungsschutz zu beachten. Die Vorschrift nennt selbst keine bestimmte Aufbewahrungsfrist für Notizen oder Falldokumentationen.

Bei späteren Personalentscheidungen ist zwischen Informationen aus der früheren Tätigkeit des Datenschutzbeauftragten und Informationen aus anderen Aufgaben zu unterscheiden. § 5 erlaubt keine spätere Verwendung dieser Informationen für einen beliebigen Unternehmenszweck.

§ 5 Abs 2 DSG regelt einen besonderen Fall. Hat eine bei der vom Datenschutzbeauftragten kontrollierten Stelle beschäftigte Person für bestimmte Daten ein gesetzliches Aussageverweigerungsrecht und macht sie davon Gebrauch, steht dieses Recht dem Datenschutzbeauftragten und den für ihn tätigen Personen im selben Umfang zu.

Im Umfang dieses Aussageverweigerungsrechts unterliegen auch die Akten und anderen Schriftstücke des Datenschutzbeauftragten einem Sicherstellungs- und Beschlagnahmeverbot. Die Vorschrift knüpft den Schutz damit an ein bereits bestehendes Recht einer beschäftigten Person und dessen tatsächliche Ausübung.

Die Funktion des Datenschutzbeauftragten allein begründet nach § 5 Abs 2 DSG kein umfassendes Aussageverweigerungsrecht für jedes Verfahren und kein pauschales Sicherstellungsverbot für sämtliche Unterlagen. Entscheidend sind die konkrete Person, die Daten und der Umfang des jeweils bestehenden Aussageverweigerungsrechts.

Wir prüfen mit Ihnen, welche Informationen der Datenschutzbeauftragte erhalten hat, ob eine Person daraus erkennbar ist und welche Verwendung geplant ist. Für die erste Einordnung helfen eine Beschreibung des Informationsflusses, der mögliche Empfängerkreis und eine allfällige ausdrückliche Entbindung. Kontaktieren Sie uns, wenn die Offenlegung von Namen oder Umständen rechtlich beurteilt werden soll.