Gesundheits- und Sozialdaten: Unternehmen und Vereine in der Verantwortung

Im zurückliegenden Sommer haben aufmerksame Bürger die Landesdatenschutzbeauftragte gleich mehrfach auf Akten hingewiesen, die auf frei zugänglichen Flächen oder in ungenutzten Gebäuden herumlagen. Der Umfang der Aktenfunde reicht von einer einzelnen Kiste voller Dokumente mit gesundheitsbezogenen Kundendaten bis hin zu mehreren Dutzend Umzugskartons, in denen sich Unterlagen mit Gesundheits- und Sozialdaten einer Vielzahl betroffener Personen befanden. Die Landesbeauftragte bereitet derzeit Aufsichts- und Bußgeldverfahren vor, um diese eklatanten Datenschutzverstöße aufzuklären und zu ahnden. In einem besonders schweren Fall hat sie bereits Strafantrag bei der Staatsanwaltschaft gestellt. Dagmar Hartge:

Mich schockiert die Sorglosigkeit einiger schwarzer Schafe beim Umgang mit Sozial- und Gesundheitsdaten. Der potenzielle Schaden für die Betroffenen ist extrem hoch und hätte durch einfache Maßnahmen verhindert werden können. Akten mit Personenbezug sicher aufzubewahren und datenschutzgerecht zu entsorgen – das ist keine große Kunst.

Datensicherheit bleibt eine Daueraufgabe für Unternehmen und Vereine. Sie beschränkt sich nicht auf die elektronische Datenverarbeitung, sondern umfasst auch herkömmliche Papierakten. Dies mag im Zuge der Digitalisierung ein wenig aus dem Blickfeld geraten sein. Unternehmen und Vereine sind verpflichtet, Akten, die einer Aufbewahrungspflicht unterliegen, sicher zu verwahren. Eine datenschutzgerechte Vernichtung nicht mehr benötigter Unterlagen muss gewährleisten, dass ihr Inhalt nicht rekonstruiert werden kann. Wird ein externer Anbieter damit beauftragt, ist ein Vertrag über die Auftragsverarbeitung abzuschließen. Die Verantwortung für eine datenschutzgerechte Entsorgung von Unterlagen besteht zudem auch nach einer Geschäftsauflösung fort. Unbefugte Dritte dürfen in keinem Fall einen Zugriff auf die Daten haben. Erfährt ein Verantwortlicher von der illegalen Aktenentsorgung – beispielsweise durch den Hinweis von Beschäftigten oder Mitgliedern –, muss er dies umgehend der Aufsichtsbehörde melden.

Interne Regelungen und technisch-organisatorische Vorkehrungen können die Einhaltung dieser Anforderungen wesentlich erleichtern. Unternehmen und Vereine sollten deshalb rechtzeitig Konzepte zur Stärkung der Datensicherheit entwickeln. Bei Bedarf berät die Landesbeauftragte gerne.