Das Verzeichnis hat unter anderem den Namen und die Kontaktdaten des Betreuers und ggf. seines Vertreters (Beispiele: Auftragsverarbeitung durch Dritte / ggf. beim Cloud Computing) aufzuführen. Insoweit dient das vom Deutschen Anwaltsverein entwickelte Muster (Musterverzeichnis der Verarbeitungstätigkeit nach Art. 30 DSGVO) als Vorlage zur Veranschaulichung, welches nicht 1 zu 1 in einem Betreuungsbüro umgesetzt werden muss.

Aufgrund vermehrt auftretender Rückfragen von Mitgliedern zum Musterverzeichnis und dem darin enthaltenen Begriff des Auftragsverarbeiters wird klargestellt, dass der Begriff Auftragsverarbeitung (Cloud Computing) nach Art. 4 Nr. 8 DSGVO bestimmt wird. Grundsätzlich ist die Auftragsverarbeitung nach der DSGVO nicht verboten, sondern lediglich an bestimmte Voraussetzungen geknüpft:

Auftragsverarbeiter ist „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet“. Als Auftragsverarbeiter kommen all jene Personen/Dienstleister in Betracht, die die Datenverarbeitung für den Betreuer in dessen Auftrag oder auf dessen Weisung vornehmen (Lohnabrechnung /Steuererklärungen u.a.). Die rechtliche Konstruktion der Auftragsverarbeitung in der Verordnung sieht vor, dass die Verantwortung beim verantwortlichen Betreuer verbleibt und dieser den Auftragsverarbeiter gem. Art. 28 DSGVO sorgfältig auszuwählen hat. Die Auftragsverarbeiter sind ihrerseits nach Art. 28 DSGVO verpflichtet, hinreichende Garantien dafür zu bieten, dass geeignete technische und organisatorische Maßnahmen durchgeführt werden und dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO und dem Schutz der Rechte der betroffenen Personen gewährleistet werden. Die Erwägungsgründe, welche zur Auslegung der  DSGVO herangezogen werden, enthalten unter Ziffer 81 die Formulierung, „dass ein Verantwortlicher, der einen Auftragsverarbeiter mit Verarbeitungstätigkeiten betrauen will, nur Auftragsverarbeiter heranziehen soll, die – insbesondere im Hinblick auf Fachwissen und Zuverlässigkeit – hinreichende Garantien dafür bieten, dass technische und organisatorische Maßnahmen – auch für die Sicherheit der Verarbeitung – getroffen werden, die den Anforderungen der Verordnung genügen. Die Einhaltung eines genehmigten Zertifizierungsverfahrens durch einen Auftragsverarbeiter kann als Faktor herangezogen werden, um die Erfüllung der Pflichten des Verantwortlichen nachzuweisen“.

Die Auftragsverarbeitung sollte nur auf Grundlage eines Vertrages erfolgen, welcher den Anforderungen des Art. 28 Abs. 3 a) -h) genügt. Eine Auftragsverarbeitung durch Dritte Personen, die vom Betreuer zur Verarbeitung von schützenswerten Daten beauftragt wurden, kann folglich haftungsrechtliche Folgen nach sich ziehen, wenn die vorgenannten Voraussetzungen nicht vorliegen. Im eigenen Interesse sollten Betreuer deshalb darauf achten, dass ein wirksamer Vertrag zur Auftragsverarbeitung vorliegt und entsprechende Sicherheitsmaßnahmen getroffen werden und die sich aus der DSGVO ergebende Pflichten eingehalten werden.

Der Beitrag Verzeichnisses über die Verarbeitungstätigkeit und Auftragsverarbeitung (Cloud Computing) erschien zuerst auf BtDirekt | Themen für Berufsbetreuer.

Fraglich ist, ob Berufsbetreuerinnen und Berufsbetreuer generell verpflichtet sind, vor der Datenverarbeitung eine Einwilligung des Betreuten einzuholen.

Der BVfB vertritt die Rechtsauffassung, dass in der Regel für die Rechtmäßigkeit der Datenverarbeitung keine Einwilligungserklärung der betreuten Person erforderlich ist. Eine Einwilligungserklärung der betreuten Person birgt ohnehin die Gefahr in sich, dass sie rechtlich unwirksam ist. Denn nach der EU-Datenschutzgrundverordnung gilt eine Einwilligungserklärung als nicht freiwillig und damit unwirksam abgegeben, wenn zwischen der betroffenen Person (Betreuter) und dem Verantwortlichen (Betreuer) ein klares Ungleichgewicht besteht. Von einem solchen Ungleichgewicht dürfte auf Grund des Zustandes der Betreuten und ihrer Schutzbedürftigkeit in vielen Fällen auszugehen sein. Außerdem kann eine Einwilligungserklärung durch den Betreuten jederzeit widerrufen werden, mit der Folge, dass die verarbeiteten Daten zu löschen wären. Eine Einwilligungserklärung bietet also keinen sicheren Schutz davor, nicht gegen die Regeln der Datenschutzgrundverordnung zu verstoßen.

Betreuer sollten wissen, dass in der EU-Datenschutzgrundverordnung zwischen zwei Arten von personenbezogenen Daten unterschieden wird; nämlich den sensitiven – also besonders schutzbedürftigen – personenbezogenen Daten (Art. 9 DSGVO) und den weniger schutzbedürftigen personenbezogenen Daten in Art. 6 DSGVO. Zu den sensitiven Daten zählen beispielsweise Informationen über die Religionszugehörigkeit oder die rassische und ethnische Herkunft eines Betreuten. Von besonders großer Bedeutung dürften für Berufsbetreuer die Gesundheitsdaten sein, die alle zu den sensitiven Daten zählen. Darunter fallen beispielsweise sämtliche personenbezogenen Gutachten, Atteste, Arztbriefe und sonstigen Unterlagen, die Informationen über den Gesundheitszustand oder die medizinische Versorgung des Betreuten beinhalten. Selbstverständlich gehört hierzu auch, ob ein Grad der Behinderung bei dem Betreuten festgestellt worden ist. Auch Symbole und Nummern, die die Identifizierung des Betreuten ermöglichen, sind sensitive Daten im Sinne von Art. 9 DSGVO (Beispiel: Krankenversicherungsnummer / GdB in Zusammenhang mit dem Geschäftszeichen).

Es liegt auf der Hand, dass eine Betreuung, die den Aufgabenkreis Gesundheitssorge umfasst, ohne dass dem Betreuer sensitive Daten bekannt und verarbeitet werden, nicht vorstellbar ist. Dasselbe dürfte für den Aufgabenkreis Aufenthaltsbestimmung gelten, zumindest dann, wenn eine Unterbringung nach PsychKG oder BGB infrage kommt. Für den Aufgabenkreis Vertretung vor Behörden und Gerichten kommt es darauf an, welche Tätigkeiten von dem Betreuer wahrzunehmen sind. Da in den meisten Fällen sozialrechtliche Ansprüche (Beispiel: Hilfe zur Pflege / Grundsicherung / Erwerbsminderungsrechte) geltend gemacht werden, dürften auch in diesem Aufgabekreis regelmäßig sensitive Daten verarbeitet werden.

Demgegenüber sind Daten, die zur Ausübung der Vermögenssorge und der Regelung der Wohnungsangelegenheiten erforderlich sind, grundsätzlich keine sensitiven Daten. Der Kontostand, das Ausmaß der Schulden, die Namen der Gläubiger, die Adresse des Betreuten, der Inhalt des Mietvertrages sind bzw. beinhalten in der Regel keine sensitiven Daten im Sinne von Art. 9 DSGVO.

1. Erlaubnis zur Datenverarbeitung nach Art. 6 DSGVO

Der BVfB ist der Auffassung, dass die Verarbeitung nicht sensitiver Daten nach Art. 6 Abs. 1 e) DSGVO erlaubt ist. Diese Vorschrift erlaubt die Datenverarbeitung, wenn sie zur Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt und dem Verantwortlichen (Betreuer) durch den nationalen Gesetzgeber übertagen worden sein.

Durch die Bestellung zum Betreuer entscheiden die Betreuungsgerichte darüber, welche Aufgaben für den Betreuten zu erledigen sind. Zwar ergibt sich die Verpflichtung für den Betreuer nicht unmittelbar aus dem Gesetz, jedoch wird sie durch einen gerichtlichen Beschluss konkretisiert und rechtlich verbindlich. Letzteres ergibt sich unter anderem daraus, dass der Betreuer dem Betreuten zivilrechtlich für schuldhaft begangene Pflichtverletzungen haftet.

Zwar nehmen Berufsbetreuer in erster Linie die individuellen Interessen des Betreuten wahr. Jedoch ändert das nichts daran, dass jede Betreuerbestellung auch erfolgt, um dem Schutzauftrag des Staates gerecht zu werden. Dieser besteht darin, dem Betreuten durch die Bestellung eines Betreuers die Entfaltung der eigenen Persönlichkeit und Handlungsfähigkeit zu ermöglichen bzw. zu erleichtern. Menschen mit Behinderungen oder Erkrankungen die Teilhabe an der Gesellschaft zu ermöglichen, ist eine Aufgabe, die im öffentlichen Interesse erfolgt. Berufsbetreuer sind Teil des vom Gesetzgeber geschaffenen Systems (andere Hilfen – rechtliche Betreuung), das zur Bewältigung dieser im öffentlichen Interesse liegenden Aufgabe geschaffen worden ist.

Trotz dieser Regelung ist die Datenverarbeitung auf das erforderliche Maß zu beschränkt. Daher sollte sich generell jeder Berufsbetreuer vor der Datenverarbeitung klar machen, ob diese zur Wahrnehmung der übertragenen Aufgaben erforderlich ist.

2. Erlaubnis zur Datenverarbeitung nach Art. 9 DSGVO

Wesentlich komplizierter und teilweise unklar ist die Beantwortung der Frage, ob sensitive Daten von Berufsbetreuern verarbeitet werden dürfen:

Die Datenschutzgrundverordnung regelt, dass sensitive Daten rechtmäßig verarbeitet werden, wenn dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Mit diesem Erlaubnistatbestand könnte nach Auffassung des BVfB bereits ein weites Tätigkeitsfeld von Berufsbetreuern abgedeckt sein. Bei der Geltendmachung von zivilrechtlichen oder öffentlich-rechtlichen Ansprüchen, die zur Erledigung der übertragenen Aufgabenkreise erforderlich ist, verarbeiten Berufsbetreuer sensitive Daten (Gesundheitsdaten) nach Ansicht des BVfB rechtmäßig. Dies dürfte für sämtliche sozialrechtlichen Ansprüchen gelten, die im Interesse des Betreuten geltend gemacht werden. Hinsichtlich der sozialrechtlichen Mitwirkungspflicht besteht sogar ggf. eine Verpflichtung, diese Daten dem Sozialleistungsträger mitzuteilen. Insoweit ergeben sich nach Ansicht des BVfB keine Widersprüche zur Datenschutzgrundverordnung.

Der BVfB verkennt nicht, dass der Gesetzgeber bei der Regelung wohl in erster Linie die Verarbeitung von Daten eines Anderen durch denjenigen vor Augen hatte, der einen Anspruch geltend macht (Beispiel: Der auf Zahlung des Kaufpreises in Anspruch genommene Beklagte trägt vor, dass der Kläger auf Grund einer schweren psychischen Erkrankung geschäftsunfähig ist und deshalb der Kaufvertrag unwirksam sei. Zum Beweis legt er ein in seinem Besitz befindliches ärztliches Gutachten vor). Der Wortlaut der Regelung umfasst aber unzweifelhaft auch den Fall der Verarbeitung von Daten des Anspruchstellers selbst durch den gesetzlichen Vertreter. Selbstverständlich gilt auch hier, dass die Datenverarbeitung erforderlich sein muss. Letzteres ist in jedem Einzelfall von den Betreuern zu prüfen.

Außerdem erlaubt die Datenschutzgrundverordnung die Verarbeitung sensitiver Daten, wenn dies erforderlich ist, damit der Verantwortliche (Betreuer) oder die betroffene Person (Betreuter) die ihm aus dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist.

Wichtig ist, dass sich die Erlaubnis zur Datenverarbeitung an dieser Stelle aus einem Zusammenspiel der Datenschutzgrundverordnung und dem Bundesdatenschutzgesetz ergibt, denn die Verordnung erlaubt die Datenverarbeitung nur unter Hinweis auf das nationale Recht (sogenannte Öffnungsklausel). Der Gesetzgeber hat von dieser Befugnis im neuen Bundesdatenschutzgesetz Gebrauch gemacht und die oben zitierten Formulierungen aus der Datenschutzgrundverordnung fast wörtlich übernommen.

Stellt man sich auf den Standpunkt, dass die Tätigkeit von Berufsbetreuern generell eine Plicht darstellt, die sich aus dem Recht der sozialen Sicherheit ergibt, könnte man die Ansicht vertreten, dass Berufsbetreuer generell Gesundheitsdaten der Betreuten verarbeiten dürfen. Ob sich eine entsprechende Auslegung der EU-DSGVO bzw. des Bundesdatenschutzgesetzes durchsetzen wird, erscheint der Arbeitsgruppe des BVfB zum Datenschutz zumindest fraglich.

Ebenfalls noch ungeklärt ist, ob die Verarbeitung sensitiver Daten bei einer Unterbringung (Aufenthaltsbestimmung) unmittelbar auf Art. 9 Abs. 2 c) DSGVO gestützt werden kann. Diese Vorschrift erlaubt die Datenverarbeitung zum Schutz lebenswichtiger Interessen des Betroffenen, wenn die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben. Da eine Unterbringung nach § 1906 BGB nur zum Wohl des Betreuten erfolgen darf und eine konkrete Selbstgefährdung voraussetzt, hält es der BVfB für gut vertretbar, bei einer akuten Erkrankung die Datenverarbeitung unter Berufung auf diese Regelung zu rechtfertigen.

Problematisch ist schließlich die Verarbeitung von Gesundheitsdaten, wenn der Aufgabenkreis Gesundheitssorge übertragen worden ist. Zwar ist es datenschutzrechtlich erlaubt, zum Zweck der Gesundheitsvorsorge und für die Versorgung und Behandlung im Gesundheitsbereich sensible Daten zu verarbeiten. Dies soll aber wohl nur gelten, wenn der Verantwortliche (Betreuer) einer Geheimhaltungspflicht unterliegt oder die Verarbeitung unter Aufsicht einer geheimhaltungs-pflichtigen Person erfolgt (Beispiel: Arzt – angestelltes Personal). Letzteres trifft auf Betreuer nicht zu.

Für den BVfB ist die Rechtslage daher hinsichtlich der Verarbeitung sensibler Daten (Gesundheitsdaten) durch Berufsbetreuer außerhalb der Geltendmachung, Ausübung oder Abwehr von Rechten des Betreuten, unübersichtlich. Dies betrifft insbesondere die Verarbeitung von Gesundheitsdaten, wenn die Aufgabenkreis Gesundheitssorge betroffen ist. Angesicht der unklaren Rechtslage empfiehlt der BVfB daher folgende Vorgehensweise:

•  Ist die Datenverarbeitung erforderlich, um Ansprüche geltend zu machen oder abzuwehren, vertritt der BVfB derzeit die Ansicht, dass die Verarbeitung sensibler Daten rechtmäßig erfolgt. Eine Datenverarbeitung ist nach unserer Auffassung auch rechtmäßig, wenn im Falle einer akuten Erkrankung, die die Einwilligungsunfähigkeit des Betreuten zur Folge hat, die Voraussetzungen für eine Unterbringung zu prüfen sind.
• Liegt keiner dieser beiden Fälle vor und ist der Betreute einwilligungsfähig, sollte der Betreute gebeten werden, eine Einwilligungserklärung zu unterschreiben, nachdem diese mit ihm inhaltlich erörtert worden ist
• Ist der Betreute dazu nicht bereit, sollte die Korrespondenz nur zwischen dem Übermittler der sensiblen Daten (Arzt / Krankenhaus) und dem Betreuten stattfinden. An den Betreuer übermittelte Schriftstücke und Daten sollten ohne Datenverarbeitung – also auch ohne eine Kopie anzufertigen – an den Betreuten weitergeleitet werden. Der Betreute kann dann entscheiden, ob und in welchem Umfang er den Betreuer informieren möchte.
• Eine Regelungslücke besteht aus Sicht des BVfB für den Fall, dass der Betreute einwilligungsunfähig ist und der Betreuer mit dem alleinigen Aufgabenkreis Gesundheitssorge die Einwilligung zu einer ärztlichen Heilbehandlung erteilen / verweigern soll. In einem solchen Fall dürfte der Betreuer wohl nur mündliche Informationen durch den aufklärenden Arzt entgegennehmen und keine Daten verarbeiten. Sollten lebenswichtige Interessen des Betreuten betroffen sein, ließe sich die Rechtmäßigkeit der Datenverarbeitung jedoch auf Art. 9 Abs. 2 c) DSGVO stützen.

3. Einwilligung des Betreuten (Muster)

Auch wenn der BVfB dringend davon abrät, sich routinemäßig in jedem Fall eine Einwilligungserklärung von den Betreuten unterschreiben zu lassen, ändert das nichts daran, dass im Einzelfall eine Einwilligungserklärung die Erledigung der Aufgaben für den Betreuten erheblich erleichtern kann:

Am Sichersten dürfte es dann sein, sich von dem Betreuten eine ausdrückliche, schriftliche Einwilligung zur Datenverarbeitung erteilen zu lassen. Hierfür ist es nicht erforderlich, dass der Betreute geschäftsfähig ist. Die datenschutzrechtliche Einwilligung kann auch nicht gleichgesetzt werden mit der Einwilligung in eine medizinische Maßnahme. Das hat zur Folge, dass die Regeln zur mutmaßlichen Einwilligung nach herrschender Meinung datenschutzrechtlich keine Anwendung finden. Die Einwilligung wird teilweise sogar als Realakt angesehen, so dass nach dieser Auffassung wohl die meisten Betreuten grundsätzlich einwilligungsfähig sein dürften.

Eine Einwilligung durch ein schlüssiges Verhalten (konkludente Einwilligung) ist zwar grundsätzlich vorstellbar und zulässig. Sie empfiehlt sich in der Praxis aber nicht, da der Betreuer im Zweifel das Vorliegen einer Einwilligung nachweisen muss. Schweigen ist generell keine (konkludente) Einwilligung. Auch eine Stellvertretung durch den Betreuer sieht die Datenschutzgrundverordnung nicht vor.

Die Einwilligungserklärung ist in leicht verständlicher Sprache abzufassen und sollte inhaltlich – im Rahmen des Möglichen – mit dem Betreuten besprochen werden, bevor sie ggf. unterschrieben wird. Der Betreute sollte auch darauf hingewiesen werden, dass er selbstverständlich nicht verpflichtet ist, die Einwilligung zu erteilen. Berufsbetreuer sollten sich bei einem Gespräch mit dem Betreuten bewusst machen, dass in vielen Fällen ein Abhängigkeitsverhältnis zwischen Betreutem und Betreuer besteht. Sie dürfen dies unter keinen Umständen ausnutzen. Schließlich ist darauf zu achten, dass die Einwilligungserklärung nicht mit anderen Willensbekundungen des Betreuten verbunden wird (sogenanntes Koppelungsverbot).

Ein Muster für eine Einwilligungserklärung, die man aber nicht schematisch auf jeden Betreuungsfall übertragen sollte, befindet sich am Ende dieses Textes. Der Zustand des Betreuten und die Aufgabenkreise werden sich in der Regel auf die Formulierung einer Einwilligungserklärung auswirken.

Vorlage der Einwilligungserklärung

Der Beitrag Datenschutz im Betreuerbüro – Aktuelle Informationen Teil 7 erschien zuerst auf BtDirekt | Themen für Berufsbetreuer.

Die vom Bundesverband freier Berufsbetreuer eingerichtete Arbeitsgruppe „Datenschutz“ hält mehrheitlich die Benennung eines Datenschutzbeauftragten in einem Betreuerbüro (Freiberufler) nach der Europäischen Datenschutzgrundverordnung im Regelfall nicht für erforderlich. Diese Ansicht wird von einem Mitglied der Arbeitsgruppe nicht geteilt.

Eine Ausnahme gilt lediglich, wenn in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dies dürfte auf die wenigsten Betreuerbüros zutreffen. Anders dürfte sich die Rechtslage insoweit ggf. für Betreuungsvereine darstellen.

Abgesehen davon, ist die Bestellung eines Datenschutzbeauftragten auch dann erforderlich, wenn die Kerntätigkeit eines Berufsbetreuers oder einer Berufsbetreuerin in der umfangreichen Verarbeitung sensibler Daten (insbesondere: Gesundheitsdaten) besteht (vgl. Art. 37 DSGVO) oder wenn Berufsbetreuer Datenverarbeitungen vornehmen, die einer Datenschutz-Folgenabschätzung (Art. 35 EU-DSGVO) unterliegen. Eine solche Datenschutz-Folgenabschätzung setzt für Berufsbetreuer erneut eine umfangreiche Verarbeitung sensibler Daten voraus.

Die Mehrheit der Arbeitsgruppe zum Datenschutz vertritt die Ansicht, dass eine solche umfangreiche Datenverarbeitung in einem Betreuerbüro nicht stattfindet. Teilweise ist für eine umfangreiche Datenverarbeitung auf einen Schwellenwert abgestellt worden. In diesem Zusammenhang war von 5000 betroffenen Personen (Betreute) innerhalb eines Zeitraumes von 12 aufeinanderfolgenden Monaten die Rede. Dieser Schwellenwert dürfte selbst in größeren Betreuerbüros nicht erreicht werden. Zwar haben die Aufsichtsbehörden darauf hingewiesen, dass sie sich nicht an solchen Schwellenwerten orientieren wollen, jedoch wird in der Kommentarliteratur davon ausgegangen, dass die Verarbeitung von Patientendaten durch einen einzelnen niedergelassenen Arzt nicht das Kriterium der umfangreichen Datenverarbeitung erfüllt. Die Arbeitsgruppe schließt sich dieser Auffassung an und meint, dass daher erst recht in einem Betreuerbüro keine umfangreiche Datenverarbeitung stattfindet. Für diese Ansicht sprechen auch die Erwägungsgründe zur Datenschutzgrundverordnung (Erwägungsgrund 89), in denen ausdrücklich darauf hingewiesen wird, dass unnötige mit bürokratischem und finanziellem Aufwand verbundene Meldepflichten vermieden werden sollen. Vor diesem Hintergrund wird die Regelung von der herrschenden Meinung restriktiv ausgelegt.

Der Beitrag Datenschutz im Betreuerbüro – Aktuelle Informationen Teil 6 erschien zuerst auf BtDirekt | Themen für Berufsbetreuer.

Das Verzeichnis über die Tätigkeit der Datenverarbeitung beinhaltet – wenn möglich – auch eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM`s), die der Betreuer oder die Betreuerin getroffen hat, um die Sicherheit der personenbezogenen Datenverarbeitung zu gewährleisten.

Dem BVfB ist es besonders wichtig, im diesem Zusammenhang darauf hinzuweisen, dass der Gesetzgeber den Umfang dieser Maßnahmen u.a. vom Zweck der Datenverarbeitung und den Kosten abhängig macht. Berufsbetreuer werden von den Gerichten verpflichtet, bestimmte Aufgaben für den Betreuten zu erledigen. Der Zweck der Datenverarbeitung erfolgt also zum einen im Interesse des Betreuten und zum anderen, um einer von den Betreuungsgerichten übertragenen Pflicht zu entsprechen, deren Verletzung Schadensersatzansprüche des Betreuten zur Folge haben kann. Hinzu kommt, dass zahlreiche – nicht alle – Berufsbetreuer als Einzelunternehmer nicht über die finanziellen Möglichkeiten verfügen dürften, um kostspielige technische Maßnahmen zur Verbesserung der Datensicherheit zu ergreifen. Es liegt daher auf der Hand, dass die Anforderungen an die Datensicherheit in großen Unternehmen, die häufig Daten im eigenen Interesse verarbeiten, deutlich höher sind als in einem Betreuungsbüro.

Dieser Ausgangspunkt ändert aber nichts daran, dass Berufsbetreuer verpflichtet sind, sich grundsätzlich Gedanken über die Datensicherheit in ihrem Betreuungsbüro zu machen und die ergriffenen technischen und organisatorischen Maßnahmen in dem Verzeichnis über die Tätigkeit der Datenverarbeitung niederzulegen.

Dem BVfB ist außerdem der Hinweis wichtig, dass der Gesetzgeber die im Einzelfall zu treffenden TOM`s nicht beschrieben hat und eine eigenverantwortliche Abwägung des Betreuers verlangt, bei der die Schwere der Risiken für die Rechte der Betreuten, die Eintrittswahrscheinlichkeit (Verlust, Veränderung, Vernichtung oder unbefugte Offenlegung personenbezogener Daten) und der Stand der Technik zu berücksichtigen sind.

Der BVfB empfiehlt anhand folgender Checkliste zu prüfen, welche TOM`s zur Datensicherheit ergriffen worden sind und ob diese als ausreichend angesehen werden. Anschließend sollten die TOM’s im Verzeichnis über die Tätigkeit der Datenverarbeitung – geordnet nach der Checkliste -beschrieben werden. Die Checkliste ist so umfangreich, damit zumindest jeder Problembereich gedanklich überprüft und abgehakt wird. Das bedeutet nicht, dass sämtlich in Frage kommenden TOM’s im Verzeichnis über die Tätigkeit der Datenverarbeitung erwähnt werden müssen. Der BVfB berät nicht zu technischen Fragen der IT-Sicherheit. Insoweit wird empfohlen – soweit erforderlich – sich bei IT-Fachleuten sachkundig zu machen.

Checkliste

I. Zugangskontrolle

Die Zugangskontrolle soll verhindern, dass Unbefugte Zugang zu Verarbeitungsanlagen (Bsp.: Server / eigener PC) erhalten, mit denen die Verarbeitung durchgeführt wird

1. Passwortgeschützter Zugang
2. Alarmanlage
3. Sicherheitsschlösser
4. Sorgfältige Auswahl des Reinigungspersonals
5. Abschließbare Serverschränke

II. Datenträgerkontrolle

Die Datenträgerkontrolle soll verhindern, dass Unbefugte Datenträger (CD-Rom / USB-Stick / Aktenordner) lesen, kopieren, verändern oder löschen können

1. Sichere Aufbewahrung von Datenträgern
2. Kennzeichnung der Aktendeckel lediglich mit den Initialen des Betreuten
3. Weitergabe von Daten in anonymisierter oder pseudonymisierter Form
4. Ordnungsgemäße Vernichtung von Datenträgern
5. Einsatz von Aktenvernichtern
6. Vernichtung von größeren Aktenmengen durch Dienstleister mit Datenschutz-Gütesiegel
7. Einrichtung von Standleitungen bzw. VPN-Tunneln
8. Verschlüsselung von mobilen Datenträgern

III. Benutzerkontrolle

Die Benutzerkontrolle soll verhindern, dass Unbefugte automatisierte Verarbeitungssysteme mit Hilfe von Datenübertragung nutzen können

1. Festlegung zugangsberechtigter Mitarbeiter
2. Passwortvergabe
3. Regelmäßige Kontrolle von Berechtigungen
4. Sperrung von Berechtigungen ausscheidender Mitarbeiter
5. Einsatz von Anti-Viren-Software (aktualisieren)

IV. Speicherkontrolle

Speicherkontrolle soll verhindern, dass Unbefugte von gespeicherten personenbezogenen Daten Kenntnis nehmen sowie diese eingeben, löschen oder verändern können

1. Vergabe von persönlichen Passwörtern
2. Festlegung von Berechtigungen zum Zugang zum IT-System
3. Festlegung von Passwortrichtlinien (Anzahl der Zeichen / Buchstaben / Zahlen / Sonderzeichen)

V. Zuverlässigkeit

Die Zuverlässigkeit soll gewährleisten, dass alle Funktionen des Systems zur Verfügung stehen und auftretende Fehlfunktionen gemeldet werden

1. Anti-Viren-Schutz (aktualisieren)
2. Automatisierte Meldung von Fehlfunktionen
3. Unabhängig voneinander funktionierende Systeme

VI. Wiederherstellbarkeit und Datenintegrität

Die Wiederherstellbarkeit soll gewährleisten, dass eingesetzte Systeme im Störfall wiederhergestellt werden können. Die Datenintegrität soll gewährleisten, dass gespeicherte, personenbezogene Daten nicht durch Fehlfunktionen beschädigt werden können.

1. Erstellen eines Backup- & Recoverykonzepts
2. Regelmäßige externe Speicherung der Daten (externe Festplatte / USB-Stick)
3. Erstellen eines Notfallplans

VII. Verfügbarkeitskontrolle

Die Verfügbarkeitskontrolle soll gewährleisten, dass personenbezogene Daten gegen Zerstörung oder Verlust geschützt sind

1. Feuer- und Rauchmeldeanlagen
2. Feuerlöschgeräte in Servernähe
3. Geräte zur Überwachung von Temperatur, Feuchtigkeit und / oder beim Betreten von Räumlichkeiten durch Unbefugte
4. Erstellen eines Notfallplans

VIII. Transportkontrolle

Die Transportkontrolle soll gewährleisten, dass bei der Übermittlung von personenbezogenen Daten sowie beim Transport von Datenträgern die Vertraulichkeit geschützt wird

1. Passwortgeschützter Zugang zu Datenträgern
2. Einsatz von Verschlüsselungstechnologien

IX. Übertragungskontrolle

Die Übertragungskontrolle soll gewährleisten, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung (Beispiel: Email / Telefax) übermittelt oder zur Verfügung gestellt wurden

1. Erstellen einer Übersicht von regelmäßigen Abruf- und Übermittlungsvorgängen
2. Dokumentation der Empfänger von Daten (nach Ansicht des BVfB kann sich diese Dokumentation bereits aus einer gründlichen Aktenführung ergeben, wenn dort die Übertragung der Datenübermittlung dokumentiert wird)

In größeren Betreuungsbüros mit mehreren Mitarbeitern, die nur zu einem Teil der personenbezogenen Daten Zugang haben dürfen, sind ggf. Maßnahmen zur Zugriffskontrolle erforderlich (Bsp.: Mehrere Betreuer / Betreuerinnen arbeiten in Bürogemeinschaft zusammen und jeder beschäftigt Mitarbeiter, die ausschließlich für ihn / sie tätig sind).

Der Beitrag Datenschutz im Betreuerbüro – Aktuelle Informationen Teil 5 erschien zuerst auf BtDirekt | Themen für Berufsbetreuer.

Die Datenschutzgrundverordnung verpflichtet Berufsbetreuer, ein Verzeichnis über die Tätigkeit der Datenverarbeitung anzulegen (Art. 30 DSGVO). Diese Pflicht gilt zwar nicht ausnahmslos, jedoch jedenfalls dann, wenn ein Risiko für die Rechte und Freiheiten des Betreuten besteht. Letzteres ist bei der Verarbeitung von Gesundheitsdaten der Fall (Stichwort: Gesundheitssorge) und auch dann, wenn Daten nicht nur gelegentlich verarbeitet werden. Der BVfB ist der Ansicht, dass einer dieser beiden Tatbestände in der Regel vorliegen dürfte und rät daher seinen Mitgliedern, ein Verzeichnis über die Verarbeitungstätigkeit anzulegen.

Das Verzeichnis ist schriftlich anzulegen, kann aber ohne weiteres in einem elektronischen Format (Beispiel: Exel-Tabelle) niedergelegt werden. Die Datenschutzgrundverordnung macht keine Vorgaben darüber, ob das Verzeichnis für jede Betreuung gesondert geführt werden muss oder in einer Tabelle sämtliche Betreuungen zusammengefasst werden. Das kann also jeder Betreuer selbst entscheiden und die Organisationsform wählen, die ihm am besten erscheint. Der Inhalt des Verzeichnisses sollte in regelmäßigen Abständen überprüft werden, um es auf dem neuesten Stand zu halten.

Das Verzeichnis dient dazu, der Aufsichtsbehörde Auskunft erteilen zu können. Es ist auf Anfrage der Behörde vorzulegen. Solange eine solche Anfrage nicht vorliegt, genügt die Aufbewahrung des Verzeichnisses im Betreuerbüro. Anhand des Verzeichnisses über die datenverarbeitende Tätigkeit soll sich die Aufsichtsbehörde in konzentrierter Form einen ersten Überblick über die Datenverarbeitung im Betreuerbüro verschaffen können. Daher genügt es nicht, dass sich sämtliche in das Verzeichnis aufzunehmenden Angaben auf der Festplatte gespeichert und abrufbar sind. Das Verzeichnis muss folgende Angaben beinhalten:

1. Name und Kontaktdaten des Betreuers und ggf. seines Vertreters (Beispiel: Auftragsverarbeitung durch Dritte / ggf. beim Cloudcomputing der Fall)
2. Der Zweck der Verarbeitung: Hier dürfte es nach unserer Auffassung genügen, auf die Tätigkeit als rechtlich bestellter Betreuer und die übertragenen Aufgabenkreise zu verweisen
3. Beschreibung der Kategorien betroffener Personen: Das sind rechtlich Betreute im Sinne des § 1896 Abs. 1 BGB; ggf. auch Dritte (Bsp.: Familienangehörige). An dieser Stelle müssen nach unserer Rechtsauffassung also nicht sämtliche Namen der Betreuten aufgelistet werden. Es geht nämlich nach dem Gesetzestext um die Benennung der Kategorien.
4. Kategorien von Empfängern, denen die Daten offengelegt werden: Die Kategorien von Empfängern können je nach Betreuung sehr unterschiedlich sein und sollten in regelmäßigen Abständen überprüft werden. (Bespiele: Krankenhäuser, behandelnde Ärzte, Sozialbehörden, Vermieter, ggf. aber auch Familienangehörige oder Bekannte). Der BVfB vertritt die Rechtsauffassung, dass in dem Verzeichnis nicht die Kontaktdaten sämtlicher Empfänger aufgelistet werden müssen. Es genügt die möglichst konkrete kategorisierte Benennung von Personengruppen (Beispiel: die Angabe „Behörden“ würden wir für zu allgemein halten, wenn eine genauere Bezeichnung möglich ist:  Sozialbehörden / Jobcenter / Bezirksämter etc.)
5. Löschungsfristen (Grundsätzlich sind personenbezogene Daten / Unterlagen nach Beendigung der Betreuung an den Betreuten oder seine Erben herauszugeben. Häufig wird man daher keine Frist benennen können, da das Ende der Betreuung in den wenigsten Fällen bekannt ist. Ungeklärt ist, ob und ggf. wie sich die EU-Datenschutzgrundverordnung auf die steuerrechtliche Aufbewahrungspflicht von 10 Jahren und die Aufbewahrung zum Schutz vor möglichen Schadensersatzansprüchen bis zum Eintritt der Verjährung (3 Jahre) auswirken wird. Soweit möglich, wird man im Hinblick auf den Grundsatz der Datenminimierung für verschiedene Aktenbestandteile zu unterschiedlichen Ergebnissen gelangen. Solange zu diesen Fragen keine Rechtsprechung vorliegt, halten wir zunächst eine Aufbewahrung der vollständigen, nicht herauszugebenden Akten bis zum Ablauf der Verjährungsfrist in der Regel für mit dem Datenschutzrecht vereinbar. Die steuerrechtlich relevanten Unterlagen sind nach unserer Ansicht weiterhin grundsätzlich 10 Jahre aufzubewahren.
6. Wenn möglich: Beschreibung der technischen und organisatorischen Maßnahmen zum Datenschutz (sogenannte. TOM`s) – Wichtig: Diese Maßnahmen werden im nächsten Artikel näher beschrieben.

Der BVfB hält es für unwahrscheinlich, dass Berufsbetreuer in den Monaten nach Inkrafttreten der EU-Datenschutzgrundverordnung von den Aufsichtsbehörden regelmäßig zur Vorlage des Verzeichnisses über die Verarbeitungstätigkeit aufgefordert werden. Pflichtverstöße können zwar mit Bußgeldern geahndet werden. Mit der Verhängung von Bußgeldern dürfte nach unserer Einschätzung jedoch zunächst nur zu rechnen sein, wenn innerhalb einer angemessenen Frist gar kein Verzeichnis über die Verarbeitungstätigkeit vorgelegt werden kann oder konkrete Beanstandungen des Verzeichnisses durch die Behörde von einem Betreuer nicht abgestellt werden. Abgesehen davon, halten wir es für durchaus diskutabel, das Verzeichnis der Aufsichtsbehörde mit der Anfrage zuzusenden, ob es den gesetzlichen Anforderungen entspricht.

Um einen Eindruck von der Erstellung eines Verzeichnisses über die Verarbeitungstätigkeit in Form einer Exel-Tabelle zu bekommen, empfehlen wir unseren Mitgliedern, sich das vom Deutschen Anwaltsverein – auch für Großkanzleien – entwickelte Muster (Musterverzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO) anzusehen, das in einem Betreuerbüro nicht 1 zu 1 umgesetzt werden muss (https://anwaltverein.de/de/praxis/datenschutz).

Der Beitrag Datenschutz im Betreuerbüro – Aktuelle Informationen Teil 4 erschien zuerst auf BtDirekt | Themen für Berufsbetreuer.

I. Datenschutz durch Systemgestaltung

Datenschutz durch Systemgestaltung setzt zeitlich vor der Datenverarbeitung an und richtet sich zunächst an diejenigen, die technische Systeme – wie beispielsweise eine Software oder einen Browser – entwickeln. Diese technischen Systeme müssen so ausgestaltet sein, dass sie nach dem jeweiligen Stand der Technik datenschutzfreundlich sind. Der Datenschutz soll diesen Systemen immanent sein.

Der für den Datenschutz verantwortliche Betreuer ist verpflichtet, ein System zu verwenden, das den Anforderungen an die Datenschutzgrundverordnung entspricht. Bei der Auswahl des Systems wird verlangt, dass von den am Markt verfügbaren Systemen dasjenige auszuwählen ist, das die datenschutzrechtlichen Grundsätze technisch am effizientesten und fortschrittlichsten umsetzt, wobei die hierfür erforderlichen Kosten und die Risiken für die betroffenen Personen (Betreuten) in eine Gesamtbetrachtung mit einbezogen werden können.

Leichter gesagt, als getan! Was bedeutet diese Pflicht für einen Berufsbetreuer, der in der Regel nicht beurteilen kann, welches technische System den Anforderungen an die EU-Datenschutzgrundverordnung entspricht? Die Geschwindigkeit, mit der Computerprogramme weiterentwickelt werden, ist rasant. Was heute noch dem Stand der Technik entsprochen hat, kann wenige Monate später schon wieder veraltet sein. Welches technische System, welche Software, welchen Browser muss ich also als Betreuer auswählen, um nicht gegen die EU-Datenschutzgrundverordnung zu verstoßen?

Der Gesetzgeber hat dieses Problem erkannt. Die Effizienz einer Technik wird von Technikern diskutiert und beurteilt. An dieser Stelle sind daher die Aufsichtsbehörden und das Bundesamt für Sicherheit in der Informationstechnik gefordert. Es ist ihre Aufgabe, den unbestimmten Rechtsbegriff „Stand der Technik“ zu konkretisieren, indem beispielsweise Techniken beschrieben werden, die nicht mehr dem Stand der Technik entsprechen oder Empfehlungen ausgesprochen werden. Solange dies nicht geschehen ist, kann von einem Berufsbetreuer nicht erwartet werden, dass er die am Markt erhältlichen Systeme daraufhin technisch überprüft, welches von ihnen am besten der Datenschutzgrundverordnung gerecht wird.

Tipp: Berufsbetreuer sollten sich regelmäßig auf der Homepage des Bundesamtes für Sicherheit in der Informationstechnik informieren, ob dort Empfehlungen zum Stand der Technik für Privatpersonen und Unternehmer gegeben werden. Außerdem werden auf der Seite www.datenschutzzentrum.de/sdm/ Ansatzpunkte für ein datenschutzfreundliches System (Standard-Datenschutzmodell) dargestellt.

In engem Zusammenhang mit dem Datenschutz durch Systemgestaltung stehen die sogenannten datenschutzfreundlichen Voreinstellungen. Auch hier geht es noch nicht um die Frage, ob und in welchem Umfang Daten des Betreuten durch den verantwortlichen Betreuer verarbeitet werden, sondern um Voreinstellungen des verwendeten technischen Systems. Hierzu zählt beispielsweise die Voreinstellung in einem Browser, Cookies nach jeder Sitzung zu löschen.

Durch datenschutzfreundliche Voreinstellungen soll vermieden werden, dass personenbezogene Daten einer unbestimmten Zahl von Personen zur Verfügung gestellt werden. Die Adressaten dieser Verpflichtung sind daher in erster Linie die Betreiber sozialer Netzwerke und die Anbieter von Suchmaschinen oder Computerspielen (internetbasierte Dienste), soweit sie die zur Verfügung gestellten Daten verarbeiten. Für Berufsbetreuer sollte die Verarbeitung personenbezogener Daten in einer Suchmaschine oder in den sozialen Netzwerken tabu sein. Sie ist – unabhängig davon – auch nicht erforderlich. So wäre beispielsweise nach unserer Einschätzung das Suchen nach den Auswirkungen eines bestimmten Medikamentes zusammen mit dem Namen einer betreuten Person in einer Suchmaschine unzulässig.

Verstöße gegen den Datenschutz im Zusammenhang mit der Systemgestaltung können mit Bußgeldern geahndet werden. Der BVfB hält es derzeit für äußerst unwahrscheinlich, dass Berufsbetreuer insoweit in den Fokus der Aufsichtsbehörden geraten. Die Verpflichtungen, die sich aus dem Datenschutz durch Systemgestaltung ergeben, sind derzeit noch sehr unbestimmt. Es ist die Aufgabe von Behörden und Gerichten, die Anforderungen an eine datenschutzfreundliche Systemgestaltung zu konkretisieren. Solange dies nicht der Fall ist, dürften nach Auffassung des BVfB Bußgelder nur verhängt werden, wenn die Aufsichtsbehörde vorher dem Betreuer in einer konkreten Anordnung darauf hinweist, welchen Standard er zu beachten hat.

Der Beitrag Datenschutz im Betreuerbüro – Aktuelle Informationen Teil 3 erschien zuerst auf BtDirekt | Themen für Berufsbetreuer.

Im Rahmen des sachlichen Anwendungsbereiches der Verordnung (Art. 2) ist nicht erkennbar, dass Berufsbetreuer hiervon ausgenommen sind. Anhaltspunkte für das Vorliegen eines der in Absatz 2 genannten Ausnahmetatbestände sind nicht ersichtlich. Der Verband vertritt die Ansicht, dass auch ehrenamtlich tätige Betreuer, die noch nicht zu Berufsbetreuern bestellt worden sind, vom sachlichen Anwendungsbereich erfasst werden. Auf Grund eines einheitlichen Schutzes für Betreute meinen wir außerdem, dass die Verordnung für sämtliche ehrenamtlich tätigen Betreuer gilt, insbesondere auch dann, wenn – wie in der Regel – eine verwandtschaftliche Beziehung zwischen Betreuer und Betreuten besteht.

Zwar sieht Art. 2 Abs. 2 EU-DSGVO vor, dass bei der Ausübung ausschließlich persönlicher und familiärer Tätigkeiten die Verordnung keine Anwendung findet. Hiervon wird man aber auch bei einer ehrenamtlich geführten Betreuung nicht ausgehen können, da der Tätigkeit eine gerichtlich angeordnete Aufgabenzuweisung zugrunde liegt.

Sobald Berufsbetreuer im Rahmen ihrer Tätigkeit ganz oder teilweise eine automatisierte Verarbeitung personenbezogener Daten sowie die nichtautomatisierte Verarbeitung personenbezogener Daten in einem Dateisystem speichern oder speichern wollen, werden sie vom sachlichen Anwendungsbereich der EU-DSGVO erfasst. Auch wenn die meisten Berufsbetreuer in diesem Zusammenhang zuerst an das Speichern von Daten auf der Festplatte eines Rechners denken, sind selbstverständlich auch in Papierform abgelegte und aufbewahrte Daten (Aktenordner etc.) vom Anwendungsbereich der Verordnung erfasst.

Personenbezogene Daten sind im Rahmen der Verordnung „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen – Art. 4 EU-DSGVO. Die Erfüllung der Aufgabenbereiche eines Berufsbetreuers steht in unmittelbaren Zusammenhang mit personenbezogenen Daten und auf Grund der Aktenführung, die bei Berufsbetreuern wohl immer personenbezogen erfolgt, dürfte es sich bei nahezu sämtlichen Daten, die Berufsbetreuer verarbeiten um personenbezogene Daten handeln.

Diese werden auch vom Berufsbetreuer im Rahmen seiner Berufsausübung „verarbeitet“, da „Verarbeitung“ im Sinne der EU-DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführter Vorgang im Zusammenhang mit personenbezogenen Daten darstellt. Sobald personenbezogene Daten erhoben, erfasst, organisiert, geordnet, gespeichert, angepasst oder verändert werden, liegt eine Verarbeitung im Sinne des Art. 4 EU-DSGVO vor.

Die EU-DSGVO bestimmt in Art. 5 die Grundsätze für die Verarbeitung personenbezogener Daten. Um dem darin enthaltenen Transparenzgrundsatz zu genügen, müssen alle Informationen und Mitteilungen zur Verarbeitung personenbezogenen Daten verständlich sowie in klarer und einfacher Sprache abgefasst sein. Für Berufsbetreuer dürften sich im Hinblick auf den Transparenzgrundsatz kaum Probleme ergeben, da Betreuer in der Regel Daten unverändert speichern und auch bei der Weitergabe an Dritte nicht verändern.

Die Verarbeitungszwecke müssen bereits zum Zeitpunkt der Erhebung der personenbezogenen Daten feststehen. Darüber hinaus müssen die erhobenen Daten für die genannten Zwecke angemessen und erheblich sowie auf das notwendige Maß beschränkt sein. Dieser Grundsatz könnte im Rahmen einer Überschreitung der Aufgabenbereiche für Berufsbetreuer relevant werden. Sollte die berufliche Tätigkeit und der damit verbundene Auftrag überschritten werden und personenbezogene Daten angesammelt werden, welche nicht in Zusammenhang mit der Berufsausübung stehen, könnten sich unter Umständen haftungsrechtliche Konsequenzen ergeben. Sollte sich während einer Betreuung abzeichnen, dass Daten, die in keinem Zusammenhang mit einem Aufgabenkreis stehen, zukünftig verarbeitet werden sollen, muss ggf. eine Erweiterung des Aufgabenkreises beim Betreuungsgericht beantragt werden.

Die Frage, ob Daten durch Berufsbetreuer verarbeitet – insbesondere erhoben und gespeichert – werden dürfen, kann nur einzelfallbezogen und eigenverantwortlich beantwortet werden. Das liegt bereits daran, dass sich die Zulässigkeit der Datenverarbeitung auch nach den übertragenen Aufgabenkreisen richtet. Der Verband vertritt allerdings die Ansicht, dass bei Betreuungen – die generell auf eine gewisse Zeitspanne (mindestens 6 Monate, häufig deutlich länger) angelegt ist – Daten bereits dann erhoben und gespeichert werden dürfen, wenn absehbar ist, dass sie für die Erledigung der übertragenen Aufgaben benötigt werden.

Beispiel 1:
Wenn der Aufgabenkreis Vertretung vor Behörden übertragen worden ist und der Betreute nicht über einen Schwerbehindertenausweis verfügt, obwohl Anhaltspunkte für das Vorliegen einer Schwerbehinderung vorliegen, können bereits zu Beginn der Betreuung ärztliche Atteste und Gutachten erhoben und gespeichert werden, wenn beabsichtigt ist, den Grad der Behinderung bei der zuständigen Behörde feststellen zu lassen. Der Verarbeitungszweck (Antrag auf Feststellung des GdB) steht dann bereits zu Beginn der Betreuung fest, auch wenn der Antrag ggf. erst einige Monate später gestellt werden soll.

Beispiel 2:
Wenn einer Betreuerin nur der Aufgabenkreis Vermögenssorge übertragen worden ist, besteht grundsätzlich kein Grund dafür, ärztliche Atteste oder Gutachten über den Gesundheitszustand des Betreuten zu erheben und zu speichern. Das kann sich aber im Verlauf der Betreuung ändern, wenn beispielsweise der Nachweis der Geschäftsunfähigkeit des Betreuten in einem Prozess erforderlich wird, in dem ein Gläubiger einen Zahlungsanspruch gegen den Betreuten geltend macht.

Die Beispiele sollen verdeutlichen, dass die Entscheidung über das Verarbeiten von Daten ein eigenverantwortliches Handeln des Betreuers verlangt. Schwarz-Weiß-Malerei oder der Wunsch nach Eindeutigkeit helfen da nicht weiter.

Der Beitrag Datenschutz im Betreuerbüro – Aktuelle Informationen Teil 2 erschien zuerst auf BtDirekt | Themen für Berufsbetreuer.

Dazu wurde vom Vorstand des Verbandes die Arbeitsgruppe „Datenschutz“ eingerichtet, welche sich mit diesem Thema befasst und in regelmäßigen Zeitabständen hierzu aktuelle Entscheidungen und Kommentierungen in der BTDirekt veröffentlichen wird.

Rechtlich verankert wird der Datenschutz durch die „Europäische Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz – Grundverordnung)“ welche am 04.05.2016 im Amtsblatt der Europäischen Union veröffentlicht wurde.

Gemäß Art. 99 Abs. 1 EU – DSGVO tritt die Datenschutz – Grundverordnung am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Gemäß Art. 99 Abs. 2 EU-DSGVO entfaltet die Regelung gesetzliche Wirkung erst ab dem 25. Mai 2018. Ab diesem Zeitpunkt gilt die Verordnung unmittelbar in jedem Mitgliedsstaat und ist in all ihren Teilen verbindlich.

Die EU-DSGVO hat zwei Regelungsziele, die in Art. 1 EU-DSGVO niedergeschrieben sind. Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten soll sichergestellt werden, wie der freie Verkehr dieser Daten. Zwischen den beiden unterschiedlichen Regelungszielen versuchte der europäische Gesetzgeber einen Ausgleich zu finden. Ob dies gelungen ist wird sich im Laufe der Anwendung und der damit verbundenen rechtlichen Auseinandersetzung zeigen.

Das in Deutschland geltende Bundesdatenschutzgesetz soll zum 25. Mai 2018 durch ein, der EU-DSGVO entsprechendes Bundesdatenschutzgesetz abgelöst werden.

Inwieweit das Bundesdatenschutzgesetz in seiner neuen Fassung der EU-DSGVO entspricht und die dort vorgesehenen Regelungsziele umsetzt wird sich in den unterschiedlichen Anwendungsbereichen zeigen müssen.

Der Beitrag Datenschutz im Betreuerbüro – Aktuelle Informationen Teil 1 erschien zuerst auf BtDirekt | Themen für Berufsbetreuer.