In einer MPU-Akte treffen drei Regelwerke aufeinander.

Welche drei Regelwerke sind das?

Das erste ist Artikel 9 DSGVO. Angaben zu Alkohol, Medikamenten oder Betäubungsmitteln sind Gesundheitsdaten. Ihre Verarbeitung ist nach Artikel 9 Absatz 1 zunächst untersagt und nur über eine Ausnahme aus Absatz 2 erlaubt.

Das zweite ist Artikel 10 DSGVO. Er regelt personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten. Trunkenheit im Verkehr gehört dazu.

Das dritte ist § 203 des Strafgesetzbuchs, die Schweigepflicht. Ein Verstoß dagegen ist eine Straftat.

Die drei gelten nebeneinander. Keines ersetzt das andere, und keines hebt das andere auf.

Wann greift die Schweigepflicht, und wann nicht?

Sie greift nicht bei jedem, der eine MPU-Beratung führt. § 203 Absatz 1 StGB zählt die Berufe auf, und Nummer 2 lautet im Wortlaut „Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlußprüfung“.

Ein Diplom-Psychologe erfüllt das. Ein Master in Psychologie einer deutschen Hochschule in aller Regel ebenfalls. Ein Verkehrsfachmann, ein Fahrlehrer oder ein Quereinsteiger mit langer Erfahrung erfüllt es nach dem Wortlaut nicht.

Für ihn bleibt es bei der Datenschutz-Grundverordnung und bei dem, was er im Beratungsvertrag zugesagt hat. Das ist weniger scharf. Egal ist es trotzdem nicht. Wer beides verwechselt, schätzt seine Lage in die eine oder die andere Richtung falsch ein.

Prüfen Sie das einmal für sich selbst und schreiben Sie die Antwort auf. Sie brauchen sie wieder, sobald ein Softwareanbieter, eine Schreibkraft oder ein Buchhalter an die Akten kommt.

Was heißt das für Ihre Mitarbeiter?

Für Ihre eigenen Leute regelt es § 203 Absatz 3 Satz 1 StGB. Danach liegt kein Offenbaren vor, wenn die genannten Personen Geheimnisse den bei ihnen berufsmäßig tätigen Gehilfen oder den bei ihnen zur Vorbereitung auf den Beruf tätigen Personen zugänglich machen.

Ihre angestellte Assistenz ist damit abgedeckt. Ihr externer Softwareanbieter ist es nicht. Für den gilt Satz 2 desselben Absatzes, und daran hängt eine eigene Pflicht, die im Beitrag über Auftragsverarbeitung und Schweigepflicht steht.

Kurz gesagt bestraft § 203 Absatz 4 Satz 2 Nummer 1 StGB denjenigen, der nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person zur Geheimhaltung verpflichtet wurde. Diese Pflicht liegt bei Ihnen.

Identität prüfen, ohne den Ausweis zu kopieren

Sie müssen wissen, wer vor Ihnen sitzt. Eine Kopie des Personalausweises ist dafür der bequemste Weg und selten der notwendige.

Artikel 5 Absatz 1 Buchstabe c DSGVO verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen. Auf einem Ausweis stehen Größe, Augenfarbe, Geburtsort und eine Seriennummer. Für die Frage, ob der Mann vor Ihnen der aus dem Bescheid ist, brauchen Sie davon nichts.

Es reicht ein Vermerk in der Akte. Darauf gehören das Datum, welches Papier vorgelegen hat und wer hineingesehen hat. Drei Zeilen, kein Scan, und im Streitfall trägt der Vermerk genauso.

Wenn Sie doch kopieren, halten Sie fest, warum. Diese Begründung brauchen Sie nach Artikel 5 Absatz 2 DSGVO ohnehin, denn Sie müssen die Einhaltung der Grundsätze nachweisen können.

Was gehört nicht in die Akte?

Angaben über Dritte, soweit sie für Ihre Arbeit nicht gebraucht werden. In einem Erstgespräch fallen sie fast zwangsläufig an. Die Ehefrau, die gedroht hat zu gehen. Der Arbeitgeber, der von nichts weiß.

Diese Menschen haben Ihnen nichts anvertraut und wissen nicht, dass sie in einer Akte stehen. Notieren Sie, was Sie für die Beratung wirklich brauchen, und lassen Sie den Rest weg. Das erspart Ihnen auch Arbeit, wenn Ihr Mandant später Auskunft verlangt und Sie eine Kopie herausgeben müssen.

Zweiter Punkt, der oft übersehen wird: Ihre eigenen Zwischennotizen gehören der Akte an, sobald sie in ihr liegen. Ein Zettel im Aktendeckel ist kein privater Zettel mehr.

Die Ausnahme für kleine Betriebe greift bei Ihnen nicht

Artikel 30 DSGVO verlangt ein Verzeichnis der Verarbeitungstätigkeiten. Viele kleine Betriebe wissen, dass es dafür eine Ausnahme gibt, und hören an dieser Stelle auf zu lesen. Bei einer MPU-Beratung lohnt sich der Rest des Satzes.

Artikel 30 Absatz 5 nimmt Unternehmen mit weniger als 250 Mitarbeitern von der Pflicht aus. Die Ausnahme entfällt aber unter anderem dann, wenn die Verarbeitung nicht nur gelegentlich erfolgt oder wenn besondere Datenkategorien nach Artikel 9 Absatz 1 verarbeitet werden. Dasselbe gilt für Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10.

Damit ist die Frage für eine MPU-Beratung schnell beantwortet. Sie arbeitet täglich mit beidem. Wer sich hier auf die Zahl 250 verlässt, verlässt sich auf eine Ausnahme, die für ihn nie gegolten hat.

Ein Verzeichnis ist Fleißarbeit und keine Kunst. Es hält fest, welche Verarbeitungen es in Ihrem Betrieb gibt, wozu sie dienen, wer die Daten bekommt und wie lange sie liegen bleiben. Den letzten Punkt haben Sie ohnehin zu beantworten, wenn Sie Ihre Aufbewahrungsdauer festlegen.

Wo dieser Beitrag aufhört

Er beantwortet nicht, wie lange die fertige Akte liegen bleiben darf. Dafür gibt es keine einzelne Zahl, und die Herleitung steht in einem eigenen Beitrag.

Er beantwortet auch nicht, ob Sie einen Datenschutzbeauftragten brauchen. Dass die Antwort nicht an der Zahl zwanzig hängt, sondern an der Frage, womit Sie arbeiten, steht in Die Zahl zwanzig ist nur die halbe Antwort.