Ein Auftragsverarbeitungsvertrag allein löst die Schweigepflicht nicht.

Was regelt ein Auftragsverarbeitungsvertrag?

Er regelt das Verhältnis zwischen Ihnen und Ihrem Dienstleister nach der Datenschutz-Grundverordnung. Artikel 28 Absatz 3 DSGVO schreibt vor, was darin stehen muss. Weisungsbindung, Vertraulichkeit, technische Maßnahmen, Unterauftragnehmer, Unterstützung bei Anträgen betroffener Personen, Löschung oder Rückgabe am Ende.

Buchstabe b ist der, um den es hier geht. Der Auftragsverarbeiter gewährleistet danach, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Das klingt, als wäre die Sache damit erledigt. Für einen Steuerberater, einen Handwerksbetrieb oder einen Onlinehändler ist sie das auch. Für eine MPU-Beratung nicht unbedingt.

Warum darf ein Anbieter überhaupt an die Daten?

Weil das Strafgesetzbuch es ausdrücklich zulässt. § 203 Absatz 3 Satz 2 StGB bestimmt, dass die in den Absätzen 1 und 2 Genannten fremde Geheimnisse gegenüber sonstigen Personen offenbaren dürfen, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist.

Ein Softwareanbieter, der Ihre Akten speichert, ist eine solche sonstige mitwirkende Person. Dasselbe gilt für eine externe Schreibkraft oder einen Techniker, der an Ihren Rechner geht.

Der Halbsatz danach dehnt das eine Stufe weiter. Es gilt auch, wenn sich die mitwirkende Person ihrerseits weiterer Personen bedient. Ihr Anbieter darf also einen Rechenzentrumsbetreiber einsetzen, ohne dass Sie mit dem sprechen müssen.

Wo die zweite Pflicht steht

In § 203 Absatz 4 Satz 2 Nummer 1 StGB, und sie steht dort als Straftatbestand. Bestraft wird, wer als in den Absätzen 1 und 2 genannte Person nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person, die unbefugt ein fremdes Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde.

Lesen Sie die Worte „nicht dafür Sorge getragen hat“ zweimal. Die Pflicht liegt bei Ihnen. Der Anbieter kann sie Ihnen nicht abnehmen. Ein Vertrag, in dem er sich selbst etwas zusichert, ist noch keine Verpflichtung im Sinne dieser Vorschrift.

Nummer 2 desselben Satzes zieht die Kette weiter. Auch die mitwirkende Person muss dafür Sorge tragen, dass die von ihr eingesetzten weiteren Personen verpflichtet werden.

Beide Nummern enden mit derselben Ausnahme. Sie gelten nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind. Ein Kollege mit demselben Berufsbild braucht also keine gesonderte Verpflichtung.

Gilt § 203 überhaupt für Sie?

Diese Frage steht vor allen anderen, und sie wird oft übersprungen. § 203 Absatz 1 Nummer 2 StGB nennt „Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlußprüfung“. Wer eine MPU-Beratung ohne dieses Studium führt, fällt nach dem Wortlaut nicht darunter.

Für ihn bleibt es bei Artikel 28 DSGVO und bei seinem Beratungsvertrag. Die Verpflichtungserklärung nach § 203 braucht er dann nicht, weil ihn die Norm nicht trifft.

Wie Sie diese Frage für sich klären, steht in In einer MPU-Akte treffen drei Regelwerke aufeinander. Klären Sie sie einmal und schreiben Sie die Antwort auf. Sie brauchen sie bei jedem neuen Dienstleister wieder.

Was Sie von einem Anbieter verlangen können

Fragen Sie nach einer Verpflichtungserklärung, die auf § 203 StGB Bezug nimmt. Fragen Sie schriftlich, damit Sie später zeigen können, dass Sie gefragt haben.

Sinnvoll ist, dass darin steht:

• wer verpflichtet wird, also das Unternehmen und die Personen, die tatsächlich an die Daten kommen,
• dass die Verpflichtung über das Ende der Tätigkeit hinaus gilt,
• dass der Anbieter seinerseits die von ihm eingesetzten Dienste verpflichtet, wie es Absatz 4 Satz 2 Nummer 2 verlangt.

Bekommen Sie darauf keine Antwort, ist das schon eine Antwort. Ein Anbieter, der mit Gesundheitsdaten arbeitet und die Frage nicht kennt, hat sich mit Ihrem Berufsbild nie beschäftigt.

Wie es bei uns steht

Unser Auftragsverarbeitungsvertrag deckt heute Artikel 28 ab. § 4 sagt zu, dass zur Verarbeitung nur Personen eingesetzt werden, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass diese Verpflichtung über das Ende der Tätigkeit hinaus gilt. Sie können ihn unter Auftragsverarbeitung im Wortlaut lesen.

Eine gesonderte Erklärung, die auf § 203 StGB Bezug nimmt, steht dort heute nicht. Das schreiben wir hin, weil Sie es sonst erst merken, wenn Sie danach suchen. Fragen Sie uns danach, und fragen Sie jeden anderen Anbieter genauso.

Wo unsere Zusicherungen sonst noch enden, steht in derselben Anlage. Dort ist eine eigene Liste dafür da, und sie ist absichtlich unbequem zu lesen.

Wo dieser Beitrag aufhört

Er liefert keinen Mustertext. Eine Verpflichtungserklärung hängt daran, wer verpflichtet wird und wofür, und ein Muster ohne Kenntnis der Lage wäre eine Rechtsauskunft, die keine ist.

Er entscheidet auch nicht, ob Ihr bisheriger Anbieter genügt. Er sagt Ihnen, welche zwei Papiere es gibt und welches davon Sie selbst beschaffen müssen. Was daraus wird, wenn ein Mandant Auskunft über seine Akte verlangt, steht in Wenn ein Mandant seine Akte sehen will.