Betriebsarzt und DSB als eigene Verantwortliche?
Ob es sich beim Betriebsrat um einen eigenen Verantwortlichen handelt oder ob er Teil der verantwortlichen Stelle ist, wurde in der Datenschutzwelt in den letzten Jahren zuhauf diskutiert. Das Thema fand auch innerhalb der Tätigkeitsberichte der Aufsichtsbehörden immer mal wieder seinen Platz.
In dem Tätigkeitsbericht zum Jahr 2020 des Sächsischen Datenschutzbeauftragten wird jedoch erläutert, ob eine etwaige eigene Verantwortlichkeit auch im Falle des Betriebsarztes (Ziffer 2.1.1) und des (externen) Datenschutzbeauftragten (Ziffer 2.1.2) in Frage kommen kann.
(Externer) Betriebsarzt als eigener Verantwortlicher
Der Sächsische Datenschutzbeauftragte betrachtet Betriebsärzte als funktionale Stellen innerhalb des Verantwortlichen. Sie seien dem Verantwortlichen zugehörig und keine eigenen Verantwortlichen. Daran ändere auch nichts, wenn sie als Berufsgeheimnisträger agierten. Zwar unterliegen sie einer besonderen Geheimhaltungspflicht, die dazu führt, dass sie innerhalb der datenverarbeitenden Stelle informationell abgeschottet agieren und sie unterliegen auch innerhalb ihres geheimhaltungspflichtigen Wirkungsbereichs fachlich-inhaltlich keiner Weisungspflicht, doch bleiben sie weiterhin Teil der Entität, so der Sächsische DSB in seinem Tätigkeitsbericht.
Der Verantwortliche habe aber die technisch-organisatorischen Möglichkeiten und Voraussetzungen zur prozessualen Umsetzung zu schaffen. Den wesentlichen Unterschied sieht die Aufsichtsbehörde aber in der Ausgestaltung als externer Betriebsarzt. Bei diesen handele es sich um eigene Verantwortliche, die zwar im Auftrag der personalverwaltenden Stelle datenverarbeitend tätig seien, aber eben selbst über Zweck und Mittel der Verarbeitung der personenbezogenen Daten entscheiden.
(Externer) Betriebsarzt als Joint Controller
Dass diese Frage der Verantwortlichkeit auch durchaus anders betrachtet werden kann, zeigt das Gutachten “ Die Datenverarbeitung des Betriebsarztes“ des Netzwerks Datenschutzexpertise. Dort kommt die Autoren Schuler/Weichert zum dem Ergebnis, dass die Konstellation zwischen Verantwortlichem und externem Betriebsarzt in der Regel in Form der „Gemeinsamen Verantwortlichkeit“ nach Art. 26 DS-GVO ausgestaltet wäre (Ziffer 5.1 – Datenschutzrechtliche Verantwortlichkeit).
Sächsischer Datenschutzbeauftragter
(Foto s_l – stock.adobe.com)
Verwandte Produkte
Das könnte Sie auch interessieren
-
Neue Datenschutz‑Hilfen von Microsoft für M365 und Copilot
Microsoft hat im November 2025 ein Paket neuer Dokumentations‑ und Compliance‑Hilfen vorgestellt, das Unternehmen bei der datenschutzkonformen Nutzung von Cloud- und KI‑Diensten unterstützen soll. Inhalte der neuen Hilfsmittel Ziel und Selbstverständnis Microsoft gibt an, mit diesen Hilfen den Nachweis der DSGVO‑Konformität und Erfüllung von Rechenschaftspflichten zu erleichtern – gerade im Kontext von KI‑gestützten Anwendungen und
Mehr erfahren -
HBDI gibt grünes Licht für Microsoft 365 – unter Bedingungen
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) hat mit seinem am 15. November 2025 veröffentlichten Bericht bestätigt, dass Microsoft 365 unter bestimmten Bedingungen datenschutzkonform genutzt werden kann. Hintergrund der Einschätzung Nach früherer Kritik der Datenschutzkonferenz (DSK), wonach das Vertragswerk (Data Protection Addendum, DPA) von Microsoft im Jahr 2022 nicht den Anforderungen des Art. 28 DS-GVO genügen
Mehr erfahren -
BSI: IT‑Sicherheitslage bleibt angespannt
Das BSI hat am 11. November 2025 den neuen Jahresbericht „Die Lage der IT-Sicherheit in Deutschland 2025“ veröffentlicht. Die Bewertung der Behörde fällt klar aus: Deutschland bleibt trotz Verbesserungen bei der Cyberresilienz weiterhin eine angreifbare Zielstruktur für Cyberkriminelle und staatlich organisierte Angreifer. Wachsende Schwachstellen und vergrößerte Angriffsflächen Cyberbedrohungen in Vielfalt und Professionalisierung Fortschritte – aber
Mehr erfahren
