Betriebsarzt und DSB als eigene Verantwortliche?
Ob es sich beim Betriebsrat um einen eigenen Verantwortlichen handelt oder ob er Teil der verantwortlichen Stelle ist, wurde in der Datenschutzwelt in den letzten Jahren zuhauf diskutiert. Das Thema fand auch innerhalb der Tätigkeitsberichte der Aufsichtsbehörden immer mal wieder seinen Platz.
In dem Tätigkeitsbericht zum Jahr 2020 des Sächsischen Datenschutzbeauftragten wird jedoch erläutert, ob eine etwaige eigene Verantwortlichkeit auch im Falle des Betriebsarztes (Ziffer 2.1.1) und des (externen) Datenschutzbeauftragten (Ziffer 2.1.2) in Frage kommen kann.
(Externer) Betriebsarzt als eigener Verantwortlicher
Der Sächsische Datenschutzbeauftragte betrachtet Betriebsärzte als funktionale Stellen innerhalb des Verantwortlichen. Sie seien dem Verantwortlichen zugehörig und keine eigenen Verantwortlichen. Daran ändere auch nichts, wenn sie als Berufsgeheimnisträger agierten. Zwar unterliegen sie einer besonderen Geheimhaltungspflicht, die dazu führt, dass sie innerhalb der datenverarbeitenden Stelle informationell abgeschottet agieren und sie unterliegen auch innerhalb ihres geheimhaltungspflichtigen Wirkungsbereichs fachlich-inhaltlich keiner Weisungspflicht, doch bleiben sie weiterhin Teil der Entität, so der Sächsische DSB in seinem Tätigkeitsbericht.
Der Verantwortliche habe aber die technisch-organisatorischen Möglichkeiten und Voraussetzungen zur prozessualen Umsetzung zu schaffen. Den wesentlichen Unterschied sieht die Aufsichtsbehörde aber in der Ausgestaltung als externer Betriebsarzt. Bei diesen handele es sich um eigene Verantwortliche, die zwar im Auftrag der personalverwaltenden Stelle datenverarbeitend tätig seien, aber eben selbst über Zweck und Mittel der Verarbeitung der personenbezogenen Daten entscheiden.
(Externer) Betriebsarzt als Joint Controller
Dass diese Frage der Verantwortlichkeit auch durchaus anders betrachtet werden kann, zeigt das Gutachten “ Die Datenverarbeitung des Betriebsarztes“ des Netzwerks Datenschutzexpertise. Dort kommt die Autoren Schuler/Weichert zum dem Ergebnis, dass die Konstellation zwischen Verantwortlichem und externem Betriebsarzt in der Regel in Form der „Gemeinsamen Verantwortlichkeit“ nach Art. 26 DS-GVO ausgestaltet wäre (Ziffer 5.1 – Datenschutzrechtliche Verantwortlichkeit).
Sächsischer Datenschutzbeauftragter
(Foto s_l – stock.adobe.com)
Verwandte Produkte
Das könnte Sie auch interessieren
-
Folge 90: KI Omnibus Update März 2026 reloaded: Reallabore Spezial
Im DataAgenda-Podcast Folge 89 hat Kai Zenner über die anstehenden Änderungen der KI-Verordnung berichtet, die im August 2026 Geltung erlangen sollen. Einer der Gegenstände der Änderung betrifft das sog. New Legal Framework in Anhang 1. Die dort unter Abschnitt A aufgelisteten Harmonisierungsvorschriften führen zu einer Doppelregulierung. Deshalb sollen die dort aufgeführten Produkte in Abschnitt B
Mehr erfahren -
Folge 89: KI Omnibus Update März 2026
Änderungen der KI-VO stehen in den Startblöcken. So wie es aussieht, wird das am 1. August 2024 in Kraft getretene EU-Gesetz geändert, noch bevor der Großteil der maßgeblichen Pflichten am 2. August 2026 Geltung erlangt. Kai Zenner, Büroleiter von MdEP Axel Voss berichtet am Tag der Ausschussabstimmung im Europäischen Parlament tagesaktuell von Zeitplan und Inhalten
Mehr erfahren -
Folge 88: „NIS-2: Regulierung als Chance oder Bürokratiemonster?“
Mit der fortschreitenden Digitalisierung wachsen nicht nur die Risiken für die Datensicherheit, sondern auch die regulatorischen Anforderungen. Dr. Judith Nink, Fachbereichsleiterin Cybersicherheit bei Unternehmen, Digitale Sicherheit beim Bundesamt für Sicherheit in der Informationstechnologie (BSI), erläutert NIS-2 im europäischen Regulierungskontext. Warum ist NIS-2 notwendig? Was ist zu tun? Wie können Unternehmen das Recht umsetzen und welche
Mehr erfahren
