Schleswig Holsteinisches Oberverwaltungsgericht Beschluss, 12. Jan. 2011 - 4 MB 56/10

ECLI:ECLI:DE:OVGSH:2011:0112.4MB56.10.0A
bei uns veröffentlicht am12.01.2011

Tenor

Die Beschwerde gegen den Beschluss des Schleswig-Holsteinischen Verwaltungsgerichts - 14. Kammer - vom 01. Oktober 2010 wird zurückgewiesen.

Der Antragsteller trägt die Kosten des Beschwerdeverfahrens.

Die außergerichtlichen Kosten der Beigeladenen im Beschwerdeverfahren sind nicht erstattungsfähig.

Der Wert des Streitgegenstandes wird für das Beschwerdeverfahren auf

5.000,--- Euro

festgesetzt.

Gründe

I.

1

Der Antragsteller wendet sich gegen eine datenschutzrechtliche Verfügung des Antragsgegners im Hinblick auf die Datenverarbeitung im Zusammenhang mit der sogenannten hausarztzentrierten Versorgung (HzV) in Schleswig-Holstein.

2

Durch Schiedsspruch vom 15. Juni 2010 kam zwischen dem Antragsteller, dem als eingetragener Verein rechtsfähigen … Schleswig-Holstein - im Folgenden: ... SH -, in Kooperation mit einer Ärztegenossenschaft sowie als Dienstleistungsgesellschaft der ... Vertragsgemeinschaft e.G. (...G), und den beigeladenen Krankenkassen ein "Vertrag zur Durchführung einer hausarztzentrierten Versorgung in Schleswig-Holstein gemäß § 73 b SGB V" zustande. Gegenstand des Vertrages ist nach § 2 die Umsetzung der hausarztzentrierten Versorgung für die Versicherten der Krankenkasse, deren Teilnahme freiwillig ist und durch Erklärung gegenüber der Krankenkasse beantragt werden kann. Der Antragsteller organisiert die Teilnahme des jeweiligen Hausarztes an der HzV und nimmt für ihn die Abrechnung der HzV-Vergütung und der Praxisgebühr vor; er wird insoweit zur Abgabe und zum Empfang von Willenserklärungen von Hausärzten und für sie ermächtigt. Für die Abrechnung der in dem Vertragswerk festgelegten Vergütung gegenüber der jeweiligen Krankenkasse wird gemäß §§ 2, 11 HzV-Vertrag die...G als Dienstleister bestimmt. Für deren Tätigkeit entrichtet der Hausarzt eine Verwaltungskostenpauschale an den Antragsteller, die jener an die ...G weiterreicht und die dort zur Abkürzung der Zahlungswege mit der auszuzahlenden HzV-Vergütung verrechnet wird (§ 14 HzV-Vertrag). Gemäß § 8 HzV-Vertrag in Verbindung mit § 1 Abs. 3 der Anlage 1 zum HzV-Vertrag darf der jeweils teilnehmende Hausarzt zum Zwecke der Datenübermittlung an die...G als Dienstleister des Antragstellers nur eine besonders zugelassene Vertragssoftware nutzen, für die von der ...G ein Anforderungskatalog erstellt wird. Die Anforderungen an eine zuzulassende Vertragssoftware werden den Herstellern von Praxissoftwareprogrammen zur Verfügung gestellt; diese müssen darüber hinaus für die Vertragssoftware ein Modul verwenden, das im HzV-Vertrag als "gekapselter Kern" bezeichnet wird und von der ...G zur Verfügung gestellt wird (vgl. Anlage 1 § 2 Abs. 2 HzV-Vertrag). Der Anforderungskatalog für den gekapselten Kern enthält nach dem Vertrag Betriebsgeheimnisse der ...G und der Krankenkasse und soll nicht veröffentlicht werden; er kann quartalsweise weiterentwickelt werden und wird den Herstellern der Praxissoftware von der ...G auf Grundlage einer Lizenzvereinbarung überlassen und in definierte Schnittstellen eingebunden. Die Verwendung dieses gekapselten Kerns dient ausweislich des Vertrages der Prüfung, Verschlüsselung und Übermittlung von Abrechnungsdaten an die ...G.

3

Hausärzte, die an der hausarztzentrierten Versorgung teilnehmen wollen, können dem HzV-Vertrag durch Erklärung beitreten und später ihre Mitgliedschaft kündigen (§§ 4, 5 HzV-Vertrag). Teilnehmende Hausärzte sowie Versicherte willigen in ihrer Teilnahmeerklärung in die Datenverarbeitung zu Abrechnungs- und Teilnahmeverwaltungszwecken einschließlich der Datenübermittlung und -verarbeitung beim Antragsteller und seinem Dienstleister, der ...G, sowie weiteren beauftragten Rechenzentren ein. § 20 des HzV-Vertrages normiert die Einhaltung der Datenschutzvorschriften für Patienten- und Versichertendaten nach der ärztlichen Berufsordnung, strafrechtlichen Bestimmungen, dem Bundesdatenschutzgesetz sowie den Regelungen des Sozialgesetzbuches. Zur weiteren Regelung sieht § 20 Abs. 2 den Abschluss eines gesonderten Vertrages vor, der als Anlage 8 in Gestalt eines "Rahmenvertrages für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten im Auftrag" zwischen dem Antragsteller sowie der...G als Dienstleistungsgesellschaft geschlossen worden ist. Dieser Rahmenvertrag, an dem die beigeladenen Krankenkassen nicht beteiligt sind, ist ausweislich seines § 1 Bestandteil des HzV-Vertrages. Der an der HzV teilnehmende Hausarzt kann nach § 1 Abs. 3 des Rahmenvertrages durch Abgabe einer Erklärung diesem beitreten. Hierdurch wird nach den Vorschriften des Rahmenvertrages ein Auftragsverhältnis nach § 295 Abs. 1 b Satz 1 und 4 SGB V begründet, in dem der Hausarzt als "Auftraggeber" und der Antragsteller als "Auftragnehmer" bezeichnet wird. Die in einem Anhang B bezeichneten Daten, welche u.a. die Leistungen des teilnehmenden Hausarztes, die Diagnosen der an der HzV teilnehmenden Patienten sowie die ärztlichen Verordnungen enthalten, werden vom Hausarzt unmittelbar zur Dienstleistungsgesellschaft ...G bzw. deren Unterauftragnehmer und von dort zur jeweiligen Krankenkasse übermittelt. Insgesamt 13 Unterauftragnehmer der ...G werden in einem Anhang D bezeichnet. Der Hausarzt bleibt nach dem Rahmenvertrag als Auftraggeber für die datenschutzrechtliche Zulässigkeit der Datenverarbeitung auch beim Dienstleister und seinen Unterauftragnehmern verantwortlich. Der Rahmenvertrag enthält Regelungen über Weisungs-, Auskunfts- und Kontrollrechte und -pflichten des jeweiligen Hausarztes.

4

Nach § 16 HzV-Vertrag ist das Vertragswerk im Wesentlichen am 17. Juni 2010 in Kraft getreten.

5

Der Antragsgegner, der bereits im Vorfeld des Schiedsspruches hinsichtlich Regelungen zur Datenverarbeitung mit dem Antragsteller in einen Austausch getreten war, erließ mit Bescheid vom 21. Juli 2010 gegenüber dem Antragsteller eine aufsichtsbehördliche Anordnung gemäß §§ 39 Abs. 2 Landesdatenschutzgesetz (LDSG) i.V.m. § 38 Abs. 1, 5 Bundesdatenschutzgesetz (BDSG), mit welcher diesem aufgegeben wurde, dafür zu sorgen, dass bei der Durchführung des HzV-Vertrages in Schleswig-Holstein keine von den Hausärzten im Zusammenhang mit der Durchführung des Vertrages erhobenen personenbezogenen Daten der Patienten an die...G oder an andere in dem HzV-Vertrag vorgesehene, als Unterauftragnehmer bezeichnete Stellen weitergegeben werden. Soweit diese Daten bereits von den Hausärzten weitergegeben wurden, sind sie nach dem Bescheid durch den Antragsteller gesondert zu speichern und dürfen nicht genutzt werden. Die sofortige Vollziehung des Bescheides wurde angeordnet und dem Antragsteller ein Zwangsgeld in Höhe von 30.000,-- Euro für den Fall, dass er den ausgesprochenen Verpflichtungen nicht innerhalb von einer Woche nach Zugang des Bescheides nachkomme, angedroht. Zur Begründung führte der Antragsgegner aus, dass nach der Rechtsprechung des Bundessozialgerichts für die Übermittlung von Daten im Rahmen der gesetzlichen Krankenversicherung an private Abrechnungsstellen eine gesetzliche Grundlage erforderlich sei, da es sich bei den für die Abrechnungen der HzV benötigten Daten um Angaben über die Gesundheit der Betroffenen handele, die verstärktem rechtlichen Schutz nach § 3 Abs. 9 BDSG und § 67 Abs. 12 SGB X sowie der ärztlichen Schweigepflicht und damit dem Schutz des § 203 Abs. 1 StGB unterlägen. Nach § 295 Abs. 1 b Sätze 5 - 8 SGB V sei die Einschaltung einer privaten Stelle bei der Übermittlung von Daten, sofern keine direkte Übermittlung an die Krankenkassen nach § 295 Abs. 1 b Satz 1 SGB V erfolge, zwingend im Wege der Auftragsdatenverarbeitung nach § 80 SGB X vorzunehmen. Eine Rechtsgrundlage für die eigenständige Übermittlung an private Stellen als selbstständige datenverarbeitete Stellen habe der Gesetzgeber bewusst nicht geschaffen. In dem vorliegenden Vertragswerk zur hausärztlichen Versorgung sei aber keine Auftragsdatenverarbeitung im Sinne von § 80 SGB X vorgesehen. Die Hausärzte, die danach an der HzV und der Datenverarbeitung teilnähmen, seien entgegen ihrer ausdrücklichen vertraglichen Bezeichnung nicht Auftraggeber im Sinne des deutschen und europäischen Datenschutzrechtes; ebenso fehle es dem Antragsteller an der vertraglich ausdrücklich zuerkannten Eigenschaft als Auftragnehmer. Die Hausärzte könnten lediglich einem in Gänze vorgefertigten Vertragswerk beitreten, auf dessen Inhalt sie keinerlei Einfluss gehabt hätten. Auch die Software werde ihnen vom angeblichen Auftragnehmer vorgeschrieben. Gleichzeitig sei den Hausärzten die Kenntnis wesentlicher Elemente der zu verwendenden Software (nämlich des gekapselten Kerns) verboten, welche gerade die abfließenden, besonders zu schützenden Patientendaten beträfen. Darüber hinaus finde eine Nutzung der übermittelten Daten auch zu Zwecken der allgemeinen Interessenvertretung aller Hausärzte statt, da teilnehmende Hausärzte zur Abtretung von Vergütungsforderungen zum Zwecke des Führens von Musterverfahren verpflichtet würden und damit eine entsprechende Nutzung der Daten ihrer Patienten ermöglichten. Die Anordnung sei zum Schutze der Daten einer großen Zahl von Patienten vor unzulässiger Weitergabe an private Stellen geeignet, erforderlich und verhältnismäßig. Von einem kompletten Verbot jeder Datenverarbeitung für den Antragsteller werde im Hinblick auf die Rechtslage des § 38 Abs. 5 Satz 1 und 2 BDSG gegenwärtig abgesehen. Eine Verfügung gegenüber sämtlichen Ärzten in Schleswig-Holstein, eine Datenweitergabe an den Antragsteller und dessen Unterauftragnehmer zu unterbinden, wäre dagegen deutlich eingriffsintensiver und wegen der Massenhaftigkeit der Verfahren kaum praktikabel. Im Hinblick auf die Ermöglichung einer Leistungsabrechnung könne kurzfristig eine echte Auftragsdatenverarbeitung umgesetzt werden, bei welcher etwa die Krankenkassen als Auftraggeber im Sinne von § 80 SGB X eingesetzt werden könnten. Die Anordnung der sofortigen Vollziehung sei zum Schutze des Persönlichkeitsrechts und des Rechts auf informationelle Selbstbestimmung der betroffenen Patienten erforderlich, da deren personenbezogenen Daten höchster rechtlicher Schutz zukomme. Eine Datenweitergabe, die jederzeit beginnen könne und dann nicht mehr korrigierbar sei, müsse vermieden werden.

6

Den gegen die Verfügung gerichteten Widerspruch des Antragstellers vom 05. August 2010 hat der Antragsgegner mit Widerspruchsbescheid vom 27. August 2010 als unbegründet zurückgewiesen. Hiergegen hat der Antragsteller mit Schriftsatz vom 01. Oktober 2010 Klage erhoben.

7

Den beim Sozialgericht D-Stadt am 17. August 2010 eingereichten und mit Beschluss des Sozialgerichts vom 03. September 2010 an das Verwaltungsgericht Schleswig verwiesenen Antrag auf einstweiligen Rechtsschutz hat das Verwaltungsgericht mit Beschluss vom 01. Oktober 2010 mit der Begründung zurückgewiesen, der angegriffene Bescheid sei weder offensichtlich rechtswidrig noch offensichtlich rechtmäßig. Bei der vorzunehmenden Interessenabwägung sei dem Schutz der Patienten der Vorrang einzuräumen, zumal auf Seiten des Antragstellers offensichtlich eine Vielzahl von Subauftragnehmern eingeschaltet sei, bei denen eine realistische Möglichkeit der Datensicherung zur Zeit nicht sichergestellt sei.

8

Hiergegen richtet sich die fristgerecht eingelegte Beschwerde des Antragstellers, die im Wesentlichen wie folgt begründet wird:

9

Die Anordnung des Antragsgegners sei offensichtlich rechtswidrig. Dies ergebe sich schon daraus, dass ein festgestellter Verstoß im Sinne von § 38 Abs. 5 Satz 1 BDSG nicht vorliege, da vor dem Ablauf eines Quartals nach Durchführung des Bereinigungsverfahrens im Hinblick auf die Gesamtvergütung nach § 73 b SGB V keine Datenübermittlungen stattfänden und es daher am Moment der Gegenwärtigkeit eines datenschutzrechtlichen Verstoßes fehle. Die im HzV-Vertrag und im Rahmenvertrag gewählte Konstruktion der Datenverarbeitung zu Abrechnungszwecken entspreche dem gesetzlichen Strukturleitbild der §§ 73 b, 295 SGB V, welches eine Auftragsdatenverarbeitung zu Zwecken der Abrechnung mit einschließe. Diese sei notwendiger Gegenstand des nach § 73 b Abs. 5 SGB V abzuschließenden Vertrages "über den Inhalt und die Durchführung der hausarztzentrierten Versorgung" und die "Vergütung". Die Tatsache, dass die teilnehmenden Hausärzte dem Vertrag lediglich beiträten, sei sozialrechtlich zwingend. Dieser Beitritt sei vollkommen freiwillig, da es den Hausärzten auch möglich sei, zu einem etwaigen konkurrierenden HzV-Vertrag beizutreten. Die Regelungen des HzV-Vertrages sowie des Rahmenvertrages als dessen Anlage 8 erfüllten sämtliche Anforderungen des § 80 SGB X. Durch ihren freiwilligen Beitritt übernähmen die Hausärzte die datenschutzrechtliche Verantwortung im dort konstruierten Auftragsverhältnis zum Antragsteller. Sie seien auch als Verantwortliche der Datenverarbeitung im Sinne von Art. 2 e der vorliegend zu beachtenden Datenschutzrichtlinie der Europäischen Union (Richtlinie 95/46/EG vom 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr) anzusehen. Zu diesem Ergebnis führe auch die Heranziehung des als Auslegungshilfe zu wertenden Papiers "WP 169 - Stellungnahme zu den Begriffen "für die Verarbeitung Verantwortlicher" und "Auftragsverarbeiter" " der Art. 29 - Datenschutzgruppe der EU vom 16. Februar 2010. Dem jeweiligen Hausarzt sei sowohl von der gesetzlichen Regelung der §§ 73 b, 295 SGB V und der ärztlichen Schweigepflicht als auch auf Grund ihrer traditionellen Rolle als Hausarzt und durch die vertraglichen Regelungen des HzV-Vertrages eindeutig die datenschutzrechtliche Verantwortung für die Verarbeitung von Patientendaten zugewiesen. Nach ihrem faktisch bestehenden Einfluss sei lediglich bei Zweifeln an dieser ausdrücklichen Verantwortungszuweisung zu fragen, die vorliegend nicht bestünden. Aber selbst dann seien die Einflussmöglichkeiten des Hausarztes vorliegend als ausreichend für seine Rolle als Verantwortlicher der Datenverarbeitung im Sinne der EU-Richtlinie anzusehen, da er nur über die wesentlichen Elemente der Datenverarbeitung informiert sein müsse. Dem Auftragnehmer dürfe ein Ermessen über die im Einzelnen gewählten technischen und organisatorischen Mittel der Datenverarbeitung verbleiben. Die datenschutzrechtliche Verantwortung des Hausarztes werde durch die Verwendung des gekapselten Kernes nicht beeinträchtigt, da dieser Teil der Praxissoftware sei, die vom jeweiligen Hersteller über eine Schnittstelle eingebunden worden sei. Es würden in dem gekapselten Kern lediglich Datenarten nach dem festgelegten Katalog des Anhangs B des Rahmenvertrages abgeführt. Über die abfließenden Daten könne der Hausarzt Informationen bei dem Hersteller seiner Praxissoftware erhalten, welcher auch im Falle fehlerhafter Datenübergaben an die Dienstleistungsgesellschaft des Antragstellers heranzuziehen sei. Die genaue Funktionsweise des gekapselten Kerns müsse der Hausarzt nicht kennen.

10

Auch die Voraussetzungen des § 80 Abs. 5 SGB X bei einer Auftragserteilung an private Stellen seien erfüllt, wenngleich die Geltung dieser Norm vorliegend durch § 295 Abs. 1 b Satz 6 SGB V nicht angeordnet werde. Insoweit sei § 80 SGB X auf das Verhältnis zwischen privaten Stellen - vorliegend: dem Hausarzt und dem Antragsteller bzw. der ...G - nicht anwendbar. Jedenfalls aber sei die Datenverarbeitung, wie sie im HzV-Vertrag vorgesehen sei, kostengünstiger als bei einer Verarbeitung durch den Hausarzt selbst. Es würden lediglich Abrechnungsdaten und damit weniger als die Hälfte aller beim Hausarzt vorhandenen Patientendaten, sowohl auf den Gesamtdatenbestand als auch auf den einzelnen Patienten bezogen, übermittelt.

11

Die im Vertrag vorgesehene Verpflichtung des Hausarztes zur Abtretung von Forderungen zum Zwecke des Führens von Musterverfahren durch den Antragsteller und die damit einhergehende Datenverarbeitung seien für die Annahme eines Auftragsdatenverarbeitungsverhältnisses unschädlich, da Musterverfahren jedenfalls auch im Interesse des jeweiligen einzelnen Hausarztes lägen und eine Anonymisierung der Daten möglich sei. Im Übrigen enthalte der Vertrag an dieser Stelle den Vorbehalt der datenschutzrechtlichen Zulässigkeit.

12

Die Anordnung des Antragsgegners sei auch insoweit offensichtlich rechtswidrig, als sie einer faktischen Untersagung der gesamten Datenverarbeitung zur Durchführung der hausarztzentrierten Versorgung gleichkomme und daher lediglich auf Grundlage des § 38 Abs. 5 Satz 2 BDSG hätte erfolgen können. Dafür sei aber eine vorherige Anordnung nach Satz 1 der Norm zwingend. Außerdem hätte der Antragsgegner in einer Anordnung die Art und Weise der Beseitigung eines festgestellten datenschutzrechtlichen Verstoßes vorgeben müssen, vorliegend also gegebenenfalls einen Verzicht auf den gekapselten Kern oder auf die Abtretung zur Durchführung von Musterverfahren.

13

Das Verwaltungsgerichts habe in seiner Interessenabwägung weder die Interessen des Antragstellers an der Durchführung der geschlossenen Verträge sowie an der Vergütung für die Abrechnungsdienstleistung noch die Interessen der Hausärzte, denen gemäß Art. 12 Abs. 1 GG verfassungsrechtliches Gewicht zukomme, und der Patienten an einer Teilnahme an der hausarztzentrierten Versorgung angemessen gewürdigt.

14

Der Antragsgegner vertritt demgegenüber die Auffassung, dass nach Inkrafttreten des HzV-Vertrages eine rechtswidrige Datenverarbeitung jedenfalls unmittelbar bevorstehe. Die im Vertrag vorgesehenen Datenverarbeitungsregelungen seien nicht durch ein gesetzliches Strukturleitbild vorgegeben. Vielmehr sei der Gesetzgeber, wie sich auch aus der Gesetzgebungsgeschichte ergebe, von einer direkten Datenübermittlung der Hausärzte an die Krankenkassen ausgegangen. Entsprechend sehe nun auch ein für Nordrhein-Westfalen geschiedster HzV-Vertrag eine Trennung der vertraglichen Regelungen über die Durchführung der hausarztzentrierten Versorgung einschließlich der Vergütung von der dort nicht geregelten Abrechnung und Datenverarbeitung zu diesem Zwecke vor. Nach dem vorliegend streitgegenständlichen HzV-Vertrag sei ein Einfluss der Hausärzte auf die Datenverarbeitung faktisch ausgeschlossen. Sie besäßen keine hinreichenden Kontrollmöglichkeiten über den Abfluss von Patientendaten. Die Stellung als Auftraggeber einer Auftragsdatenverarbeitung setze gerade nach der Stellungnahme der EU-Datenschutzgruppe in dem WP169-Papier jenseits der formalen Bezeichnung der Rollen als Auftragsverarbeiter bzw. Verantwortlicher in Verträgen und Gesetzen einen tatsächlichen Einfluss über die Datenverarbeitung voraus, der hier insbesondere wegen der Verwendung des gekapselten Kernes nicht bestehe. Für diesen sei keine Funktions- und Schnittstellenbeschreibung verfügbar und auch die Hersteller von Praxissoftware müssten sich im Rahmen eines Non-Disclosure-Agreements an die Geheimhaltung der Funktionsweise dieses Kerns halten. Der Arzt erfahre nicht, welche Daten abgeflossen seien, und könne mangels einer eigenen Benutzeroberfläche den Umfang der Datenübermittlung an die ...G auch nicht feststellen. Auch die Weiterentwicklung der Vertragssoftware des gekapselten Kernes entziehe sich seinem Einflussbereich. Insoweit werde gegen die Vorgaben des novellierten BDSG bzw. des § 80 SG X verstoßen, dass der Auftraggeber über die Datenverarbeitung bestimmen müsse.

15

Die Anforderungen des § 80 Abs. 5 SGB X seien infolge der Rechtsgrundverweisung des § 295 Abs. 1 b Satz 6 SGB V auf das Verhältnis von Hausärzten zum Antragsteller und dessen Unterauftragnehmern in vollem Umfang anzuwenden. Es sei hier aber nicht erkennbar, dass mehr als 50 % der Daten beim Hausarzt verblieben und dass die Datenverarbeitung in der gewählten Konstruktion erheblich kostengünstiger sei als beim Hausarzt oder bei Einschaltung öffentlicher Stellen.

16

Die datenschutzrechtliche Anordnung stelle keine Untersagung einer gesamten Datenverarbeitung nach § 38 Abs. 5 Satz 2 BDSG dar, da nur ein Teilaspekt der Datenverarbeitung im Rahmen der hausarztzentrierten Versorgung betroffen sei und sich die Patienten gleichwohl zur Teilnahme an der HzV registrieren lassen könnten. Auch eine Weitergabe von Patientendaten vom Hausarzt direkt an die Krankenkassen sei möglich. Dass eine datenschutzrechtliche Anordnung ein Verbotselement aufweise, mache sie nicht automatisch zu einer Untersagung im Sinne des § 38 Abs. 5 Satz 2 BDSG. Da vorliegend die gesamte Konstruktion der vertraglich festgelegten Datenverarbeitung als rechtswidrig zu erachten sei, wäre eine Teilanordnung bezüglich des gekapselten Kerns und der Musterverfahren nicht ausreichend.

17

Im Hinblick auf die vom Verwaltungsgericht vorzunehmende Interessenabwägung seien eigene wirtschaftliche Interessen des Antragstellers nicht erkennbar, da dieser die Verwaltungskostenpauschale in voller Höhe an seine Dienstleister, die ...G, weiterleite.

18

Die Beigeladenen, die im vorliegenden Beschwerdeverfahren keinen Antrag gestellt haben, unterstützen das Vorbringen des Antragsgegners und haben ergänzend wie folgt vorgetragen:

19

Die Regelungen des HzV-Vertrages stellten die Rollen von Auftraggebern und Auftragnehmern in einer Auftragsdatenverarbeitung auf den Kopf. Die gesetzlich vorgegebenen Auswahl- und Kontrollpflichten des Auftraggebers im Hinblick auf Auftragnehmer würden in ihm nicht umgesetzt. Im Übrigen scheitere die gewählte Konstruktion auch insoweit an den Anforderungen des § 80 Abs. 5 SGB X, als diese Norm über den Anwendungsbefehl des § 295 Abs. 1 b Satz 8 SGB V und den dort in Bezug genommenen § 35 SGB I auch unmittelbar für den Antragsteller gelte und eine vollumfängliche Datenweitergabe an dessen Unterauftragnehmer - die...G - daher ausgeschlossen sei.

20

§ 38 Abs. 5 Satz 1 BDSG decke die hier ausgesprochene datenschutzrechtliche Anordnung als untersagungsgleiche Maßnahme ab, nachdem sich die Anordnungsbefugnis infolge der Novelle des BDSG im Jahre 2009 auch auf die Beseitigung materieller datenschutzrechtlicher Verstöße beziehe. Sei eine Datenverarbeitung materiell-rechtlich im Kern rechtswidrig, so müssten die von Art. 28 der EU-Datenschutzrichtlinie verlangten effektiven Eingriffsbefugnisse der Aufsichtsbehörde auch faktisch untersagungsgleich wirkende Maßnahmen einschließen. Die zur Beseitigung des rechtswidrigen Zustandes im Einzelnen vorzunehmenden Änderungen müssten von den Partnern des HzV-Vertrages im Wege der Vertragsumgestaltung vorgenommen werden. Dahingehende Anordnungen seien dem Antragsgegner nicht unmittelbar möglich. Solche vertraglichen Umgestaltungsmöglichkeiten seien aber für die Vertragspartner vorliegend gegeben, um eine hausarztzentrierte Versorgung in Schleswig-Holstein noch zu ermöglichen, sodass die Bewertung des Verwaltungsgerichts, den Schutz der Patientendaten den Vorrang einzuräumen, nicht zu beanstanden sei.

II.

21

Die Beschwerde ist zulässig, aber unbegründet. Die zu ihrer Begründung dargelegten Gründe, die allein Gegenstand der Prüfung durch den Senat sind (§§ 146 Abs. 4 Satz 6 VwGO) stellen das Ergebnis des angefochtenen Beschlusses nicht in Frage.

22

Die datenschutzrechtliche Anordnung des Antragsgegners vom 21. Juli 2010 ist nach summarischer Bewertung durch den Senat im Verfahren des einstweiligen Rechtsschutzes nicht offensichtlich rechtswidrig. Es bestehen vielmehr in mehrfacher Hinsicht Anhaltspunkte dafür, dass der Antragsgegner zu Recht von einem materiell-rechtlichen Verstoß der im HzV-Vertrag vorgesehenen Regelungen über die Datenverarbeitung gegen rechtliche Vorgaben zum Schutz von Patientendaten ausgegangen ist, die ihm ein aufsichtsbehördliches Vorgehen nach § 38 Abs. 5 BDSG ermöglichen.

23

Es bestehen nach Aussicht des Senates gravierende Zweifel daran, dass es sich bei der durch das HzV-Vertragswerk in der Fassung des Schiedsspruches vom 15. Juni 2010 vorgesehenen Verarbeitung von Patientendaten, die von den teilnehmenden Hausärzten unmittelbar an die ...G als Dienstleister des Antragstellers übermittelt werden, um eine Auftragsdatenverarbeitung im Sinne von § 80 SGB X handelt. Nach dem auf Grund von § 320 SGB V (BGBl. 2010 I S. 983) bis zum 01. Juli 2011 weitergeltenden § 295 Abs. 1 b Satz 6 SGB V ist bei der Beauftragung einer anderen Stelle im Sinne von Satz 5 dieser Norm mit der Datenverarbeitung zu Abrechnungszwecken § 80 SGB X anzuwenden. Diese Regelung ist vom Gesetzgeber infolge der Entscheidung des Bundessozialgerichts vom 10. Dezember 2008 - B 6 KA 37/07 R - wegen des Erfordernisses einer spezifischen Rechtsgrundlage für die Weitergabe von personenbezogenen Abrechnungsdaten an andere Stellen, zum Beispiel privatrechtlich organisierte Rechenzentren, geschaffen worden, um die im Bereich besonderer Versorgungsformen bereits bestehende Abrechnungspraxis über Rechenzentren befristet zu ermöglichen und insoweit datenschutzrechtlich abzusichern (vgl. die Entwurfsbegründung in BT-Dr. 16/13428, S. 96). Für die solchermaßen beauftragten Stellen sollte das gleiche Schutzniveau wie bei Stellen, welche unmittelbar dem Sozialgeheimnis des § 35 SGB I unterliegen, gewährleistet werden. Mit dem Verweis auf § 80 SGB X wollte der Gesetzgeber gleichermaßen die Voraussetzungen und die Rechtsfolgen einer Beauftragung privater Stellen mit der Verarbeitung von Sozialdaten auf das Abrechnungsverfahren im Rahmen besonderer Versorgungsformen erstrecken (vgl. ebenda, S. 96 und auch S. 92 zur entsprechenden Regelung des § 120 SGB V). Daher ist in diesem Kontext sowohl die Frage der Zulässigkeit einer Auftragserteilung an private Stellen als auch die Einhaltung der Anforderungen an die Ausgestaltung einer solchen Auftragsdatenverarbeitung in vollem Umfang an § 80 SGB X zu messen. Liegen dessen Voraussetzungen nicht vor, so ist die Einschaltung privater Stellen in die Abrechnung ärztlicher Leistungen gemäß § 295 Abs. 1 b SGB V im Rahmen der hausarztzentrierten Versorgung unzulässig, weil es insoweit an einer erforderlichen spezialgesetzlichen Übermittlungsgrundlage außerhalb eines echten Auftragsdatenverarbeitungsverhältnisses fehlt.

24

Vorliegend spricht bereits die mangelnde Auswahlmöglichkeit eines Auftragsverarbeiters - also des Auftragnehmers - für die jeweiligen Hausärzte im Rahmen des HzV-Vertragswerkes gegen die Annahme eines Auftragsdatenverarbeitungsverhältnisses zum Antragsteller und dessen Dienstleister. Die Wahrnehmung der datenschutzrechtlichen Verantwortung des Auftraggebers im Rahmen einer Auftragsdatenverarbeitung setzt nach allgemeiner Auffassung nämlich zunächst voraus, dass von dort eine sorgfältige Auswahl des Auftragnehmers erfolgt, um die Einhaltung sämtlicher datenschutzrechtlicher Verpflichtungen auch bei dessen Einschaltung zu gewährleisten (vgl. Rombach in: Hauck/Noftz, SGB X, § 80 Rdnr. 30; Bieresborn in: Von Wulffen, SGB X, 7. Aufl. 2010, § 80 Rdnr. 8; Bergmann/Möhrle, Datenschutzrecht, § 80 SGB X Rdnr. 19). Die Verpflichtung zur sorgfältigen Auswahl des Auftragnehmers ist in § 80 SGB X als spezialgesetzlicher Regelung über die Auftragsdatenverarbeitung zwar nicht ausdrücklich mit geregelt, wird dort jedoch ebenfalls vorausgesetzt (vgl. Bergmann/Möhrle, a.a.O.). Die Verpflichtung zur sorgfältigen Auswahl entspricht insoweit der ausdrücklichen allgemeinen Regelung in § 11 Abs. 2 Satz 1 BDSG. Auch nach Auffassung der Art. 29 - Datenschutzgruppe der EU hängt die Existenz eines Auftragsverarbeiters von einer Entscheidung des für die Verarbeitung Verantwortlichen ab, der beschließen kann, entweder die Daten innerhalb seiner Organisation zu verarbeiten oder die Verarbeitungstätigkeiten ganz oder teilweise an eine externe Organisation zu delegieren (vgl. die Stellungnahme WP169 vom 16.02.2010 http://ec.europa.eu/justice/policies/privacy -, S. 1, 30). Vorliegend wird dem an der hausarztzentrierten Versorgung teilnahmewilligem Hausarzt eine Auswahl der Stelle, die er mit der Verarbeitung von Abrechnungsdaten seiner Patienten einschalten will, jedoch im Rahmen des vorliegenden Vertragswerks nicht ermöglicht. Der Arzt übernimmt nicht nur ein in vollem Umfang vorgestaltetes Vertragswerk - was an sich der Annahme einer Auftragsdatenverarbeitung nicht notwendigerweise entgegenstehen muss -, sondern seine Teilnahme an der hausarztzentrierten Versorgung und an der vorgesehenen Datenverarbeitung über den Antragsteller und seinen Dienstleister und dessen Unterauftragnehmer sind in einer Weise miteinander verbunden, die dem Arzt lediglich einen Beitritt zu beiden Systemen insgesamt ermöglicht. Bereits mit seiner Beitrittserklärung nach § 4 des HzV-Vertrages, die als Anlage 5 vertraglich vorgegeben ist, willigt der Hausarzt in die Datenverarbeitung über den Antragsteller und die...G ein. Entsprechend enthält auch die Versicherteneinschreibung der betroffenen Patienten mit der Entscheidung für die Teilnahme an der hausarztzentrierten Versorgung in gleichem Zuge eine vorgefertigte Einwilligung in die Datenverarbeitung über den Antragsteller und die ...G (Anlage 6). Das Abrechnungsverfahren für die Vergütung nach § 11 HzV-Vertrag in Verbindung mit Anlage 3 sowie die Vorgaben über die Datenverarbeitung in § 20 HzV-Vertrag in Verbindung mit Anlage 8 sehen das Abrechnungsverfahren über den Antragsteller und die...G, mit dem eine entsprechende Verarbeitung von Patientendaten einhergeht, ohne Wahlmöglichkeit des Hausarztes verpflichtend vor. Die Regelungen des Rahmenvertrages über die Auftragsdatenverarbeitung sind gemäß § 20 Abs. 2 HzV-Vertrag, § 1 Abs. 1 des Rahmenvertrages als Anlage 8 Bestandteil des HzV-Vertrages. Eine gesonderte Kündigungsmöglichkeit in Bezug auf die Datenverarbeitung zur Abrechnungszwecken steht dem Hausarzt nicht zu (vgl. § 10 Abs. 2 Rahmenvertrag, § 5 HzV-Vertrag). Die Einschaltung des Antragstellers und dessen Dienstleister und Unterauftragnehmer in die Datenverarbeitung kann der Hausarzt somit nur um den Preis des Verzichtes der Teilnahme an der hausarztzentrierten Versorgung vermeiden oder beenden, zumal in Schleswig-Holstein - soweit ersichtlich - mit den Beigeladenen kein konkurrierender HzV-Vertrag besteht.

25

Darüber hinaus wäre dem Hausarzt ein Abweichen von den vorformulierten Datenverarbeitungsbestimmungen des Vertragswerkes allenfalls im Rahmen von Einzelweisungen möglich, wobei offen erscheint, inwieweit angesichts des Beitritts des Arztes zu den Verträgen noch Spielraum für andersgerichtete Anweisungen verbleibt. Nach § 12 Abs. 2 des Rahmenvertrages können Bestimmungen über die Datenverarbeitung in Gestalt der Anhänge, die auch das EDV-Verfahren und die übermittelten Daten betreffen, mit Wirkung für sämtliche HzV-Partner und damit auch für die Hausärzte nachträglich durch Übereinkunft zwischen dem Antragsteller und seiner Dienstleistungsgesellschaft - also ohne den beigetretenen Hausarzt - geändert werden. Auch dazu soll der Hausarzt durch seinen Beitritt sein Einverständnis erklären. Und schließlich kann der Antragsteller gemäß § 16 Abs. 6 des HzV-Vertrages im Falle des Ausscheidens der...G mit Wirkung für die Hausärzte eine neue Dienstleistungsgesellschaft bestimmen.

26

Ebenso wenig wie die Auswahl einer anderen in die Datenverarbeitung einzuschaltenden Stelle als die ...G bzw. den Antragsteller ist den Hausärzten bei Teilnahme an der HzV nach dem vorliegenden Vertragswerk eine direkte Übermittlung von Abrechnungsdaten an die Krankenkassen möglich, wie sie der Gesetzgeber in § 296 Abs. 1 b Satz 1 SGB V als Grundmodell vorsieht, sodass ihm auch die Option der eigenen Verarbeitung von Patientendaten im Rahmen des HzV-Vertrages verschlossen bleibt.

27

Dem Einwand des Antragstellers, die vorgesehene Abrechnung und Datenverarbeitung über den Hausärzteverband und dessen Dienstleister sei gesetzlich vorgegeben Strukturleitbild im Rahmen der §§ 73 b, 295 SGB V, ist nach Auffassung des Senates nicht zu folgen. Auch wenn eine derartige Konstruktion bei einer Beachtung der Vorgaben des Gesetzgebers zur Auftragsdatenverarbeitung für die Einschaltung privater Stellen durchaus gangbar sein mag, ist der Gesetzgeber grundsätzlich von einer direkten Datenübermittlung des Hausarztes an die dem Sozialgeheimnis unterworfene Krankenkasse ausgegangen (vgl. den Gesetzentwurf zum GKV-Modernisierungsgesetz, BT-Dr. 15/1525 S. 146: "Bei den ohne Beteiligung der Kassenärztlichen Vereinigungen mit den Krankenkassen… abgeschlossenen Verträgen zu… Hausarzt zentrierter Versorgung… haben die Leistungserbringer die Abrechnungsdaten nach Absatz 1 direkt an die jeweilige Krankenkasse, mit der sie die Verträge abgeschlossen hat, zu übermitteln"). Durch § 73 b Abs. 4 und 5 SGB V wird im Übrigen eine Regelung des konkreten Abrechnungsverfahrens und der damit einhergehenden Datenverarbeitung im Rahmen der durch Gemeinschaften der Allgemeinärzte abzuschließenden HzV-Verträge nicht notwendig vorgegeben, denn vertragliche Regelungen über Inhalt und Durchführung der hausarztzentrierten Versorgung sowie über die Vergütung können sich auf die entsprechenden ärztlichen Teilnahmevoraussetzungen und Leistungen einerseits und die Höhe der dafür zu leistenden Vergütungen beschränken, ohne gleichzeitig ein Abrechnungsverfahren vorzusehen. Dies zeigt nicht zuletzt der von dem Antragsgegner eingereichte Schiedsspruch betreffend einen HzV-Vertrag zwischen der BKK Vertragsarbeitsgemeinschaft Nordrhein-Westfalen und dem Hausärzteverband Nordrhein e.V..

28

Gegen die Stellung der teilnehmenden Hausärzte als Auftraggeber einer Datenverarbeitung im Verhältnis zum Antragsteller und seinem Dienstleister und gegen die Einhaltung der Vorgaben des § 80 SGB X spricht des Weiteren, dass die vorgesehene Datenverarbeitung gegenüber dem vertraglich als Auftraggeber ausgewiesenen Hausarzt nicht vollständig transparent ist. § 80 Abs. 2 Satz 6 Nr. 3 SGB X sieht für eine Auftragserteilung an eine nicht-öffentliche Stelle (wie vorliegend den Antragsteller und seinen Dienstleister) vor, dass dem Auftraggeber schriftlich das Recht unter anderem zur Einsichtnahme in Datenverarbeitungsprogramme eingeräumt wird. Hierdurch sowie durch die im Rahmen der Auftragsdatenverarbeitung vorzusehenden Kontroll-und Weisungsrechte des § 80 Abs. 2 Satz 2 SGB X muss, wie allgemein bei der Auftragsdatenverarbeitung, eine vollständige Einsichtsmöglichkeit des Auftraggebers in die vom Auftragnehmer durchgeführte Datenverarbeitung gewährleistet werden. Ein uneingeschränktes Recht zur Einsichtnahme in Datenverarbeitungsprogramme wird dem Hausarzt im Rahmen des HzV-Vertrages und seiner Anlage 8 jedoch nicht eingeräumt (vgl. dort § 4 Abs. 3 der Anlage 8). Es bestehen für den Senat im Eilverfahren erhebliche Bedenken gegenüber der im Vertrag vorgesehenen Verwendung eines auch für den Hausarzt nicht offengelegten oder nachvollziehbaren sogenannten gekapselten Kerns, zumal dieser gerade die Aufbereitung und Übermittlung von Patientendaten aus der Praxissoftware des Hausarztes heraus an den Dienstleister des Antragstellers betrifft. Insoweit erscheint es nicht ausreichend, dass die Datenkategorien in einer Anlage zum Rahmenvertrag beschrieben werden. Der Hausarzt muss vielmehr eine Möglichkeit besitzen, auch effektiv zu kontrollieren, welche Daten seiner Patienten aus seinem Praxissystem an welche Stelle(n) abfließen. Die beim Auftraggeber einer Auftragsdatenverarbeitung verbleibende volle datenschutzrechtliche Verantwortung bedingt lückenlose Kontrollmöglichkeiten des Auftraggebers über sämtliche Pfade der Datenverarbeitung hinweg, zumal dem Auftragnehmer eine Datenverarbeitung ausschließlich ihm Rahmen der Weisungen des Auftraggebers gestattet ist (vgl. nur Gola/Schomerus, BDSG, 10. Aufl. 2010, § 11 Rdnr.3, Walz, in: Simitis, BDSG, 6. Aufl. 2006, § 11 Rdnr. 56). Nach den bislang im einstweiligen Rechtsschutzverfahren vorgetragenen Gesichtspunkten und unter Berücksichtigung von § 2 der Anlage 1 zum HzV-Vertrag geht der Senat zum gegenwärtigen Zeitpunkt davon aus, dass weder der Hausarzt noch der Hersteller seiner Praxissoftware in der Lage sind, die Funktionalitäten des gekapselten Kerns und damit auch den Umfang der durch ihn abgeleiteten Daten sowie die Datenempfänger nachzuvollziehen und zu kontrollieren. Dies ist mit den Anforderungen an die Informationsmöglichkeit eines Auftraggebers aus § 80 Abs. 2 SGB X in einer grundlegenden Weise nicht vereinbar. Im Übrigen wäre ein Auftraggeber im Verhältnis zum Auftragnehmer auch nicht auf die Möglichkeit zu verweisen, an den Hersteller der von ihm verwendeten Software - nach Maßgabe des diesbezüglichen Vertragsverhältnisses - heranzutreten, um eine vollständige Offenlegung der erfolgenden Datenverarbeitung zu erbitten. Die erforderliche Transparenz der Datenverarbeitung muss vielmehr unmittelbar im Verhältnis Auftraggeber-Auftragnehmer gewährleistet sein. Darüber hinaus scheint nach dem insoweit plausiblen Vortrag des Antragsgegners und der Beigeladenen vorliegend auch ein Hersteller von Praxissoftware nicht in der Lage zu sein, die tatsächliche Datenverarbeitung von Patientendaten im gekapselten Kern durch ein Ansetzen an der Schnittstelle des Praxissoftwaresystems festzustellen.

29

Soweit der Antragsteller darauf hinweist, dass nach Auffassung des Art. 29 - Datenschutzgruppe der EU die Entscheidung über Mittel der Datenverarbeitung nicht vollständig vom Auftraggeber getroffen werden muss, sondern dem Auftragnehmer insoweit noch ein Gestaltungsspielraum verbleiben darf, so kann dies auch nach der Stellungnahme im WP169 - Papier nicht die Informationsmöglichkeiten des Auftraggebers über die für die Datenverarbeitung verwendeten Mittel einschränken. Diese Information sollte auch nach Auffassung der EU-Datenschutzexperten vollständig sein (vgl. das WP169, S. 18). Im Übrigen hat der Auftraggeber (bzw. in der Terminologie der EU-Richtlinie: der Verantwortliche) über die wesentlichen Elemente der Datenverarbeitung und damit notwendig über die zu verarbeitenden Daten zu entscheiden (vgl. ebenda, S. 17). Folgerichtig muss es für ihn daher auch kontrollierbar sein, ob die abgeleiteten Daten sich im Rahmen der von ihm festgelegten Entscheidung über die zu verarbeitenden Daten halten. Dies jedoch scheint vorliegend nicht der Fall zu sein.

30

Gegen eine Stellung der an der HzV teilnehmenden Hausärzte als Auftraggeber im Sinne von § 80 SGB X spricht als weiterer Gesichtspunkt die vom Antragsgegner in seiner datenschutzrechtlichen Anordnung angesprochene Möglichkeit, mit Hilfe der zu übermittelnden Patientendaten auch ohne entsprechende, vom Hausarzt ausgehende Beauftragung ein Musterverfahren gegenüber der Krankenkasse zur Durchsetzung von Vergütungsansprüchen zu führen. Gegen ein solches Musterverfahren kann sich der zur Abtretung seiner Ansprüche verpflichtete Hausarzt gemäß § 6 Abs. 10 der Anlage 3 zum HzV-Vertrag nur im Rahmen der Unzumutbarkeit oder datenschutzrechtlicher Hinderungsgründe wenden. Ob im Rahmen des letzteren Vorbehaltes diese Abtretungsverpflichtung wegen entgegenstehender Vorgaben des § 80 SGB X überhaupt zum Tragen kommen kann, erscheint fraglich; jedenfalls würde der Antragsteller bei der Führung von Musterverfahren unter Verwendung zumindest personenbeziehbarer Patientendaten - wobei eine Anonymisierung von § 6 Abs. 10 der Anlage nicht ausdrücklich vorgesehen ist - auch eigene Zwecke, nämlich diejenigen der Interessenvertretung aller Ärzte, verfolgen. Dies würde insoweit seine Stellung als Verantwortlicher einer Datenverarbeitung nach sich ziehen (vgl. nur Bergmann/Möhrle, § 11 BDSG Rdnr. 11; Walz, in: Simitis, a.a.O., § 11 Rdnr. 19; vgl. auch die Stellungnahme der Art. 29 - Datenschutzgruppe der EU im WP169, a.a.O., S. 18, wonach die Entscheidung über den Zweck der Verarbeitung ausschließlich dem für die Verarbeitung Verantwortlichen vorbehalten ist).

31

Erhebliche Zweifel an der Einhaltung der für eine Auftragsdatenverarbeitung nach § 295 Abs. 1 b Satz 6 SGB V i.V.m. § 80 SGB X maßgeblichen Vorgaben bestehen nach dem vorliegenden Vertragswerk aus Sicht des Senates auch hinsichtlich der Beschränkungen gemäß § 80 Abs. 5 SGB X für die Auftragserteilung an nicht öffentliche Stellen. Die Anforderungen des § 80 Abs. 5 SGB X sind auf Grund der umfassenden Verweisung des § 295 Abs. 1b Satz 6 SGB V auf § 80 SGB X entsprechend dem vom Gesetzgeber beabsichtigten Schutzniveau bei Einschaltung privater Abrechnungsdienstleister im Rahmen der hausarztzentrierten Versorgung gleichermaßen anwendbar. Warum dies nach Auffassung des Antragstellers nicht der Fall sein soll, ist nicht ersichtlich, da auch dem Gesetzgeber die Eigenschaft von teilnehmenden Hausärzten als private datenverarbeitende Stelle bekannt war.

32

Nach § 80 Abs. 5 SGB X ist eine Datenverarbeitung im Auftrag durch nicht-öffentliche Stellen nur zulässig, wenn beim Auftraggeber sonst Störungen im Betriebsablauf auftreten können oder die übertragenen Arbeiten beim Auftragnehmer erheblich kostengünstiger besorgt werden könnten und der Auftrag nicht die Speicherung des gesamten Datenbestandes des Auftraggebers umfasst, wobei der überwiegende Teil der Speicherung des gesamten Datenbestandes beim Auftraggeber verbleiben muss. § 80 Abs. 5 SGB X bewirkt eine erhebliche Einschränkung für die Beauftragung einer nicht-öffentlichen Stelle und ist als Ausnahmeregelung grundsätzlich eng auszulegen (vgl. Rombach, in: Hauck/Noftz, a.a.O., § 80 SGB X Rdnr. 34; Von Wulffen, a.a.O., § 80 SGB X Rdnr. 13). Ob vorliegend Störungen im Betriebsablauf bei Nichteinschaltung eines privaten Abrechnungsdienstleisters im Sinne der 1. Alternative auftreten können, liegt bei summarischer Betrachtung nicht auf der Hand und wäre erforderlichenfalls im Rahmen des Hauptsacheverfahrens weiter aufzuklären. Ein Kostenvergleich für das Vorliegen der 2. Alternative (vgl. hierzu: Bergmann/Möhrle, § 80 SGB X Rndr. 28) ist vom Antragsteller nicht vorgetragen worden. Auch die Frage, ob der beim Hausarzt verbleibende Datenbestand über die an der hausarztzentrierten Versorgung teilnehmenden Patienten die übermittelten und beim Antragsteller bzw. seinem Dienstleister gespeicherten Daten überwiegt, wäre ggf. weiter aufzuklären, da sich angesichts des umfassenden Datenkataloges des Anhanges B zur Anlage 8 des HzV-Vertrages ein Überwiegen des beim Hausarzt verbleibenden Datenbestandes nicht ohne Weiteres annehmen lässt.

33

Jedenfalls aber wird die Vorgabe des § 80 Abs. 5 SGB X, dass der überwiegende Teil des Datenbestandes beim Auftraggeber verbleiben muss, sofern der Auftragnehmer eine nicht-öffentliche Stelle ist, im Verhältnis des Antragstellers zu seinem Dienstleister...G nicht eingehalten. Darauf haben die beigeladenen Krankenkassen zuletzt mit nachvollziehbaren Argumenten hingewiesen. Der Antragsteller unterläge, wenn er - nach eigenem Vortrag - als Auftragnehmer der Datenverarbeitung im Verhältnis zum Hausarzt zu sehen wäre, gemäß § 295 Abs. 1 b Satz 8 SGB V als nicht in § 35 SGB I genannte Stelle dem dort geregelten Sozialgeheimnis entsprechend. Das Sozialgeheimnis umfasst nach § 35 Abs. 2 SGB I auch, dass eine Erhebung, Verarbeitung und Nutzung von Sozialdaten nur unter den Voraussetzungen des 2. Kapitels des 10. Buches des Sozialgesetzbuches, also nach den §§ 67 - 85 a SGB X, zulässig ist. Damit ist auch die Vorschrift des § 80 SGB X selbst für den Auftragnehmer einer Auftragsdatenverarbeitung nach § 295 Abs. 1b SGB V bei Einschaltung einer "anderen Stelle" in die Abrechnung von Leistungen der hausarztzentrierten Versorgung anzuwenden. Da die betroffenen Patientendaten im Rahmen des HzV-Vertrages vom Hausarzt jedoch zu 100 % an den Unterauftragnehmer des Antragstellers, die ...G, übermittelt werden sollen, verbliebe dem Antragsteller bei Annahme seiner Stellung als erstem Auftragnehmer kein Datenbestand und erst recht nicht der überwiegende Teil des Datenbestandes im Verhältnis zu den von seinem Dienstleister zu speichernden Daten.

34

Ist die nach dem HzV-Vertragswerk vorgesehene Datenverarbeitung somit nach derzeitigem Regelungsstand schon nicht als Auftragsdatenverarbeitung im Sinne von § 80 SGB X zu bewerten, fehlt es an einer Rechtsgrundlage für die Weitergabe der Patientendaten vom Hausarzt an den Antragsteller und seinen Dienstleister sowie dessen Unterauftragnehmer. Selbst wenn eine Auftragsdatenverarbeitung vorläge, wären die dafür geltenden Anforderungen nicht eingehalten. Ein Verstoß gegen materielles Datenschutzrecht im Sinne von § 38 Abs. 5 BDSG liegt somit vor. Dabei ist die Annahme eines Verstoßes nicht erst dann gerechtfertigt und sind aufsichtsbehördliche Maßnahmen nicht erst dann zulässig, wenn die betreffende Datenverarbeitung bereits ins Werk gesetzt ist. Gerade wenn es um besonders sensible und sogar strafrechtlich geschützte Daten wie Patientendaten (hier einschließlich von Krankheitsdiagnosen und Verordnungsdaten) geht, muss einer datenschutzrechtlichen Aufsichtsbehörde vor dem Hintergrund der durch Art. 28 Abs. 3, 2.Spiegelstrich der EU-Datenschutzrichtlinie verlangten wirksamen Einwirkungsbefugnisse ein Tätigwerden schon dann möglich sein, wenn die unzulässige Datenverarbeitung durch ein Vertragswerk bereits deutlich vorgezeichnet ist und dieses Vertragswerk in Kraft getreten ist. Dies ist vorliegend der Fall, sodass dahinstehen kann, zu welchem Zeitpunkt auf Grund der vorzunehmenden Vergütungsbereinigung erstmals Daten tatsächlich übermittelt werden. Im Übrigen bedürfte selbst die Übermittlung der Patientenregistrierungen für die Hausarzt zentrierte Versorgung an die ...G (vgl. Ziffer 2.1.1 der Anlage 4 zum HzV-Vertrag) einer ausreichenden Rechtsgrundlage, da auch durch sie Sozialdaten im Sinne der §§ 35 SGB I, 67 SGB X verarbeitet werden.

35

Ob sich die streitbefangene Anordnung des Antragsgegners, mit der dieser in die Datenweitergabe an den Dienstleister des Antragstellers eingreift bzw. eine separate Speicherung und Nutzungssperrung etwaiger bereits übermittelter Daten von Patienten angeordnet hat, noch im Rahmen der nach § 38 Abs. 5 Satz 1 BDSG auf der ersten Stufe des gestaffelten aufsichtsbehördlichen Vorgehens zulässigen Maßnahmen zur Beseitigung von Datenschutzverstößen hält, oder ob es sich wegen des untersagungsähnlichen Gehaltes der Anordnung insoweit bereits um eine Maßnahme handelt, die lediglich nach den einschränkenden Voraussetzungen des dortigen Satz 2 - die vorliegend unstreitig nicht erfüllt sind - möglich wäre, erscheint dem Senat allerdings nicht ganz zweifelsfrei. Insoweit bleibt im Hauptsacheverfahren das Verhältnis beider Befugnisnormen zueinander insbesondere nach Inkrafttreten der Novellierung des BDSG im Jahre 2009, mit welcher eine Befugnis zur Anordnung von Maßnahmen zur Beseitigung materieller Datenschutzverstöße ergänzend eingefügt wurde, weiter zu klären. Aus diesem Grunde kann der Bescheid des Antragsgegners vom 21. Juli 2010 im Rahmen einer summarischen Prüfung im Eilverfahren weder als offensichtlich rechtmäßig noch als offensichtlich rechtswidrig angesehen werden. Das Verwaltungsgericht hat daher im Ergebnis zu Recht maßgeblich auf eine Abwägung der betroffenen Interessen im Rahmen des § 80 Abs. 5 VwGO abgestellt. Dabei ist auch aus Sicht des erkennenden Senats in nicht zu beanstandender Weise den Interessen der von einer unzulässigen Datenverarbeitung betroffenen Patienten der Vorrang eingeräumt worden. Diese genießen vor dem Hintergrund der strafrechtlichen Relevanz einer unbefugten Offenbarung von ärztlichen Berufsgeheimnissen und wegen der Sensibilität der hier betroffenen Gesundheitsdaten allerhöchsten Rang. Entgegenstehende eigene wirtschaftliche Interessen des Antragstellers sind vorliegend nicht erkennbar, da er die für die Abrechnung der Vergütung zu vereinnahmende Verwaltungskostenpauschale vom Hausarzt an seinen Dienstleister, der hier nicht Beteiligter des Verfahrens ist, weiterleitet. Im Übrigen wären derartige wirtschaftliche Interessen vorliegend auch nicht geeignet, einen Vorrang gegenüber den Belangen der betroffenen Patienten zu begründen. Den zu berücksichtigenden Interessen des Antragstellers und der hinter ihm stehenden Hausärzte an einer Durchführung der hausarztzentrierten Versorgung kommt gleichfalls kein vorrangiges Gewicht zu, zumal es der Antragsteller als ein Beteiligter am Vertragswerk des HzV-Vertrages maßgeblich mit in der Hand hat, datenschutzkonforme Vertragsgestaltungen zu initiieren.

36

Die Kostenentscheidung folgt aus § 154 Abs. 2 VwGO, die Festsetzung des Streitwertes beruht auf den § 53 Abs. 2, 52 Abs. 1 und 2 GKG.

37

Die außergerichtlichen Kosten der Beigeladenen sind gemäß § 162 Abs. 3 VwGO nicht erstattungsfähig, weil diese im Beschwerdeverfahren keinen eigenen Antrag gestellt haben.

38

Dieser Beschluss ist unanfechtbar (§ 152 Abs. 1 VwGO, §§ 68 Abs. 1 Satz 5, 66 Abs. 3 Satz 3 GKG).


ra.de-Urteilsbesprechung zu Schleswig Holsteinisches Oberverwaltungsgericht Beschluss, 12. Jan. 2011 - 4 MB 56/10

Urteilsbesprechung schreiben

0 Urteilsbesprechungen zu Schleswig Holsteinisches Oberverwaltungsgericht Beschluss, 12. Jan. 2011 - 4 MB 56/10

Referenzen - Gesetze

Schleswig Holsteinisches Oberverwaltungsgericht Beschluss, 12. Jan. 2011 - 4 MB 56/10 zitiert 22 §§.

Verwaltungsgerichtsordnung - VwGO | § 154


(1) Der unterliegende Teil trägt die Kosten des Verfahrens. (2) Die Kosten eines ohne Erfolg eingelegten Rechtsmittels fallen demjenigen zur Last, der das Rechtsmittel eingelegt hat. (3) Dem Beigeladenen können Kosten nur auferlegt werden, we

Verwaltungsgerichtsordnung - VwGO | § 80


(1) Widerspruch und Anfechtungsklage haben aufschiebende Wirkung. Das gilt auch bei rechtsgestaltenden und feststellenden Verwaltungsakten sowie bei Verwaltungsakten mit Doppelwirkung (§ 80a). (2) Die aufschiebende Wirkung entfällt nur 1. bei der

Verwaltungsgerichtsordnung - VwGO | § 152


(1) Entscheidungen des Oberverwaltungsgerichts können vorbehaltlich des § 99 Abs. 2 und des § 133 Abs. 1 dieses Gesetzes sowie des § 17a Abs. 4 Satz 4 des Gerichtsverfassungsgesetzes nicht mit der Beschwerde an das Bundesverwaltungsgericht angefochte

Gerichtskostengesetz - GKG 2004 | § 53 Einstweiliger Rechtsschutz und Verfahren nach § 148 Absatz 1 und 2 des Aktiengesetzes


(1) In folgenden Verfahren bestimmt sich der Wert nach § 3 der Zivilprozessordnung: 1. über die Anordnung eines Arrests, zur Erwirkung eines Europäischen Beschlusses zur vorläufigen Kontenpfändung, wenn keine Festgebühren bestimmt sind, und auf Erlas

Verwaltungsgerichtsordnung - VwGO | § 162


(1) Kosten sind die Gerichtskosten (Gebühren und Auslagen) und die zur zweckentsprechenden Rechtsverfolgung oder Rechtsverteidigung notwendigen Aufwendungen der Beteiligten einschließlich der Kosten des Vorverfahrens. (2) Die Gebühren und Auslage

Grundgesetz für die Bundesrepublik Deutschland - GG | Art 12


(1) Alle Deutschen haben das Recht, Beruf, Arbeitsplatz und Ausbildungsstätte frei zu wählen. Die Berufsausübung kann durch Gesetz oder auf Grund eines Gesetzes geregelt werden. (2) Niemand darf zu einer bestimmten Arbeit gezwungen werden, außer im

Verwaltungsgerichtsordnung - VwGO | § 146


(1) Gegen die Entscheidungen des Verwaltungsgerichts, des Vorsitzenden oder des Berichterstatters, die nicht Urteile oder Gerichtsbescheide sind, steht den Beteiligten und den sonst von der Entscheidung Betroffenen die Beschwerde an das Oberverwaltun

Gerichtskostengesetz - GKG 2004 | § 68 Beschwerde gegen die Festsetzung des Streitwerts


(1) Gegen den Beschluss, durch den der Wert für die Gerichtsgebühren festgesetzt worden ist (§ 63 Absatz 2), findet die Beschwerde statt, wenn der Wert des Beschwerdegegenstands 200 Euro übersteigt. Die Beschwerde findet auch statt, wenn sie das Geri

Strafgesetzbuch - StGB | § 203 Verletzung von Privatgeheimnissen


(1) Wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als 1. Arzt, Zahnarzt, Tierarzt, Apotheker oder Angehörigen eines anderen Heilbe

Bundesdatenschutzgesetz - BDSG 2018 | § 3 Verarbeitung personenbezogener Daten durch öffentliche Stellen


Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurd

Sozialgesetzbuch (SGB) Fünftes Buch (V) - Gesetzliche Krankenversicherung - (Artikel 1 des Gesetzes v. 20. Dezember 1988, BGBl. I S. 2477) - SGB 5 | § 295 Übermittlungspflichten und Abrechnung bei ärztlichen Leistungen


(1) Die an der vertragsärztlichen Versorgung teilnehmenden Ärzte und Einrichtungen sind verpflichtet,1.die von ihnen festgestellten Arbeitsunfähigkeitsdaten,2.in den Abrechnungsunterlagen für die vertragsärztlichen Leistungen die von ihnen erbrachten

Sozialgesetzbuch (SGB) Erstes Buch (I) - Allgemeiner Teil - (Artikel I des Gesetzes vom 11. Dezember 1975, BGBl. I S. 3015) - SGB 1 | § 35 Sozialgeheimnis


(1) Jeder hat Anspruch darauf, dass die ihn betreffenden Sozialdaten (§ 67 Absatz 2 Zehntes Buch) von den Leistungsträgern nicht unbefugt verarbeitet werden (Sozialgeheimnis). Die Wahrung des Sozialgeheimnisses umfasst die Verpflichtung, auch innerha

Sozialgesetzbuch (SGB) Fünftes Buch (V) - Gesetzliche Krankenversicherung - (Artikel 1 des Gesetzes v. 20. Dezember 1988, BGBl. I S. 2477) - SGB 5 | § 120 Vergütung ambulanter Krankenhausleistungen


(1) Die im Krankenhaus erbrachten ambulanten ärztlichen Leistungen der ermächtigten Krankenhausärzte, die in stationären Pflegeeinrichtungen erbrachten ambulanten ärztlichen Leistungen von nach § 119b Absatz 1 Satz 4 ermächtigten Ärzten, ambulante är

Zehntes Buch Sozialgesetzbuch - Sozialverwaltungsverfahren und Sozialdatenschutz - - SGB 10 | § 67 Begriffsbestimmungen


(1) Die nachfolgenden Begriffsbestimmungen gelten ergänzend zu Artikel 4 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freie

Bundesdatenschutzgesetz - BDSG 2018 | § 11 Ernennung und Amtszeit


(1) Der Deutsche Bundestag wählt ohne Aussprache auf Vorschlag der Bundesregierung die Bundesbeauftragte oder den Bundesbeauftragten mit mehr als der Hälfte der gesetzlichen Zahl seiner Mitglieder. Die oder der Gewählte ist von der Bundespräsidentin

Bundesdatenschutzgesetz - BDSG 2018 | § 38 Datenschutzbeauftragte nichtöffentlicher Stellen


(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Persone

Zehntes Buch Sozialgesetzbuch - Sozialverwaltungsverfahren und Sozialdatenschutz - - SGB 10 | § 80 Verarbeitung von Sozialdaten im Auftrag


(1) Die Erteilung eines Auftrags im Sinne des Artikels 28 der Verordnung (EU) 2016/679 zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung 1. den A

Sozialgesetzbuch (SGB) Fünftes Buch (V) - Gesetzliche Krankenversicherung - (Artikel 1 des Gesetzes v. 20. Dezember 1988, BGBl. I S. 2477) - SGB 5 | § 320 Zusammensetzung der Schlichtungsstelle; Finanzierung


(1) Die Schlichtungsstelle besteht aus einer oder einem unparteiischen Vorsitzenden und zwei weiteren Mitgliedern. Die Amtsdauer der Mitglieder der Schlichtungsstelle beträgt zwei Jahre. Die Wiederbenennung ist zulässig. (2) Über die unparteiisch

Soldatengesetz - SG | § 80 Konkurrenzregelung


Für Wehrpflichtige nach § 1 des Wehrpflichtgesetzes geht im Spannungs- oder Verteidigungsfall das Wehrpflichtgesetz vor.

Referenzen - Urteile

Urteil einreichen

Schleswig Holsteinisches Oberverwaltungsgericht Beschluss, 12. Jan. 2011 - 4 MB 56/10 zitiert oder wird zitiert von 3 Urteil(en).

3 Urteil(e) in unserer Datenbank zitieren Schleswig Holsteinisches Oberverwaltungsgericht Beschluss, 12. Jan. 2011 - 4 MB 56/10.

Bundessozialgericht Urteil, 25. März 2015 - B 6 KA 9/14 R

bei uns veröffentlicht am 25.03.2015

Tenor Auf die Revision der Klägerin werden die Urteile des Landessozialgerichts Baden-Württemberg vom 18. Dezember 2013 und des Sozialgerichts Stuttgart vom 25. April 2012 geändert. Es wird festges

Schleswig Holsteinisches Oberverwaltungsgericht Urteil, 04. Sept. 2014 - 4 LB 20/13

bei uns veröffentlicht am 04.09.2014

Tenor Die Berufung des Beklagten gegen das Urteil des Schleswig-Holsteinischen Verwaltungsgerichts - 8. Kammer - vom 9. Oktober 2013 wird zurückgewiesen. Der Beklagte trägt die Kosten des Verfahrens. Die außergerichtlichen Kosten der Be

Schleswig-Holsteinisches Verwaltungsgericht Urteil, 09. Okt. 2013 - 8 A 218/11

bei uns veröffentlicht am 09.10.2013

Tenor Der Bescheid vom 10. November 2011 in der Fassung des Widerspruchsbescheides vom 25.11.2011 wird aufgehoben. Der Beklagte trägt die Kosten des Verfahrens. Die außergerichtlichen Kosten der Beigeladenen sind erstattungsfähig. Da

Referenzen

Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist zulässig, wenn sie zur Erfüllung der in der Zuständigkeit des Verantwortlichen liegenden Aufgabe oder in Ausübung öffentlicher Gewalt, die dem Verantwortlichen übertragen wurde, erforderlich ist.

(1) Die nachfolgenden Begriffsbestimmungen gelten ergänzend zu Artikel 4 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2) in der jeweils geltenden Fassung.

(2) Sozialdaten sind personenbezogene Daten (Artikel 4 Nummer 1 der Verordnung (EU) 2016/679), die von einer in § 35 des Ersten Buches genannten Stelle im Hinblick auf ihre Aufgaben nach diesem Gesetzbuch verarbeitet werden. Betriebs- und Geschäftsgeheimnisse sind alle betriebs- oder geschäftsbezogenen Daten, auch von juristischen Personen, die Geheimnischarakter haben.

(3) Aufgaben nach diesem Gesetzbuch sind, soweit dieses Kapitel angewandt wird, auch

1.
Aufgaben auf Grund von Verordnungen, deren Ermächtigungsgrundlage sich im Sozialgesetzbuch befindet,
2.
Aufgaben auf Grund von über- und zwischenstaatlichem Recht im Bereich der sozialen Sicherheit,
3.
Aufgaben auf Grund von Rechtsvorschriften, die das Erste und das Zehnte Buch für entsprechend anwendbar erklären, und
4.
Aufgaben auf Grund des Arbeitssicherheitsgesetzes und Aufgaben, soweit sie den in § 35 des Ersten Buches genannten Stellen durch Gesetz zugewiesen sind. § 8 Absatz 1 Satz 3 des Arbeitssicherheitsgesetzes bleibt unberührt.

(4) Werden Sozialdaten von einem Leistungsträger im Sinne von § 12 des Ersten Buches verarbeitet, ist der Verantwortliche der Leistungsträger. Ist der Leistungsträger eine Gebietskörperschaft, so sind der Verantwortliche die Organisationseinheiten, die eine Aufgabe nach einem der besonderen Teile dieses Gesetzbuches funktional durchführen.

(5) Nicht-öffentliche Stellen sind natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts, soweit sie nicht unter § 81 Absatz 3 fallen.

(1) Wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als

1.
Arzt, Zahnarzt, Tierarzt, Apotheker oder Angehörigen eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert,
2.
Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlußprüfung,
3.
Rechtsanwalt, Kammerrechtsbeistand, Patentanwalt, Notar, Verteidiger in einem gesetzlich geordneten Verfahren, Wirtschaftsprüfer, vereidigtem Buchprüfer, Steuerberater, Steuerbevollmächtigten,
3a.
Organ oder Mitglied eines Organs einer Wirtschaftsprüfungs-, Buchprüfungs- oder einer Berufsausübungsgesellschaft von Steuerberatern und Steuerbevollmächtigten, einer Berufsausübungsgesellschaft von Rechtsanwälten oder europäischen niedergelassenen Rechtsanwälten oder einer Berufsausübungsgesellschaft von Patentanwälten oder niedergelassenen europäischen Patentanwälten im Zusammenhang mit der Beratung und Vertretung der Wirtschaftsprüfungs-, Buchprüfungs- oder Berufsausübungsgesellschaft im Bereich der Wirtschaftsprüfung, Buchprüfung oder Hilfeleistung in Steuersachen oder ihrer rechtsanwaltlichen oder patentanwaltlichen Tätigkeit,
4.
Ehe-, Familien-, Erziehungs- oder Jugendberater sowie Berater für Suchtfragen in einer Beratungsstelle, die von einer Behörde oder Körperschaft, Anstalt oder Stiftung des öffentlichen Rechts anerkannt ist,
5.
Mitglied oder Beauftragten einer anerkannten Beratungsstelle nach den §§ 3 und 8 des Schwangerschaftskonfliktgesetzes,
6.
staatlich anerkanntem Sozialarbeiter oder staatlich anerkanntem Sozialpädagogen oder
7.
Angehörigen eines Unternehmens der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle
anvertraut worden oder sonst bekanntgeworden ist, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.

(2) Ebenso wird bestraft, wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als

1.
Amtsträger oder Europäischer Amtsträger,
2.
für den öffentlichen Dienst besonders Verpflichteten,
3.
Person, die Aufgaben oder Befugnisse nach dem Personalvertretungsrecht wahrnimmt,
4.
Mitglied eines für ein Gesetzgebungsorgan des Bundes oder eines Landes tätigen Untersuchungsausschusses, sonstigen Ausschusses oder Rates, das nicht selbst Mitglied des Gesetzgebungsorgans ist, oder als Hilfskraft eines solchen Ausschusses oder Rates,
5.
öffentlich bestelltem Sachverständigen, der auf die gewissenhafte Erfüllung seiner Obliegenheiten auf Grund eines Gesetzes förmlich verpflichtet worden ist, oder
6.
Person, die auf die gewissenhafte Erfüllung ihrer Geheimhaltungspflicht bei der Durchführung wissenschaftlicher Forschungsvorhaben auf Grund eines Gesetzes förmlich verpflichtet worden ist,
anvertraut worden oder sonst bekanntgeworden ist. Einem Geheimnis im Sinne des Satzes 1 stehen Einzelangaben über persönliche oder sachliche Verhältnisse eines anderen gleich, die für Aufgaben der öffentlichen Verwaltung erfaßt worden sind; Satz 1 ist jedoch nicht anzuwenden, soweit solche Einzelangaben anderen Behörden oder sonstigen Stellen für Aufgaben der öffentlichen Verwaltung bekanntgegeben werden und das Gesetz dies nicht untersagt.

(2a) (weggefallen)

(3) Kein Offenbaren im Sinne dieser Vorschrift liegt vor, wenn die in den Absätzen 1 und 2 genannten Personen Geheimnisse den bei ihnen berufsmäßig tätigen Gehilfen oder den bei ihnen zur Vorbereitung auf den Beruf tätigen Personen zugänglich machen. Die in den Absätzen 1 und 2 Genannten dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist; das Gleiche gilt für sonstige mitwirkende Personen, wenn diese sich weiterer Personen bedienen, die an der beruflichen oder dienstlichen Tätigkeit der in den Absätzen 1 und 2 Genannten mitwirken.

(4) Mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe wird bestraft, wer unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person oder als bei den in den Absätzen 1 und 2 genannten Personen tätiger Datenschutzbeauftragter bekannt geworden ist. Ebenso wird bestraft, wer

1.
als in den Absätzen 1 und 2 genannte Person nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind,
2.
als im Absatz 3 genannte mitwirkende Person sich einer weiteren mitwirkenden Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, bedient und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind, oder
3.
nach dem Tod der nach Satz 1 oder nach den Absätzen 1 oder 2 verpflichteten Person ein fremdes Geheimnis unbefugt offenbart, das er von dem Verstorbenen erfahren oder aus dessen Nachlass erlangt hat.

(5) Die Absätze 1 bis 4 sind auch anzuwenden, wenn der Täter das fremde Geheimnis nach dem Tod des Betroffenen unbefugt offenbart.

(6) Handelt der Täter gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, so ist die Strafe Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe.

(1) Die Erteilung eines Auftrags im Sinne des Artikels 28 der Verordnung (EU) 2016/679 zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung

1.
den Auftragsverarbeiter, die bei diesem vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen,
2.
die Art der Daten, die im Auftrag verarbeitet werden sollen, und den Kreis der betroffenen Personen,
3.
die Aufgabe, zu deren Erfüllung die Verarbeitung der Daten im Auftrag erfolgen soll, sowie
4.
den Abschluss von etwaigen Unterauftragsverhältnissen
schriftlich oder elektronisch anzeigt. Soll eine öffentliche Stelle mit der Verarbeitung von Sozialdaten beauftragt werden, hat diese rechtzeitig vor der Auftragserteilung die beabsichtigte Beauftragung ihrer Rechts- oder Fachaufsichtsbehörde schriftlich oder elektronisch anzuzeigen.

(2) Der Auftrag zur Verarbeitung von Sozialdaten darf nur erteilt werden, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat, oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat oder in einer internationalen Organisation erfolgt.

(3) Die Erteilung eines Auftrags zur Verarbeitung von Sozialdaten durch nicht-öffentliche Stellen ist nur zulässig, wenn

1.
beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder
2.
die übertragenen Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger besorgt werden können.
Dies gilt nicht, wenn Dienstleister in der Informationstechnik, deren absolute Mehrheit der Anteile oder deren absolute Mehrheit der Stimmen dem Bund oder den Ländern zusteht, mit vorheriger Genehmigung der obersten Dienstbehörde des Verantwortlichen beauftragt werden.

(4) Ist der Auftragsverarbeiter eine in § 35 des Ersten Buches genannte Stelle, gelten neben den §§ 85 und 85a die §§ 9, 13, 14 und 16 des Bundesdatenschutzgesetzes. Bei den in § 35 des Ersten Buches genannten Stellen, die nicht solche des Bundes sind, tritt anstelle des oder der Bundesbeauftragten insoweit die nach Landesrecht für die Kontrolle des Datenschutzes zuständige Stelle. Ist der Auftragsverarbeiter eine nicht-öffentliche Stelle, unterliegt dieser der Aufsicht der gemäß § 40 des Bundesdatenschutzgesetzes zuständigen Behörde.

(5) Absatz 3 gilt nicht bei Verträgen über die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Die Verträge sind bei zu erwartenden oder bereits eingetretenen Störungen im Betriebsablauf unverzüglich der Rechts- oder Fachaufsichtsbehörde mitzuteilen.

(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.

(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.

(1) Die Erteilung eines Auftrags im Sinne des Artikels 28 der Verordnung (EU) 2016/679 zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung

1.
den Auftragsverarbeiter, die bei diesem vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen,
2.
die Art der Daten, die im Auftrag verarbeitet werden sollen, und den Kreis der betroffenen Personen,
3.
die Aufgabe, zu deren Erfüllung die Verarbeitung der Daten im Auftrag erfolgen soll, sowie
4.
den Abschluss von etwaigen Unterauftragsverhältnissen
schriftlich oder elektronisch anzeigt. Soll eine öffentliche Stelle mit der Verarbeitung von Sozialdaten beauftragt werden, hat diese rechtzeitig vor der Auftragserteilung die beabsichtigte Beauftragung ihrer Rechts- oder Fachaufsichtsbehörde schriftlich oder elektronisch anzuzeigen.

(2) Der Auftrag zur Verarbeitung von Sozialdaten darf nur erteilt werden, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat, oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat oder in einer internationalen Organisation erfolgt.

(3) Die Erteilung eines Auftrags zur Verarbeitung von Sozialdaten durch nicht-öffentliche Stellen ist nur zulässig, wenn

1.
beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder
2.
die übertragenen Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger besorgt werden können.
Dies gilt nicht, wenn Dienstleister in der Informationstechnik, deren absolute Mehrheit der Anteile oder deren absolute Mehrheit der Stimmen dem Bund oder den Ländern zusteht, mit vorheriger Genehmigung der obersten Dienstbehörde des Verantwortlichen beauftragt werden.

(4) Ist der Auftragsverarbeiter eine in § 35 des Ersten Buches genannte Stelle, gelten neben den §§ 85 und 85a die §§ 9, 13, 14 und 16 des Bundesdatenschutzgesetzes. Bei den in § 35 des Ersten Buches genannten Stellen, die nicht solche des Bundes sind, tritt anstelle des oder der Bundesbeauftragten insoweit die nach Landesrecht für die Kontrolle des Datenschutzes zuständige Stelle. Ist der Auftragsverarbeiter eine nicht-öffentliche Stelle, unterliegt dieser der Aufsicht der gemäß § 40 des Bundesdatenschutzgesetzes zuständigen Behörde.

(5) Absatz 3 gilt nicht bei Verträgen über die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Die Verträge sind bei zu erwartenden oder bereits eingetretenen Störungen im Betriebsablauf unverzüglich der Rechts- oder Fachaufsichtsbehörde mitzuteilen.

(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.

(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.

(1) Die Erteilung eines Auftrags im Sinne des Artikels 28 der Verordnung (EU) 2016/679 zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung

1.
den Auftragsverarbeiter, die bei diesem vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen,
2.
die Art der Daten, die im Auftrag verarbeitet werden sollen, und den Kreis der betroffenen Personen,
3.
die Aufgabe, zu deren Erfüllung die Verarbeitung der Daten im Auftrag erfolgen soll, sowie
4.
den Abschluss von etwaigen Unterauftragsverhältnissen
schriftlich oder elektronisch anzeigt. Soll eine öffentliche Stelle mit der Verarbeitung von Sozialdaten beauftragt werden, hat diese rechtzeitig vor der Auftragserteilung die beabsichtigte Beauftragung ihrer Rechts- oder Fachaufsichtsbehörde schriftlich oder elektronisch anzuzeigen.

(2) Der Auftrag zur Verarbeitung von Sozialdaten darf nur erteilt werden, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat, oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat oder in einer internationalen Organisation erfolgt.

(3) Die Erteilung eines Auftrags zur Verarbeitung von Sozialdaten durch nicht-öffentliche Stellen ist nur zulässig, wenn

1.
beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder
2.
die übertragenen Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger besorgt werden können.
Dies gilt nicht, wenn Dienstleister in der Informationstechnik, deren absolute Mehrheit der Anteile oder deren absolute Mehrheit der Stimmen dem Bund oder den Ländern zusteht, mit vorheriger Genehmigung der obersten Dienstbehörde des Verantwortlichen beauftragt werden.

(4) Ist der Auftragsverarbeiter eine in § 35 des Ersten Buches genannte Stelle, gelten neben den §§ 85 und 85a die §§ 9, 13, 14 und 16 des Bundesdatenschutzgesetzes. Bei den in § 35 des Ersten Buches genannten Stellen, die nicht solche des Bundes sind, tritt anstelle des oder der Bundesbeauftragten insoweit die nach Landesrecht für die Kontrolle des Datenschutzes zuständige Stelle. Ist der Auftragsverarbeiter eine nicht-öffentliche Stelle, unterliegt dieser der Aufsicht der gemäß § 40 des Bundesdatenschutzgesetzes zuständigen Behörde.

(5) Absatz 3 gilt nicht bei Verträgen über die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Die Verträge sind bei zu erwartenden oder bereits eingetretenen Störungen im Betriebsablauf unverzüglich der Rechts- oder Fachaufsichtsbehörde mitzuteilen.

(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.

(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.

(1) Alle Deutschen haben das Recht, Beruf, Arbeitsplatz und Ausbildungsstätte frei zu wählen. Die Berufsausübung kann durch Gesetz oder auf Grund eines Gesetzes geregelt werden.

(2) Niemand darf zu einer bestimmten Arbeit gezwungen werden, außer im Rahmen einer herkömmlichen allgemeinen, für alle gleichen öffentlichen Dienstleistungspflicht.

(3) Zwangsarbeit ist nur bei einer gerichtlich angeordneten Freiheitsentziehung zulässig.

Für Wehrpflichtige nach § 1 des Wehrpflichtgesetzes geht im Spannungs- oder Verteidigungsfall das Wehrpflichtgesetz vor.

(1) Die Erteilung eines Auftrags im Sinne des Artikels 28 der Verordnung (EU) 2016/679 zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung

1.
den Auftragsverarbeiter, die bei diesem vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen,
2.
die Art der Daten, die im Auftrag verarbeitet werden sollen, und den Kreis der betroffenen Personen,
3.
die Aufgabe, zu deren Erfüllung die Verarbeitung der Daten im Auftrag erfolgen soll, sowie
4.
den Abschluss von etwaigen Unterauftragsverhältnissen
schriftlich oder elektronisch anzeigt. Soll eine öffentliche Stelle mit der Verarbeitung von Sozialdaten beauftragt werden, hat diese rechtzeitig vor der Auftragserteilung die beabsichtigte Beauftragung ihrer Rechts- oder Fachaufsichtsbehörde schriftlich oder elektronisch anzuzeigen.

(2) Der Auftrag zur Verarbeitung von Sozialdaten darf nur erteilt werden, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat, oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat oder in einer internationalen Organisation erfolgt.

(3) Die Erteilung eines Auftrags zur Verarbeitung von Sozialdaten durch nicht-öffentliche Stellen ist nur zulässig, wenn

1.
beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder
2.
die übertragenen Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger besorgt werden können.
Dies gilt nicht, wenn Dienstleister in der Informationstechnik, deren absolute Mehrheit der Anteile oder deren absolute Mehrheit der Stimmen dem Bund oder den Ländern zusteht, mit vorheriger Genehmigung der obersten Dienstbehörde des Verantwortlichen beauftragt werden.

(4) Ist der Auftragsverarbeiter eine in § 35 des Ersten Buches genannte Stelle, gelten neben den §§ 85 und 85a die §§ 9, 13, 14 und 16 des Bundesdatenschutzgesetzes. Bei den in § 35 des Ersten Buches genannten Stellen, die nicht solche des Bundes sind, tritt anstelle des oder der Bundesbeauftragten insoweit die nach Landesrecht für die Kontrolle des Datenschutzes zuständige Stelle. Ist der Auftragsverarbeiter eine nicht-öffentliche Stelle, unterliegt dieser der Aufsicht der gemäß § 40 des Bundesdatenschutzgesetzes zuständigen Behörde.

(5) Absatz 3 gilt nicht bei Verträgen über die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Die Verträge sind bei zu erwartenden oder bereits eingetretenen Störungen im Betriebsablauf unverzüglich der Rechts- oder Fachaufsichtsbehörde mitzuteilen.

(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.

(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.

(1) Die Erteilung eines Auftrags im Sinne des Artikels 28 der Verordnung (EU) 2016/679 zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung

1.
den Auftragsverarbeiter, die bei diesem vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen,
2.
die Art der Daten, die im Auftrag verarbeitet werden sollen, und den Kreis der betroffenen Personen,
3.
die Aufgabe, zu deren Erfüllung die Verarbeitung der Daten im Auftrag erfolgen soll, sowie
4.
den Abschluss von etwaigen Unterauftragsverhältnissen
schriftlich oder elektronisch anzeigt. Soll eine öffentliche Stelle mit der Verarbeitung von Sozialdaten beauftragt werden, hat diese rechtzeitig vor der Auftragserteilung die beabsichtigte Beauftragung ihrer Rechts- oder Fachaufsichtsbehörde schriftlich oder elektronisch anzuzeigen.

(2) Der Auftrag zur Verarbeitung von Sozialdaten darf nur erteilt werden, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat, oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat oder in einer internationalen Organisation erfolgt.

(3) Die Erteilung eines Auftrags zur Verarbeitung von Sozialdaten durch nicht-öffentliche Stellen ist nur zulässig, wenn

1.
beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder
2.
die übertragenen Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger besorgt werden können.
Dies gilt nicht, wenn Dienstleister in der Informationstechnik, deren absolute Mehrheit der Anteile oder deren absolute Mehrheit der Stimmen dem Bund oder den Ländern zusteht, mit vorheriger Genehmigung der obersten Dienstbehörde des Verantwortlichen beauftragt werden.

(4) Ist der Auftragsverarbeiter eine in § 35 des Ersten Buches genannte Stelle, gelten neben den §§ 85 und 85a die §§ 9, 13, 14 und 16 des Bundesdatenschutzgesetzes. Bei den in § 35 des Ersten Buches genannten Stellen, die nicht solche des Bundes sind, tritt anstelle des oder der Bundesbeauftragten insoweit die nach Landesrecht für die Kontrolle des Datenschutzes zuständige Stelle. Ist der Auftragsverarbeiter eine nicht-öffentliche Stelle, unterliegt dieser der Aufsicht der gemäß § 40 des Bundesdatenschutzgesetzes zuständigen Behörde.

(5) Absatz 3 gilt nicht bei Verträgen über die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Die Verträge sind bei zu erwartenden oder bereits eingetretenen Störungen im Betriebsablauf unverzüglich der Rechts- oder Fachaufsichtsbehörde mitzuteilen.

(1) Jeder hat Anspruch darauf, dass die ihn betreffenden Sozialdaten (§ 67 Absatz 2 Zehntes Buch) von den Leistungsträgern nicht unbefugt verarbeitet werden (Sozialgeheimnis). Die Wahrung des Sozialgeheimnisses umfasst die Verpflichtung, auch innerhalb des Leistungsträgers sicherzustellen, dass die Sozialdaten nur Befugten zugänglich sind oder nur an diese weitergegeben werden. Sozialdaten der Beschäftigten und ihrer Angehörigen dürfen Personen, die Personalentscheidungen treffen oder daran mitwirken können, weder zugänglich sein noch von Zugriffsberechtigten weitergegeben werden. Der Anspruch richtet sich auch gegen die Verbände der Leistungsträger, die Arbeitsgemeinschaften der Leistungsträger und ihrer Verbände, die Datenstelle der Rentenversicherung, die in diesem Gesetzbuch genannten öffentlich-rechtlichen Vereinigungen, Integrationsfachdienste, die Künstlersozialkasse, die Deutsche Post AG, soweit sie mit der Berechnung oder Auszahlung von Sozialleistungen betraut ist, die Behörden der Zollverwaltung, soweit sie Aufgaben nach § 2 des Schwarzarbeitsbekämpfungsgesetzes und § 66 des Zehnten Buches durchführen, die Versicherungsämter und Gemeindebehörden sowie die anerkannten Adoptionsvermittlungsstellen (§ 2 Absatz 3 des Adoptionsvermittlungsgesetzes), soweit sie Aufgaben nach diesem Gesetzbuch wahrnehmen, und die Stellen, die Aufgaben nach § 67c Absatz 3 des Zehnten Buches wahrnehmen. Die Beschäftigten haben auch nach Beendigung ihrer Tätigkeit bei den genannten Stellen das Sozialgeheimnis zu wahren.

(2) Die Vorschriften des Zweiten Kapitels des Zehnten Buches und der übrigen Bücher des Sozialgesetzbuches regeln die Verarbeitung von Sozialdaten abschließend, soweit nicht die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2) in der jeweils geltenden Fassung unmittelbar gilt. Für die Verarbeitungen von Sozialdaten im Rahmen von nicht in den Anwendungsbereich der Verordnung (EU) 2016/679 fallenden Tätigkeiten finden die Verordnung (EU) 2016/679 und dieses Gesetz entsprechende Anwendung, soweit nicht in diesem oder einem anderen Gesetz Abweichendes geregelt ist.

(2a) Die Verpflichtung zur Wahrung gesetzlicher Geheimhaltungspflichten oder von Berufs- oder besonderen Amtsgeheimnissen, die nicht auf gesetzlichen Vorschriften beruhen, bleibt unberührt.

(3) Soweit eine Übermittlung von Sozialdaten nicht zulässig ist, besteht keine Auskunftspflicht, keine Zeugnispflicht und keine Pflicht zur Vorlegung oder Auslieferung von Schriftstücken, nicht automatisierten Dateisystemen und automatisiert verarbeiteten Sozialdaten.

(4) Betriebs- und Geschäftsgeheimnisse stehen Sozialdaten gleich.

(5) Sozialdaten Verstorbener dürfen nach Maßgabe des Zweiten Kapitels des Zehnten Buches verarbeitet werden. Sie dürfen außerdem verarbeitet werden, wenn schutzwürdige Interessen des Verstorbenen oder seiner Angehörigen dadurch nicht beeinträchtigt werden können.

(6) Die Absätze 1 bis 5 finden neben den in Absatz 1 genannten Stellen auch Anwendung auf solche Verantwortliche oder deren Auftragsverarbeiter,

1.
die Sozialdaten im Inland verarbeiten, sofern die Verarbeitung nicht im Rahmen einer Niederlassung in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erfolgt, oder
2.
die Sozialdaten im Rahmen der Tätigkeiten einer inländischen Niederlassung verarbeiten.
Sofern die Absätze 1 bis 5 nicht gemäß Satz 1 anzuwenden sind, gelten für den Verantwortlichen oder dessen Auftragsverarbeiter nur die §§ 81 bis 81c des Zehnten Buches.

(7) Bei der Verarbeitung zu Zwecken gemäß Artikel 2 der Verordnung (EU) 2016/679 stehen die Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum und die Schweiz den Mitgliedstaaten der Europäischen Union gleich. Andere Staaten gelten insoweit als Drittstaaten.

(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.

(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.

(1) Gegen die Entscheidungen des Verwaltungsgerichts, des Vorsitzenden oder des Berichterstatters, die nicht Urteile oder Gerichtsbescheide sind, steht den Beteiligten und den sonst von der Entscheidung Betroffenen die Beschwerde an das Oberverwaltungsgericht zu, soweit nicht in diesem Gesetz etwas anderes bestimmt ist.

(2) Prozeßleitende Verfügungen, Aufklärungsanordnungen, Beschlüsse über eine Vertagung oder die Bestimmung einer Frist, Beweisbeschlüsse, Beschlüsse über Ablehnung von Beweisanträgen, über Verbindung und Trennung von Verfahren und Ansprüchen und über die Ablehnung von Gerichtspersonen sowie Beschlüsse über die Ablehnung der Prozesskostenhilfe, wenn das Gericht ausschließlich die persönlichen oder wirtschaftlichen Voraussetzungen der Prozesskostenhilfe verneint, können nicht mit der Beschwerde angefochten werden.

(3) Außerdem ist vorbehaltlich einer gesetzlich vorgesehenen Beschwerde gegen die Nichtzulassung der Revision die Beschwerde nicht gegeben in Streitigkeiten über Kosten, Gebühren und Auslagen, wenn der Wert des Beschwerdegegenstands zweihundert Euro nicht übersteigt.

(4) Die Beschwerde gegen Beschlüsse des Verwaltungsgerichts in Verfahren des vorläufigen Rechtsschutzes (§§ 80, 80a und 123) ist innerhalb eines Monats nach Bekanntgabe der Entscheidung zu begründen. Die Begründung ist, sofern sie nicht bereits mit der Beschwerde vorgelegt worden ist, bei dem Oberverwaltungsgericht einzureichen. Sie muss einen bestimmten Antrag enthalten, die Gründe darlegen, aus denen die Entscheidung abzuändern oder aufzuheben ist, und sich mit der angefochtenen Entscheidung auseinander setzen. Mangelt es an einem dieser Erfordernisse, ist die Beschwerde als unzulässig zu verwerfen. Das Verwaltungsgericht legt die Beschwerde unverzüglich vor; § 148 Abs. 1 findet keine Anwendung. Das Oberverwaltungsgericht prüft nur die dargelegten Gründe.

(5) u. (6) (weggefallen)

(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.

(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.

(1) Die Erteilung eines Auftrags im Sinne des Artikels 28 der Verordnung (EU) 2016/679 zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung

1.
den Auftragsverarbeiter, die bei diesem vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen,
2.
die Art der Daten, die im Auftrag verarbeitet werden sollen, und den Kreis der betroffenen Personen,
3.
die Aufgabe, zu deren Erfüllung die Verarbeitung der Daten im Auftrag erfolgen soll, sowie
4.
den Abschluss von etwaigen Unterauftragsverhältnissen
schriftlich oder elektronisch anzeigt. Soll eine öffentliche Stelle mit der Verarbeitung von Sozialdaten beauftragt werden, hat diese rechtzeitig vor der Auftragserteilung die beabsichtigte Beauftragung ihrer Rechts- oder Fachaufsichtsbehörde schriftlich oder elektronisch anzuzeigen.

(2) Der Auftrag zur Verarbeitung von Sozialdaten darf nur erteilt werden, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat, oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat oder in einer internationalen Organisation erfolgt.

(3) Die Erteilung eines Auftrags zur Verarbeitung von Sozialdaten durch nicht-öffentliche Stellen ist nur zulässig, wenn

1.
beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder
2.
die übertragenen Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger besorgt werden können.
Dies gilt nicht, wenn Dienstleister in der Informationstechnik, deren absolute Mehrheit der Anteile oder deren absolute Mehrheit der Stimmen dem Bund oder den Ländern zusteht, mit vorheriger Genehmigung der obersten Dienstbehörde des Verantwortlichen beauftragt werden.

(4) Ist der Auftragsverarbeiter eine in § 35 des Ersten Buches genannte Stelle, gelten neben den §§ 85 und 85a die §§ 9, 13, 14 und 16 des Bundesdatenschutzgesetzes. Bei den in § 35 des Ersten Buches genannten Stellen, die nicht solche des Bundes sind, tritt anstelle des oder der Bundesbeauftragten insoweit die nach Landesrecht für die Kontrolle des Datenschutzes zuständige Stelle. Ist der Auftragsverarbeiter eine nicht-öffentliche Stelle, unterliegt dieser der Aufsicht der gemäß § 40 des Bundesdatenschutzgesetzes zuständigen Behörde.

(5) Absatz 3 gilt nicht bei Verträgen über die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Die Verträge sind bei zu erwartenden oder bereits eingetretenen Störungen im Betriebsablauf unverzüglich der Rechts- oder Fachaufsichtsbehörde mitzuteilen.

(1) Die Schlichtungsstelle besteht aus einer oder einem unparteiischen Vorsitzenden und zwei weiteren Mitgliedern. Die Amtsdauer der Mitglieder der Schlichtungsstelle beträgt zwei Jahre. Die Wiederbenennung ist zulässig.

(2) Über die unparteiische Vorsitzende oder den unparteiischen Vorsitzenden der Schlichtungsstelle sollen sich die Gesellschafter der Gesellschaft für Telematik einigen. Das Bundesministerium für Gesundheit kann hierfür eine angemessene Frist setzen. Kommt bis zum Ablauf der Frist keine Einigung zustande, benennt das Bundesministerium für Gesundheit den Vorsitzenden oder die Vorsitzende.

(3) Der Spitzenverband Bund der Krankenkassen benennt einen Vertreter als Mitglied der Schlichtungsstelle. Die übrigen in § 306 Absatz 1 genannten Spitzenorganisationen benennen einen gemeinsamen Vertreter als Mitglied der Schlichtungsstelle.

(4) Die in § 306 Absatz 1 genannten Spitzenorganisationen tragen die Kosten für die von ihnen benannten Vertreter jeweils selbst. Die Kosten für den Vorsitzenden sowie die sonstigen Kosten der Schlichtungsstelle werden aus den Finanzmitteln der Gesellschaft für Telematik finanziert.

(1) Die Erteilung eines Auftrags im Sinne des Artikels 28 der Verordnung (EU) 2016/679 zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung

1.
den Auftragsverarbeiter, die bei diesem vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen,
2.
die Art der Daten, die im Auftrag verarbeitet werden sollen, und den Kreis der betroffenen Personen,
3.
die Aufgabe, zu deren Erfüllung die Verarbeitung der Daten im Auftrag erfolgen soll, sowie
4.
den Abschluss von etwaigen Unterauftragsverhältnissen
schriftlich oder elektronisch anzeigt. Soll eine öffentliche Stelle mit der Verarbeitung von Sozialdaten beauftragt werden, hat diese rechtzeitig vor der Auftragserteilung die beabsichtigte Beauftragung ihrer Rechts- oder Fachaufsichtsbehörde schriftlich oder elektronisch anzuzeigen.

(2) Der Auftrag zur Verarbeitung von Sozialdaten darf nur erteilt werden, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat, oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat oder in einer internationalen Organisation erfolgt.

(3) Die Erteilung eines Auftrags zur Verarbeitung von Sozialdaten durch nicht-öffentliche Stellen ist nur zulässig, wenn

1.
beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder
2.
die übertragenen Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger besorgt werden können.
Dies gilt nicht, wenn Dienstleister in der Informationstechnik, deren absolute Mehrheit der Anteile oder deren absolute Mehrheit der Stimmen dem Bund oder den Ländern zusteht, mit vorheriger Genehmigung der obersten Dienstbehörde des Verantwortlichen beauftragt werden.

(4) Ist der Auftragsverarbeiter eine in § 35 des Ersten Buches genannte Stelle, gelten neben den §§ 85 und 85a die §§ 9, 13, 14 und 16 des Bundesdatenschutzgesetzes. Bei den in § 35 des Ersten Buches genannten Stellen, die nicht solche des Bundes sind, tritt anstelle des oder der Bundesbeauftragten insoweit die nach Landesrecht für die Kontrolle des Datenschutzes zuständige Stelle. Ist der Auftragsverarbeiter eine nicht-öffentliche Stelle, unterliegt dieser der Aufsicht der gemäß § 40 des Bundesdatenschutzgesetzes zuständigen Behörde.

(5) Absatz 3 gilt nicht bei Verträgen über die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Die Verträge sind bei zu erwartenden oder bereits eingetretenen Störungen im Betriebsablauf unverzüglich der Rechts- oder Fachaufsichtsbehörde mitzuteilen.

(1) Jeder hat Anspruch darauf, dass die ihn betreffenden Sozialdaten (§ 67 Absatz 2 Zehntes Buch) von den Leistungsträgern nicht unbefugt verarbeitet werden (Sozialgeheimnis). Die Wahrung des Sozialgeheimnisses umfasst die Verpflichtung, auch innerhalb des Leistungsträgers sicherzustellen, dass die Sozialdaten nur Befugten zugänglich sind oder nur an diese weitergegeben werden. Sozialdaten der Beschäftigten und ihrer Angehörigen dürfen Personen, die Personalentscheidungen treffen oder daran mitwirken können, weder zugänglich sein noch von Zugriffsberechtigten weitergegeben werden. Der Anspruch richtet sich auch gegen die Verbände der Leistungsträger, die Arbeitsgemeinschaften der Leistungsträger und ihrer Verbände, die Datenstelle der Rentenversicherung, die in diesem Gesetzbuch genannten öffentlich-rechtlichen Vereinigungen, Integrationsfachdienste, die Künstlersozialkasse, die Deutsche Post AG, soweit sie mit der Berechnung oder Auszahlung von Sozialleistungen betraut ist, die Behörden der Zollverwaltung, soweit sie Aufgaben nach § 2 des Schwarzarbeitsbekämpfungsgesetzes und § 66 des Zehnten Buches durchführen, die Versicherungsämter und Gemeindebehörden sowie die anerkannten Adoptionsvermittlungsstellen (§ 2 Absatz 3 des Adoptionsvermittlungsgesetzes), soweit sie Aufgaben nach diesem Gesetzbuch wahrnehmen, und die Stellen, die Aufgaben nach § 67c Absatz 3 des Zehnten Buches wahrnehmen. Die Beschäftigten haben auch nach Beendigung ihrer Tätigkeit bei den genannten Stellen das Sozialgeheimnis zu wahren.

(2) Die Vorschriften des Zweiten Kapitels des Zehnten Buches und der übrigen Bücher des Sozialgesetzbuches regeln die Verarbeitung von Sozialdaten abschließend, soweit nicht die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2) in der jeweils geltenden Fassung unmittelbar gilt. Für die Verarbeitungen von Sozialdaten im Rahmen von nicht in den Anwendungsbereich der Verordnung (EU) 2016/679 fallenden Tätigkeiten finden die Verordnung (EU) 2016/679 und dieses Gesetz entsprechende Anwendung, soweit nicht in diesem oder einem anderen Gesetz Abweichendes geregelt ist.

(2a) Die Verpflichtung zur Wahrung gesetzlicher Geheimhaltungspflichten oder von Berufs- oder besonderen Amtsgeheimnissen, die nicht auf gesetzlichen Vorschriften beruhen, bleibt unberührt.

(3) Soweit eine Übermittlung von Sozialdaten nicht zulässig ist, besteht keine Auskunftspflicht, keine Zeugnispflicht und keine Pflicht zur Vorlegung oder Auslieferung von Schriftstücken, nicht automatisierten Dateisystemen und automatisiert verarbeiteten Sozialdaten.

(4) Betriebs- und Geschäftsgeheimnisse stehen Sozialdaten gleich.

(5) Sozialdaten Verstorbener dürfen nach Maßgabe des Zweiten Kapitels des Zehnten Buches verarbeitet werden. Sie dürfen außerdem verarbeitet werden, wenn schutzwürdige Interessen des Verstorbenen oder seiner Angehörigen dadurch nicht beeinträchtigt werden können.

(6) Die Absätze 1 bis 5 finden neben den in Absatz 1 genannten Stellen auch Anwendung auf solche Verantwortliche oder deren Auftragsverarbeiter,

1.
die Sozialdaten im Inland verarbeiten, sofern die Verarbeitung nicht im Rahmen einer Niederlassung in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erfolgt, oder
2.
die Sozialdaten im Rahmen der Tätigkeiten einer inländischen Niederlassung verarbeiten.
Sofern die Absätze 1 bis 5 nicht gemäß Satz 1 anzuwenden sind, gelten für den Verantwortlichen oder dessen Auftragsverarbeiter nur die §§ 81 bis 81c des Zehnten Buches.

(7) Bei der Verarbeitung zu Zwecken gemäß Artikel 2 der Verordnung (EU) 2016/679 stehen die Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum und die Schweiz den Mitgliedstaaten der Europäischen Union gleich. Andere Staaten gelten insoweit als Drittstaaten.

(1) Die Erteilung eines Auftrags im Sinne des Artikels 28 der Verordnung (EU) 2016/679 zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung

1.
den Auftragsverarbeiter, die bei diesem vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen,
2.
die Art der Daten, die im Auftrag verarbeitet werden sollen, und den Kreis der betroffenen Personen,
3.
die Aufgabe, zu deren Erfüllung die Verarbeitung der Daten im Auftrag erfolgen soll, sowie
4.
den Abschluss von etwaigen Unterauftragsverhältnissen
schriftlich oder elektronisch anzeigt. Soll eine öffentliche Stelle mit der Verarbeitung von Sozialdaten beauftragt werden, hat diese rechtzeitig vor der Auftragserteilung die beabsichtigte Beauftragung ihrer Rechts- oder Fachaufsichtsbehörde schriftlich oder elektronisch anzuzeigen.

(2) Der Auftrag zur Verarbeitung von Sozialdaten darf nur erteilt werden, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat, oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat oder in einer internationalen Organisation erfolgt.

(3) Die Erteilung eines Auftrags zur Verarbeitung von Sozialdaten durch nicht-öffentliche Stellen ist nur zulässig, wenn

1.
beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder
2.
die übertragenen Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger besorgt werden können.
Dies gilt nicht, wenn Dienstleister in der Informationstechnik, deren absolute Mehrheit der Anteile oder deren absolute Mehrheit der Stimmen dem Bund oder den Ländern zusteht, mit vorheriger Genehmigung der obersten Dienstbehörde des Verantwortlichen beauftragt werden.

(4) Ist der Auftragsverarbeiter eine in § 35 des Ersten Buches genannte Stelle, gelten neben den §§ 85 und 85a die §§ 9, 13, 14 und 16 des Bundesdatenschutzgesetzes. Bei den in § 35 des Ersten Buches genannten Stellen, die nicht solche des Bundes sind, tritt anstelle des oder der Bundesbeauftragten insoweit die nach Landesrecht für die Kontrolle des Datenschutzes zuständige Stelle. Ist der Auftragsverarbeiter eine nicht-öffentliche Stelle, unterliegt dieser der Aufsicht der gemäß § 40 des Bundesdatenschutzgesetzes zuständigen Behörde.

(5) Absatz 3 gilt nicht bei Verträgen über die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Die Verträge sind bei zu erwartenden oder bereits eingetretenen Störungen im Betriebsablauf unverzüglich der Rechts- oder Fachaufsichtsbehörde mitzuteilen.

(1) Die im Krankenhaus erbrachten ambulanten ärztlichen Leistungen der ermächtigten Krankenhausärzte, die in stationären Pflegeeinrichtungen erbrachten ambulanten ärztlichen Leistungen von nach § 119b Absatz 1 Satz 4 ermächtigten Ärzten, ambulante ärztliche Leistungen, die in ermächtigten Einrichtungen erbracht werden, und Leistungen, die im Rahmen einer Inanspruchnahme nach § 27b Absatz 3 Nummer 4 oder nach § 75 Absatz 1b Satz 2, § 76 Absatz 1 Satz 2 oder Absatz 1a, § 115 Absatz 2 Satz 1 Nummer 3 sowie nach § 87 Absatz 2a Satz 14 erbracht werden, werden nach den für Vertragsärzte geltenden Grundsätzen aus der vertragsärztlichen Gesamtvergütung vergütet. Die mit diesen Leistungen verbundenen allgemeinen Praxiskosten, die durch die Anwendung von ärztlichen Geräten entstehenden Kosten sowie die sonstigen Sachkosten sind mit den Gebühren abgegolten, soweit in den einheitlichen Bewertungsmaßstäben nichts Abweichendes bestimmt ist. Die den ermächtigten Krankenhausärzten zustehende Vergütung wird für diese vom Krankenhausträger mit der Kassenärztlichen Vereinigung abgerechnet und nach Abzug der anteiligen Verwaltungskosten sowie der dem Krankenhaus nach Satz 2 entstehenden Kosten an die berechtigten Krankenhausärzte weitergeleitet. Die Vergütung der von nach § 119b Absatz 1 Satz 4 ermächtigten Ärzten erbrachten Leistungen wird von der stationären Pflegeeinrichtung mit der Kassenärztlichen Vereinigung abgerechnet. Die Vergütung der Leistungen, die im Rahmen einer Inanspruchnahme nach § 76 Absatz 1a erbracht werden, wird vom Krankenhausträger nach Maßgabe der regionalen Euro-Gebührenordnung mit der Kassenärztlichen Vereinigung abgerechnet.

(1a) Ergänzend zur Vergütung nach Absatz 1 sollen die Landesverbände der Krankenkassen und die Ersatzkassen gemeinsam und einheitlich für die in kinder- und jugendmedizinischen, kinderchirurgischen und kinderorthopädischen sowie insbesondere pädaudiologischen und kinderradiologischen Fachabteilungen von Krankenhäusern erbrachten ambulanten Leistungen mit dem Krankenhausträger fall- oder einrichtungsbezogene Pauschalen vereinbaren, wenn diese erforderlich sind, um die Behandlung von Kindern und Jugendlichen, die auf Überweisung erfolgt, angemessen zu vergüten. Die Pauschalen werden von der Krankenkasse unmittelbar vergütet. § 295 Absatz 1b Satz 1 gilt entsprechend. Das Nähere über Form und Inhalt der Abrechnungsunterlagen und der erforderlichen Vordrucke wird in der Vereinbarung nach § 301 Absatz 3 geregelt. Soweit für ein Jahr für diese Leistungen erstmals Pauschalen nach Satz 1 vereinbart werden, sind bei besonderen Einrichtungen einmalig die Erlössumme nach § 6 Absatz 3 des Krankenhausentgeltgesetzes für dieses Jahr in Höhe der Summe der nach Satz 1 vereinbarten Pauschalen zu vermindern. Der jeweilige Minderungsbetrag ist bereits bei der Vereinbarung der Vergütung nach Satz 1 festzulegen. Bei der Vereinbarung des Landesbasisfallwerts nach § 10 des Krankenhausentgeltgesetzes ist die Summe der für das jeweilige Jahr erstmalig vereinbarten ambulanten Pauschalen ausgabenmindernd zu berücksichtigen.

(2) Die Leistungen der Hochschulambulanzen, der psychiatrischen Institutsambulanzen, der sozialpädiatrischen Zentren und der medizinischen Behandlungszentren werden unmittelbar von der Krankenkasse vergütet. Die Vergütung wird von den Landesverbänden der Krankenkassen und den Ersatzkassen gemeinsam und einheitlich mit den Hochschulen oder Hochschulkliniken, den Krankenhäusern oder den sie vertretenden Vereinigungen im Land vereinbart; die Höhe der Vergütung für die Leistungen der jeweiligen Hochschulambulanz gilt auch für andere Krankenkassen im Inland, wenn deren Versicherte durch diese Hochschulambulanz behandelt werden. Sie muss die Leistungsfähigkeit der Hochschulambulanzen, der psychiatrischen Institutsambulanzen, der sozialpädiatrischen Zentren und der medizinischen Behandlungszentren bei wirtschaftlicher Betriebsführung gewährleisten. Bei der Vergütung der Leistungen der Hochschulambulanzen sind die Grundsätze nach Absatz 3 Satz 4 erstmals bis zum 1. Juli 2017 und danach jeweils innerhalb von sechs Monaten nach Inkrafttreten der Anpassung der Grundsätze nach Absatz 3 Satz 4 zu berücksichtigen. Bei den Vergütungsvereinbarungen für Hochschulambulanzen nach Satz 2 sind Vereinbarungen nach Absatz 1a Satz 1 zu berücksichtigen. Die Vereinbarungen nach Satz 2 über die Vergütung von Leistungen der sozialpädiatrischen Zentren und medizinischen Behandlungszentren sind, auf Grund der besonderen Situation dieser Einrichtungen durch die SARS-CoV-2-Pandemie, bis zum 20. Juni 2020 vorübergehend anzupassen. Abweichend von den Sätzen 2 und 3 hat die Vergütung der Leistungen, die die psychiatrischen Institutsambulanzen im Rahmen der Versorgung nach der Richtlinie des Gemeinsamen Bundesausschusses nach § 92 Absatz 6b erbringen, nach den entsprechenden Bestimmungen im einheitlichen Bewertungsmaßstab für ärztliche Leistungen mit dem Preis der jeweiligen regionalen Euro-Gebührenordnung zu erfolgen.

(3) Die Vergütung der Leistungen der Hochschulambulanzen, der psychiatrischen Institutsambulanzen, der sozialpädiatrischen Zentren, der medizinischen Behandlungszentren und sonstiger ermächtigter ärztlich geleiteter Einrichtungen kann pauschaliert werden. § 295 Absatz 1b Satz 1 gilt entsprechend. Das Nähere über Form und Inhalt der Abrechnungsunterlagen und der erforderlichen Vordrucke wird für die Hochschulambulanzen, die psychiatrischen Institutsambulanzen, die sozial-pädiatrischen Zentren und die medizinischen Behandlungszentren von den Vertragsparteien nach § 301 Absatz 3, für die sonstigen ermächtigten ärztlich geleiteten Einrichtungen von den Vertragsparteien nach § 83 Satz 1 vereinbart. Die Vertragsparteien nach § 301 Absatz 3 vereinbaren bis zum 23. Januar 2016 bundeseinheitliche Grundsätze, die die Besonderheiten der Hochschulambulanzen angemessen abbilden, insbesondere zur Vergütungsstruktur und zur Leistungsdokumentation.

(3a) Die Vergütung der Leistungen, die im Rahmen einer Inanspruchnahme nach § 76 Absatz 1a erbracht werden, erfolgt mit den festen Preisen der regionalen Euro-Gebührenordnung zu Lasten des Anteils der morbiditätsbedingten Gesamtvergütungen, der für den Bereich der fachärztlichen Versorgung zu bilden ist, es sei denn, die Vertragsparteien nach § 87a Absatz 2 Satz 1 haben für diese Leistungen Vergütungen nach § 87a Absatz 2 Satz 3 oder § 87a Absatz 3 Satz 5 und 6 vereinbart. Eine Prüfung der Abrechnungen auf Plausibilität ist nicht vorzunehmen. Das Nähere über Form und Inhalt der Abrechnungsunterlagen und der erforderlichen Vordrucke bestimmt die Kassenärztliche Vereinigung im Einvernehmen mit der Landeskrankenhausgesellschaft und den Landesverbänden der Krankenkassen und den Ersatzkassen gemeinsam und einheitlich unter Berücksichtigung der Regelungen nach § 87 Absatz 1 Satz 2 bis zum 23. Januar 2016; § 115 Absatz 3 gilt entsprechend. Die in § 112 Absatz 1 genannten Vertragspartner treffen eine Vereinbarung über eine pauschale Vergütung und Abrechnung des Sprechstundenbedarfs mit den Krankenkassen im Rahmen der Inanspruchnahme nach § 76 Absatz 1a; § 112 Absatz 5 gilt entsprechend.

(3b) Der Gemeinsame Bundesausschuss beschließt bis zum 30. Juni 2023 eine Richtlinie, die Vorgaben zur Durchführung einer qualifizierten und standardisierten Ersteinschätzung des medizinischen Versorgungsbedarfs von Hilfesuchenden, die sich zur Behandlung eines Notfalls nach § 76 Absatz 1 Satz 2 an ein Krankenhaus wenden, beinhaltet. Die nach § 136c Absatz 4 beschlossenen Festlegungen sind zu berücksichtigen. Dabei ist auch das Nähere vorzugeben

1.
zur Qualifikation des medizinischen Personals, das die Ersteinschätzung vornimmt,
2.
zur Einbeziehung ärztlichen Personals bei der Feststellung des Nichtvorliegens eines sofortigen Behandlungsbedarfs,
3.
zur Form und zum Inhalt des Nachweises der Durchführung der Ersteinschätzung,
4.
zum Nachweis gegenüber der Terminservicestelle, dass ein Fall nach § 75 Absatz 1a Satz 4 Nummer 2 vorliegt,
5.
zur Weiterleitung an Notdienstpraxen gemäß § 75 Absatz 1b Satz 3 und
6.
zu Übergangsfristen für die Umsetzung der Richtlinie, soweit diese für eine rechtzeitige Integration der Richtlinie in die organisatorischen Abläufe der Krankenhäuser erforderlich sind.
Die Vergütung ambulanter Leistungen zur Behandlung von Notfällen nach § 76 Absatz 1 Satz 2 im Krankenhaus setzt ab dem Inkrafttreten der Richtlinie nach Satz 1 voraus, dass bei der Durchführung der Ersteinschätzung nach Satz 1 ein sofortiger Behandlungsbedarf festgestellt wurde oder zu diesem Zeitpunkt keine Notdienstpraxis in oder an dem jeweiligen Krankenhaus gemäß § 75 Absatz 1b Satz 3 in unmittelbarer Nähe geöffnet ist. Der ergänzte Bewertungsausschuss in seiner Zusammensetzung nach § 87 Absatz 5a beschließt bis zum Beginn des übernächsten auf das Inkrafttreten der Richtlinie nach Satz 1 folgenden Quartals die sich aus der Richtlinie nach Satz 1 ergebenden notwendigen Anpassungen des einheitlichen Bewertungsmaßstabs für ärztliche Leistungen. Der Gemeinsame Bundesausschuss hat die Auswirkungen der Richtlinie nach Satz 1 hinsichtlich der Entwicklung der Inanspruchnahme der Notaufnahmen, der Auswirkungen auf die Patientenversorgung sowie die Erforderlichkeit einer Anpassung seiner Regelungen bis zum 31. Dezember 2026 zu prüfen. Der ergänzte Bewertungsausschuss in seiner Zusammensetzung nach § 87 Absatz 5a hat die Entwicklung der Leistungen in Notaufnahmen zu evaluieren und hierüber dem Bundesministerium für Gesundheit bis zum 31. Dezember 2026 zu berichten; § 87 Absatz 3a gilt entsprechend.

(4) Kommt eine Vereinbarung nach Absatz 1a Satz 1 oder nach Absatz 2 Satz 2 oder eine Berücksichtigung der Grundsätze nach Absatz 2 Satz 4 ganz oder teilweise nicht zustande, setzt die Schiedsstelle nach § 18a Abs. 1 des Krankenhausfinanzierungsgesetzes auf Antrag einer Vertragspartei die Vergütung fest; im Falle von Vereinbarungen nach Absatz 1a Satz 1 hat die Schiedsstelle zunächst festzustellen, ob die Vereinbarung erforderlich ist, um die Behandlung von Kindern und Jugendlichen, die auf Überweisung erfolgt, angemessen zu vergüten. Kommt die Vereinbarung nach Absatz 3 Satz 4 ganz oder teilweise nicht zustande, setzt die Schiedsstelle nach § 18a Absatz 6 des Krankenhausfinanzierungsgesetzes in der Besetzung ohne den Vertreter des Verbandes der privaten Krankenversicherung auf Antrag einer Vertragspartei den Inhalt innerhalb von sechs Wochen fest. Kommt die Vereinbarung nach Absatz 3a Satz 4 ganz oder teilweise nicht zustande, setzt die Schiedsstelle nach § 114 auf Antrag einer Vertragspartei den Inhalt innerhalb von sechs Wochen fest.

(5) Beamtenrechtliche Vorschriften über die Entrichtung eines Entgelts bei der Inanspruchnahme von Einrichtungen, Personal und Material des Dienstherrn oder vertragliche Regelungen über ein weitergehendes Nutzungsentgelt, das neben der Kostenerstattung auch einen Vorteilsausgleich umfaßt, und sonstige Abgaben der Ärzte werden durch die Absätze 1 bis 4 nicht berührt.

(6) (weggefallen)

(1) Die Erteilung eines Auftrags im Sinne des Artikels 28 der Verordnung (EU) 2016/679 zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung

1.
den Auftragsverarbeiter, die bei diesem vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen,
2.
die Art der Daten, die im Auftrag verarbeitet werden sollen, und den Kreis der betroffenen Personen,
3.
die Aufgabe, zu deren Erfüllung die Verarbeitung der Daten im Auftrag erfolgen soll, sowie
4.
den Abschluss von etwaigen Unterauftragsverhältnissen
schriftlich oder elektronisch anzeigt. Soll eine öffentliche Stelle mit der Verarbeitung von Sozialdaten beauftragt werden, hat diese rechtzeitig vor der Auftragserteilung die beabsichtigte Beauftragung ihrer Rechts- oder Fachaufsichtsbehörde schriftlich oder elektronisch anzuzeigen.

(2) Der Auftrag zur Verarbeitung von Sozialdaten darf nur erteilt werden, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat, oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat oder in einer internationalen Organisation erfolgt.

(3) Die Erteilung eines Auftrags zur Verarbeitung von Sozialdaten durch nicht-öffentliche Stellen ist nur zulässig, wenn

1.
beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder
2.
die übertragenen Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger besorgt werden können.
Dies gilt nicht, wenn Dienstleister in der Informationstechnik, deren absolute Mehrheit der Anteile oder deren absolute Mehrheit der Stimmen dem Bund oder den Ländern zusteht, mit vorheriger Genehmigung der obersten Dienstbehörde des Verantwortlichen beauftragt werden.

(4) Ist der Auftragsverarbeiter eine in § 35 des Ersten Buches genannte Stelle, gelten neben den §§ 85 und 85a die §§ 9, 13, 14 und 16 des Bundesdatenschutzgesetzes. Bei den in § 35 des Ersten Buches genannten Stellen, die nicht solche des Bundes sind, tritt anstelle des oder der Bundesbeauftragten insoweit die nach Landesrecht für die Kontrolle des Datenschutzes zuständige Stelle. Ist der Auftragsverarbeiter eine nicht-öffentliche Stelle, unterliegt dieser der Aufsicht der gemäß § 40 des Bundesdatenschutzgesetzes zuständigen Behörde.

(5) Absatz 3 gilt nicht bei Verträgen über die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Die Verträge sind bei zu erwartenden oder bereits eingetretenen Störungen im Betriebsablauf unverzüglich der Rechts- oder Fachaufsichtsbehörde mitzuteilen.

(1) Der Deutsche Bundestag wählt ohne Aussprache auf Vorschlag der Bundesregierung die Bundesbeauftragte oder den Bundesbeauftragten mit mehr als der Hälfte der gesetzlichen Zahl seiner Mitglieder. Die oder der Gewählte ist von der Bundespräsidentin oder dem Bundespräsidenten zu ernennen. Die oder der Bundesbeauftragte muss bei ihrer oder seiner Wahl das 35. Lebensjahr vollendet haben. Sie oder er muss über die für die Erfüllung ihrer oder seiner Aufgaben und Ausübung ihrer oder seiner Befugnisse erforderliche Qualifikation, Erfahrung und Sachkunde insbesondere im Bereich des Schutzes personenbezogener Daten verfügen. Insbesondere muss die oder der Bundesbeauftragte über durch einschlägige Berufserfahrung erworbene Kenntnisse des Datenschutzrechts verfügen und die Befähigung zum Richteramt oder höheren Verwaltungsdienst haben.

(2) Die oder der Bundesbeauftragte leistet vor der Bundespräsidentin oder dem Bundespräsidenten folgenden Eid: „Ich schwöre, dass ich meine Kraft dem Wohle des deutschen Volkes widmen, seinen Nutzen mehren, Schaden von ihm wenden, das Grundgesetz und die Gesetze des Bundes wahren und verteidigen, meine Pflichten gewissenhaft erfüllen und Gerechtigkeit gegen jedermann üben werde. So wahr mir Gott helfe. “ Der Eid kann auch ohne religiöse Beteuerung geleistet werden.

(3) Die Amtszeit der oder des Bundesbeauftragten beträgt fünf Jahre. Einmalige Wiederwahl ist zulässig.

(1) Die Erteilung eines Auftrags im Sinne des Artikels 28 der Verordnung (EU) 2016/679 zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung

1.
den Auftragsverarbeiter, die bei diesem vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen,
2.
die Art der Daten, die im Auftrag verarbeitet werden sollen, und den Kreis der betroffenen Personen,
3.
die Aufgabe, zu deren Erfüllung die Verarbeitung der Daten im Auftrag erfolgen soll, sowie
4.
den Abschluss von etwaigen Unterauftragsverhältnissen
schriftlich oder elektronisch anzeigt. Soll eine öffentliche Stelle mit der Verarbeitung von Sozialdaten beauftragt werden, hat diese rechtzeitig vor der Auftragserteilung die beabsichtigte Beauftragung ihrer Rechts- oder Fachaufsichtsbehörde schriftlich oder elektronisch anzuzeigen.

(2) Der Auftrag zur Verarbeitung von Sozialdaten darf nur erteilt werden, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat, oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat oder in einer internationalen Organisation erfolgt.

(3) Die Erteilung eines Auftrags zur Verarbeitung von Sozialdaten durch nicht-öffentliche Stellen ist nur zulässig, wenn

1.
beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder
2.
die übertragenen Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger besorgt werden können.
Dies gilt nicht, wenn Dienstleister in der Informationstechnik, deren absolute Mehrheit der Anteile oder deren absolute Mehrheit der Stimmen dem Bund oder den Ländern zusteht, mit vorheriger Genehmigung der obersten Dienstbehörde des Verantwortlichen beauftragt werden.

(4) Ist der Auftragsverarbeiter eine in § 35 des Ersten Buches genannte Stelle, gelten neben den §§ 85 und 85a die §§ 9, 13, 14 und 16 des Bundesdatenschutzgesetzes. Bei den in § 35 des Ersten Buches genannten Stellen, die nicht solche des Bundes sind, tritt anstelle des oder der Bundesbeauftragten insoweit die nach Landesrecht für die Kontrolle des Datenschutzes zuständige Stelle. Ist der Auftragsverarbeiter eine nicht-öffentliche Stelle, unterliegt dieser der Aufsicht der gemäß § 40 des Bundesdatenschutzgesetzes zuständigen Behörde.

(5) Absatz 3 gilt nicht bei Verträgen über die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Die Verträge sind bei zu erwartenden oder bereits eingetretenen Störungen im Betriebsablauf unverzüglich der Rechts- oder Fachaufsichtsbehörde mitzuteilen.

(1) Der Deutsche Bundestag wählt ohne Aussprache auf Vorschlag der Bundesregierung die Bundesbeauftragte oder den Bundesbeauftragten mit mehr als der Hälfte der gesetzlichen Zahl seiner Mitglieder. Die oder der Gewählte ist von der Bundespräsidentin oder dem Bundespräsidenten zu ernennen. Die oder der Bundesbeauftragte muss bei ihrer oder seiner Wahl das 35. Lebensjahr vollendet haben. Sie oder er muss über die für die Erfüllung ihrer oder seiner Aufgaben und Ausübung ihrer oder seiner Befugnisse erforderliche Qualifikation, Erfahrung und Sachkunde insbesondere im Bereich des Schutzes personenbezogener Daten verfügen. Insbesondere muss die oder der Bundesbeauftragte über durch einschlägige Berufserfahrung erworbene Kenntnisse des Datenschutzrechts verfügen und die Befähigung zum Richteramt oder höheren Verwaltungsdienst haben.

(2) Die oder der Bundesbeauftragte leistet vor der Bundespräsidentin oder dem Bundespräsidenten folgenden Eid: „Ich schwöre, dass ich meine Kraft dem Wohle des deutschen Volkes widmen, seinen Nutzen mehren, Schaden von ihm wenden, das Grundgesetz und die Gesetze des Bundes wahren und verteidigen, meine Pflichten gewissenhaft erfüllen und Gerechtigkeit gegen jedermann üben werde. So wahr mir Gott helfe. “ Der Eid kann auch ohne religiöse Beteuerung geleistet werden.

(3) Die Amtszeit der oder des Bundesbeauftragten beträgt fünf Jahre. Einmalige Wiederwahl ist zulässig.

(1) Die Erteilung eines Auftrags im Sinne des Artikels 28 der Verordnung (EU) 2016/679 zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung

1.
den Auftragsverarbeiter, die bei diesem vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen,
2.
die Art der Daten, die im Auftrag verarbeitet werden sollen, und den Kreis der betroffenen Personen,
3.
die Aufgabe, zu deren Erfüllung die Verarbeitung der Daten im Auftrag erfolgen soll, sowie
4.
den Abschluss von etwaigen Unterauftragsverhältnissen
schriftlich oder elektronisch anzeigt. Soll eine öffentliche Stelle mit der Verarbeitung von Sozialdaten beauftragt werden, hat diese rechtzeitig vor der Auftragserteilung die beabsichtigte Beauftragung ihrer Rechts- oder Fachaufsichtsbehörde schriftlich oder elektronisch anzuzeigen.

(2) Der Auftrag zur Verarbeitung von Sozialdaten darf nur erteilt werden, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat, oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat oder in einer internationalen Organisation erfolgt.

(3) Die Erteilung eines Auftrags zur Verarbeitung von Sozialdaten durch nicht-öffentliche Stellen ist nur zulässig, wenn

1.
beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder
2.
die übertragenen Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger besorgt werden können.
Dies gilt nicht, wenn Dienstleister in der Informationstechnik, deren absolute Mehrheit der Anteile oder deren absolute Mehrheit der Stimmen dem Bund oder den Ländern zusteht, mit vorheriger Genehmigung der obersten Dienstbehörde des Verantwortlichen beauftragt werden.

(4) Ist der Auftragsverarbeiter eine in § 35 des Ersten Buches genannte Stelle, gelten neben den §§ 85 und 85a die §§ 9, 13, 14 und 16 des Bundesdatenschutzgesetzes. Bei den in § 35 des Ersten Buches genannten Stellen, die nicht solche des Bundes sind, tritt anstelle des oder der Bundesbeauftragten insoweit die nach Landesrecht für die Kontrolle des Datenschutzes zuständige Stelle. Ist der Auftragsverarbeiter eine nicht-öffentliche Stelle, unterliegt dieser der Aufsicht der gemäß § 40 des Bundesdatenschutzgesetzes zuständigen Behörde.

(5) Absatz 3 gilt nicht bei Verträgen über die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Die Verträge sind bei zu erwartenden oder bereits eingetretenen Störungen im Betriebsablauf unverzüglich der Rechts- oder Fachaufsichtsbehörde mitzuteilen.

(1) Die an der vertragsärztlichen Versorgung teilnehmenden Ärzte und Einrichtungen sind verpflichtet,

1.
die von ihnen festgestellten Arbeitsunfähigkeitsdaten,
2.
in den Abrechnungsunterlagen für die vertragsärztlichen Leistungen die von ihnen erbrachten Leistungen einschließlich des Tages und, soweit für die Überprüfung der Zulässigkeit und Richtigkeit der Abrechnung erforderlich, der Uhrzeit der Behandlung, bei ärztlicher Behandlung mit Diagnosen, bei zahnärztlicher Behandlung mit Zahnbezug und Befunden,
3.
in den Abrechnungsunterlagen sowie auf den Vordrucken für die vertragsärztliche Versorgung ihre Arztnummer, in Überweisungsfällen die Arztnummer des überweisenden Arztes und bei der Abrechnung von Leistungen nach § 73 Absatz 1 Satz 2 Nummer 2 die Arztnummer des Arztes, bei dem der Termin vermittelt wurde, sowie die Angaben nach § 291a Absatz 2 Nummer 1 bis 10 maschinenlesbar
aufzuzeichnen und zu übermitteln. Die Diagnosen nach Satz 1 Nr. 1 und 2 sind nach der Internationalen Klassifikation der Krankheiten in der jeweiligen vom Bundesinstitut für Arzneimittel und Medizinprodukte im Auftrag des Bundesministeriums für Gesundheit herausgegebenen deutschen Fassung zu verschlüsseln. Das Bundesministerium für Gesundheit kann das Bundesinstitut für Arzneimittel und Medizinprodukte beauftragen, den in Satz 2 genannten Schlüssel um Zusatzkennzeichen zur Gewährleistung der für die Erfüllung der Aufgaben der Krankenkassen notwendigen Aussagefähigkeit des Schlüssels zu ergänzen. Von Vertragsärzten durchgeführte Operationen und sonstige Prozeduren sind nach dem vom Bundesinstitut für Arzneimittel und Medizinprodukte im Auftrag des Bundesministeriums für Gesundheit herausgegebenen Schlüssel zu verschlüsseln. In dem Schlüssel nach Satz 4 können durch das Bundesinstitut für Arzneimittel und Medizinprodukte auch Voraussetzungen für die Abrechnung der Operationen und sonstigen Prozeduren festgelegt werden. Das Bundesministerium für Gesundheit gibt den Zeitpunkt des Inkrafttretens der jeweiligen Fassung des Diagnosenschlüssels nach Satz 2 sowie des Prozedurenschlüssels nach Satz 4 im Bundesanzeiger bekannt. Von dem in Satz 6 genannten Zeitpunkt an sind der Diagnoseschlüssel nach Satz 2 sowie der Operationen- und Prozedurenschlüssel nach Satz 4 verbindlich und für die Abrechnung der erbrachten Leistungen zu verwenden. Das Bundesinstitut für Arzneimittel und Medizinprodukte kann bei Auslegungsfragen zu den Diagnosenschlüsseln nach Satz 2 und den Prozedurenschlüsseln nach Satz 4 Klarstellungen und Änderungen mit Wirkung auch für die Vergangenheit vornehmen, soweit diese nicht zu erweiterten Anforderungen an die Verschlüsselung erbrachter Leistungen führen. Für das Verfahren der Festlegung des Diagnoseschlüssels nach Satz 2 sowie des Operationen- und Prozedurenschlüssels nach Satz 4 gibt sich das Bundesinstitut für Arzneimittel und Medizinprodukte eine Verfahrensordnung, die der Genehmigung des Bundesministeriums für Gesundheit bedarf und die auf der Internetseite des Bundesinstituts für Arzneimittel und Medizinprodukte zu veröffentlichen ist. Die Angaben nach Satz 1 Nummer 1 sind unter Angabe der Diagnosen sowie unter Nutzung des sicheren Übermittlungsverfahrens nach § 311 Absatz 6 über die Telematikinfrastruktur unmittelbar elektronisch an die Krankenkasse zu übermitteln; dies gilt nicht für Vorsorge- und Rehabilitationseinrichtungen, die nicht an die Telematikinfrastruktur angeschlossen sind.

(1a) Für die Erfüllung der Aufgaben nach § 106d sind die an der vertragsärztlichen Versorgung teilnehmenden Ärzte verpflichtet und befugt, auf Verlangen der Kassenärztlichen Vereinigungen die für die Prüfung erforderlichen Befunde vorzulegen.

(1b) Ärzte, Einrichtungen und medizinische Versorgungszentren, die ohne Beteiligung der Kassenärztlichen Vereinigungen mit den Krankenkassen oder ihren Verbänden Verträge über Modellvorhaben nach § 64e, zu besonderen Versorgungsformen (§ 140a) oder zur Versorgung nach den §§ 73b, 132e oder 132f abgeschlossen haben, psychiatrische Institutsambulanzen sowie Leistungserbringer, die gemäß § 116b Abs. 2 an der ambulanten spezialfachärztlichen Versorgung teilnehmen, übermitteln die in Absatz 1 genannten Angaben, bei Krankenhäusern einschließlich ihres Institutionskennzeichens, an die jeweiligen Krankenkassen im Wege elektronischer Datenübertragung oder maschinell verwertbar auf Datenträgern; vertragsärztliche Leistungserbringer können in den Fällen des § 116b die Angaben über die Kassenärztliche Vereinigung übermitteln. Das Nähere regelt der Spitzenverband Bund der Krankenkassen mit Ausnahme der Datenübermittlung der Leistungserbringer, die gemäß § 116b Absatz 2 an der ambulanten spezialärztlichen Versorgung teilnehmen, sowie der psychiatrischen Institutsambulanzen. Die psychiatrischen Institutsambulanzen übermitteln die Angaben nach Satz 1 zusätzlich an die Datenstelle nach § 21 Absatz 1 Satz 1 des Krankenhausentgeltgesetzes. Die Selbstverwaltungspartner nach § 17b Absatz 2 des Krankenhausfinanzierungsgesetzes vereinbaren für die Dokumentation der Leistungen der psychiatrischen Institutsambulanzen nach Satz 1 sowie für die Durchführung der vom Gemeinsamen Bundesausschuss nach § 101 Absatz 1 Satz 1 Nummer 2b zu beschließenden Bestimmungen bis spätestens zum 1. Januar 2018 einen bundeseinheitlichen Katalog, der nach Art und Umfang der Leistung sowie der zur Leistungserbringung eingesetzten personellen Kapazitäten getrennt nach Berufsgruppen und Fachgebieten differenziert, sowie das Nähere zur Datenübermittlung nach Satz 3; für die Umsetzung des Prüfauftrags nach § 17d Absatz 1 Satz 3 des Krankenhausfinanzierungsgesetzes vereinbaren sie dabei auch, ob und wie der Prüfauftrag auf der Grundlage der Daten einer Vollerhebung oder einer repräsentativen Stichprobe der Leistungen psychiatrischer Institutsambulanzen sachgerecht zu erfüllen ist. § 21 Absatz 4, Absatz 5 Satz 1 und 2 sowie Absatz 6 des Krankenhausentgeltgesetzes ist für die Vereinbarung zur Datenübermittlung entsprechend anzuwenden. Für die Vereinbarung einer bundeseinheitlichen Dokumentation der Leistungen der psychiatrischen Institutsambulanzen gilt § 21 Absatz 4 und 6 des Krankenhausentgeltgesetzes entsprechend mit der Maßgabe, dass die Schiedsstelle innerhalb von sechs Wochen entscheidet. Die Schiedsstelle entscheidet innerhalb von sechs Wochen nach Antrag einer Vertragspartei auch über die Tatbestände nach Satz 4 zweiter Halbsatz, zu denen keine Einigung zustande gekommen ist. In Fällen der Verträge nach den §§ 73b und 140a sind als zusätzliche Angabe je Diagnose auch die Vertragsnummern nach § 293a Absatz 1 Satz 4 zu übermitteln; Satz 1 gilt entsprechend.

(2) Für die Abrechnung der Vergütung übermitteln die Kassenärztlichen Vereinigungen im Wege elektronischer Datenübertragung oder maschinell verwertbar auf Datenträgern den Krankenkassen für jedes Quartal für jeden Behandlungsfall folgende Daten:

1.
Angaben nach § 291a Absatz 2 Nummer 1, 6 und 7,
2.
Arzt- oder Zahnarztnummer, in Überweisungsfällen die Arzt- oder Zahnarztnummer des überweisenden Arztes und bei der Abrechnung von Leistungen nach § 73 Absatz 1 Satz 2 Nummer 2 die Arztnummer des Arztes, bei dem der Termin vermittelt wurde,
3.
Art der Inanspruchnahme,
4.
Art der Behandlung,
5.
Tag und, soweit für die Überprüfung der Zulässigkeit und Richtigkeit der Abrechnung erforderlich, die Uhrzeit der Behandlung,
6.
abgerechnete Gebührenpositionen mit den Schlüsseln nach Absatz 1 Satz 5, bei zahnärztlicher Behandlung mit Zahnbezug und Befunden,
7.
Kosten der Behandlung,
8.
den Nachweis über die Erfüllung der Meldepflicht nach § 36 des Implantateregistergesetzes,
9.
bei der Abrechnung von Leistungen im Rahmen von Verträgen nach den §§ 73b und 140a, an denen eine Kassenärztliche Vereinigung beteiligt ist, je Diagnose die Angabe der jeweiligen Vertragsnummer nach § 293a Absatz 1 Satz 4.
Die Kassenärztlichen Vereinigungen übermitteln für die Durchführung der Programme nach § 137g die in den Richtlinien des Gemeinsamen Bundesausschusses nach § 137f festgelegten Angaben versichertenbezogen an die Krankenkassen, soweit sie an der Durchführung dieser Programme beteiligt sind. Die Kassenärztlichen Vereinigungen übermitteln den Krankenkassen die Angaben nach Satz 1 für Versicherte, die an den Programmen nach § 137f teilnehmen, versichertenbezogen. § 137f Abs. 3 Satz 2 bleibt unberührt.

(2a) Die an der vertragsärztlichen Versorgung teilnehmenden Ärzte und Einrichtungen sowie Leistungserbringer, die ohne Beteiligung der Kassenärztlichen Vereinigungen mit den Krankenkassen oder ihren Verbänden Verträge zu besonderen Versorgungsformen (§ 140a) oder zur Versorgung nach § 73b abgeschlossen haben, sowie Leistungserbringer, die gemäß § 116b Abs. 2 an der ambulanten spezialfachärztlichen Versorgung teilnehmen, sind verpflichtet, die Angaben gemäß § 292 aufzuzeichnen und den Krankenkassen zu übermitteln; vertragsärztliche Leistungserbringer können in den Fällen des § 116b die Angaben über die Kassenärztliche Vereinigung übermitteln.

(3) Die Vertragsparteien der Verträge nach § 82 Abs. 1 und § 87 Abs. 1 vereinbaren als Bestandteil dieser Verträge das Nähere über

1.
Form und Inhalt der Abrechnungsunterlagen für die vertragsärztlichen Leistungen,
2.
Form und Inhalt der im Rahmen der vertragsärztlichen Versorgung erforderlichen Vordrucke,
3.
die Erfüllung der Pflichten der Vertragsärzte nach Absatz 1,
4.
die Erfüllung der Pflichten der Kassenärztlichen Vereinigungen nach Absatz 2, insbesondere auch Form, Frist und Umfang der Übermittlung der Abrechnungsunterlagen an die Krankenkassen oder deren Verbände,
5.
Einzelheiten der Datenübermittlung einschließlich einer einheitlichen Datensatzstruktur und der Aufbereitung von Abrechnungsunterlagen nach den §§ 296 und 297.
Die Vertragsparteien nach Satz 1 vereinbaren bis zum 30. September 2021 eine Verkürzung der Frist der Übermittlung der Abrechnungsunterlagen nach Satz 1 Nummer 4.

(4) Die an der vertragsärztlichen Versorgung teilnehmenden Ärzte, Einrichtungen und medizinischen Versorgungszentren haben die für die Abrechnung der Leistungen notwendigen Angaben der Kassenärztlichen Vereinigung im Wege elektronischer Datenübertragung, die unter Anwendung des sicheren Übermittlungsverfahrens nach § 311 Absatz 6 über die Telematikinfrastruktur erfolgen kann, oder maschinell verwertbar auf Datenträgern zu übermitteln. Das Nähere regelt die Kassenärztliche Bundesvereinigung. Dies umfasst im Benehmen mit dem Spitzenverband Bund der Krankenkassen, der Deutschen Krankenhausgesellschaft und dem Bundesinstitut für Arzneimittel und Medizinprodukte für die Abrechnung und Vergütung der vertragsärztlichen Leistungen die Vorgabe von verbindlichen Regelungen zur Vergabe und Übermittlung der Schlüssel nach Absatz 1 Satz 6 sowie von Prüfmaßstäben erstmals bis zum 30. Juni 2020 mit Wirkung zum 1. Januar 2022. Die Regelungen und die Prüfmaßstäbe nach Satz 3 sind danach jährlich zu aktualisieren; die Kassenärztliche Bundesvereinigung hat gegenüber den nach Satz 3 zu Beteiligenden das Verfahren nachvollziehbar und transparent zu begründen, Anforderungen für die Zertifizierung von Software, Softwareteilen und Komponenten nach Satz 6 darzulegen und die Erläuterungen auf ihrer Internetseite zu veröffentlichen. Die Regelungen und die Prüfmaßstäbe nach Satz 3 gelten auch für Leistungserbringer nach § 27b Absatz 3, den §§ 73b, 76 Absatz 1a, den §§ 116, 116a, 116b Absatz 2, den §§ 117 bis 119, 119c, 120 Absatz 1a, den §§ 121a, 137f und 140a sowie für die Leistungserbringung nach § 115b. Die Regelungen und die Prüfmaßstäbe nach Satz 3 sind auch Gegenstand der durch die Kassenärztliche Bundesvereinigung durchzuführenden Zertifizierung von Software, Softwareteilen und Komponenten, soweit diese außerhalb der vertragsärztlichen Versorgung zur Anwendung kommen sollen; das Zertifizierungsverfahren hat zudem die Einhaltung der ärztlichen Pflicht zur Übermittlung der Vertragsnummer nach Absatz 1b Satz 8 in Verträgen nach den §§ 73b und 140a zu gewährleisten. Die Vorgabe von verbindlichen Regelungen zur Vergabe und Übermittlung der Schlüssel sowie von Prüfmaßstäben nach Satz 3 und die jährliche Aktualisierung nach Satz 4 sind im Einvernehmen mit der Deutschen Krankenhausgesellschaft zu beschließen, sofern Schlüssel nach Absatz 1 Satz 6 wesentlich von Leistungserbringern nach Satz 5, mit Ausnahme von Leistungserbringern nach den §§ 73b und 140a, vergeben werden.

(5) (weggefallen)

(1) Die Erteilung eines Auftrags im Sinne des Artikels 28 der Verordnung (EU) 2016/679 zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung

1.
den Auftragsverarbeiter, die bei diesem vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen,
2.
die Art der Daten, die im Auftrag verarbeitet werden sollen, und den Kreis der betroffenen Personen,
3.
die Aufgabe, zu deren Erfüllung die Verarbeitung der Daten im Auftrag erfolgen soll, sowie
4.
den Abschluss von etwaigen Unterauftragsverhältnissen
schriftlich oder elektronisch anzeigt. Soll eine öffentliche Stelle mit der Verarbeitung von Sozialdaten beauftragt werden, hat diese rechtzeitig vor der Auftragserteilung die beabsichtigte Beauftragung ihrer Rechts- oder Fachaufsichtsbehörde schriftlich oder elektronisch anzuzeigen.

(2) Der Auftrag zur Verarbeitung von Sozialdaten darf nur erteilt werden, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat, oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat oder in einer internationalen Organisation erfolgt.

(3) Die Erteilung eines Auftrags zur Verarbeitung von Sozialdaten durch nicht-öffentliche Stellen ist nur zulässig, wenn

1.
beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder
2.
die übertragenen Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger besorgt werden können.
Dies gilt nicht, wenn Dienstleister in der Informationstechnik, deren absolute Mehrheit der Anteile oder deren absolute Mehrheit der Stimmen dem Bund oder den Ländern zusteht, mit vorheriger Genehmigung der obersten Dienstbehörde des Verantwortlichen beauftragt werden.

(4) Ist der Auftragsverarbeiter eine in § 35 des Ersten Buches genannte Stelle, gelten neben den §§ 85 und 85a die §§ 9, 13, 14 und 16 des Bundesdatenschutzgesetzes. Bei den in § 35 des Ersten Buches genannten Stellen, die nicht solche des Bundes sind, tritt anstelle des oder der Bundesbeauftragten insoweit die nach Landesrecht für die Kontrolle des Datenschutzes zuständige Stelle. Ist der Auftragsverarbeiter eine nicht-öffentliche Stelle, unterliegt dieser der Aufsicht der gemäß § 40 des Bundesdatenschutzgesetzes zuständigen Behörde.

(5) Absatz 3 gilt nicht bei Verträgen über die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Die Verträge sind bei zu erwartenden oder bereits eingetretenen Störungen im Betriebsablauf unverzüglich der Rechts- oder Fachaufsichtsbehörde mitzuteilen.

(1) Jeder hat Anspruch darauf, dass die ihn betreffenden Sozialdaten (§ 67 Absatz 2 Zehntes Buch) von den Leistungsträgern nicht unbefugt verarbeitet werden (Sozialgeheimnis). Die Wahrung des Sozialgeheimnisses umfasst die Verpflichtung, auch innerhalb des Leistungsträgers sicherzustellen, dass die Sozialdaten nur Befugten zugänglich sind oder nur an diese weitergegeben werden. Sozialdaten der Beschäftigten und ihrer Angehörigen dürfen Personen, die Personalentscheidungen treffen oder daran mitwirken können, weder zugänglich sein noch von Zugriffsberechtigten weitergegeben werden. Der Anspruch richtet sich auch gegen die Verbände der Leistungsträger, die Arbeitsgemeinschaften der Leistungsträger und ihrer Verbände, die Datenstelle der Rentenversicherung, die in diesem Gesetzbuch genannten öffentlich-rechtlichen Vereinigungen, Integrationsfachdienste, die Künstlersozialkasse, die Deutsche Post AG, soweit sie mit der Berechnung oder Auszahlung von Sozialleistungen betraut ist, die Behörden der Zollverwaltung, soweit sie Aufgaben nach § 2 des Schwarzarbeitsbekämpfungsgesetzes und § 66 des Zehnten Buches durchführen, die Versicherungsämter und Gemeindebehörden sowie die anerkannten Adoptionsvermittlungsstellen (§ 2 Absatz 3 des Adoptionsvermittlungsgesetzes), soweit sie Aufgaben nach diesem Gesetzbuch wahrnehmen, und die Stellen, die Aufgaben nach § 67c Absatz 3 des Zehnten Buches wahrnehmen. Die Beschäftigten haben auch nach Beendigung ihrer Tätigkeit bei den genannten Stellen das Sozialgeheimnis zu wahren.

(2) Die Vorschriften des Zweiten Kapitels des Zehnten Buches und der übrigen Bücher des Sozialgesetzbuches regeln die Verarbeitung von Sozialdaten abschließend, soweit nicht die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2) in der jeweils geltenden Fassung unmittelbar gilt. Für die Verarbeitungen von Sozialdaten im Rahmen von nicht in den Anwendungsbereich der Verordnung (EU) 2016/679 fallenden Tätigkeiten finden die Verordnung (EU) 2016/679 und dieses Gesetz entsprechende Anwendung, soweit nicht in diesem oder einem anderen Gesetz Abweichendes geregelt ist.

(2a) Die Verpflichtung zur Wahrung gesetzlicher Geheimhaltungspflichten oder von Berufs- oder besonderen Amtsgeheimnissen, die nicht auf gesetzlichen Vorschriften beruhen, bleibt unberührt.

(3) Soweit eine Übermittlung von Sozialdaten nicht zulässig ist, besteht keine Auskunftspflicht, keine Zeugnispflicht und keine Pflicht zur Vorlegung oder Auslieferung von Schriftstücken, nicht automatisierten Dateisystemen und automatisiert verarbeiteten Sozialdaten.

(4) Betriebs- und Geschäftsgeheimnisse stehen Sozialdaten gleich.

(5) Sozialdaten Verstorbener dürfen nach Maßgabe des Zweiten Kapitels des Zehnten Buches verarbeitet werden. Sie dürfen außerdem verarbeitet werden, wenn schutzwürdige Interessen des Verstorbenen oder seiner Angehörigen dadurch nicht beeinträchtigt werden können.

(6) Die Absätze 1 bis 5 finden neben den in Absatz 1 genannten Stellen auch Anwendung auf solche Verantwortliche oder deren Auftragsverarbeiter,

1.
die Sozialdaten im Inland verarbeiten, sofern die Verarbeitung nicht im Rahmen einer Niederlassung in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erfolgt, oder
2.
die Sozialdaten im Rahmen der Tätigkeiten einer inländischen Niederlassung verarbeiten.
Sofern die Absätze 1 bis 5 nicht gemäß Satz 1 anzuwenden sind, gelten für den Verantwortlichen oder dessen Auftragsverarbeiter nur die §§ 81 bis 81c des Zehnten Buches.

(7) Bei der Verarbeitung zu Zwecken gemäß Artikel 2 der Verordnung (EU) 2016/679 stehen die Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum und die Schweiz den Mitgliedstaaten der Europäischen Union gleich. Andere Staaten gelten insoweit als Drittstaaten.

(1) Die Erteilung eines Auftrags im Sinne des Artikels 28 der Verordnung (EU) 2016/679 zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung

1.
den Auftragsverarbeiter, die bei diesem vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen,
2.
die Art der Daten, die im Auftrag verarbeitet werden sollen, und den Kreis der betroffenen Personen,
3.
die Aufgabe, zu deren Erfüllung die Verarbeitung der Daten im Auftrag erfolgen soll, sowie
4.
den Abschluss von etwaigen Unterauftragsverhältnissen
schriftlich oder elektronisch anzeigt. Soll eine öffentliche Stelle mit der Verarbeitung von Sozialdaten beauftragt werden, hat diese rechtzeitig vor der Auftragserteilung die beabsichtigte Beauftragung ihrer Rechts- oder Fachaufsichtsbehörde schriftlich oder elektronisch anzuzeigen.

(2) Der Auftrag zur Verarbeitung von Sozialdaten darf nur erteilt werden, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat, oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat oder in einer internationalen Organisation erfolgt.

(3) Die Erteilung eines Auftrags zur Verarbeitung von Sozialdaten durch nicht-öffentliche Stellen ist nur zulässig, wenn

1.
beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder
2.
die übertragenen Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger besorgt werden können.
Dies gilt nicht, wenn Dienstleister in der Informationstechnik, deren absolute Mehrheit der Anteile oder deren absolute Mehrheit der Stimmen dem Bund oder den Ländern zusteht, mit vorheriger Genehmigung der obersten Dienstbehörde des Verantwortlichen beauftragt werden.

(4) Ist der Auftragsverarbeiter eine in § 35 des Ersten Buches genannte Stelle, gelten neben den §§ 85 und 85a die §§ 9, 13, 14 und 16 des Bundesdatenschutzgesetzes. Bei den in § 35 des Ersten Buches genannten Stellen, die nicht solche des Bundes sind, tritt anstelle des oder der Bundesbeauftragten insoweit die nach Landesrecht für die Kontrolle des Datenschutzes zuständige Stelle. Ist der Auftragsverarbeiter eine nicht-öffentliche Stelle, unterliegt dieser der Aufsicht der gemäß § 40 des Bundesdatenschutzgesetzes zuständigen Behörde.

(5) Absatz 3 gilt nicht bei Verträgen über die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Die Verträge sind bei zu erwartenden oder bereits eingetretenen Störungen im Betriebsablauf unverzüglich der Rechts- oder Fachaufsichtsbehörde mitzuteilen.

(1) Die an der vertragsärztlichen Versorgung teilnehmenden Ärzte und Einrichtungen sind verpflichtet,

1.
die von ihnen festgestellten Arbeitsunfähigkeitsdaten,
2.
in den Abrechnungsunterlagen für die vertragsärztlichen Leistungen die von ihnen erbrachten Leistungen einschließlich des Tages und, soweit für die Überprüfung der Zulässigkeit und Richtigkeit der Abrechnung erforderlich, der Uhrzeit der Behandlung, bei ärztlicher Behandlung mit Diagnosen, bei zahnärztlicher Behandlung mit Zahnbezug und Befunden,
3.
in den Abrechnungsunterlagen sowie auf den Vordrucken für die vertragsärztliche Versorgung ihre Arztnummer, in Überweisungsfällen die Arztnummer des überweisenden Arztes und bei der Abrechnung von Leistungen nach § 73 Absatz 1 Satz 2 Nummer 2 die Arztnummer des Arztes, bei dem der Termin vermittelt wurde, sowie die Angaben nach § 291a Absatz 2 Nummer 1 bis 10 maschinenlesbar
aufzuzeichnen und zu übermitteln. Die Diagnosen nach Satz 1 Nr. 1 und 2 sind nach der Internationalen Klassifikation der Krankheiten in der jeweiligen vom Bundesinstitut für Arzneimittel und Medizinprodukte im Auftrag des Bundesministeriums für Gesundheit herausgegebenen deutschen Fassung zu verschlüsseln. Das Bundesministerium für Gesundheit kann das Bundesinstitut für Arzneimittel und Medizinprodukte beauftragen, den in Satz 2 genannten Schlüssel um Zusatzkennzeichen zur Gewährleistung der für die Erfüllung der Aufgaben der Krankenkassen notwendigen Aussagefähigkeit des Schlüssels zu ergänzen. Von Vertragsärzten durchgeführte Operationen und sonstige Prozeduren sind nach dem vom Bundesinstitut für Arzneimittel und Medizinprodukte im Auftrag des Bundesministeriums für Gesundheit herausgegebenen Schlüssel zu verschlüsseln. In dem Schlüssel nach Satz 4 können durch das Bundesinstitut für Arzneimittel und Medizinprodukte auch Voraussetzungen für die Abrechnung der Operationen und sonstigen Prozeduren festgelegt werden. Das Bundesministerium für Gesundheit gibt den Zeitpunkt des Inkrafttretens der jeweiligen Fassung des Diagnosenschlüssels nach Satz 2 sowie des Prozedurenschlüssels nach Satz 4 im Bundesanzeiger bekannt. Von dem in Satz 6 genannten Zeitpunkt an sind der Diagnoseschlüssel nach Satz 2 sowie der Operationen- und Prozedurenschlüssel nach Satz 4 verbindlich und für die Abrechnung der erbrachten Leistungen zu verwenden. Das Bundesinstitut für Arzneimittel und Medizinprodukte kann bei Auslegungsfragen zu den Diagnosenschlüsseln nach Satz 2 und den Prozedurenschlüsseln nach Satz 4 Klarstellungen und Änderungen mit Wirkung auch für die Vergangenheit vornehmen, soweit diese nicht zu erweiterten Anforderungen an die Verschlüsselung erbrachter Leistungen führen. Für das Verfahren der Festlegung des Diagnoseschlüssels nach Satz 2 sowie des Operationen- und Prozedurenschlüssels nach Satz 4 gibt sich das Bundesinstitut für Arzneimittel und Medizinprodukte eine Verfahrensordnung, die der Genehmigung des Bundesministeriums für Gesundheit bedarf und die auf der Internetseite des Bundesinstituts für Arzneimittel und Medizinprodukte zu veröffentlichen ist. Die Angaben nach Satz 1 Nummer 1 sind unter Angabe der Diagnosen sowie unter Nutzung des sicheren Übermittlungsverfahrens nach § 311 Absatz 6 über die Telematikinfrastruktur unmittelbar elektronisch an die Krankenkasse zu übermitteln; dies gilt nicht für Vorsorge- und Rehabilitationseinrichtungen, die nicht an die Telematikinfrastruktur angeschlossen sind.

(1a) Für die Erfüllung der Aufgaben nach § 106d sind die an der vertragsärztlichen Versorgung teilnehmenden Ärzte verpflichtet und befugt, auf Verlangen der Kassenärztlichen Vereinigungen die für die Prüfung erforderlichen Befunde vorzulegen.

(1b) Ärzte, Einrichtungen und medizinische Versorgungszentren, die ohne Beteiligung der Kassenärztlichen Vereinigungen mit den Krankenkassen oder ihren Verbänden Verträge über Modellvorhaben nach § 64e, zu besonderen Versorgungsformen (§ 140a) oder zur Versorgung nach den §§ 73b, 132e oder 132f abgeschlossen haben, psychiatrische Institutsambulanzen sowie Leistungserbringer, die gemäß § 116b Abs. 2 an der ambulanten spezialfachärztlichen Versorgung teilnehmen, übermitteln die in Absatz 1 genannten Angaben, bei Krankenhäusern einschließlich ihres Institutionskennzeichens, an die jeweiligen Krankenkassen im Wege elektronischer Datenübertragung oder maschinell verwertbar auf Datenträgern; vertragsärztliche Leistungserbringer können in den Fällen des § 116b die Angaben über die Kassenärztliche Vereinigung übermitteln. Das Nähere regelt der Spitzenverband Bund der Krankenkassen mit Ausnahme der Datenübermittlung der Leistungserbringer, die gemäß § 116b Absatz 2 an der ambulanten spezialärztlichen Versorgung teilnehmen, sowie der psychiatrischen Institutsambulanzen. Die psychiatrischen Institutsambulanzen übermitteln die Angaben nach Satz 1 zusätzlich an die Datenstelle nach § 21 Absatz 1 Satz 1 des Krankenhausentgeltgesetzes. Die Selbstverwaltungspartner nach § 17b Absatz 2 des Krankenhausfinanzierungsgesetzes vereinbaren für die Dokumentation der Leistungen der psychiatrischen Institutsambulanzen nach Satz 1 sowie für die Durchführung der vom Gemeinsamen Bundesausschuss nach § 101 Absatz 1 Satz 1 Nummer 2b zu beschließenden Bestimmungen bis spätestens zum 1. Januar 2018 einen bundeseinheitlichen Katalog, der nach Art und Umfang der Leistung sowie der zur Leistungserbringung eingesetzten personellen Kapazitäten getrennt nach Berufsgruppen und Fachgebieten differenziert, sowie das Nähere zur Datenübermittlung nach Satz 3; für die Umsetzung des Prüfauftrags nach § 17d Absatz 1 Satz 3 des Krankenhausfinanzierungsgesetzes vereinbaren sie dabei auch, ob und wie der Prüfauftrag auf der Grundlage der Daten einer Vollerhebung oder einer repräsentativen Stichprobe der Leistungen psychiatrischer Institutsambulanzen sachgerecht zu erfüllen ist. § 21 Absatz 4, Absatz 5 Satz 1 und 2 sowie Absatz 6 des Krankenhausentgeltgesetzes ist für die Vereinbarung zur Datenübermittlung entsprechend anzuwenden. Für die Vereinbarung einer bundeseinheitlichen Dokumentation der Leistungen der psychiatrischen Institutsambulanzen gilt § 21 Absatz 4 und 6 des Krankenhausentgeltgesetzes entsprechend mit der Maßgabe, dass die Schiedsstelle innerhalb von sechs Wochen entscheidet. Die Schiedsstelle entscheidet innerhalb von sechs Wochen nach Antrag einer Vertragspartei auch über die Tatbestände nach Satz 4 zweiter Halbsatz, zu denen keine Einigung zustande gekommen ist. In Fällen der Verträge nach den §§ 73b und 140a sind als zusätzliche Angabe je Diagnose auch die Vertragsnummern nach § 293a Absatz 1 Satz 4 zu übermitteln; Satz 1 gilt entsprechend.

(2) Für die Abrechnung der Vergütung übermitteln die Kassenärztlichen Vereinigungen im Wege elektronischer Datenübertragung oder maschinell verwertbar auf Datenträgern den Krankenkassen für jedes Quartal für jeden Behandlungsfall folgende Daten:

1.
Angaben nach § 291a Absatz 2 Nummer 1, 6 und 7,
2.
Arzt- oder Zahnarztnummer, in Überweisungsfällen die Arzt- oder Zahnarztnummer des überweisenden Arztes und bei der Abrechnung von Leistungen nach § 73 Absatz 1 Satz 2 Nummer 2 die Arztnummer des Arztes, bei dem der Termin vermittelt wurde,
3.
Art der Inanspruchnahme,
4.
Art der Behandlung,
5.
Tag und, soweit für die Überprüfung der Zulässigkeit und Richtigkeit der Abrechnung erforderlich, die Uhrzeit der Behandlung,
6.
abgerechnete Gebührenpositionen mit den Schlüsseln nach Absatz 1 Satz 5, bei zahnärztlicher Behandlung mit Zahnbezug und Befunden,
7.
Kosten der Behandlung,
8.
den Nachweis über die Erfüllung der Meldepflicht nach § 36 des Implantateregistergesetzes,
9.
bei der Abrechnung von Leistungen im Rahmen von Verträgen nach den §§ 73b und 140a, an denen eine Kassenärztliche Vereinigung beteiligt ist, je Diagnose die Angabe der jeweiligen Vertragsnummer nach § 293a Absatz 1 Satz 4.
Die Kassenärztlichen Vereinigungen übermitteln für die Durchführung der Programme nach § 137g die in den Richtlinien des Gemeinsamen Bundesausschusses nach § 137f festgelegten Angaben versichertenbezogen an die Krankenkassen, soweit sie an der Durchführung dieser Programme beteiligt sind. Die Kassenärztlichen Vereinigungen übermitteln den Krankenkassen die Angaben nach Satz 1 für Versicherte, die an den Programmen nach § 137f teilnehmen, versichertenbezogen. § 137f Abs. 3 Satz 2 bleibt unberührt.

(2a) Die an der vertragsärztlichen Versorgung teilnehmenden Ärzte und Einrichtungen sowie Leistungserbringer, die ohne Beteiligung der Kassenärztlichen Vereinigungen mit den Krankenkassen oder ihren Verbänden Verträge zu besonderen Versorgungsformen (§ 140a) oder zur Versorgung nach § 73b abgeschlossen haben, sowie Leistungserbringer, die gemäß § 116b Abs. 2 an der ambulanten spezialfachärztlichen Versorgung teilnehmen, sind verpflichtet, die Angaben gemäß § 292 aufzuzeichnen und den Krankenkassen zu übermitteln; vertragsärztliche Leistungserbringer können in den Fällen des § 116b die Angaben über die Kassenärztliche Vereinigung übermitteln.

(3) Die Vertragsparteien der Verträge nach § 82 Abs. 1 und § 87 Abs. 1 vereinbaren als Bestandteil dieser Verträge das Nähere über

1.
Form und Inhalt der Abrechnungsunterlagen für die vertragsärztlichen Leistungen,
2.
Form und Inhalt der im Rahmen der vertragsärztlichen Versorgung erforderlichen Vordrucke,
3.
die Erfüllung der Pflichten der Vertragsärzte nach Absatz 1,
4.
die Erfüllung der Pflichten der Kassenärztlichen Vereinigungen nach Absatz 2, insbesondere auch Form, Frist und Umfang der Übermittlung der Abrechnungsunterlagen an die Krankenkassen oder deren Verbände,
5.
Einzelheiten der Datenübermittlung einschließlich einer einheitlichen Datensatzstruktur und der Aufbereitung von Abrechnungsunterlagen nach den §§ 296 und 297.
Die Vertragsparteien nach Satz 1 vereinbaren bis zum 30. September 2021 eine Verkürzung der Frist der Übermittlung der Abrechnungsunterlagen nach Satz 1 Nummer 4.

(4) Die an der vertragsärztlichen Versorgung teilnehmenden Ärzte, Einrichtungen und medizinischen Versorgungszentren haben die für die Abrechnung der Leistungen notwendigen Angaben der Kassenärztlichen Vereinigung im Wege elektronischer Datenübertragung, die unter Anwendung des sicheren Übermittlungsverfahrens nach § 311 Absatz 6 über die Telematikinfrastruktur erfolgen kann, oder maschinell verwertbar auf Datenträgern zu übermitteln. Das Nähere regelt die Kassenärztliche Bundesvereinigung. Dies umfasst im Benehmen mit dem Spitzenverband Bund der Krankenkassen, der Deutschen Krankenhausgesellschaft und dem Bundesinstitut für Arzneimittel und Medizinprodukte für die Abrechnung und Vergütung der vertragsärztlichen Leistungen die Vorgabe von verbindlichen Regelungen zur Vergabe und Übermittlung der Schlüssel nach Absatz 1 Satz 6 sowie von Prüfmaßstäben erstmals bis zum 30. Juni 2020 mit Wirkung zum 1. Januar 2022. Die Regelungen und die Prüfmaßstäbe nach Satz 3 sind danach jährlich zu aktualisieren; die Kassenärztliche Bundesvereinigung hat gegenüber den nach Satz 3 zu Beteiligenden das Verfahren nachvollziehbar und transparent zu begründen, Anforderungen für die Zertifizierung von Software, Softwareteilen und Komponenten nach Satz 6 darzulegen und die Erläuterungen auf ihrer Internetseite zu veröffentlichen. Die Regelungen und die Prüfmaßstäbe nach Satz 3 gelten auch für Leistungserbringer nach § 27b Absatz 3, den §§ 73b, 76 Absatz 1a, den §§ 116, 116a, 116b Absatz 2, den §§ 117 bis 119, 119c, 120 Absatz 1a, den §§ 121a, 137f und 140a sowie für die Leistungserbringung nach § 115b. Die Regelungen und die Prüfmaßstäbe nach Satz 3 sind auch Gegenstand der durch die Kassenärztliche Bundesvereinigung durchzuführenden Zertifizierung von Software, Softwareteilen und Komponenten, soweit diese außerhalb der vertragsärztlichen Versorgung zur Anwendung kommen sollen; das Zertifizierungsverfahren hat zudem die Einhaltung der ärztlichen Pflicht zur Übermittlung der Vertragsnummer nach Absatz 1b Satz 8 in Verträgen nach den §§ 73b und 140a zu gewährleisten. Die Vorgabe von verbindlichen Regelungen zur Vergabe und Übermittlung der Schlüssel sowie von Prüfmaßstäben nach Satz 3 und die jährliche Aktualisierung nach Satz 4 sind im Einvernehmen mit der Deutschen Krankenhausgesellschaft zu beschließen, sofern Schlüssel nach Absatz 1 Satz 6 wesentlich von Leistungserbringern nach Satz 5, mit Ausnahme von Leistungserbringern nach den §§ 73b und 140a, vergeben werden.

(5) (weggefallen)

(1) Die Erteilung eines Auftrags im Sinne des Artikels 28 der Verordnung (EU) 2016/679 zur Verarbeitung von Sozialdaten ist nur zulässig, wenn der Verantwortliche seiner Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung

1.
den Auftragsverarbeiter, die bei diesem vorhandenen technischen und organisatorischen Maßnahmen und ergänzenden Weisungen,
2.
die Art der Daten, die im Auftrag verarbeitet werden sollen, und den Kreis der betroffenen Personen,
3.
die Aufgabe, zu deren Erfüllung die Verarbeitung der Daten im Auftrag erfolgen soll, sowie
4.
den Abschluss von etwaigen Unterauftragsverhältnissen
schriftlich oder elektronisch anzeigt. Soll eine öffentliche Stelle mit der Verarbeitung von Sozialdaten beauftragt werden, hat diese rechtzeitig vor der Auftragserteilung die beabsichtigte Beauftragung ihrer Rechts- oder Fachaufsichtsbehörde schriftlich oder elektronisch anzuzeigen.

(2) Der Auftrag zur Verarbeitung von Sozialdaten darf nur erteilt werden, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat, oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat oder in einer internationalen Organisation erfolgt.

(3) Die Erteilung eines Auftrags zur Verarbeitung von Sozialdaten durch nicht-öffentliche Stellen ist nur zulässig, wenn

1.
beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder
2.
die übertragenen Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger besorgt werden können.
Dies gilt nicht, wenn Dienstleister in der Informationstechnik, deren absolute Mehrheit der Anteile oder deren absolute Mehrheit der Stimmen dem Bund oder den Ländern zusteht, mit vorheriger Genehmigung der obersten Dienstbehörde des Verantwortlichen beauftragt werden.

(4) Ist der Auftragsverarbeiter eine in § 35 des Ersten Buches genannte Stelle, gelten neben den §§ 85 und 85a die §§ 9, 13, 14 und 16 des Bundesdatenschutzgesetzes. Bei den in § 35 des Ersten Buches genannten Stellen, die nicht solche des Bundes sind, tritt anstelle des oder der Bundesbeauftragten insoweit die nach Landesrecht für die Kontrolle des Datenschutzes zuständige Stelle. Ist der Auftragsverarbeiter eine nicht-öffentliche Stelle, unterliegt dieser der Aufsicht der gemäß § 40 des Bundesdatenschutzgesetzes zuständigen Behörde.

(5) Absatz 3 gilt nicht bei Verträgen über die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag, bei denen ein Zugriff auf Sozialdaten nicht ausgeschlossen werden kann. Die Verträge sind bei zu erwartenden oder bereits eingetretenen Störungen im Betriebsablauf unverzüglich der Rechts- oder Fachaufsichtsbehörde mitzuteilen.

(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.

(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.

(1) Jeder hat Anspruch darauf, dass die ihn betreffenden Sozialdaten (§ 67 Absatz 2 Zehntes Buch) von den Leistungsträgern nicht unbefugt verarbeitet werden (Sozialgeheimnis). Die Wahrung des Sozialgeheimnisses umfasst die Verpflichtung, auch innerhalb des Leistungsträgers sicherzustellen, dass die Sozialdaten nur Befugten zugänglich sind oder nur an diese weitergegeben werden. Sozialdaten der Beschäftigten und ihrer Angehörigen dürfen Personen, die Personalentscheidungen treffen oder daran mitwirken können, weder zugänglich sein noch von Zugriffsberechtigten weitergegeben werden. Der Anspruch richtet sich auch gegen die Verbände der Leistungsträger, die Arbeitsgemeinschaften der Leistungsträger und ihrer Verbände, die Datenstelle der Rentenversicherung, die in diesem Gesetzbuch genannten öffentlich-rechtlichen Vereinigungen, Integrationsfachdienste, die Künstlersozialkasse, die Deutsche Post AG, soweit sie mit der Berechnung oder Auszahlung von Sozialleistungen betraut ist, die Behörden der Zollverwaltung, soweit sie Aufgaben nach § 2 des Schwarzarbeitsbekämpfungsgesetzes und § 66 des Zehnten Buches durchführen, die Versicherungsämter und Gemeindebehörden sowie die anerkannten Adoptionsvermittlungsstellen (§ 2 Absatz 3 des Adoptionsvermittlungsgesetzes), soweit sie Aufgaben nach diesem Gesetzbuch wahrnehmen, und die Stellen, die Aufgaben nach § 67c Absatz 3 des Zehnten Buches wahrnehmen. Die Beschäftigten haben auch nach Beendigung ihrer Tätigkeit bei den genannten Stellen das Sozialgeheimnis zu wahren.

(2) Die Vorschriften des Zweiten Kapitels des Zehnten Buches und der übrigen Bücher des Sozialgesetzbuches regeln die Verarbeitung von Sozialdaten abschließend, soweit nicht die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2) in der jeweils geltenden Fassung unmittelbar gilt. Für die Verarbeitungen von Sozialdaten im Rahmen von nicht in den Anwendungsbereich der Verordnung (EU) 2016/679 fallenden Tätigkeiten finden die Verordnung (EU) 2016/679 und dieses Gesetz entsprechende Anwendung, soweit nicht in diesem oder einem anderen Gesetz Abweichendes geregelt ist.

(2a) Die Verpflichtung zur Wahrung gesetzlicher Geheimhaltungspflichten oder von Berufs- oder besonderen Amtsgeheimnissen, die nicht auf gesetzlichen Vorschriften beruhen, bleibt unberührt.

(3) Soweit eine Übermittlung von Sozialdaten nicht zulässig ist, besteht keine Auskunftspflicht, keine Zeugnispflicht und keine Pflicht zur Vorlegung oder Auslieferung von Schriftstücken, nicht automatisierten Dateisystemen und automatisiert verarbeiteten Sozialdaten.

(4) Betriebs- und Geschäftsgeheimnisse stehen Sozialdaten gleich.

(5) Sozialdaten Verstorbener dürfen nach Maßgabe des Zweiten Kapitels des Zehnten Buches verarbeitet werden. Sie dürfen außerdem verarbeitet werden, wenn schutzwürdige Interessen des Verstorbenen oder seiner Angehörigen dadurch nicht beeinträchtigt werden können.

(6) Die Absätze 1 bis 5 finden neben den in Absatz 1 genannten Stellen auch Anwendung auf solche Verantwortliche oder deren Auftragsverarbeiter,

1.
die Sozialdaten im Inland verarbeiten, sofern die Verarbeitung nicht im Rahmen einer Niederlassung in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erfolgt, oder
2.
die Sozialdaten im Rahmen der Tätigkeiten einer inländischen Niederlassung verarbeiten.
Sofern die Absätze 1 bis 5 nicht gemäß Satz 1 anzuwenden sind, gelten für den Verantwortlichen oder dessen Auftragsverarbeiter nur die §§ 81 bis 81c des Zehnten Buches.

(7) Bei der Verarbeitung zu Zwecken gemäß Artikel 2 der Verordnung (EU) 2016/679 stehen die Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum und die Schweiz den Mitgliedstaaten der Europäischen Union gleich. Andere Staaten gelten insoweit als Drittstaaten.

(1) Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.

(2) § 6 Absatz 4, 5 Satz 2 und Absatz 6 finden Anwendung, § 6 Absatz 4 jedoch nur, wenn die Benennung einer oder eines Datenschutzbeauftragten verpflichtend ist.

(1) Widerspruch und Anfechtungsklage haben aufschiebende Wirkung. Das gilt auch bei rechtsgestaltenden und feststellenden Verwaltungsakten sowie bei Verwaltungsakten mit Doppelwirkung (§ 80a).

(2) Die aufschiebende Wirkung entfällt nur

1.
bei der Anforderung von öffentlichen Abgaben und Kosten,
2.
bei unaufschiebbaren Anordnungen und Maßnahmen von Polizeivollzugsbeamten,
3.
in anderen durch Bundesgesetz oder für Landesrecht durch Landesgesetz vorgeschriebenen Fällen, insbesondere für Widersprüche und Klagen Dritter gegen Verwaltungsakte, die Investitionen oder die Schaffung von Arbeitsplätzen betreffen,
3a.
für Widersprüche und Klagen Dritter gegen Verwaltungsakte, die die Zulassung von Vorhaben betreffend Bundesverkehrswege und Mobilfunknetze zum Gegenstand haben und die nicht unter Nummer 3 fallen,
4.
in den Fällen, in denen die sofortige Vollziehung im öffentlichen Interesse oder im überwiegenden Interesse eines Beteiligten von der Behörde, die den Verwaltungsakt erlassen oder über den Widerspruch zu entscheiden hat, besonders angeordnet wird.
Die Länder können auch bestimmen, daß Rechtsbehelfe keine aufschiebende Wirkung haben, soweit sie sich gegen Maßnahmen richten, die in der Verwaltungsvollstreckung durch die Länder nach Bundesrecht getroffen werden.

(3) In den Fällen des Absatzes 2 Satz 1 Nummer 4 ist das besondere Interesse an der sofortigen Vollziehung des Verwaltungsakts schriftlich zu begründen. Einer besonderen Begründung bedarf es nicht, wenn die Behörde bei Gefahr im Verzug, insbesondere bei drohenden Nachteilen für Leben, Gesundheit oder Eigentum vorsorglich eine als solche bezeichnete Notstandsmaßnahme im öffentlichen Interesse trifft.

(4) Die Behörde, die den Verwaltungsakt erlassen oder über den Widerspruch zu entscheiden hat, kann in den Fällen des Absatzes 2 die Vollziehung aussetzen, soweit nicht bundesgesetzlich etwas anderes bestimmt ist. Bei der Anforderung von öffentlichen Abgaben und Kosten kann sie die Vollziehung auch gegen Sicherheit aussetzen. Die Aussetzung soll bei öffentlichen Abgaben und Kosten erfolgen, wenn ernstliche Zweifel an der Rechtmäßigkeit des angegriffenen Verwaltungsakts bestehen oder wenn die Vollziehung für den Abgaben- oder Kostenpflichtigen eine unbillige, nicht durch überwiegende öffentliche Interessen gebotene Härte zur Folge hätte.

(5) Auf Antrag kann das Gericht der Hauptsache die aufschiebende Wirkung in den Fällen des Absatzes 2 Satz 1 Nummer 1 bis 3a ganz oder teilweise anordnen, im Falle des Absatzes 2 Satz 1 Nummer 4 ganz oder teilweise wiederherstellen. Der Antrag ist schon vor Erhebung der Anfechtungsklage zulässig. Ist der Verwaltungsakt im Zeitpunkt der Entscheidung schon vollzogen, so kann das Gericht die Aufhebung der Vollziehung anordnen. Die Wiederherstellung der aufschiebenden Wirkung kann von der Leistung einer Sicherheit oder von anderen Auflagen abhängig gemacht werden. Sie kann auch befristet werden.

(6) In den Fällen des Absatzes 2 Satz 1 Nummer 1 ist der Antrag nach Absatz 5 nur zulässig, wenn die Behörde einen Antrag auf Aussetzung der Vollziehung ganz oder zum Teil abgelehnt hat. Das gilt nicht, wenn

1.
die Behörde über den Antrag ohne Mitteilung eines zureichenden Grundes in angemessener Frist sachlich nicht entschieden hat oder
2.
eine Vollstreckung droht.

(7) Das Gericht der Hauptsache kann Beschlüsse über Anträge nach Absatz 5 jederzeit ändern oder aufheben. Jeder Beteiligte kann die Änderung oder Aufhebung wegen veränderter oder im ursprünglichen Verfahren ohne Verschulden nicht geltend gemachter Umstände beantragen.

(8) In dringenden Fällen kann der Vorsitzende entscheiden.

(1) Der unterliegende Teil trägt die Kosten des Verfahrens.

(2) Die Kosten eines ohne Erfolg eingelegten Rechtsmittels fallen demjenigen zur Last, der das Rechtsmittel eingelegt hat.

(3) Dem Beigeladenen können Kosten nur auferlegt werden, wenn er Anträge gestellt oder Rechtsmittel eingelegt hat; § 155 Abs. 4 bleibt unberührt.

(4) Die Kosten des erfolgreichen Wiederaufnahmeverfahrens können der Staatskasse auferlegt werden, soweit sie nicht durch das Verschulden eines Beteiligten entstanden sind.

(5) Soweit der Antragsteller allein auf Grund von § 80c Absatz 2 unterliegt, fallen die Gerichtskosten dem obsiegenden Teil zur Last. Absatz 3 bleibt unberührt.

(1) In folgenden Verfahren bestimmt sich der Wert nach § 3 der Zivilprozessordnung:

1.
über die Anordnung eines Arrests, zur Erwirkung eines Europäischen Beschlusses zur vorläufigen Kontenpfändung, wenn keine Festgebühren bestimmt sind, und auf Erlass einer einstweiligen Verfügung sowie im Verfahren über die Aufhebung, den Widerruf oder die Abänderung der genannten Entscheidungen,
2.
über den Antrag auf Zulassung der Vollziehung einer vorläufigen oder sichernden Maßnahme des Schiedsgerichts,
3.
auf Aufhebung oder Abänderung einer Entscheidung auf Zulassung der Vollziehung (§ 1041 der Zivilprozessordnung),
4.
nach § 47 Absatz 5 des Energiewirtschaftsgesetzes über gerügte Rechtsverletzungen, der Wert beträgt höchstens 100 000 Euro, und
5.
nach § 148 Absatz 1 und 2 des Aktiengesetzes; er darf jedoch ein Zehntel des Grundkapitals oder Stammkapitals des übertragenden oder formwechselnden Rechtsträgers oder, falls der übertragende oder formwechselnde Rechtsträger ein Grundkapital oder Stammkapital nicht hat, ein Zehntel des Vermögens dieses Rechtsträgers, höchstens jedoch 500 000 Euro, nur insoweit übersteigen, als die Bedeutung der Sache für die Parteien höher zu bewerten ist.

(2) In folgenden Verfahren bestimmt sich der Wert nach § 52 Absatz 1 und 2:

1.
über einen Antrag auf Erlass, Abänderung oder Aufhebung einer einstweiligen Anordnung nach § 123 der Verwaltungsgerichtsordnung oder § 114 der Finanzgerichtsordnung,
2.
nach § 47 Absatz 6, § 80 Absatz 5 bis 8, § 80a Absatz 3 oder § 80b Absatz 2 und 3 der Verwaltungsgerichtsordnung,
3.
nach § 69 Absatz 3, 5 der Finanzgerichtsordnung,
4.
nach § 86b des Sozialgerichtsgesetzes und
5.
nach § 50 Absatz 3 bis 5 des Wertpapiererwerbs- und Übernahmegesetzes.

(1) Kosten sind die Gerichtskosten (Gebühren und Auslagen) und die zur zweckentsprechenden Rechtsverfolgung oder Rechtsverteidigung notwendigen Aufwendungen der Beteiligten einschließlich der Kosten des Vorverfahrens.

(2) Die Gebühren und Auslagen eines Rechtsanwalts oder eines Rechtsbeistands, in den in § 67 Absatz 2 Satz 2 Nummer 3 und 3a genannten Angelegenheiten auch einer der dort genannten Personen, sind stets erstattungsfähig. Soweit ein Vorverfahren geschwebt hat, sind Gebühren und Auslagen erstattungsfähig, wenn das Gericht die Zuziehung eines Bevollmächtigten für das Vorverfahren für notwendig erklärt. Juristische Personen des öffentlichen Rechts und Behörden können an Stelle ihrer tatsächlichen notwendigen Aufwendungen für Post- und Telekommunikationsdienstleistungen den in Nummer 7002 der Anlage 1 zum Rechtsanwaltsvergütungsgesetz bestimmten Höchstsatz der Pauschale fordern.

(3) Die außergerichtlichen Kosten des Beigeladenen sind nur erstattungsfähig, wenn sie das Gericht aus Billigkeit der unterliegenden Partei oder der Staatskasse auferlegt.

(1) Entscheidungen des Oberverwaltungsgerichts können vorbehaltlich des § 99 Abs. 2 und des § 133 Abs. 1 dieses Gesetzes sowie des § 17a Abs. 4 Satz 4 des Gerichtsverfassungsgesetzes nicht mit der Beschwerde an das Bundesverwaltungsgericht angefochten werden.

(2) Im Verfahren vor dem Bundesverwaltungsgericht gilt für Entscheidungen des beauftragten oder ersuchten Richters oder des Urkundsbeamten der Geschäftsstelle § 151 entsprechend.

(1) Gegen den Beschluss, durch den der Wert für die Gerichtsgebühren festgesetzt worden ist (§ 63 Absatz 2), findet die Beschwerde statt, wenn der Wert des Beschwerdegegenstands 200 Euro übersteigt. Die Beschwerde findet auch statt, wenn sie das Gericht, das die angefochtene Entscheidung erlassen hat, wegen der grundsätzlichen Bedeutung der zur Entscheidung stehenden Frage in dem Beschluss zulässt. Die Beschwerde ist nur zulässig, wenn sie innerhalb der in § 63 Absatz 3 Satz 2 bestimmten Frist eingelegt wird; ist der Streitwert später als einen Monat vor Ablauf dieser Frist festgesetzt worden, kann sie noch innerhalb eines Monats nach Zustellung oder formloser Mitteilung des Festsetzungsbeschlusses eingelegt werden. Im Fall der formlosen Mitteilung gilt der Beschluss mit dem dritten Tage nach Aufgabe zur Post als bekannt gemacht. § 66 Absatz 3, 4, 5 Satz 1, 2 und 5 sowie Absatz 6 ist entsprechend anzuwenden. Die weitere Beschwerde ist innerhalb eines Monats nach Zustellung der Entscheidung des Beschwerdegerichts einzulegen.

(2) War der Beschwerdeführer ohne sein Verschulden verhindert, die Frist einzuhalten, ist ihm auf Antrag von dem Gericht, das über die Beschwerde zu entscheiden hat, Wiedereinsetzung in den vorigen Stand zu gewähren, wenn er die Beschwerde binnen zwei Wochen nach der Beseitigung des Hindernisses einlegt und die Tatsachen, welche die Wiedereinsetzung begründen, glaubhaft macht. Ein Fehlen des Verschuldens wird vermutet, wenn eine Rechtsbehelfsbelehrung unterblieben oder fehlerhaft ist. Nach Ablauf eines Jahres, von dem Ende der versäumten Frist an gerechnet, kann die Wiedereinsetzung nicht mehr beantragt werden. Gegen die Ablehnung der Wiedereinsetzung findet die Beschwerde statt. Sie ist nur zulässig, wenn sie innerhalb von zwei Wochen eingelegt wird. Die Frist beginnt mit der Zustellung der Entscheidung. § 66 Absatz 3 Satz 1 bis 3, Absatz 5 Satz 1, 2 und 5 sowie Absatz 6 ist entsprechend anzuwenden.

(3) Die Verfahren sind gebührenfrei. Kosten werden nicht erstattet.