Schweigepflicht und IT-Dienstleister

Auslagern dürfen Berufsgeheimnisträger, soweit es für die Dienstleistung erforderlich ist. Der Vertrag zur Auftragsverarbeitung regelt dabei die Verarbeitung und nicht die Verschwiegenheit. Daran entscheidet sich, welcher Anbieter in Betracht kommt.

Eine Praxis lässt ihre Software fernwarten, eine Steuerberatung legt Mandatsakten in eine Cloud, eine Beratungsstelle lässt ihre Unterlagen extern vernichten. Der Anbieter legt jeweils einen Vertrag über Auftragsverarbeitung vor. Mit der Unterschrift scheint die Sache geregelt. Die Frage, ob damit alles erledigt ist, stellt sich in aller Regel vor dem Schadensfall.

Dahinter steht oft die Sorge, die Auslagerung sei als solche verboten. Sie ist es nicht. Die Frage ist enger und praktischer, denn sie betrifft die Bedingungen und am Ende die Auswahl des Anbieters.

Auslagern ist erlaubt, soweit es erforderlich ist

§ 203 Abs. 1 StGB stellt das Offenbaren eines anvertrauten Geheimnisses unter Strafe. Wer Patientendaten, Mandatsakten oder Beratungsunterlagen einem Dienstleister zugänglich macht, offenbart sie im Sinne der Vorschrift. § 203 Abs. 3 S. 2 StGB nimmt davon aus, was für die Inanspruchnahme der Dienstleistung erforderlich ist, und erstreckt das ausdrücklich auf die weiteren Personen, deren sich der Dienstleister bedient.

Vom Erlaubnistatbestand gedeckt

Wartung und Betrieb der Fachanwendung, soweit ohne Zugriff nicht möglich
Hosting und Sicherung, wenn die Daten dafür beim Anbieter liegen müssen
Aktenvernichtung und Archivierung im vereinbarten Umfang
Unterauftragnehmer, soweit die Kette in den Verträgen abgebildet ist

Nicht gedeckt

Zugriff, der über den Zweck der beauftragten Leistung hinausgeht
Auswertung der Bestände für Zwecke des Anbieters
Weitergabe an Dritte, die an der Leistung nicht mitwirken
Dauerhafter Zugang, wo ein Zugang im Störungsfall genügt

Der Maßstab ist die Erforderlichkeit für die beauftragte Leistung und nicht die Bequemlichkeit des Betriebs. Ein Fernwartungszugang, der dauerhaft offen steht, obwohl er nur im Störungsfall gebraucht wird, geht darüber hinaus.

Der Vertrag zur Auftragsverarbeitung regelt die Verarbeitung, nicht die Verschwiegenheit

Ob der vorgelegte Vertrag genügt, entscheidet sich daran, welche Pflicht er überhaupt betrifft. Art. 28 Abs. 3 DSGVO verlangt mehrere Zusagen, darunter die Weisungsbindung, die Sicherheit der Verarbeitung und die Vertraulichkeit der zur Verarbeitung befugten Personen. Das ist Datenschutzrecht und trifft den Verantwortlichen als Stelle.

Die Verschwiegenheit nach § 203 StGB ist eine andere Pflicht mit einem anderen Adressaten. Sie trifft die Person, sie ist strafbewehrt und sie verlangt nach § 203 Abs. 4 S. 2 Nr. 1 StGB eine eigene Verpflichtung der mitwirkenden Person. Beide Vorschriften stehen nebeneinander, keine ersetzt die andere.

Kriterien für die Auswahl des Anbieters

Welcher Anbieter danach in Betracht kommt, entscheidet sich an der Reichweite der Verpflichtung. Sie muss vertraglich möglich sein und bis zu den Unterauftragnehmern reichen, weil § 203 Abs. 4 S. 2 Nr. 2 StGB dort dieselbe Pflicht begründet. Standardbedingungen großer Anbieter sehen das häufig nicht vor.

Stufe 1: Die Berufsträgerin verpflichtet den Anbieter
Sie muss dafür Sorge tragen, dass die mitwirkende Person zur Geheimhaltung verpflichtet wurde, § 203 Abs. 4 S. 2 Nr. 1 StGB.
Stufe 2: Der Anbieter verpflichtet seine Leute und seine Unterauftragnehmer
Zieht er weitere mitwirkende Personen heran, trifft ihn dieselbe Pflicht, § 203 Abs. 4 S. 2 Nr. 2 StGB.
Stufe 3: Jede Stufe haftet für ihre eigene Sorgfalt
Wer offenbart, ist nach § 203 Abs. 4 S. 1 StGB selbst strafbar. Die Verpflichtung auf der Stufe darüber entlastet ihn nicht.

Die Verschwiegenheit ist ausdrücklich vereinbart und steckt nicht als Nebensatz im Vertrag zur Auftragsverarbeitung
Die Verpflichtung ist nachweisbar festgehalten, weil im Streitfall darzulegen ist, dafür Sorge getragen zu haben
Der Zugriff ist auf das für die Leistung Erforderliche begrenzt, weil dort die Grenze des Erlaubnistatbestands liegt
Der Anbieter kann seine Unterauftragnehmer ebenso binden und ist dazu verpflichtet
Geprüft ist, ob die mitwirkende Person ausnahmsweise selbst Berufsgeheimnisträgerin ist

Eine Form schreibt § 203 StGB nicht vor. Verlangt ist, dafür Sorge zu tragen, und diese Sorge muss sich im Streitfall darlegen lassen. Eine schriftliche oder elektronische Fassung ist deshalb der praktische Weg, unabhängig davon, was einzelne Berufsordnungen darüber hinaus verlangen.

Scheitert ein Anbieter an diesen Punkten, ist das kein Formfehler, sondern eine Absage. Wird die Zusammenarbeit trotzdem begonnen, bleibt das Strafbarkeitsrisiko bei der Berufsträgerin.

Wie wir unterstützen

Vor der BeauftragungWir prüfen die Bedingungen des Anbieters auf die fünf Punkte und sagen, ob eine Verpflichtung überhaupt möglich ist.
Beim VertragsschlussWir formulieren die Verpflichtung und bilden die Kette bis zu den Unterauftragnehmern ab.
Bei laufender ZusammenarbeitWir ordnen den Bestand und sagen, was nachzuholen ist und was zu beenden.

Nicht behandelt sind hier die zusätzlichen Anforderungen einzelner Berufsordnungen, das Sozialgeheimnis und die Schweigepflicht im öffentlichen Dienst nach § 203 Abs. 2 StGB.

Cloud oder Fernwartung geplant?

Wir sehen die Bedingungen des Anbieters durch, bevor Sie unterschreiben. Danach lässt sich wenig nachverhandeln.

Vertrag prüfen lassen

Häufige Fragen

Für wen gilt das?

Für die in § 203 Abs. 1 StGB genannten Berufe, darunter Heilberufe mit staatlich geregelter Ausbildung, Berufspsychologen, Notare, Wirtschaftsprüfer, Steuerberater sowie anerkannte Beratungsstellen und private Verrechnungsstellen. Die Strafvorschrift gilt für alle diese Berufe gleich. Einzelne Berufsordnungen stellen darüber hinaus eigene Anforderungen an den Vertrag.

Genügt ein Vertrag über Auftragsverarbeitung?

Nein. Art. 28 Abs. 3 DSGVO regelt die Verarbeitung, also Weisungsbindung, Sicherheit und Unterauftragnehmer. Verlangt wird zudem die Vertraulichkeit der zur Verarbeitung befugten Personen. Die strafbewehrte Verschwiegenheit nach § 203 StGB ist etwas anderes. Sie trifft die Person statt der Stelle und verlangt nach § 203 Abs. 4 S. 2 Nr. 1 StGB eine eigene Verpflichtung.

Wie muss die Verpflichtung aussehen?

§ 203 StGB schreibt keine Form vor. Verlangt ist, dafür Sorge zu tragen, dass die mitwirkende Person zur Geheimhaltung verpflichtet wurde. Im Streitfall ist das darzulegen, weshalb eine schriftliche oder elektronische Fassung der praktische Weg ist. Sinnvoll ist ferner, den Zugriff ausdrücklich auf das für die Leistung Erforderliche zu begrenzen, weil § 203 Abs. 3 S. 2 StGB dort die Grenze zieht.

Was gilt für die Unterauftragnehmer des Anbieters?

Dieselbe Pflicht, nur eine Stufe weiter. Nach § 203 Abs. 4 S. 2 Nr. 2 StGB macht sich die mitwirkende Person strafbar, die eine weitere mitwirkende Person heranzieht, ohne für deren Verpflichtung zu sorgen. Der Vertrag muss die Kette deshalb abbilden. Ein Anbieter, der seine Unterauftragnehmer nicht binden kann, kommt nicht in Betracht.

Wann brauchen wir keine gesonderte Verpflichtung?

Wenn die mitwirkende Person selbst Berufsgeheimnisträgerin ist. § 203 Abs. 4 S. 2 Nr. 1 StGB nimmt diesen Fall ausdrücklich aus, weil die Verschwiegenheit dort bereits kraft Gesetzes besteht. Ebenfalls nicht erfasst sind die eigenen berufsmäßig tätigen Gehilfen, denn ihnen gegenüber liegt nach § 203 Abs. 3 S. 1 StGB schon kein Offenbaren vor.