Dezember - Anwaltsblatt

AnwBl 12/2005 743
Aufsätze MN
Datenschutzbeauftragten bzw. bei Datenverarbeitung in
kleinen Betrieben. 36 Diese Ausnahmen gelten jedoch nicht,
soweit automatisierte Verarbeitungen existieren, in denen
geschäftsmäßig personenbezogene Daten zum Zweck der
Übermittlung gespeichert werden, § 4 d Abs. 4 Nr. 1
BDSG.
Der Rechtsanwalt speichert die erhobenen Daten zunächst
für den eigenen Gebrauch. Hat er einen Datenschutzbeauftragten
bestellt, trifft ihn die Meldepflicht in
diesem Fall nicht. 37 Doch folgt der internen Speicherung
eine Übermittlung, sei es an den Gegner oder an das Gericht,
dann bleibt es bei der Meldepflicht.
Den Inhalt der Meldung bestimmt § 4 e BDSG. Zu melden
sind Daten zur Identifikation der verantwortlichen
Stelle, Zweckbestimmung der Datenverarbeitung, sowie
Angaben zu betroffenen Personengruppen und den diesbezüglichen
Daten. Was bedeutet das für den Rechtsanwalt?
Die von ihm erhobenen Daten lassen sich angesichts der
Vielfältigkeit anwaltlicher Tätigkeit nur schwer konkretisieren;
es dürfte ein allgemeiner Hinweis auf die Anwaltstätigkeit
genügen. Weiter anzugeben sind Regelfristen für
die Löschung der Daten – etwa die Aufbewahrungsfrist für
Handakten gem. § 50 Abs. 2 BRAO. Zuletzt ist über eine
geplante Datenübermittlung in Drittstaaten zu informieren
sowie über getroffene bzw. geplante Maßnahmen zur Datensicherung.
IV. Die Vorabkontrolle
Eine weitere Frage ist, ob der Rechtsanwalt den Regelungen
zur so genannten Vorabkontrolle unterliegt. Die Vorabkontrolle
soll zum einen die Zulässigkeit der Erhebung
von besonders sensiblen Daten prüfen, zum anderen klären,
wie den „besonderen Risiken“ durch organisatorische Maßnahmen
begegnet werden kann. 38 Sie ist nach § 4 d Abs. 5
Nr. 1 BDSG dann durchzuführen, wenn eine automatisierte
Verarbeitung besondere Risiken für die Rechte und Freiheiten
des Betroffenen aufweist. Das ist insbesondere bei der
Verarbeitung „besonderer Arten personenbezogener Daten“
der Fall. Sie sind in § 3 Abs. 9 BDSG definiert als Angaben
über die rassische und ethnische Herkunft, politische
Meinungen, religiöse oder philosophische Überzeugungen,
Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben.
Keine Vorabkontrolle ist erforderlich, wenn Datenverarbeitung
eine gesetzliche Verpflichtung oder eine Einwilligung
des Betroffenen zugrunde liegt oder wenn sie der Zweckbestimmung
eines Vertragsverhältnisses oder vertragsähnlichen
Vertrauensverhältnisses mit dem Betroffenen dient,
§ 4 d Abs. 5 S. 2 BDSG.
Es ist fraglich, ob der Anwalt dieser Regelung unterliegt.
Der unbestimmte Rechtsbegriff des „besonderen Risikos“
ist äußerst schwammig und nahezu beliebig interpretierbar.
39 Angesichts der Bandbreite anwaltlicher Tätigkeit
ist jedoch nicht auszuschließen, dass der Anwalt solche Daten
erhebt. 40 Damit bestünde zunächst die Pflicht zur Vorabkontrolle.
Der Ausnahmetatbestand des § 4 d Abs. 5 S. 2 BDSG
greift zumindest dann nicht, wenn Daten Dritter (etwa des
Prozessgegners) erhoben werden. Eine Einwilligung wird
in der Regel fehlen, ein Vertrag mit dem Dritten, dem die
Erhebung dienen könnte, existiert nicht. Eine gesetzliche
Verpflichtung zur Datenerhebung gibt es ebenso wenig. Es
ist allerdings zu berücksichtigen, dass zahlreiche Einschränkungen
des BDSG bei der Datenverarbeitung für den
Rechtsanwalt nicht gelten. Er ist befugt, Informationen
fremder Personen zu speichern, ohne dass es auf eine Interessenabwägung
oder eine Zustimmung des Dritten ankäme.
41 Dieser Fall wird von der Ausnahmevorschrift des
§ 4 d Abs. 5 S. 2 BDSG jedoch nicht erfasst. Die Regelung
stellt zwar auf eine gesetzliche Pflicht zur Erhebung ab,
lässt aber die bloße Befugnis außer Acht. Diesem Manko
kann mit einer teleologischen Ausweitung des Ausnahmetatbestands
begegnet werden: Wenn schon die Pflicht zur
Erhebung von Daten von der Vorabkontrolle befreit, dann
muss dies erst recht bei der bloßen Befugnis dazu gelten
– letztere greift ja weitaus weniger in die Rechte des Betroffenen
ein. Die derzeit existierende Regelung macht jedenfalls
keinen Sinn: Eine Vorabkontrolle, die lediglich
prüfen würde, ob ein Anwalt auch wirklich befugt ist, besonders
vertrauliche Daten zu erheben, wäre eine bloße
Formalie. Die Befugnis des Rechtsanwalts zur Erhebung
vertraulicher Daten ist daher den Ausnahmetatbeständen
des § 4 d Abs. 5 S. 2 BDSG gleichzustellen; eine Vorabkontrolle
ist folglich nicht erforderlich.
V. Fazit
Die im Bundesdatenschutzgesetz verankerte Datenschutzkontrolle
wird dem besonderen Vertrauensverhältnis
zwischen dem Rechtsanwalt und dem Mandanten nicht gerecht,
welches die Grundlage jeder anwaltlichen Tätigkeit
bildet und zu dem der Umgang mit sensiblen Informationen
gehört. Ob das BDSG insgesamt einen zu restriktiven Umgang
mit personenbezogenen Daten vorsieht, soll an dieser
Stelle nicht erörtert werden. Festzuhalten ist jedenfalls,
dass das enge Korsett der Datenschutzaufsicht mit den Formen
anwaltlicher Beratungstätigkeit in weiten Teilen unvereinbar
ist.
Nicht alle der daraus resultierenden Probleme lassen
sich über die Subsidiaritätsregelung des BDSG lösen. Reibungspunkte
gibt es insbesondere dort, wo eine solche
Nachrangigkeit aufgrund ausdrücklicher Regelungen ausgeschlossen
scheint; zu nennen ist das Verhältnis des
Rechts der Aufsichtsbehörde auf Dateneinsicht zur Verschwiegenheitspflicht
des Rechtsanwalts. Die derzeit gebotene
Lösung der verfassungskonformen Auslegung des
BDSG im Lichte des Rechts auf informationelle Selbstbestimmung
des Mandanten kann dabei keine dauerhafte
sein. An dieser Stelle ist der Gesetzgeber gefordert, den
Konflikt zu entschärfen. Eine gute Möglichkeit wäre der
Vorschlag, die Datenschutzaufsicht den Anwaltskammern
zu übertragen.
36 Vgl. § 4 d Abs. 2 und 3 BDSG.
37 So auch Schneider, AnwBl 2004, 620.
38 Gola/Schomerus, § 4 d, Rn. 17.
39 Gola/Schomerus, § 4 d, Rn. 9.
40 Schneider nennt als Beispiel arbeits- oder sozialrechtliche Fälle, Schneider,
AnwBl 2004, 620 f.
41 Ausführlich dazu Schöttle, 206 f.