4. arbeitskreis „technische und organisatorische datenschutzfragen“

Vor allem die Anschreiben an die Eltern und Lehrkräfte sowie die Einwilligungserklärungen genügten wieder nicht den
datenschutzrechtlichen Bestimmungen.
Das Bildungsministerium unseres Landes hat mitgeteilt, dass bei einer ersten Präsentation der Daten im MPI auch über die
datenschutzrechtlichen Mängel gesprochen worden ist. Es wurde dort vereinbart, dass die Datenschutzbeauftragten künftig
bereits in der Planungsphase entsprechender Untersuchungen einbezogen werden sollen.
3.13.4 Forschungsprojekt über Hausarztpraxen
Die Kassenärztliche Vereinigung Mecklenburg-Vorpommern wollte das Projekt „Hausarztpraxen mit psychosomatischer
Besonderheit“ einführen und zuvor von mir wissen, welche datenschutzrechtlichen Bestimmungen dabei zu berücksichtigen
sind.
Ziel dieses Projektes ist es, die so genannte Gesprächsmedizin zu fördern. Durch neue ärztlich präventive und therapeutische
Möglichkeiten soll die Beratung bedürftiger Patienten verbessert und darüber hinaus die Qualität und Wirtschaftlichkeit
dieser Praxen ermittelt werden. Ein privates Forschungsinstitut sollte die Ergebnisse auswerten. Um die Aufgaben erfüllen zu
können, war es unter anderem erforderlich, Patienten und Praxisinhaber zu befragen.
Die Zulässigkeit von Forschungsvorhaben mit Sozialdaten aus der gesetzlichen Krankenversicherung richtet sich nach § 287
Abs. 1 Sozialgesetzbuch Fünftes Buch (SGB V). Danach dürfen die Krankenkassen und die Kassenärztliche Vereinigung
Datenbestände für Forschungszwecke auswerten. Da aber diese Aufgabe dem Institut übertragen werden sollte, habe ich den
Abschluss einer Datenschutzvereinbarung zwischen der Kassenärztlichen Vereinigung und dem Institut empfohlen. Diese
sollte unter anderem Folgendes regeln:
Dem Institut dürfen nur Daten übermittelt werden, die eine Identifizierung von Patienten und Praxisinhabern ausschließen
(pseudonymisierte Daten).
Die Kassenärztliche Vereinigung als Auftraggeber des Forschungsvorhabens ist in diesem Rahmen gegenüber dem Institut
weisungsberechtigt und darf die Räumlichkeiten des Auftragnehmers betreten, um die Datenverarbeitung und -nutzung zu
kontrollieren.
Das Institut hat technische und organisatorische Maßnahmen zu treffen, um einen unberechtigten Zugriff auf Computer,
Datenträger und Datenspeicher zu verhindern. Insbesondere ist festzulegen, wie der sichere Transport beziehungsweise der
Versand von Datenträgern erfolgt, in welcher Form Datenträger beim Institut aufbewahrt und wie nicht mehr benötigte Daten
gelöscht werden.
Unter Berücksichtigung dieser Empfehlungen wurde ein datenschutzgerechtes Konzept erarbeitet, so dass der Durchführung
des Projektes nichts mehr im Wege stand.
3.14 Wirtschaft und Gewerbe
3.14.1 Kontrolle einer Handwerkskammer
Im Berichtszeitraum habe ich in einer Handwerkskammer den Umgang mit personenbezogenen Daten der Handwerker sowie
ihrer Gesellen und Lehrlinge kontrolliert.
Die Handwerkskammer ist nach der Handwerksordnung verpflichtet, eine Handwerksrolle sowie eine Lehrlingsrolle zu führen.
Welche Daten für die jeweilige Rolle erforderlich sind, ist in einer Anlage zur Handwerksordnung geregelt. Dort ist auch
festgelegt, dass Eintragungen auf Antrag oder von Amts wegen gelöscht werden, wenn die Voraussetzungen dafür nicht mehr
vorliegen, beispielsweise weil der Betrieb nicht mehr existiert oder der Lehrling seine Ausbildung beendet hat. Darüber hinaus
ist bestimmt, dass die aus den Rollen entfernten Daten in einer gesonderten Datei zu speichern sind. Dies ist unter anderem
erforderlich, um gegebenenfalls Fragen zu Firmennachfolgen klären oder eine Ausbildung nachweisen zu können.
Bei dem Kontroll- und Informationsbesuch habe ich insbesondere festgestellt, dass die Handwerkskammer im Antrag auf
Eintragung in die Handwerksrolle auch solche Daten erhoben hat, die der Datenkatalog der Handwerksordnung nicht vorsah.
64 Vierter Tätigkeitsbericht des Landesbeauftragten für den Datenschutz Mecklenburg-Vorpommern