Elektronische Patientenakte – Sozialdatenverarbeitung durch inländischeTochtergesellschaft einer EU-ausländischen Muttergesellschaft?

Der Autor beschäftigt sich in seinem Beitrag mit der Frage, ob die Vorgaben der Sozialdatenverarbeitung der Einschaltung einer inländischen Tochtergesellschaft einer EU-ausländischen Muttergesellschaft durch eine gesetzliche Krankenkasse entgegenstehen. In einem kurzen Problemaufriss stellt der Autor zunächst fest, dass § 80 Abs. 2 SGB X grundsätzlich bei der Datenverarbeitung von Sozialdaten nur auf den Ort der Datenverarbeitung abstellt. Unklar sei aber, ob auch die theoretische Möglichkeit des Zugriffs auf solche Sozialdaten durch Konzernmütter außerhalb der EU bzw. eines Drittstaates mit Angemessenheitsbeschluss ein Problem darstelle. Zur Klärung der Frage stellt der Autor zunächst die Entstehungsgeschichte des § 80 Abs. 2 SGB X vor und konstatiert, dass lediglich der Ort der Datenverarbeitung eine Rolle gespielt habe. Die spezifischen Gefahren eines Zugriffs durch Behörden von außerhalb der EU habe keine Rolle gespielt. In der Folge unterzieht der Autor die Norm des § 80 Abs. 2 SGB X einer systematischen und telelogischen Analyse und kommt auch hier zu dem Ergebnis, dass andere Risiken als der Ort der Datenverarbeitung sich weder aus der Systematik noch aus dem Telos der Norm erkennen ließen. Auch liege es überhaupt nicht auf der Hand, dass die Zugehörigkeit zu einem Konzern mit Sitz außerhalb der EU einen Risikofaktor darstelle, welcher einen pauschalen Ausschluss eines Unternehmens rechtfertige. Auch eine grundrechtskonforme Auslegung komme zu keinem anderen Ergebnis. Zwar erfordere das Recht auf informationelle Selbstbestimmung einen hohen Datenschutzstandard bei Sozialdaten, dieser sei aber auch gerade im Hinblick auf die Berufsfreiheit der Anbieter nicht nur durch einen pauschalen Ausschluss von Tochterunternehmen ausländischer Konzernmüttern zu gewährleisten. Auch eine unionskonforme Auslegung komme zu keinem anderen Ergebnis. Daran anknüpfend stellt der Autor die Entscheidung des OLG Karlsruhe vom 01.09.2022, die Stellungnahmen einiger deutscher Datenschutzaufsichtsbehörden und die Entscheidung der VK Bund vom 13.02.2023 kurz vor, welche nach Ansicht des Autors alle folgerichtig zu dem Ergebnis kommen, dass die Zugehörigkeit eines Unternehmens zu einer ausländischen Konzernmutter keinen Ausschlussgrund darstellen können. In seinem Fazit kommt der Autor daher auch u.a. zu dem Ergebnis, dass die Versuche interessierter Parteien den Ausschluss von Tochterunternehmen ausländischer Konzernmütter herbeizuführen wieder einmal ein Beispiel für die Instrumentalisierung des Datenschutzrechts für wettbewerbshindernde Ziele seien.