Datenschutzkonzept zur Zentralen Expositionsdatenbank (ZED)

Das Datenschutzkonzept lässt sich auch als PDF herunterladen (PDF, 157 kB, nicht barrierefrei) .

Vorbemerkungen

Gemäß § 14 Abs. 3 Gefahrstoffverordnung (GefStoffV) hat der Arbeitgeber bei Tätigkeiten mit krebserzeugenden oder keimzellmutagenen Stoffen der Kategorien 1A und 1B sicherzustellen, dass ein aktualisiertes Verzeichnis über die Beschäftigten geführt wird, die Tätigkeiten ausüben, bei denen die Gefährdungsbeurteilung eine Gefährdung der Gesundheit oder der Sicherheit der Beschäftigten ergibt.

Dieses Verzeichnis ist 40 Jahre nach Beendigung der Exposition aufzubewahren. Den Beschäftigten ist bei Beendigung des Beschäftigungsverhältnisses ein Auszug der sie betreffenden Angaben auszuhändigen (§ 14 Abs. 3 Nr. 4 GefStoffV). Diese Aufbewahrungs- und Aushändigungspflicht kann der Arbeitgeber mit Einwilligung der Beschäftigten auf den Unfallversicherungsträger (UVT) übertragen (§ 14 Abs. 4 GefStoffV).

Die Umsetzung erfolgt durch die Errichtung und den Betrieb einer "Datenbank zur zentralen Erfassung gegenüber krebserzeugenden Stoffen exponierter Beschäftigter" (Zentrale Expositionsdatenbank - ZED) bei der Deutschen Gesetzlichen Unfallversicherung e. V.

Die beabsichtigte Datenbank wurde der Bundesbeauftragten für den Datenschutz und Informationsfreiheit mit Schreiben vom 3.11.2014 angezeigt. Es wurden keine Bedenken erhoben.

1. Errichtung

Die Deutsche Gesetzliche Unfallversicherung (DGUV) errichtet und betreibt eine "Datenbank zur zentralen Erfassung gegenüber krebserzeugenden Stoffen exponierter Beschäftigter", im Folgenden "ZED".

2. Ausführende Stelle

Ausführende Stelle ist die DGUV, Abteilung Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung (IFA), Alte Heerstraße 111, 53757 Sankt Augustin.

3. Name der Datenbank

"Datenbank zur zentralen Erfassung gegenüber krebserzeugenden Stoffen exponierter Beschäftigter" (Zentrale Expositionsdatenbank - ZED).

4. Bezeichnung der Datenbank

Die ZED ist eine Dokumentations- und Hinweisdatei gemäß § 14 GefStoffV und Vorsorgedatei gemäß § 204 Abs. 1 Nr. 2 Sozialgesetzbuch (SGB) VII.

5. Zweck der Datenbank

Die ZED dient der Unterstützung der Arbeitgeber bei der Erfüllung der Unternehmerpflicht nach Gefahrstoffverordnung (§ 14 Absatz 3 Nr. 3 und 4 GefStoffV) und damit der Beweissicherung für mögliche Berufskrankheiten-Feststellungsverfahren. Hiernach ist ein Verzeichnis über die gegenüber krebserzeugenden oder keimzellmutagenen Stoffen gefährdend tätigen Beschäftigten zu führen, das Angaben zur Höhe und Dauer der Exposition enthält und 40 Jahre aufbewahrt werden muss.

Den Beschäftigten ist beim Ende der Beschäftigung ein Auszug der sie betreffenden Daten auszuhändigen. Mit der Nutzung der ZED überträgt das Unternehmen der DGUV die Aufbewahrungs- und Aushändigungspflicht.

Des Weiteren ist Zweck der ZED die Errichtung einer Vorsorgedatei gemäß § 204 Abs. 1 Nr. 2 SGB VII.

6. Rechtsgrundlagen

Rechtsgrundlage für die Errichtung der Datenbank ist § 14 Abs. 3 Nr. 4 GefStoffV in Verbindung mit Art. 6 Abs. 1 Buchstaben c und e i. V. m. Abs. 2, Art. 9 Abs. 2 Buchstaben b und h DSGVO i. V. m. § 204 Abs. 1 Nr. 2 SGB VII (Errichtung einer Datei für mehrere Unfallversicherungsträger bei dem Verband).

Die Anzeige nach § 204 Abs. 6 SGB VII an die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit wurde mit Schreiben vom 3.11.2014 versandt. Es wurden keine Bedenken erhoben.

Gemäß § 204 Abs. 7 SGB VII sind die Beschäftigten vor erstmaliger Speicherung ihrer Daten über die Art der gespeicherten Daten, die speichernde Stelle und den Zweck der Datenbank schriftlich zu unterrichten. Diese Unterrichtung erfolgt durch das Unternehmen, das auch die Einwilligung der Beschäftigten gem. § 14 Abs. 4 GefStoffV einholt.

7. Sozialdatenschutz

Die ZED und die in ihr enthaltenen Daten unterliegen dem Sozialdatenschutz gemäß Sozialgesetzbuch (§ 35 SGB I, § 67 SGB X).

Betriebs- und Geschäftsgeheimnisse stehen den Sozialdaten gleich (§ 35 Abs. 4 SGB I).

Sozialdaten Verstorbener dürfen nach Maßgabe des Zweiten Kapitels des Zehnten Buches SGB verarbeitet oder genutzt werden. Sie dürfen außerdem verarbeitet oder genutzt werden, wenn schutzwürdige Interessen der Verstorbenen oder ihrer Angehörigen dadurch nicht beeinträchtigt werden können (§ 35 Abs. 5 SGB I).

8. Maßnahmen zum Datenschutz

Die ausführende Stelle ist dafür verantwortlich, dass die technischen und organisatorischen Maßnahmen gem. Art. 32 DSGVO zum Schutz der Daten eingehalten werden. Dies umfasst insbesondere die Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Eingabekontrolle, Auftragskontrolle und Zweckbindung. Die konkreten Datenschutzmaßnahmen sind Bestandteil des Verarbeitungsverzeichnisses.

9. Datenverarbeitung

a. Eine Verarbeitung von Daten in der ZED ist nur unter den Voraussetzungen der Gefahrstoffverordnung und des Zweiten Kapitels des Zehnten Buches Sozialgesetzbuch zulässig (§ 35 Abs. 2 SGB I).

b. Soweit eine Übermittlung nicht zulässig ist, besteht keine Auskunftspflicht, keine Zeugnispflicht und keine Pflicht zur Vorlegung oder Auslieferung von Schriftstücken, nicht automatisierten Dateien und automatisiert verarbeiteten Sozialdaten (§ 35 Abs. 3 SGB I).

10. Betroffene Personen und Stellen

Aufnahme in diese Datenbank finden:

a. Beschäftigte

Beschäftigte in diesem Sinne sind Personen, die im Rahmen eines Beschäftigungsverhältnisses Tätigkeiten mit krebserzeugenden oder keimzellmutagenen Gefahrstoffen der Kategorien 1A oder 1B ausüben, bei denen die Gefährdungsbeurteilung nach § 6 GefStoffV eine Gefährdung der Gesundheit oder der Sicherheit der Beschäftigten ergibt.

b. Unternehmen

Das Unternehmen, das gem. § 14 Abs. 3 GefStoffV die Exposition von Beschäftigten in die ZED dokumentiert.

11. Arten der zu speichernden Daten

a. Name und Adresse des Unternehmens

b. Zuständiger Unfallversicherungsträger (UVT) und UVT-Mitgliedsnummer des Unternehmens

c. Name und E-Mail-Adresse der vom Unternehmen zur Datenerfassung/Dateneinsicht in der ZED befugten Personen ("ZED-Benutzer")

d. Vor- und Zuname, Rentenversicherungsnummer, Geburtsdatum und bei Meldung zur nachgehenden Vorsorge auch Adresse der durch krebserzeugende oder keimzellmutagene Stoffe gefährdeten Beschäftigten

e. Tätigkeit, Höhe, Zeitraum und Dauer der Exposition der Beschäftigten sowie Zeitraum der Unternehmenszugehörigkeit

f. Stoffe, gegenüber denen die Beschäftigten exponiert sind.

12. Sonstige Daten

Sonstige Daten werden nur dann gespeichert, wenn es hierfür eine Rechtsgrundlage gibt (z. B. Einwilligung der Betroffenen oder gesetzliche Erlaubnisnorm).

13. Grundsätzliches

a. Es gelten die Grundsätze für die Verarbeitung personenbezogener Daten nach Art. 5 DSGVO.

b. Unternehmen und DGUV bleiben getrennte Verantwortliche. Es handelt sich nicht um Auftragsverarbeitung nach Art. 28 DSGVO, da die DGUV die Aufbewahrung als eigene Aufgabe übernimmt (ggf. auch nach Wegfall des Unternehmens) und die Verarbeitung gemäß gesetzlicher Aufgaben nach SGB keiner Weisung unterliegt. Es wird auch keine gemeinsame Verantwortlichkeit i. S. d. Art. 26 DSGVO begründet, da die Zwecke jedes Verantwortlichen gesetzlich vorgegeben sind und keine gemeinsamen Zwecke und Mittel vereinbart werden.

c. Unternehmen und DGUV bleiben verantwortlich für die Einhaltung der DSGVO, je nach Aufgabenbereich.

d. Die Informationspflichten nach Art 13, 14 DSGVO erfüllt die DGUV aufgrund der im Internet veröffentlichten Unterrichtung der Auftragnehmer.

14. Erhebung und Speicherung der Daten

a. Ein Unternehmen, das die ZED nutzen will, registriert sich für die ZED über das ZED-Internetportal beim Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung (IFA).

b. Nach Registrierung können die Daten des Unternehmens online über einen sicheren Internetzugang erfasst bzw. übermittelt werden.

c. Die Verantwortung für die Rechtmäßigkeit der Erhebung, die Zulässigkeit der Speicherung sowie die Richtigkeit und Aktualität der von dem Unternehmen dokumentierten Daten liegt bei dem Unternehmen selbst.

d. Bei einem Widerruf der Beschäftigten zur Übertragung der Aufbewahrungs- und Aushändigungspflicht an die DGUV hat das Unternehmen das Verzeichnis für diese Beschäftigten gemäß Gefahrstoffverordnung außerhalb der ZED zu führen. Der Widerruf hat grundsätzlich "ex nunc" Wirkung, d. h., die bis zu diesem Zeitpunkt in der ZED gespeicherten Daten verbleiben in der ZED. Das Unternehmen kann jedoch entscheiden, das Verzeichnis rückwirkend selbst zu führen und die Daten in der ZED zu löschen.

e. Das Unternehmen kann jederzeit entscheiden, aus der Nutzung der ZED auszuscheiden und das Verzeichnis gemäß Gefahrstoffverordnung wieder selbst zu führen. Aus Gründen der Rechtssicherheit wird empfohlen, die bis zu diesem Zeitpunkt in der ZED gespeicherten Daten in der ZED zu belassen.

15. Berichtigung, Löschung und Sperrung von Daten

Hinsichtlich der Berichtigung, Löschung und Einschränkung der Verarbeitung gilt Art. 17, 18 DSGVO i. V. m. § 84 SGB X. Eine Änderung bei der ZED erfasster Daten in diesem Sinne kann grundsätzlich nur durch das Unternehmen, das die Daten erfasst hat, vorgenommen werden. Änderungen werden durch die ZED protokolliert.

16. Zugriffsrechte und Datenübermittlung

a. Die Zugriffsrechte werden gemäß rechtlicher Bestimmungen vergeben (GefStoffV und SGB). Eine Übermittlung der Daten an Dritte ist nicht vorgesehen. Die Daten unterliegen der Zweckbindung nach Sozialgesetzbuch und Gefahrstoffverordnung.

b. Beschäftigte/ehemals Beschäftigte erhalten auf Anfrage Auskunft zu den sie persönlich betreffenden Angaben (§ 14 Abs. 3 Nrn. 4, 6 GefStoffV, Art. 15 DSGVO i. V. m. § 83 SGB X).

c. Jedes Unternehmen hat Zugriff und Nutzungsrecht auf die jeweils von ihm an die ZED übermittelten Daten. Ein Zugriff auf die von anderen Unternehmen gelieferten Daten ist ausgeschlossen.

d. Die Daten der ZED stehen der DGUV und ihren Einrichtungen sowie den Trägern der gesetzlichen Unfallversicherung im Rahmen ihrer gesetzlichen Aufgaben zur Verfügung. Im Falle einer Berufskrankheiten-Anzeige kann der zuständige Unfallversicherungsträger mit Einwilligung des/der Versicherten die erforderlichen Daten aus der ZED anfordern.

e. Soweit die Einwilligung der Versicherten vorliegt, können die Daten auch für das Angebot nachgehender Vorsorge durch den Organisationsdienst für nachgehende Untersuchungen der gesetzlichen Unfallversicherung (ODIN) bei der Berufsgenossenschaft Rohstoffe und chemische Industrie (BG RCI) und die Gesundheitsvorsorge (GVS) bei der Berufsgenossenschaft Energie Textil Elektro Medienerzeugnisse (BGETEM) genutzt werden.

17. Nutzung anonymisierter/pseudonymisierter Daten zu Forschungszwecken

Im Rahmen des gesetzlichen Auftrags der Gesetzlichen Unfallversicherung können Daten der ZED nach § 204 Abs. 2 Nr. 2 SGB VII genutzt werden, um Erkenntnisse über arbeitsbedingte Gesundheitsgefahren und geeignete Maßnahmen der Prävention oder zur Teilhabe zu gewinnen. Es handelt sich um eine zulässige Zweckänderung nach Art. 6 Abs. 4 DSGVO. Voraussetzung hierfür ist ein entsprechender Beschluss im Beirat zur ZED. Die Daten dürfen nur dann verwendet werden, wenn sie anonymisiert oder pseudonymisiert sind. Vorrangig ist eine Anonymisierung der Daten. Eine Pseudonymisierung ist nur dann zulässig, wenn aus Forschungszwecken (z. B. zur Validierung) eine spätere Zuordnung unumgänglich ist.

18. Analyse der Login-Vorgänge

Die ZED analysiert die Anzahl der Login-Vorgänge für jeden Nutzer. Dabei werden die Identifikationsdaten der betroffenen Personen einem Hash-Algorithmus unterzogen, sodass kein Rückschluss auf eine natürliche Person möglich ist.

Diese Datenverarbeitung beruht auf Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen beruhen auf der Optimierung unseres Angebots durch die Analyse des Nutzerverhaltens.

Sie können dieser Verarbeitung jederzeit widersprechen, indem Sie eine E-Mail an zed@dguv.de schicken und uns mitteilen, dass die genannten Login-Daten nicht analysiert werden sollen.

19. Speicherdauer

a. Die Daten in der ZED werden gemäß § 14 Gefahrstoffverordnung mindestens 40 Jahre nach Beendigung der Exposition aufbewahrt.

b. Die Löschung der Daten in der ZED richtet sich nach den gesetzlichen Bestimmungen (Art. 17, 18 DSGVO i. V. m. § 84 SGB X).

Stand: 01.06.2022