15.2. Nachwirkungen des Hochschulmedizingesetzes

Im VIII. Tätigkeitsbericht (Ziff. 13.1) hatte der Landesbeauftragte die Auswirkungen des Hochschulmedizingesetzes (HMG) vom 12. August 2005 auf die Personalverwaltung dargestellt. Wegen der Rechtsform der Kliniken als Anstalten öffentlichen Rechts mit Dienstherrneigenschaft war die Trennung der Verwaltung des Personals der Hochschule und des Klinikums geboten. Die Hochschulen und Kliniken hatten mitgeteilt, dass sie nach Beratungen Wege gefunden haben, die Vorgaben im Wesentlichen umzusetzen.

Im Berichtszeitraum hat der Landesbeauftragte den Datenschutz in der Personalverwaltung eines Klinikums geprüft. Das Klinikum setzte Personalverwaltungssoftware ein. Kursorische Einblicke in die elektronischen Vorgänge ergaben einige datenschutzrechtlich bedenkliche Ergebnisse.

Zunächst war festgestellt worden, dass das Klinikum den Grundsatz der informationellen Gewaltenteilung in der Personalaktenbearbeitung faktisch umsetzte. Die Personalakten für den Sachbereich Ärzte und medizinisches Personal und den Sachbereich Pflege wurden in getrennten Räumen und durch nur hierfür zuständiges Personal geführt. Dies war auch geboten. Die Umsetzung des gesetzlich geforderten Personalaktengeheimnisses (vertraulich, keine unbefugte Einsicht) erfordert bei großen Einrichtungen, dass nicht alle Personalsachbearbeiterinnen auf den gesamten Personaldatenbestand zurückgreifen können. Demgemäß ist der Zugriff auf einen bestimmten Mitarbeiterbereich für einzelne Personalsachbearbeiterinnen und ihre Vertretung zu begrenzen.
Eine Mitarbeiterin, die für den Sachbereich Pflege zuständig war, wurde darum gebeten, mit Hilfe des Personalverwaltungssystems nach Namen zu suchen. Dabei war es der dortigen Mitarbeiterin, die nicht für den Sachbereich Ärzte und medizinisches Personal zuständig ist, möglich, lesend auf umfängliche Personaldaten zu Beschäftigten zuzugreifen, die dem Sachbereich Ärzte und medizinisches Personal angehörten. Dies war für Ihre Aufgabenerfüllung nicht erforderlich. Auch im Personalverwaltungssystem muss die Trennung jedoch durch entsprechende Zugangsberechtigungskonzepte sichergestellt werden. Demgemäß wurde auf den dringenden Handlungsbedarf zur Wahrung des Personalaktengeheimnisses hingewiesen.

Weiter wurde eine Mitarbeiterin gebeten, im Personalverwaltungssystem den Namen eines Professors, nach § 6 Abs. 1 HMG Personal der medizinischen Fakultät der Universität, zu suchen. Nach Eingabe des Nachnamens erschienen der Stammdatensatz (u. a. Name und Vorname) sowie weitere Ordner, die differenzierten Zugriff auf die Personaldaten des Hochschullehrers zuließen. Unter anderem konnte die Bankverbindung angesehen werden. Dies ließ sich auch für einen weiteren Hochschullehrer realisieren. Es handelte sich nicht lediglich um listenmäßige Sachakteninformationen zur Organisation des Arbeitsablaufs im Universitätsklinikum. Demgemäß bestand für die Personalsachbearbeitung des Universitätsklinikums als rechtlich selbständige Anstalt des öffentlichen Rechts ein unmittelbarer Zugriff auf Personalaktendaten von Personal eines anderen Dienstherrn.
Nach § 90 Abs. 1 Satz 1 2. Halbsatz Beamtengesetz LSA i. V. m. § 28 Abs. 1 DSG-LSA sind Personalakten vertraulich zu behandeln und vor unbefugter Einsicht zu schützen. Aus Sicht der Universität lag eine unzulässige Übermittlung vor. Obwohl die Rechtslage klar und bekannt war, war offensichtlich versäumt worden, die der Personalbewirtschaftung zugrundeliegende Informationstechnologie anzupassen. Es wurde daher darauf gedrungen, dass - unabhängig von der Frage der künftigen Ausgestaltung des IT-gestützten Zusammenwirkens von Universitätsklinikum und Medizinischer Fakultät - der umfassende einrichtungsübergreifende Zugang auf Personalaktendaten kurzfristig unterbunden werden muss. Die Universität hat zwischenzeitlich mitgeteilt, dass der unzulässige Zugriff im Zusammenwirken der Verantwortlichen der Universität und des Klinikums unter Einbeziehung der Datenschutzbeauftragten abgestellt wurde.