Unter welchen datenschutzrechtlichen Voraussetzungen darf das Führen der Vorsorgekartei an die Sifa einer anderen Konzerngesellschaft übertragen werden?

Die Übertragung des Führens der Vorsorgekartei (z. B. nach § 3 Abs. 3 ArbMedVV) auf die Fachkraft für Arbeitssicherheit (Sifa) einer anderen Konzerngesellschaft ist datenschutzrechtlich nur unter bestimmten Voraussetzungen zulässig. Maßgeblich sind hier insbesondere die Vorgaben der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG).

**Wesentliche datenschutzrechtliche Voraussetzungen:**

1. **Rechtsgrundlage für die Datenverarbeitung:**
Die Verarbeitung personenbezogener Daten (insbesondere Gesundheitsdaten) ist nur zulässig, wenn eine Rechtsgrundlage besteht. Für Gesundheitsdaten ist Art. 9 Abs. 2 DSGVO maßgeblich, insbesondere lit. h) (Verarbeitung für Zwecke der Arbeitsmedizin, der Beurteilung der Arbeitsfähigkeit des Beschäftigten usw.).

2. **Vertrag zur Auftragsverarbeitung oder gemeinsame Verantwortlichkeit:**
Wird die Sifa einer anderen Konzerngesellschaft tätig, handelt es sich in der Regel um eine Auftragsverarbeitung nach Art. 28 DSGVO. Es muss ein entsprechender Vertrag zur Auftragsverarbeitung zwischen den Gesellschaften geschlossen werden. Alternativ kann – je nach Ausgestaltung – auch eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegen, die eine Vereinbarung über die jeweiligen Verantwortlichkeiten erfordert.

3. **Wahrung des Berufsgeheimnisses und Vertraulichkeit:**
Die Sifa muss zur Vertraulichkeit verpflichtet sein. Gesundheitsdaten sind besonders schützenswert, daher ist sicherzustellen, dass nur befugte Personen Zugriff auf die Vorsorgekartei haben.

4. **Zweckbindung und Datenminimierung:**
Die Daten dürfen nur für den vorgesehenen Zweck (arbeitsmedizinische Vorsorge) verarbeitet werden. Es dürfen nur die dafür erforderlichen Daten übermittelt und verarbeitet werden.

5. **Informationspflichten gegenüber den Beschäftigten:**
Die betroffenen Beschäftigten müssen nach Art. 13 DSGVO über die Übertragung und die damit verbundene Datenverarbeitung informiert werden.

6. **Technische und organisatorische Maßnahmen:**
Es müssen angemessene technische und organisatorische Maßnahmen zum Schutz der Daten getroffen werden (Art. 32 DSGVO).

7. **Keine Übermittlung in Drittstaaten:**
Die Übertragung darf nur innerhalb des Europäischen Wirtschaftsraums (EWR) erfolgen, sofern kein angemessenes Datenschutzniveau in einem Drittstaat nachgewiesen ist.

**Fazit:**
Die Übertragung ist zulässig, wenn eine geeignete Rechtsgrundlage besteht, die datenschutzrechtlichen Pflichten (insbesondere Auftragsverarbeitung oder gemeinsame Verantwortlichkeit, Vertraulichkeit, Informationspflichten und Schutzmaßnahmen) eingehalten werden und die Verarbeitung auf das notwendige Maß beschränkt bleibt.

Weitere Informationen:
- [Datenschutz-Grundverordnung (DSGVO)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679)
- [Bundesdatenschutzgesetz (BDSG)](https://www.gesetze-im-internet.de/bdsg_2018/)

Hinweis: Im Einzelfall sollte eine datenschutzrechtliche Prüfung durch den Datenschutzbeauftragten des Unternehmens erfolgen.