ich habe eine Frage, bei deren Beantwortung ich auf Denkanstöße aus der Runde hoffe:
Gegeben sei ein Vertrag über eine Leistung (häusliche Pflege). In diesem Vertrag willigt die betroffene Person schriftlich ein, dass sich eine „andere Person“ über die Daten informieren darf.
Der Passus ist überschrieben mit „Einwilligung zur Datenverarbeitung zu Versorgungszwecken“, der Unterpunkt lautet „Weitergabe von personenbezogenen Daten an Dritte“. Darin ist die „andere Person“ namentlich aufgeführt.
Nachdem der Vertrag beendet ist, wendet sich die „andere Person“ mit einem Auskunftsersuchen an die verantwortliche Stelle und beruft sich auf die ursprünglich erteilte Einwilligung.
Ich tendiere dazu, die allgemeine Verjährung nach BGB heranzuziehen, so dass nach einem entsprechenden Zeitraum nach Vertragsende eine Berufung auf die ursprüngliche Einwilligung nicht mehr möglich wäre, da sich die Einwilligung auf die Datenverarbeitung zu dem Vertragszweck bezogen hat.
Dann müsste die andere Person sich neu legitimieren lassen, um im Auftrag der betroffenen Person eine Auskunftsanfrage an die verantwortliche Stelle zu richten.
Meine Frage in die Runde: Gilt die ursprünglich erteilte Einwilligung über das Vertragsende hinaus?
Oder sehe ich den Wald vor Bäumen nicht?
Besten Dank vorab für das Mitdenken und alle sachdienlichen Hinweise.
Der Verantwortlicher ist ein amb. Pflegedienst, der auf Basis einer Einwilligung Informationen der Pflegedienstpatienten an eine “andere Person” Daten weitergibt.
Die “andere Person” wendet sich dann an den Pflegedienst wegen einem Auskunftsersuchen.
Ist das richtig so?
Resultiert aus dem Vertragszweck eine gesetzliche Aufbewahrungspflicht? Dann findet doch auch nach Vertragsende eine weitere Verarbeitung in Form der Archivierung statt. Der ursprüngliche Vertragspartner der Pflegedienstes kann rein theoretisch auch selbst ein Auskunftsersuchen stellen. In diesem Fall müsste der Pflegedienst ja auch nachweisen, wer welche Daten erhalten hat und auf welcher Rechtsgrundlage das erfolgt ist. Erst wenn die Verarbeitungszweck gesetzlich vorgeschriebene Aufbewahrungsfrist weggefallen ist, müssen die Daten gelöscht werden und solange wäre aus meiner Sicht auch eine erteilte Einwilligung gültig.
Einwilligungen haben prinzipiell keine zeitliche Ablauffrist. Sie gelten bis zum Widerruf. Doch die darin genannten Verarbeitungszwecke können nach Ende des Dienstleistungsvertrags hinfällig geworden sein; dann wäre die weitere Verarbeitung zum eingewilligten Sachverhalt nicht mehr zulässig; zwecklose Daten müssten gelöscht werden (Art. 17 Abs. 1 DSGVO). Besonders wenn die eingewilligte übermittlung /Offenlegung gegenüber dem Dritten im Zusammenhang mit der Leistung aus dem Grundvertrag beschrieben war.
“Auskunft” (nach Art. 15 DSGVO) kann die “andere Person” nur für ihre eigenen Daten beantragen; der Verantwortliche müsste aus der Datenkopie Angaben entfernen, die Rechte der betroffenen Personen beeinträchtigen. Falls die betroffene Person bzw. deren Angehörige anzugebende Datenempfänger wären, würde ich bei Privatpersonen zuerst nur die Empfängerkategorie nennen.
Zusätzlich könnte eine Datenherausgabe /Offenlegung aus anderen Gründen zur Diskussion stehen. Wahrscheinlich zur Wahrung berechtigter Interessen des Dritten. Dafür braucht man eine Abwägung. Intransparente bzw. unverhältnismäßige Herausgabe würde die Rechte der betroffenen Person strapazieren.
Geift die Einwilligung vom ursprünglich anzunehmenden Verständnis nicht mehr und die Datenanforderung des Dritten war nicht erwartbar, wäre es eine Zweckänderung und führt zur Prüfung nach Art. 6 Abs. 4; i. V. mit Informationspflichten Art. 13 Abs. 3, Art. 14 Abs. 4 DSGVO.
D., der sicherheitshalber die betroffene Person fragen würde. (Um die Einwilligung zu erweitern bzw. deren Umfang zu klären.)
Hallo Thomas und Domasla,
vielen Dank für die Rückmeldung.
Ich kenne die Hintergründe der Personen nicht und ob der ursprüngliche Vertragspartner und Einwilligungsgeber eine Auskunftsanfrage stellen kann oder möchte.
Ich war und bin nur persönlich irritiert, da ich bisher keine zufriedenstellenden Aussagen zu einem “Ende” der ursprünglichen Einwilligung nach Vertragsende gefunden habe.
Die Hinweise auf den ursprünglichen Vertragszweck und die auf diesen Zweck gerichtete Einwilligung sin wohl der richtige Lösungsansatz.
Meines Erachtens hat sich die ursprüngliche Einwilligung auf den damaligen konkreten Verarbeitungsprozess bezogen. Wenn der Vertrag nun erledigt ist, ist der Zweck weg und damit sehe ich auch die ursprüngliche Einwilligung als erledigt an.
Nach Rdnr. 29 der “OH_Recht_auf_Auskunft.pdf” ist eine Vertretung bei der Auskunftsabfrage grundsätzlich möglich, aber dann nur mit passender Vollmacht.
Die “andere Person” hat sich auf eine (angebliche) Vollmacht bezogen, die passt aber hier nicht.
Folglich tendiere ich dazu, dass hier eine neue und passende Vollmacht erfoderlich ist - oder der ursprüngliche Vertragspartner fragt selbst an.
Wenn es als Art.-15-Auskunft zu verstehen ist, könnte die “andere Person” selbst betroffene Person sein, und mehr über “ihre” Daten bei den Daten der ersten Person wissen wollen. Wegen der zu berücksichtigen Auswirkungen auf deren Rechte wird wenig dabei herauskommen (geschwärzt).
Für die erste Person darf sie nur Auskunft verlangen, wenn sich die Vertretung nachweisen lässt (spezifische Vollmacht).
D., der schon Anwantsvollmachten gesehen hat, mit denen sie für die Betroffenen deren Erstgeborene hätten verkaufen könneen, doch keine datenschutzrechtlichen Betroffenenrechte geltend machen durften.
Genau so.
So wie ich verstanden habe, ist es die “andere Person” die das Auskunftsersuchen stellt.
In dem Fall ist über die vorliegenden Daten dieser Person und die Verarbeitungszwecke Auskunft zu erteilen, NICHT ABER über die Verarbeitungen der Daten des ehemaligen Vertragspartners.
Wenn der Zweck der Einwilligung -nämlich die Rechtmäßigkeit der Bereitstellung von Daten an die andere Person - weggefallen ist, dann ist auch die Einwilligung zu löschen, soweit es keine weitere Verarbeitung zu anderem Zweck gibt.
Die gibt es - für drei Jahre - zur Verteidigung eigner Rechtsansprüche, um nachweisen zu können, dass die damalige Bereitstellungen rechtmäßig waren. Danach wären nach meiner Einschätzung, die Einwilligung zu löschen.
Wenn die “andere Person” Auskunft über die Daten die im Rahmen der Vertragserfüllung vom Betroffenen verarbeitet wurden und nucn noch vorliegen wünscht, so ist wie bereits erwähnt, eine spezifische, für diesen Sachverhalt erstellte, Vollmacht des Betroffenen vonnöten.
Auch spannend könnte die Abgabe der Einwilligung im Vertrag sein, da fraglich ist, ob diese Enwilligung für die Vertragserfüllung erfordelrich ist . Es sollte dann ein getrennter Akt sein, in den durch eine zweite Unterschrift eingewilligt wird.
Als Ergänzung ein Urteil zum Thema: Nach der Entscheidung des AG Berlin-Mitte vom 29.07.2019 (Az.: 7 C 185/18), muß der Anwalt, der einen Auskunftsanspruch für seinen Mandanten geltend macht, eine auf die Auskunftsanfrage bezogene Vollmacht der betroffenen Person vorlegen.
D., der schon einen selbst erstellten Ausdruck gesehen hat, dass der Kanzlei am… um… irgendeine Vollmacht erteilt wurde. Ohne Unterschrift. Voraus ging die anwaltliche Zusicherung, dass eine vorliegen würde.
