Ein Vermieter bietet seinen Senioren einen Hausnotruf an. Jetzt soll das Ganze an einen externen Anbieter ausgelagert werden.
Der Vertrag mit dem Vermieter soll bestehen bleiben, die Abrechnung soll komplett über den Vermieter erfolgen.
Der Hausnotrufanbieter schließt aber üblicherweise den Vertrag direkt mit den Senioren. Er möchte nun Gesundheitsdaten der Senioren haben, um auf deren Bedürfnisse besser eingehen zu können.
Nun stellt sich zunächst die Frage der Verantwortlichkeit (Auftragsverarbeiter / Gemeinsame V, zwei alleinige Verantwortliche).
Kann ein Hausnotrufdienstanbieter ein Auftragsverarbeiter des Vermieters sein? Steht die Datenverarbeitung der personenbezogenen Daten bei einem “Hausnotrufdienst” im Kern der Vearbeitung?
Besteht eine Gemeinsame Verantwortung zwischen dem Vermieter / Hausnotrufanbieter oder eine Alleinige Verantwortung - Wenn ja, aufgrund welcher Rechtsgrundlage verarbeitet der Hausnotrufanbieter die Daten der Personen, wenn er selbst keinen Vertrag mit den Senioren hat?
Gibt es ausser der Einwilligung noch eine andere Rechtsgrundlage für die Verarbeitung der Gesundheitsdaten gem. Art. 9 DSGVO?
Hat jemand eine gute Idee oder vielleicht schon selbst eine ähnliche Konstellation gehabt?
Gruß und Danke im voraus
Meiner Meinung nach kommt es letztendlich darauf an, was denn in den beiden Verträgen (Vermieter, Hausnotrufanbieter) drin steht, also welche Daten z.B. ausgetauscht werden. Aus den Vertragsverhältnissen ließe sich beurteilen, welche Verwantwortlichkeiten bestehen. Aus den geschilderten Informationen ließe sich eine gemeinsame Verantwortlichkeit, als auch eine eigene Verantwortlichkeit des Hausnotrufanbieters in Bezug auf die Art. 9 Daten schließen.
Vielleicht gibt dieser Artikel hier ein wenig Klarheit.
Hallo und vielen Dank für die Antwort.
Leider geben beide Verträge nicht viel her. Installation Station, Handsender, Funktion, Bereitschaft, Kosten, Verlust, Beschädigung, Betrieb 24x 7, Durchführung erste Hilfe. Ich habe dem Verwalter zunächst empfohlen, die Notrufanlage aus dem eigenen Vertrag zu lösen, damit der neue Anbieter einen direkten Vertrag mit den Mietern hat.
Für die Gesundheitsdaten wird man um eine Einwilligung nicht herumkommen. Die erste zu klärende Frage wäre wohl, ob das “Betätigen eines Notrufschalters” und die nachfolgende Durchführung der ersten Hilfe eine Auftragsverarbeitung darstellt oder ist die Tätigkeit mit einem “Handwerker” vergleichbar?
Gruß
P.S. Ich habe in dem Artikel gesehen, dass die Rechtsgrundlagen aus EU 2016/680 verwendet werden. Teil 3 des BDSGs eignet sich gut für nicht-öffentliche Unternehmen .
Hallo, @cbk danke für den Hinweis. Natürlich gibt es Rechtsanwälte für eine solche Konstellation. Ich gehe auch davon aus, dass @NSB sich nach unseren Antworten an einen Anwalt seines Vertrauens wendet.
Ich habe die Fragen so verstanden, dass die geneigten Leser um Ihre Meinung / Einschätzung gebeten wurden, damit @NSB schon Im Vorfeld der anwaltlichen Einschätzung, einen möglichst umfassenden Überblick über diese Problematik erhält. Dies vereinfacht dann das Gespräch mit dem Rechtsanwalt.
Zu den Fragen lässt sich aktuell nicht viel konkretes schreiben - nur so viel.
Je nach Ausgestaltung würde ich frei Fälle unterscheiden:
der Verwalter bietet den Hausnotruf den Bewohnerinnen an und beauftragt den, von ihm unabhängigen Dienstleister. In diesem Fall ist der Verwalter alleine verantwortlich. Die Art und Weise, wie mit den sensiblen Daten beim Verwalter umgegangen wird, wird den Bewohnerinnen vertraglich mitgeteilt, hier auch der Hinweis, dass beabsichtigt wird, einen unabhängigen Dritten mit der Durchführung zu bearbeiten. Der Verwalter ist alleine verantwortlich und regelt sein Verhältnis zum Dienstleister in einem Auftragsverarbeitungsvertrag.
der Verwalter „vermittelt“ den Dienstleister an die Bewohnerinnen. Hier werden anfallende allgemeine Daten im Rahmen des Mietverhältnisses verarbeitet. Die Bewohnerinnen schließen individuelle Verträge mit dem / den empfohlenen Dienstleistern ab oder beauftragen einen anderen Dritten mit der Durchführung. In diesem Fall ist der Dienstleister der alleinig Verantwortliche für die Verarbeitung insbesondere auch der Art. 9 Daten. Der Verwalter hat keinen Einfluss auch Art und Weise sowie Umfang der Datenverarbeitung.
der Dienstleister agiert entweder in einem anderen Unternehmensteil der Verwaltung und / oder ist anderweitig vertraglich verbunden.Somit können beide Parteien über die Art und Weise der Datenverarbeitung entscheiden. Leider kann ich zu diesem Kontrukt nicht viel sagen. Mir erscheint jedoch wichtig, dass auf folgende Fragen geschaut wird.
Wer ist Weisungsgeber, wer Weisungsempfänger?
Wer kann (maßgeblich) über die Art und Weise über die Umstände der Datenverarbeitung (mit-) entscheiden?
Ich hoffe, es hilft ein wenig.
Herzlichst
.