ist es eigentlich möglich, eine erstmal unzulässige Übermittlung von personenbezogenen Daten zu heilen?
Ich könnte mir vorstellen, dass es in der Praxis vorkommt, dass eine Datenübermittlung an einen Dienstleister stattfindet, obwohl diese zu diesem Zeitpunkt unzulässig wäre.
Was ist, wenn sich im Nachhinein rausstellt, dass die Datenübermittlung zu einem späteren Zeitpunkt aber zulässig gewesen wäre? Also beispielsweise: Ein Unternehmen übermittelt am 01.01. Daten an einen Dritten. Das war zu diesem Zeitpunkt nicht in Ordnung. Am 15.01. lagen aber alle Voraussetzungen für eine Zulässige Abgabe vor. Bleibt dann die Übermittlung unzulässig, obwohl sie an sich zulässig wäre?
Kann eine nachträgliche Zulässigkeit die Übermittlung zum falschen Zeitpunkt heilen?
Mit Auftragsverarbeitern wären Verträge zu schließen, bevor die Verarbeitung ausgelagert wird. Ansonsten wäre es eine Übermittlung, für deren Zwecke man einen Erlaubnistatbestand zu finden hat. Die Anforderungen an die möglichen Rechtsgrundlagen (Art. 6 Abs. 1 DSGVO) sind manchmal schwer bis gar nicht zu erfüllen.
Würde die Verarbeitung auf Einwilligung beruhen, müsste diese vorher eingeholt worden sein.
Bei berechtigten Interessen müssten die Interessen vorher festgelegt sein, die vorgeschriebene Abwägung bestanden. Und die Betroffenen waren bei der Datenerhebung über die jeweiligen Interessen zu informieren. Nachträgliche Deklaration von “berechtigten” wäre prinzipiell möglich, wenn man die Erlaubnislage isoliert sieht, aber dann hätte man gegen Informationspflichten verstoßen.
Grundsätzlich sagt Art. 6 ja da, dass eine Verarbeitung nur rechtmäßig/zulässig ist, wenn eine der Bedingungen in Abs. 1 zutrifft. Da gibt es im Nachgang aus meiner Sicht nicht mehr viel zu heilen, genauso wie beim Widerruf einer erteilten Einwilligung, eine Verarbeitung ist erst ab dem Zeitpunkt des Widerrufs unrechtmäßig.
Wer wäre denn da Empfänger? gewesen? Ein Auftragsverarbeiter?
Irgendwie erscheint mir das Ganze doch sehr abstrakt. Gibt es einen konkreten Anlass der Frage.
Hintergrund ist die Frage, wann Daten an einen Rechtsanwalt übergeben werden dürfen.
Wenn zum Zeitpunkt der Abgabe die Voraussetzungen (noch) nicht vorlagen, weil die dem Betroffenen gesetzte Frist nicht abgelaufen war, wäre die Übermittlung mE nicht in Ordnung. Wenn der Betroffene die Frist aber hat fruchtlos verstreichen lassen, dürfte eine Abgabe erfolgen.
VG
dedsb
An einen Rechtsanwalt… wozu genau? Der Zweck wird i. d. R. nicht pauschal vorgesehen und genannt gewesen sein. Damit wäre es eine Zweckänderung, die durch die Prüfmaschine von Art. 6 Abs. 4 muss, und die Informationspflichten nach Art. 13 Abs. 3 bzw. Art. 14 Abs. 4 mit sich bringt.
Im anwaltlichen Zusammenhang lässt sich evtl. ein neues berechtigtes Interesse an der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen einbringen, das relativ robust (Art. 21 Abs. 1 S. 1) dastehen kann.
Sollte es nicht um “Geltendmachung…” gehen, sondern um eher stupide Lohnarbeiten wie z. B. Vertragsprüfungen, Bonität, Notariat, die sich wegen der Handlungsfreiheit des Berufs nicht als Auftragsverarbeitung gestalten lassen, wären es Übermittlungen auf Basis “normaler” berechtigter Interessen. Hier mit dem Gewichtsvorteil des Berufsgeheimnisses.
D., der “Rechtsanwalt” noch nicht für genau genug hält.
Dann wahrscheinlich berechtigtes Interesse genau daran. Ich geh mal davon aus, dass es nicht übermäßig ausfällt bzw. als Zweckänderung kompatibel ist. (Z. B. Vertrag … Probleme … Leistung einklagen.)
Wenn diese Datenübermittlung bei der Datenerhebung noch nicht eingeplant und genannt war, wird eine neue Informationspflicht ausgelöst. Man müsste irgendwie mitteilen, dass die nötigen Daten zur Beratung an eine Anwaltskanzlei gehen. Evtl. schon vorab, in einer Mahnung.
D., der dann kein großes Problem sieht. Was war noch mal die Frage?
Es wurde zuvor auf die Abgabe hingewiesen.
Das Problem war, dass zum Zeitpunkt der Übermittlung der Daten an den RA, die Abgabevoraussetzungen (Verzug) noch nicht vorlagen. Zu einem spätesten Zeitpunkt war Verzug eingetreten. Ab dann hätten die Daten übermittelt werden dürfen, vorher jedoch eigentlich nicht.