JD Software Blog

Seit dem 28. Mai 2018 wurden die Bedingungen, unter denen Daten erfasst werden dürfen, anhand derer eine bestimmte Person identifiziert werden kann – also personenbezogene Daten – erheblich verschärft. Es wurde eine breitere Auslegung der Begriffe eingeführt, die als personenbezogene Daten gelten, wodurch sich einige in unserer Branche häufig genutzte Regelungen geändert haben.

---

1. Öffentlich zugängliche Informationen über natürliche Personen können wir künftig nicht mehr ohne deren Einwilligung erfassen

Bis zum 28.05.2018 war es möglich, medizinisches Fachpersonal mit seinen öffentlich zugänglichen Daten zu erfassen. Beispielsweise veröffentlichen alle Selbstverwaltungskreise verpflichtend Listen der Vertragsordinationen in ihrem Zuständigkeitsbereich samt Kontaktdaten der Ärzte und Krankenschwestern. Diese Daten wurden in einem internen Register geführt, und bei der Kontaktaufnahme mit einer bestimmten Person wurde deren Einwilligung zur Kontaktaufnahme im Zusammenhang mit Schulungs- und Marketingaktivitäten eingeholt.

Nach der Änderung ist die Einwilligung der betroffenen Person auch für die Erfassung öffentlich zugänglicher Daten erforderlich, die zu ihrer eindeutigen Identifizierung führen. Personenbezogene Daten einer natürlichen Person, für die der Verantwortliche keine Einwilligung besitzt, dürfen daher nicht verarbeitet werden.

2. Der Inhalt der Einwilligung hat eine genau definierte Form und einen genau definierten Inhalt

In der ursprünglichen Fassung konnte die Einwilligung zur Verarbeitung personenbezogener Daten in einem Block zusammen mit anderen Einwilligungen oder Informationen für die betroffene Person zusammengefasst werden.

Seit der Neuregelung weist das Dokument zur Erteilung der Einwilligung eine genaue Struktur und verbindliche Bestandteile auf.

3. Der Widerruf der Einwilligung der betroffenen Person muss genauso einfach sein wie deren Erteilung

Wenn die betroffene Person die Einwilligung zur Verarbeitung personenbezogener Daten erteilt und diese nach einiger Zeit widerrufen hatte, war der Prozess der Löschung aus dem Register nicht eindeutig definiert.

Nun löst der Widerruf der Einwilligung eine Reihe von Maßnahmen aus, die das Unternehmen automatisch durchführen muss – von der Information der betroffenen Person über Änderungen über die Information aller Verantwortlichen und Auftragsverarbeiter bis hin zur Anonymisierung der Daten.

Bei der Möglichkeit für betroffene Personen, die Einwilligung zu widerrufen, ist Art. 7 Abs. 3 letzter Satz der Datenschutz-Grundverordnung zu beachten, wonach der Widerruf der Einwilligung genauso einfach sein muss wie deren Erteilung. Das bedeutet: Hatte die betroffene Person die Möglichkeit, die Einwilligung elektronisch zu erteilen, so muss sie auch die Möglichkeit haben, die Einwilligung elektronisch zu widerrufen.

4. Gesetzliche Gründe zur Erfassung personenbezogener Daten ohne Einwilligung der betroffenen Person gibt es, aber...

Es sind Fälle definiert, in denen der Verantwortliche die betroffene Person nicht um Einwilligung zur Verarbeitung personenbezogener Daten bitten muss. In unserer Praxis betrifft dies vor allem Verträge mit Lieferanten und Kunden. Dabei ist jedoch zu bedenken, dass die Einwilligung zur Verarbeitung personenbezogener Daten für den Zeitraum erforderlich ist, in dem ein Vertragsverhältnis besteht.