Im Zusammenhang mit der Datenschutz-Grundverordnung gab es in jüngster Vergangenheit zwei Neuerungen, die wir Ihnen nicht vorenthalten wollen.
Informationspflicht nach Art. 13 DSGVO
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länger – kurz DSK – hat in einem Papier klargestellt, welchen Anforderungen die Aufklärung der Patienten einer Arztpraxis genügen muss. Die DSGVO schreibt in Art. 13 vor, dass die verantwortliche Stelle (im vorliegenden Fall die Arztpraxis) die Betroffenen (hier den Patienten) über die Datenverarbeitung und die Betroffenenrechte informiert.
Aufgrund vieler Unklarheiten und fehlender Präzisierung – etwa durch Gerichtsurteile – hat sich eine große Zahl niedergelassener Ärzte und Therapeuten dazu entschieden, die Informationen jedem Patienten auszuhändigen und sich die Kenntnisnahme durch Unterschrift bestätigen zu lassen. Dadurch ist man rechtlich abgesichert und kann im Streitfall belegen, dass der Informationspflicht nach Art. 13 DSGVO nachgekommen wurde. In einigen Fällen hatten Patienten jedoch diese Quittierung abgelehnt und keine Unterschrift abgegeben. Als Folge verweigerten ihnen die Arztpraxen die Behandlung.
Die Datenschutzkonferenz hat nun klargestellt, dass eine derartig bescheinigte Kenntnisnahme nicht zwingend erforderlich ist, um die Behandlung aufzunehmen und damit die Daten der Patienten zu verarbeiten. „Die Informationspflicht […]“ – so das Papier – „bezweckt lediglich, dass der Patientin bzw. dem Patienten die Gelegenheit gegeben wird, die entsprechenden Informationen einfach und ohne Umwege zu erhalten. Sie oder er muss diese jedoch nicht zur Kenntnis nehmen, wenn sie oder er dies nicht möchte.“
Im Ergebnis bedeutet dies eine Erleichterung gerade für kleinere Betriebe wie etwa Arzt- oder Therapiepraxen. Sichergestellt werden muss also „nur“, dass die Informationen den Betroffenen zugänglich sind und sich diese bei Interesse einfach informieren können. Hat der Betroffene sowieso kein Interesse daran, alle Informationen genau zu studieren, soll dies also nicht zum Nachteil des Verantwortlichen sein. Er kann die Daten weiterhin verarbeiten, sofern die Möglichkeit der Kenntnisnahme gewahrt bleibt.
Facebook-Seiten
Im Rahmen des selben Treffens der Datenschutzaufsichtsbehörden wurden neue Bedenken hinsichtlich des Betriebs von Facebook-Seiten (sog. „Fanpages“) laut. Wie der Rechtsanwalt Dr. Thomas Schwenke in einem Blogbeitrag nun berichtet, hat Facebook jedoch schnell reagiert und ein sog. „Page Controller Addendum“ veröffentlicht. Darin soll klar geregelt werden, welche datenschutzrechtlichen Pflichten von Facebook wahrgenommen werden und welche vom Betreiber der Fanpage. Der Blogbeitrag zählt ausführlich auf, welche Probleme damit entschärft werden und welche Schritte Seitenbetreiber unternehmen sollten, um Ärger mit Betroffenen oder den Datenschutzbehörden zu vermeiden.
Zusammenfassend sollten durch diese neue Vereinbarung die größten Probleme beseitigt werden. Nach wie vor ungeklärt ist jedoch, ob die Verarbeitung der Daten im Rahmen der „Insights“ (Analysewerkzeuge, mit denen die Besuche der Seite untersucht und aufgeschlüsselt werden können, etwa nach Herkunft und Interessengebieten der Nutzer) allgemein rechtmäßig ist. Nur dann wäre der Betrieb einer Facebook-Fanpage überhaupt mit der DSGVO vereinbar. Wer auf Nummer Sicher gehen will, wartet also besser noch die diesbezüglich laufenden Gerichtsverfahren ab.