Neues Datenschutzrecht und Berufsverschwiegenheit – Auf welche Ausnahmeregelungen WP/vBP achten müssen

Pflicht zur Information des Betroffenen

Regelung
Nach dem neuem Datenschutzrecht hat der für die Datenverarbeitung Verantwortliche die von der Datenerhebung betroffene Person auch dann umfassend unter anderem über den Zweck der Datenverarbeitung sowie zu den Empfängern der Daten zu informieren, wenn die Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 Abs. 1 bis 4 DSGVO). Dies würde die berufliche Schweigepflicht durchbrechen, da die Informationspflicht in der Regel nicht gegenüber dem Mandanten, sondern gegenüber Dritten (Arbeitnehmern, Kunden des Mandanten) bestünde.

Ausnahme
Diesen Konflikt mit schützenswerten Rechten insbesondere der Träger Freier Berufe hat der Verordnungsgeber selbst gesehen und eine Ausnahmeregelung für den Fall aufgenommen, dass die erhobenen Daten gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten einer gesetzlichen Schweigepflicht unterliegen (Art. 14 Abs. 5 Buchstabe d DSGVO).

§ 29 Abs. 1 Satz 1 BDSG-neu ergänzt diese Ausnahme auf der Basis von Art. 23 Abs. 1 DSGVO in Bezug auf Informationen, die „ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen“.

Auskunftsrecht des Betroffenen

Regelung
Der von der Datenerhebung Betroffene hat unabhängig davon, bei wem die Daten erhoben wurden, das Recht, von dem für die Datenverarbeitung Verantwortlichen umfassende Auskünfte zu verlangen, unter anderem zum Zweck der Verarbeitung seiner Daten sowie zu Empfängern, gegenüber denen diese Daten offen gelegt werden (Art. 15 Abs. 1 DSGVO). Eine Bereichsausnahme für Berufsgeheimnisträger unmittelbar auf Ebene der DSGVO existiert für den Anwendungsbereich des Art. 15 – anders als bei Art. 14 – unverständlicherweise nicht.

Ausnahme
Daher trifft § 29 Abs. 1 Satz 2 BDSG-neu insoweit eine Ausnahmeregelung. Danach besteht das Auskunftsrecht nicht, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift (zum Beispiel berufsrechtliche Verschwiegenheitspflicht) oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen.

Ein Auskunftsrecht nach Art. 15 DSGVO besteht demnach nicht, wenn die Daten der betroffenen Person bei einer anderen Person (Mandant) erhoben wurden und eine Auskunft an den Betroffenen (zum Beispiel Arbeitnehmer, Kunde des Mandanten) nach der genannten Vorschrift eine Durchbrechung der Verschwiegenheit darstellen würde.

Die in § 29 Abs. 1 Satz 2 BDSG-neu geregelte Ausnahme zum Auskunftsrecht nach Art. 15 DSGVO verhält sich daher spiegelbildlich zur Ausnahme von der Informationspflicht gemäß Art. 14 Abs. 5 DSGVO.

Benachrichtigung der Betroffenen bei Datenpannen

Regelung
Der Verantwortliche hat die Betroffenen unverzüglich von einer Verletzung des Schutzes ihrer personenbezogenen Daten zu benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten dieser Personen zur Folge hat (Art. 34 Abs. 1 DSGVO).

Ausnahmen
Die Benachrichtigung der Betroffenen ist nach Art. 34 Abs. 3 DSGVO nicht erforderlich, wenn

• die Daten durch geeignete technisch-organisatorische Maßnahmen (zum Beispiel Verschlüsselung) vor unbefugter Kenntnisnahme geschützt sind (Buchstabe a),
• durch geeignete nachlaufende Maßnahmen sichergestellt ist, dass das in Absatz 1 genannte hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht (Buchstabe b) oder
• eine individuelle Benachrichtigung unzumutbar ist (Buchstabe c), allerdings schreibt die DSGVO in diesem Fall eine öffentliche Bekanntmachung oder eine vergleichbare Maßnahme vor.

Zusätzlich zu diesen Fällen schließt § 29 Abs. 1 Satz 3 BDSG-neu die Benachrichtigungspflicht auch dann aus, soweit durch die Benachrichtigung Informationen offenbart würden, die nach einer Rechtsvorschrift (zum Beispiel berufsrechtliche Verschwiegenheitspflicht) oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen. Die betroffene Person ist jedoch zu benachrichtigen, wenn ihre Interessen, insbesondere unter Berücksichtigung drohender Schäden, gegenüber dem Geheimhaltungsinteresse überwiegen (§ 29 Abs. 1 Satz 4 BDSG-neu).

Damit hat der deutsche Gesetzgeber hinsichtlich der Information betroffener Dritter zwar grundsätzlich einen Vorrang der beruflichen Verschwiegenheit geregelt. Der WP/vBP hat allerdings in allen Fällen eine Güterabwägung im Sinne von § 29 Abs. 1 Satz 4 BDSG-neu vorzunehmen, um beurteilen zu können, ob die Verschwiegenheitspflicht wegen überwiegender Interessen des betroffenen Dritten zurücktritt.

Weitere Informationspflichten gegenüber dem Betroffenen

Regelung
Von den Regelungen in § 29 Abs. 1 BDSG-neu werden ausdrücklich nur die Informationspflichten und Auskunftsrechte nach Art. 14, 15 und 34 DSGVO erfasst. Die Art. 13 ff. DSGVO enthalten jedoch weitere, spezielle Verarbeitungssituationen betreffende Informationspflichten des Verantwortlichen gegenüber der von der Datenverarbeitung betroffenen Person. Auch insoweit kann es zu Kollisionen mit der Schweigepflicht kommen.

Vorsicht: hier keine Ausnahmen
Da es an einer umfassenden Ausnahmeregelung fehlt, verbleiben folgende Lücken:

• Die Pflicht des Verantwortlichen, den Betroffenen, bei dem die Daten erhoben wurden, über Inhalt und Zweck der Datenverarbeitung zu informieren (Art. 13 Abs. 1 und 3 DSGVO), kann mit der Pflicht zur beruflichen Verschwiegenheit kollidieren, wenn personenbezogene Daten im Rahmen der Auftragsdurchführung nicht beim Mandanten, sondern in dessen Auftrag bei einem Dritten erhoben werden, soweit dieser selbst betroffene Person ist.
  Beispiel
  Der WP/vBP analysiert oder bewertet im Auftrag zum Beispiel eines Kaufinteressenten (Mandant) das Unternehmen eines Dritten und erhebt in diesem Rahmen Informationen zu den wirtschaftlichen Verhältnissen des Dritten bei diesem. Hier wäre der Dritte nicht Mandant, so dass eine Information über Inhalt und Zweck der (mandatsbezogenen) Verarbeitung der bei ihm erhobenen Daten mit der Schweigepflicht kollidieren kann.
• Der Verantwortliche ist auch im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung ihrer Verarbeitung verpflichtet, Betroffene auf Verlangen über die Identität von Personen, denen gegenüber personenbezogene Daten offengelegt wurden, zu unterrichten (Art. 19 Satz 2 DSGVO).
  Auch diese Informationspflicht kollidiert mit der Pflicht zur verschwiegenen Berufsausübung, wenn im Rahmen der Auftragsdurchführung personenbezogene Daten Dritter, zu denen kein Mandatsverhältnis besteht, erhoben werden. Letzteres ist im Rahmen der Berufsausübung des WP/vBP häufig der Fall (vgl. das oben genannte Beispiel oder die Erhebung personenbezogener Daten von Mitarbeitern oder Kunden des Mandanten bei diesem).
• Weiterhin hat der Verantwortliche zwingend schutzwürdige Gründe gegenüber einem Dritten nachzuweisen, welcher der Verarbeitung widerspricht und gegebenenfalls die Löschung seiner Daten verlangt (Art. 17 Abs. 1 Buchstabe c DSGVO), wenn der Verantwortliche die weitere Speicherung und Verarbeitung rechtfertigen will. Auch insoweit kann es zu einer Kollision mit der Verschwiegenheitspflicht kommen.
  Es ist offen, wie sich diese nicht von Ausnahmeregelungen erfassten Informationspflichten in der Praxis auswirken. Die WPK beobachtet die Entwicklung. Sollte es hier zu relevanten Beeinträchtigungen des Vertrauensverhältnisses zwischen WP/vBP und ihren Mandanten kommen, wird die WPK erneut an den Gesetzgeber herantreten und – wie bereits im Gesetzgebungsverfahren zum BDSG-neu geschehen – zusätzliche Ausnahmeregelungen einfordern.