In Ihrem Kontaktformular stehen Gesundheitsdaten, bevor Sie den Menschen kennen.

Was steht in einer Anfrage, bevor Sie zurückrufen?

Mehr, als Sie in diesem Moment brauchen. Name und Telefonnummer sind gewöhnliche personenbezogene Daten. Der Satz im Freitextfeld darunter ist meistens etwas anderes.

Menschen, die ihren Führerschein zurückwollen, schreiben in dieses Feld ihre Geschichte. Was im Bescheid steht. Seit wann sie nichts mehr trinken. Welches Medikament der Hausarzt abgesetzt hat. Sie tun das nicht aus Unvorsicht. Sie glauben, dass es hilft, und oft haben sie damit recht.

Artikel 4 Nummer 15 der Datenschutz-Grundverordnung nennt Gesundheitsdaten „personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen“. Ein Satz über den eigenen Alkoholkonsum fällt darunter. Er steht in Ihrem Postfach, bevor Sie den Menschen kennen.

Warum reicht ein berechtigtes Interesse hier nicht?

Weil Artikel 9 Absatz 1 DSGVO ein Verbot ausspricht und keine Abwägung eröffnet. Die Verarbeitung von Gesundheitsdaten ist danach untersagt. Das Verbot fällt erst weg, wenn einer der Fälle aus Absatz 2 vorliegt.

Für gewöhnliche Daten genügt Artikel 6. Eine Anfrage vor einem Vertrag ist dort gut aufgehoben. Artikel 9 Absatz 2 kennt diesen Weg aber nicht. Ein berechtigtes Interesse steht dort nicht, eine vorvertragliche Maßnahme auch nicht.

An erster Stelle steht dort die Einwilligung. Nach Artikel 9 Absatz 2 Buchstabe a DSGVO ist das Verbot aufgehoben, wenn die betroffene Person „in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt“ hat.

Absatz 2 hat weitere Buchstaben, und einer davon betrifft die Gesundheitsvorsorge. Ob eine MPU-Vorbereitung unter die dort genannten Zwecke fällt, ergibt sich aus dem Wortlaut nicht. Dieser Beitrag entscheidet es deshalb nicht. Wer sich darauf stützen möchte, sollte sich die Begründung von seinem Datenschutzbeauftragten aufschreiben lassen, bevor das Formular online geht.

Was heißt „ausdrücklich“?

Mehr, als für eine gewöhnliche Einwilligung genügt. Artikel 4 Nummer 11 DSGVO beschreibt die Einwilligung schon im Grundfall als „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung“. Das Wort ausdrücklich in Artikel 9 legt darauf noch etwas drauf.

Praktisch heißt das zweierlei. Ein vorangekreuztes Kästchen ist keine bestätigende Handlung. Ein leeres Kästchen, das jemand selbst anklickt, ist eine.

Dazu kommt Artikel 7 Absatz 2 DSGVO. Steht die Einwilligung in einer Erklärung, die auch andere Sachverhalte betrifft, muss die Anfrage „in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist“. Ein Kästchen für Datenschutzerklärung und Gesundheitsdaten zusammen erfüllt das nicht.

Zwei weitere Absätze derselben Vorschrift werden gern übersehen. Nach Absatz 1 müssen Sie nachweisen können, dass eingewilligt wurde. Nach Absatz 3 kann jede Person jederzeit widerrufen, und der Widerruf muss so einfach sein wie die Erteilung. Wer die Einwilligung per Klick einholt, kann den Widerruf schlecht an ein Einschreiben binden.

Was ändert das an Ihrem Formular?

Es sind fünf Handgriffe. Sie haben eine Reihenfolge, und der erste bringt am meisten.

1. Beschriften Sie das Freitextfeld anders. Über „Ihr Anliegen“ schreibt jemand alles. Über „Worum geht es? Bitte nur in Stichworten, alles Weitere besprechen wir am Telefon“ schreibt er weniger.
2. Streichen Sie Pflichtfelder. Für einen Rückruf brauchen Sie einen Namen und eine Erreichbarkeit. Geburtsdatum und Aktenzeichen können warten, bis Sie miteinander gesprochen haben.
3. Geben Sie der Einwilligung ein eigenes Kästchen. Mit einem eigenen Satz, der die Gesundheitsdaten beim Namen nennt. Es steht für sich, getrennt von der Datenschutzerklärung und von den Bedingungen.
4. Speichern Sie mit, was angekreuzt wurde. Den Wortlaut des Satzes und den Zeitpunkt. Das ist der Nachweis aus Artikel 7 Absatz 1, und er lässt sich später nicht nachbauen.
5. Sorgen Sie dafür, dass die Anfrage in der Akte landet. Ein Postfach auf einem Telefon, das abends mit nach Hause geht, ist der falsche Ort dafür.

Ein Formular kann trotzdem niemanden davon abhalten, die ganze Geschichte hineinzuschreiben. Diese Handgriffe verringern, was Sie ungefragt bekommen. Ganz aufhören wird es nicht.

Und was ist mit dem Anlass des Entzugs?

Da wird es genauer, als viele Formulierungshilfen zugeben. Artikel 10 DSGVO betrifft „personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln“. Eine Trunkenheitsfahrt nach dem Strafgesetzbuch fällt darunter.

Ein Punktestand oder ein Bußgeldbescheid ist keine Straftat. Ob eine Ordnungswidrigkeit trotzdem unter Artikel 10 fällt, sagt der Wortlaut nicht. Eine glatte Antwort darauf gibt dieser Beitrag deshalb auch nicht.

Für Ihr Formular macht das wenig Unterschied. Sobald jemand seinen Alkohol- oder Medikamentenkonsum erwähnt, greift ohnehin Artikel 9. Für Ihr Verzeichnis der Verarbeitungstätigkeiten macht es einen, denn dort gehört beides sauber getrennt hinein.

Und wenn die Anfrage per Telefon oder Messenger kommt?

Dann gilt dasselbe. Artikel 9 fragt nicht danach, durch welche Leitung die Angabe gekommen ist. Er fragt, was verarbeitet wird.

Am Telefon schreiben Sie mit, und damit entsteht dieselbe Akte wie über das Formular. Bei einer Nachricht über einen fremden Dienst liegen dieselben Angaben zusätzlich auf einem fremden Server. Ob Sie einen bestimmten Messenger dafür einsetzen dürfen, hängt an dessen Vertrag und an dessen Serverstandorten. Diese Prüfung nimmt Ihnen dieser Beitrag nicht ab.

Was passiert mit einer Anfrage, aus der nichts wird?

Sie bleibt liegen, solange niemand sie wegräumt. Alte Anfragen in einem Postfach fallen von selbst niemandem auf. Nach Artikel 5 Absatz 1 Buchstabe e DSGVO dürfen personenbezogene Daten nur so lange in einer Form gespeichert werden, die eine Identifizierung erlaubt, wie es für die Zwecke erforderlich ist.

Eine Zahl steht dort nicht. Sie legen die Dauer selbst fest und müssen sie begründen können. Für eine Anfrage ohne Mandat ist diese Begründung kurz, weil der Zweck mit dem ausgebliebenen Erstgespräch endet.

Kommt ein Widerruf, endet die Erlaubnis für die Zukunft. Was vorher rechtmäßig verarbeitet wurde, bleibt rechtmäßig. Das steht in Artikel 7 Absatz 3 Satz 2, und es beruhigt mehr Mandanten, als man denkt.

Wo die Anfrage danach liegt.

Führen Sie die Akten in einer Software, verarbeitet deren Anbieter Ihre Mandantendaten in Ihrem Auftrag. Dafür brauchen Sie einen Vertrag nach Artikel 28 DSGVO. Unseren können Sie unter Auftragsverarbeitung lesen, bevor Sie mit uns sprechen.

Verantwortlich bleiben Sie. Die Einwilligung holen Sie ein, und den Nachweis führen Sie. Auch die Frage, ob Ihr Betrieb einen Datenschutzbeauftragten benennen muss, beantworten Sie selbst. Warum sie bei einer MPU-Beratung schwerer wiegt, steht unter Die Zahl zwanzig ist nur die halbe Antwort.

Bleibt die Frage, was eine Anfrage überhaupt kosten darf. Dazu steht die Rechnung vor der ersten Anzeige bereit. Was das Dashboard mit einer Anfrage macht, steht auf der Produktseite.