DSGVO und Sterbefallakten: Was Bestatter beim Datenschutz beachten muessen

Die Fachanwaelte von Dr. Datenschutz (intersoft consulting) haben eine fundierte Analyse zur Frage veroeffentlicht, ob und wie die DSGVO auf Daten Verstorbener anwendbar ist. Die Ergebnisse betreffen Bestattungsunternehmen unmittelbar: Als Schnittstelle zwischen Verstorbenen, Angehoerigen und Behoerden verarbeiten Bestatter taeglich hochsensible personenbezogene Daten. Wir ordnen ein, welche rechtlichen Pflichten daraus entstehen.

Primaerquelle: Dr. Datenschutz (intersoft consulting) – „Datenschutz nach dem Tod: DSGVO-Rechte fuer Verstorbene?“

Die Kernthesen des Fachartikels

Dr. Datenschutz arbeitet drei zentrale Aspekte heraus:

• Erwaegungsgrund 27 der DSGVO nimmt Daten Verstorbener explizit vom Anwendungsbereich der Verordnung aus. Verstorbene sind keine „natuerlichen Personen“ im Sinne der DSGVO und geniessen daher keinen direkten datenschutzrechtlichen Schutz.
• Oeffnungsklausel ungenutzt: Die DSGVO erlaubt den EU-Mitgliedstaaten, nationale Regelungen zum Schutz personenbezogener Daten Verstorbener zu erlassen. Deutschland hat von dieser Oeffnungsklausel bisher keinen Gebrauch gemacht – anders als beispielsweise Frankreich oder Italien.
• Rechtliche Grauzone: Bestatter, die Daten Verstorbener an Dritte – etwa Adressbroker oder Dienstleister – weitergeben, bewegen sich nach Ansicht einiger Datenschutzbehoerden dennoch in einer rechtlichen Grauzone, da die Daten haeufig auch lebende Angehoerige betreffen.

Unsere Einordnung: Wir bestaetigen und ergaenzen

Die juristische Analyse von Dr. Datenschutz ist praezise und zutreffend. Wir bestaetigen die dargestellte Rechtslage und moechten sie um eine fuer Bestattungsunternehmen wesentliche Dimension ergaenzen: Der Schutz personenbezogener Daten im Bestattungswesen betrifft nicht nur Verstorbene, sondern vor allem Lebende.

Eine typische Sterbefallakte enthaelt personenbezogene Daten zahlreicher lebender Personen: Ehepartner, Kinder, Auftraggeber der Bestattung, Kontaktpersonen fuer die Trauerfeier. Diese Daten unterliegen dem vollen Schutz der DSGVO – unabhaengig davon, ob die Daten des Verstorbenen selbst geschuetzt sind oder nicht.

Hinzu kommt ein Aspekt, den wir aus Sicht der Branchenethik besonders hervorheben moechten: Unabhaengig von der Rechtslage gebietet die berufliche Pietaet, mit den Daten Verstorbener ebenso sorgsam umzugehen wie mit den Daten Lebender. Das Vertrauen, das Angehoerige einem Bestattungsunternehmen entgegenbringen, erstreckt sich selbstverstaendlich auch auf den verantwortungsvollen Umgang mit allen ueberlassenen Informationen.

Praxistipps fuer Bestattungsunternehmen

1. Verarbeitungsverzeichnis fuehren

Bestattungsunternehmen sind als verantwortliche Stellen im Sinne der DSGVO verpflichtet, ein Verzeichnis der Verarbeitungstaetigkeiten zu fuehren (Art. 30 DSGVO). Dokumentieren Sie, welche personenbezogenen Daten Sie zu welchem Zweck verarbeiten, an wen Sie sie weitergeben und wie lange Sie sie aufbewahren. Dies betrifft Daten von Angehoerigen, Auftraggebern und Geschaeftspartnern.

2. Aufbewahrungsfristen definieren

Sterbefallakten enthalten personenbezogene Daten, die nicht unbegrenzt aufbewahrt werden duerfen. Definieren Sie klare Aufbewahrungsfristen, die sich an den gesetzlichen Anforderungen orientieren – etwa den steuerrechtlichen Aufbewahrungspflichten von zehn Jahren fuer Rechnungen und Vertraege. Nach Ablauf der Fristen muessen die Daten sicher geloescht oder vernichtet werden.

3. Auftragsverarbeitung vertraglich regeln

Wenn Sie Dienstleister einsetzen, die Zugang zu personenbezogenen Daten haben – etwa IT-Dienstleister, Softwareanbieter oder Cloud-Speicher – benoetigen Sie einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Dies gilt auch fuer Bestattersoftware, die Daten in der Cloud speichert.

4. Keine Datenweitergabe an Adressbroker

Die im Fachartikel angesprochene Weitergabe von Daten an Adressbroker ist – unabhaengig von der rechtlichen Bewertung fuer Verstorbenendaten – aus unserer Sicht inakzeptabel. Angehoerige vertrauen Ihnen sensible Informationen an, um eine wuerdevolle Bestattung zu ermoeglichen – nicht, damit diese Daten kommerziell verwertet werden. Schon die Daten der lebenden Angehoerigen duerfen ohne ausdrueckliche Einwilligung nicht fuer Werbezwecke genutzt werden.

5. Digitale Systeme DSGVO-konform einrichten

Wenn Sie digitale Werkzeuge zur Fallverwaltung einsetzen, achten Sie auf DSGVO-Konformitaet: Server innerhalb der EU, Verschluesselung der Daten bei Uebertragung und Speicherung, Zugriffskontrollen und regelmaessige Sicherheitsupdates. Dokumentieren Sie die technischen und organisatorischen Massnahmen (TOMs) gemaess Art. 32 DSGVO.

6. Mitarbeiter sensibilisieren

Der sorgsamste Datenschutz nuetzt wenig, wenn Mitarbeiter nicht entsprechend geschult sind. Fuehren Sie regelmaessige Datenschutzschulungen durch – idealerweise einmal jaehrlich. Sensibilisieren Sie Ihr Team dafuer, dass bereits ein unverschlossener Schreibtisch mit Sterbefallakten einen Datenschutzverstoss darstellen kann.

Fazit: Datenschutz ist Vertrauensschutz

Die Analyse von Dr. Datenschutz zeigt eine juristische Luecke auf, die der deutsche Gesetzgeber bisher nicht geschlossen hat. Fuer verantwortungsbewusste Bestattungsunternehmen aendert das wenig an der Praxis: Der sorgsame Umgang mit allen personenbezogenen Daten – ob von Verstorbenen oder Lebenden – ist nicht nur eine rechtliche Pflicht, sondern Ausdruck beruflicher Integritaet und Grundlage des Vertrauens, das Angehoerige Ihnen entgegenbringen.

AIxion Systems entwickelt digitale Loesungen fuer Bestattungsunternehmen, die Datenschutz von Grund auf mitdenken: DSGVO-konforme Datenhaltung, verschluesselte Kommunikation und transparente Verarbeitungsprozesse. Wenn Sie Ihre digitale Infrastruktur auf ein sicheres Fundament stellen moechten, stehen wir Ihnen zur Seite.