DSGVO versus Gewährleistung Teil 3

Kommen wir zurück zum ursprünglichen Fall: Ein potenzieller Kunde kommt zu Ihnen, Sie führen eine Refraktion durch, doch es kommt nicht zum Auftrag. Zwei Wochen später erscheint die Person erneut und verlangt die Herausgabe der ermittelten Korrektionswerte.

Daraus ergeben sich mehrere Fragen:

• Müssen Refraktionsdaten gespeichert werden?
• Dürfen Refraktionsdaten gespeichert werden?
• In welchen Fällen empfiehlt es sich, Refraktionsdaten zu speichern, und auf welcher rechtlichen Grundlage ist dies zulässig?

Im ersten Teil der Artikelserie haben wir den Datenschutz beleuchtet. Im vorliegenden Fall sind insbesondere zwei Aspekte relevant:

• Kunden haben nach Artikel 15 DSGVO ein Recht auf Auskunft über ihre personenbezogenen Daten. Refraktionswerte zählen zu diesen personenbezogenen Daten.
• Artikel 5 DSGVO definiert die Grundprinzipien des Datenschutzes. Personenbezogene Daten müssen demnach rechtmäßig, transparent, zweckgebunden, datensparsam, korrekt und sicher verarbeitet werden. Zudem dürfen sie nur so lange gespeichert werden, wie es erforderlich ist.

Der Kunde fordert nun nach einiger Zeit die Herausgabe der ermittelten Werte. Naheliegend ist die Vermutung, dass er diese nutzen möchte, um bei einem anderen Augenoptiker oder – wahrscheinlicher – im Internet eine Brille anfertigen zu lassen.

Für die Richtigkeit der Werte haftet grundsätzlich auch der Augenoptiker, der die Daten zusammen mit dem Probanden ermittelt hat. Aus Gewährleistungsgründen kann es daher sinnvoll sein, die Werte zu speichern. Mit diesem Aspekt der Gewährleistung haben wir uns bereits in Teil 2 der Serie beschäftigt.

Doch was wiegt schwerer: Datenschutz oder Gewährleistung?

Zwei mögliche Vorgehensweisen

1. Keine Kundenkartei vor Vertragsabschluss anlegen
   Vor Abschluss eines Kauf- bzw. Werkvertrags kann auf die Anlage einer Kundenkartei verzichtet werden. Die Refraktionswerte können handschriftlich auf einem Blatt notiert werden. Kommt es nicht zum Auftrag, könnte dieses unmittelbar – idealerweise im Beisein des potenziellen Kunden – vernichtet werden. In diesem Fall werden keine personenbezogenen Daten gespeichert. Dieses Vorgehen entspricht dem Grundsatz der Datensparsamkeit nach der DSGVO. Ohne sachliche Grundlage für eine Datenspeicherung dürfen personenbezogene Daten nicht dauerhaft erfasst werden.
2. Speicherung bei vergüteter Refraktion
   Wird die Refraktion als eigenständige Leistung vergütet, empfiehlt es sich, den Kunden im System anzulegen und die ermittelten Werte zu dokumentieren. So kann sich der Augenoptiker auch im Hinblick auf mögliche Gewährleistungs- oder Haftungsansprüche absichern. Es ist also ähnlich zu verfahren, als sei es zu einem Brillenauftrag gekommen. Es gelten somit die gesetzlichen Aufbewahrungsfristen. Dies können sogar bis zu 10 Jahren nach analoger Anwendung von § 10 Abs. 3 Musterberufsordnung der Ärztinnen und Ärzte sein. 
   
   Das widerspricht nicht der DSGVO, denn die Datenschutz-Grundverordnung erlaubt die Speicherung in bestimmten Fällen.
   
   Nach Artikel 17 Abs. 3 b) DSGVO besteht kein Recht auf Löschung, wenn eine rechtliche Verpflichtung zur Speicherung vorliegt. Auch Artikel 6 Abs. 1 c) DSGVO erlaubt die Datenverarbeitung, wenn sie zur Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen erforderlich ist. Da Refraktionsdaten Gesundheitsdaten sind, greift Artikel 9 Abs. 2 h) DSGVO. Dieser erlaubt die Verarbeitung für Zwecke der Gesundheitsvorsorge auf Basis des nationalen Rechts (wie dem BGB oder MPDG).