Datenschutz im Bestattungsunternehmen: was für Verstorbene gilt und was für Angehörige

Daten Verstorbener: die DSGVO gilt nicht, andere Regeln schon

Die Datenschutz-Grundverordnung schützt natürliche Personen. Erwägungsgrund 27 der DSGVO sagt ausdrücklich, dass die Verordnung nicht für die Daten Verstorbener gilt, und überlässt eigene Vorschriften den Mitgliedstaaten. Name, Geburtsdatum, Todesursache und Konfession der verstorbenen Person fallen also nicht unter die DSGVO.

Frei sind diese Daten trotzdem nicht. Das postmortale Persönlichkeitsrecht schützt Ehre und Andenken über den Tod hinaus; das Personenstandsrecht und die Bestattungsgesetze der Länder bestimmen, welche Angaben an wen gemeldet werden. Und der Name der verstorbenen Person ist der Schlüssel zu den Lebenden: Wer weiß, wer gestorben ist, findet Witwe und Kinder. Deshalb behandelt die Praxis Daten Verstorbener wie geschützte Daten.

Gedenkseiten sind der Sonderfall: Die DSGVO greift dort wegen der Lebenden, also der Namen der Angehörigen in der Anzeige, der Kondolenzeinträge mit Absender und der Fotos mit Familienmitgliedern. Freigabe und Widerruf beschreibt der Ratgeber Gedenkseite als Angebot des Bestattungshauses.

Daten der Angehörigen: Rechtsgrundlage und Information

Auftraggeber, Ehepartner, Kinder, Kostenträger, Kondolenzschreiber: Das sind lebende Menschen, für deren Daten die DSGVO ohne Abstriche gilt. Die wichtigste Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 Buchst. b): Sie dürfen verarbeiten, was zur Erfüllung des Bestattungsauftrags nötig ist, dazu gehören die Sterbefallanzeige beim Standesamt und die Abmeldungen, die Sie für die Familie übernehmen. Für Daten, die Sie aufgrund eigener gesetzlicher Pflichten verarbeiten, etwa Name und Anschrift des Auftraggebers auf der Rechnung nach § 14 UStG und deren Aufbewahrung nach § 147 AO, kommt die rechtliche Verpflichtung hinzu (Buchst. c).

Mit der Erhebung entsteht die Informationspflicht aus Art. 13 DSGVO: Die Angehörigen müssen erfahren, wer verantwortlich ist, wofür die Daten verwendet werden, wer sie bekommt und wie lange sie bleiben. Im Trauergespräch leistet das ein Datenschutzhinweis zum Bestattungsauftrag; Website, Kundenportal und Gedenkseite brauchen eine erreichbare Datenschutzerklärung. Ein eingebetteter Kostenrechner muss sie selbst anzeigen, denn der Besucher sieht dort das Impressum der umgebenden Seite nicht.

Besondere Kategorien nach Art. 9 DSGVO, etwa die Konfession der Angehörigen oder Gesundheitsangaben aus Vorsorgegesprächen, erheben Sie nur, wenn der Auftrag sie braucht, und begrenzen im Team, wer sie sieht.

Auftragsverarbeitung: der Vertrag mit dem Softwareanbieter

Sobald Ihre Fallakten bei einem Anbieter im Browser liegen, verarbeitet er die Daten in Ihrem Auftrag. Verantwortlich bleibt Ihr Haus; der Anbieter ist Auftragsverarbeiter. Art. 28 Abs. 3 DSGVO verlangt dafür einen Vertrag mit festgelegtem Inhalt. Fehlt er, trifft der Vorwurf zuerst das Haus, das die Daten weitergegeben hat.

• Gegenstand, Dauer, Zweck, Datenarten und Betroffene sind benannt (Art. 28 Abs. 3 Satz 1).
• Verarbeitung nur auf dokumentierte Weisung (Buchst. a); Vertraulichkeit der Mitarbeitenden (Buchst. b).
• Technische und organisatorische Maßnahmen nach Art. 32 sind beschrieben, nicht nur versprochen (Buchst. c).
• Weitere Auftragsverarbeiter sind genannt, und Sie werden über Wechsel informiert (Buchst. d mit Abs. 2 und 4).
• Unterstützung bei Auskunfts- und Löschersuchen (Buchst. e); Löschung oder Rückgabe nach Vertragsende (Buchst. g); Prüfrecht (Buchst. h).

Fragen Sie außerdem, wo die Datenbank steht und welche Dienste für E-Mail-Versand, Zahlungen oder Push-Benachrichtigungen beteiligt sind; jeder davon gehört in die Liste. Mehr dazu im Ratgeber Bestattersoftware in der Cloud.

Aufbewahren und Löschen: § 147 AO gegen Art. 17 DSGVO

Zwei Pflichten laufen gegeneinander. Das Steuerrecht verlangt, Bücher, Buchungsbelege und Geschäftsbriefe aufzubewahren (§ 147 Abs. 1 AO). Die Fristen in § 147 Abs. 3 AO sind gestaffelt: zehn Jahre für Bücher, Inventare und Jahresabschlüsse, acht Jahre für Buchungsbelege, sechs Jahre für Geschäftsbriefe und sonstige Unterlagen. § 257 Abs. 4 HGB nennt für Kaufleute dieselben Werte, § 14b UStG acht Jahre für das Doppel jeder Rechnung. Die Frist für Buchungsbelege wurde zuletzt von zehn auf acht Jahre verkürzt; prüfen Sie, mit welchem Wert Ihre Software rechnet, und stimmen Sie ihn mit Ihrer Steuerberatung ab. Die DSGVO verlangt umgekehrt, Daten nicht länger zu speichern, als der Zweck es erfordert (Art. 5 Abs. 1 Buchst. e), und auf Verlangen zu löschen (Art. 17).

Die Auflösung steht in Art. 17 Abs. 3 Buchst. b: Das Löschrecht endet, wo eine Aufbewahrungspflicht beginnt. Eine Rechnung bleibt, solange § 147 AO es verlangt, auch wenn der Auftraggeber die Löschung wünscht. Nach Fristablauf kehrt sich das um: Die Frist ist der früheste Löschzeitpunkt, und wer weiter aufbewahrt, braucht einen Grund. Sie beginnt nach § 147 Abs. 4 AO mit dem Schluss des Kalenderjahres, nicht am Rechnungstag; eine Rechnung vom Februar ist erst am 1. Januar nach Ablauf der Jahre löschreif, und wer tagesgenau rechnet, löscht bis zu elf Monate zu früh. Portalzugänge, Nachrichten an die Familie und Kondolenzen unterliegen keiner Aufbewahrungspflicht; für sie entfällt der Zweck mit dem Abschluss des Falls.

Ein Löschkonzept ordnet jeder Datenart Frist, Rechtsgrundlage und Maßnahme zu. Die Maßnahme ist nicht immer „löschen": Eine Rechnung ganz zu entfernen, reißt ein Loch in die Nummernfolge. Sie wird deshalb anonymisiert: Nummer, Datum, Beträge und Steuersätze bleiben, die Namen verschwinden. Anonym ist sie erst, wenn kein Personenbezug mehr herstellbar ist; wer „Bestattung von Herrn M., Musterweg 1" stehen lässt, hat pseudonymisiert. Dasselbe gilt für Terminorte: Eine Wohnanschrift mit Datum verrät die Familie so sicher wie ein Name.

Rechte der Angehörigen und wie das Haus sie umsetzt

Angehörige, Auftraggeber und Vorsorgekunden haben die Rechte der Art. 15 bis 21 DSGVO: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch. Dazu kommt der Widerruf einer Einwilligung nach Art. 7 Abs. 3, etwa für Fotos auf der Gedenkseite. Verstorbene haben diese Rechte nicht; ein lebender Vorsorgekunde hat sie alle.

Das Auskunftsrecht nach Art. 15 ist das anspruchsvollste: Der Betroffene bekommt eine Kopie seiner Daten (Abs. 3) und die acht Angaben aus Abs. 1, darunter Zwecke, Empfänger und Speicherdauer. Die Antwort muss nach Art. 12 Abs. 3 spätestens innerhalb eines Monats kommen; eine Verlängerung um zwei Monate ist nur möglich, wenn Sie den Betroffenen innerhalb des ersten Monats über die Gründe informieren. Eine Übersicht gibt der Bundesbeauftragte unter Betroffenenrechte: Auskunftsrecht.

1. Eingang notieren und die Monatsfrist ab diesem Tag berechnen.
2. Identität des Anfragenden prüfen; eine Auskunft an die falsche Person ist eine Datenpanne.
3. Zusammenstellen, was in Akte, Portal und Dokumenten über diese Person steht, nicht über die verstorbene Person.
4. Bei Löschwünschen prüfen, ob eine Aufbewahrungspflicht entgegensteht; dann die Löschung mit Verweis auf Art. 17 Abs. 3 Buchst. b ablehnen, die Daten für alle anderen Zwecke sperren und den Zeitpunkt der Löschreife notieren. Ein Löschhindernis wegen Rechtsstreit oder Betriebsprüfung braucht einen dokumentierten Grund.
5. Antwort schriftlich, Kopie und Datum zur Akte.

Was eine Bestattersoftware dafür mitbringen muss

Die Pflichten treffen das Haus, nicht den Anbieter. Ohne Werkzeuge sind sie im Alltag aber nicht zu erfüllen: Niemand rechnet für hunderte Fälle Fristen von Hand aus. Prüfen Sie deshalb:

• Trennung der Häuser in der Datenbank, nicht nur in der Oberfläche; Angehörige sehen nur ihren eigenen Fall.
• Zweiter Faktor bei der Anmeldung für alle, die in Akten arbeiten; Protokoll schreibender Aktionen, das sich nicht ändern lässt.
• Löschkonzept mit Fristberechnung ab Jahresende, Löschhindernis mit Pflichtbegründung und Löschprotokoll: was, wann, durch wen, auf welcher Grundlage.
• Anonymisierung für Belege statt Löschung; Dateien im Speicher werden mit entfernt, nicht nur ihr Verweis.
• Portalzugänge, die je Fall vergeben, widerrufen und befristet werden können.
• Impressum und Datenschutzerklärung als Voraussetzung jeder öffentlichen Fläche: Gedenkseite, Kostenrechner, Anfrageformular.
• Vollständiger Export durch den Inhaber ohne Antrag beim Anbieter; Auftragsverarbeitungsvertrag mit Liste der weiteren Auftragsverarbeiter vor der ersten Eingabe.

Weitere Auswahlfragen, etwa zu Laufzeit und Ausstieg, stehen im Ratgeber Bestattersoftware auswählen.

So ist es bei Revean

Jedes Bestattungshaus ist bis auf Datenbankebene von den anderen getrennt: Jede Tabelle mit Hausbezug prüft Rolle und Haus des Anfragenden in der Datenbank selbst, ein automatischer Test weist das je Tabelle nach. Interne Rollen melden sich mit zweitem Faktor an. Jede schreibende Aktion steht in einem Protokoll, das nachträglich nicht geändert werden kann. Angehörige sehen im Portal nur ihren eigenen Fall. Ein Zugang gilt zwölf Monate ab der Einladung und kann verlängert oder jederzeit widerrufen werden; die Frist prüft die Datenbank, nicht nur die Oberfläche. Wird ein abgelaufener Zugang wieder eingeschaltet, laufen erneut zwölf Monate. Zugänge, die vor Einführung der Frist vergeben wurden, bleiben unbefristet, bis das Haus sie neu setzt.

Die Fristen, mit denen Revean derzeit rechnet, stehen als Konstanten im Code und werden hier unverändert angezeigt. Sie sind der früheste Zeitpunkt, an dem ein Fall in der Löschreife-Liste erscheint und anonymisiert werden kann, keine Rechtsauskunft. Für Rechnungen und Zahlungen steht die Konstante auf zehn Jahren, also zwei Jahre über den acht Jahren, die § 147 Abs. 3 AO und § 14b UStG heute für Buchungsbelege und Rechnungsdoppel nennen; vor Ablauf der zehn Jahre lässt die Datenbank keine Anonymisierung zu. Ob und wie der Wert angepasst wird, ist eine offene fachliche Prüfung; besprechen Sie die Werte mit Ihrer Steuerberatung.

Öffentliche Flächen verlangen Rechtstexte, bevor sie erreichbar sind: Eine Gedenkseite lässt sich erst veröffentlichen, wenn Impressum und Datenschutzerklärung hinterlegt sind, und der Kostenrechner nimmt Anfragen mit Name und Kontaktdaten erst an, wenn die Datenschutzerklärung des Hauses hinterlegt ist; beides prüft die Datenbank, damit es sich nicht über die Oberfläche umgehen lässt. Für Vorsorgekunden stellt Revean die Auskunft nach Art. 15 mit Datenkopie und den Angaben aus Abs. 1 zusammen, soweit sie im System stehen; Identität prüft, Empfänger ergänzt und Auskunft erteilt das Haus. Dokumente liegen je Haus getrennt in einem privaten Speicher und werden nur über kurzlebige, signierte Adressen ausgeliefert. Der Inhaber exportiert jederzeit alle Tabellen als CSV-Dateien. Nicht belegt und deshalb nicht behauptet: eine Zertifizierung nach ISO 27001 oder C5, ein externer Penetrationstest und ein Wiederherstellungstest der Sicherungen.

Häufige Fragen