Verstorbene in Kundenakten: Datenschutzregeln und Nachlasszugriff trennen

Die Datenschutz-Grundverordnung gilt nach Erwägungsgrund 27 grundsätzlich nicht für personenbezogene Daten Verstorbener. Dieser Ausschluss beantwortet aber noch nicht, ob eine Kundenakte geöffnet, an einen Angehörigen herausgegeben oder ein digitales Konto gelöscht werden darf. Dafür müssen die Daten Verstorbener von Angaben über lebende Personen und von anderen gesetzlichen oder vertraglichen Pflichten getrennt werden.

Dieser Beitrag ordnet die datenschutzrechtliche Kernfrage nach einem Todesfall ein. Im Mittelpunkt stehen Kundenakten, digitale Kontoinformationen, Nachlasszugriff, Geheimhaltung und die Prüfung gemischter Datenbestände. Wer erbberechtigt ist oder wie ein Nachlass abgewickelt wird, hängt von anderen Rechtsfragen und den konkreten Unterlagen ab.

Erwägungsgrund 27 DSGVO hält ausdrücklich fest, dass die Verordnung nicht für die personenbezogenen Daten Verstorbener gilt. Die Regel knüpft an die Zielrichtung der DSGVO an, natürliche lebende Personen bei der Verarbeitung ihrer personenbezogenen Daten zu schützen. Art. 4 Abs. 1 DSGVO definiert personenbezogene Daten als Informationen über eine identifizierte oder identifizierbare natürliche Person.

Aus dem Ausschluss folgt eine begrenzte Aussage: Die DSGVO ist für die Daten der verstorbenen Person grundsätzlich nicht die unmittelbare Anspruchsgrundlage. Erwägungsgrund 27 lässt zugleich zu, dass Mitgliedstaaten eigene Vorschriften für die Verarbeitung der Daten Verstorbener vorsehen. Der Todesfall kann daher weitere rechtliche Prüfungen auslösen, die außerhalb der DSGVO liegen.

Für die Praxis reicht der Hinweis „Die DSGVO gilt nicht mehr“ daher nicht aus. Vor jeder Herausgabe, Weiterverwendung oder Löschung ist zu klären, welche Information betroffen ist, wer sie verlangt, welchem Zweck die Handlung dient und ob eine nationale, vertragliche, berufliche oder sonstige Geheimhaltungsregel entgegensteht.

Eine Kundenakte kann nach dem Todesfall weiterhin zahlreiche Daten lebender Personen enthalten. Dazu gehören etwa Erben, Angehörige, Bevollmächtigte, Beschäftigte, Geschäftspartner, Kontaktpersonen oder Personen, die in Nachrichten und Anlagen erwähnt werden. Diese Angaben fallen weiterhin unter Art. 4 Abs. 1 DSGVO, wenn eine Person direkt oder indirekt identifizierbar ist.

Auch Angaben über die verstorbene Person können mittelbar etwas über eine lebende Person aussagen. Eine Nachricht kann familiäre Verhältnisse beschreiben, ein Kontozugriff kann die Identität eines Antragstellers betreffen und eine Vollmacht kann personenbezogene Informationen der bevollmächtigten Person enthalten. Der Todesfall beseitigt diesen eigenen Personenbezug nicht.

Bei einem Herausgabeverlangen muss die Akte deshalb in Datenkategorien aufgeteilt werden. Prüfen Sie, welche Angaben die verstorbene Person betreffen, welche Informationen lebende Personen betreffen und ob eine teilweise Bereitstellung oder Schwärzung erforderlich ist. Der Beitrag zum Auskunftsbegehren nach Art. 15 DSGVO behandelt den allgemeinen Umgang mit Identität, Suchumfang und Datenkopie für lebende betroffene Personen.

Kundenakten sind selten auf eine einzige Person beschränkt. Verträge, E-Mails, Gesprächsnotizen, Rechnungen, Identitätsnachweise und technische Protokolle können mehrere Personen und unterschiedliche Zwecke verbinden. Art. 5 DSGVO verlangt für Daten lebender Personen unter anderem Zweckbindung, Datenminimierung und eine dem Risiko angemessene Sicherheit.

Der Todesfall ist deshalb zunächst ein Anlass für eine neue Bestandsaufnahme. Er ist für sich genommen weder eine Rechtsgrundlage für die Weitergabe noch ein Grund, alle Informationen sofort zu löschen. Für jede Datenkategorie ist getrennt zu prüfen, ob sie noch für einen Zweck benötigt wird, wer zugreifen soll und welche Rechtsgrundlage nach Art. 6 DSGVO für die Verarbeitung lebender Personendaten trägt.

Besondere Vorsicht gilt bei Gesundheitsdaten, privaten Nachrichten, Zugangsinformationen und Daten Dritter. Eine technische Kopie der gesamten Akte kann mehr Informationen enthalten, als der angefragte Zweck erfordert. Die Einordnung von Anonymisierung und Pseudonymisierung hilft bei der Frage, ob eine Information tatsächlich ohne Personenbezug verwendet werden kann oder ob Zusatzwissen eine Zuordnung weiterhin ermöglicht.

Ein Antrag auf Zugriff kann aus einem Nachlassfall stammen, etwa wenn eine Person Unterlagen, Nachrichten oder digitale Kontoinformationen des Verstorbenen verlangt. Die datenschutzrechtliche Frage lautet dabei zunächst, ob die verlangten Informationen ausschließlich die verstorbene Person betreffen oder ob auch Daten lebender Personen und vertrauliche Angaben anderer Betroffener enthalten sind.

Wer Zugriff erhält, ergibt sich nicht allein aus der Bezeichnung als Angehöriger oder Erbe. Dafür können Nachweise, Vollmachten, Vertragsbedingungen, berufliche Verschwiegenheit, gesetzliche Geheimhaltung und weitere nationale Vorschriften maßgeblich sein. Der vorliegende Beitrag entscheidet keine Erbberechtigung und ersetzt keine Nachlassabwicklung. Er zeigt die datenschutzrechtlichen Prüfpunkte, die vor einer Herausgabe geordnet werden sollten.

Bei digitalen Konten kommt die technische und vertragliche Ebene hinzu. Konto, Gerätezugang, Nachrichtenarchiv und gespeicherte Inhalte können unterschiedlichen Regeln folgen. Prüfen Sie deshalb, welche konkrete Handlung gewünscht ist: Auskunft, Kopie, Übertragung, Sperre, Löschung oder Zugang zu einem Dienst. Jede Handlung braucht eine eigene Grundlage und eine Begrenzung auf den erforderlichen Umfang.

Der Ausschluss der Daten Verstorbener aus der DSGVO bedeutet auch nicht, dass eine Kundenakte ohne weitere Prüfung gelöscht werden muss. Vertragliche Pflichten, berufliche Verschwiegenheit, gesetzliche Dokumentations- oder Aufbewahrungsvorschriften und Anforderungen an die Beweissicherung können den Umgang mit Unterlagen bestimmen. Welche Pflicht greift, hängt vom Inhalt und vom verwalteten Geschäftsbereich ab.

Umgekehrt rechtfertigt eine allgemeine Aufbewahrungsgewohnheit keine offene Nutzung der gesamten Akte. Legen Sie fest, welche Dokumente für welchen Zweck vorgehalten werden, wer darauf zugreifen darf und wann eine erneute Lösch- oder Einschränkungsprüfung stattfindet. Für lebende Personen sind die Grundsätze aus Art. 5 DSGVO und eine passende Rechtsgrundlage nach Art. 6 DSGVO weiterhin zu beachten.

Geheimhaltung ist ebenfalls konkret zu prüfen. Eine Kundenakte kann Informationen enthalten, die dem Verstorbenen, lebenden Angehörigen, Geschäftspartnern oder dem Unternehmen zugeordnet werden. Dokumentieren Sie daher, welche Information freigegeben werden soll, welche Teile zurückgehalten oder geschwärzt werden und auf welche konkrete Regel oder Abwägung die Entscheidung gestützt wird.

Beginnen Sie mit einer vollständigen Übersicht. Erfassen Sie die Kundenakte, digitale Konten, Nachrichten, Anhänge, Backups, Empfänger und den gewünschten Zugriff. Markieren Sie die verstorbene Person, alle erkennbaren lebenden Personen und Informationen, die einer juristischen Person oder einem rein technischen Vorgang zugeordnet sind.

Ordnen Sie danach Handlung und Zweck. Geht es um eine Kopie, eine einzelne Information, eine Sperre, eine Löschung oder um die laufende Verwaltung eines Kontos? Halten Sie außerdem fest, wer den Antrag stellt und welche Unterlagen diese Person vorlegt. Die Identitäts- und Berechtigungsprüfung darf sich nicht darauf beschränken, dass der Antrag plausibel klingt.

Zum Abschluss dokumentieren Sie die Entscheidung für jede Datenkategorie. Notieren Sie Rechtsgrundlage, Empfänger, Umfang, Schwärzungen, Geheimhaltung, Aufbewahrung und den Zeitpunkt der nächsten Prüfung. Das Löschkonzept für Kunden- und Leaddaten ergänzt die allgemeine Organisation von Zwecken, Aufbewahrung und Löschabläufen. Bei einem Todesfall muss dieser Rahmen auf die konkrete Akte und die zusätzlich anwendbaren Regeln angepasst werden.

Wir prüfen den Akteninhalt, die Daten lebender Personen, den gewünschten Zugriff, die vorgelegten Nachweise sowie vertragliche, berufliche und gesetzliche Geheimhaltungs- oder Aufbewahrungspflichten. Für eine erste Einschätzung helfen die Kundenakte, der konkrete Antrag, die gewünschte Handlung, die Empfänger und vorhandene Vollmachten oder sonstige Nachweise. Kontaktieren Sie uns, wenn nach einem Todesfall zwischen Datenschutz, Geheimhaltung und Nachlasszugriff unterschieden werden muss. Rechtsnews abonnieren.