DSGVO gilt nicht für Datenverstöße vor dem 25. Mai 2018

Die Weitergabe von persönlichen Daten, erst recht wenn sie den Gesundheitsbereich betreffen, ist sehr sensibel zu handhaben und wenn es hierfür keine bestimmte Erlaubnis gibt, ohne Einwilligung der Betroffenen zu unterlassen. Wurde solche ein Verstoß vor Mai 2018, also vor dem Inkrafttreten der DSGVO begangen, ist zumindest die DSGVO nicht anwendbar, sondern das damals geltende Recht.

Betroffenenrechte wurden mit der DSGVO ausgeweitet

War das (deutsche) Datenschutzrecht mit seinen vormals schon zahlreichen Auskunfts- und Betroffenenrechten den meisten Menschen lange Zeit kaum ein Begriff, hat sich das in den Folgejahren nach dem Inkrafttreten der DSGVO geändert. Die DSGVO gewährt beispielsweise eine Art Schmerzensgeld, den sogenannten immateriellen Schadensersatz. Davor war das noch kein Thema. Grund genug also, bei der Aufdeckung eines Datenschutzverstoßes noch einmal genau hinzusehen, welches Recht für den spezifischen Fall zur Anwendung kommt.

Wegen der Weitergabe von medizinischen Unterlagen an einen Gutachter im Rahmen eines Schadensregulierungsverfahrens nach einem Verkehrsunfall beschwerte sich eine Frau bei einer Aufsichtsbehörde. Weil sich die Behörde auf altes Datenschutzrecht berief, nach der eine Übermittlung der Daten nicht zu beanstanden war, klagte die Frau.

25. Mai 2018: Zäsur zwischen altem und neuem Recht

Das Verwaltungsgericht, das nun mit dem Fall betraut war, stimmte der Datenschutzbehörde jedoch zu (Verwaltungsgericht Hannover, Urteil vom 10.10.2023, Az.: 10 A 5223/19). Die DSGVO findet für den Fall aus dem Jahr 2012 keine Anwendung, so das Gericht. Da der deutsche Gesetzgeber keine explizite, anderslautende Vorschrift erlassen habe, unterliegen vor dem Inkrafttreten der DSGVO erfolgte Verstöße vollständig dem alten Datenschutzrecht.

Vor dem 25. Mai 2018 liegende Verstöße müssen Aufsichtsbehörden und Gerichte daher nach dem bisherigen Recht entscheiden. Das hat die Behörde hier jedoch getan und festgestellt, dass nach altem Recht datenschutzrechtlich nichts zu beanstanden gewesen sei.