Hallo,
ich wollte um eure Einschätzung bitten, ob ich eine Datenschutzverletzung melden soll. Also ob es der Aufwand wert ist?
Was ist passiert?
Zum 1.1. hat ein neuer Arzt die Praxis von meinem bisherigen Zahnarzt übernommen. Am 3.4. hatte ich dann einen Termin bei dem neuen Arzt für eine professionelle Zahnreinigung. Bei dem Termin hab ich dann eine Einverständniserklärung vorgelegt bekommen, dass meine Forderungen an ein Zahlungsdienstleister (mediserv Bank) weitergegeben werden. Und dass dieser Dienstleister Daten über mich bei einer Auskunftei (infoscore) einholen darf.
Diese Einverständniserklärung habe ich nicht unterschrieben. Ich bin damit an die Rezeption gegangen und habe meine Bedenken geäußert. In das Gespräch waren dann insgesamt drei Personen aus der Praxis eingebunden und wir haben festgehalten, dass ich meine Rechnungen bar bezahlen werde, und dass ich auf keinen Fall mein Einverständnis erteile, dass meine Daten weitergegeben werden und irgendwer Daten bei einer Auskunftei über mich einholt.
Die professionelle Zahnreinigung habe ich dann auch nicht mehr in Anspruch genommen.
Nun habe ich vor ein paar Wochen Schreiben an vier Auskunfteien geschickt und abgefragt, was für Daten die von mir gespeichert haben. Also ich die Antwort von „Infoscore Consumer Data“ erhalten habe, siehe da - Die mediserv Bank hat einen Tag nach meinem Arztbesuch, am 4.4., eine Anfrage an Infoscore geschickt. Infoscore hat dazu geschrieben „… wurden dem anfragenden Unternehmen keine Daten übermittelt.“
Darauf hin habe ich direkt dem Zaharzt eine Email geschickt und protestiert. Er hat zunächst nur geschrieben, dass er sich entschuldigt und den Fall intern (!) mit der mediserv Bank klärt. Ich habe ihm darauf hin geschrieben, dass es da kein „intern“ gibt, da ich nie mein Einverständnis gegeben habe, dass er Daten mit denen über mich austauscht. Er hat sich dann nochmal entschuldigt und geschrieben, dass die Mitarbeiterin im turbulenten Alltag nicht genau darauf geachtet hat, dass ich nicht unterschrieben hätte, und blabla.
Eine Auskunft nach Artikel 15 DSGVO hat er mir zugeschickt und eine Kopie meiner Patientendaten bekomme ich, wenn ich in die Praxis komme.
Ohne dass ich die jetzt schon von meiner Seite her angeschrieben hätte, hat sich jetzt auch die mediserv Bank bei mir gemeldet und sich entschuldigt. Weiter schreiben sie, dass eben die Arztpraxis am 4.4. eine Anfrage geschickt hatte zum Zahlungsausfallrisiko in Höhe von 5000 Euro.
Dann hätte die mediserv Bank eine Anfrage an infoscore geschickt, „die mit folgendem Ergebnis beantwortet wurde, dass dort Ihre Person betreffende negative Eintragungen nicht vorliegen.“ Score-Werte seien nicht abgefragt worden. Die mediserv Bank habe jetzt die zuständige Datenschutzbehörde informiert.
Für mich hat da jede einzelne beteiligte Stelle vollkommen versagt.
Die Arztpraxis gibt meine Daten weiter, obwohl wir meine Bedenken ausgiebig thematisiert hatten. Offen gesagt glaube ich noch nicht einmal, dass dies unbeabsichtigt war - aber sei’s drum. Dann wollte der Zahnarzt erst alles runter spielen mit „wir klären das intern mit dem Zahlungsdienstleister“.
Der Zahlungsdienstleister ist dann aber auch seinen Verpflichtungen nicht nachgekommen. Ich meine, die hätten erst sicherstellen müssen, ob eine Erlaubnis meinerseits vorliegt, bevor irgendwelche Anfragen an eine Auskunftei geschickt werden. Zumindest haben sie den Vorgang selbst gemeldet und spielen mit vermeintlich offenen Karten.
Und die Auskunftei hat mich dann ja auch angelogen, wenn die sagen, dass keine Daten weitergegeben wurden. Die mediserv Bank hat ja geschrieben, welche Infos sie über mich bekommen hatten. Und ist die Auskunftei nicht selbst auch noch einmal verpflichtet, nachzuschauen, ob alle Erlaubnisse vorliegen?
Was ich nun gerne von euch wissen würde: Sollte ich da selbst noch einmal auf den Datenschutzbeauftragten zugehen? Kann ich das zur Anzeige bringen? Sollte ich nach einem Anwalt schauen? Ich habe aber keine Rechtschutzversicherung.
Danke, dass du das alles gelesen hast! 
