DSGVO-konforme Bestattungssoftware — Anforderungen und Auswahlkriterien

Die Datenschutz-Grundverordnung (DSGVO) gilt seit 2018 europaweit. Für Bestattungsunternehmen stellt sie besondere Anforderungen: Sie verarbeiten täglich sensible Personendaten — von Verstorbenen und deren Angehörigen. Wer eine Bestattungssoftware einsetzt, die in der Cloud läuft, schließt einen Auftragsverarbeitungsvertrag mit dem Anbieter. Was dabei zu beachten ist, erklärt dieser Leitfaden.

Wessen Daten verarbeitet ein Bestattungsunternehmen?

Eine häufige Verwechslung: Die DSGVO gilt laut Erwägungsgrund 27 nicht für personenbezogene Daten Verstorbener. Das klingt zunächst nach einer Erleichterung — ist es aber nur bedingt. Denn Bestatter verarbeiten nicht nur Daten des Verstorbenen, sondern auch Daten von:

• Angehörigen als Auftraggeber: Name, Adresse, Kontaktdaten, Zahlungsdaten — vollständig DSGVO-pflichtig
• Mitarbeitern des Betriebs: Gehaltsabrechnungen, Personalakten — vollständig DSGVO-pflichtig
• Lieferanten und Dienstleistern: Kontaktdaten, Vertragsdaten — vollständig DSGVO-pflichtig

Auch wenn die Daten des Verstorbenen selbst nicht unter die DSGVO fallen, sind also nahezu alle anderen Daten, die im Laufe eines Sterbefalls anfallen, vollständig schützenswert.

Was ist ein Auftragsverarbeitungsvertrag (AVV)?

Wer eine Cloud-Software einsetzt, überträgt die technische Verarbeitung personenbezogener Daten an einen Dritten — den Softwareanbieter. Dieser ist damit ein Auftragsverarbeiter im Sinne von Art. 28 DSGVO.

Der Abschluss eines Auftragsverarbeitungsvertrags (AVV) ist in diesem Fall gesetzlich vorgeschrieben. Der Vertrag regelt unter anderem:

• Welche Daten verarbeitet werden
• Zu welchem Zweck die Verarbeitung erfolgt
• Welche technischen und organisatorischen Maßnahmen der Anbieter ergreift (TOMs)
• Ob und wie Subauftragnehmer eingesetzt werden dürfen
• Wie mit Datenpannen umgegangen wird
• Wie Daten nach Vertragsende gelöscht werden

Praxishinweis: Achten Sie beim Abschluss eines Software-Abonnements darauf, dass der Anbieter einen AVV bereitstellt. Fehlt dieser, verstößt der Einsatz der Software gegen die DSGVO — unabhängig davon, wie gut die Software technisch ist.

Datenspeicherung: Warum der Serverstandort zählt

Die DSGVO legt fest, dass personenbezogene Daten nur unter bestimmten Voraussetzungen in Drittländer außerhalb der EU übertragen werden dürfen. Server in Deutschland oder der EU bieten rechtlich die klarste Grundlage.

Für Bestattungsunternehmen bedeutet das: Bei der Auswahl einer Cloud-Software sollte geprüft werden, wo die Daten gespeichert werden. Seriöse Anbieter geben dies transparent in ihrer Datenschutzerklärung oder im AVV an.

Server in Deutschland oder der EU bieten dabei nicht nur rechtliche, sondern auch praktische Vorteile: kürzere Latenz, klare Rechtszuständigkeit, und das Vertrauen, dass die Daten nicht in einem rechtlichen Graubereich liegen.

Technische und organisatorische Maßnahmen (TOMs)

Der Softwareanbieter muss nachweisen, dass er geeignete technische und organisatorische Maßnahmen zum Schutz der Daten einsetzt. Zu den typischen TOMs gehören:

• Verschlüsselung: Daten sollten sowohl bei der Übertragung (Transport Layer Security) als auch im Ruhezustand verschlüsselt sein
• Zugriffskontrollen: Nur autorisierte Personen können auf bestimmte Datenbereiche zugreifen
• Protokollierung: Zugriffe auf sensible Daten werden aufgezeichnet
• Backup und Wiederherstellung: Regelmäßige Datensicherungen mit definierten Wiederherstellungszeiten
• Penetrationstests: Regelmäßige Sicherheitsprüfungen der Infrastruktur

Ein guter Anbieter stellt die TOMs auf Anfrage bereit oder veröffentlicht sie im AVV.

Löschkonzept und Datensparsamkeit

Die DSGVO verlangt das Prinzip der Datensparsamkeit und der Speicherbegrenzung: Daten sollen nur so lange gespeichert werden, wie sie für ihren Zweck benötigt werden.

Für Bestattungsunternehmen ergibt sich daraus die Frage: Wie lange müssen Sterbefall-Daten aufbewahrt werden? Steuerlich relevante Unterlagen unterliegen der zehnjährigen Aufbewahrungspflicht (§ 147 AO). Reine Verwaltungsdaten ohne steuerliche Relevanz können kürzer aufbewahrt werden.

Ein professionelles Löschkonzept regelt:

• Welche Datenkategorien wie lange aufbewahrt werden
• Wann und wie Daten gelöscht werden
• Wie Löschungen dokumentiert werden

Besondere Kategorien: Gesundheitsdaten

In einigen Fällen verarbeiten Bestatter besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO — zum Beispiel, wenn die Todesursache für Abrechnungszwecke relevant ist. Diese Daten erfordern erhöhte Schutzmaßnahmen und eine explizite Rechtsgrundlage.

In der Praxis ist die Todesursache selbst im vertraulichen Teil der Todesbescheinigung enthalten, der direkt an das Gesundheitsamt geht — und nicht an den Bestatter. Dennoch sollte der Umgang mit solchen Daten im Datenschutzkonzept des Betriebs dokumentiert sein.

Checkliste: DSGVO-Anforderungen an Bestattungssoftware

Beim Kauf oder Wechsel einer Bestattungssoftware helfen folgende Fragen:

• Stellt der Anbieter einen vollständigen AVV nach Art. 28 DSGVO bereit?
• Wo werden die Daten gespeichert (Deutschland/EU)?
• Welche technischen und organisatorischen Maßnahmen (TOMs) setzt der Anbieter ein?
• Gibt es eine klare Beschreibung der eingesetzten Subauftragnehmer?
• Wie werden Datenpannen gemeldet (Frist: 72 Stunden an die Aufsichtsbehörde)?
• Gibt es ein Löschkonzept oder eine Funktion zur automatischen Datenlöschung?
• Ist die Verschlüsselung der Daten (Transport und Ruhe) dokumentiert?

Fazit

DSGVO-Konformität bei Bestattungssoftware ist kein Luxus, sondern gesetzliche Pflicht. Der Auftragsverarbeitungsvertrag mit dem Softwareanbieter ist das zentrale Dokument — ohne ihn ist der Einsatz einer Cloud-Software rechtswidrig. Wer beim Softwarekauf auf Transparenz beim Serverstandort, vollständige TOMs und einen klaren AVV achtet, ist auf der sicheren Seite.

Für Rückfragen zu den konkreten DSGVO-Anforderungen empfiehlt es sich, einen Datenschutzbeauftragten hinzuzuziehen.