Datenweitergabe an Subunternehmen – auch ohne Einwilligung
Es ist Alltagsgeschäft, dass Unternehmen zum Beispiel bei Auftragsspitzen Daten an Subunternehmen weitergeben. Sowohl die Unternehmen als auch deren Kundschaft sind oft unsicher, ob auch die Weitergabe von personenbezogenen Daten der Kundschaft an die Subnehmen zulässig ist?
Der Einsatz von Subunternehmen im Handwerk ist nach dem Bürgerlichen Gesetzbuch (BGB) grundsätzlich zulässig (§ 267 BGB), wenn er nicht vertraglich ausgeschlossen wurde. Wenn ein Handwerksbetrieb mehr Aufträge hat, als er mit den eigenen Beschäftigten bewältigen kann (Auftragsspitzen), oder ein Auftrag Leistungen umfasst, auf die der eigene Betrieb nicht eingerichtet ist, kann die Einbindung eines Subunternehmens erforderlich sein. Ein Beispiel sind Küchenbauunternehmen (Generalunternehmen), die für Starkstromarbeiten in der Küche Elektroinstallationsbetriebe (dann Subunternehmen) beauftragen. Ein Konflikt droht, wenn die Kundschaft bestimmte Erwartungen mit ihrem Auftrag verbindet. Wird etwa eine bestimmte Goldschmiede beauftragt, weil diese für ihre filigranen und ausgefallenen Ringe bekannt ist, so wird erwartet, dass nur der beauftragte Betrieb die Ringe anfertigt. Im Zweifel sollte sich die Kundschaft dies im Vertrag bestätigen lassen. Für den Bereich der Dienstleistungen nimmt der Gesetzgeber diesen Gedanken auf: Der zur Dienstleistung Verpflichtete hat die Dienste im Zweifel selbst zu leisten (§ 613 BGB). Deshalb können insbesondere Arbeitnehmer*innen ihre Arbeit nicht durch betriebsfremde Personen ausführen lassen.
Doch selbst wenn der Einsatz eines Subunternehmens zivilrechtlich gestattet sein sollte, müssen Auftragnehmer*innen noch prüfen, ob die personenbezogenen Daten der Kundschaft weitergegeben werden dürfen. Datenschutzrechtlich kommt es darauf an, ob die Verarbeitung der Daten für die Vertragserfüllung notwendig ist (Art. 6 Abs. 1 Unterabsatz 1 Buchstabe b DSGVO). Dass eine gewisse Datenverarbeitung durch einen Vertrag abgedeckt ist, bedeutet nicht schon, dass die Verarbeitung für die Erfüllung auch erforderlich ist. Nur wenn das der Fall ist, dürfen Subunternehmen personenbezogene Daten der Kundschaft mitgeteilt werden. Das kann zum Beispiel Name, Adresse und bestellte Leistung betreffen. Der anfangs erwähnte Elektroinstallationsbetrieb muss natürlich Adresse und Name der Kundschaft erfahren, um die notwendigen Installationen für den Kücheneinbau vornehmen zu können. Die Datenübermittlung ist in diesem Fall erforderlich.
Wenn hingegen eine vom Goldschmiedebetrieb mit der Anfertigung eines Ringes beauftragte dritte Person nur Informationen zum vereinbarten Design und zu dem Maß des anzufertigenden Ringes benötigt, wäre eine Übermittlung von darüber hinausgehenden personenbezogenen Daten der Kundschaft nicht erforderlich und datenschutzrechtlich unzulässig.
In jedem Fall ist es wichtig, dass das Unternehmen seine Kunden über die geplante Datenweitergabe an Subunternehmen direkt bei der Datenerhebung informiert. Das sorgt für Klarheit und vermeidet Irritationen, wenn ein Unternehmen vor der Tür steht, das eigentlich gar nicht selbst beauftragt wurde. Nach Art. 13 DSGVO sind Unternehmen, die personenbezogene Daten verarbeiten, gesetzlich dazu verpflichtet, Betroffene zum Zeitpunkt der Datenerhebung über Verarbeitungsvorgänge zu informieren. Das Subunternehmen muss grundsätzlich die Kundschaft ebenfalls über seine Datenverarbeitung informieren (Art. 14 DSGVO). Diese Pflicht entfällt, wenn die Kundschaft diese Information bereits durch das Generalunternehmen selbst erhalten hat.
Fazit
Transparente Information über die Datenverarbeitung ist nicht nur rechtlich geboten, sondern wird auch als Serviceleistung wahrgenommen. Sie nimmt die Bedürfnisse der Kundschaft ernst und fördert ihre Zufriedenheit.
Quelle: LDI NRW
Fragen Sie sich, ob Sie als Unternehmen bei Datenschutz und Datensicherheit richtig aufgestellt sind!
Unverbindlich mit Datenschutzbeauftragten sprechen.
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber:innen (Whistleblower)
- Tragbarer Tresor für die Reise zum Schutz von Wertsachen
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
- Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
- Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
- Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
- Aufsichtsbehörde empfiehlt Buch: DSGVO /ePrivacy auf Websites umsetzen
- Recht im Online-Marketing: So schützen Sie sich vor Fallstricken zur DSGVO
Dieser Absatz enthält Affiliatelinks/Werbelinks