Werbeanschreiben durch Auftragsverarbeiter
Die Verarbeitung personenbezogener Daten von Verwaltungsbeiräten durch einen Mess- und Abrechnungsdienstleister für Werbezwecke ist datenschutzrechtlich unzulässig.
Die Aufsichtsbehörde erhielt eine Beschwerde, in der moniert wurde, dass ein Dienstleistungsunternehmen, das mit dem Mess- und Abrechnungsdienst in einer Eigentümergemeinschaft betraut war, mehrere Verwaltungsbeiräte der Eigentümergemeinschaft kontaktiert habe, um der Eigentümergemeinschaft ein Angebot zu unterbreiten. Das Unternehmen erläuterte den Beiräten in diesem Schreiben, dass es vermute, dass der von der Eigentümergemeinschaft bestellte Verwalter künftig einen anderen (gesellschaftsrechtlich mit dem Verwalter verbundenen) Abrechnungsdienstleister mit dem Mess- und Abrechnungsdienst betrauen werde. Vor diesem Hintergrund wolle das Unternehmen der Eigentümergemeinschaft ein neues Angebot für die künftige Zusammenarbeit unterbreiten und habe sich daher entschlossen, dieses Angebot direkt den einzelnen Verwaltungsbeiräten zu unterbreiten.
Das zur Stellungnahme aufgeforderte Unternehmen teilte dem BayLDA mit, dass es nur deshalb mit den Beiräten kommuniziert habe, um den Umfang der Datenverarbeitung möglichst gering zu halten und nicht sämtliche Eigentümer anschreiben zu müssen. Es wurde in diesem Zusammenhang die Meinung geäußert, dass sich die Datenverarbeitung auf die Durchführung und Abwicklung des zu Grunde liegenden Vertragsverhältnisses beschränkt habe.
Nach Auffassung des BayLDA war dieses Unternehmen im Rahmen seiner Tätigkeit als Mess- und Abrechnungsdienstleister datenschutzrechtlich als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO für den Verwalter der Eigentümergemeinschaft und nicht als Verantwortlicher nach Art. 4 Nr. 7 DSGVO tätig. Die Kontaktdaten der Verwaltungsbeiräte und anderen Eigentümer waren dem Dienstleister durch den Verwalter im Rahmen der Beauftragung mit der Ablesung und Abrechnung der Gas- und WarmwasserVerbrauchsdaten zur Verfügung gestellt worden.
Als datenschutzrechtlich Verantwortlichen wird in solchen Fällen grundsätzlich der von der Eigentümergemeinschaft bestellte Verwalter angesehen, da dieser gemäß § 28 Abs. 3 WEG die Aufgabe hat, eine Abrechnung zu erstellen. Der Verwalter hatte sich zur Erfüllung dieser originären Verwalteraufgabe des Abrechnungsdienstleisters bedient.
Als Auftragsverarbeiter war der Dienstleister nicht berechtigt, personenbezogene Daten der einzelnen Wohnungseigentümer, die ihm vom Verwalter zur Durchführung der Ablesung und Abrechnung überlassen worden waren, für eigene (Werbe-)Zwecke zu verarbeiten.
Die dem Abrechnungsdienstleister vom Verwalter im Rahmen des Vertrags zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO überlassenen Adressdaten der Wohnungseigentümer wurden dem Dienstleister nicht zum Zweck der Werbung zur Verfügung gestellt, sondern lediglich, damit dieser im Auftrag des Verwalters die Ablesung durchführt und die abgelesenen Daten dem Verwalter dann zur Durchführung der Abrechnung nach § 28 Abs. 3 WEG in aufbereiteter Form zur Verfügung stellt. Auch der Umstand, dass zivilrechtlich ein Vertragsverhältnis zwischen dem Abrechnungsdienstleister und der Eigentümergemeinschaft besteht, ermächtigt den Dienstleister nicht dazu, einzelne Eigentümer oder Verwaltungsbeiräte für eigene Werbezwecke zu kontaktieren, denn insoweit muss zwischen der Eigentümergemeinschaft als solcher und den einzelnen Eigentümern – zu denen der Dienstleister gerade kein Vertragsverhältnis hat – unterschieden werden.
Mithin hat der Dienstleister Daten, die ihm als Auftragsverarbeiter anvertraut waren, entgegen den Weisungen des Verantwortlichen – des Verwalters – verarbeitet, wodurch er insoweit selbst zum Verantwortlichen wurde (Art. 28 Abs. 10 DSGVO). Eine Rechtsgrundlage für die Verarbeitung der (Kontakt-)Daten der Verwaltungsbeiräte stand ihm aus den vorgenannten Gründen nicht zur Verfügung, so dass die Verarbeitung nach Art. 5 Abs. 1 Buchst. a DSGVO den Grundsatz der Rechtmäßigkeit verletzte.
Quelle: BayLDA
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
- Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
- Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
- Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
- Aufsichtsbehörde empfiehlt Buch: DSGVO /ePrivacy auf Websites umsetzen
- Recht im Online-Marketing: So schützen Sie sich vor Fallstricken zur DSGVO
Dieser Absatz enthält Affiliatelinks/Werbelinks