Weitergabe von Kontaktdaten bei berichtigtem Interesse?

Hallo ins Forum, hallo liebe Community,

aktuell beschäftigen wir uns in unserem Büro mit der Thematik wann ich Daten zum Zweck der möglichen Aufklärung eines Sachverhaltes weitergeben kann bzw. darf.

Zum Fall:
Unser Sachverständigenbüro wurde mit der Begutachtung und Bewertung von Schäden an einem Mehrfamilienhauskomplex vor Ablauf der 5-jährigen Gewährlesitungszeit beauftragt. Im Zuge dessen wurden vermehrt Schäden an einem Material festgestellt, dass großflächig an der Anlage eingebracht wurde. Hierzu wurde mit dem Hersteller des Materials Kontakt aufgenommen und angefragt, ob diesem entsprechende Schäden bekannt sind und worauf diese zurückgeführt werden können (z.B. falsche Lagerung, Verarbeitung, Reinigung, etc.). Durch den Hersteller wurde daraufhin mitgeteilt, dass eine Stellungnahme nur erfolgen kann, wenn der ausführende Handwerksbetrieb benannt wird.
Da es sich um ein Bauträgerprojekt handelt, wurde der Bauträger daraufhin zu den entsprechenden Kontaktdaten befragt und diese an die Hausverwaltung und durch diese letztlich an uns weitergegeben.
Ich frage mich jetzt jedoch, ob hier nicht eine Verletzung des Datenschutzes besteht, wenn ich die Daten an den Hersteller weitergebe.
Oder ist ggfls. folgendes zutreffend:
a. die Datenschutzverletzung erfolgte bereits durch den Bauträger und die erste MItteilung der Daten gegenüber der Hausverwaltung und
b. es besteht ein berechtigtes Interesse zur Aufklärung der Gegebenheiten durch die Wohungseigentümergemeinschaft (unsere Auftraggeberin)?

Natürlich könnte ich den Unternehmer zur Weitergabe der Daten anfragen, jedoch wird dieser natürlich wissen wollen, worum es geht (es besteht die Annahme in einer falschen Verarbeitung des Materials vor Ort) und in eigenem Interesse eine Weitergabe höchst wahrscheinlich ablehnen.
Da es sich um mehrere große Flächen mit dem Material handelt, liegen die Schäden und deren Arbeiten zur Beseitigung in einem höheren 5 stelligen Bereich. Deshalb sehe ich das berechtigte Interesse bei der WEG.
Jetzt würde mich aber interessieren, was die Experten dazu sagen und freue mich auf Antworten und Meinungen.

Lieben Dank im Voraus.

Ich würde hier schon das berechtigte Interesse als Möglichkeit sehen.

Es gibt ja auch den Fall, dass die Datenverarbeitung nur ein Nebenzweck ist (z.B. wenn die Hausverwaltung einen handwerker in die Wohnung schickt). Hier ist es ja so dass dies keine Auftragsverarbeitung ist.

Zudem kann man noch argumentieren, dass es sich bei der Firma (nicht beim Monteur) um eine juristische Person handelt, und damit gar keine DSGVO greift.

Ich würde mit berechtigtem Intresse einverstanden sein. Aber lasse mich auch gerne von anderen hier vom Gegenteil überzeugen.

Etwas anders als bei joeDS gesagt: Datenschutz zielt auf natürliche Personen, nicht auf juristische Personen wie Firmen oder Behörden (z.B. Artikel 1 Gegenstand und Ziele der DSGVO und dort Absatz 1 “… Vorschriften zum Schutz natürlicher Personen …”).

Firmendaten fallen (bis auf Grenzfälle) nicht darunter.

Es ist wenigstens keine datenschutzrechtliche Frage, ob man den Handwerksbetrieb nennt.

Bei kleineren Handwerksbetrieben hilft das aber meist nicht weiter. Wenn der Handwerksmeister nur aus Haftungsgründen eine Ein-Mann-GmbH gegründet hat, verschließt dies nicht die Anwendung des Datenschutzrechts, weil jedem Beteiligten klar ist, wer hinter der GmbH steckt. Ist der Handwerker “nur” eingetragener Kaufmann, erübrigt sich die Frage.

Zur Verarbeitungsbefugnis:
Ich sehe die Rechtsgrundlage vielmehr in Art. 6 Abs. 1 lit. b) DSGVO, denn es geht ja um einen etwaigen Unternehmerregress zwischen Bauträger und Handwerksbetrieb. Zur Aufklärung, ob ein Mangel vorliegt, also der Vertrag nicht ordnungsgemäß erfüllt wurde, ist die Verarbeitung zwingend erforderlich. Ein Vertrag zwischen Ihnen als Verantwortlichem und dem Handwerksbetrieb ist für diese Rechtsgrundlage gerade nicht erforderlich - das wäre ja praktisch nie der Fall. Nur der Betroffene muss Vertragspartei sein, der Verantwortliche nur optional. Deswegen ist auch die Weitergabe in der Kette Bauträger → Hausverwaltung → SV → Hersteller von dieser Rechtsgrundlage gedeckt.

Na doch, zB ist jeder Kreditvertrag ein Vertrag zwischen Verantwortlichen und Betroffenen (ebenso Mietvertrag, Behandlungsvertrag usw.). Oder mistverstehe ich gerade was?
Ich hatte auch zuerst an den Vertrag gedacht. Aber: Der Betroffene ist zwingend Vertragspartei. Der Vertrag besteht zwischen den jur. Personen. Würden nun die Daten des Meisters des Handwerksbetriebs weitergegeben, dann erfüllte er zwar eine Funktion bei der jur. Person, hätte aber keinen Vertrag mit dem Bauträger (noch dazu ist er Beschäftigter). Darum sehe ich den Vertrag nur gedeckt, wenn der Inhaber und Ansprechpartner (Franz Klammer) zugleich die jur. Person ist (Dachdeckerbetrieb Franz Klammer), mit der der Vertrag abgeschlossen wurde. Also in diesen Ausnahmefällen der KMU.

Falls es nicht um Daten der jur. Person geht (das sehe ich wie haderner), tendiere ich eher zu Art.6 Abs.1 c) und der Erfüllung einer rechtlichen Verpflichtung, weil sie allein auf den Verantwortlichen abzielt und Rechtsgeschäfte rechtliche Verpflichtungen auslösen können (Begutachtung => Schadensfall, Gewährleistungszeit). Aber joeDS’ Vorschlag ginge auch. Es können ja mehrere zutreffen.

Unabhängig von der konkreten Situation zucke ich immer etwas zusammen, wenn mit dem “berechtigten Interesse des Verantwortlichen oder eines Dritten” nach Art. 6 Abs. 1 lit. f argumentiert wird. Diese Vorschrift ist ja kein Joker, mit dem man fast alles irgendwie erschlagen kann.

Man sollte auch einen Blick auf den zweiten Halbsatz werfen, denn der Satz geht nach den berechtigten Interessen des Verantwortlichen weiter mit der Formulierung “sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person […] überwiegen […].

Es ist also immer ein Abwägen erforderlich, und m.E. müssten die Interessen der betroffenen Person genauso überprüft (und dokumentiert) werden, um erst dann entscheiden zu können, wessen Interessen überwiegen. Das ist sicherlich nicht immer so einfach …

Leider ja. Es ging mir ja gerade darum, zu zeigen, dass nur der Betroffene Vertragspartei sein muss, hingegen nicht der Verantwortliche. Dieser kann sich auf einen Vertrag des Betroffenen mit einem Dritten berufen, wenn seine Verarbeitung wiederum für die Vertragserfüllung erforderlich ist. Will man das Datenschutzrecht für anwendbar halten, greift für diesen Fall genau diese Konstellation: Der Sachverständige hat natürlich mit dem Handwerksmeister keinen Vertrag geschlossen, aber die Verarbeitung des Sachverständigen ist erforderlich für die Vertragsdurchführung des Dritten (hier dem Bauträger) mit dem Handwerksmeister, damit der Bauträger ggf. Regressansprüche geltend machen kann.

Der Fall, den du beschreibst, ist ja gerade Art. 6 Abs. 1 lit. b) DSGVO. Ein Vertrag kann keine rechtlichen Verpflichtungen im Sinne des Art. 6 Abs. 1 lit. c) DSGVO auslösen. Dann wäre lit. b) überflüssig, was nicht gewollt sein kann. Im Übrigen besagt auch Art. 6 Abs. 3 DSGVO, dass die rechtliche Verpflichtung nicht vertraglich, sondern gesetzlich begründet sein muss (also insb. handels- oder steuerrechtliche Aufbewahrungsfristen zB).

1 „Gefällt mir“

Ich meinte den angestellten Handwerksmeister, der als Beschäftigter keinen Vertrag mit dem Bauträger hat. Der Vertragspartei ist sein Arbeitgeber. Es fehlt der Betroffene als Vertragspartei.

“… dass eine Stellungnahme nur erfolgen kann, wenn der ausführende Handwerksbetrieb benannt wird.”

Es ging doch nie um einen Mitarbeiter. Entweder der Betrieb ist eine Kapitalgesellschaft, dann unterfällt sie ohnehin nicht der DSGVO, oder der Handwerker betreibt sein Handelsgewerbe als e.K. - wäre dann aber auch Vertragspartei des Bauträgers.

Genau auf diese Punkt hatte ich in der allerersten Antwort bereits hingewiesen.

Jup. Bleibt die Frage, worüber wir eigentlich reden :smiley: