Datenweitergabe an Dritte: Was zu beachten ist

Personenbezogene Daten sind für Unternehmen ein wesentlicher Bestandteil des Geschäftsalltags. Gleichzeitig gelten bei der Weitergabe dieser Daten an Dritte strenge rechtliche Anforderungen. Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) können nicht nur zu Bußgeldern führen, sondern auch Schadensersatzansprüche, Abmahnungen und erhebliche Reputationsschäden nach sich ziehen.

Viele Unternehmen gehen davon aus, dass eine Datenweitergabe zulässig ist, sobald eine Einwilligung vorliegt oder der Empfänger seriös erscheint. Tatsächlich hängt die Zulässigkeit jedoch von verschiedenen rechtlichen Voraussetzungen ab. Entscheidend ist insbesondere, wer die Daten erhält, zu welchem Zweck die Weitergabe erfolgt und auf welche Rechtsgrundlage sie gestützt werden kann.

Dieser Beitrag erläutert, wann eine Datenweitergabe an Dritte zulässig ist, welche Risiken bestehen und worauf Unternehmen sowie Verantwortliche besonders achten sollten.

Was bedeutet eine Datenweitergabe an Dritte?

Von einer Datenweitergabe spricht man, wenn personenbezogene Daten einer anderen natürlichen oder juristischen Person offengelegt oder übermittelt werden.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Dazu gehören beispielsweise:

• Name und Anschrift
• E-Mail-Adresse
• Telefonnummer
• Kundennummer
• IP-Adresse
• Vertragsdaten
• Zahlungsinformationen
• Gesundheitsdaten
• Standortdaten

Nicht jede Weitergabe ist automatisch rechtswidrig. Die DSGVO erlaubt Datenübermittlungen, wenn hierfür eine gesetzliche Grundlage besteht und die datenschutzrechtlichen Anforderungen eingehalten werden.

Wer gilt datenschutzrechtlich als Dritter?

Die DSGVO definiert einen Dritten als jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die weder

• die betroffene Person,
• der Verantwortliche,
• der Auftragsverarbeiter noch
• Personen sind, die unter der unmittelbaren Verantwortung des Verantwortlichen oder Auftragsverarbeiters zur Verarbeitung befugt sind.

Ob tatsächlich eine Weitergabe an einen Dritten vorliegt, hängt daher von der konkreten Rollenverteilung ab.

Wann ist die Weitergabe personenbezogener Daten zulässig?

Eine Datenübermittlung darf grundsätzlich nur erfolgen, wenn eine Rechtsgrundlage nach Art. 6 DSGVO besteht.

Einwilligung der betroffenen Person

Die bekannteste Grundlage ist die freiwillige Einwilligung.

Diese muss

• freiwillig erfolgen,
• informiert sein,
• eindeutig erklärt werden,
• jederzeit widerrufbar sein.

In der Praxis reicht eine allgemeine Zustimmung häufig nicht aus. Die Einwilligung muss den konkreten Zweck der Datenweitergabe erkennen lassen.

Vertragserfüllung

Eine Datenweitergabe ist zulässig, wenn sie zur Erfüllung eines Vertrags erforderlich ist.

Typische Beispiele:

• Versand von Waren durch Logistikunternehmen
• Weitergabe von Zahlungsdaten an Zahlungsdienstleister
• Hotelbuchungen über Buchungsplattformen
• Lieferung digitaler Dienstleistungen

Die Daten dürfen allerdings nur insoweit übermittelt werden, wie dies tatsächlich erforderlich ist.

Gesetzliche Verpflichtungen

In bestimmten Fällen verpflichtet der Gesetzgeber Unternehmen zur Datenweitergabe.

Beispiele:

• steuerrechtliche Meldepflichten
• Mitteilungen an Sozialversicherungsträger
• Auskünfte gegenüber Strafverfolgungsbehörden bei gesetzlicher Verpflichtung
• geldwäscherechtliche Vorgaben

Hier besteht regelmäßig keine Wahlmöglichkeit des Unternehmens.

Berechtigtes Interesse

Viele Datenübermittlungen stützen sich auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO.

Voraussetzung ist eine Interessenabwägung zwischen

• den Interessen des Unternehmens,
• den Interessen des Empfängers und
• den Grundrechten der betroffenen Person.

Ob diese Rechtsgrundlage greift, hängt stets vom konkreten Einzelfall ab.

Typische Fälle der Datenweitergabe

Im Unternehmensalltag treten zahlreiche Konstellationen auf.

Weitergabe an Steuerberater

Steuerberater benötigen häufig Vertrags-, Personal- oder Buchhaltungsdaten.

Diese Datenübermittlung ist regelmäßig zulässig, soweit sie zur Erfüllung gesetzlicher oder vertraglicher Pflichten erforderlich ist.

Weitergabe an IT-Dienstleister

Cloud-Anbieter, Hosting-Unternehmen oder Softwaredienstleister verarbeiten häufig personenbezogene Daten.

Handelt es sich lediglich um eine Verarbeitung im Auftrag, liegt regelmäßig keine Weitergabe an einen datenschutzrechtlichen Dritten vor. Vielmehr ist grundsätzlich ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich.

Die zutreffende rechtliche Einordnung ist häufig komplex und sollte sorgfältig geprüft werden.

Weitergabe innerhalb eines Konzerns

Ein häufiger Irrtum besteht darin, anzunehmen, dass innerhalb eines Konzerns personenbezogene Daten beliebig ausgetauscht werden dürfen.

Tatsächlich handelt es sich datenschutzrechtlich regelmäßig um eigenständige Verantwortliche. Auch konzerninterne Datenübermittlungen benötigen daher eine geeignete Rechtsgrundlage.

Weitergabe an Geschäftspartner

Werden Kundendaten an Kooperationspartner oder Vertriebspartner weitergegeben, muss hierfür regelmäßig eine tragfähige Rechtsgrundlage bestehen.

Gerade im Marketingbereich entstehen häufig datenschutzrechtliche Risiken.

Besondere Anforderungen bei sensiblen Daten

Für besondere Kategorien personenbezogener Daten gelten deutlich strengere Voraussetzungen.

Hierzu gehören insbesondere:

• Gesundheitsdaten
• biometrische Daten
• genetische Daten
• religiöse Überzeugungen
• politische Meinungen
• Gewerkschaftszugehörigkeit
• Daten zur sexuellen Orientierung

Eine Weitergabe ist nur unter den besonderen Voraussetzungen des Art. 9 DSGVO zulässig.

Datenübermittlung in Drittstaaten

Besondere Vorsicht ist geboten, wenn personenbezogene Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet werden.

Hier gelten zusätzliche Anforderungen.

Je nach Zielland können erforderlich sein:

• ein Angemessenheitsbeschluss der Europäischen Kommission,
• Standardvertragsklauseln,
• ergänzende Schutzmaßnahmen,
• eine Risikoanalyse.

Internationale Datentransfers zählen zu den datenschutzrechtlich anspruchsvollsten Bereichen und sollten regelmäßig rechtlich geprüft werden.

Welche Informationspflichten bestehen?

Betroffene Personen müssen grundsätzlich darüber informiert werden,

• welche Daten verarbeitet werden,
• zu welchem Zweck die Weitergabe erfolgt,
• auf welcher Rechtsgrundlage dies geschieht,
• wer Empfänger der Daten ist,
• wie lange die Daten gespeichert werden,
• welche Rechte den Betroffenen zustehen.

Diese Informationen finden sich regelmäßig in den Datenschutzhinweisen eines Unternehmens.

Typische Fehler bei der Datenweitergabe

In der Praxis treten immer wieder ähnliche Fehler auf.

Dazu gehören insbesondere:

• fehlende Rechtsgrundlage
• unzureichende Dokumentation
• zu weit gefasste Einwilligungen
• fehlende Interessenabwägung
• unzulässige Weitergabe innerhalb eines Konzerns
• fehlende Verträge zur Auftragsverarbeitung
• unzureichende Datenschutzinformationen
• unzulässige Drittstaatenübermittlungen
• Weitergabe größerer Datenmengen als erforderlich

Bereits einzelne organisatorische Versäumnisse können erhebliche rechtliche Folgen haben.

Welche Folgen können Datenschutzverstöße haben?

Eine unzulässige Datenweitergabe kann unterschiedliche Konsequenzen nach sich ziehen.

Hierzu zählen insbesondere:

• aufsichtsbehördliche Untersuchungen
• Bußgelder nach der DSGVO
• Anordnungen der Datenschutzbehörden
• Schadensersatzansprüche betroffener Personen
• Unterlassungsansprüche
• erhebliche Reputationsschäden
• Vertragsstreitigkeiten mit Geschäftspartnern

Welche Folgen tatsächlich eintreten, hängt von Art, Umfang und Schwere des Datenschutzverstoßes ab.

Welche Nachweise sollten Unternehmen aufbewahren?

Im Datenschutz gilt der Grundsatz der Rechenschaftspflicht.

Unternehmen sollten insbesondere dokumentieren:

• die Rechtsgrundlage der Datenweitergabe,
• Einwilligungen,
• Interessenabwägungen,
• Verträge zur Auftragsverarbeitung,
• technische und organisatorische Maßnahmen,
• Löschkonzepte,
• Verarbeitungsverzeichnisse,
• Datenschutz-Folgenabschätzungen, soweit erforderlich.

Eine sorgfältige Dokumentation kann im Falle einer Prüfung durch die Datenschutzaufsicht von erheblicher Bedeutung sein.

Gibt es Fristen oder Verjährungsfragen?

Für die Zulässigkeit einer Datenweitergabe bestehen regelmäßig keine festen Fristen. Allerdings können verschiedene datenschutzrechtliche Pflichten zeitgebunden sein.

Beispielsweise sind Auskunftsersuchen betroffener Personen grundsätzlich innerhalb eines Monats zu beantworten. Zudem können gesetzliche Aufbewahrungspflichten einer sofortigen Löschung entgegenstehen.

Schadensersatz- oder Unterlassungsansprüche unterliegen den jeweils einschlägigen gesetzlichen Verjährungsregelungen. Welche Fristen im Einzelfall gelten, hängt von der Anspruchsgrundlage und den konkreten Umständen ab.

Wann ist eine anwaltliche Prüfung sinnvoll?

Eine rechtliche Prüfung empfiehlt sich insbesondere,

• wenn personenbezogene Daten an Geschäftspartner oder Dienstleister übermittelt werden sollen,
• bei internationalen Datenübermittlungen,
• vor der Einführung neuer digitaler Prozesse,
• bei behördlichen Anfragen,
• nach einer Datenschutzverletzung,
• vor Marketingmaßnahmen mit personenbezogenen Daten,
• bei Zweifeln an der richtigen Rechtsgrundlage,
• wenn Schadensersatzforderungen oder Bußgeldverfahren im Raum stehen.

Gerade bei komplexen Datenflüssen oder mehreren beteiligten Unternehmen lässt sich die datenschutzrechtliche Zulässigkeit häufig nur anhand der konkreten Umstände beurteilen.

Fazit: Datenweitergabe an Dritte sorgfältig rechtlich prüfen

Die Weitergabe personenbezogener Daten an Dritte ist weder grundsätzlich verboten noch uneingeschränkt zulässig. Entscheidend ist, ob eine tragfähige Rechtsgrundlage besteht und die Vorgaben der DSGVO eingehalten werden. Unternehmen sollten Datenübermittlungen sorgfältig dokumentieren, die Rollen der Beteiligten eindeutig bestimmen und internationale Datenflüsse besonders sorgfältig prüfen.

Da die datenschutzrechtliche Bewertung häufig von den konkreten Umständen des Einzelfalls abhängt, kann eine rechtliche Prüfung helfen, Haftungsrisiken, Bußgelder und spätere Streitigkeiten zu vermeiden.

FAQ

Wann darf ich personenbezogene Daten an Dritte weitergeben?

Eine Datenweitergabe ist zulässig, wenn hierfür eine Rechtsgrundlage nach der DSGVO besteht, etwa eine wirksame Einwilligung, die Erforderlichkeit zur Vertragserfüllung, eine gesetzliche Verpflichtung oder ein berechtigtes Interesse nach entsprechender Interessenabwägung.

Ist jede Weitergabe an einen Dienstleister eine Datenweitergabe an Dritte?

Nein. Verarbeitet ein Dienstleister personenbezogene Daten ausschließlich im Auftrag des Verantwortlichen, handelt es sich häufig um eine Auftragsverarbeitung. In diesem Fall gelten besondere Anforderungen, insbesondere der Abschluss eines Vertrags nach Art. 28 DSGVO.

Darf ein Unternehmen Kundendaten an andere Unternehmen weitergeben?

Das ist nur zulässig, wenn eine geeignete Rechtsgrundlage vorliegt und die Datenschutzvorgaben eingehalten werden. Allein eine wirtschaftliche Zusammenarbeit rechtfertigt die Datenweitergabe regelmäßig nicht.

Welche Folgen drohen bei einer unzulässigen Datenweitergabe?

Je nach Sachverhalt kommen Bußgelder, Schadensersatzansprüche, aufsichtsbehördliche Maßnahmen, Unterlassungsansprüche und Reputationsschäden in Betracht. Die konkreten Folgen richten sich nach den Umständen des Einzelfalls.

Wann sollte eine Datenweitergabe rechtlich geprüft werden?

Eine rechtliche Prüfung ist insbesondere bei sensiblen personenbezogenen Daten, internationalen Datenübermittlungen, neuen Geschäftsmodellen, Marketingmaßnahmen oder komplexen Vertragsbeziehungen sinnvoll.