Die längere Antwort
Wer Kundendaten an Kollegen weitergibt, verarbeitet sie im Sinne der DSGVO. Art. 4 Nr. 2 DSGVO zählt die Offenlegung durch Übermittlung ausdrücklich auf. Sie braucht deshalb ihre eigene Grundlage nach Art. 6 Abs. 1 DSGVO. Der Vertrag mit deinem Kunden deckt sie fast nie ab, denn er hat dich beauftragt.
Die entscheidende Frage lautet: Für wen arbeitet der andere? Deine Assistenz, dein Backoffice, dein Softwareanbieter handeln auf deine Weisung. Das ist Auftragsverarbeitung, geregelt in einem Vertrag nach Art. 28 DSGVO, und dafür musst du den Kunden nicht fragen. Ein Kollege mit eigener Erlaubnis nach § 34d oder § 34f GewO entscheidet dagegen selbst über Zwecke und Mittel. Er wird eigener Verantwortlicher, und damit ist die Weitergabe eine Übermittlung an einen Dritten.
Für diesen Fall ist die Einwilligung des Kunden der saubere Weg. Sie muss benennen, wer die Daten bekommt, welche Daten das sind und wozu. Ein pauschales Häkchen für Partnerunternehmen trägt nicht. Sind Gesundheitsangaben dabei, etwa aus einer Kranken- oder Berufsunfähigkeitsversicherung, genügt Art. 6 DSGVO nicht: Solche Daten verlangen zusätzlich die ausdrückliche Einwilligung nach Art. 9 Abs. 2 Buchstabe a DSGVO. Denk auch an dein Berufsrecht: Wer nach § 34d GewO vermittelt, schuldet seinem Kunden Beratung und Dokumentation nach § 61 VVG. Die Akte gehört zu diesem Mandat.
Die häufigsten Fälle sehen harmlos aus und sind es nicht. Du machst keine Baufinanzierung und reichst den Fall an den Kollegen im Nachbarort. Du gehst in Urlaub und schickst deiner Vertretung eine Liste. Du übergibst einen Bestand. In allen drei Fällen entscheidet der Kunde. Der einfachste Weg ist oft der direkte: Frag ihn, ob du den Kontakt herstellen darfst, und lass ihn selbst entscheiden, wem er sich öffnet.
Halte fest, was du weitergegeben hast, und trage die Verarbeitung in dein Verzeichnis nach Art. 30 DSGVO ein. Wer später Auskunft geben muss, ist froh über eine Zeile, die er nur vorlesen muss. Einwilligung und Protokoll benennen jeweils:
- Den Empfänger mit Namen.
- Die Datenarten: Kontaktdaten, Verträge, Gesundheitsangaben.
- Den Zweck, so eng gefasst, wie die Weitergabe reicht.
- Die Dauer oder das Ereignis, mit dem die Weitergabe endet.
- Den Hinweis, dass der Kunde jederzeit widerrufen kann, und wie.
Worauf sich das stützt
Art. 4 Nr. 2 DSGVO (Übermittlung ist Verarbeitung), Art. 6 Abs. 1 DSGVO für die Rechtsgrundlage, Art. 9 Abs. 2 Buchstabe a DSGVO für Gesundheitsdaten, Art. 28 DSGVO für die Auftragsverarbeitung und Art. 30 DSGVO für das Verzeichnis; berufsrechtlich § 34d GewO und § 61 VVG. Ob dein Fall Übermittlung oder Auftragsverarbeitung ist, klärst du vor der ersten Weitergabe.
Fundstellen
Die Gesetzestexte stehen beim Bundesministerium der Justiz, die Artikel der Datenschutz-Grundverordnung bei dsgvo-gesetz.de.
- Dieser Beitrag ist keine Rechtsberatung. Für deinen Einzelfall frag deinen Anwalt. ↩