Kurz beantwortet
Darf ich Kundendaten an Kollegen weitergeben?
Nur mit eigener Rechtsgrundlage: Arbeitet der Kollege weisungsgebunden für dich, genügt ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, ist er ein eigener Vermittler, brauchst du in aller Regel die informierte Einwilligung deines Kunden.
Ausführlich
Die längere Antwort
Kundendaten an Kollegen weitergeben ist datenschutzrechtlich kein Nebenschauplatz, sondern eine eigene Verarbeitung. Art. 4 Nr. 2 DSGVO zählt die Offenlegung durch Übermittlung ausdrücklich auf. Sie braucht deshalb ihre eigene Grundlage nach Art. 6 Abs. 1 DSGVO – der Vertrag mit deinem Kunden deckt sie fast nie ab, denn er hat dich beauftragt und nicht deinen Kollegen.
Die entscheidende Frage lautet: Für wen arbeitet der andere? Deine Assistenz, dein Backoffice, dein Softwareanbieter handeln auf deine Weisung. Das ist Auftragsverarbeitung, geregelt in einem Vertrag nach Art. 28 DSGVO, und dafür musst du den Kunden nicht fragen. Ein Kollege mit eigener Erlaubnis nach § 34d oder § 34f GewO entscheidet dagegen selbst über Zwecke und Mittel. Er wird eigener Verantwortlicher, und damit ist die Weitergabe eine Übermittlung an einen Dritten.
Für diesen Fall ist die Einwilligung des Kunden der saubere Weg. Sie muss benennen, wer die Daten bekommt, welche Daten das sind und wozu. Ein pauschales Häkchen für Partnerunternehmen trägt nicht. Sind Gesundheitsangaben dabei, etwa aus einer Kranken- oder Berufsunfähigkeitsversicherung, genügt Art. 6 DSGVO nicht: Solche Daten verlangen zusätzlich die ausdrückliche Einwilligung nach Art. 9 Abs. 2 Buchstabe a DSGVO. Denk auch an dein Berufsrecht: Wer nach § 34d GewO vermittelt, schuldet seinem Kunden Beratung und Dokumentation nach § 61 VVG. Die Akte gehört zu diesem Mandat und nicht in einen gemeinsamen Topf, aus dem sich mehrere bedienen.
Die häufigsten Fälle sehen harmlos aus und sind es nicht. Du machst keine Baufinanzierung und reichst den Fall an den Kollegen im Nachbarort. Du gehst in Urlaub und schickst deiner Vertretung eine Liste. Du übergibst einen Bestand. In allen drei Fällen entscheidet der Kunde, nicht die Kollegialität. Der einfachste Weg ist oft der direkte: Frag ihn, ob du den Kontakt herstellen darfst, und lass ihn selbst entscheiden, wem er sich öffnet.
Halte fest, was du weitergegeben hast, und trage die Verarbeitung in dein Verzeichnis nach Art. 30 DSGVO ein. Wer später Auskunft geben muss, ist froh über eine Zeile, die er nur vorlesen muss, statt über eine Erinnerung, die er rekonstruieren müsste. Einwilligung und Protokoll benennen jeweils:
- Den Empfänger mit Namen, nicht als Gattungsbegriff.
- Die Datenarten: Kontaktdaten, Verträge, Gesundheitsangaben.
- Den Zweck, so eng gefasst, wie die Weitergabe wirklich reicht.
- Die Dauer oder das Ereignis, mit dem die Weitergabe endet.
- Den Hinweis, dass der Kunde jederzeit widerrufen kann, und wie.
Grundlage
Worauf sich das stützt
Art. 4 Nr. 2 DSGVO (Übermittlung ist Verarbeitung), Art. 6 Abs. 1 DSGVO für die Rechtsgrundlage, Art. 9 Abs. 2 Buchstabe a DSGVO für Gesundheitsdaten, Art. 28 DSGVO für die Auftragsverarbeitung und Art. 30 DSGVO für das Verzeichnis; berufsrechtlich § 34d GewO und § 61 VVG. Ob dein Fall Übermittlung oder Auftragsverarbeitung ist, gehört vor der ersten Weitergabe zu einem Anwalt.
Zuletzt geprüft am 09. September 2026.
Passt dazu
Aus einer Antwort wird noch kein Termin.
Bestandsgold macht aus zufriedenen Kunden Empfehlungen – mit Vorschlägen, die du in dreißig Sekunden freigibst.