In der Übersicht
Für die Kalkulation des Gerüstes schickt der Betrieb einige Bilder an den Gerüstbauer. Auch das gehört zum üblichen Ablauf. Der Auftrag kommt später nicht zustande.
Dann wird es unangenehm: Eines der Fotos gelangt über den Gerüstbauer zu einer Mitarbeiterin und wird von ihr in einem privaten Rechtsstreit verwendet. Der Kunde verlangt die Löschung seiner Daten und veröffentlicht anschließend eine kritische Google-Rezension wegen eines Datenschutzvorfalls.
Wo lag der Fehler?
Nicht unbedingt beim Fotografieren. Und auch die Weitergabe an den Gerüstbauer war nach anwaltlicher Einschätzung grundsätzlich möglich.
Entscheidend war etwas anderes: Der Kunde war offenbar nicht ausreichend darüber informiert worden, dass seine Daten und Fotos bereits während der Angebotserstellung an beteiligte Handwerksbetriebe weitergegeben werden können.
Denn Fassadenfotos können personenbezogene Daten sein, wenn sie beispielsweise über die Adresse oder das Kundenprojekt einer Person zugeordnet werden können.
Die wichtigste Erkenntnis daraus:
DSGVO bedeutet nicht, für jeden Arbeitsschritt eine Einwilligung einzuholen. DSGVO bedeutet vor allem, transparent zu sagen, welche Daten wofür verarbeitet werden und wer sie erhalten kann.
Für Malerbetriebe heißt das: Datenschutzhinweise dürfen kein Standardtext sein, der irgendwo auf der Website liegt. Sie müssen den tatsächlichen Betriebsablauf beschreiben.
Wer bei der Angebotserstellung Fotos macht und diese beispielsweise an Gerüstbauer, Energieberater oder andere Partner weitergibt, sollte genau das in seinen Datenschutzhinweisen abbilden.
Der beste Datenschutzprozess ist deshalb nicht der mit den meisten Unterschriften.
Es ist der Prozess, bei dem das, was im Betrieb tatsächlich passiert, mit dem übereinstimmt, was dem Kunden vorher erklärt wurde.
Handlungsleitfaden zur Einhaltung der DSGVO
