Datenweitergabe
Datenweitergabe bezeichnet die Übermittlung personenbezogener Daten an Dritte außerhalb der eigenen verantwortlichen Stelle. Sie ist nur zulässig, wenn eine Rechtsgrundlage nach Art. 6 DSGVO vorliegt und setzt eine klare Rollenverteilung zwischen Verantwortlichen voraus.
Ausführliche Erklärung
Datenweitergabe liegt vor, sobald personenbezogene Daten an externe Stellen übermittelt werden, die diese als eigenständige Verantwortliche verarbeiten. Dabei ist entscheidend, dass der Empfänger über Zweck und Mittel der Verarbeitung selbst entscheidet und die Daten nicht nur im Auftrag des Übermittlers verarbeitet. Typische Beispiele sind die Weitergabe von Kundendaten an Kooperationspartner, die Übermittlung von Mitarbeiterdaten an Steuerberater oder die Meldung von Daten an Behörden.
Für jede Datenweitergabe ist zwingend eine Rechtsgrundlage nach Art. 6 DSGVO erforderlich. Die wichtigsten sind: die ausdrückliche Einwilligung der betroffenen Person, die Erforderlichkeit zur Vertragserfüllung, eine gesetzliche Verpflichtung oder ein berechtigtes Interesse nach sorgfältiger Interessenabwägung. Entscheidend ist, dass sowohl die übermittelnde als auch die empfangende Stelle jeweils eine eigene Rechtsgrundlage benötigt. Eine rein wirtschaftliche Zusammenarbeit rechtfertigt die Datenweitergabe nicht.
Bei Drittstaatenübermittlungen außerhalb des Europäischen Wirtschaftsraums gelten zusätzliche Anforderungen. Die Übermittlung ist nur zulässig, wenn ein Angemessenheitsbeschluss der EU-Kommission vorliegt, geeignete Garantien wie Standardvertragsklauseln vereinbart wurden oder ein Ausnahmetatbestand nach Art. 49 DSGVO eingreift. Nach der Schrems-II-Rechtsprechung des EuGH müssen Verantwortliche zusätzlich prüfen, ob das Drittland tatsächlich ein angemessenes Schutzniveau gewährleistet, und gegebenenfalls ergänzende Maßnahmen ergreifen.
Wichtig für KMU ist die Abgrenzung zur Auftragsverarbeitung nach Art. 28 DSGVO. Während bei der Auftragsverarbeitung der Dienstleister weisungsgebunden handelt und keine eigene Rechtsgrundlage für die Verarbeitung benötigt, liegt bei der Datenweitergabe eine echte Übermittlung an einen eigenständigen Verantwortlichen vor. Diese Unterscheidung hat erhebliche rechtliche und organisatorische Folgen, da Datenweitergaben dokumentiert, in der Datenschutzerklärung transparent gemacht und gegenüber Betroffenen auskunftspflichtig sind.
Praxisbeispiel
Ein Grazer IT-Beratungsunternehmen mit 18 Mitarbeitern gibt Personaldaten seiner Angestellten an eine externe Steuerberatungskanzlei weiter, die eigenständig über die Verarbeitung dieser Daten entscheidet. Das Unternehmen stützt die Weitergabe auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO, informiert die Mitarbeiter transparent in der Datenschutzerklärung über Empfänger und Zweck und prüft, ob die Steuerberatung die DSGVO-Anforderungen erfüllt.