Datenschutz bei Tragwerksplanern: Subunternehmer rechtssicher einbinden

Datenschutz bei Tragwerksplanern: Subunternehmer rechtssicher einbinden

Inhaltsverzeichnis

Einleitung: Die Herausforderung der Datenweitergabe im Ingenieurbüro

In der Tragwerksplanung ist es gängige Praxis, bei Auftragsspitzen oder für spezielle Berechnungen auf die Expertise von freien Mitarbeitern oder spezialisierten Sub-Büros zurückzugreifen. Diese flexible Zusammenarbeit ermöglicht es Ingenieurbüros, agil zu bleiben und Projekte effizient abzuwickeln. Doch mit der Weitergabe von Projektdaten an Dritte entsteht eine erhebliche datenschutzrechtliche Verantwortung. Baupläne, Adressdaten von Bauherren, Gutachten oder statische Berechnungen enthalten oft personenbezogene Daten, die dem Schutz der Datenschutz-Grundverordnung (DSGVO) unterliegen. Die Sicherstellung einer DSGVO-konformen Zusammenarbeit zwischen Tragwerksplaner und Subunternehmer ist daher keine bloße Formalität, sondern eine rechtliche Notwendigkeit und ein Zeichen professioneller Sorgfalt.

Warum Datenschutz für Tragwerksplaner unverzichtbar ist

Auf den ersten Blick mag der Datenschutz im technischen Umfeld der Statik als sekundär erscheinen. Doch der Schein trügt. Personenbezogene Daten sind in fast jedem Projekt vorhanden:

  • Bauherrendaten: Name, Anschrift, Kontaktdaten und weitere Informationen zum Eigentümer einer Immobilie sind klassische personenbezogene Daten.
  • Objektdaten: Adressen und Katasterdaten (Liegenschaftskataster) lassen einen direkten Rückschluss auf den Eigentümer zu und fallen somit unter die DSGVO. Auch Geodaten oder 3D-Punktwolken aus Laserscans können personenbezogen sein, wenn sie mit einer identifizierbaren Person verknüpft werden können.
  • Mitarbeiterdaten: Werden Daten von Mitarbeitern des Auftraggebers oder anderer Projektbeteiligter ausgetauscht, unterliegen auch diese dem Datenschutz.
  • BIM-Daten: Building Information Modeling (BIM) Plattformen enthalten eine Fülle an Informationen. Werden hier Daten zu Nutzern oder Eigentümern gespeichert, sind robuste Berechtigungskonzepte unerlässlich, um den Zugriff zu regeln.

Als Tragwerksplaner oder Inhaber eines Ingenieurbüros sind Sie der Verantwortliche im Sinne der DSGVO für alle Daten, die Sie im Rahmen Ihrer Projekte erheben und verarbeiten. Geben Sie diese Daten an einen Subunternehmer weiter, bleiben Sie für deren rechtmäßige Verarbeitung verantwortlich. Eine Verletzung des Datenschutzes durch den Subunternehmer fällt auf Sie zurück.

Gesetzliche Grundlagen: DSGVO bei der Zusammenarbeit mit Subunternehmern

Die DSGVO schafft einen klaren rechtlichen Rahmen für die Weitergabe von personenbezogenen Daten. Im Kontext der Zusammenarbeit mit externen Dienstleistern sind vor allem zwei Instrumente von Bedeutung: der Auftragsverarbeitungsvertrag (AVV) und die Geheimhaltungsvereinbarung (NDA).

Wann ist ein Auftragsverarbeitungsvertrag (AVV) notwendig?

Ein Auftragsverarbeitungsvertrag ist immer dann zwingend erforderlich, wenn ein Subunternehmer personenbezogene Daten im Auftrag und nach Weisung des Tragwerksplaners verarbeitet. Dies ist der Regelfall, wenn Sie einem freien Mitarbeiter oder einem anderen Büro Projektdaten zur Verfügung stellen, damit dieser für Sie Berechnungen durchführt, Pläne zeichnet oder Gutachten erstellt. Der Subunternehmer handelt hier nicht eigenverantwortlich, sondern als Ihr “verlängerter Arm”.

Die Kriterien für eine Auftragsverarbeitung sind:

  • Weisungsgebundenheit: Der Subunternehmer darf die Daten nur für die von Ihnen definierten Zwecke und nach Ihren Vorgaben verarbeiten. Er hat keinen eigenen Ermessensspielraum bezüglich des Zwecks und der Mittel der Verarbeitung.
  • Keine eigene Fachverantwortung: Der Subunternehmer erbringt eine reine Dienstleistung. Berät er Sie hingegen als externer Fachexperte und trifft eigene Entscheidungen über die Datenverarbeitung (z. B. ein Anwalt oder Steuerberater), liegt in der Regel keine Auftragsverarbeitung vor. Bei der Beauftragung eines anderen Statikers zur reinen Durchführung von Berechnungen liegt jedoch typischerweise eine Auftragsverarbeitung vor.

Der Abschluss eines AVV ist keine Option, sondern eine gesetzliche Pflicht gemäß Art. 28 DSGVO. Fehlt dieser Vertrag, liegt ein Datenschutzverstoß vor.

Die Rolle von Geheimhaltungsvereinbarungen (NDAs)

Eine Geheimhaltungsvereinbarung, auch Non-Disclosure Agreement (NDA) genannt, dient dem Schutz von Geschäftsgeheimnissen und vertraulichen Informationen. Sie verpflichtet den Subunternehmer zur Verschwiegenheit über Projekt- und Unternehmensinterna. Ein NDA ist ein wichtiges Instrument, um Ihre wirtschaftlichen Interessen zu schützen.

Wichtig: Ein NDA ersetzt niemals einen Auftragsverarbeitungsvertrag! Während das NDA die Vertraulichkeit regelt, legt der AVV die spezifischen datenschutzrechtlichen Pflichten bei der Verarbeitung personenbezogener Daten fest. Beide Verträge können und sollten bei Bedarf nebeneinander existieren.

Der Auftragsverarbeitungsvertrag (AVV): Inhalte und Fallstricke

Ein AVV muss bestimmte, von der DSGVO vorgegebene Inhalte aufweisen. Ein formloser Vertrag reicht nicht aus. Zu den wesentlichen Bestandteilen gehören:

  • Gegenstand und Dauer der Verarbeitung: Was genau soll mit den Daten geschehen und für wie lange?
  • Art und Zweck der Verarbeitung: Z. B. “Durchführung statischer Berechnungen für das Bauvorhaben XY”.
  • Art der personenbezogenen Daten: Z. B. “Name, Anschrift des Bauherrn, Flurstücknummer”.
  • Kategorien betroffener Personen: Z. B. “Bauherren, Grundstückseigentümer”.

Pflichten des Subunternehmers

Der AVV muss den Subunternehmer (Auftragsverarbeiter) unter anderem zu Folgendem verpflichten:

  • Verarbeitung der Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Tragwerksplaner).
  • Gewährleistung der Vertraulichkeit der verarbeitenden Personen.
  • Umsetzung geeigneter technischer und organisatorischer Maßnahmen (TOMs), um die Datensicherheit zu gewährleisten.
  • Keine Beauftragung weiterer Subunternehmer ohne vorherige Genehmigung des Tragwerksplaners.
  • Unterstützung des Tragwerksplaners bei der Erfüllung der Rechte betroffener Personen (z. B. Auskunftsersuchen).
  • Meldung von Datenschutzverletzungen an den Tragwerksplaner.
  • Nach Abschluss der Arbeiten: Löschung oder Rückgabe aller personenbezogenen Daten.

Rechte des Tragwerksplaners als Verantwortlicher

Als Auftraggeber haben Sie nicht nur Pflichten, sondern auch Rechte, die im AVV verankert sein müssen. Dazu gehören insbesondere Kontroll- und Weisungsrechte. Sie müssen das Recht haben, die Einhaltung der vertraglichen und gesetzlichen Vorgaben beim Subunternehmer zu überprüfen, beispielsweise durch Inspektionen oder die Anforderung von Nachweisen.

Technische und organisatorische Maßnahmen (TOMs)

Ein zentraler Punkt im AVV ist die Beschreibung der TOMs. Der Subunternehmer muss nachweisen, wie er die Sicherheit der ihm anvertrauten Daten gewährleistet. Dazu gehören Maßnahmen wie:

  • Zugangskontrolle: Wer hat physischen Zugang zu den Datenverarbeitungsanlagen?
  • Zugriffskontrolle: Wer darf auf die Daten zugreifen (z. B. durch Passwörter, Berechtigungskonzepte)?
  • Weitergabekontrolle: Wie wird die Sicherheit der Daten bei der Übertragung gewährleistet (z. B. durch Verschlüsselung)?
  • Datentrennung: Werden die Daten verschiedener Auftraggeber getrennt verarbeitet?

Praktische Umsetzung: Best Practices für die datenschutzkonforme Kooperation

Die datenschutzrechtliche Absicherung bei der Beauftragung von Subunternehmern durch Tragwerksplaner erfordert einen strukturierten Prozess, der über den reinen Vertragsabschluss hinausgeht.

Auswahl und Prüfung von Subunternehmern

Beginnen Sie die Sorgfaltspflicht bereits vor der Beauftragung. Wählen Sie Ihre Partner sorgfältig aus. Fragen Sie potenzielle Subunternehmer gezielt nach deren Datenschutzmaßnahmen. Kann der Dienstleister keine überzeugenden Nachweise über seine Datensicherheitskonzepte vorlegen, sollten Sie von einer Zusammenarbeit absehen. Vertrauen ist gut, aber ein schriftlicher Nachweis ist im Datenschutz unerlässlich.

Dokumentation und Nachweispflichten

Dokumentieren Sie den gesamten Prozess. Bewahren Sie den geschlossenen AVV sowie alle Nachweise (z. B. Zertifikate, Beschreibungen der TOMs) sorgfältig auf. Gemäß der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO müssen Sie jederzeit nachweisen können, dass Sie die Vorgaben der Verordnung einhalten. Diese Dokumentation ist bei einer Prüfung durch die Aufsichtsbehörde entscheidend.

Schulung und Sensibilisierung

Stellen Sie sicher, dass nicht nur Ihre eigenen Mitarbeiter, sondern auch Ihre externen Partner für das Thema Datenschutz sensibilisiert sind. Klären Sie im Rahmen der Zusammenarbeit auf, welche Daten besonders schutzwürdig sind und welche Prozesse eingehalten werden müssen. Eine klare Kommunikation von Beginn an verhindert Missverständnisse und reduziert Risiken.

Risiken und Konsequenzen bei Nichteinhaltung der DSGVO

Die Missachtung der Pflichten aus der DSGVO kann schwerwiegende Folgen haben. Ein fehlender oder mangelhafter Auftragsverarbeitungsvertrag stellt einen bußgeldbewährten Verstoß dar. Die Aufsichtsbehörden können Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängen. Weitaus gravierender können jedoch die indirekten Folgen sein: Reputationsverlust bei Bauherren und Geschäftspartnern, zivilrechtliche Schadensersatzansprüche und der Verlust von Aufträgen. Ein professioneller Umgang mit dem Datenschutz ist somit auch ein wichtiger Faktor für den wirtschaftlichen Erfolg Ihres Ingenieurbüros.

Fazit: Wie MUNAS Consulting Sie beim Datenschutz unterstützt

Die Zusammenarbeit mit Subunternehmern ist für Tragwerksplaner ein wichtiger Baustein für Flexibilität und Effizienz. Die damit verbundene Datenweitergabe erfordert jedoch eine sorgfältige rechtliche Absicherung, um den Anforderungen der DSGVO gerecht zu werden. Ein lückenloser Auftragsverarbeitungsvertrag (AVV) ist dabei das zentrale Instrument. Er schützt nicht nur die Daten Ihrer Kunden, sondern auch Ihr eigenes Büro vor empfindlichen Bußgeldern und Reputationsschäden.

Die korrekte Gestaltung und Prüfung dieser Verträge sowie die Auswahl geeigneter Dienstleister erfordern spezifisches Fachwissen. MUNAS Consulting unterstützt Sie als spezialisierter Partner für den Datenschutz für Ingenieurbüros dabei, rechtssichere Prozesse zu etablieren. Wir helfen Ihnen bei der Erstellung und Prüfung von AV-Verträgen und entwickeln mit Ihnen gemeinsam praxistaugliche Lösungen, damit die DSGVO-konforme Zusammenarbeit zwischen Tragwerksplaner und Subunternehmer für Sie zu einer sicheren Routine wird.

Thematisch passende Beiträge