Datenschutz auf dem Bau

An einem Bauvorhaben sind viele Parteien beteiligt. Ob Architekt:innen, Fachplanende, Handwerker:innen oder Bauherr:innen – alle haben früher oder später mit den Daten der beteiligten Personen an der Baustelle zu tun. Im Rahmen von Zugangskontrollen werden Ausweise und Personen kontrolliert beziehungsweise gespeichert.

Über diese Speicherung und die Art der Verarbeitung müssen alle Geschäfts- und Vertragspartner:innen dieser Berufsgruppen bei Vertragsabschluss in Kenntnis gesetzt werden. Dazu gehören folgende Informationen.

• Wer ist verantwortlich für die Datenverarbeitung? (Name, Anschrift und Kontaktdaten des Unternehmens beziehungsweise der Geschäftsführung)
• Falls vorhanden: Wer ist der oder die bestellte Datenschutzbeauftragte?
• Welche Art von Daten wird zu welchem Zweck erhoben?
• Auf welcher gesetzlichen Grundlage erfolgt die Verarbeitung der Daten?
• Wie lange werden die erhobenen Daten gespeichert?
• Welche Daten werden an Dritte weitergegeben?

Darüber hinaus sollten die Daten nur über die Dauer des Beschäftigungsverhältnisses gespeichert und danach gelöscht werden. Sie sind Bauherr:in? Dann lesen Sie unseren Ratgeber zu „DSGVO für Auftraggeber:innen“.

Für den Umgang mit Kameras und aufgenommenem Foto- und Videomaterial gilt grundsätzlich: Jede Person, die auf einer solchen Aufnahme identifizierbar ist, hat ein Recht am eigenen Bild und muss nicht nur über die Verwendung des Materials in Kenntnis gesetzt worden sein, sondern dieser auch schriftlich zugestimmt haben. Auch muss das Bauunternehmen ein berechtigtes Interesse am Einsatz von Überwachungskameras nachweisen können.

Alle Personen, die durch ihre Arbeit auf der überwachten Baustelle von Überwachungskameras erfasst werden, müssen darüber aufgeklärt sein. Dazu reicht kein Hinweis-Schild auf der Baustelle - es bedarf einer ausführlichen schriftlichen Aufklärung. Dazu gehört auch die Erklärung, was mit dem gesammelten Material passiert.

Um auf der sicheren Seite zu sein, sollten Unternehmen ihre Angestellten daher am besten schriftlich über die Installation informieren und eine Unterschrift zur Kenntnisnahme der Aufklärung verlangen. Können zum Beispiel aufgrund von zu niedriger Auflösung keine Personen identifiziert werden, liegen auch keine personenbezogenen Daten vor und die Regelungen der DSGVO kommen nicht zum Tragen.

Sind aufgenommene Personen aber identifizierbar, sollte auch darauf geachtet werden, dass Nachbargrundstücke nicht im Randbereich des Bildausschnitts aufgenommen werden. Zwar gibt es keine offizielle Regelung zur Zulassung von Aufzeichnungen, auf denen Nachbar:innen auftauchen. Da Baustellen in der Nachbarschaft den Bewohner:innen allerdings häufig negativ auffallen, sollte man vorsichtig sein und auf die Auswahl des Bildausschnitts achten.

Anders als oftmals angenommen, dürfen Subunternehmer:innen für die Verarbeitung von Daten eingesetzt werden. Dafür gelten allerdings bestimmte Regeln. So müssen Auftragnehmer:innen dazu entweder auf schriftlichem oder auf elektronischem Wege eine Genehmigung der Auftraggeber:innen einholen. In der Anfrage müssen Name und Anschrift sowie die vorgesehene Tätigkeit des Subunternehmens mitgeteilt werden.

Auftragnehmer:innen erklärt sich außerdem automatisch dafür verantwortlich, dass das Subunternehmen unter Berücksichtigung der technischen und organisatorischen Maßnahmen sorgfältig und sachgemäß ausgewählt wurde. Auch die relevanten Prüfunterlagen für diese Angelegenheit sind den Auftraggeber:innen auf Anfrage zukommen zu lassen. Im Vertrag mit dem Subunternehmen müssen Auftragnehmer:innen vereinbarte Regelungen und Verantwortlichkeiten deutlich voneinander abgrenzen.

Die Weiterleitung von Daten an Subunternehmen ist erst zulässig, wenn dieses folgenden Pflichten bezüglich seiner Beschäftigten nachkommt:

• Jede Person, die den Auftrag verarbeitet, darf diese Daten ausschließlich auf Weisung der Verantwortlichen bearbeiten (außer sie sind nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet)
• Personenbezogene Daten müssen pseudonymisiert und verschlüsselt werden.
• Die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste müssen durchgehend gewährleistet sein und im Falle eines physischen oder technischen Zwischenfalls rasch wiederhergestellt werden können.
• Es muss eine regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Gewährleistungsmaßnahmen stattfinden.

Für die Beauftragung von Subunternehmen in Drittstaaten müssen die in Art. 44-50 DSGVO genannten Voraussetzungen erfüllt sein. Dazu gehören zum Beispiel der Angemessenheitsbeschluss der Kommission, die Standarddatenschutzklauseln und genehmigte Verhaltensregeln.

WhatsApp ist der gängigste und am häufigsten verwendete Kommunikationsdienst auf der Baustelle: Über 37 Prozent der Bauunternehmen nutzen diese App für ihre Absprachen. Im Zusammenhang mit den Richtlinien der DSGVO gibt es bei der Nutzung von WhatsApp allerdings einige Probleme und Grauzonen, auf die man achten sollte:

Problem #1: Kontaktzugriff

Mit dem Installieren von WhatsApp auf dem Handy hat die App in der Regel Zugriff auf alle gespeicherten Kontaktdaten, darunter auch die Kontaktdaten von Kund:innen, mit denen ein Bauunternehmen Kontakt hat. Rechtlich wird diese Freigabe der Kontaktdaten als Austausch zwischen zwei Firmen gesehen – was ohne Einwilligung der betroffenen Kund:innen und Kolleg:innen als illegal und damit strafbar gilt. Die Datenschutz-Einstellungen in der App bieten allerdings die Möglichkeit, den Zugriff auf Kontakte zu verweigern. Zahlreiche YouTube-Tutorials helfen bei diesem Vorgehen.

Problem #2: Fotos von der Baustelle

Unter Kolleg:innen auf der Baustelle ist es üblich, Fotos von zum Beispiel Mängeln oder dem Fortschritt der Arbeitsschritte festzuhalten und per WhatsApp zu verschicken. „Da WhatsApp Zugriff auf dieses Bild erhält, handelt es sich um eine Datenübertragung an WhatsApp, für die der betroffene Kunde jedoch keine Einwilligung erteilt hat“, stellt Dr. Markus Peifer, Datenschutzexperte vom Zentralverband des Deutschen Handwerks (ZDH), fest. Die Einholung einer Einwilligung der Kund:innen, dass Bilder von der Baustelle untereinander versendet werden, ist daher eine wichtige Absicherung.

Problem #3: Nachweis über Mängel im Falle einer Gewährleistung

Fotos von Mängeln, Schäden oder vergleichbaren Vorfällen zu verschicken kann im Falle einer Gewährleistung (vorliegender Fall von Pfusch am Bau) problematisch werden. Denn wenn ein solcher Gewährleistungsfall eintritt, müssen die Bilder gesichert und leicht auffindbar sein. Sollten die Bilder durch Löschung, Updates oder gar neue Smartphones abhandenkommen, drohen womöglich noch höhere Strafen, als durch die Verletzung der DSGVO.

Alternative zur WhatsApp-Kommunikation auf Baustellen

Wem die Nutzung von WhatsApp für den Bau zu riskant ist, der kann auf Alternativen umsteigen. So bieten Baustellen-Softwares unter anderem die Möglichkeit, digitale Baudokumentation zu betreiben. Diese Apps fordern von allen Benutzer:innen bereits zu Anfang die Einwilligung zur Verarbeitung persönlicher Daten. Fotos, die mithilfe dieser Bausoftware aufgenommen und auch versendet werden, erfüllen durch die Verknüpfung und vorherige Informierung der Bauherr:innen und Beteiligten alle Anforderungen der DSGVO. Programme zur digitalen Baudokumentation unterstützen Sie zudem im Mängelmanagement sowie im Falle eines Rechtsstreites: In beiden Fällen können Sie datenschutzkonform Daten, Bilder und Dokumente mit Bauherr:innen und anderen Instanzen teilen. Durch die Zustimmung Dritter erfüllen diese Plattformen die Richtlinien. Außerdem werden alle verschickten Daten und Fotos gespeichert, sodass geteilte Inhalte stets abrufbar sind.

Die Corona-Pandemie hat auch nicht vor den Baustellen oder dem Datenschutz halt gemacht. Ein wichtiger Aspekt ist die Kontaktnachverfolgung im Falle einer Infektion. Sollte sich ein Mitarbeiter:innen mit dem Virus infiziert haben, lässt sich so leicht feststellen, welche weiteren Mitarbeiter:innen Kontakt mit der infizierten Person hatte. Dank der Dokumentation lassen sich so leichter Ausbrüche verhindern und eindämmen. Wichtig ist, dass alle betroffenen Mitarbeiter:innen im Vorfeld darüber informiert werden, dass ihre Daten zum Zweck der Nachverfolgung von Infektionsketten gesammelt und gespeichert werden. Dabei sollte auch über die Verwendung der Daten berichtet werden.