Bauprojekte und Datenschutz – Fragen aus der Praxis von Bauherren und Auftragnehmern

Wir fassen an dieser Stelle einige „Brennpunkte“ aus unserer Praxis für Auftraggeber und Auftragnehmer zusammen. Dies vor allem, weil viele falsche Empfehlungen und Vorgehensweisen als Wandersagen und Mythen unterwegs sind. So werden ständig Nachweise und Vorgaben in Sachen Bauprojekte und Datenschutz gemacht, die jeglicher gesetzlicher Vorgabe entbehren.

Ein öffentlicher Auftraggeber ist nach § 46 VgV (Vergabeordnung) befugt, vorab die technische und berufliche Leistungsfähigkeit eines Bieters oder Bewerbers zu prüfen. Das ist verständlich, denn er muss sichergehen, dass der Bewerber oder Bieter über die nötigen personellen und technischen Mittel verfügt und in der Lage ist, den Auftrag in angemessener Qualität auszuführen. Nur bei Lieferaufträgen, für die Verlege- oder Installationsarbeiten erforderlich sind und bei Dienstleistungsaufträgen darf öffentliche Auftraggeber die berufliche Leistungsfähigkeit auch anhand der Fachkunde, Effizienz, Erfahrung und Verlässlichkeit beurteilen.

Im eigenen geschäftlichen Interesse, um den Auftrag zu bekommen, werden Sie diese Nachweise erbringen, um damit Ihre Zuverlässigkeit zu belegen. Es lässt sich in der Regel nicht vermeiden, dass diese Unterlagen personenbezogene Daten enthalten, z.B. von Ihnen als Führungskraft, Inhaber oder Ihrer technischen Fachkräfte, aber auch die Ihrer Referenzkunden. Das können Namen, Kontaktdaten, Zertifikate, Urkunden, Lebensläufe oder unter Umständen auch Angaben zu Straftaten sein.

Fazit:

Keine Frage, ja. Im Einklang mit dem Datenschutz-Grundsatz der „Datenminimierung“ gemäß Artikel 5 1 c) DS-GVO müssen die Daten für die Zwecke der Verarbeitung auf das notwendigste Maß beschränkt sein. Nicht zwingend müsste beispielsweise ein Referenzkunde mit vollständigen Kontaktdaten angegeben werden.

Sollten Sie Ihre Mitarbeiter bei Bauprojekten im Ausland einsetzen, kann sich die Erforderlichkeit der Datenübermittlung anders gestalten. Beispielsweise bei Entsendung der Mitarbeiter nach Belgien müssen diese über das LIMOSA-Portal den belgischen Sozialversicherungsbehörden gemeldet werden.

Kein Vergabeverfahren kommt um Berücksichtigung von datenschutzrechtlichen Normen herum. Die Daten dürfen, um einige Beispiele zu nennen, nur zu benannten Zwecken verarbeitet werden, sie unterliegen dem Datengeheimnis, dürfen nur einem engen Kreis von Berechtigten zugänglich sein, nur für eine begrenzte Zeit gespeichert werden, nicht ohne weiteres an Dritte weitergegeben werden und müssen mit angemessenen technisch-organisatorischen Maßnahmen geschützt sein. Zusätzlich muss der verantwortliche Bauträger sicherstellen, dass die Datenschutzrechte von Betroffenen (gemäß Artikel 15-22 DSGVO) gewahrt werden. So haben Sie unter anderem Anspruch darauf zu erfahren, welche personenbezogenen Daten der Bauträger über Sie gespeichert hat und wie er sie verarbeitet.

Die vollständige Antwort auf Ihre Fragen sollten Ihnen die Datenschutz-Hinweise des Bauträgers geben. Der Bauträger nimmt die Daten der betroffenen Personen auf und ist zeitgleich gesetzlich dazu verpflichtet, sie über die Verarbeitung zu informieren (Artikel 13 und 14 DS-GVO). Üblicherweise liegen die Datenschutz-Hinweise bereits den Vergabeunterlagen bei. 

In der täglichen Praxis erleben wir, dass in puncto Datenübermittlung auf beiden Seiten oft Konfliktsituationen entstehen. Der Auftraggeber hat auf der einen Seite die (gesetzlich begründete) Pflicht, einen Nachweis der Eignung dem öffentlichen Bauträger vorzulegen. Außerdem möchte er im eigenen Interesse die Kontaktdaten der Mitarbeiter für die Zutrittskontrolle zur Baustelle nutzen. Auch sollen im Falle der Kontrolle der Zollbehörde die Identitäten leichter dargelegt werden können, um die Prüfung zu beschleunigen.

Auf der anderen Seite stehen die Mitarbeiter des Subunternehmens, von denen eine ganze Reihe an personenbezogenen Daten übermittelt werden soll. Das ist auch im Werkvertrag mit dem Auftraggeber so vereinbart. Die Mitarbeiter nach ihrer Einwilligung zur Datenweitergabe zu fragen, erscheint am einfachsten – dies scheitert jedoch am Thema Freiwilligkeit, mit der eine Einwilligung im Beschäftigtenverhältnis abgegeben werden müsste. In Anlehnung an den §26 Bundesdatenschutzgesetz (BDSG) – dieser regelt die Datenverarbeitung im Beschäftigungsverhältnis- kann es effektiver sein, Datenschutzregelungen im Arbeitsvertrag zu prüfen und gegebenenfalls Klauseln zu ergänzen, die eine Datenübermittlung an Auftraggeber für Zwecke wie Vergabeverfahren oder Identifikation bei Betreten der Baustelle erlauben würden.

Fazit: 

Die Nichteinhaltung ist bußgeldbewährt. Zu Ihrer Enthaftung sollten Sie eine schriftliche Information und Anweisung aushändigen, die Einhaltung kontrollieren und in der Personalakte protokollieren.

Von Mitarbeiter aus nicht EU-/EWR-Mitgliedstaaten könnten weitere Dokumente (wie Aufenthaltstitel) verlangt werden.

Im Ausland, z.B. Österreich oder Italien ist der Baustellenausweis gesetzlich vorgeschrieben. In Belgien muss mitunter die LIMOSA-Meldung mit sich geführt werden.

Grundsätzlich ist es die Verantwortung der (Videodaten-)verarbeitenden Stelle, datenschutzkonforme Regelungen zu treffen. Das kann zum Beispiel das Bauunternehmen sein, dass auch die ein Generalverantwortung für das Projekt hat. Unabhängig davon ist fraglich, ob eine Einwilligung in die Videoüberwachung geeignet ist, da sie freiwillig erfolgen muss und jederzeit widerrufen werden kann.

Das Bauunternehmen darf die Baustelle mit Videotechnik überwachen. Er muss dafür die Zwecke und sein berechtigtes Interesse glaubhaft darlegen und dafür sorgen, dass die Persönlichkeitsrechte Ihrer Mitarbeiter gewahrt werden. Sollte die Videoüberwachung zur Dokumentation von Diebstählen und Vandalismus dienen, reicht es, wenn die Kameras erst nach Beendigung der Tätigkeit aktiviert werden. Soll der Baufortschritt dokumentiert werden, würden Panorama-Aufnahmen reichen, auf denen die Mitarbeiter nicht mehr identifizierbar sind. Oder die Technik ermöglicht es für Momentaufnahmen, Mitarbeiter unkenntlich zu machen, zum Beispiel durch Auspixeln.

Verpflichtend ist für den Verantwortlichen, Ihre Mitarbeiter auf die Videoüberwachung hinzuweisen. So muss die entsprechende Beschilderung obligatorische Angaben nach Artikel 12 und 13 DS-GVO enthalten, wie Name und Kontaktdaten des Verantwortlichen, Zweck(e) und Rechtsgrundlage(n) der Verarbeitung, Empfänger, Speicherdauer und Rechte der Betroffenen.

Sollte die verantwortliche Stelle beabsichtigen, Kontaktlisten mit dem Zweck der Nachverfolgung von COVID19-Infektionsketten führen, sind die eingesetzten Mitarbeiter über die Datenverarbeitung zu Informieren. Es empfiehlt es sich aus pragmatischen Gründen, die Kontaktdatenerfassung separiert von den Anmeldeunterlagen vorzunehmen.