Datenschutzrechtlicher Umgang mit Geschäftspartner-Daten

Zur Frage, ob man auch bei Daten von Geschäftspartnern die DSGVO beachten muss, sagt Art. 1 Abs. 2 DSGVO: „Diese Verordnung schützt die Grund- rechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten.“

Die DSGVO findet daher ausschließlich Anwendung, wenn es um die Daten natürlicher Personen geht. Erwägungsgrund Nr. 14 der DSGVO erläutert hierzu weiter: „Der durch diese Verordnung gewährte Schutz sollte für die Verarbeitung der personenbezogenen Daten natürlicher Personen ungeachtet ihrer Staatsangehörigkeit oder ihres Aufenthaltsorts gelten. Diese Verordnung gilt nicht für die Verarbeitung personenbezogener Daten juristischer Personen und insbesondere als juristische Person gegründeter Unternehmen, einschließlich Name, Rechtsform oder Kontaktdaten der juristischen Person.“

Folglich findet die DSGVO ausschließlich Anwendung auf Daten, die einem einzelnen Menschen zugeordnet werden können. Im Umkehrschluss bedeutet das somit, dass die DSGVO keine Anwendung findet auf Daten, die einem Unternehmen (wie beispielsweise einer Aktiengesellschaft, GmbH), einer Genossenschaft, einer Stiftung, einem eingetragenen Verein oder sonstigen juristischen Personen zuzuordnen sind.

Die Daten von Geschäftspartnern sind dann datenschutzrechtlich relevant, wenn sie einer ganz bestimmten Person zugeordnet werden können. Insofern sind Daten von Ansprechpartnern der Unternehmen ebenso DSGVO-konform zu behandeln wie Daten von Privatpersonen.

Geht man somit davon aus, dass auch die Daten von Geschäftspartnern personenbezogene Daten nach der DSGVO sind, müssen auch alle Datenschutzgrundsätze bei der Verarbeitung solcher Daten eingehalten werden. Verantwortliche sollten demnach

• vor jeder Verarbeitung (Erheben, Speichern, Übermitteln, etc. – Art. 4 Nr. 2 DSGVO) prüfen, ob auch eine Rechtsgrundlage vorliegt,
• ihre Geschäftspartner transparent über die Datenverarbeitung informieren,
• sicherstellen, dass auch die Stammdaten der Geschäftspartner durch ordnungsgemäße technische und organisatorische Maßnahmen vor Zugriffen Unbefugter geschützt sind,
• ihre Geschäftspartnerdaten löschen oder anonymisieren, wenn der Zweck für den sie erhoben wurden, weggefallen ist,
• nur die personenbezogenen Daten ihrer Ansprechpartner bzw. Geschäftspartner speichern, die auch für den Zweck erforderlich sind (so wenig wie möglich, so viel wie nötig).

(Quelle: Datenschutz-Notizen vom 22. September 2022)