Wann ist die Weitergabe personenbezogener Daten an Dritte erlaubt?

Sie dürfen personenbezogene Daten nur dann an Dritte weitergeben, wenn diese ein berechtigtes Interesse nachweisen können, es keine weniger eingreifende Möglichkeit gibt, die Daten zu erhalten, und die Interessenabwägung zu ihren Gunsten ausfällt. Kann ein Dritter diese Nachweise nicht erbringen, sind Sie grundsätzlich nicht verpflichtet (und oft auch nicht berechtigt), die Daten offenzulegen. Geben Sie die Daten zu leichtfertig weiter, riskieren Sie Bußgelder und Schadensersatzansprüche gemäß den Datenschutzgesetzen. Im Folgenden finden Sie für jede Situation, in der die Datenübermittlung zulässig bzw. unzulässig ist, Beispiele aus der Rechtsprechung und eine konkrete Schritt-für-Schritt-Anleitung.

Wann ist es erlaubt, personenbezogene Daten an Dritte weiterzugeben?

Fast jedes Unternehmen erhebt und verarbeitet personenbezogene Daten von Kunden, Nutzern oder Lieferanten. Dies zieht Verpflichtungen gemäß der Datenschutz-Grundverordnung (DSGVO) nach sich: Sie müssen diese Daten angemessen schützen und sicherstellen, dass sie nicht nach außen dringen. Doch was passiert, wenn ein Dritter an Sie herantritt und Daten anfordert, beispielsweise um eine Forderung einzutreiben oder Schadensersatzansprüche geltend zu machen? Sind Sie dann zur Herausgabe verpflichtet?

Es gibt kein pauschales „Ja“ oder „Nein“. Ob Sie Daten weitergeben dürfen, hängt von den jeweiligen Umständen ab. Die Rechtsprechung hat hierfür klare Kriterien entwickelt. Kurz gesagt gilt der Grundsatz: Geben Sie Daten nur dann weiter, wenn alle Voraussetzungen erfüllt sind. Möchten Sie zunächst verstehen, welche Regeln generell für Ihre Datenverarbeitungstätigkeiten gelten? Dann lesen Sie mehr zum Thema Datenschutz für Unternehmer.

Die Kriterien aus dem Lycos/Pessers-Urteil

Im vielbeachteten Lycos/Pessers (Oberster Gerichtshof, 25. November 2005, ECLI:NL:HR:2005:AU4019) entschied der Oberste Gerichtshof über einen ähnlichen Sachverhalt. Dieses Urteil zählt nach wie vor zu den wichtigsten Entscheidungen auf diesem Gebiet. Ein Dritter hatte durch auf einer Website veröffentlichte Anschuldigungen einen Schaden erlitten und wollte über den Hosting-Anbieter die Kontaktdaten (Name, Anschrift, Wohnort) des Website-Betreibers erhalten. Der Oberste Gerichtshof formulierte Kriterien, die bis heute als Grundlage dienen. Nur wenn diese Bedingungen erfüllt sind,kann ein Anbieter oder ein Unternehmen zur Herausgabe der Daten verpflichtet werden.

Die vier Kernkriterien sind:

• Es ist hinreichend plausibel, dass die betreffenden Informationen oder das betreffende Verhalten rechtswidrig und für den Dritten schädlich sind.
• Der Dritte hat ein berechtigtes Interesse am Erhalt der Daten.
• Es ist plausibel, dass es im konkreten Fall keine weniger eingreifende Methode , um an die Daten zu gelangen.
• Nach Abwägung der Interessen zwischen dem Dritten, dem Offenlegenden und der Person, deren Daten betroffen sind, überwiegt das Interesse des Dritten das Interesse der offenlegenden Partei.

Hinsichtlich des letzten Punktes sind beispielsweise Faktoren zu berücksichtigen, ob die Weitergabe zu Reputationsschäden oder einer Verletzung der Privatsphäre der betroffenen Person führen könnte. Es geht daher um maßgeschneiderte Lösungen: Jede Anfrage wird individuell geprüft. Wichtig ist auch, dass sich ein Vermittler nicht hinter einer kategor Ablehnungspolitik verstecken kann. Wenn alle Kriterien erfüllt sind und Sie die Anfrage dennoch ablehnen, können Sie selbst haftbar gemacht werden.

Richter beurteilen berechtigte Interessen streng

Dass Richter diese Kriterien nicht leichtfertig behandeln, geht aus der nachfolgenden Rechtsprechung hervor. In einem Fall vor dem Amsterdamer Bezirksgericht wollte ein Verkäufer auf Marktplaats die Daten der Person erhalten, die bei der Versteigerung eines Briefmarken-Losses 6.000 Euro geboten hatte. Laut Verkäufer war durch das Gebot und die Annahme ein Kaufvertrag zustande gekommen.

Der Richter teilte diese Auffassung nicht, da die Nutzungsbedingungen der Plattform vorsahen, dass Gebote nicht bindend seien. Ohne eine gültige Vereinbarung bestanden keine ausreichenden Gründe für die Offenlegung der personenbezogenen Daten. Die Plattform war daher nicht verpflichtet, die Daten herauszugeben.

Nur wenn tatsächlich eine Einigung erzielt und die übrigen Kriterien erfüllt gewesen wären, hätte sich die Situation anders darstellen können. Doch selbst dann hätte der Verkäufer sein berechtigtes Interesse nachweisen müssen, und die Plattform hätte prüfen müssen, ob weniger aufdringliche Alternativen zur Verfügung standen, beispielsweise ob der Verkäufer bereits versucht hatte, über die Chatfunktion Kontakt aufzunehmen. Und selbst dann bliebe die Abwägung der Interessen bestehen.

Die Interessenabwägung könnte sich zugunsten des Einzelnen auswirken

Ein weiterer Fall im Zusammenhang mit Marktplaats verdeutlicht, welch große Bedeutung die Abwägung der Interessen hat. Im Stokke/Marktplaats forderte der Hersteller Stokke die Daten von Anbietern von Hochstühlen an. Es ging dabei um Verkäufer mutmaßlicher Fälschungen, die angeblich die Markenrechte von Stokke verletzten.

Der Richter urteilte, dass Stokkes Interesse geringer sei als das Datenschutzinteresse der privaten Werbetreibenden. Schließlich habe Stokke die Anzeigen kontinuierlich überwacht und Verstöße gemeldet, woraufhin die Plattform die Anzeigen umgehend offline genommen habe. Der verbleibende Schaden sei zu gering, um das Datenschutzinteresse der Privatpersonen aufzuwiegen. Die Rechtsprechung misst den Datenschutzrechten von Privatpersonen ein hohes Gewicht bei.

Welche Risiken gehen Sie ein, wenn Sie Daten zu leichtfertig weitergeben?

Die Übermittlung personenbezogener Daten ohne gültige Rechtsgrundlage stellt selbst eine Datenverarbeitung im Sinne der DSGVO dar. Bei einem Verstoß dagegen können folgende Konsequenzen drohen:

• Überwachung und Durchsetzung durch die niederländische Datenschutzbehörde, was zu Geldstrafen führen kann.
• Schadensersatzansprüche der betroffenen Person, deren Daten unrechtmäßig weitergegeben wurden.
• Reputationsschaden und Vertrauensverlust bei Kunden und Nutzern.

Umgekehrt kann auch die Ablehnung einer berechtigten Anfrage unter Druck eines Richters negative Folgen haben. Daher ist es wichtig, jede Anfrage sorgfältig und nachvollziehbar zu prüfen. Mehr über die Höhe und Wahrscheinlichkeit von Sanktionen erfahren Sie in unserem Artikel über Datenschutzverstöße.

Schritt-für-Schritt-Anleitung: So beurteilen Sie eine Anfrage von einem Dritten

Erhalten Sie eine Anfrage nach personenbezogenen Daten von einem Dritten? Dann befolgen Sie diese Schritte, bevor Sie etwas preisgeben:

1. Verlangen Sie einen Nachweis. Lassen Sie den Dritten nachweisen, dass er ein berechtigtes und tatsächliches Interesse hat.
2. Beurteilen Sie die Rechtswidrigkeit. Ist es hinreichend plausibel, dass ein rechtswidriges und schädliches Verhalten vorlag?
3. Prüfen Sie Alternativen. Stellen Sie sicher, dass der Drittanbieter die Daten auf eine weniger aufdringliche Weise beschaffen kann.
4. Führen Sie eine Interessenabwägung durch. Wägen Sie das Interesse des Dritten gegen die Privatsphäre des betroffenen Individuums und Ihre eigene Position ab.
5. Halten Sie Ihre Entscheidung fest. Dokumentieren Sie, warum Sie die Leistung erbringen oder nicht erbringen, damit Sie Ihre Wahl später begründen können.

Wollen Sie im Voraus klare Vereinbarungen über die Weitergabe von Daten an andere Organisationen treffen? Dann halten Sie dies in einer Datenaustauschvereinbarung, damit Zweck, Rechtsgrundlage und Bedingungen klar definiert sind.

Häufig gestellte Fragen

Bin ich verpflichtet, personenbezogene Daten anzugeben, wenn ein Dritter diese anfordert?

Nicht automatisch. Grundsätzlich müssen Daten nur dann offengelegt werden, wenn der Dritte ein berechtigtes Interesse nachweist, keine weniger eingreifende Alternative besteht und die Interessenabwägung zu seinen Gunsten ausfällt. Erst wenn diese Bedingungen erfüllt sind, kann eine Verpflichtung entstehen, gegebenenfalls durch ein Gerichtsurteil.

Was stellt ein berechtigtes Interesse an der Anforderung von Daten dar?

Es handelt sich dabei um ein konkretes und reales Interesse, beispielsweise die Eintreibung einer Forderung oder die Geltendmachung von Schadensersatzansprüchen aufgrund rechtswidrigen Verhaltens. Ein vager Verdacht oder bloße Neugier genügen nicht. Der Dritte muss sein Interesse begründen können.

Welche Daten werden üblicherweise angefordert?

Dies umfasst häufig Angaben wie Name, Adresse und Wohnort, die es Dritten ermöglichen, eine Person zu identifizieren oder zu kontaktieren, beispielsweise um ein Gerichtsverfahren einzuleiten. Es können auch weitere identifizierende Informationen angefordert werden.

Was passiert, wenn ich Daten falsch teile?

In diesem Fall verarbeiten Sie personenbezogene Daten ohne gültige Rechtsgrundlage. Dies kann zu Maßnahmen der niederländischen Datenschutzbehörde, Bußgeldern und Schadensersatzansprüchen der betroffenen Person führen. Prüfen Sie daher jede Anfrage sorgfältig und dokumentieren Sie Ihre Prüfung.

Muss ich vor der Veröffentlichung der Daten einen Richter einschalten?

Nicht immer, aber im Zweifelsfall ist es ratsam. Dritte können die Herausgabe von Daten gerichtlich erzwingen. Geben Sie Daten freiwillig heraus, obwohl die Voraussetzungen nicht erfüllt sind, tragen Sie selbst das Risiko einer unrechtmäßigen Verarbeitung. Rechtliche Beratung im Vorfeld beugt Fehlentscheidungen vor.

Darf ich Kundendaten an ein Inkassobüro weitergeben, um eine unbezahlte Rechnung einzutreiben?

Um eine Forderung einzutreiben, haben Sie grundsätzlich eine Rechtsgrundlage, die erforderlichen Daten mit dem Gläubiger zu teilen, sofern Sie nur die notwendigen Daten weitergeben und klare Vereinbarungen treffen. Die Weitergabe von Daten an Dritte auf Anfrage ist anders zu handhaben: In diesem Fall gelten die in diesem Artikel dargelegten strengeren Kriterien. Haben Sie eine offene Rechnung und möchten Sie diese an ein Inkassobüro abgeben? Dann informieren Sie sich über unsere beim Forderungseinzug für Unternehmer.

Sind Sie unsicher? Holen Sie sich vorher Rat

Sowohl Gesetzgeber als auch Justiz legen großen Wert auf den Schutz der Privatsphäre Ihrer Nutzer und Kunden. Wenn Sie eine Anfrage nach personenbezogenen Daten erhalten, lassen Sie sich zunächst von dem Dritten ein berechtigtes Interesse nachweisen, prüfen Sie, ob weniger eingreifende Alternativen zur Verfügung stehen, und wägen Sie die Interessen sorgfältig ab. Sie dürfen Daten nur dann herausgeben, wenn all diese Indizien positiv sind.

Sie sind sich unsicher, ob Sie in einem bestimmten Fall Daten weitergeben dürfen? Unsere Wirtschaftsanwälte beraten Sie gerne und prüfen Ihren Antrag gemeinsam mit Ihnen. Informieren Sie sich über unsere Rechtsberatung für Unternehmer oder vereinbaren Sie direkt ein Erstgespräch.