Weitergabe von Mitarbeitendendaten im Rahmen von Ausschreibungen (VgV) u.ä.
Viele Planungsbüros beteiligen sich mehr oder weniger regelmäßig an Wettbewerbsverfahren bzw. Ausschreibungen im Rahmen öffentlicher Vergabeverfahren nach der Vergabeverordnung VgV. Für eine Beteiligung am Verfahren ist es erforderlich zahlreiche Dokumente und Nachweise einzureichen. In der Regel gehören dazu auch persönliche Daten von Mitarbeitende, die weit mehr als Namen und Kontaktdaten beinhalten. Dazu zählen i.d.R. Qualifikations-, Fortbildungs- und Erfahrungsnachweise. Mitunter werden auch schon mal das Geburtsdatum und ein Porträtfoto angefordert.
Haben Sie sich selbst oder Ihre Mitarbeitenden Ihnen schon einmal die Frage gestellt, ob das datenschutzkonform ist?
Wird es wohl, ist es doch eine öffentliche Stelle (Behörde, Kommune, etc.), welche nach einer Rechtsverordnung, der VgV, derartige Informationen einfordert. Dem ist nachzukommen, sonst können Sie Ihre Chancen, den Zuschlag zu bekommen, begraben. Aber ist das tatsächlich so? Die letzte Aussage stimmt sicherlich, wenn sie dem nicht nachkommen, sind Sie aus dem Vergabeverfahren wahrscheinlich raus.
Aus datenschutzrechtlicher Sicht ist die Sache aber leider nicht so einfach.
Zum einen ist die Tatsache, dass eine Behörde Daten anfragt und sich anbei auf eine Verordnung stützt, nicht automatisch eine Rechtsgrundlage im Sinne der Datenschutzgrundverordnung. Die Vergabeverordnung gibt das bei genaueren Hinsehen tatsächlich nicht her. Es bedarf einer Rechtsgrundlage für die Behörde und einer für das Planungsbüro. Die Rechtfertigungsgründe der Behörden sollen hier nicht weiter beleuchtet werden, konzentrieren wir uns auf das Planungsbüro!
Die Weitergabe der angesprochenen sensibleren Daten der Mitarbeitenden muss begründet und legitimiert werden. Die Begründung fällt leicht, ersetzt jedoch keine weitergehende Rechtsgrundlage. Zur Durchführung des Beschäftigungsverhältnisses (gemäß § 26 Abs. 1 S. 1 BDSG) ist die Weitergabe besagter Daten nicht nötig und somit legitimiert. Auch ein berechtigtes Interesses des Unternehmens (gemäß Art. 6 Abs. 1 lit. f) als Ergebnis einer Interessenabwägung dürfte in vielen Fällen, angesichts der Sensibilität der betreffenden personenbezogen Daten, schwierig sein. Vorstehendes gilt auch für ARGEn und Bietergemeinschaften, in diesen Fällen ist es auch noch etwas aufwendiger.
Die gute Nachricht ist: Es gibt eine Lösung – die Einwilligung!
Wird eine Einwilligung, welche den Anforderungen des Art.7 DSGVO entspricht (Freiwilligkeit, Informiertheit, Widerrufbarkeit, Rechteaufklärung) von den Mitarbeitenden eingeholt, dann ist die Weitergabe durchaus darstellbar.
Die Einwilligung der betreffenden Mitarbeitenden ist auch nicht für jede Weitergabe, sondern nur einmalig für alle folgenden Fälle einzuholen. Dabei sollte jede Weitergabe protokolliert werden, denn Sie sind den Mitarbeitenden gegenüber auskunftspflichtig an wen welche Daten weitergeben wurden, sofern diese das verlangen.
In der Praxis lässt sich das recht elegant umsetzen, indem eine generelle Einwilligung in alle zustimmungspflichtigen Verarbeitungen eingeholt wird. Dazu zählt neben der hier geschilderten Weitergabe anlässlich von Ausschreibungen auch noch folgendes: Mitarbeitendenfotos auf der Website und Druckerzeugnissen, interne wie externe Weitergabe privater Kontaktdaten, Führen einer Geburtstagsliste außerhalb Personal- und Geschäftsleitung. Die Aufzählung lässt sich fortführen.
Zusammengefasst ist festzustellen, dass nicht alles was praktiziert wird, automatisch datenschutzkonform ist. Aber oftmals ist die Schaffung von Rechtmäßigkeit mit geeigneten Maßnahmen mehr oder weniger leicht möglich.
Autor: Christian Tomaske, Ratio42 Datenschutz für Bau- und Fachplaner, www.ufdi.de