Datenschutz bei FM-Dienstleistungen vertraglich eindeutig regeln
Facility-Management-Dienstleister kommen im laufenden Betrieb häufig mit personenbezogenen Daten in Berührung. Dies betrifft beispielsweise Service-Desk-Systeme, CAFM-Anwendungen mit Nutzerdaten, Zutrittsmanagement, Besucherregistrierung oder andere digital unterstützte Dienstleistungen. Daraus folgt jedoch nicht automatisch, dass für jede FM-Leistung eine Auftragsverarbeitungsvereinbarung erforderlich ist. Entscheidend ist zunächst die datenschutzrechtliche Rollenverteilung.
Eine Auftragsverarbeitung liegt grundsätzlich vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet. Art. 28 DSGVO verlangt dafür einen verbindlichen Vertrag oder einen anderen entsprechenden Rechtsakt. Dieser muss unter anderem Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen sowie Rechte und Pflichten des Verantwortlichen festlegen.
Nicht jeder Zugriff auf Räumlichkeiten oder jede theoretische Möglichkeit, personenbezogene Informationen wahrzunehmen, begründet bereits eine Auftragsverarbeitung. Die BfDI weist beispielsweise darauf hin, dass bei Hilfstätigkeiten wie der Reinigung von Räumen mit Datenverarbeitungsanlagen regelmäßig keine Auftragsverarbeitung vorliegt.
Im FM sollte deshalb für jeden Leistungsbereich konkret geprüft werden:
Prüffrage
Bedeutung
Welche personenbezogenen Daten werden verarbeitet?
Festlegung des tatsächlichen Datenumfangs
Zu welchem Zweck erfolgt die Verarbeitung?
Abgrenzung der datenschutzrechtlichen Rolle
Wer bestimmt Zweck und wesentliche Mittel?
Einordnung als Verantwortlicher oder Auftragsverarbeiter
Welche Systeme werden genutzt?
Ermittlung technischer Zugriffe und Schnittstellen
Werden weitere Dienstleister eingesetzt?
Prüfung von Unterauftragsverhältnissen
Erst aus dieser Rollenklärung ergibt sich, ob eine AVV benötigt wird oder andere datenschutzrechtliche Regelungen zweckmäßiger sind.
AVV und Hauptvertrag müssen zusammenpassen
Ist der FM-Dienstleister Auftragsverarbeiter, sollte die AVV eng mit dem Hauptvertrag verbunden werden. Art. 28 DSGVO verlangt unter anderem eine Verarbeitung auf dokumentierte Weisung, Vertraulichkeit der eingesetzten Personen, geeignete technische und organisatorische Maßnahmen sowie Unterstützung des Verantwortlichen bei seinen datenschutzrechtlichen Pflichten.
Besonders relevant sind im Facility Management Regelungen zu Zugriffsrechten, Berechtigungskonzepten, mobilen Endgeräten, Datenexporten und Schnittstellen zwischen CAFM-, ERP-, Zutritts- oder Service-Desk-Systemen. Die konkreten technischen und organisatorischen Maßnahmen sollten nachvollziehbar beschrieben und bei wesentlichen Änderungen aktualisiert werden.
Auch der Einsatz weiterer Auftragsverarbeiter muss geregelt sein. Der Auftraggeber benötigt Transparenz darüber, welche Unterauftragnehmer personenbezogene Daten verarbeiten und unter welchen Bedingungen Änderungen dieser Struktur zulässig sind. Art. 28 DSGVO stellt auch hierfür Anforderungen.
Daten während des gesamten Vertragslebenszyklus beherrschen
Datenschutz endet nicht mit der laufenden Leistungserbringung. Schon während der Mobilisierung ist festzulegen, welche Daten übernommen werden dürfen und welche Zugriffe eingerichtet werden. Bei einem Dienstleisterwechsel oder Vertragsende muss geregelt sein, welche Daten zurückzugeben oder zu löschen sind und welche Nachweise darüber erforderlich werden.
Ebenso benötigt der Auftraggeber geeignete Kontroll- und Informationsmöglichkeiten. Datenschutzvorfälle müssen unverzüglich in die vereinbarten Melde- und Eskalationswege gelangen, damit der Verantwortliche seine eigenen gesetzlichen Pflichten erfüllen kann.
Eine gute Datenschutzvereinbarung schafft deshalb vor allem Rollenklarheit, begrenzte Datenverarbeitung, kontrollierte Zugriffe und nachvollziehbare Verantwortlichkeiten. Sie sollte nicht als standardmäßiger Formularanhang jedem FM-Vertrag beigefügt werden, sondern genau dort eingesetzt werden, wo die tatsächliche Datenverarbeitung eine Auftragsverarbeitung nach Art. 28 DSGVO begründet.
