Source: http://www.argedaten.at/php/cms_monitor.php?q=PUB-TEXT-ARGEDATEN&s=54227pnj
Timestamp: 2019-06-24 20:23:59
Document Index: 264452206

Matched Legal Cases: ['Art 5', 'Art 6', 'Art 6', 'Art 5', 'Art 83', 'Art 82']

Dürfen Kundendaten im Zuge einer Reparatur an Hersteller weitergegeben werden?
DSGVO Art 5-6, 82-83
Keine gesetzlichen Datenweitergabeverpflichtungen gegeben - Es sind daher die anderen Weitergabemöglichkeiten der DSGVO zu beachten - Im Regelfall wird die Einwilligung des Kunden notwendig sein - Detailhändlern könnten wichtige Kunden abgeworben werden - Kundendaten könnten für schwarze Listen über qualitätsbewusste Konsumenten missbraucht werden - Sanktionen drohen
Längere Gewährleistungsfristen, aber auch ein erhöhtes Qualitäts- und Garantiebewusstsein, führen dazu, dass immer öfter Reparaturen und Wartungen an Konsumgeräten durchgeführt werden. Auf Grund zunehmender Arbeitsteilung, im Sinne des 'Outsourcings', übertragen immer mehr Hersteller und Generalimporteure ihre Wartungs- und Serviceverpflichtungen an Fremdunternehmen. Diese Betriebe agieren auf eigene Kosten und Risiko und werden zu direkten Ansprechpartnern des Detailhandels.
Im Garantiefall entstehen somit zwangsläufig zusätzliche Datenströme, die den gesetzlichen Datenschutzbeschränkungen unterliegen.
Reparaturdaten sind personenbezogene Daten gemäß DSGVO
Die Reparaturdaten sind im Normalfall personenbezogene Daten in Hinblick auf den Betroffenenkreis Kunde (Konsument), der das Gerät zur Reparatur bringt.
Würden sich aus dem Gerät auch gesundheitsbezogene Rückschlüsse oder etwa Rückschlüsse auf sexuelle Neigungen ziehen lassen, dann wären dies sogar besonders geschützte personenbezogene Daten. Dies ist aber im Regelfall, etwa bei einem Haushaltselektrogerät nicht der Fall und bleibt daher in Folge unberücksichtigt.
Verarbeitung von Reparaturdaten
Grundsätzlich haftet der Detailhändler gegenüber dem Konsumenten für die Funktionsfähigkeit eines Gerätes. Somit darf (muss) der Händler jedenfalls diese Daten zum Zwecke der Reparatur verarbeiten. Er darf diese Daten auch zur Eigenwerbung verarbeiten.
Da er die Reparatur im Regelfall nicht selbst vornimmt, darf er jene Daten, die für die Erteilung eines Reparaturauftrags unbedingt erforderlich sind auch ohne Einwilligung des Konsumenten an einen Reparaturbetrieb weitergeben (Art 6 DSGVO). Da die Kenntnis der Personaldaten des Konsumenten in den meisten Fällen für die Reparatur nicht erforderlich ist, dürfen diese Daten nicht weitergegeben werden. Soll aber direkte Rücksprache mit dem Konsumenten gesichert werden, wird eine Datenweitergabe notwendig sein. Ebenso dürfen die Konsumentendaten auch mit Einwilligung des Betroffenen weitergegeben werden. Auch wenn sich der Betroffene, auf Ratschlag des Händlers, direkt an den Reparaturbetrieb wendet, darf der Reparaturbetrieb diese Daten verarbeiten.
Datenweitergabe an Hersteller, Generalimporteure oder sonstige Großhändler
In der Regel führen Hersteller oder Generalimporteure keine Reparaturen durch, der Konsument wird auch keine direkte vertragliche Bindung gegenüber diesen Unternehmen haben. Darüber hinaus bestehen in den meisten Fällen auch keine unmittelbaren gesetzlichen Haftungs- und Gewährleistungsansprüche gegenüber Hersteller oder Generalimporteur.
Auch für den Reparaturbetrieb wird es für die Bestellung von Ersatzteilen oder Reparaturhilfen nicht notwendig sein, Personendaten bekannt zu geben. Serien- und Typennummern der Geräte, Chargenangaben usw. sind ausreichend um fachgerecht die Ersatzteile zu bestellen und die Reparaturen sachgerecht durchzuführen. Selbst wenn zwischen Reparaturbetrieb und Hersteller ein Vertragsverhältnis (Kooperationsvertrag) besteht, kann dieser Vertrag niemals in die Datenschutzrechte der betroffenen Konsumenten eingreifen, die in den meisten Fällen gar kein Vertragsverhältnis zum Reparaturbetrieb haben, sondern nur zum Detailhändler.
Kunden können von Detailhändlern abgeworben werden
Tatsächlich wollen immer mehr Hersteller und Importeure die Daten jener Personen, die Geräte zur Reparatur bringen. Der Zweck dieser Forderung ist unklar. Zwar wird von Seiten der Hersteller argumentiert, dass man diese Kunden besser mit Produktinformationen versorgen wolle, doch ist dies wenig glaubhaft. In den meisten Fällen bestehen überhaupt keine Direktvertriebswege. Dort wo diese bestehen oder aufgebaut werden sollen, würde eine Weitergabe der Kundendaten letztlich auch nachteilig für den Detailhändler sein, dessen Kunden abgeworben werden könnten. Damit würde der Händler langfristig seinen Kundenstock verlieren.
Schwarze Listen lästiger Kunden könnten entstehen
Darüber hinaus kann aber auch die Datenweitergabe für den Kunden selbst nachteilig sein. Aufmerksame Konsumenten, die alle Mängel reklamieren und reparieren lassen, die auf die Einhaltung der vollen Gewährleistungsfrist bestehen, könnten als 'lästig' eingestuft werden und in Zukunft einen erschwerten Zugang zu Geräten eines Herstellers oder einer ganzen Branche haben. Vergleichbares ist mittlerweile bei Banken, Telekomunternehmen und Versicherungen gang und gäbe, Hausverwalter denken an den Aufbau derartiger 'schwarzer' Listen.
Grundsätzlich können Konsumentendaten dann weitergegeben werden, wenn der Betroffene ausdrücklich eingewilligt hat. Fehlt diese Einwilligung, sollte unter Hinweis auf die Datenschutzbestimmungen die Weitergabe verweigert werden.
Die Weitergabe von Kundendaten ohne Rechtfertigung sowie Einwilligung gemäß Art 6 DSGVO verletzt den Grundsatz von Treu und Glauben des Art 5 DSGVO und kann als schwerwiegender Vertrauensbruch angesehen werden.
Unzulässige Datenweitergabe an Hersteller
Sofern eine Datenweitergabe an Hersteller ohne Einwilligung des Konsument erfolgt, sollten betroffene Konsumenten sofort vom Händler/Reparaturbetrieb eine Unterlassungserklärung verlangen, dass in Zukunft ihre Daten nicht mehr weitergegeben werden, dem Hersteller sollte eine Unterlassungserklärung abverlangt werden, dass die erhaltenen Daten nicht mehr verarbeitet werden. Mitglieder der ARGE DATEN können entsprechende Muster anfordern.
Technische Risken der Datenweitergabe
Selbst wenn die Datenweitergabe zulässig ist, also die Einwilligung des Betroffenen vorliegt, ist darauf zu achten, dass zumutbare und dem Stand der Technik angemessene Sicherheitsbestimmungen bei der Datenübermittlung und Datenverarbeitung eingehalten werden. Die Übermittlung über Webportale, die nicht einmal eine SSL-Verschlüsselung anbieten, kann sicher nicht als ausreichend eingestuft werden.
Verstöße gegen die Datenschutz-Grundsätze und die unrechtmäßige Verarbeitung personenbezogener Daten können eine Geldstrafe von bis zu 20 Mio. Euro oder bei Unternehmen von bis zu 4 % des letzten weltweiten Jahresumsatzes verhängt werden (Art 83 Abs 5 DSGVO). Die Datenschutzbehörde ist für die Verhängung der Geldstrafe zuständig. Weiters können betroffenen Personen bei materiellen oder immateriellen Schäden Schadenersatz geltend machen (Art 82 DSGVO). Die Zivilgerichte (NICHT die Datenschutzbehörde) sind zuständig für Schadenersatzklagen.