Kommunikation am Bau: Wie arbeiten Sie erfolgreich zusammen?

Die einen nutzen WhatsApp, die anderen E-Mail und so mancher sogar noch das Fax: Die Kommunikationsmittel am Bau sind so vielseitig wie das Bauprojekt selbst. Auch wenn die einzelnen Medien durchaus ihre Vorteile haben mögen, bringen Sie jedoch auch zahlreiche Risiken mit sich. Nicht zuletzt aufgrund der DSGVO, der Datenschutzgrundverordnung, sollten Sie sich gut überlegen, ob Sie weiterhin mit Fax oder WhatsApp arbeiten möchten. Welche Risiken die Kommunikationsmittel mit sich bringen und wie Sie Ihre Kommunikation am Bau verbessern können? Wir schauen genauer hin!

Die Baustelle & die DSGVO: ein kompliziertes Paar

Die Kommunikation am Bau läuft für gewöhnlich so ab, wie es für die beteiligten Firmen am einfachsten ist. Genutzt werden klassische Wege, die möglichst kurz sind und möglichst wenig Zusatzaufwand benötigen. Prinzipiell klingt das durchaus plausibel – wenn da die DSGVO nicht wäre. Die DSGVO, kurz für Datenschutz Grundverordnung, trat Mitte 2019 in Kraft. Mit der Norm passt die EU das Datenschutzrecht an das digitale Zeitalter an und verschärft die Regelungen zum Schutz der persönlichen Daten.

Sie soll in erster Linie sicherstellen, dass unsere persönlichen Daten geschützt sind und gleichzeitig dafür sorgen, dass innerhalb der EU ein freier Datenverkehr gewährleistet werden kann. Dabei ist es ganz gleich, ob die Daten im privaten oder gewerblichen Umfeld erhoben werden. Somit ist Datenschutz auch im Baugewerbe ein relevantes Thema. Welche Regelungen die Verordnung sonst beinhaltet, können Sie auf dieser Hompage nachlesen.

Wenn wir uns nun die klassischen Kommunikationswege der Firmen Bauindustrie und -gewerbe ansehen, fällt schnell auf: Aus DSGVO-Sicht geht es hier nicht mit rechten Dingen zu. Denn weder private Messenger-Dienste wie WhatsApp, noch das Fax entsprechen den Richtlinien.

Das Problem mit WhatsApp am Bau

WhatApp ist ein Messenger-Dienst, der vor allem im privaten Umfeld zum Einsatz kommt. Das WhatsApp eines der meistgenutzten Kommunikationstools auf der Baustelle ist, hatten wir schon länger vermutet. Eine Studie des Marktforschungsinstituts BauInfoConsult bestätigt dies nun mit Zahlen: Über 37 Prozent der Bauunternehmen nutzen WhatsApp als primären unkomplizierten und formlosen Kommunikationskanal zwischen Kunden, Subunternehmern und Kollegen. Bei über 55 Prozent der Bauunternehmen ist WhatsApp in irgendeiner Weise im Einsatz. WhatsApp spielt damit zweifellos eine große Rolle im Arbeitsalltag auf der Baustelle. Ob dies jedoch auch rechtlich unbedenklich ist, beleibt ungeklärt. Daher stellen wir uns die Frage: Ist WhatsApp im Kontext der DSGVO auf der Baustelle noch einsetzbar? Die Datenschutzgrundverordnung sagt dazu ganz klar nein! Warum?

Mit der DSGVO im Hinterkopf wirft die Nutzung von WhatsApp auf der Baustelle drei Probleme auf:

Ist das Fax DSGVO konform?

Ebenso wie WhatsApp ist auch das Fax nach wie vor ein beliebtes Kommunikationsmittel am Bau. Es hat schon immer funktioniert, warum soll das jetzt nicht mehr so sein? Die Bremer Datenschutzbeauftragte Imke Sommer hat hierzu eine klare Meinung: Da die Daten unverschlüsselt übermittelt und für jedem Empfänger einsehbar sind, widerspreche das Fax dem geltenden Recht und sei nicht DSGVO konform. Was bedeutet das nun für Ihre Baustellenkommunikation? Wir haben bei einem Experten nachgefragt!

Fax, DSGVO, Baustelle: Experten-Interview mit Daniel Metz

Daniel Metz ist Rechtsanwalt bei der Kanzlei Graf von Westphalen in München. Spezialisiert auf Bau- und Immobilienrecht, hat er schon diverse Unternehmen bei Fragen und Unstimmigkeiten am Bau beraten. Für uns nimmt der die Risiken der Fax-Kommunikation aus Sicht der DSGVO am Bau unter die Lupe.

Herr Metz, in Bremen wurde das Fax nur erstmals als nicht datenschutzkonform betitelt. Erwarten Sie ähnliche Entscheidungen in anderen Bundesländern?

Obwohl sich die meisten Datenschutzbeauftragte anderer Länder noch nicht zu dieser Angelegenheit geäußert haben, ist davon auszugehen, dass eine Diskussion über die DSGVO-Konformität des Telefaxes als Kommunikationsmittel auch in anderen Bundesländern stattfinden wird. Datenschutzbeauftragten aus NRW, Mecklenburg-Vorpommern, BayLfD haben sich bereits in der Vergangenheit entsprechend der Einschätzung der Bremer Landesdatenschutzbeauftragten zum Datenschutz beim Telefax positioniert. Auch in der Rechtsprechung wird diese Thematik diskutiert.

Das Oberverwaltungsgericht Lüneburg hat in einem aktuellen Beschluss vom 22.07.2020 entschieden, dass eine unverschlüsselte Übermittlung eines Bescheids durch die Behörde an einen Unternehmer rechtswidrig ist. Besonderheit in diesem Fall war, dass der Unternehmer berufsbedingt mit verbotenen Stoffen tätig war. Das OVG Lüneburg ist der Auffassung, dass der Versand mittels Fax nur unter zusätzlichen Sicherheitsvorkehrungen zulässig war.

Welche rechtlichen Risiken/ Probleme birgt das Fax im Hinblick auf die DSGVO?

Nach Ansicht der Bremer Datenschutzbeauftragten (sowie bereits früher: Mecklenburg-Vorpommern; NRW; BayLfD) ist eine Übertragung besonderer Kategorien personenbezogener Daten im Hinblick auf Art. 9 Abs. 1 DSGVO jedenfalls unzulässig, wenn diese ohne weitere Sicherheitsmaßnahme stattfindet. Grund für die Unzulässigkeit im Sinne des Art. 9 Abs. 1 DSGVO sei insbesondere die Tatsache, dass es sich um eine unverschlüsselte Datenübertragung handelt, wodurch der Inhalt des übermittelten Dokuments uU unzuständigen Personen zugänglich wird und folglich eine Gefährdung der Vertraulichkeit der Daten zu befürchten ist. Bisher wurden nämlich beim Versand von Faxen exklusive Ende-zu-Ende-Telefonleitungen genutzt. Aufgrund technischer Änderungen werden jetzt allerdings die Daten paketweise in Netzen transportiert.

Unklar ist noch, ob der Versand personenbezogener Daten nicht immer unzulässig ist. Sofern die Vertraulichkeit der Daten durch eine speziell geschützte Verbindung gewährleistet werden kann, dürfte gegen die Nutzung von Faxgeräten nichts einzuwenden sein. Dies ist im Wege einer Abwägung entsprechend Art. 32 DSGVO zu entscheiden. Es empfiehlt sich dennoch, bei sensiblen Daten im Sinne des Art. 9, 10 DSGVO auf Briefe oder Ende – zu – Ende verschlüsselte Emails zurückzugreifen.

Bei Verstößen drohen diverse Folgen:

• Bereits vor der Stellungnahme der Bremer Beauftragten ist die Übermittlung personenbezogener Daten per Telefax von dem OVG Lüneburg (Beschluss vom 22.07.2020 11 LA 104/19) geahndet worden.
• Ein Verstoß gegen Art. 9 Abs. 1 DSGVO wird gemäß Art. 82 Abs. 5 a DSGVO sanktioniert. Hierin sind Geldbußen bis zu 20 Millionen Euro bzw. bis zu 4 Prozent des weltweiten Unternehmensumsatzes festgelegt. Diese können nur in Ausnahmefällen unterschritten werden (etwa bei natürlichen Personen und einem Verstoß gegen den Datenschutz durch Mitarbeiter).

Warum ist die Kommunikation über Fax vor allem bei Bauprojekten problematisch?

Der übliche Schriftverkehr (Nachträge, Mängelrügen, Bedenken- und Behinderungsanzeigen, Regieberichte) enthält durchweg personenbezogene Daten. Die zuvor dargestellten rechtlichen Probleme gelten also für (fast) den gesamten Schriftverkehr am Bau.

Wie können Akteure im Bauprojekte DSGVO-konform kommunizieren?

Die im Rahmen von Bauprojekten stattfindende Kommunikation stellt eine Form der Verarbeitung personenbezogener Daten im Sinne des Art. 4 Ziff. i DSGVO dar und hat somit datenschutzrechtliche Relevanz. Die Rechtmäßigkeit der Datenverarbeitung richtet sich nach Art. 6 DSGVO. Von besonderer Bedeutung sind in diesem Zusammenhang die Informationspflicht im Sinne des Art. 13 DSGVO sowie das Auskunftsrecht der betroffenen Person im Sinne des Art. 15 DSGVO.

Konkret bedeutet das in der Praxis:

• Informationspflicht: alle Beteiligte am Bauprojekt (Architekt, Fachplaner, Handwerker) trifft die Pflicht, ihre Geschäfts- und Vertragspartner über die in deren Unternehmen stattfindende Art der Verarbeitung personenbezogener Daten zu informieren. Dies kann dadurch realisiert werden, dass das Informationsblatt zur Datenverarbeitung zur Vertragsgrundlage bei jeglicher Form der Beauftragung und Zusammenarbeit gemacht wird, indem es als Anlage beigefügt wird. Ebenso empfehlenswert ist es, standardmäßig in der Email Signatur einen Link mit aufzunehmen, über den die Informationen zur Datenverarbeitung abgerufen werden können.
• Einschaltung von Subunternehmen: in diesem Fall ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abzuschließen.

Wenn Unternehmen noch mit Fax arbeiten: Was können/müssen Geschäftsführer jetzt tun?

Sowohl die Orientierungshilfe von Mecklenburg – Vorpommern aus dem Jahr 2003 als auch der aktuelle Hinweis des BayLfD enthalten einige Empfehlungen zur Gewährleistung einer ausreichenden Vertraulichkeit personenbezogener Daten: Grundsätzlich gilt, dass eine Übertragung sensibler Daten per Telefax nur ausnahmsweise und unter Einhaltung zusätzlicher Sicherheitsvorkehrungen stattfinden darf.

Etwaige Maßnahmen könnten sein:

• Bei Benutzung eines Telefax-Gerätes wir die den zu übertragenden Informationen angemessene Sorgfalt bei der Eingabe der jeweiligen Zielnummer aufgebracht. Vor dem Absenden eines Telefaxes hat der Absender zu prüfen, ob er die richtige Zielnummer gewählt hat. Die Zielnummer erscheint vor dem Absenden im Display des eigenen Gerätes.
• Abruf nur nach Passwort
• Zum Schutz gegen unbefugte Kenntnisnahme auf dem Übertragungsweg oder im Falle einer Fehlleitung kann das Fax durch den Einsatz von Zusatzkomponenten am Fax-Gerät verschlüsselt werden. Eine Entschlüsselung ist dann nur dem rechtmäßigen Empfänger möglich. Dies setzt aber voraus, dass der Empfänger über entsprechende Vorrichtungen verfügt, die es ihm gestatten, den Text wieder zu entschlüsseln. Hierzu sind entsprechende, nicht ganz billige Zusatzeinrichtungen bei Absender und Empfänger erforderlich. Diese Investitionen lohnen sich damit nur bei einem regelmäßigen Fax-Austausch zwischen zwei bestimmten Stellen.

Welche Anforderungen stellen Sie aus rechtlicher Sicht an digitale Kommunikationsmedien?

Um sicherzustellen, dass die Vertraulichkeit personenbezogener Daten ausreichend geschützt ist, bedarf es einer Verschlüsselung der Daten. Diese kann entweder in Form einer Transportverschlüsselung (sog. End-to-End) oder Inhaltsverschlüsselung erfolgen. Bei der Transportverschlüsselung handelt es sich um den Mindeststandard für die Beachtung der Vertraulichkeit personenbezogener Daten. Die Inhaltsverschlüsselung kann hingegen bei Data in Motion und Data at Rest verwendet werden. Data at Rest bezeichnet Daten, welche auf einem Medium (Server, optische Speicher, Bänder etc.) gespeichert sind und nicht bewegt werden. Hier muss allerdings sichergestellt sein, dass keine Sicherungskopie unverschlüsselt auf einem anderen Server in der Cloud gespeichert wird.

Die Inhaltsverschlüsselung betrifft dabei die Daten selbst, nicht das Medium auf oder in dem sie sich befinden. Bei diesem Vorgang wird ein lesbarer Text in einen nicht lesbaren, geheimen Text überführt. Das führt dazu, dass die Informationen nur verfügbar sind, wenn der Leser den passenden Schlüssel besitzt. Hierbei werden in der Regel Meta-Informationen (etwa Absender einer E-Mail, Empfänger und Betreff) nicht verschlüsselt. – das hier habe ich komplett kopiert, ich hätte es glaube ich nicht richtig umformulieren können

Wie können Bauunternehmen persönliche Daten nun bestmöglich schützen?

Unter Berücksichtigung der Auffassung der Bremer Datenschutzbeauftragten sowie der Risiken im Zusammenhang mit der Telefaxkommunikation ist Bauunternehmen bzw. die am Bauprojekt Beteiligten anzuraten, bei Vorhandensein sensibler Daten mit verschlüsselten End-zu-Ende Emails zu kommunizieren. Eine Kommunikation per Email würde keine Nachteile mit sich bringen, insbesondere in Bezug auf das Mangelbeseitigungsverlangen nach §13 Abs. 5 VOB/B sowie auf die Behinderungsanzeige gemäß §6 VOB/B.

Zwingend zu achten ist hierbei auf die Einhaltung der Schriftform. Eine Mängelrüge per Mail genügt beispielsweise der Schriftform nicht! Zur Wahrung der Schriftform (§ 126 BGB) muss die Urkunde vom Aussteller eigenhändig durch Namensunterschrift oder mittels notariell beglaubigten Handzeichens unterzeichnet werden. Alternativ durch qualifizierte elektronisch Signatur (§ 126 a BGB). Nach der Rechtsprechung genügt zur Wahrung der Schriftform ein eingescanntes unterschriebenes Schreiben als PDF-Datei, welches als Anhang einer E-Mail versandt wird. Gleiches gilt auch für die Arbeit mit Projektplattformen, wie sie mittlerweile immer häufiger genutzt werden.

Verabschieden Sie sich von WhatsApp & Fax! Kommunizieren Sie DSGVO-konform am Bau

Um in Sachen Datenschutz kein Risiko einzugehen, sollten Sie somit sowohl von WhatsApp Abstand nehmen als auch das Fax in den Ruhestand schicken und auf ein Medium zurückgreifen, das Ihre persönlichen Daten ausreichend schützt. Ein solches stellt eine Baumanagement Software wie Capmo dar, die Datenschutz groß schreibt. Sei es bei der Baudokumentation, beim Mängelmanagement oder bei der Absprache zu einzelnen Vorgängen: Ihre Daten sind vollständig, nachvollziehbar und DSGVO-konform dokumentiert.

Rechtssicherer Datenaustausch mit Bauleiter App

Dass WhatsApp nicht DSGVO-konform ist, bedeutet nicht, dass dies für andere Tools auch gilt. Ganz im Gegenteil: Mit der richtigen Baustellen-Software sind Sie in Sachen DSGVO bestens aufgestellt. Besonders empfehlenswert sind Programme für die digitale Baudokumentation. Warum? Im Falle einer Rechtsstreitigkeit können Sie damit beweisen, dass Sie jegliche Vorgänge aufgenommen haben, ohne die Datenschutzrechte anderer zu verletzen. Mit der Anmeldung zur App haben diese der Verarbeitung ihrer Daten zugestimmt.

Gleiches gilt für das digitale Mängelmanagement: Da Sie mit dem Bauherren über Ihre Bausoftware kollaborieren, ist dieser über die Anfertigung von Fotos auf deren Baustelle informiert. Fotos, die mithilfe dieser Bausoftware aufgenommen und verschickt werden, erfüllen somit alle Anforderungen der DSGVO. Sollte Ihr Bauherr doch hin und wieder eine Aufnahme zur Ansicht verlangen, haben Sie diese ohne lange Nachforschungen zur Hand – die App speichert alle Fotos zusammen mit den wichtigsten Informationen ab.

Vorsicht bei Videoüberwachung auf der Baustelle

Ebenso wie WhatsApp ein gängiges Kommunikationstool ist, ist die Videoüberwachung ein gängiges Vorgehen auf Baustellen, um die Gewerke im Auge zu behalten. Aus DSGVO-Perspektive ist diese Praxis äußerst riskant. Um keine Verletzung der Datenschutzgrundverordnung zu riskieren, müssten Sie sicherstellen, dass sich jeder, der Ihre Baustelle betritt, bewusst ist, aktuell gefilmt zu werden. Wie das möglich ist? Wir würden sagen kaum. Aus diesem Grund raten wir Ihnen dringend von der Videoüberwachung auf Ihrer Baustelle ab und empfehlen Ihnen, andere Maßnahmen zu ergreifen, um Ihre Gewerke zu steuern.

Alternative Lösungen für mehr Datenschutz im Baugewerbe

Eine Möglichkeit, um Datenschutz im Baugewerbe sicherzustellen, ist beispielsweise die Zusammenarbeit über eine Bausoftware abzuwickeln. In dieser können Sie alle Aufgaben anlegen, zuweisen und haben den Fortschritt stets im Blick. Damit Sie stets über den Fortschritt auf Ihrer Baustelle informiert sind, stellt Capmo Ihnen beispielsweise ein Dashboard zur Verfügung, das Ihnen einen Überblick über Ihre Baustelle gibt. Sollte ein Subunternehmer die Arbeit nicht so erledigen wie erwünscht, sehen Sie dies im Dashboard auf einen Blick. Ob der Verzug auf ein Nickerchen zwischendurch oder eine gemütliche Arbeitsweise zurückzuführen ist, ist im Endeffekt unerheblich. Wichtig ist, dass das Ergebnis stimmt – und für dieses Wissen benötigen Sie keine Videoüberwachung sondern einen Überblick über den Baufortschritt.

Wir empfehlen Ihnen dringend, die DSGVO ernst zu nehmen. Bei Verstößen drohen Strafen von bis zu 20 Mio. € oder 4 Prozent Ihres Jahresumsatzes. Diese Bußgelder können einen erheblichen Einfluss auf die Geschäftslage Ihres Unternehmens haben. Aus diesem Grund sollten Sie das Fax und WhatsApp schleunigst von Ihrer Baustelle verbannen und auf DSGVO-konforme Apps auf Ihrer Baustelle setzen.