Virtuelles Büro und DSGVO

Wer haftet für die Daten — Sie oder der Betreiber

Sagen wir es deutlich, weil es oft missverstanden wird: Die Auslagerung der Büroorganisation erlaubt es, sich auf das operative Geschäft zu konzentrieren, entbindet aber nicht von der Verantwortung für die Verarbeitung personenbezogener Daten. Outsourcing verschiebt die Ausführung, nicht die Verantwortung dafür.

Verantwortlicher im Sinne der DSGVO ist Ihr Unternehmen. Sie entscheiden, wozu die Daten erhoben werden und was mit ihnen geschieht. Der Betreiber des virtuellen Büros verarbeitet sie in Ihrem Auftrag und ist insoweit Auftragsverarbeiter. Die Aufteilung klingt formal, die Folge ist praktisch: Versagt der Betreiber, bleibt die Verantwortlichkeit dennoch bei Ihrem Unternehmen.

Die DSGVO erlaubt die Beauftragung nur bei einem Dienstleister, der hinreichende Garantien für geeignete Schutzmaßnahmen bietet. Die Prüfung des Betreibers ist damit keine Vorsicht und keine gute Praxis — sie ist Pflicht des Verantwortlichen, also Ihre. Es ist die Pflicht, die am häufigsten vergessen wird, weil sie wie eine Höflichkeit gegenüber dem Vertragspartner aussieht.

Auf welcher Rechtsgrundlage der Betreiber Ihre Daten verarbeitet

Die Frage klingt akademisch und entscheidet etwas sehr Praktisches: was Sie verlangen können und was nicht. Die Verarbeitung stützt sich auf eine Rechtsgrundlage und nicht auf guten Willen, und im virtuellen Büro laufen zwei Grundlagen gleichzeitig.

Keine davon ist die Einwilligung — und das ist hier das häufigste Missverständnis. Die Folge ist konkret: Eine Einwilligung lässt sich jederzeit widerrufen, diese beiden Grundlagen nicht. Wenn ein Betreiber Sie um die Einwilligung in eine Verarbeitung bittet, die zur Vertragserfüllung erforderlich ist, versteht er entweder seine eigenen Pflichten nicht oder nutzt die Einwilligung als Schirm für etwas anderes, etwa Marketing. Fragen Sie dann, worauf sich diese Einwilligung genau bezieht.

Die Einwilligung hat in dieser Beziehung einen berechtigten Platz: Zwecke jenseits der Leistung und jenseits des Gesetzes. Newsletter, Werbematerial, Weitergabe an einen Partner. Diese Einwilligung dürfen Sie verweigern, und die Leistung muss weiterlaufen.

Warum der Betreiber Ihre Daten überhaupt hat

Das Bereitstellen einer Geschäftsadresse fällt unter die Vorschriften zur Bekämpfung der Geldwäsche. Der Betreiber ist verpflichtetes Institut und muss, bevor er die Adresse überlässt, die Identität des Kunden und des wirtschaftlich Berechtigten feststellen. Das Ausweisdokument, um das er beim Vertragsschluss bittet, ist keine Übergenauigkeit.

Gerade diese Daten verarbeitet der Betreiber nicht auf Ihre Weisung, sondern weil ein Gesetz es ihm vorschreibt. Andere Rechtsgrundlage, andere Regeln: Sie lässt sich nicht widerrufen, und der Betreiber darf die Unterlagen nicht früher löschen, selbst wenn Sie beide es wollten. Er bewahrt sie fünf Jahre nach Ende der Geschäftsbeziehung auf. Dieselbe Pflicht bestimmt, welche Unterlagen er bei der Eintragung des Unternehmens unter der Adresse verlangt.

Ein Betreiber, der nicht nach einem Ausweisdokument fragt, schützt nicht Ihre Privatsphäre — er bricht das Gesetz. Er ist das Risiko, nicht derjenige, der fragt.

Was ein Dienstleistungsvertrag nicht ersetzt

Der Adressvertrag regelt die Leistung: was der Betreiber tut, zu welchem Preis und für welche Dauer. Die Beauftragung zur Datenverarbeitung verlangt ein eigenes Dokument nach Art. 28 DSGVO, und es muss vier Punkte klären. Unsere Vertragsbedingungen finden Sie auf der Seite zum virtuellen Büro.

Brauchen Sie ein Verzeichnis von Verarbeitungstätigkeiten?

Sehr wahrscheinlich ja — und das überrascht die meisten Einzelunternehmen, denn Art. 30 DSGVO beginnt mit einer Ausnahme, die wie eine Befreiung klingt.

Die Ausnahme sagt, dass ein Unternehmen mit weniger als 250 Beschäftigten kein Verzeichnis führen muss. Unmittelbar danach nimmt sie das mit drei Bedingungen zurück: Die Pflicht kehrt zurück, wenn die Verarbeitung ein Risiko für die Rechte und Freiheiten der Betroffenen bergen kann, wenn sie nicht nur gelegentlich erfolgt oder wenn besondere Datenkategorien betroffen sind. Die zweite Bedingung frisst die Ausnahme in der Praxis auf — Kundenbetreuung, Rechnungsstellung und Postbearbeitung sind laufende und nicht gelegentliche Verarbeitung.

Was folgt daraus für das virtuelle Büro: Seine Nutzung schafft keine neue Pflicht, sondern fügt einen Eintrag in ein Verzeichnis ein, das Sie ohnehin führen sollten. Sie tragen die an einen Auftragsverarbeiter übergebene Postbearbeitung ein — Datenkategorien, Zweck, Speicherdauer und Empfänger. DSGVO-Dokumentation in einem kleinen Unternehmen besteht meist aus zwei Dingen: diesem Verzeichnis und den Auftragsverarbeitungsverträgen mit Dienstleistern, die Daten in Ihrem Auftrag verarbeiten. Der Betreiber führt ein eigenes Verzeichnis der Kategorien — das ist seine Pflicht, nicht Ihre, und es ersetzt Ihre nicht.

Die Informationspflicht — wem Sie was sagen müssen

Art. 13 DSGVO verlangt, dass Sie die Personen, deren Daten Sie erheben, darüber informieren, was damit geschieht. Eine Datenschutzerklärung ist keine Formsache für große Unternehmen: Sie betrifft jeden, der Kunden, Geschäftspartner oder ein Kontaktformular hat.

Das virtuelle Büro kommt an einem konkreten Punkt ins Spiel — bei den Kategorien der Empfänger. Wenn Sie die Postbearbeitung einem Betreiber übertragen, ist er Empfänger der Daten in der an Ihr Unternehmen gerichteten Post, und Ihre Datenschutzerklärung sollte das abbilden. Ein Name ist nicht nötig; eine Kategorie genügt, etwa „Anbieter von Postbearbeitung und Geschäftsadressen”.

Der Schutz der Privatsphäre Ihrer Kunden endet genau dort, wo die Genauigkeit dieser Formulierung endet. Wenn Ihre Datenschutzerklärung keinen einzigen Auftragsverarbeiter nennt, Sie aber ein virtuelles Büro, ein Buchhaltungsbüro und einen Mail-Hoster nutzen, entspricht sie nicht den Tatsachen.

Was der Betreiber mit Ihrer Post tun darf

Der Schutz der Korrespondenz beginnt nicht bei der DSGVO und endet nicht dort. Das Kommunikationsgeheimnis garantiert Art. 49 der polnischen Verfassung, und das unbefugte Lesen fremder Post ist eine Straftat nach Art. 267 des Strafgesetzbuchs — unabhängig davon, was die Parteien vertraglich vereinbart haben.

Das Scannen ist zulässig, weil es in Ihrem Auftrag und in Ihrem Namen erfolgt. Das Lesen zu anderen Zwecken wird durch keine Vertragsklausel zulässig.

Die Sicherheit der Post entscheidet sich dabei nicht auf der Ebene von Erklärungen, sondern daran, wie viele Personen Zugang zu ihr haben. Art. 32 DSGVO spricht von Maßnahmen, die dem Risiko angemessen sind — bei einem behördlichen Papierbrief ist die angemessene Maßnahme ein enger Personenkreis und die Kontrolle der Herausgabe, nicht Technik. Datensicherheit beginnt hier bei einer verschlossenen Tür und nicht bei Software.

Die 72-Stunden-Frist gehört Ihnen, nicht dem Betreiber

Das ist der Punkt, den Sie weder in Preislisten noch in den meisten Ratgebern finden, und er entscheidet, ob Sie an einem schlechten Tag rechtzeitig sind. Eine Sendung an die falsche Person herauszugeben oder ein Schreiben zu verlieren ist eine Verletzung des Schutzes personenbezogener Daten — keine organisatorische Panne, sondern ein Vorgang mit eigenem Verfahren.

Das Verfahren ist asymmetrisch, und das ist das Entscheidende daran:

Der Schluss ist unbequem und einfach: Der Betreiber entscheidet, wann Ihre Frist zu laufen beginnt. Solange er nicht anruft, haben Sie nichts zu melden — und ruft er eine Woche später an, müssen Sie sich gegenüber der Behörde und den betroffenen Personen erklären. Der Wortlaut von Art. 33 ändert daran nichts. Der Vertrag schon.

Deshalb sollte im Auftragsverarbeitungsvertrag eine in Stunden bemessene Frist stehen und nicht das Wort „unverzüglich”. Das ist keine überzogene Forderung und kein Entgegenkommen des Betreibers: Art. 28 Abs. 3 lit. f DSGVO verpflichtet den Auftragsverarbeiter, den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 zu unterstützen, also auch aus Art. 33. Eine Frist im Vertrag ist genau diese Pflicht, konkret statt allgemein formuliert.

Zwei Dinge sollten Sie vorher wissen, um im Ernstfall keine Zeit zu verlieren. Die Meldung an die polnische Behörde erfolgt ausschließlich elektronisch über biznes.gov.pl, signiert mit qualifizierter Signatur oder Vertrauensprofil — wenn Sie keines davon haben, besorgen Sie es, bevor Sie es brauchen. Und wenn Sie innerhalb von 72 Stunden nicht alle Informationen zusammenbekommen, reichen Sie eine vorläufige Meldung ein und ergänzen sie später; die Frist zu versäumen ist schlimmer als eine unvollständige Meldung.

Was Sie fragen sollten, bevor Sie Daten anvertrauen

Eine ausweichende Antwort auf eine der sieben folgenden Fragen sagt mehr über einen Betreiber aus als alle seine Sicherheitsversprechen zusammen. Sie betreffen ausschließlich die Verarbeitung personenbezogener Daten — nach der Leistung selbst fragen Sie getrennt.

Wie das bei The Nest läuft

Den Auftragsverarbeitungsvertrag schließen wir standardmäßig zusammen mit dem Adressvertrag, nicht auf Nachfrage. Zugang zu einer Sendung hat vom Eintreffen im Gebäude bis zur Übergabe an den Kunden ausschließlich die Rezeption — kein organisatorisches Detail, sondern eine Sicherheitsmaßnahme, denn Behörden- und Gerichtspost enthält Daten, die niemand außer dem Empfänger sehen sollte.

Über die Adresse in der Piękna 49 laufen jährlich rund zweitausend Sendungen, die meisten davon Einschreiben. Die Rezeption nimmt die Post am selben Werktag entgegen; benachrichtigte Einschreiben holen wir im Auftrag des Kunden bei der Filiale ab. Je kürzer der Weg einer Sendung und je weniger Hände daran beteiligt sind, desto weniger Stellen gibt es, an denen der Datenschutz versagen könnte.

Nach dem Geldwäschegesetz erhobene Daten bewahren wir die gesetzlich vorgeschriebenen fünf Jahre auf und sagen das vor Vertragsschluss, nicht danach. Wie die Website selbst Daten verarbeitet, steht in der Datenschutzerklärung.