Ein Tier-1-Zulieferer aus Baden-Württemberg erhält eine Anfrage seines OEM-Kunden: Innerhalb von vier Wochen soll ein vollständiges Datenschutz-Audit nachgewiesen werden – andernfalls droht der Ausschluss aus dem Lieferantenstamm. Szenarien wie dieses begegnen uns in der Mandatspraxis zunehmend häufig. Die Automobilzulieferindustrie steht im Schnittpunkt mehrerer Datenströme: Fahrzeugtelemetrie, Fertigungsdaten, Lieferantennetzwerke, Connected-Car-Protokolle und grenzüberschreitende Konzernstrukturen erzeugen täglich personenbezogene Daten in einem Ausmaß, das viele mittelständische Zulieferer noch vor wenigen Jahren nicht für möglich gehalten hätten.
DSGVO-Compliance für Unternehmen in der Automobilzulieferindustrie bezeichnet die rechtssichere Erfüllung aller Anforderungen der Datenschutz-Grundverordnung (DSGVO) sowie des Bundesdatenschutzgesetzes (BDSG) entlang der gesamten Lieferkette – von der Fertigungsdatenverarbeitung bis zur Weitergabe personenbezogener Daten an OEM-Partner und Konzernmütter. Verstöße können Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes nach sich ziehen; Geschäftsführer haften daneben zivilrechtlich gegenüber der eigenen Gesellschaft. Wer die strukturellen Risiken kennt und systematisch adressiert, schützt nicht nur das Unternehmen, sondern erhält zugleich die Geschäftsbeziehung zu datenschutzsensiblen OEM-Kunden.
Dieser Branchenreport analysiert die spezifischen DSGVO-Risiken der Automobilzulieferindustrie, zeigt den einschlägigen Rechtsrahmen auf und leitet konkrete Handlungsempfehlungen für Geschäftsführer mittelständischer Zulieferer ab.
Rechtsrahmen: Welche Normen gelten für Automobilzulieferer?
Die Datenschutz-Grundverordnung (DSGVO) gilt unmittelbar in allen EU-Mitgliedstaaten; das Bundesdatenschutzgesetz (BDSG) ergänzt sie auf nationaler Ebene. Für Automobilzulieferer ist entscheidend, dass die DSGVO nicht nur den Umgang mit Kundendaten, sondern auch mit Beschäftigtendaten, Lieferantendaten und technischen Daten erfasst, sofern diese einen Personenbezug aufweisen – also einer natürlichen Person zugeordnet werden können. Fahrzeug-Identifikationsnummern, Werkerpersonalnummern auf Fertigungsprotokollen oder IP-Adressen in Produktionsnetzwerken sind klassische Beispiele aus dem Zulieferalltag.
Rechtsgrundlagen der Verarbeitung (Art. 6 DSGVO) müssen für jeden Verarbeitungsvorgang konkret vorliegen. Im Beschäftigungskontext gilt § 26 BDSG als nationale Öffnungsklausel; für grenzüberschreitende Konzernübermittlungen – etwa an eine japanische oder amerikanische Muttergesellschaft – sind Standardvertragsklauseln (SCC) der Europäischen Kommission oder verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR) erforderlich. Wer ohne geeignete Garantie Daten in Drittstaaten übermittelt, riskiert den vollen Bußgeldrahmen des Art. 83 Abs. 5 DSGVO.
Hinzu tritt das Verarbeitungsverzeichnis nach Art. 30 DSGVO: Jedes Unternehmen mit mehr als 250 Beschäftigten ist verpflichtet, ein vollständiges Verzeichnis aller Verarbeitungstätigkeiten zu führen. Darunter fallen auch Unternehmen mit weniger Beschäftigten, sofern die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt – was bei vielen Zulieferern angesichts sensibler Beschäftigtendaten aus Schichtbetrieb und Gesundheitsüberwachung regelmäßig anzunehmen ist.
Branchentypische Risikokonstellationen in der Automobilzulieferindustrie
In der Mandatspraxis sehen wir eine wiederkehrende Gruppe von Risiken, die für Automobilzulieferer charakteristisch ist und sich von allgemeinen Datenschutzfragen deutlich abhebt. Drei Konstellationen verdienen besondere Aufmerksamkeit.
Erstens: Fertigungsdaten mit Personenbezug. Moderne Produktionslinien erzeugen Datensätze, die Werkernummern, Schichtzeiten, Maschinennutzungsprotokolle und Qualitätsprüfergebnisse verknüpfen. Sobald diese Daten einer bestimmten Person zuordenbar sind, unterliegen sie der DSGVO. Betriebsvereinbarungen mit dem Betriebsrat (§ 26 Abs. 4 BDSG) sind in diesem Kontext nicht nur arbeitsrechtlich geboten, sondern auch datenschutzrechtlich konstitutiv für die Rechtmäßigkeit der Verarbeitung.
Zweitens: Lieferkettendaten und OEM-Anforderungen. OEM-Kunden verlangen zunehmend, dass Zulieferer datenschutzkonforme Schnittstellen für die Übergabe von Produktionstracing-Daten schaffen. Dabei entstehen regelmäßig Fragen der gemeinsamen Verantwortlichkeit (Art. 26 DSGVO) oder der Auftragsverarbeitung (Art. 28 DSGVO). Fehlt ein wirksamer Auftragsverarbeitungsvertrag (AVV), haftet der Zulieferer als eigenverantwortlicher Verarbeiter – mit sämtlichen Pflichten aus Art. 32 ff. DSGVO.
Drittens: Connected-Car-Daten in der Entwicklungspartnerschaft. Tier-1-Zulieferer, die an Fahrerassistenzsystemen oder Infotainment-Plattformen beteiligt sind, verarbeiten häufig Telemetriedaten aus Testfahrzeugen, in denen Probanden oder Testfahrer als natürliche Personen identifizierbar sind. Ohne Einwilligung oder Rechtsgrundlage nach Art. 6 DSGVO ist diese Verarbeitung rechtswidrig – unabhängig davon, ob die Daten nur intern zu Entwicklungszwecken genutzt werden.
Wann haftet der Geschäftsführer persönlich?
Datenschutzrechtliche Verantwortung trifft primär das Unternehmen als juristische Person; die Bußgelder der DSGVO richten sich gegen den Verantwortlichen (Art. 4 Nr. 7 DSGVO), also in der Regel die GmbH oder AG. Die Frage, ob der Geschäftsführer daneben persönlich haftet, wird jedoch zunehmend von Datenschutzaufsichtsbehörden und Zivilgerichten thematisiert.
Nach dem GmbH-Gesetz (§ 43 GmbHG) schuldet der Geschäftsführer der Gesellschaft die Sorgfalt eines ordentlichen Kaufmanns. Wer ein systematisch mangelhaftes Datenschutz-Compliance-System duldet und dadurch Bußgelder oder Schadensersatzklagen auslöst, riskiert den Innenregress der Gesellschaft. Die Verjährungsfrist für Innenhaftungsansprüche beträgt nach der Regelverjährung drei Jahre (§ 195 BGB), beginnt aber erst mit Kenntnis des Schadens. In der Praxis bedeutet das: Ein Datenschutzversäumnis aus dem Jahr 2022 kann noch bis Ende 2026 geltend gemacht werden, wenn der Schaden erst 2023 bekannt wurde.
Darüber hinaus haften Geschäftsführer gegenüber Dritten, wenn sie an einem DSGVO-Verstoß persönlich beteiligt waren – etwa durch eigenhändig angeordnete unzulässige Datenübermittlungen. In einem aktuellen Mandat beriet die Kanzlei einen mittelständischen Tier-2-Zulieferer, dessen Geschäftsführer auf Weisung des OEM-Kunden Beschäftigtendaten ohne Rechtsgrundlage an einen ausländischen Konzernverbund übermittelt hatte. Die Aufsichtsbehörde leitete ein Bußgeldverfahren gegen das Unternehmen ein; parallel prüfte der Aufsichtsrat Regressansprüche gegen den Geschäftsführer. Das Vorgehen: Sofortige Einstellung der Übermittlung, Nachholung einer schriftlichen Einwilligung der Betroffenen, Meldung an die Aufsichtsbehörde und Vorlage eines Sanierungskonzepts. Das Bußgeld konnte durch kooperatives Verhalten und nachgewiesene Abhilfemaßnahmen erheblich gemindert werden. Ergebnis: Das Unternehmen blieb im Lieferantenstamm; die Regressprüfung wurde eingestellt, nachdem der Geschäftsführer das Versäumnis dokumentiert und ein Datenschutz-Management-System eingeführt hatte.
Mikro-Fall (anonymisiert): In einem aktuellen Mandat beriet die Kanzlei einen Tier-1-Automobilzulieferer mit rund 800 Beschäftigten aus dem Bereich Antriebsstrangkomponenten. Ausgangslage: Eine Datenpanne in der Produktionssteuerungssoftware hatte Beschäftigtendaten (Schichtpläne, Leistungsbewertungen) für mehrere Stunden extern zugänglich gemacht. Der Geschäftsführer war unsicher, ob und in welchem Umfang eine Meldepflicht gegenüber der zuständigen Landesbehörde bestand und ob betroffene Mitarbeiter zu benachrichtigen seien. Vorgehen: Die Kanzlei führte innerhalb von 24 Stunden eine Erst-Risikobewertung durch, koordinierte die Meldung an die Aufsichtsbehörde sowie die interne Kommunikation an den Betriebsrat und entwickelte ein Abhilfekonzept inklusive technischer Schutzmaßnahmen und Dokumentation. Ergebnis: Die Aufsichtsbehörde schloss das Prüfverfahren ohne Bußgeldbescheid ab; der OEM-Kunde wurde proaktiv informiert und nahm das Sanierungskonzept als ausreichend an. Das Unternehmen verfügt seither über ein dokumentiertes Incident-Response-Verfahren.
Welche Datenschutzpflichten gelten entlang der Lieferkette?
Die Automobilzulieferindustrie ist durch mehrstufige Lieferketten geprägt: Tier-3-Lieferanten beliefern Tier-2-Unternehmen, diese wiederum Tier-1-Zulieferer, die direkt an den OEM liefern. Personenbezogene Daten fließen entlang dieser Kette in Form von Bestelldaten, Lieferantenmanagementsystemen, Qualitätsaudits und EDI-Schnittstellen. Für jeden dieser Datenflüsse gilt die DSGVO.
Entscheidend ist die rechtliche Einordnung der Datenbeziehung. Verarbeitet ein Tier-2-Lieferant Daten im Auftrag eines Tier-1-Unternehmens, liegt Auftragsverarbeitung nach Art. 28 DSGVO vor: Ein schriftlicher Auftragsverarbeitungsvertrag (AVV) ist zwingend; er muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen festlegen (Art. 28 Abs. 3 DSGVO). Fehlt der AVV, sind beide Parteien vollständig für die Verarbeitung verantwortlich – mit sämtlichen Haftungsfolgen.
Liegt hingegen gemeinsame Verantwortlichkeit vor – etwa weil OEM und Tier-1-Zulieferer gemeinsam Zweck und Mittel der Verarbeitung bestimmen –, ist eine Vereinbarung nach Art. 26 DSGVO erforderlich, die die jeweiligen Pflichten transparent aufteilt. In der Praxis ist die Abgrenzung zwischen Art. 26 und Art. 28 DSGVO häufig Gegenstand von Auseinandersetzungen. Wer hier ohne vertragliche Grundlage agiert, riskiert nicht nur Bußgelder, sondern auch Schadensersatzklagen betroffener Personen nach Art. 82 DSGVO.
Für grenzüberschreitende Übermittlungen – etwa an Tochtergesellschaften in China, Mexiko oder den USA – sind geeignete Garantien nach Art. 46 DSGVO nachzuweisen. Die EU-Standardvertragsklauseln (SCC) der Europäischen Kommission aus dem Jahr 2021 bilden derzeit die praktikabelste Grundlage, müssen aber durch einen Transfer Impact Assessment (TIA) ergänzt werden, der das Datenschutzniveau im Empfängerland bewertet.
Datenschutz-Folgenabschätzung: Wann ist sie in der Automobilindustrie Pflicht?
Die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist für Verarbeitungsvorgänge vorgeschrieben, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringen. In der Automobilzulieferindustrie sind besonders drei Szenarien relevant: systematische Überwachung von Beschäftigten durch Kamerasysteme oder biometrische Zugangskontrollen, die Verarbeitung von Gesundheitsdaten (Art. 9 DSGVO) in Werkskrankensälen oder Suchtpräventionsprogrammen sowie der Einsatz von KI-gestützten Qualitätskontrollsystemen, die individuelles Arbeitsverhalten auswerten.
Die deutschen Aufsichtsbehörden haben auf Grundlage des Art. 35 Abs. 4 DSGVO eigene Positivlisten veröffentlicht, die Verarbeitungsvorgänge benennen, für die eine DSFA stets erforderlich ist. Biometrische Daten zur Identifizierung und Schichterfassung stehen regelmäßig auf diesen Listen. Wer den Einsatz eines solchen Systems plant, ohne eine DSFA durchzuführen, verstößt selbst dann gegen die DSGVO, wenn das System selbst rechtmäßig wäre.
Die DSFA muss dokumentiert werden und eine Beschreibung der geplanten Verarbeitungsvorgänge, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Beurteilung der Risiken sowie geplante Abhilfemaßnahmen enthalten. In Fällen, in denen verbleibende Risiken nicht ausreichend gemindert werden können, ist vor der Inbetriebnahme eine Konsultation der zuständigen Aufsichtsbehörde nach Art. 36 DSGVO verpflichtend. In der Mandatspraxis beobachten wir, dass dieser Schritt häufig übersehen wird – mit der Folge, dass die Aufsichtsbehörde im Rahmen späterer Prüfungen das Fehlen der Konsultation als eigenständigen Verstoß wertet.
Datenpannen und Meldepflichten: Was müssen Zulieferer beachten?
Datenpannen – also Verletzungen des Schutzes personenbezogener Daten – sind in Industrieunternehmen keine Seltenheit: Ransomware-Angriffe auf Produktionsnetzwerke, versehentlich versandte E-Mails mit Beschäftigtenlisten oder der Verlust eines unverschlüsselten Laptops mit Lieferantenstammdaten sind typische Fälle. Die DSGVO sieht eine klare Verfahrensfolge vor.
Die Meldung an die zuständige Aufsichtsbehörde hat binnen 72 Stunden zu erfolgen (Art. 33 DSGVO), sobald das Unternehmen von der Datenpanne Kenntnis erlangt. Die 72-Stunden-Frist beginnt nicht erst mit der abgeschlossenen internen Untersuchung, sondern mit dem Zeitpunkt, zu dem das Unternehmen hinreichende Kenntnis von dem Vorfall hat. Ist die Meldung nach 72 Stunden noch unvollständig, kann sie mit einer Begründung für die Verzögerung nachgereicht werden – dies entbindet aber nicht von der Pflicht zur fristgerechten Erstmeldung.
Betroffene Personen sind nach Art. 34 DSGVO unverzüglich zu benachrichtigen, wenn die Datenpanne voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat. In der Entscheidungsmatrix der Praxis bedeutet das: Verlust eines Laptops mit verschlüsselten Daten und bekanntem Verlustort → keine Meldepflicht gegenüber Betroffenen, aber ggf. Meldung an Behörde; Ransomware-Angriff auf unverschlüsselten Datenbankserver mit Beschäftigtendaten → Meldung an Behörde und individuelle Benachrichtigung. Wer die Meldepflicht versäumt, riskiert ein gesondertes Bußgeld nach Art. 83 Abs. 4 DSGVO – unabhängig vom eigentlichen Datenschutzverstoß.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Haben Sie eine Datenpanne entdeckt und sind unsicher, ob eine Meldepflicht besteht? Die 72-Stunden-Frist nach Art. 33 DSGVO läuft ab dem Zeitpunkt der Kenntnisnahme. Die vorstehende Darstellung zeigt den rechtlichen Rahmen; Ihr konkreter Fall erfordert die Prüfung der tatsächlichen Umstände. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Technisch-organisatorische Maßnahmen: Was reicht in der Produktion?
Art. 32 DSGVO verpflichtet Verantwortliche, geeignete technische und organisatorische Maßnahmen (TOMs) zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Was in der Verwaltung als selbstverständlich gilt – Zugriffsrechte, Passwortrichtlinien, Verschlüsselung –, ist in Produktionsnetzwerken oft strukturell vernachlässigt. Operational Technology (OT)-Systeme in Fertigungslinien sind häufig veraltet, schlecht dokumentiert und mit der IT-Infrastruktur unzureichend segmentiert.
Für Automobilzulieferer empfiehlt sich eine Bestandsaufnahme nach dem Prinzip der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Welche Daten werden in welchen Systemen gespeichert, und ist die Speicherung für den jeweiligen Verarbeitungszweck tatsächlich erforderlich? Besonders kritisch sind Kameraüberwachungssysteme in Produktionshallen, die ohne klare Löschkonzepte betrieben werden, sowie die unkontrollierte Vergabe von Fernwartungszugängen an externe Dienstleister.
Die Nachweispflicht (Art. 5 Abs. 2 DSGVO, „Accountability-Prinzip") bedeutet, dass Zulieferer nicht nur die richtigen TOMs einsetzen, sondern deren Eignung und Umsetzung auch dokumentieren müssen. Aufsichtsbehörden verlangen im Prüffall regelmäßig Vorlage des Verarbeitungsverzeichnisses, der Datenschutzfolgenabschätzungen, der AVV-Vereinbarungen sowie der Dokumentation der TOMs. Unternehmen, die diese Unterlagen nicht vorlegen können, verschlechtern ihre Verhandlungsposition gegenüber der Behörde erheblich – unabhängig davon, ob ein materieller Verstoß vorliegt.
Selbsteinschätzung: Wo steht Ihr Unternehmen?
Wie stark ist Ihr Unternehmen tatsächlich exponiert? In der Mandatspraxis unterscheiden wir vier Konstellationen, die für Automobilzulieferer typisch sind und unterschiedliche Handlungsprioritäten begründen.
Konstellation A – Beschäftigungsdaten und Schichtbetrieb: Das Unternehmen verarbeitet Schichtdaten, Leistungsprotokolle und Krankenstandsstatistiken über ein HR-System. Instrument: Betriebsvereinbarung nach § 26 Abs. 4 BDSG als Rechtsgrundlage; Datenschutzfolgenabschätzung bei automatisierten Auswertungen; Löschkonzept. Frist: unverzüglich, da jeder Monat ohne Rechtsgrundlage ein eigenständiges Verstoßrisiko darstellt. Folge: Entfall des Bußgeldrisikos aus Art. 83 Abs. 5 DSGVO; Betriebsrat als Compliance-Partner.
Konstellation B – OEM-Schnittstelle ohne AVV: Datenübermittlung an OEM-Kundensysteme ohne schriftlichen Auftragsverarbeitungsvertrag. Instrument: Abschluss eines AVV nach Art. 28 DSGVO oder Klärung der gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO; Überprüfung der Standardvertragsklauseln bei Drittstaatenbezug. Frist: Sofort; jede weitere Übermittlung ohne vertragliche Grundlage ist rechtswidrig. Folge: Vermeidung der Vollhaftung als eigenverantwortlicher Verarbeiter.
Konstellation C – Datenpanne ohne Meldestruktur: Das Unternehmen hat keine dokumentierten Prozesse für den Umgang mit Datenpannen. Instrument: Aufbau eines Incident-Response-Plans, Benennung eines Ansprechpartners für Datenschutzverletzungen, Schulung der relevanten Mitarbeiter. Die 72-Stunden-Meldepflicht nach Art. 33 DSGVO ist real und wird im Ernstfall kompromisslos durchgesetzt. Folge: Erhebliche Minderung des Bußgeldrisikos durch proaktive Meldung und Kooperation mit der Behörde.
Konstellation D – Drittstaatenübermittlung ohne Garantien: Konzernübermittlungen in Länder ohne Angemessenheitsbeschluss der EU-Kommission ohne aktuelle Standardvertragsklauseln und Transfer Impact Assessment. Instrument: Überprüfung und Aktualisierung der SCC auf den Stand 2021; Erstellung eines TIA; ggf. Datenlokalisierung. Frist: Dringend, da die Aufsichtsbehörden diese Konstellation bei Prüfungen regelmäßig als Erstes beanstanden. Folge: Schutz vor dem maximalen Bußgeldrahmen des Art. 83 Abs. 5 DSGVO.
Verwandte Leistungen
Häufige Fragen zur DSGVO-Compliance in der Automobilzulieferindustrie
Gilt die DSGVO auch für Fertigungsdaten, die keine offensichtlichen Personendaten sind?
Ja. Sobald Fertigungsdaten – etwa Maschinenbelegungsprotokolle oder Qualitätsprüfberichte – einer identifizierbaren natürlichen Person zugeordnet werden können, sind sie personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO. Werkernummern auf Prüfprotokollen, Zeitstempel mit Schichtbeginn oder Benutzerkonten in Produktionssoftware begründen regelmäßig Personenbezug. Für jede solche Verarbeitung bedarf es einer Rechtsgrundlage nach Art. 6 DSGVO; im Beschäftigungskontext gilt § 26 BDSG als einschlägige nationale Öffnungsklausel.
Was passiert, wenn ein OEM verlangt, Daten ohne ausreichende Rechtsgrundlage zu übermitteln?
Die Weisung eines OEM-Kunden entbindet den Zulieferer nicht von seinen eigenen datenschutzrechtlichen Pflichten. Als eigenverantwortlicher Verarbeiter oder Auftragsverarbeiter bleibt der Zulieferer für die Rechtmäßigkeit der Übermittlung verantwortlich. Fehlt eine Rechtsgrundlage, ist die Übermittlung unzulässig – auch wenn der OEM sie vertraglich fordert. Die richtige Reaktion ist die Einholung der erforderlichen Vereinbarung (AVV nach Art. 28 DSGVO oder Regelung nach Art. 26 DSGVO) vor jeder Übermittlung, gegebenenfalls verbunden mit einer Verhandlung über die Vertragsgrundlage mit dem OEM-Partner.
Muss ein mittelständischer Zulieferer einen Datenschutzbeauftragten benennen?
Nach Art. 37 DSGVO und § 38 BDSG sind Unternehmen zur Benennung eines Datenschutzbeauftragten verpflichtet, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. In der Automobilzulieferindustrie ist diese Schwelle bei nahezu allen Unternehmen mit eigenem HR-System, Produktionssteuerungssoftware und ERP-System erfüllt. Daneben besteht die Benennungspflicht unabhängig von der Beschäftigtenzahl bei bestimmten risikoreichen Verarbeitungen, etwa der umfangreichen Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO.
Welche Bußgelder drohen konkret bei DSGVO-Verstößen?
Die DSGVO sieht einen zweigliedrigen Bußgeldrahmen vor: Verstöße gegen grundlegende Verarbeitungspflichten – etwa fehlende Rechtsgrundlage, unzulässige Drittstaatenübermittlung oder Verletzung der Betroffenenrechte – können mit bis zu 20 Millionen Euro oder 4 Prozent des gesamten weltweiten Jahresumsatzes des Unternehmens geahndet werden (Art. 83 Abs. 5 DSGVO), je nachdem, welcher Betrag höher ist. Für technisch-organisatorische Verstöße und Verletzungen von Meldepflichten gilt ein Rahmen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO).
Wie läuft eine Prüfung durch die Datenschutzaufsichtsbehörde ab?
Aufsichtsbehörden können von Amts wegen oder auf Beschwerde hin tätig werden. Typischer Ablauf: Einleitung einer Vorabprüfung durch Anforderung von Unterlagen (Verarbeitungsverzeichnis, AVV, DSFA, Datenschutzerklärungen); anschließend ggf. Vor-Ort-Prüfung. Unternehmen haben grundsätzlich eine Mitwirkungspflicht; rechtliche Unterstützung durch einen Anwalt sollte ab dem ersten behördlichen Schreiben eingeholt werden. Kooperatives Verhalten und nachgewiesene Abhilfemaßnahmen können den Bußgeldrahmen erheblich mindern – dies ist in Art. 83 Abs. 2 DSGVO ausdrücklich als Milderungsgrund vorgesehen.
Was ist bei der Einführung von KI-gestützten Qualitätskontrollsystemen zu beachten?
KI-Systeme, die individuelles Arbeitsverhalten von Beschäftigten auswerten – etwa Fehlerquoten, Geschwindigkeit oder Abweichungen von Prozessvorgaben –, unterliegen der DSGVO, wenn die Ergebnisse Personen zuordenbar sind. Besondere Relevanz hat Art. 22 DSGVO: Automatisierte Entscheidungen, die eine betroffene Person erheblich beeinträchtigen, sind grundsätzlich unzulässig, sofern keine Ausnahme greift (Einwilligung, Vertrag, Gesetz). Zudem ist regelmäßig eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich. Nach unserer Erfahrung wird dieser Schritt bei der Einführung von KI-Systemen in der Produktion häufig vergessen.
Die vorstehende Darstellung betrifft die typischen Konstellationen der Automobilzulieferindustrie. Ihr konkreter Fall erfordert die Prüfung Ihrer Vertragsunterlagen, Verarbeitungsverzeichnisse und internen Prozesse. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.