Ein Pharmaunternehmen mit 280 Mitarbeitern erhält ein Auskunftsersuchen einer Aufsichtsbehörde zu seiner Verarbeitung von Beschäftigtendaten in der Produktion. Die zuständige Datenschutzbehörde fragt nach Verarbeitungsverzeichnis, Auftragsverarbeitungsverträgen und Technisch-Organisatorischen Maßnahmen – alles innerhalb weniger Wochen. Was klingt wie ein Einzelfall, ist in der Chemie- und Pharmaindustrie seit 2021 spürbar häufiger geworden.
Für Unternehmen der Chemie- und Pharmaindustrie bedeutet DSGVO-Compliance weit mehr als die Pflege eines Datenschutzhinweises auf der Website. Die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) verpflichten Verantwortliche, sämtliche Verarbeitungstätigkeiten systematisch zu dokumentieren, Auftragsverarbeiter vertraglich einzubinden und bei Datenpannen binnen 72 Stunden gegenüber der Aufsichtsbehörde Meldung zu erstatten – mit Bußgeldern von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes bei schwerwiegenden Verstößen. Dieser Branchenreport beleuchtet die rechtlichen Anforderungen, typischen Risikoschwerpunkte und Handlungsempfehlungen speziell für Geschäftsführer mittelständischer Chemie- und Pharmaunternehmen.
Die folgenden Abschnitte strukturieren den Rechtsrahmen, erläutern branchenspezifische Risikoschwerpunkte, bewerten die Pflichten des Datenschutzbeauftragten, analysieren internationale Datentransfers, skizzieren Verfahren bei Datenpannen und leiten konkrete Schritte für die Compliance-Praxis ab.
Rechtsrahmen: Welche Normen binden die Chemie- und Pharmaindustrie?
Das Regelwerk der DSGVO-Compliance für Unternehmen aus der Chemie- und Pharmaindustrie setzt sich aus mehreren Normbausteinen zusammen, die gemeinsam ein dichtes Verpflichtungsgeflecht bilden. An erster Stelle stehen die Datenschutz-Grundverordnung (DSGVO) als unmittelbar anwendbares EU-Recht sowie das BDSG, das auf nationaler Ebene Öffnungsklauseln der DSGVO ausfüllt – insbesondere im Bereich der Beschäftigtendaten (§ 26 BDSG). Hinzu treten sektorale Anforderungen aus dem Arzneimittelgesetz (AMG), der EU-Pharmakovigilanz-Verordnung (EU Nr. 536/2014) und dem Chemikaliengesetz (ChemG), die eigene Datenverarbeitungsregimes begründen.
Die Grundsätze aus Art. 5 DSGVO – Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit – bilden das Fundament. Jede Verarbeitungstätigkeit bedarf einer Rechtsgrundlage nach Art. 6 DSGVO; bei besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten von Studienteilnehmern oder Arbeitnehmern im medizinischen Bereich, ist Art. 9 DSGVO einschlägig und verlangt qualifizierte Erlaubnistatbestände. In der Mandatspraxis sehen wir, dass gerade die Kombination aus DSGVO, AMG-Anforderungen zur Pharmakovigilanz und betrieblichem Datenschutz für Mittelständler eine komplexe Gemengelage erzeugt, die isoliert kaum zu bewältigen ist.
Was bedeutet das in der Praxis für einen Geschäftsführer? Die persönliche Haftung ist nicht abstrakt: Das Unternehmen haftet als Verantwortlicher; im Innenverhältnis können sich Geschäftsführer schadensersatzpflichtig machen, wenn sie strukturelle Compliance-Defizite nicht abstellen. Hinzu kommt, dass Aufsichtsbehörden seit 2022 verstärkt Prüfverfahren auch gegenüber mittelständischen Betrieben einleiten.
Warum die Chemie- und Pharmaindustrie besonders exponiert ist
Kein anderer Sektor des deutschen Mittelstands verarbeitet gleichzeitig so viele sensible Datenkategorien wie die Chemie- und Pharmaindustrie. Gesundheitsdaten von Patienten und Studienteilnehmern, Forschungsdaten mit Personenbezug, Beschäftigtendaten aus der Produktionsüberwachung und Lieferkettendaten aus internationalen Handelsbeziehungen fließen in Systemen zusammen, die häufig historisch gewachsen und nicht datenschutzsensibel konzipiert wurden. Art. 9 DSGVO stuft Gesundheitsdaten als besondere Kategorie ein und verlangt neben einer allgemeinen Rechtsgrundlage einen qualifizierten Erlaubnistatbestand – etwa eine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) oder die Notwendigkeit für Zwecke der medizinischen Forschung (Art. 9 Abs. 2 lit. j DSGVO i. V. m. § 27 BDSG).
Besonders exponiert sind Pharmaunternehmen mit klinischen Studien: Hier begegnen sich das Datenschutzrecht, die EU-Klinische-Prüfungs-Verordnung und nationale Behördenanforderungen gleichzeitig. Nach unserer Erfahrung unterschätzen viele Mittelständler, dass bereits die Pseudonymisierung von Studiendaten nicht zur vollständigen Anonymisierung führt – pseudonymisierte Daten bleiben personenbezogen im Sinne der DSGVO, solange der Schlüssel noch existiert, und unterliegen damit dem vollen Schutzniveau. Wer diesen Grundsatz ignoriert, riskiert, dass eine gesamte Datenverarbeitungskette als unzureichend abgesichert bewertet wird.
Hinzu kommt die chemische Industrie mit ihren REACH-Pflichten: Sicherheitsdatenblätter und Substanzdossiers enthalten oft Personenbezug von Kontaktpersonen bei Kunden und Lieferanten. Auch hier gilt: Datenschutzrecht hat keinen Branchen-Sonderweg. Welche Risiken zieht das konkret für den mittelständischen Geschäftsführer nach sich?
Verarbeitungsverzeichnis und Dokumentationspflicht: Was ist rechtlich gefordert?
Art. 30 DSGVO verpflichtet jeden Verantwortlichen – ohne Ausnahme für KMU ab einer Schwelle, sofern die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Datenkategorien betroffen sind – zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten (VVT). Das VVT ist kein rein bürokratisches Instrument, sondern das zentrale Rechenschaftsdokument gegenüber Aufsichtsbehörden. Im Fall einer Behördenprüfung muss das Verzeichnis unverzüglich vorgelegt werden können; ein fehlendes oder lückenhaftes VVT ist bereits für sich ein Bußgeldtatbestand.
Für die Chemie- und Pharmaindustrie umfasst das VVT typischerweise: Personalverwaltung und Zeiterfassung, Produktionsüberwachung mit Mitarbeiterdaten, Qualitätssicherungssysteme, klinische Studien- und Pharmakovigilanz-Datenbanken, Lieferantenmanagement, CRM-Systeme mit Kundendaten sowie IT-Infrastruktur inklusive Cloud-Dienste. In der Mandatspraxis sehen wir regelmäßig, dass Unternehmen das VVT als statisches Dokument führen und Änderungen in der IT-Landschaft – etwa die Einführung eines neuen ERP-Systems oder eines Cloud-Speicherdienstes – nicht zeitnah nachführen. Das schafft erhebliche Lücken, die bei einer Prüfung sofort sichtbar werden.
Die Technisch-Organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO sind eng mit dem VVT verknüpft: Für jede Verarbeitungstätigkeit sind dem Risiko angemessene Schutzmaßnahmen zu implementieren und zu dokumentieren. Verschlüsselung, Pseudonymisierung, Zugriffsrechte, Löschkonzepte – all das muss nicht nur gelebt, sondern nachweisbar gelebt werden. Das Kriterium ist dabei nicht ein absolutes Schutzniveau, sondern die dem Verarbeitungsrisiko angemessene Maßnahme.
Auftragsverarbeitung und Drittlandtransfer: Wo liegen die größten Fallstricke?
Pharmaunternehmen und Chemiekonzerne im Mittelstand arbeiten typischerweise mit einer Vielzahl von Dienstleistern: Labordienstleister, Logistikpartner, CROs (Auftragsforschungsorganisationen), Cloud-Anbieter, HR-Software-Dienstleister. Sobald ein Dienstleister personenbezogene Daten im Auftrag verarbeitet, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zwingend abzuschließen. Fehlt der AVV, liegt eine unzulässige Übermittlung personenbezogener Daten vor – mit unmittelbarem Bußgeldrisiko.
Der AVV muss gesetzlich vorgeschriebene Mindestinhalte enthalten, darunter Gegenstand und Dauer der Verarbeitung, Art und Zweck, Kategorien der betroffenen Personen sowie die Pflichten und Rechte des Verantwortlichen. Standardklauseln reichen nicht für jeden Kontext; bei besonders risikoreichen Verarbeitungen – etwa Verarbeitung von Gesundheitsdaten durch externe Labor-IT – sollte der Vertrag spezifisch ausgehandelt werden.
Ein eigenes Kapitel verdient der internationale Datentransfer. Pharmazeutische Unternehmen unterhalten regelmäßig Beziehungen zu US-amerikanischen Muttergesellschaften, Forschungspartnern in Asien oder Zulieferern in Drittstaaten. Seit dem Schrems-II-Urteil des EuGH (2020) und dem EU-US Data Privacy Framework (2023) sind die Anforderungen an Drittlandtransfers komplex: Das EU-US Data Privacy Framework ermöglicht für zertifizierte US-Empfänger grundsätzlich wieder einen Transfer, doch die Bestandsdauer der Angemessenheitsentscheidung ist politisch nicht gesichert. Für Transfers in andere Drittstaaten – China, Indien, Brasilien – sind weiterhin geeignete Garantien nach Art. 46 DSGVO (insbesondere EU-Standardvertragsklauseln) erforderlich, ergänzt um ein Transfer-Impact-Assessment (TIA). Nach unserer Erfahrung fehlen TIAs in einem erheblichen Teil der Mandate, die wir übernehmen – der Abschluss von Standardvertragsklauseln allein ist seit dem Schrems-II-Urteil nicht mehr ausreichend.
Praxisfall (anonymisiert): In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Pharmaunternehmen aus Bayern mit rund 350 Beschäftigten. Ausgangslage: Das Unternehmen hatte seine klinische Datenverarbeitung an eine US-amerikanische CRO (Contract Research Organization) ausgelagert, ohne Transfer-Impact-Assessment und mit einem veralteten AVV-Muster. Im Rahmen einer routinemäßigen behördlichen Anfrage wurde dies offenkundig. Vorgehen: BRANDT & FALK führte zunächst eine strukturierte Bestandsaufnahme sämtlicher Datenflüsse durch, aktualisierte den AVV, erstellte ein TIA nach den Vorgaben des Europäischen Datenschutzausschusses und ergänzte die Technisch-Organisatorischen Maßnahmen. Die Aufsichtsbehörde wurde proaktiv informiert und eine strukturierte Abstellung der Mängel mit Zeitplan vorgelegt. Ergebnis: Das Verfahren wurde ohne Bußgeldfestsetzung abgeschlossen; das Unternehmen verfügt seitdem über ein nachhaltig dokumentiertes Transfermanagement.
Datenschutzbeauftragter: Pflicht, Funktion und Haftungsfragen
Pharmaunternehmen und Chemiekonzerne sind in aller Regel verpflichtet, einen betrieblichen Datenschutzbeauftragten (DSB) zu benennen. Art. 37 DSGVO und § 38 BDSG begründen diese Pflicht für Verantwortliche, die in der Regel mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen, sowie – unabhängig von der Mitarbeiterzahl – für Unternehmen, die im Kerntätigkeitsbereich personenbezogene Daten in großem Umfang verarbeiten oder besondere Datenkategorien nach Art. 9 DSGVO verarbeiten. Für die überwiegende Mehrheit mittelständischer Pharmaunternehmen ist die Benennung damit obligatorisch.
Der DSB ist kein bloßes Feigenblatt. Er berät die Geschäftsführung zu datenschutzrechtlichen Fragen, überwacht die Einhaltung der DSGVO im Unternehmen, ist Ansprechpartner für die Aufsichtsbehörde und nimmt an Datenschutz-Folgenabschätzungen (DSFA) teil. Die DSFA nach Art. 35 DSGVO ist für Verarbeitungsvorgänge mit hohem Risiko für die Berechtigten – etwa systematische Verarbeitung genetischer oder Gesundheitsdaten – zwingend durchzuführen, bevor die Verarbeitung aufgenommen wird. Wird die DSFA unterlassen, ist das ein eigenständiger Bußgeldtatbestand.
Kann der DSB intern oder extern bestellt werden? Beide Varianten sind zulässig. Intern bietet der DSB mehr Einblick in Prozesse; extern bietet er Unabhängigkeit und häufig breiteres Fachwissen. Entscheidend ist, dass er die für seine Aufgabe erforderliche Fachkunde und Zuverlässigkeit besitzt (Art. 37 Abs. 5 DSGVO) und in seiner Funktion nicht weisungsgebunden ist. Kanzleien und spezialisierte Datenschutzdienstleister können die externe DSB-Funktion übernehmen.
Beschäftigtendatenschutz in der Chemie- und Pharmaindustrie: Besondere Anforderungen
Der Beschäftigtendatenschutz ist in der Chemie- und Pharmaindustrie besonders vielschichtig. § 26 BDSG erlaubt die Verarbeitung personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses, soweit dies für die Entscheidung über die Begründung, Durchführung oder Beendigung erforderlich ist. Das klingt weit, ist aber eng auszulegen. Gesundheitsmonitoring in der Produktion – etwa bei gefährlichen Chemikalien – berührt Gesundheitsdaten und erfordert zusätzlich zu § 26 BDSG einen qualifizierten Erlaubnistatbestand nach Art. 9 DSGVO. Betriebsvereinbarungen können als kollektiv-rechtliche Grundlage für Beschäftigtendatenverarbeitungen dienen, sofern sie den Anforderungen des Art. 88 DSGVO genügen und transparente Regelungen enthalten.
Zeiterfassungssysteme, Zutrittskontrolle, Sicherheitsüberwachung in Laboren und Produktionsanlagen – all das hat Datenschutzbezug. Das Bundesarbeitsgericht (BAG) hat mit Beschluss vom 13. September 2022 (1 ABR 22/21) klargestellt, dass die Pflicht zur Arbeitszeiterfassung bereits nach geltendem Recht besteht. Digitale Erfassungssysteme, die Namen, Zeiten und Aufenthaltsorte protokollieren, sind datenschutzrechtlich zu würdigen und erfordern typischerweise eine Betriebsvereinbarung oder zumindest eine transparente Information der Belegschaft.
Für Geschäftsführer bedeutet das: Vor der Einführung neuer HR-Software, Sicherheitstechnik oder Personalmanagement-Systeme ist eine datenschutzrechtliche Prüfung, ggf. eine DSFA, und – soweit vorhanden – die Einbindung des Betriebsrats unabdingbar. Versäumnisse in diesem Bereich sind nicht nur datenschutzrechtlich relevant; sie können auch arbeitsrechtliche Konflikte und Betriebsstörungen auslösen.
Was passiert bei einer Datenpanne? Meldepflichten und Krisenmanagement
Datenpannen – unbefugter Zugriff, Verlust oder Vernichtung personenbezogener Daten – sind in der Chemie- und Pharmaindustrie keine Theorie. Cyberangriffe auf Produktionsnetzwerke, gestohlene Laptops mit Forschungsdaten, versehentlich versendete Patientendaten: Jeder dieser Vorfälle löst die Meldepflicht nach Art. 33 DSGVO aus, sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen nicht ausgeschlossen werden kann. Die Meldung gegenüber der zuständigen Aufsichtsbehörde hat binnen 72 Stunden nach Bekanntwerden zu erfolgen.
Diese 72-Stunden-Frist ist absolut. Sie beginnt, sobald dem Unternehmen – nicht erst dem DSB – der Vorfall bekannt wird. Im Innenverhältnis muss deshalb ein klarer Eskalationspfad existieren: Wer meldet intern, wer beurteilt die Risikoeinstufung, wer benachrichtigt die Behörde? Fehlt ein solcher Prozess, wird die Frist regelmäßig versäumt – mit unmittelbaren Bußgeldkonsequenzen. Zusätzlich kann bei hohem Risiko für Betroffene eine Benachrichtigungspflicht der betroffenen Personen selbst nach Art. 34 DSGVO bestehen.
Nach Art. 83 DSGVO können Verstöße gegen die Meldepflicht mit Bußgeldern von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes belegt werden; schwerwiegendere Verstöße gegen Grundsätze der Verarbeitung oder Rechte der Betroffenen können bis zu 20 Mio. Euro oder 4 % des Jahresumsatzes nach sich ziehen. Für einen mittelständischen Chemie- oder Pharmabetrieb mit einem Jahresumsatz von 80 bis 200 Mio. Euro kann das existenzgefährdend sein. Die Praxis zeigt: Aufsichtsbehörden berücksichtigen proaktive Kooperation und rasche Abstellung als Milderungsgrund – sie belohnen Transparenz, aber sie setzen voraus, dass ein Meldesystem überhaupt vorhanden ist.
Datenschutz-Folgenabschätzung (DSFA): Wann ist sie Pflicht?
Die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist für Verarbeitungsvorgänge vorgeschrieben, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben. Die deutschen Aufsichtsbehörden haben gemeinsame Positivlisten veröffentlicht, die Verarbeitungen benennen, für die eine DSFA stets durchzuführen ist. Dazu zählen unter anderem die systematische und umfangreiche Verarbeitung von Gesundheitsdaten, die automatisierte Verarbeitung von Beschäftigtendaten zur Leistungsüberwachung sowie biometrische Erkennungssysteme. In der Chemie- und Pharmaindustrie trifft die DSFA-Pflicht regelmäßig eine Vielzahl von Kernanwendungen.
Eine DSFA umfasst die systematische Beschreibung der Verarbeitung, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Risikobewertung für Betroffene sowie die geplanten Abhilfemaßnahmen. Sie ist kein einmaliges Dokument: Bei wesentlichen Änderungen der Verarbeitung muss die DSFA aktualisiert werden. Kommt die DSFA zu dem Ergebnis, dass auch nach Implementierung geeigneter Maßnahmen ein hohes Restrisiko verbleibt, ist die Aufsichtsbehörde vor Beginn der Verarbeitung zu konsultieren (Art. 36 DSGVO – Vorabkonsultation).
In der Mandatspraxis sehen wir, dass DSFAs häufig entweder gänzlich fehlen oder so schematisch erstellt werden, dass sie einer behördlichen Prüfung nicht standhalten. Die DSFA ist kein Formular, sondern eine substanzielle rechtliche und technische Risikoanalyse. Sie sollte von Personen mit datenschutzrechtlicher und technischer Expertise gemeinsam erstellt werden – idealerweise unter Einbindung des DSB und, soweit betroffen, des Betriebsrats.
Selbsteinschätzung: Wo steht Ihr Unternehmen in der DSGVO-Compliance?
Entscheidungssituationen in der Datenschutz-Compliance folgen erkennbaren Mustern. Eine einfache Orientierungshilfe: Wenn Ihr Unternehmen alle folgenden Fragen mit Ja beantworten kann, ist die strukturelle Basis vorhanden – jede Nein-Antwort ist ein priorisierbarer Handlungsbedarf.
- Existiert ein vollständiges, aktuelles Verarbeitungsverzeichnis nach Art. 30 DSGVO, das alle Kernsysteme (ERP, CRM, Labor-IT, HR-Software, Cloud-Dienste) abbildet?
- Sind für alle Auftragsverarbeiter rechtskonforme AVV nach Art. 28 DSGVO abgeschlossen und im Dokumentenmanagement abrufbar?
- Sind internationale Datentransfers in Drittstaaten dokumentiert, mit Transfer-Impact-Assessments versehen und auf geeignete Garantien (Standardvertragsklauseln, Angemessenheitsbeschluss) gestützt?
- Ist ein betrieblicher Datenschutzbeauftragter benannt und bei der zuständigen Aufsichtsbehörde gemeldet?
- Liegt für alle hochrisikobehafteten Verarbeitungstätigkeiten – insbesondere Gesundheitsdaten, Biobank-Daten, Überwachungssysteme – eine DSFA vor?
- Gibt es einen schriftlichen Prozess für das Management von Datenpannen, der die 72-Stunden-Meldepflicht operationalisiert?
- Werden Beschäftigte regelmäßig zu datenschutzrechtlichen Pflichten geschult?
Welche dieser Punkte bereiten Ihnen Schwierigkeiten? Ein strukturiertes Datenschutz-Audit deckt Lücken auf und priorisiert Maßnahmen nach Risikoexposition. Gerade für den inhabergeführten Mittelstand, dessen Geschäftsführer persönlich für Organisationsverschulden haften können, ist dieser Schritt keine optionale Ergänzung, sondern Teil der unternehmerischen Sorgfaltspflicht.
Die vorstehende Darstellung betrifft die Regelfälle der DSGVO-Compliance in der Chemie- und Pharmaindustrie. Ihr konkreter Sachverhalt erfordert die Prüfung Ihrer spezifischen Verarbeitungstätigkeiten, Ihrer Auftragsverarbeitungsverträge und Ihrer bestehenden Dokumentation. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur DSGVO-Compliance in der Chemie- und Pharmaindustrie
Welche Bußgelder drohen bei DSGVO-Verstößen in der Chemie- und Pharmaindustrie?
Nach Art. 83 DSGVO können Datenschutzbehörden bei schwerwiegenden Verstößen Bußgelder von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes verhängen – je nachdem, welcher Betrag höher ist. Leichtere Verstöße, etwa das Fehlen eines Auftragsverarbeitungsvertrags oder ein mangelhaftes Verarbeitungsverzeichnis, können mit bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. Für mittelständische Unternehmen sind diese Beträge existenzrelevant; proaktive Kooperation mit der Aufsichtsbehörde kann mildernd berücksichtigt werden.
Muss ein Pharmaunternehmen zwingend einen Datenschutzbeauftragten benennen?
In der Regel ja. Art. 37 DSGVO in Verbindung mit § 38 BDSG macht die Benennung eines betrieblichen Datenschutzbeauftragten (DSB) für Unternehmen obligatorisch, die in der Regel mindestens 20 Personen ständig mit automatisierter Datenverarbeitung beschäftigen – oder die im Kern Gesundheitsdaten oder andere besondere Datenkategorien nach Art. 9 DSGVO in großem Umfang verarbeiten. Pharmaunternehmen mit klinischen Studien oder Patientendaten erfüllen diese Voraussetzung typischerweise unabhängig von ihrer Größe. Der DSB kann intern oder extern bestellt werden.
Was ist bei der Übermittlung klinischer Daten an US-Partner zu beachten?
Für Transfers in die USA gilt seit dem EU-US Data Privacy Framework (2023) unter bestimmten Voraussetzungen wieder ein Angemessenheitsbeschluss – jedoch nur für Empfänger, die dem Framework angehören. Für alle anderen US-Empfänger sowie für Transfers in sonstige Drittstaaten ohne Angemessenheitsentscheidung (z. B. China, Indien) sind EU-Standardvertragsklauseln (Art. 46 DSGVO) erforderlich, ergänzt um ein Transfer-Impact-Assessment. Angesichts der politischen Entwicklungen sollte die Rechtsgrundlage für Drittlandtransfers regelmäßig überprüft werden.
Wann ist eine Datenschutz-Folgenabschätzung (DSFA) Pflicht?
Eine DSFA nach Art. 35 DSGVO ist vorgeschrieben, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen erzeugt. Die deutschen Aufsichtsbehörden haben Positivlisten veröffentlicht, die u. a. die systematische Verarbeitung von Gesundheitsdaten in großem Umfang, biometrische Erkennungssysteme und automatisierte Leistungsüberwachung von Beschäftigten erfassen. In der Chemie- und Pharmaindustrie trifft diese Pflicht typischerweise eine Vielzahl von Kernanwendungen.
Wie lange besteht die Frist zur Meldung einer Datenpanne?
Art. 33 DSGVO schreibt vor, dass Verantwortliche eine Datenschutzverletzung, die ein Risiko für Betroffene darstellt, binnen 72 Stunden nach Bekanntwerden an die zuständige Datenschutzbehörde melden müssen. Die Frist beginnt, sobald dem Unternehmen – nicht erst dem Datenschutzbeauftragten – der Vorfall bekannt wird. Unternehmen ohne einen operativen Meldeprozess versäumen diese Frist regelmäßig. Bei bestehendem hohem Risiko für Betroffene ist zusätzlich eine unmittelbare Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO erforderlich.
Welche Rechtsgrundlage gilt für Gesundheitsmonitoring in der Chemiproduktion?
Das Gesundheitsmonitoring von Beschäftigten in chemischen Produktionsanlagen – etwa arbeitsmedizinische Eignungsuntersuchungen oder Expositionsüberwachung – betrifft Gesundheitsdaten im Sinne von Art. 9 DSGVO. Neben einer Rechtsgrundlage nach Art. 6 DSGVO ist ein qualifizierter Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO erforderlich, etwa § 26 Abs. 3 BDSG (Erforderlichkeit zur Erfüllung gesetzlicher Pflichten) oder eine Betriebsvereinbarung nach Art. 88 DSGVO. Der Einsatz ohne diese Grundlagen ist rechtswidrig und bußgeldbewehrt.
Die vorstehende Darstellung behandelt die typischen Compliance-Anforderungen an Chemie- und Pharmaunternehmen. Ihr konkreter Fall erfordert die individuelle Prüfung Ihrer Verarbeitungstätigkeiten, bestehenden Vertragswerke und Dokumentationslage. Für eine erste Durchsicht Ihrer Unterlagen wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.