Die Chemie- und Pharmaindustrie verarbeitet täglich Daten, die aus datenschutzrechtlicher Sicht zu den sensibelsten überhaupt zählen: Forschungsdaten mit Personenbezug, Gesundheitsinformationen aus klinischen Studien, Beschäftigtendaten in komplexen Konzernstrukturen und Informationen über Lieferketten mit internationalen Drittstaatentransfers. Für Geschäftsführer mittelständischer Chemie- und Pharmaunternehmen stellt sich damit nicht die Frage, ob DSGVO-Compliance relevant ist – sondern wie sie im laufenden Betrieb rechtssicher organisiert werden kann.
DSGVO-Compliance für Unternehmen der Chemie- und Pharmaindustrie umfasst die vollständige, dokumentierte Einhaltung der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) im gesamten Betrieb – von der Verarbeitungstätigkeit in Labor und Produktion bis zum Beschäftigtendatenschutz. Verstöße können Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes nach sich ziehen. Als Geschäftsführer haften Sie persönlich für die Organisation einer rechtmäßigen Datenverarbeitung.
Dieses FAQ-Dossier beantwortet die zwölf häufigsten Fragen, die Geschäftsführer und Compliance-Verantwortliche in Chemie- und Pharmaunternehmen an uns stellen – konkret, praxisnah und auf den Mittelstand ausgerichtet.
Was bedeutet DSGVO-Compliance konkret für Unternehmen in der Chemie- und Pharmaindustrie?
DSGVO-Compliance bedeutet, dass jede Verarbeitung personenbezogener Daten in Ihrem Unternehmen auf einer dokumentierten Rechtsgrundlage beruht, technisch-organisatorisch abgesichert ist und im Ernstfall gegenüber der Datenschutzbehörde nachgewiesen werden kann. Für die Chemie- und Pharmaindustrie geht dies weit über den Standardfall hinaus.
Typische Verarbeitungsvorgänge im Chemie- und Pharmaumfeld sind: Verarbeitung von Gesundheitsdaten in klinischen Studien (Art. 9 DSGVO: besondere Kategorie), Beschäftigtendaten in Schichtbetrieben, Kundendaten in B2B-Lieferketten, Forschungskooperationen mit Hochschulen und Institutionen sowie internationale Datentransfers in Produktionsnetzwerke. Jeder dieser Vorgänge erfordert eine eigenständige Rechtsgrundlage, eine Eintragung im Verzeichnis der Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO und – wo die Datenverarbeitung an externe Dienstleister ausgelagert wird – einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.
In der Mandatspraxis sehen wir regelmäßig, dass mittelständische Chemie- und Pharmaunternehmen das VVT zwar formal angelegt haben, es aber seit der Einführung der DSGVO im Mai 2018 nicht mehr aktualisiert wurde. Das ist aus Behördensicht kein formaler Mangel, sondern ein substanzieller Verstoß gegen die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) – mit direkten Bußgeldrisiken.
Welche besonderen Datenkategorien sind in der Chemie- und Pharmaindustrie relevant?
Gesundheitsdaten, genetische Daten und biometrische Daten zur eindeutigen Identifizierung gehören nach Art. 9 Abs. 1 DSGVO zu den besonders geschützten Datenkategorien, deren Verarbeitung grundsätzlich verboten ist und nur unter engen Ausnahmevoraussetzungen zulässig wird. In der Pharmaindustrie ist dies Alltag – und zugleich das höchste Bußgeld- und Haftungsrisiko.
Für Pharmaunternehmen, die klinische Studien durchführen oder an Studien beteiligt sind, kommt als Rechtsgrundlage neben der ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) vor allem die wissenschaftliche Forschungsausnahme nach Art. 9 Abs. 2 lit. j DSGVO in Verbindung mit § 27 BDSG in Betracht. Diese Kombination ist anspruchsvoll: Jede Abweichung vom Erforderlichkeitsprinzip bei Gesundheitsdaten kann unmittelbar Bußgeldtatbestände auslösen. Sogenannte Pseudonymisierungskonzepte und Datentreuhänder-Modelle sind in der Praxis bewährte, aber rechtlich komplexe Gestaltungsinstrumente.
Hinzu kommt der Bereich der Arbeitnehmergesundheitsdaten: Betriebsärztliche Untersuchungen, Eignungsuntersuchungen für Gefahrstofftätigkeiten und Impfdokumentationen (soweit zulässig) fallen unter § 26 Abs. 3 BDSG und verlangen besondere Schutzmaßnahmen. Ohne dokumentierte Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist die Verarbeitung in aller Regel rechtswidrig.
Wann ist eine Datenschutz-Folgenabschätzung (DSFA) in der Chemieindustrie verpflichtend?
Eine DSFA ist nach Art. 35 DSGVO immer dann durchzuführen, wenn eine Verarbeitungsform ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Die zuständigen Datenschutzbehörden der Länder haben im Rahmen des Deutschen Datenschutzkonferenz-Positionspapiers Listenverfahren nach Art. 35 Abs. 4 DSGVO entwickelt, die bestimmte Verarbeitungsformen als DSFA-pflichtig ausweisen.
Für Chemie- und Pharmaunternehmen besonders relevant sind: Verarbeitung besonderer Datenkategorien im großen Maßstab (Art. 35 Abs. 3 lit. b DSGVO) – etwa in klinischen Studiendatenbanken –, systematische Überwachung von Beschäftigten (Zutrittskontrollsysteme in Sicherheitsbereichen, Videoüberwachung von Produktionsanlagen) sowie der Einsatz neuer Technologien wie KI-gestützter Qualitätskontrolle mit Bildverarbeitung. Nach unserer Erfahrung unterschätzen gerade mittelständische Unternehmen die DSFA-Pflicht bei Videoüberwachung: Sobald das System in Bereichen mit Mitarbeiteraufenthalt betrieben wird, ist die Pflicht zur DSFA in der Regel ausgelöst.
Eine DSFA ist kein einmaliges Dokument. Sie muss bei jeder wesentlichen Änderung der Verarbeitungsbedingungen aktualisiert werden – auch dann, wenn sich die technische Infrastruktur oder die Dienstleisterkette ändert.
Wer muss in Chemie- und Pharmaunternehmen einen Datenschutzbeauftragten benennen?
Die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten (DSB) ergibt sich aus Art. 37 DSGVO in Verbindung mit § 38 BDSG. Im deutschen Recht gilt die Benennungspflicht bei mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Für die Chemie- und Pharmaindustrie ist dieser Schwellenwert in der Praxis nahezu immer überschritten.
Zusätzlich besteht die Benennungspflicht unabhängig von der Mitarbeiterzahl, wenn als Kerntätigkeit umfangreiche Verarbeitungen besonderer Datenkategorien (Art. 9 DSGVO) stattfinden – was bei Pharmaunternehmen mit klinischer Abteilung strukturell der Fall ist.
Der DSB muss fachkundig sein und mit ausreichenden Ressourcen ausgestattet werden (Art. 38 Abs. 2 DSGVO). Er ist an der Durchführung der DSFA zu beteiligen und bei datenschutzrelevanten Projekten frühzeitig einzubeziehen. Ob ein interner DSB oder ein externer Dienstleister sinnvoller ist, hängt von Unternehmensgröße, Verarbeitungsstruktur und dem verfügbaren internen Fachwissen ab – beides ist rechtlich zulässig.
Welche Fristen gelten bei einer Datenpanne in der Pharmaindustrie?
Bei einer Datenschutzverletzung im Sinne von Art. 4 Nr. 12 DSGVO – also bei jeder Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten führt – gilt eine Meldefrist von 72 Stunden gegenüber der zuständigen Datenschutzbehörde (Art. 33 Abs. 1 DSGVO).
Diese Frist beginnt, sobald der Verantwortliche Kenntnis von der Datenschutzverletzung erlangt. In Pharmaunternehmen ist der Verantwortliche regelmäßig die Gesellschaft selbst – nicht der Auftragsverarbeiter. Das bedeutet: Auch wenn ein externer IT-Dienstleister oder ein CRO (Contract Research Organization) den Vorfall verursacht, läuft die 72-Stunden-Frist ab dem Zeitpunkt, zu dem Ihr Unternehmen informiert wurde. Funktionierende Meldeketten zwischen AVV-Partnern und dem eigenen Unternehmen sind daher keine Formalie, sondern ein unmittelbares Bußgeldschutzinstrument.
Wenn betroffene Personen einem hohen Risiko ausgesetzt sind – etwa bei Offenlegung von Gesundheitsdaten –, ist zusätzlich eine unverzügliche Benachrichtigung der Betroffenen nach Art. 34 DSGVO erforderlich. In der Pharmaindustrie, wo Studienteilnehmer oder Patientendaten betroffen sein können, hat diese Pflicht erhebliche praktische und reputationsmäßige Tragweite.
Was müssen Geschäftsführer persönlich bei der DSGVO beachten?
Geschäftsführer einer GmbH tragen als gesetzliche Vertreter die unternehmerische Verantwortung für die rechtskonforme Organisation des Unternehmens – und damit auch für den Datenschutz. Dies ergibt sich nicht unmittelbar aus der DSGVO selbst, sondern aus der gesellschaftsrechtlichen Sorgfaltspflicht nach § 43 GmbHG: Wer keine angemessenen Organisationsstrukturen für DSGVO-Compliance schafft, riskiert eine persönliche Haftung gegenüber der Gesellschaft für entstandene Bußgelder.
Hinzu kommt die Ordnungswidrigkeitenhaftung: Bußgelder nach Art. 83 DSGVO richten sich gegen den Verantwortlichen – also das Unternehmen. Bußgelder können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. In der Praxis stellen wir fest, dass Datenschutzbehörden bei der Verhängung von Bußgeldern zunehmend die Frage der Verantwortungsebene genau untersuchen: Mangelnde Ressourcenausstattung für den DSB, fehlende interne Schulungen, ein nicht aktualisiertes VVT – all das wertet die Behörde als Versagen auf Leitungsebene.
Darüber hinaus: Wenn Ihr Unternehmen im Rahmen eines Datenschutzverstoßes Gegenstand einer behördlichen Prüfung wird, haben Sie als Geschäftsführer eine aktive Mitwirkungspflicht – verbunden mit dem Recht auf anwaltliche Begleitung bereits ab dem ersten Behördenkontakt. Wir empfehlen, diesen Schritt nicht zu versäumen.
Wie regelt die DSGVO internationale Datentransfers in globalen Chemiekonzernen?
Internationale Datentransfers in Drittstaaten außerhalb der EU/des EWR – also etwa in die USA, nach China oder in andere Produktionsstandortländer – sind nach Kapitel V DSGVO nur unter bestimmten Voraussetzungen zulässig. Das gilt auch im Konzernverbund: Konzerninterner Datentransfer ist kein Freifahrtschein.
Die wichtigsten Transferinstrumente sind: Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO) – für die USA seit Juli 2023 wieder verfügbar durch den EU-U.S. Data Privacy Framework, der aktuell jedoch gerichtlicher Überprüfung unterliegt –, Standardvertragsklauseln (SCCs, Art. 46 Abs. 2 lit. c DSGVO) sowie verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, Art. 47 DSGVO). SCCs sind in der Chemiebranche das praktisch häufigste Instrument, erfordern aber zusätzlich eine Transfer Impact Assessment (TIA), also eine Risikoeinschätzung des Rechtssystems im Empfängerland.
Für Pharmaunternehmen, die Daten aus klinischen Studien an Auftragsforschungsorganisationen in Drittstaaten übermitteln, kumulieren sich die Anforderungen: SCCs plus DSFA plus AVV. Nach unserer Erfahrung beraten wir regelmäßig Unternehmen, die den SCC-Abschluss als einmalige Maßnahme betrachtet haben – ohne zu berücksichtigen, dass sich das Drittstaatenrecht inzwischen verändert hat und die TIA zu aktualisieren wäre.
Was ist ein Verzeichnis der Verarbeitungstätigkeiten und warum ist es in der Chemieindustrie besonders wichtig?
Das Verzeichnis der Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO ist das zentrale Dokumentationsinstrument für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Es muss für jeden Verarbeitungsvorgang Name und Kontaktdaten des Verantwortlichen, den Zweck der Verarbeitung, die betroffenen Kategorien von Personen und Daten, die Empfänger sowie – soweit vorhanden – Fristen zur Löschung und technisch-organisatorische Maßnahmen enthalten.
In der Chemieindustrie ist das VVT besonders komplex, weil die Verarbeitungsstruktur vielschichtig ist: Forschungs- und Entwicklungsabteilungen, Produktion, Vertrieb, Human Resources, Einkauf und externe Labore können jeweils eigene Verarbeitungsvorgänge unterhalten. Unternehmen mit mehr als 250 Mitarbeitern sind ohne Ausnahme zur vollständigen Führung des VVT verpflichtet; kleinere Unternehmen dann, wenn die Verarbeitung besondere Datenkategorien oder ein Risiko für Betroffene umfasst – was bei Pharmaunternehmen strukturell der Fall ist.
Ein nicht gepflegtes oder unvollständiges VVT ist bei Datenschutzprüfungen das erste Dokument, das die Behörde anfordert. Fehlt es oder ist es veraltet, wertet dies die Behörde regelmäßig als eigenständigen Verstoß, unabhängig davon, ob ein konkreter Datenschutzschaden eingetreten ist.
Wie müssen Auftragsverarbeitungsverträge (AVV) in der Pharmaindustrie ausgestaltet sein?
Sobald ein externes Unternehmen in Ihrem Auftrag personenbezogene Daten verarbeitet – sei es ein Cloud-Dienstleister, ein CRO, ein Lohnabrechner oder ein externes Labor –, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zwingend erforderlich. Der AVV muss schriftlich oder in einem gleichwertigen elektronischen Format vorliegen und im Einzelnen regeln: Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Unterauftragnehmerregelungen, Betroffenenrechte, Rückgabe und Löschung sowie Prüfungsrechte.
Gerade bei Unterauftragnehmern liegt ein häufiger Fehler: Der Haupt-AVV erlaubt zwar den Einsatz von Subunternehmern, die Weitergabe ist jedoch ohne konkrete Genehmigung des Verantwortlichen unzulässig. In globalen Lieferketten der Chemieindustrie, wo CROs ihrerseits Labornetzwerke einsetzen, entstehen hier mehrschichtige Haftungsrisiken. Wir empfehlen, AVV-Muster nicht als Standarddokument zu betrachten, sondern für jeden Verarbeitungskontext individuell anzupassen – insbesondere bei der Verarbeitung besonderer Datenkategorien im Pharmaumfeld.
Welche Rechte haben Beschäftigte, und wie geht der Arbeitgeber damit um?
Beschäftigte sind als betroffene Personen Träger sämtlicher DSGVO-Rechte: Auskunftsrecht (Art. 15 DSGVO), Berichtigungs- und Löschungsrecht (Art. 16, 17 DSGVO), Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) und Widerspruchsrecht (Art. 21 DSGVO). Auskunftsanfragen müssen grundsätzlich binnen eines Monats beantwortet werden (Art. 12 Abs. 3 DSGVO).
In der Chemieindustrie ist das Auskunftsrecht im Beschäftigungskontext besonders praxisrelevant: Mitarbeiter in Sicherheitsbereichen unterliegen intensiver Zutrittsdokumentation; Betriebsräte haben Mitbestimmungsrechte bei der Einführung von Systemen zur Verhaltens- und Leistungskontrolle (§ 87 Abs. 1 Nr. 6 BetrVG). Das Zusammenspiel von DSGVO, BDSG und Betriebsverfassungsgesetz ist in der Praxis erheblich komplexer als es die DSGVO allein abbildet.
Für Geschäftsführer gilt: Stellen Sie sicher, dass Auskunftsanfragen intern kanalisiert werden – idealerweise über den DSB –, und dass eine Antwort nicht unbearbeitet bleibt. Die Datenschutzbehörde erhält Beschwerden regelmäßig dann, wenn Mitarbeiter auf eine Auskunftsanfrage keine oder eine unvollständige Antwort erhalten haben.
Welche Sanktionen drohen bei DSGVO-Verstößen in der Chemieindustrie?
Das Sanktionssystem der DSGVO ist zweistufig. Verstöße gegen grundlegende Pflichten wie das VVT, den DSB oder Meldepflichten können mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 DSGVO). Verstöße gegen die Grundsätze der Verarbeitung, gegen Rechtsgrundlagen oder gegen die Betroffenenrechte können Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes nach sich ziehen (Art. 83 Abs. 5 DSGVO).
Hinzu kommen zivilrechtliche Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO sowie Reputationsschäden, die in regulierten Branchen wie der Pharmaindustrie unmittelbare Auswirkungen auf behördliche Zulassungsverfahren haben können. Die deutschen Datenschutzbehörden – in Bayern die zuständige Behörde für viele Pharmaunternehmen ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) – haben ihre Prüfintensität seit 2021 spürbar erhöht und setzen verstärkt auf anlassunabhängige Audits in Hochrisisobranchen.
Was bedeutet das für Sie als Geschäftsführer? Ein unzureichend organisiertes Datenschutzprogramm ist kein theoretisches Risiko. Es ist ein Bilanzrisiko, das in der Größenordnung von Prozent des Jahresumsatzes liegen kann.
Wie gelingt der Einstieg in ein systematisches DSGVO-Compliance-Programm?
Ein belastbares DSGVO-Compliance-Programm für Chemie- und Pharmaunternehmen folgt einer klaren Abfolge: Bestandsaufnahme aller Verarbeitungsvorgänge und Aktualisierung des VVT, Identifikation aller externen Dienstleister mit Datenzugang und Prüfung bestehender AVV, Überprüfung aller Drittstaatentransfers und Aktualisierung von SCCs sowie TIAs, Durchführung ausstehender DSFAs, Schulung der Mitarbeiter und der Leitungsebene sowie Einrichtung eines Prozesses zur Behandlung von Betroffenenanfragen und Datenpannen.
Dieser Fahrplan klingt strukturiert – in der Umsetzung hängt er jedoch stark von der vorhandenen Dokumentationsstruktur, der IT-Landschaft und den vertraglichen Drittbeziehungen ab. Nach unserer Erfahrung beraten wir regelmäßig Unternehmen, die einzelne Elemente bereits implementiert haben, aber keine kohärente Gesamtarchitektur besitzen. Die Datenschutzbehörde bewertet nicht einzelne Dokumente, sondern das Gesamtbild der Verantwortlichkeit.
Wo sollten Sie beginnen? Mit dem VVT und den AVV – denn diese beiden Instrumente bilden die Grundlage, auf der alle weiteren Maßnahmen aufbauen. Ohne aktuelle Bestandsaufnahme ist keine DSGVO-Prüfung belastbar.
Die vorstehende Darstellung betrifft die typischen Regelfälle im Chemie- und Pharmaumfeld. Ihr konkreter Fall erfordert die Prüfung Ihrer Verarbeitungsstruktur, Ihrer bestehenden Verträge und der einschlägigen Behördenpraxis in Ihrer Jurisdiktion. Für eine erste Einschätzung Ihrer DSGVO-Compliance-Situation schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur DSGVO-Compliance in der Chemie- und Pharmaindustrie
Gilt die DSGVO auch für rein betriebsinterne Verarbeitungen ohne Kundenbezug?
Ja. Die DSGVO gilt für jede Verarbeitung personenbezogener Daten, unabhängig davon, ob es sich um Kunden-, Lieferanten- oder Beschäftigtendaten handelt. Auch rein interne Prozesse – etwa die Personalverwaltung, die Zutrittsdokumentation in Sicherheitsbereichen oder die IT-Nutzungsprotokollierung – unterliegen vollständig dem Datenschutzrecht. Eine Beschränkung auf kundenbezogene Verarbeitungen ist ein verbreitetes, aber gefährliches Missverständnis.
Müssen Chemieunternehmen mit weniger als 250 Mitarbeitern ein VVT führen?
Art. 30 Abs. 5 DSGVO enthält eine Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern, die jedoch nicht für Unternehmen gilt, deren Verarbeitungen ein Risiko für Rechte und Freiheiten der betroffenen Personen bergen, die nicht nur gelegentlich erfolgen oder die besondere Datenkategorien nach Art. 9 DSGVO umfassen. In der Chemie- und Pharmaindustrie treffen diese Ausnahmen von der Ausnahme regelmäßig zu – das VVT ist faktisch verpflichtend.
Was ist der Unterschied zwischen Verantwortlichem und Auftragsverarbeiter?
Der Verantwortliche (Art. 4 Nr. 7 DSGVO) ist die Stelle, die allein oder gemeinsam mit anderen über Zweck und Mittel der Verarbeitung entscheidet – das ist in der Regel Ihr Unternehmen. Der Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) verarbeitet die Daten ausschließlich nach Weisung des Verantwortlichen. Diese Abgrenzung ist entscheidend für die Haftungsverteilung und die AVV-Pflicht: Verarbeitet ein Dritter Daten zu eigenen Zwecken, ist kein AVV, sondern ein Drittübermittlungsvertrag erforderlich.
Ist eine Einwilligung der Beschäftigten für die Verarbeitung ihrer Daten erforderlich?
Nicht immer. Die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ist eine von mehreren möglichen Rechtsgrundlagen. Im Beschäftigungskontext ist die Einwilligung wegen des strukturellen Machtgefälles zwischen Arbeitgeber und Arbeitnehmer nur eingeschränkt wirksam. Häufig trägt § 26 BDSG als eigenständige Rechtsgrundlage – etwa für die Verarbeitung zur Durchführung des Arbeitsverhältnisses. Eine Einwilligung als einzige Grundlage für die Verarbeitung von Pflichtdaten aus dem Arbeitsverhältnis ist rechtlich problematisch.
Welche Behörde ist für mein Chemieunternehmen zuständig?
In Deutschland ist die Datenschutzbehörde des jeweiligen Bundeslandes zuständig, in dem Ihr Unternehmen seinen Sitz hat. Für Bayern ist das das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), für NRW die LDI NRW, für Baden-Württemberg der LfDI BW. Bei grenzüberschreitenden Verarbeitungen innerhalb der EU gilt das sogenannte One-Stop-Shop-Prinzip (Art. 56 DSGVO): Die Behörde am Hauptsitz des Unternehmens in der EU ist federführend zuständig.
Wie lange müssen personenbezogene Daten in der Pharmaindustrie aufbewahrt werden?
Die Aufbewahrungsfristen in der Pharmaindustrie richten sich nach dem anwendbaren Fachrecht: Klinische Studiendaten unterliegen den Vorgaben der GCP-Verordnung (EU) Nr. 536/2014 und nationaler Implementierungen sowie GMP-Anforderungen, die Aufbewahrungsfristen von bis zu 25 Jahren und länger vorsehen können. Diese spezifischen Aufbewahrungspflichten sind nach Art. 17 Abs. 3 lit. b DSGVO als Ausnahmen vom Löschungsgebot anerkannt. In den Bereichen, in denen kein spezielles Fachrecht gilt, ist das Prinzip der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) maßgeblich – Daten sind zu löschen, sobald der Zweck entfallen ist.
Müssen Beschäftigte in Chemieunternehmen zur Datenschutz-Schulung verpflichtet werden?
Art. 32 Abs. 4 und Art. 29 DSGVO verpflichten den Verantwortlichen, sicherzustellen, dass ihm unterstellte Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten – es sei denn, sie sind rechtlich zur Verarbeitung verpflichtet. In der Praxis setzt dies regelmäßige Schulungen voraus. Datenschutzbehörden werten das Fehlen dokumentierter Schulungen als Indiz für unzureichende technisch-organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO.
Darf ich als Pharmaunternehmen Daten aus klinischen Studien in die USA übermitteln?
Seit dem EU-U.S. Data Privacy Framework (DPF) von Juli 2023 ist eine Übermittlung an zertifizierte US-Unternehmen auf Basis des Angemessenheitsbeschlusses der EU-Kommission wieder möglich. Dieser Beschluss wird jedoch durch anhängige Klageverfahren auf europäischer Ebene angegriffen. Bis zur abschließenden Klärung empfehlen wir, Standardvertragsklauseln (SCCs) als Fallback-Instrument parallel zu unterhalten und die Transfer Impact Assessment (TIA) aktuell zu halten. Im Pharmaumfeld ist zudem das Fachrecht der Arzneimittelzulassung zu beachten, das eigene Anforderungen an die Datenweitergabe kennt.
Was passiert, wenn ein Auftragsverarbeiter selbst eine Datenpanne verursacht?
Der Auftragsverarbeiter ist nach Art. 33 Abs. 2 DSGVO verpflichtet, den Verantwortlichen unverzüglich über eine Datenschutzverletzung zu informieren, sobald er von ihr Kenntnis erlangt. Die eigene 72-Stunden-Meldepflicht des Verantwortlichen gegenüber der Aufsichtsbehörde beginnt ab seiner Kenntnis. Der AVV muss daher klare Meldeprozesse und -fristen zwischen Auftragsverarbeiter und Verantwortlichem definieren. Fehlen diese Regelungen, ist der Verantwortliche schutzlos, wenn der Auftragsverarbeiter die Meldung verzögert.
Kann mein Unternehmen für Datenschutzverstöße eines externen Dienstleisters haftbar gemacht werden?
Ja. Art. 82 Abs. 2 DSGVO sieht vor, dass der Verantwortliche für Schäden haftet, die durch Verarbeitungen entstehen, die gegen die DSGVO verstoßen. Der Verantwortliche kann sich nur exkulpieren, wenn er nachweist, dass er in keiner Weise für den Umstand verantwortlich ist, durch den der Schaden eingetreten ist. Das setzt voraus, dass Sie Ihren AVV rechtssicher gestaltet haben, regelmäßige Audits beim Auftragsverarbeiter durchgeführt haben und dessen Weisungsbindung dokumentiert ist. Eine ordnungsgemäße Vertragsgestaltung schützt Sie – sie entlastet Sie aber nur dann vollständig, wenn die Umsetzung auch nachweisbar war.
Reicht eine einmalige DSGVO-Prüfung durch eine Kanzlei aus?
Eine einmalige Prüfung schafft eine belastbare Ausgangslage, ist aber kein dauerhafter Schutz. DSGVO-Compliance ist ein fortlaufender Prozess: Neue Verarbeitungsvorgänge, neue Dienstleister, neue Technologien, Änderungen im anwendbaren Recht (etwa neue SCCs oder revidierte Behördenempfehlungen) erfordern kontinuierliche Anpassung. Die Datenschutzbehörden beurteilen Compliance zum Zeitpunkt einer Prüfung, nicht rückwirkend. Wir empfehlen eine jährliche Überprüfung des Gesamtprogramms sowie anlassbezogene Prüfungen bei wesentlichen Veränderungen in der Verarbeitungsstruktur.
Wie unterscheidet sich die DSGVO-Compliance in der Chemieindustrie von der in anderen Branchen?
Die strukturelle Besonderheit liegt in der Kombination aus industriellen Sicherheitsanforderungen (Zutrittskontrolle, Gefahrstoffüberwachung, CCTV in Produktionsanlagen), regulatorischen Fachrechtsanforderungen (AMG, AMWHV, GMP, GCP) und der erhöhten Sensitivität der Daten (Gesundheitsdaten in der Pharmaabteilung, genetische Proben in der Forschung). Diese Kombination führt zu einem Datenschutzrecht, das nicht aus Standardvorlagen befriedigend abgebildet werden kann. Branchenangepasste Datenschutzkonzepte sind keine Kür, sondern eine Notwendigkeit.
Die vorstehenden Antworten geben den typischen Rechtsrahmen wieder. Ihr konkreter Sachverhalt erfordert die Prüfung Ihrer individuellen Verarbeitungsstruktur, Ihrer vertraglichen Drittbeziehungen und der Behördenpraxis Ihrer zuständigen Datenschutzaufsichtsbehörde. Zur Klärung, wie die DSGVO-Anforderungen auf Ihr Unternehmen wirken, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.