Maschinenbauunternehmen verarbeiten täglich sensible Daten: Lieferantenverträge mit Preislisten, Betriebsdaten vernetzter Anlagen, Personalakten von Facharbeitern, Kundenkonfigurationen und – zunehmend – Telemetriedaten aus dem Feld. Wann die Datenschutz-Grundverordnung diese Verarbeitungen zur Pflichtaufgabe der Geschäftsführung macht, ist in vielen inhabergeführten Maschinenbaubetrieben noch nicht vollständig durchdrungen.
DSGVO-Compliance für Unternehmen ist keine einmalige Projektaufgabe, sondern ein dauerhafter rechtlicher Organisationsprozess. Die DSGVO verpflichtet Verantwortliche – also die juristische Person und die handelnden Organe – zu Rechenschaft, Dokumentation und technisch-organisatorischen Schutzmaßnahmen. Bei Verstößen drohen nach Art. 83 DSGVO Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für den Maschinenbau, der regelmäßig B2B-Lieferketten mit internationaler Komponente betreibt, ergibt sich daraus ein mehrschichtiges Compliance-Risiko, das anwaltlicher Strukturierung bedarf.
Dieser Beitrag erläutert den Rechtsrahmen, die typischen Schwachstellen im Maschinenbau, die Haftung der Geschäftsführung und den Weg zu einem belastbaren Compliance-System – einschließlich der nächsten konkreten Schritte.
Was verlangt die DSGVO von mittelständischen Maschinenbauunternehmen?
Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet – unabhängig von Größe oder Branche. Maßgebliche Grundprinzipien sind Rechtmäßigkeit, Zweckbindung, Datensparsamkeit, Speicherbegrenzung, Integrität und Rechenschaftspflicht (Art. 5 DSGVO). Für den Maschinenbau bedeutet das konkret: Jede Verarbeitung von Mitarbeiterdaten, Kundenkontaktdaten, Servicetechnikerdaten oder Maschinen-Telemetriedaten, die einer natürlichen Person zugeordnet werden können, unterfällt dem Regelungsregime.
Der Rechenschaftsgrundsatz aus Art. 5 Abs. 2 DSGVO schreibt vor, dass das Unternehmen die Einhaltung aller Grundsätze jederzeit nachweisen kann. Nicht das Vorliegen eines Datenschutzvorfalls löst die Haftung aus – schon die fehlende Dokumentation eines Verarbeitungsverzeichnisses nach Art. 30 DSGVO ist ein eigenständiger Verstoß, den die Aufsichtsbehörde prüfen und sanktionieren kann. In der Mandatspraxis sehen wir, dass zahlreiche mittelständische Unternehmen zwar ein Datenschutzmanagement eingerichtet haben, dieses aber seit der DSGVO-Einführung 2018 nicht fortgeschrieben wurde und deshalb den tatsächlichen Verarbeitungsrealitäten längst nicht mehr entspricht.
Das BDSG (Bundesdatenschutzgesetz) ergänzt die DSGVO im deutschen Recht, insbesondere für den Beschäftigtendatenschutz (§ 26 BDSG). Maschinenbauunternehmen, die Leistungsdaten, Zeiterfassungsdaten oder Videoüberwachung in Produktionshallen einsetzen, müssen die Rechtsgrundlagen sauber von der DSGVO- auf die BDSG-Ebene abbilden und dokumentieren.
Welche Datenflüsse sind im Maschinenbau besonders risikobehaftet?
Maschinenbauunternehmen weisen eine Struktur auf, die datenschutzrechtlich mehrere gleichzeitig aktive Risikofelder erzeugt. Das Zusammenspiel von Produktion, Vertrieb, Serviceorganisation und internationaler Lieferkette führt zu Datenflüssen, die ohne klare Rechtsgrundlage und Vertragsdokumentation rasch zu Bußgeldtatbeständen werden.
Condition-Monitoring und IoT-Daten: Vernetzte Maschinen übermitteln Betriebsdaten an Hersteller- oder Dienstleisterserver. Soweit diese Daten Rückschlüsse auf das Verhalten individueller Servicetechniker oder Bediener zulassen, handelt es sich um personenbezogene Daten. Verarbeitet ein Dienstleister diese Daten im Auftrag, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zwingend erforderlich – vor der Aufnahme der Verarbeitung. Fehlt dieser, verstößt bereits die Beauftragung gegen die DSGVO.
Internationale Datentransfers stellen ein weiteres Feld dar. Maschinenbaubetriebe mit Zulieferern oder Servicepartnern außerhalb des Europäischen Wirtschaftsraums müssen geeignete Garantien nach Art. 46 DSGVO vorhalten – typischerweise die Standardvertragsklauseln der EU-Kommission (SCC). Seit dem Schrems-II-Urteil des EuGH ist zudem ein Transfer Impact Assessment (TIA, Übertragungsfolgenabschätzung) erforderlich. Diese Anforderung wird in der Praxis häufig übersehen.
Im Vertrieb werden regelmäßig Kontaktdaten von Einkäufern, Projekttechnikern und Ansprechpartnern auf Kundenseite in CRM-Systemen gespeichert. Auch wenn es sich um B2B-Beziehungen handelt: Ansprechpartner sind natürliche Personen. Die Pflicht zur Information nach Art. 13/14 DSGVO gilt. Nach unserer Erfahrung fehlt diese Datenschutzinformation in CRM-Onboarding-Prozessen vieler mittelständischer Maschinenbauer vollständig.
Haftung der Geschäftsführung: Was bedeutet DSGVO-Verstoß persönlich?
Datenschutzverstöße treffen zunächst das Unternehmen als juristische Person. Die Bußgeldadressaten nach Art. 83 DSGVO sind primär die Verantwortlichen – also GmbH oder AG, nicht automatisch der Geschäftsführer persönlich. Dennoch ist das persönliche Haftungsrisiko der Geschäftsführung erheblich und wird in der öffentlichen Diskussion häufig unterschätzt.
Erstens können Aufsichtsbehörden in Deutschland Bußgelder nach § 41 BDSG gegen natürliche Personen festsetzen, wenn diese selbst Täter oder Teilnehmer einer Ordnungswidrigkeit sind. Zweitens droht die Innenhaftung gegenüber der Gesellschaft nach § 43 GmbHG, wenn die Geschäftsführung Organisationspflichten verletzt hat. Wer als Geschäftsführer wissentlich auf die Einrichtung eines Verarbeitungsverzeichnisses, die Benennung eines Datenschutzbeauftragten oder den Abschluss von AVVs verzichtet, handelt pflichtwidrig im Sinne des GmbH-Gesetzes.
Drittens: Werden infolge eines Datenschutzverstoßes Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO gegen das Unternehmen geltend gemacht und kann dieses die Ansprüche nicht aus Eigenmitteln bedienen, schließt sich die Frage der Innenhaftung unmittelbar an. Welche Konsequenzen das für Geschäftsführer eines inhabergeführten Maschinenbauunternehmens hat, bedarf der Prüfung im Einzelfall – wir beraten regelmäßig Unternehmen, die sich erstmals systematisch mit dieser Haftungskette auseinandersetzen.
Praktische Empfehlung: Führen Sie eine jährliche dokumentierte Überprüfung der Datenschutzorganisation durch. Diese Dokumentation entlastet die Geschäftsführung in einem etwaigen Bußgeld- oder Haftungsverfahren erheblich.
Welche Pflichten bestehen konkret – und bis wann?
Die DSGVO kennt keine einmalige „Zertifizierung". Sie verlangt einen fortlaufenden Prozess. Die wichtigsten Einzelpflichten für Maschinenbauunternehmen sind:
- Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO): Pflicht für alle Unternehmen mit mehr als 250 Mitarbeitern; de facto auch für kleinere, da die Mehrzahl der Verarbeitungen in § 30 Abs. 5 DSGVO genannte Ausnahmen nicht erfüllt.
- Datenschutzbeauftragter (Art. 37 DSGVO, § 38 BDSG): In Deutschland Pflicht ab 20 Personen, die regelmäßig automatisiert personenbezogene Daten verarbeiten (§ 38 Abs. 1 BDSG). Für den typischen Maschinenbauer mit digitaler Fertigungssteuerung ist diese Schwelle regelmäßig überschritten.
- Auftragsverarbeitungsverträge (Art. 28 DSGVO): Mit allen Dienstleistern, die im Auftrag personenbezogene Daten verarbeiten – Cloud-Anbieter, ERP-Hoster, Fernwartungsdienstleister.
- Technisch-organisatorische Maßnahmen (Art. 32 DSGVO): Pseudonymisierung, Verschlüsselung, Zugriffskonzepte, Backup- und Recovery-Verfahren – risikobasiert auszugestalten.
- Meldepflicht bei Datenpannen (Art. 33 DSGVO): Binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde; ggf. Benachrichtigung der Betroffenen nach Art. 34 DSGVO.
- Datenschutz-Folgenabschätzung (Art. 35 DSGVO): Pflicht bei Verarbeitungen mit hohem Risiko – z. B. umfangreiches Monitoring von Mitarbeitern oder systematische Überwachung öffentlich zugänglicher Bereiche.
- Auskunftsrecht Betroffener (Art. 15 DSGVO): Antwort grundsätzlich binnen 1 Monat (Art. 12 Abs. 3 DSGVO); Fristverlängerung um zwei weitere Monate bei Komplexität möglich, aber zu begründen.
Für Maschinenbauunternehmen mit Lieferketten in Drittstaaten tritt die Pflicht zur Dokumentation von Transfermechanismen nach Art. 46 DSGVO hinzu. Ein Transfer Impact Assessment ist bei Übermittlungen in Länder ohne Angemessenheitsbeschluss der EU-Kommission zwingend zu erstellen und zu dokumentieren.
Datenschutzbehörden: Wie agieren die Aufsichtsbehörden im Maschinenbauumfeld?
Die deutschen Datenschutzaufsichtsbehörden – in Bayern der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) für private Unternehmen, in Baden-Württemberg der Landesbeauftragte für Datenschutz und Informationsfreiheit (LfDI BW) – sind im Wirtschaftsbereich aktiv und führen Prüfverfahren sowohl anlassbezogen als auch systematisch durch. Maschinenbau-Cluster in Bayern und Baden-Württemberg gehören zu den wirtschaftlich bedeutsamen Regionen, die im Blickfeld der Aufsicht stehen.
Typische Auslöser für Verfahren sind Beschwerden von Mitarbeitern oder Kunden, Datenpannen-Meldungen, die nach Einschätzung der Behörde unzureichend dokumentiert sind, sowie Hinweise aus der Öffentlichkeit oder von Wettbewerbern. Sobald eine Aufsichtsbehörde eine Anfrage stellt oder ein förmliches Verfahren einleitet, ist anwaltliche Begleitung dringend geboten. Aussagen gegenüber der Behörde, die eine unzureichende Compliance-Organisation offenlegen, können das Bußgeldverfahren beschleunigen und den Bußgeldrahmen nach oben öffnen.
Bitte beachten Sie: Behördliche Auskunftsersuchen laufen unter Fristen. Bußgelder nach Art. 83 DSGVO können bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes betragen. Bei einem Maschinenbauunternehmen mit 50 Mio. € Umsatz entspräche das bis zu 2 Mio. €. Die Verhältnismäßigkeit im Einzelfall spielt eine Rolle – ebenso wie die Kooperation mit der Behörde und das Vorliegen einer dokumentierten Compliance-Organisation.
Typische Fehler im Maschinenbau – und wie sie vermieden werden
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Maschinenbauunternehmen mit rund 180 Mitarbeitern, das Sondermaschinen für die Lebensmittelindustrie herstellt. Ausgangslage: Das Unternehmen hatte anlässlich der DSGVO-Einführung 2018 ein Verarbeitungsverzeichnis und eine Datenschutzerklärung erstellt, beides jedoch seitdem nicht aktualisiert. In der Zwischenzeit hatte es drei neue Cloud-Dienste eingeführt, eine Fernwartungsstruktur über einen osteuropäischen IT-Dienstleister aufgebaut und seine Serviceorganisation auf eine App umgestellt, über die Servicetechniker Einsatzberichte einreichten. AVVs fehlten für zwei der drei Cloud-Dienste vollständig; der Fernwartungsdienstleister saß in einem Land ohne EU-Angemessenheitsbeschluss, ein Transfer Impact Assessment war nie erstellt worden. Vorgehen: Die Kanzlei erstellte zunächst ein Datenfluss-Mapping, aktualisierte das Verarbeitungsverzeichnis, gestaltete die fehlenden AVVs, koordinierte das TIA für den osteuropäischen Dienstleister und implementierte einen internen Datenpannen-Eskalationsprozess. Ergebnis: Das Unternehmen ist nunmehr in der Lage, bei einer Behördenanfrage strukturiert und fristgerecht zu antworten, ohne organisatorische Lücken offenzulegen.
Dieser Fall ist nicht untypisch. Die Kanzlei begegnet vergleichbaren Konstellationen – unterschiedliche IT-Dienstleister, fehlende AVVs, veraltete Dokumentationen – in einer Vielzahl von Mandaten aus dem produzierenden Gewerbe.
Compliance-Struktur im Maschinenbau: Welche Instrumente sind praxistauglich?
Ein belastbares DSGVO-Compliance-System für den Maschinenbau besteht nicht aus einem einmalig erstellten Paket von Dokumenten. Es besteht aus einem Regelwerk, das die tatsächlichen Verarbeitungen spiegelt, aus einem Verantwortungsmodell, das in der Betriebsorganisation verankert ist, und aus Prozessen, die Compliance im Tagesgeschäft sicherstellen.
Folgende Instrumente sind für Maschinenbauunternehmen besonders relevant:
- Datenfluss-Mapping: Systematische Erfassung aller Datenflüsse – intern zwischen Abteilungen, extern zu Dienstleistern, Kunden und Behörden. Grundlage für das Verarbeitungsverzeichnis nach Art. 30 DSGVO und für die Identifikation von AVV-Bedarf.
- Rechtsgrundlagen-Mapping: Zuordnung jeder Verarbeitungstätigkeit zu einer Rechtsgrundlage (Einwilligung, Vertrag, berechtigtes Interesse, gesetzliche Pflicht). Für Mitarbeiterdaten: § 26 BDSG als gesetzliche Grundlage prüfen.
- AVV-Matrix: Überblick aller Dienstleister mit Verarbeitungsauftrag; Status des AVV (vorliegend/fehlend/prüfbedürftig); Drittlandstransfers markiert.
- Datenpannen-Eskalationsprotokoll: Internes Verfahren, das sicherstellt, dass bei Bekanntwerden einer Datenpanne die 72-Stunden-Frist nach Art. 33 DSGVO eingehalten werden kann. Benennung einer internen Meldestelle, Eskalationspfad zur Geschäftsführung, Muster für die Behördenmeldung.
- Schulungskonzept: Regelmäßige Datenschutzschulungen für Mitarbeiter, dokumentiert. Besonderes Augenmerk auf Vertrieb (CRM-Nutzung), IT (Cloud, Remote Access) und Produktion (Zeiterfassung, Werksüberwachung).
- Datenschutz-Folgenabschätzung (DSFA): Für Hochrisikoverarbeitungen – z. B. biometrische Zugangssysteme in der Produktion, umfassendes Mitarbeiter-Monitoring – zwingend vor Einführung des Systems.
Die Entscheidung, ob ein interner oder externer Datenschutzbeauftragter (DSB) die Funktion übernehmen soll, hängt von Unternehmensgröße, Komplexität der Verarbeitungen und internen Ressourcen ab. Für viele mittelständische Maschinenbauer ist ein externer DSB – etwa ein spezialisierter Rechtsanwalt oder eine Fachagentur – wirtschaftlich sinnvoll, weil er die Haftungsverantwortung strukturell trennt. Die Bestellung ist der zuständigen Aufsichtsbehörde zu melden und intern zu kommunizieren.
Die vorstehende Darstellung betrifft die Regelfälle der DSGVO-Compliance im Maschinenbau. Ihr konkreter Fall erfordert die Prüfung Ihrer tatsächlichen Verarbeitungsstruktur, der vorhandenen Dokumentation und der einschlägigen Rechtsgrundlagen. Zur Klärung, welche Maßnahmen in Ihrem Unternehmen prioritär sind, wenden Sie sich an info@brandtfalk.com.
Internationale Lieferketten und Drittstaatentransfers im Maschinenbau
Maschinenbauunternehmen unterhalten regelmäßig Lieferketten, Servicepartnerschaften und Vertriebsstrukturen außerhalb der Europäischen Union – in Südostasien, Nordamerika, der Türkei oder dem UK. Jede Übermittlung personenbezogener Daten in einen Drittstaat, der keinen Angemessenheitsbeschluss der EU-Kommission genießt, bedarf einer eigenen Rechtsgrundlage nach Art. 46 DSGVO.
Das praktisch wichtigste Instrument sind die Standardvertragsklauseln der EU-Kommission (SCC) in der Fassung von 2021. Sie müssen unverändert in Verträge mit Drittlanddienstleistern aufgenommen werden. Zusätzlich ist seit dem Schrems-II-Urteil des EuGH (2020) ein Transfer Impact Assessment (TIA) zu erstellen: eine dokumentierte Risikoanalyse, ob das Schutzniveau im Empfängerland dem der DSGVO gleichwertig ist. Ist das nicht der Fall, sind ergänzende Schutzmaßnahmen – wie zusätzliche Verschlüsselung oder Pseudonymisierung – zu implementieren und zu dokumentieren.
Für Maschinenbauunternehmen, die Fernwartungszugriffe an ausländische Servicepartner delegieren, bedeutet das: Der Zugriff auf Systeme, über die Beschäftigtendaten oder Kundendaten erreichbar sind, ist ein Datentransfer im Sinne der DSGVO. Technische Zugriffssteuerung allein reicht nicht; der rechtliche Rahmen muss dokumentiert sein. Wir beraten regelmäßig Unternehmen beim Aufbau oder der Überprüfung dieser Transfermechanismen – auch bei bestehenden Rahmenverträgen, die möglicherweise noch die alten SCC aus 2010 enthalten und zwingend aktualisiert werden müssen.
Verwandte Leistungen
Häufige Fragen zur DSGVO-Compliance im Maschinenbau
Gilt die DSGVO auch für reine B2B-Unternehmen im Maschinenbau?
Ja. Die DSGVO gilt für jede Verarbeitung personenbezogener Daten – unabhängig davon, ob das Geschäftsmodell B2B oder B2C ist. Auch im B2B-Umfeld werden Daten natürlicher Personen verarbeitet: Ansprechpartner bei Kunden und Lieferanten, Mitarbeiter, Servicetechniker. Für diese Verarbeitungen gelten die Informationspflichten, Rechtsgrundlagenerfordernisse und Betroffenenrechte der DSGVO vollständig. Wer dies mit dem Argument „wir machen nur B2B" außer Acht lässt, setzt sich einem erheblichen Bußgeldrisiko aus.
Ab wann muss ein Maschinenbauunternehmen einen Datenschutzbeauftragten benennen?
In Deutschland ist ein Datenschutzbeauftragter nach § 38 Abs. 1 BDSG zu benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Für einen typischen Maschinenbaubetrieb mit digitalem ERP, Zeiterfassungssystem und CRM ist diese Schwelle erfahrungsgemäß bereits bei überschaubarer Belegschaft erreicht. Darüber hinaus besteht die Bestellpflicht unabhängig von der Mitarbeiterzahl bei bestimmten Verarbeitungstypen, z. B. umfangreicher DSFA-pflichtiger Verarbeitungen. Die genaue Prüfung ist im Einzelfall vorzunehmen.
Was passiert, wenn ein Maschinenbauunternehmen eine Datenpanne nicht innerhalb von 72 Stunden meldet?
Die Meldepflicht nach Art. 33 DSGVO besteht binnen 72 Stunden nach Bekanntwerden einer Datenpanne, die voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen darstellt. Wird die Frist versäumt oder die Meldung unterlassen, ist das ein eigenständiger Verstoß, der Gegenstand einer Bußgeldentscheidung sein kann – unabhängig davon, wie schwer die Panne selbst wiegt. Zusätzlich kann die verspätete Meldung als erschwerender Umstand gewertet werden. Es empfiehlt sich, einen internen Eskalationsprozess vorzuhalten, der die Fristwahrung sicherstellt.
Müssen Fernwartungszugriffe ausländischer Servicepartner datenschutzrechtlich abgesichert werden?
Ja. Soweit ein ausländischer Servicepartner im Rahmen der Fernwartung auf Systeme zugreift, über die personenbezogene Daten erreichbar sind, liegt ein Datentransfer im Sinne der DSGVO vor. Für Transfers in Drittstaaten ohne EU-Angemessenheitsbeschluss sind Standardvertragsklauseln in der aktuellen Fassung (2021) und ein Transfer Impact Assessment erforderlich. Ältere Rahmenverträge, die noch auf den SCC von 2010 basieren, sind nicht mehr rechtssicher und müssen aktualisiert werden.
Welche Rechtsgrundlage gilt für die Verarbeitung von Mitarbeiterdaten im Maschinenbau?
Für Mitarbeiterdaten ist in Deutschland in erster Linie § 26 BDSG die maßgebliche Rechtsgrundlage: Datenverarbeitung ist zulässig, soweit sie für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Für darüber hinausgehende Verarbeitungen – z. B. Mitarbeiterfotografien auf der Website oder freiwillige Gesundheitsprogramme – bedarf es gesonderter Einwilligung, die den strengen Anforderungen des § 26 Abs. 2 BDSG an die Freiwilligkeit im Beschäftigungsverhältnis genügen muss.
Die vorstehende Darstellung betrifft die Regelfälle der DSGVO-Compliance im Maschinenbau. Ihr konkreter Sachverhalt erfordert die Prüfung Ihrer Verarbeitungsstruktur, der vorhandenen Dokumentation und der einschlägigen Fristen. Für eine fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.