Maschinen sprechen heute mehr als je zuvor — mit Lieferanten, Kunden, Wartungstechnikern, mit der Cloud. Wer im Maschinenbau Predictive Maintenance, Remote Access oder digitale Serviceplattformen einsetzt, verarbeitet personenbezogene Daten: Nutzungsprofile von Servicetechnikern, Standortdaten von Außendienstmitarbeitern, Kundendaten aus CRM-Systemen, bisweilen sogar biometrische Zugangsdaten in der Fertigung. All das unterliegt der Datenschutz-Grundverordnung (DSGVO) — und die Aufsichtsbehörden prüfen zunehmend auch mittelständische Industrieunternehmen.
Maschinenbauunternehmen, die digitale Produktions- und Serviceprozesse betreiben, sind vollständig an die DSGVO und das Bundesdatenschutzgesetz (BDSG) gebunden. Die Datenschutz-Grundverordnung gilt ohne Einschränkung für jedes Unternehmen, das personenbezogene Daten verarbeitet — unabhängig von Größe oder Branche. Bei Verstößen drohen Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. Geschäftsführer haften persönlich, wenn Compliance-Strukturen fehlen oder nicht dokumentiert sind.
Dieser Branchenreport beleuchtet die typischen DSGVO-Risiken im Maschinenbau, zeigt branchenspezifische Pflichten auf und gibt konkrete Handlungsempfehlungen für Geschäftsführer und Justiziare im Mittelstand.
Warum der Maschinenbau im Fokus der Datenschutzbehörden steht
Maschinenbauunternehmen verarbeiten personenbezogene Daten an einer Vielzahl von Schnittstellen — in der Produktion, im Vertrieb, in der Wartung und im Kundendienst. Diese Verarbeitungsvielfalt macht die Branche zunehmend zum Gegenstand behördlicher Aufmerksamkeit. Dabei geht es nicht um schlechten Willen, sondern um strukturelle Komplexität: Daten fließen zwischen Subunternehmen, Maschinenbetreibern, Clouddienstleistern und internationalen Vertriebspartnern — und genau dort entstehen die typischen Compliance-Lücken.
Die deutschen Datenschutzaufsichtsbehörden haben in den vergangenen Jahren ihre Prüfungspraxis deutlich intensiviert. Betroffen sind nicht nur Großkonzerne: Auch mittelständische Maschinenbauer mit einigen hundert Beschäftigten erhalten Auskunftsersuchen, werden Gegenstand von Beschwerden durch Arbeitnehmer oder Kunden und geraten in das Blickfeld behördlicher Querschnittsprüfungen zu Themen wie Videoüberwachung in Fertigungshallen, Mitarbeiter-Monitoring oder internationaler Datentransfer.
In der Mandatspraxis sehen wir regelmäßig, dass Maschinenbauunternehmen ihre DSGVO-Pflichten für die interne Personalverwaltung korrekt einhalten, während die datenschutzrechtlichen Anforderungen rund um Maschinendaten, IoT-Plattformen und Remote-Service-Zugänge häufig noch nicht systematisch erfasst sind. Genau dieser Graubereich birgt das größte Bußgeldrisiko.
Hinzu kommt die internationale Dimension: Maschinenbauer exportieren nicht nur Produkte, sondern auch Services und Fernwartungszugänge. Sobald dabei Daten von Mitarbeitern beim Kunden im Ausland verarbeitet werden — etwa Protokolldaten aus Maschinensteuerungen — greift neben der DSGVO unter Umständen auch das Recht des Empfängerlandes. Für Datenübermittlungen in Drittstaaten ohne angemessenes Datenschutzniveau — etwa bestimmte Regionen Asiens oder die USA ohne gültiges Adequacy-Instrument — verlangt die DSGVO geeignete Garantien wie Standardvertragsklauseln (Art. 46 DSGVO).
Welche Datenverarbeitungsprozesse im Maschinenbau besonders heikel sind
Nicht jede Datenverarbeitung im Maschinenbau trägt dasselbe Risikoprofil. Entscheidend für die Compliance-Priorisierung ist, wo personenbezogene Daten tatsächlich entstehen und wer von ihrer Verarbeitung betroffen ist — Mitarbeiter, Kunden oder externe Dritte.
Die folgenden Konstellationen begegnen uns in der Praxis besonders häufig:
- Remote Maintenance und IoT-Plattformen: Fernwartungssysteme erfassen Zugriffszeiten, Nutzerkennung und Aktivitätsprotokolle von Servicetechnikern. Diese Daten sind personenbezogen. Fehlt ein Auftragsverarbeitungsvertrag (AVV) mit dem Plattformanbieter, liegt ein DSGVO-Verstoß vor.
- Videoüberwachung in der Fertigung: Kameras zur Qualitätssicherung oder Zugangssteuerung erfassen Mitarbeiter. Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist in der Regel zwingend. Die Datenschutzkonferenz der Bundesländer hat Videoüberwachung ausdrücklich als Hochrisikoverarbeitung eingestuft.
- Mitarbeiter-Tracking und Zeiterfassung: Digitale Zeiterfassungssysteme, GPS-Tracking von Fahrzeugen und Produktivitätsmessung durch Maschinensteuerungsdaten sind datenschutzrechtlich sensibel. Sie bedürfen regelmäßig einer Betriebsvereinbarung als Rechtsgrundlage nach § 26 BDSG.
- Kundenbezogene Maschinendaten: Maschinenbetreiber sind Kunden. Wenn Betriebsdaten ihrer Maschinen Rückschlüsse auf das Verhalten einzelner Personen zulassen — etwa Schichtpläne durch Produktionszyklen — entstehen personenbezogene Daten beim Kunden, die der Lieferant mitverarbeitet.
- CRM und Vertriebsdaten: Kontaktdaten von Ansprechpartnern bei Kunden und Interessenten unterliegen ebenso der DSGVO wie Arbeitnehmerdaten. Fehlende Datenschutzhinweise in der E-Mail-Kommunikation oder im CRM-Onboarding sind typische Befundschwerpunkte bei Behördenprüfungen.
Diese Verarbeitungsprozesse müssen im Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) vollständig dokumentiert sein. Fehlt das Verzeichnis oder ist es veraltet, ist dies für Datenschutzaufsichtsbehörden ein unmittelbarer Anknüpfungspunkt für Beanstandungen — unabhängig davon, ob ein materieller Verstoß vorliegt.
Was bedeutet DSGVO-Compliance konkret für Geschäftsführer im Maschinenbau?
Geschäftsführer eines Maschinenbauunternehmens tragen die organisatorische Gesamtverantwortung für die Datenschutz-Compliance. Die DSGVO richtet Pflichten an den Verantwortlichen — und das ist im Regelfall das Unternehmen, vertreten durch seine Geschäftsleitung. Persönliche Haftung droht, wenn Verstöße auf strukturelle Organisations- oder Aufsichtspflichtverletzungen zurückgeführt werden können.
Konkret heißt das: Ein Geschäftsführer, der keinen betrieblichen Datenschutzbeauftragten benennt, obwohl das Unternehmen nach § 38 BDSG i. V. m. Art. 37 DSGVO dazu verpflichtet ist, handelt pflichtwidrig. Die Pflicht zur Benennung eines Datenschutzbeauftragten besteht nach § 38 BDSG, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — ein Schwellenwert, den nahezu jeder mittelständische Maschinenbauer überschreitet.
Darüber hinaus muss der Geschäftsführer sicherstellen, dass technische und organisatorische Maßnahmen (TOMs) zum Datenschutz dokumentiert und regelmäßig aktualisiert werden (Art. 32 DSGVO). Was „angemessen" ist, bemisst sich nach dem Stand der Technik, den Implementierungskosten und dem Risiko der Verarbeitung. Für industrielle IoT-Systeme bedeutet das: Verschlüsselung von Übertragungswegen, Zugriffskontrollen, Protokollierung von Systemzugriffen und Regelungen zur Datenlöschung.
Nach unserer Erfahrung unterschätzen Geschäftsführer im Maschinenbau vor allem zwei Bereiche: die Anforderungen an Auftragsverarbeitungsverträge mit IT-Dienstleistern sowie die Meldepflicht bei Datenpannen. Wer hier ohne Prozesse und Dokumentation agiert, riskiert bei einer Behördenprüfung erhebliche Bußgelder — auch wenn kein tatsächlicher Schaden entstanden ist.
Auftragsverarbeitung und Drittanbieter: Wo Maschinenbauer systematisch Lücken haben
Die meisten Maschinenbauunternehmen arbeiten mit einer Vielzahl externer Dienstleister zusammen, die personenbezogene Daten im Auftrag verarbeiten: Cloud-Hosting-Anbieter, ERP-Systemhersteller, CRM-Plattformen, Fernwartungsdienstleister, Reisebuchungssysteme, Lohnbuchhaltungssoftware. Für jeden dieser Dienstleister verlangt Art. 28 DSGVO einen schriftlichen Auftragsverarbeitungsvertrag (AVV).
In der Praxis stellen wir fest, dass AVV häufig zwar für die offensichtlichen Dienstleister — etwa den IT-Systemhaus-Partner oder den Cloud-E-Mail-Anbieter — vorliegen, aber für spezialisierte Industriesoftware, Maschinendaten-Plattformen oder Branchensoftware fehlen. Besonders heikel: Wenn ein Fernwartungsdienstleister Zugriff auf Produktionssteuerungssysteme erhält und dabei Protokolldaten von Mitarbeitern einsehen kann, ohne dass ein AVV vorliegt, ist dies ein unmittelbarer DSGVO-Verstoß.
Fehlt der Auftragsverarbeitungsvertrag mit einem Dienstleister, der personenbezogene Daten verarbeitet, liegt eine unrechtmäßige Datenübermittlung vor — mit dem vollen Bußgeldrahmen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO).
Hinzu kommt die Frage der Unterauftragnehmer: Ein AVV muss auch regeln, unter welchen Bedingungen der Auftragsverarbeiter seinerseits Unterauftragnehmer einsetzen darf (Art. 28 Abs. 2 DSGVO). Bei komplexen Softwareketten — etwa wenn ein IoT-Plattformanbieter seinerseits auf Cloudinfrastruktur von Drittanbietern zurückgreift — ist dieser Aspekt oft nicht ausreichend geregelt.
Für Maschinenbauunternehmen empfehlen wir ein strukturiertes Dienstleisterregister als Teil des Verarbeitungsverzeichnisses: vollständige Erfassung aller externen Dienstleister mit Datenzugang, Prüfung auf AVV-Pflicht und Dokumentation des Abschlussstatus. Dieses Register ist zugleich die Grundlage für regelmäßige Überprüfungszyklen.
Datenpannen im Maschinenbau: Wann und wie gemeldet werden muss
Sicherheitsvorfälle — Ransomware-Angriffe auf Produktionssysteme, unbefugter Zugriff auf Kundendaten, versehentlich versendete Datenlisten — sind im Maschinenbau keine Ausnahme mehr. Die DSGVO hat darauf eine klare Antwort: Jeder Sicherheitsvorfall, der ein Risiko für die Rechte und Freiheiten natürlicher Personen begründen kann, muss der zuständigen Datenschutzaufsichtsbehörde gemeldet werden.
Die Meldefrist beträgt 72 Stunden ab Kenntnisnahme des Vorfalls (Art. 33 DSGVO) — und diese Frist läuft, sobald das Unternehmen Kenntnis erlangt, nicht erst ab dem Zeitpunkt, zu dem die vollständige Analyse abgeschlossen ist. Eine vorläufige Meldung mit Nachlieferung ist ausdrücklich zulässig und in der Praxis oft der einzige Weg, die Frist zu wahren.
Bei Vorfällen mit hohem Risiko für betroffene Personen — etwa wenn Zugangsdaten zu Kundenportalen kompromittiert wurden — besteht zusätzlich eine Benachrichtigungspflicht gegenüber den betroffenen Personen selbst (Art. 34 DSGVO). Auch das muss dokumentiert sein.
Was in der Praxis häufig fehlt: ein vorab definierter Incident-Response-Prozess, der klärt, wer intern die Datenpanne meldet, wer die Aufsichtsbehörde kontaktiert, wer die Analyse dokumentiert und wie die Entscheidung über die Benachrichtigung Betroffener getroffen wird. Ohne diesen Prozess vergehen in der Realität oft mehrere Tage, bis überhaupt klar ist, ob und was gemeldet werden muss — und die 72-Stunden-Frist ist bereits abgelaufen.
Nach unserer Erfahrung ist der Aufbau eines praxistauglichen Incident-Response-Prozesses eine der wirkungsvollsten Einzelmaßnahmen zur Reduzierung des Bußgeldrisikos im Maschinenbau. Die Behörden honorieren nachweisbar gut dokumentierte Reaktionsprozesse regelmäßig bei der Bußgeldbemessung.
Datenschutz-Folgenabschätzung (DSFA): Pflicht oder Option im Maschinenbau?
Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist keine bloße Formalität. Sie ist die zentrale Methode zur systematischen Risikobewertung vor der Einführung neuer Verarbeitungsprozesse, die voraussichtlich ein hohes Risiko für betroffene Personen begründen. Im Maschinenbau sind das vor allem: systematische Überwachung in der Fertigung, biometrische Zugangssysteme, Mitarbeiter-Trackingsysteme und die Einführung umfangreicher IoT-Datenverarbeitungsplattformen.
Die deutschen Datenschutzaufsichtsbehörden haben sogenannte Muss-Listen veröffentlicht, die Verarbeitungstypen benennen, für die eine DSFA zwingend durchzuführen ist. Videoüberwachung zur systematischen Überwachung öffentlich zugänglicher Bereiche steht auf diesen Listen; Vergleichbares gilt für systematisches Monitoring von Mitarbeitern.
Eine DSFA muss vor Beginn der Verarbeitung abgeschlossen sein — nicht danach. Wer eine neue Fertigungsüberwachungsanlage in Betrieb nimmt und die DSFA erst nachreicht, handelt bereits bei Inbetriebnahme rechtswidrig. Das ist eine typische Stolperfalle für Maschinenbauunternehmen, die technische Systeme schnell und pragmatisch einführen wollen.
Inhaltlich muss die DSFA eine systematische Beschreibung der Verarbeitung, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Risikobewertung und die geplanten Abhilfemaßnahmen enthalten. Sie ist kein einmaliges Dokument: Bei wesentlichen Änderungen des Systems muss sie überprüft und ggf. aktualisiert werden.
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Maschinenbauunternehmen aus der Automobilzulieferindustrie, das ein digitales Schichtmanagementsystem mit integrierter Leistungsmessung einführen wollte. Die Ausgangslage: Das System sollte individuelle Produktionsleistung je Mitarbeiter in Echtzeit erfassen und dem Schichtleiter in einem Dashboard visualisieren. Vorgehen: Gemeinsam mit der Geschäftsführung und dem Betriebsrat wurde zunächst eine DSFA durchgeführt, die erhebliche Risiken für die Rechte der Mitarbeiter identifizierte. Auf Basis der DSFA-Ergebnisse wurden die technischen Anforderungen überarbeitet: Echtzeitvisualisierung wurde durch aggregierte Schichtauswertungen ersetzt, individuelle Datensätze werden automatisch nach einem definierten Zeitraum gelöscht. Das überarbeitete System war DSGVO-konform und konnte mit Betriebsvereinbarung umgesetzt werden. Das Unternehmen vermied damit das Risiko einer behördlichen Untersagung und potenzieller Bußgelder.
Internationale Datentransfers im Maschinenbau: Der unterschätzte Risikobereich
Maschinenbauunternehmen sind per Definition international aufgestellt — als Exporteure, als Käufer von Komponenten, als Lizenznehmer von Technologie und als Anbieter von Wartungsservices. Diese internationale Verflechtung führt regelmäßig zu Datentransfers in Drittstaaten, die nach der DSGVO einer besonderen Rechtsgrundlage bedürfen.
Transfers in Länder, für die die EU-Kommission einen Angemessenheitsbeschluss nach Art. 45 DSGVO erlassen hat — darunter Japan, Südkorea, das Vereinigte Königreich oder die Schweiz — sind auf dieser Grundlage zulässig. Für Transfers in andere Drittstaaten, einschließlich der USA, ist eine geeignete Garantie erforderlich: In der Praxis sind das regelmäßig die von der EU-Kommission verabschiedeten Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO.
Für Transfers in die USA gilt seit dem EU-US Data Privacy Framework (DPF) von 2023 ein neuer Angemessenheitsbeschluss — allerdings nur für US-Unternehmen, die sich nach dem DPF zertifiziert haben. Ob ein konkreter US-Dienstleister DPF-zertifiziert ist, muss vor Aufnahme der Datenübermittlung überprüft und dokumentiert werden. Diese Überprüfung wird in der Praxis häufig vergessen oder nicht aktualisiert.
Besonders virulent ist das Thema für Maschinenbauer, die Fernwartungssoftware von US-amerikanischen oder asiatischen Anbietern einsetzen: Wenn Protokolldaten von Mitarbeitern oder Kunden über diese Systeme auf Server außerhalb der EU übertragen werden, ist ein rechtssicheres Transferinstrument unabdingbar. Fehlt dieses Instrument, liegt ein Verstoß gegen Art. 44 ff. DSGVO vor, der eigenständig bußgeldbewehrt ist.
Betriebsverfassungsrechtliche Dimension: Datenschutz und Mitbestimmung im Maschinenbau
Im Maschinenbau mit gewerblichen Mitarbeitern spielen Betriebsräte eine zentrale Rolle für die datenschutzrechtliche Gestaltung. Das Betriebsverfassungsgesetz (BetrVG) gibt dem Betriebsrat Mitbestimmungsrechte bei der Einführung und Anwendung technischer Einrichtungen, die das Verhalten oder die Leistung von Arbeitnehmern überwachen können (§ 87 Abs. 1 Nr. 6 BetrVG). Dieser Mitbestimmungstatbestand und die datenschutzrechtlichen Anforderungen greifen ineinander.
Praktisch bedeutet das: Vor der Einführung eines neuen Zeiterfassungssystems, einer Werkzeugmaschine mit Nutzungsprotokollierung oder eines Zutrittskontrollsystems muss nicht nur die datenschutzrechtliche Prüfung (einschließlich ggf. DSFA) abgeschlossen sein, sondern auch der Betriebsrat nach § 87 BetrVG beteiligt werden. Eine Betriebsvereinbarung kann dabei zugleich als Rechtsgrundlage für die Datenverarbeitung nach § 26 BDSG dienen — sie muss aber ihrerseits DSGVO-konform ausgestaltet sein.
Nach unserer Erfahrung entstehen gerade an der Schnittstelle zwischen Datenschutzrecht und Betriebsverfassungsrecht die kompliziertesten Verhandlungen im Maschinenbau. Betriebsräte sind zunehmend datenschutzrechtlich informiert und stellen gezielte Anforderungen — eine Entwicklung, die Unternehmen als Chance zur strukturierten Compliance-Gestaltung nutzen sollten, nicht als Hindernis.
DSGVO-Compliance als Wettbewerbsfaktor: Was Maschinenbaukunden und -partner fordern
Die Anforderungen an DSGVO-Compliance kommen längst nicht mehr nur von Behörden. Großkunden aus der Automobil- und Elektronikindustrie stellen im Rahmen ihrer Supply-Chain-Compliance-Programme zunehmend konkrete Fragen an ihre Lieferanten: Ist ein Datenschutzbeauftragter benannt? Liegt ein Verarbeitungsverzeichnis vor? Welche technischen und organisatorischen Maßnahmen sind dokumentiert? Gibt es einen Auftragsverarbeitungsvertrag für alle eingesetzten Datenverarbeitungsdienstleister?
Diese Fragen erscheinen in Lieferantenfragebögen (Supplier Self-Assessments), in Vertragsvorlagen der Kunden und bisweilen als Audit-Recht des Kunden in Bezug auf die Datenschutzorganisation des Lieferanten. Für mittelständische Maschinenbauer bedeutet das: Fehlende DSGVO-Dokumentation kann zur Disqualifikation als Lieferant führen — mit unmittelbaren Auswirkungen auf Umsatz und Marktposition.
Auf der anderen Seite: Maschinenbauunternehmen, die ihre Kunden datenschutzrechtlich als Verantwortliche beraten können — etwa bei der Frage, welche Daten die gelieferte Maschine sammelt und wie sie nach DSGVO korrekt dokumentiert werden — schaffen Differenzierungsmerkmale im Wettbewerb. Wer das Service-Angebot um datenschutzrechtliche Beratung zu seinen Produkten ergänzt, positioniert sich als Lösungsanbieter, nicht als bloßer Lieferant.
Praktische Handlungsempfehlungen: Der DSGVO-Fahrplan für Maschinenbauunternehmen
Eine strukturierte DSGVO-Compliance lässt sich nicht mit einem einmaligen Projekt erreichen. Sie erfordert eine dauerhafte organisatorische Verankerung. Die folgenden Schritte sind nach unserer Erfahrung für mittelständische Maschinenbauunternehmen die wirksamsten Einzelmaßnahmen:
- Verarbeitungsverzeichnis aufbauen und aktualisieren (Art. 30 DSGVO): Vollständige Erfassung aller Verarbeitungstätigkeiten — intern wie bei Dienstleistern — ist die Grundlage jeder weiteren Maßnahme. Das Verzeichnis ist bei Behördenprüfungen das erste angeforderte Dokument.
- Datenschutzbeauftragten benennen: Überprüfung, ob die gesetzliche Benennungspflicht nach § 38 BDSG greift. Bei Benennung: klare Unabhängigkeit und ausreichende Ressourcenausstattung sicherstellen.
- AVV-Register aufbauen: Alle externen Dienstleister mit Datenzugang erfassen, Pflicht zum Abschluss eines AVV prüfen, fehlende AVV nachverhandeln und abschließen.
- Technische und organisatorische Maßnahmen dokumentieren: TOMs schriftlich festhalten, regelmäßig auf Aktualität prüfen und bei wesentlichen Systemänderungen anpassen.
- DSFA für Hochrisikoverarbeitungen durchführen: Systematische Überwachungssysteme, biometrische Systeme und umfangreiche IoT-Plattformen vor Inbetriebnahme auf DSFA-Pflicht prüfen.
- Drittstaatentransfers prüfen: Alle Datenflüsse in Länder außerhalb der EU erfassen und auf rechtssichere Transfergrundlage prüfen.
- Incident-Response-Prozess etablieren: Klare Zuständigkeiten und Abläufe für den Fall einer Datenpanne definieren — insbesondere im Hinblick auf die 72-Stunden-Meldefrist.
- Datenschutzdokumentation für Kunden vorbereiten: Informationsblätter für Kunden über datenschutzrelevante Merkmale gelieferter Maschinen und Systeme bereitstellen.
Dieser Fahrplan ist kein abschließender Katalog. Je nach Größe des Unternehmens, dem Umfang der eingesetzten Technologien und dem internationalen Engagement kann eine differenziertere Analyse erforderlich sein. Die vorstehende Darstellung gibt die Regelfälle wieder; Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, Ihrer Vertragsstruktur und der einschlägigen behördlichen Praxis.
Für eine erste Durchsicht Ihrer Datenschutzdokumentation und eine Einschätzung der vorrangigen Handlungsfelder in Ihrem Maschinenbauunternehmen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur DSGVO-Compliance im Maschinenbau
Gilt die DSGVO auch für rein maschinenbezogene Daten wie Betriebsstunden oder Fehlercodes?
Reine Maschinen- und Prozessdaten ohne jeden Personenbezug fallen nicht in den Anwendungsbereich der DSGVO. Sobald diese Daten jedoch mit natürlichen Personen verknüpft werden können — etwa wenn Betriebsdaten Rückschlüsse auf Schichtmuster einzelner Mitarbeiter zulassen oder Zugriffszeiten Nutzerkennung enthalten —, sind sie personenbezogen und unterliegen der DSGVO vollständig. Im vernetzten Maschinenbau ist diese Grenze häufig fließend und muss im Einzelfall sorgfältig geprüft werden.
Braucht ein mittelständischer Maschinenbauer zwingend einen Datenschutzbeauftragten?
Nach § 38 BDSG ist ein betrieblicher Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dieser Schwellenwert ist im Maschinenbau mit modernen IT- und Produktionssystemen nahezu regelmäßig erreicht. Hinzu kommt eine Benennungspflicht unabhängig von der Mitarbeiterzahl bei bestimmten Verarbeitungsarten, etwa umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten. Im Zweifel ist die Benennung vorzuziehen.
Was passiert, wenn ein Maschinenbauunternehmen eine Datenpanne nicht innerhalb von 72 Stunden meldet?
Eine verspätete oder unterbliebene Meldung nach Art. 33 DSGVO ist selbstständig bußgeldbewehrt. Der Bußgeldrahmen reicht bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Aufsichtsbehörden berücksichtigen bei der Bußgeldbemessung, ob das Unternehmen einen strukturierten Incident-Response-Prozess nachweisen kann und ob es aktiv mit der Behörde kooperiert hat. Eine vorläufige Meldung innerhalb der 72-Stunden-Frist mit nachgelagerter vollständiger Meldung ist ausdrücklich möglich und empfehlenswert.
Ist für Remote-Wartungszugänge immer ein Auftragsverarbeitungsvertrag erforderlich?
Wenn ein Fernwartungsdienstleister im Rahmen seiner Tätigkeit Zugang zu personenbezogenen Daten — etwa Nutzungsprotokollen oder Mitarbeiterdaten in der Maschinensteuerung — erhält und diese Daten ausschließlich nach Weisung des Unternehmens verarbeitet, liegt Auftragsverarbeitung nach Art. 28 DSGVO vor. In diesem Fall ist ein AVV zwingend. Fehlt er, ist die Datenübermittlung rechtswidrig. Die Frage, ob Auftragsverarbeitung oder eine andere Verarbeitungsform vorliegt, ist im Einzelfall anhand der konkreten Zugriffsbedingungen zu prüfen.
Wie verhalte ich mich als Geschäftsführer, wenn eine Datenschutzbehörde eine Prüfung ankündigt?
Bei Ankündigung einer behördlichen Prüfung sollten Sie umgehend anwaltliche Beratung in Anspruch nehmen. Parallel dazu: Sicherung und Sichtung der vorhandenen Datenschutzdokumentation (Verarbeitungsverzeichnis, TOMs, AVV-Sammlung, DSFA-Dokumente), Identifikation möglicher Lücken und Vorbereitung geordneter Antworten auf die zu erwartenden Auskunftsersuchen. Eigenständige Aussagen gegenüber der Behörde sollten ohne anwaltliche Begleitung vermieden werden. Kooperation ist sinnvoll — aber strukturiert und dokumentiert.
Welche DSGVO-Pflichten gelten beim Export von Maschinen mit Datenverarbeitungsfunktionen in Drittstaaten?
Beim Export von Maschinen, die personenbezogene Daten verarbeiten, hängt die DSGVO-Anwendbarkeit davon ab, ob der Maschinenbauer noch als Verantwortlicher oder Auftragsverarbeiter tätig ist — oder ob die Verantwortlichkeit vollständig auf den Kunden übergeht. Werden Daten aus dem Betrieb der Maschine auf Server des deutschen Maschinenbauers in der EU zurückgeführt, bleibt die DSGVO anwendbar. Zusätzlich kann das Recht des Empfängerlandes gelten. Diese Konstellation erfordert eine individuelle Prüfung des Datenflusses und der vertraglichen Gestaltung.
Die vorstehende Darstellung betrifft die typischen Konstellationen im Maschinenbau. Ihr konkreter Fall erfordert die Prüfung Ihrer Verarbeitungsprozesse, bestehenden Verträge und Ihrer Dokumentationslage. Für eine erste Durchsicht Ihrer Unterlagen und eine Einschätzung Ihres DSGVO-Risikoprofils schreiben Sie an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.