Ein mittelständischer Maschinenbauer aus Baden-Württemberg erweitert seine Produktionsanlage um vernetzte Fertigungseinheiten. Die neuen Maschinen übermitteln Sensordaten an Cloud-Dienste, Wartungstechniker greifen remote auf Steuerungseinheiten zu, und Kundenunternehmen aus der EU erhalten automatisiert Leistungsberichte. Was aus technischer Sicht reibungslos funktioniert, löst datenschutzrechtlich eine Kette von Pflichten aus – gegenüber Behörden, Vertragspartnern und den eigenen Beschäftigten.
DSGVO-Compliance für Unternehmen im Maschinenbau bedeutet: Alle Verarbeitungstätigkeiten, bei denen personenbezogene Daten – auch von Beschäftigten, Lieferanten oder Endkunden – verarbeitet werden, müssen nach Maßgabe der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) dokumentiert, abgesichert und kontrolliert sein. Verstöße können Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes nach sich ziehen. Dieser Leitfaden zeigt Geschäftsführern im Mittelstand Schritt für Schritt, wie ein rechtskonformes Datenschutz-System aufgebaut und dauerhaft betrieben wird.
Der folgende Leitfaden gliedert sich in sieben Handlungsschritte: von der Bestandsaufnahme der Verarbeitungstätigkeiten über die Vertragsgestaltung mit Auftragsverarbeitern bis zur Vorbereitung auf behördliche Prüfungen.
Warum DSGVO-Compliance im Maschinenbau eine Geschäftsführerpflicht ist
Die DSGVO begründet persönliche Verantwortung der Unternehmensleitung – nicht nur eine technische Abteilungsaufgabe. Art. 5 Abs. 2 DSGVO verankert das Rechenschaftsprinzip (Accountability): Der Verantwortliche – im Mittelstand regelmäßig der Geschäftsführer – muss nicht nur compliant sein, sondern die Compliance auch nachweisen können. Das ist ein fundamentaler Unterschied zum früheren Bundesdatenschutzgesetz.
Im Maschinenbau potenziert sich diese Pflicht durch die Branchenstruktur. Vernetzte Maschinen erfassen Nutzungsdaten von Bedienpersonal beim Kunden. Fernwartungszugänge ermöglichen Technikern den Zugriff auf Produktionssysteme Dritter. ERP-Systeme synchronisieren Kundenstammdaten mit Logistikpartnern. Jeder dieser Datenstrom unterliegt der DSGVO, sofern personenbezogene Daten – auch Mitarbeiterkennungen oder Nutzerkonten – dabei verarbeitet werden.
In der Mandatspraxis sehen wir regelmäßig, dass Maschinenbauunternehmen die datenschutzrechtliche Relevanz von Fernwartungsszenarien unterschätzen. Sobald ein Techniker mit eigenem Login auf ein Kundensystem zugreift, verarbeitet das eigene Unternehmen Beschäftigtendaten des Kunden – und ist damit Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO. Ohne schriftlichen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO liegt ein Verstoß vor, der Bußgelder auslösen kann.
Welche konkreten Schritte leiten sich daraus für die Praxis ab? Der folgende Leitfaden beantwortet diese Frage strukturiert.
Schritt 1: Verarbeitungsverzeichnis erstellen – Pflichtgrundlage nach Art. 30 DSGVO
Das Verzeichnis der Verarbeitungstätigkeiten (VVT) ist das Fundament jeder DSGVO-Compliance. Art. 30 DSGVO verpflichtet Verantwortliche mit in der Regel mehr als 250 Beschäftigten zur schriftlichen Führung dieses Verzeichnisses; kleinere Unternehmen sind ausgenommen, sofern die Verarbeitung kein hohes Risiko für die betroffenen Personen birgt – eine Ausnahme, die im vernetzten Maschinenbau jedoch selten greift.
Das VVT muss für jede Verarbeitungstätigkeit mindestens enthalten: Zweck, Kategorien der betroffenen Personen und Daten, Empfänger, Übermittlungen in Drittländer, Löschfristen sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM). Fehlt das Verzeichnis oder ist es unvollständig, kann die zuständige Datenschutzbehörde dieses nach Art. 58 Abs. 1 lit. a DSGVO anfordern und im Prüfungsfall als belastendes Indiz heranziehen.
Praktische Empfehlung: Strukturieren Sie das VVT entlang der Geschäftsprozesse, nicht entlang der IT-Systeme. Im Maschinenbau bieten sich Cluster an: Beschäftigtendaten (Lohn, Arbeitszeiterfassung, Zutritt), Kundendaten (Auftragsbearbeitung, Fernwartung, Vertrieb), Lieferantendaten (Einkauf, Qualitätssicherung) und Maschinendaten (soweit personenbeziehbar). Nach unserer Erfahrung dauert eine professionelle Ersterhebung bei einem Unternehmen mit 100–500 Beschäftigten im Maschinenbau in der Regel mehrere Wochen und erfordert die Einbindung aller Fachbereiche.
Schritt 2: Rechtsgrundlagen für jede Verarbeitung bestimmen
Jede Verarbeitung personenbezogener Daten bedarf einer Rechtsgrundlage nach Art. 6 DSGVO. Im Maschinenbau kommen regelmäßig drei Grundlagen zum Einsatz: die Vertragserfüllung (Art. 6 Abs. 1 lit. b), das berechtigte Interesse (Art. 6 Abs. 1 lit. f) und die Einwilligung (Art. 6 Abs. 1 lit. a). Für Beschäftigtendaten ergänzt § 26 BDSG die europarechtlichen Vorgaben mit nationalen Spezialregeln.
Die Abgrenzung zwischen Vertragserfüllung und berechtigtem Interesse entscheidet in der Praxis über Bestand oder Anfechtbarkeit einer Verarbeitung. Werden Leistungsdaten von Montageteams erfasst, um Fertigungszeiten zu optimieren, ist das kein Bestandteil der Vertragserfüllung gegenüber dem Beschäftigten – es bedarf einer sorgfältigen Interessenabwägung nach Art. 6 Abs. 1 lit. f oder, bei leistungsbezogener Verhaltenskontrolle, einer Betriebsvereinbarung nach § 87 Abs. 1 Nr. 6 BetrVG.
Ist eine Rechtsgrundlage nachträglich nicht mehr belegbar, muss die Verarbeitung eingestellt werden. Das kann im laufenden Betrieb erhebliche operative Folgen haben – etwa wenn Zeiterfassungsdaten nicht mehr für die Lohnabrechnung genutzt werden dürfen. Die Wahl der richtigen Rechtsgrundlage ist daher keine formale, sondern eine strategische Entscheidung.
Schritt 3: Auftragsverarbeitungsverträge und Drittlandtransfers rechtssicher gestalten
Maschinenbauunternehmen setzen in der Regel auf ein breites Ökosystem externer Dienstleister: Cloud-Plattformen für Maschinendaten, ERP-Anbieter, Fernwartungstools, Logistikdienstleister. Sobald diese Dienstleister personenbezogene Daten im Auftrag verarbeiten, ist ein schriftlicher Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwingend. Ein fehlender AVV stellt einen eigenständigen Datenschutzverstoß dar, unabhängig davon, ob tatsächlich ein Schaden eingetreten ist.
Besondere Sorgfalt erfordert die Drittlandübermittlung. Werden Maschinendaten auf Servern außerhalb des Europäischen Wirtschaftsraums gespeichert – etwa bei US-amerikanischen Cloud-Anbietern – bedarf es eines angemessenen Schutzniveaus. Nach dem Inkrafttreten des EU-US Data Privacy Framework (2023) können Übermittlungen in die USA unter Einhaltung der Zertifizierungsbedingungen zulässig sein; gleichwohl empfiehlt sich eine regelmäßige Überprüfung der Zertifizierungsliste. Für andere Drittländer bleiben EU-Standardvertragsklauseln (SCC) das vorrangige Instrument.
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Maschinenbauunternehmen aus Nordrhein-Westfalen mit rund 180 Beschäftigten. Das Unternehmen nutzte für die Fernwartung seiner Maschinen beim Kunden ein US-amerikanisches Fernzugriffstool. Weder ein AVV noch Standardvertragsklauseln lagen vor. Vorgehen: Zunächst wurde das Verarbeitungsverzeichnis um die Fernwartungsprozesse ergänzt, dann ein AVV mit dem Tool-Anbieter abgeschlossen und die Übermittlung auf Grundlage des EU-US Data Privacy Framework dokumentiert. Ergebnis: Das Unternehmen konnte die Fernwartungsinfrastruktur ohne Unterbrechung rechtssicher weiter betreiben und legte der Behörde auf Anfrage vollständige Dokumentation vor.
Mikro-Fall aus der Mandatspraxis: Ein Hersteller von Sondermaschinen mit Sitz in Bayern integrierte ein neues Predictive-Maintenance-System eines Schweizer Anbieters. Kundenseitig wurden Maschinenbedienerdaten (Schichtzeiten, Fehlerprotokolle mit Nutzer-ID) in die Cloud des Anbieters übertragen. Ausgangslage: Kein AVV, keine Datenschutz-Folgenabschätzung (DSFA), keine Information der Kundenbeschäftigten. Vorgehen: Die Kanzlei begleitete die Einführung einer zweistufigen Vertragsstruktur – Auftragsverarbeitungsvertrag zwischen Hersteller und Cloud-Anbieter sowie eine Unterauftragsverarbeitungsklausel im Wartungsvertrag gegenüber dem Kunden. Ergebnis: Alle Verarbeitungsschritte sind dokumentiert; das Unternehmen erfüllt seine Transparenzpflichten gegenüber den Kundenunternehmen und deren Belegschaft.
Schritt 4: Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO implementieren
Art. 32 DSGVO verpflichtet Verantwortliche, geeignete technische und organisatorische Maßnahmen zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Der Standard ist kein absoluter, sondern erfordert eine Risikoabwägung unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art und Umfang der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos.
Im Maschinenbau legt die Praxis nahe, folgende TOM-Kategorien systematisch zu adressieren:
- Zugangskontrolle: Mehrfaktorauthentifizierung für Fernwartungssysteme und ERP-Zugänge; rollenbasierte Berechtigungskonzepte.
- Übertragungssicherung: Verschlüsselung aller Datenübertragungen (TLS/SSL); VPN-Verbindungen für Fernwartungszugänge.
- Pseudonymisierung und Anonymisierung: Maschinendaten, soweit möglich, ohne direkte Personenbezüge übermitteln.
- Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO): Nur die tatsächlich benötigten Daten erheben – gerade bei Sensordaten mit Nutzerbezug.
- Löschkonzept: Dokumentierte Löschfristen für alle Datenarten; technische Umsetzung durch automatisierte Routinen.
- Mitarbeiterschulungen: Regelmäßige Sensibilisierung, insbesondere für Vertriebs- und Servicetechniker mit Kundenkontakt.
Nach unserer Erfahrung fehlt in mittelständischen Maschinenbauunternehmen am häufigsten ein dokumentiertes Löschkonzept. Die Frage, wie lange Fernwartungsprotokolle oder Maschinenlogs mit Nutzer-ID aufbewahrt werden dürfen, ist in der Praxis selten abschließend geregelt – und damit ein regelmäßiger Befund in Behördenpüfungen.
Wann ist eine Datenschutz-Folgenabschätzung (DSFA) erforderlich?
Verarbeitungen mit voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen erfordern eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO, bevor die Verarbeitung aufgenommen wird. Die zuständige Aufsichtsbehörde – in Deutschland die jeweilige Landesbehörde für Datenschutzaufsicht – veröffentlicht Positivlisten, in denen DSFA-pflichtige Verarbeitungstypen aufgeführt sind.
Für den Maschinenbau sind insbesondere folgende Szenarien DSFA-relevant: systematische Verhaltensüberwachung von Beschäftigten (z. B. Echtzeiterfassung von Maschinenbedienern), Verarbeitung von Gesundheitsdaten im Kontext von Unfallmeldungen, biometrische Zugangskontrolle in der Produktion sowie umfangreiche Verarbeitung von Standortdaten mobiler Servicetechniker.
Eine unterlassene DSFA ist kein bloßes Formversäumnis – sie kann Bußgelder nach Art. 83 Abs. 4 DSGVO begründen und signalisiert der Behörde strukturelle Mängel im Datenschutz-Management. Die DSFA umfasst eine systematische Beschreibung der Verarbeitung, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Risikoabschätzung und – falls das Restrisiko hoch bleibt – die vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO.
Welche Meldepflichten gelten bei einer Datenpanne im Maschinenbaubetrieb?
Datenpannen sind im vernetzten Maschinenbau keine abstrakte Möglichkeit. Fernwartungszugänge, Cloud-Schnittstellen und mobile Datenträger bei Servicetechnikern stellen potenzielle Angriffspunkte dar. Tritt eine Verletzung des Schutzes personenbezogener Daten ein, muss die zuständige Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden informiert werden (Art. 33 DSGVO) – sofern die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt.
Die 72-Stunden-Frist beginnt nicht erst mit der abschließenden Aufklärung, sondern mit dem Zeitpunkt, ab dem das Unternehmen hinreichend sicheres Wissen von einem Vorfall hat. In der Praxis bedeutet das: Bereits wenn ein Techniker meldet, dass ein Laptop mit Kundenzugangsdaten abhandengekommen ist, läuft die Frist. Eine Meldung kann zu diesem Zeitpunkt auch unvollständig erfolgen und sukzessive ergänzt werden – das ist ausdrücklich zulässig.
Zusätzlich zur Behördenmeldung kann eine Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO erforderlich sein, wenn die Verletzung voraussichtlich ein hohes Risiko begründet. Für Maschinenbauunternehmen, die als Auftragsverarbeiter agieren, gilt: Sie müssen den Auftraggeber unverzüglich informieren, damit dieser seine eigene Meldepflicht wahrnehmen kann.
Die Handlungsfähigkeit in den ersten 72 Stunden setzt voraus, dass ein Incident-Response-Plan existiert: Wer entscheidet, wer meldet, welche Informationen werden dokumentiert, welche internen Stellen sind einzubinden? Nach unserer Erfahrung fehlt dieser Plan in der überwiegenden Mehrzahl mittelständischer Maschinenbauunternehmen – mit der Folge, dass wertvolle Zeit im Ernstfall mit internen Abstimmungen verloren geht.
Schritt 7: Behördliche Prüfungen vorbereiten und strukturiert dokumentieren
Die deutschen Datenschutzaufsichtsbehörden – in Bayern etwa das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), in Baden-Württemberg der Landesbeauftragte für Datenschutz und Informationsfreiheit – führen sowohl anlassbezogene als auch branchenbezogene Prüfungen durch. Der Maschinenbau mit seinen vernetzten Produktionsumgebungen ist ein erklärter Prüfungsschwerpunkt mehrerer Landesbehörden.
Behördliche Anfragen nach Art. 58 Abs. 1 DSGVO können jederzeit eingehen und umfassen in der Regel die Vorlage des Verarbeitungsverzeichnisses, der TOM-Dokumentation, der AVV sowie von Datenschutzhinweisen. Eine strukturierte Dokumentation ist daher keine Option, sondern operatives Erfordernis. Unternehmen, die auf eine Behördenanfrage nicht innerhalb einer angemessenen Frist antworten können, riskieren nicht nur Bußgelder, sondern auch Anordnungen zur Einstellung von Verarbeitungstätigkeiten nach Art. 58 Abs. 2 DSGVO.
Empfehlung für die Praxis: Führen Sie ein zentrales Datenschutz-Cockpit – eine strukturierte Ablage, in der alle Kerndokumente aktuell und abrufbar sind. Dieses Cockpit sollte mindestens enthalten: VVT, TOM-Übersicht, alle AVV, DSFA-Berichte, Schulungsnachweise, Meldedokumentation und den Bestellungsnachweis des Datenschutzbeauftragten (DSB). Den internen oder externen DSB gemäß Art. 37 DSGVO zu bestellen ist bei Maschinenbauunternehmen mit regelmäßig mehr als 20 Personen, die mit automatisierter Verarbeitung befasst sind, nach § 38 BDSG in Verbindung mit Art. 37 DSGVO erforderlich.
Die vorstehende Darstellung betrifft die Regelfälle des DSGVO-konformen Betriebs im Maschinenbau. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, Ihrer Vertragsstruktur und der einschlägigen Rechtsprechung der zuständigen Aufsichtsbehörde.
Für eine erste Durchsicht Ihrer Datenschutzdokumentation – Verarbeitungsverzeichnis, AVV, TOM-Beschreibung – erreichen Sie uns unter info@brandtfalk.com. Wir prüfen, wo Handlungsbedarf besteht und welche Schritte vorrangig sind.
Verwandte Leistungen
Häufige Fragen zur DSGVO-Compliance im Maschinenbau
Gilt die DSGVO auch für B2B-Daten im Maschinenbau?
Die DSGVO schützt personenbezogene Daten natürlicher Personen – nicht juristische Personen als solche. Im B2B-Maschinenbau betrifft das vor allem Kontaktdaten von Ansprechpartnern beim Kunden, Nutzerdaten in Fernwartungssystemen und Beschäftigtendaten beider Seiten. Sobald eine natürliche Person identifizierbar ist – etwa über eine Nutzer-ID im Leistungsprotokoll – gilt die DSGVO. B2B-Transaktionen entbinden nicht von der Einhaltung der Datenschutzpflichten.
Muss ein mittelständisches Maschinenbauunternehmen einen Datenschutzbeauftragten bestellen?
Nach § 38 BDSG in Verbindung mit Art. 37 DSGVO sind Unternehmen zur Bestellung eines Datenschutzbeauftragten verpflichtet, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Im modernen Maschinenbau mit ERP-Systemen, digitaler Fertigung und Fernwartungstools ist diese Schwelle regelmäßig erreicht. Der DSB kann intern oder extern bestellt werden; die Bestellung muss der Aufsichtsbehörde gemeldet werden.
Was droht bei einem DSGVO-Verstoß konkret?
Die DSGVO sieht in Art. 83 ein zweistufiges Bußgeldsystem vor: Verstöße gegen grundlegende Pflichten – etwa fehlende AVV oder fehlerhaftes VVT – können mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden. Schwerwiegendere Verstöße gegen die Verarbeitungsgrundsätze, Rechtsgrundlagen oder Betroffenenrechte können Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes begründen. Hinzu kommen Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO sowie Reputationsrisiken gegenüber Kunden und Lieferanten.
Welche Besonderheiten gelten für Fernwartungszugänge im Maschinenbau?
Fernwartungszugänge sind datenschutzrechtlich eine Verarbeitungstätigkeit, bei der das Maschinenbauunternehmen regelmäßig als Auftragsverarbeiter gegenüber dem Kundenunternehmen handelt. Es bedarf eines AVV nach Art. 28 DSGVO, einer Dokumentation der TOM (insbesondere Zugangskontrolle und Protokollierung) sowie – wenn Drittlandanbieter für die Fernwartungssoftware genutzt werden – einer Prüfung des Datentransfers. Zudem sollten Fernwartungssitzungen technisch protokolliert und zeitlich begrenzt sein.
Wie lange dürfen Maschinenlogs mit Personenbezug aufbewahrt werden?
Eine gesetzlich einheitliche Frist existiert nicht. Maßgeblich ist das Datensparsamkeitsgebot (Art. 5 Abs. 1 lit. e DSGVO): Daten dürfen nur so lange gespeichert werden, wie es für den dokumentierten Verarbeitungszweck erforderlich ist. Im Maschinenbau können handelsrechtliche und steuerrechtliche Aufbewahrungspflichten für bestimmte Geschäftsdaten relevant sein; für reine Technikprotokolle ohne Rechtspflicht zur Aufbewahrung empfehlen sich kurze Fristen. Die genaue Frist ist für jeden Datentyp im Löschkonzept individuell festzulegen und anwaltlich zu prüfen.
Was ist der Unterschied zwischen Verantwortlichem und Auftragsverarbeiter im Maschinenbau?
Der Verantwortliche (Art. 4 Nr. 7 DSGVO) entscheidet über Zweck und Mittel der Verarbeitung; der Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) verarbeitet Daten ausschließlich auf Weisung des Verantwortlichen. Im Maschinenbau ist ein Unternehmen gegenüber seinen eigenen Beschäftigten und Kunden Verantwortlicher; gegenüber dem Endkunden, in dessen Produktionsumgebung es Fernwartung erbringt, oft Auftragsverarbeiter. Die Abgrenzung ist entscheidend für die anwendbaren Pflichten und muss für jede Verarbeitungstätigkeit individuell bestimmt werden.
Die vorstehende Darstellung betrifft die typischen Regelfälle der DSGVO-Compliance im Maschinenbau. Ihr konkreter Sachverhalt – Ihre Vertragsstruktur, Ihre Systeme, Ihre Dienstleisterbeziehungen – erfordert eine individuelle Prüfung. Für eine erste Durchsicht Ihrer Unterlagen wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.