Datenschutz in der Chemieindustrie

In der Chemieindustrie steht der Datenschutz häufiger als anderswo neben einem Recht, das in die entgegengesetzte Richtung zieht: dem Anlagen- und Störfallrecht. Wer eine Anlage betreibt, die unter die Störfallverordnung fällt, muss wissen, wer sich wann wo aufgehalten hat – nicht aus Kontrollinteresse, sondern weil im Ernstfall Menschen vermisst werden.

Werksicherheit: wo Sicherheitsrecht die Grundlage liefert

Zutrittsprotokolle, Anwesenheitslisten, Schleusen- und Sammelplatzsysteme sind an solchen Standorten keine Kür. Ihre Rechtsgrundlage ist die rechtliche Verpflichtung nach Art. 6 Abs. 1 lit. c DSGVO, teils die lebenswichtigen Interessen nach lit. d.

Das ist eine tragfähige Grundlage – aber eine enge. Sie deckt die Anwesenheitserfassung zum Zweck der Gefahrenabwehr. Sie deckt nicht die Auswertung derselben Daten für Arbeitszeitkontrolle oder Leistungsbeurteilung. Genau diese Zweckänderung ist der Punkt, an dem Prüfungen ansetzen: Die Daten sind rechtmäßig erhoben und werden anschließend für etwas anderes benutzt. Der Maßstab steht unter den Grundsätzen nach Art. 5.

Praktisch heißt das: technisch getrennte Auswertung, klar begrenzte Zugriffsrechte, kurze Löschfristen für die Protokolle – und eine Betriebsvereinbarung, die das festhält.

Fremdfirmen sind der Regelfall

Instandhaltung, Reinigung, Anlagenbau, Logistik: An Chemiestandorten arbeiten dauerhaft Beschäftigte anderer Unternehmen. Für sie werden dieselben Daten erhoben wie für eigene Beschäftigte – Zutritt, Anwesenheit, Sicherheitsunterweisung, teils Qualifikationsnachweise.

Zu klären ist, in wessen Verantwortung das geschieht. In aller Regel sind Sie als Standortbetreiber eigenständig verantwortlich, weil Sie die Gefahrenabwehr betreiben – nicht Auftragsverarbeiter der Fremdfirma. Umgekehrt braucht die Fremdfirma eine Grundlage, um Ihnen die Daten zu übermitteln. Beides gehört in den Rahmenvertrag, nicht in eine Nachfrage am Werkstor.

Arbeitsmedizin: der strengste Teil

Arbeitsmedizinische Vorsorge, Eignungsuntersuchungen und Expositionsdokumentation verarbeiten Gesundheitsdaten nach Art. 9 DSGVO – in einer Branche, in der Expositionsdaten über Jahrzehnte aufzubewahren sind.

Die Regel, die dabei am häufigsten verletzt wird: Der Arbeitgeber erfährt die Eignung, nicht den Befund. Ergebnisse gehören zum Betriebsarzt, nicht in die Personalakte. Die ärztliche Schweigepflicht nach § 203 StGB gilt auch innerhalb des Unternehmens.

Wegen der Menge und Dauer dieser Verarbeitung ist regelmäßig eine Datenschutz-Folgenabschätzung erforderlich – und die Benennung eines Datenschutzbeauftragten ergibt sich hier bereits aus der umfangreichen Verarbeitung besonderer Kategorien, unabhängig von jeder Schwelle.

Die zweite Ebene: NIS-2 und Anlagensicherheit

Die Chemiebranche gehört zu den von NIS-2 erfassten Sektoren. Verlangt werden Risikomanagement, Meldewege, Sicherheit der Lieferkette – und Pflichten der Geschäftsleitung, die sich nicht delegieren lassen: billigen, überwachen, sich schulen lassen.

Besonderes Augenmerk verdient die Verbindung von Büro- und Anlagennetz. Ein Angriff, der in der Verwaltung beginnt und die Prozessleittechnik erreicht, ist kein Datenschutzvorfall, sondern eine Betriebsgefahr. Der Aufbau eines Managementsystems steht unter ISMS aufbauen, die Vorbereitung auf den Ernstfall unter Notfallübungen.

Kontakt

Sie betreiben einen Standort mit Störfallrelevanz und wollen Sicherheits- und Datenschutzanforderungen sauber trennen? Genau diese Abgrenzung machen wir zuerst.