Datenschutz im Maschinen- und Anlagenbau

Im Maschinenbau entsteht die datenschutzrechtliche Frage nicht im eigenen Haus, sondern beim Kunden. Sobald eine Maschine vernetzt ist, fließen Daten zurück – und sobald jemand aus der Ferne auf sie zugreift, sitzt er in einem fremden Netz. Der Datenschutz wird damit zum Vertragsthema, lange bevor er ein internes wird.

Fernwartung: erst die Rolle, dann alles Weitere

Wer aus der Ferne auf eine Anlage beim Kunden zugreift, kann dabei auf personenbezogene Daten stoßen – Bedienerkennungen, Schichtprotokolle, Störungsmeldungen mit Namen, im Zweifel den ganzen Steuerungsrechner.

Für die datenschutzrechtliche Einordnung gilt: Handeln Sie weisungsgebunden für den Kunden, liegt Auftragsverarbeitung vor und es braucht einen Vertrag nach Art. 28. Das ist der Regelfall bei Wartung und Störungsbeseitigung.

Verfolgen Sie eigene Zwecke – Auswertung der Betriebsdaten zur Produktverbesserung, Aufbau von Modellen für vorausschauende Wartung –, sind Sie insoweit selbst verantwortlich. Dann brauchen Sie eine eigene Rechtsgrundlage, und der Vertrag des Kunden deckt Sie nicht.

Diese Trennung gehört in den Wartungsvertrag, nicht in eine spätere Diskussion. Was technisch dazugehört: benannte statt gemeinsam genutzter Zugänge, Protokollierung jedes Zugriffs, zeitliche Begrenzung, Freigabe durch den Kunden vor der Sitzung.

Sind Maschinendaten personenbezogen?

Häufig lautet die Antwort: zunächst nicht, im Ergebnis doch. Ein Temperaturverlauf ist kein personenbezogenes Datum. Ein Störungsprotokoll mit Zeitstempel wird eines, sobald sich daraus ableiten lässt, wer die Maschine bedient hat – und in einer Schichtplanung lässt sich das fast immer.

Das ist kein theoretisches Problem: Es entscheidet, ob Ihr Auswertungsprodukt der DSGVO unterliegt. Wer Betriebsdaten seiner Kunden zusammenführt, sollte diese Prüfung dokumentiert haben, bevor der erste Kunde danach fragt.

Für den Kunden kommt die Mitbestimmung hinzu: Systeme, die zur Überwachung von Verhalten oder Leistung geeignet sind, unterliegen § 87 Abs. 1 Nr. 6 BetrVG – auch wenn sie zur Instandhaltung gedacht sind. Siehe Datenschutz im Betriebsrat. Wer das im Angebot erwähnt, erspart seinem Kunden eine Überraschung und sich selbst eine Verzögerung.

Export und Drittländer

Anlagen gehen weltweit, Service folgt. Damit werden zwei Fragen praktisch, die im Inlandsgeschäft nicht auftauchen:

Zugriff aus Drittländern. Wenn Ihr Servicezentrum außerhalb der EU sitzt oder Kollegen von dort zugreifen, ist das eine Übermittlung in ein Drittland – auch ohne Datenkopie. Die Frage lautet nicht „wo liegen die Daten”, sondern „wer kann darauf zugreifen”.

Anlagen bei Kunden im Ausland. Dann gilt für die Verarbeitung beim Kunden dessen Recht, für Ihren Zugriff aber weiterhin die DSGVO, soweit Sie in der Union niedergelassen sind.

Das eigene Haus

Nicht zu vergessen, weil es die meisten Beschäftigten betrifft: Zeiterfassung und Zutritt in Fertigung und Montage, Ortung von Servicefahrzeugen, Videoüberwachung auf dem Werksgelände, Bewerberdaten. Die Grundlagen dazu stehen unter Beschäftigtendatenschutz und Videoüberwachung.

Was Kunden von Ihnen verlangen werden

Zunehmend dieselben Nachweise wie von IT-Dienstleistern: Beschreibung der technischen und organisatorischen Maßnahmen, Liste der Unterauftragnehmer, Angaben zum Zugriffsort. Bei Kunden, die unter NIS-2 fallen, kommt die Lieferkettenanforderung hinzu – siehe Lieferantenaudit. Wer einmal eine belastbare Mappe zusammenstellt, beantwortet damit den überwiegenden Teil.

Kontakt

Sie bauen ein Serviceportal oder ein Datenprodukt auf Basis von Maschinendaten? Über die Rollenfrage sollten wir vor dem Vertrieb sprechen.