---
title: "Datenschutz im Maschinenbau: Fernwartung und Servicedaten"
description: "Wer Maschinen fernwartet, greift auf Systeme beim Kunden zu. Welche Rolle Sie dabei haben und was Maschinendaten personenbezogen macht."
canonical: "https://www.dsb-datenschutz.de/datenschutz/branchen-maschinen-anlagenbau/"
---

# Datenschutz im Maschinen- und Anlagenbau

Im **Maschinenbau** entsteht die datenschutzrechtliche Frage nicht im eigenen Haus, sondern beim Kunden. Sobald eine Maschine vernetzt ist, fließen Daten zurück – und sobald jemand aus der Ferne auf sie zugreift, sitzt er in einem fremden Netz. Der **Datenschutz** wird damit zum Vertragsthema, lange bevor er ein internes wird.

## Fernwartung: erst die Rolle, dann alles Weitere

Wer aus der Ferne auf eine Anlage beim Kunden zugreift, kann dabei auf personenbezogene Daten stoßen – Bedienerkennungen, Schichtprotokolle, Störungsmeldungen mit Namen, im Zweifel den ganzen Steuerungsrechner.

Für die datenschutzrechtliche Einordnung gilt: Handeln Sie weisungsgebunden für den Kunden, liegt Auftragsverarbeitung vor und es braucht einen [Vertrag nach Art. 28](https://www.dsb-datenschutz.de/datenschutz/beratung-auftragsverarbeitungsvertrag/). Das ist der Regelfall bei Wartung und Störungsbeseitigung.

Verfolgen Sie eigene Zwecke – Auswertung der Betriebsdaten zur Produktverbesserung, Aufbau von Modellen für vorausschauende Wartung –, sind Sie insoweit **selbst verantwortlich**. Dann brauchen Sie eine eigene Rechtsgrundlage, und der Vertrag des Kunden deckt Sie nicht.

Diese Trennung gehört in den Wartungsvertrag, nicht in eine spätere Diskussion. Was technisch dazugehört: benannte statt gemeinsam genutzter Zugänge, Protokollierung jedes Zugriffs, zeitliche Begrenzung, Freigabe durch den Kunden vor der Sitzung.

## Sind Maschinendaten personenbezogen?

Häufig lautet die Antwort: zunächst nicht, im Ergebnis doch. Ein Temperaturverlauf ist kein personenbezogenes Datum. Ein Störungsprotokoll mit Zeitstempel wird eines, sobald sich daraus ableiten lässt, wer die Maschine bedient hat – und in einer Schichtplanung lässt sich das fast immer.

Das ist kein theoretisches Problem: Es entscheidet, ob Ihr Auswertungsprodukt der DSGVO unterliegt. Wer Betriebsdaten seiner Kunden zusammenführt, sollte diese Prüfung dokumentiert haben, bevor der erste Kunde danach fragt.

Für den **Kunden** kommt die Mitbestimmung hinzu: Systeme, die zur Überwachung von Verhalten oder Leistung geeignet sind, unterliegen § 87 Abs. 1 Nr. 6 BetrVG – auch wenn sie zur Instandhaltung gedacht sind. Siehe [Datenschutz im Betriebsrat](https://www.dsb-datenschutz.de/datenschutz/branchen-betriebsrat/). Wer das im Angebot erwähnt, erspart seinem Kunden eine Überraschung und sich selbst eine Verzögerung.

## Export und Drittländer

Anlagen gehen weltweit, Service folgt. Damit werden zwei Fragen praktisch, die im Inlandsgeschäft nicht auftauchen:

**Zugriff aus Drittländern.** Wenn Ihr Servicezentrum außerhalb der EU sitzt oder Kollegen von dort zugreifen, ist das eine [Übermittlung in ein Drittland](https://www.dsb-datenschutz.de/datenschutz/wissen-angemessenheitsbeschluss-usa/) – auch ohne Datenkopie. Die Frage lautet nicht „wo liegen die Daten", sondern „wer kann darauf zugreifen".

**Anlagen bei Kunden im Ausland.** Dann gilt für die Verarbeitung beim Kunden dessen Recht, für Ihren Zugriff aber weiterhin die DSGVO, soweit Sie in der Union niedergelassen sind.

## Das eigene Haus

Nicht zu vergessen, weil es die meisten Beschäftigten betrifft: Zeiterfassung und Zutritt in Fertigung und Montage, Ortung von Servicefahrzeugen, Videoüberwachung auf dem Werksgelände, Bewerberdaten. Die Grundlagen dazu stehen unter [Beschäftigtendatenschutz](https://www.dsb-datenschutz.de/datenschutz/wissen-beschaeftigtendatenschutz/) und [Videoüberwachung](https://www.dsb-datenschutz.de/datenschutz/beratung-videoueberwachung-dsgvo/).

## Was Kunden von Ihnen verlangen werden

Zunehmend dieselben Nachweise wie von IT-Dienstleistern: Beschreibung der [technischen und organisatorischen Maßnahmen](https://www.dsb-datenschutz.de/datenschutz/beratung-technisch-organisatorische-massnahmen/), Liste der Unterauftragnehmer, Angaben zum Zugriffsort. Bei Kunden, die unter [NIS-2](https://www.dsb-datenschutz.de/frameworks/nis-2/) fallen, kommt die Lieferkettenanforderung hinzu – siehe [Lieferantenaudit](https://www.dsb-datenschutz.de/informationssicherheit/wissen-lieferanten-audit/). Wer einmal eine belastbare Mappe zusammenstellt, beantwortet damit den überwiegenden Teil.

## Kontakt

Sie bauen ein Serviceportal oder ein Datenprodukt auf Basis von Maschinendaten? Über die Rollenfrage sollten wir vor dem Vertrieb sprechen.

- Telefon: [+49 6188 99 04 36](tel:+496188990436)
- E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de)
- Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns)
- [Alle Branchen im Überblick](https://www.dsb-datenschutz.de/datenschutz/branchen/)