Datenschutz nach Branche

Die DSGVO kennt keine Branchen. Sie gilt für die Arztpraxis wie für den Maschinenbauer – dieselben Grundsätze, dieselben Pflichten. Wer nach Datenschutz nach Branche sucht, sucht deshalb meist etwas anderes: die Stellen, an denen der eigene Betrieb aus dem Rahmen fällt.

Erstgespräch vereinbaren

Wo sich Datenschutz nach Branche tatsächlich unterscheidet

Nicht in der Verordnung, sondern in vier Punkten, die von außen kommen:

Welche Daten anfallen. Gesundheitsdaten, Gewerkschaftszugehörigkeit, biometrische Daten und die übrigen Kategorien des Art. 9 DSGVO sind grundsätzlich verboten und nur unter engen Voraussetzungen erlaubt. Eine Praxis, ein Personaldienstleister oder ein Betriebsrat arbeitet damit täglich – ein Handwerksbetrieb praktisch nie. Das verschiebt den gesamten Aufwand, von der Rechtsgrundlage bis zur Frage, ob eine Folgenabschätzung nötig ist.

Ob eine Schweigepflicht dazukommt. § 203 StGB stellt die Verletzung von Privatgeheimnissen unter Strafe – für Ärzte, Apotheker, Rechtsanwälte, Steuerberater und weitere Berufe. Das ist keine Datenschutzvorschrift, wirkt aber unmittelbar in den Datenschutz hinein: Wer einen IT-Dienstleister einsetzt, muss ihn nicht nur nach Art. 28 DSGVO binden, sondern auch strafrechtlich einbeziehen. Ein Auftragsverarbeitungsvertrag allein genügt hier nicht.

Ob Sonderrecht gilt. Für Sozialdaten gelten die Sozialgesetzbücher; für Kirchen und ihre Einrichtungen gelten nach Art. 91 DSGVO eigene Regelwerke mit eigener Aufsicht – das KDG auf katholischer, das DSG-EKD auf evangelischer Seite. Wer dort tätig ist, arbeitet nicht mit der DSGVO in der gewohnten Form.

Welche Sicherheitsnormen der Markt verlangt. Das ist keine Frage des Rechts, sondern der Kunden. Automobilzulieferer brauchen TISAX®, Finanzunternehmen unterliegen DORA, Betreiber wichtiger Einrichtungen NIS-2. Diese Anforderungen überschneiden sich stark mit dem Datenschutz und werden trotzdem meist getrennt bearbeitet – doppelter Aufwand für dieselben Nachweise.

Ein fünfter Punkt gilt überall dort, wo viele Menschen beschäftigt sind: Der Beschäftigtendatenschutz nach § 26 BDSG und die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG wiegen in Betrieben mit Schichtplanung, Zeiterfassung und Zutrittskontrolle deutlich schwerer als in einem Büro mit zwölf Personen.

Branchen, die wir betreuen

Branchen, die wir betreuen
Branche	Was dort typischerweise den Ausschlag gibt
Automobilbranche	TISAX®, Lieferantenanforderungen, Prototypenschutz
Banken und Finanzdienstleister	DORA, Aufsichtsrecht, Auskunfteien und Scoring
Baubranche	Subunternehmer, Baustellendokumentation, Zutrittskontrolle
Bildung und Forschung	Daten Minderjähriger, Forschungsprivileg, Archivzwecke
Chemieindustrie	Werksicherheit, Beschäftigtendaten, Anlagenüberwachung
Consulting	Mandantendaten, Vertraulichkeit, Auftragsverarbeitung
Energie	kritische Infrastruktur, Messdaten, NIS-2
Gesundheitswesen	Art. 9 DSGVO und § 203 StGB in Kombination
Handel und E-Commerce	Kundenkonten, Zahlungsdaten, Werbeeinwilligungen
Industrie	Fertigungsdaten, Zutritt, Beschäftigtenüberwachung
IT-Dienstleister	Rolle als Auftragsverarbeiter, Unterauftragsketten
Kirchen und gemeinnützige Organisationen	KDG oder DSG-EKD statt DSGVO, eigene Aufsicht
Logistik und Verkehr	Ortungsdaten, Telematik, Fahrerdaten
Maschinen- und Anlagenbau	Fernwartung, Servicedaten, Exportfälle
Medien und Telekommunikation	Medienprivileg, Bestands- und Verkehrsdaten
Pharmaindustrie	Studiendaten, Pharmakovigilanz, Art. 9 DSGVO
Touristik	Buchungsdaten, Drittlandübermittlung, Zahlungsdaten
Versicherungen	Gesundheitsdaten in der Risikoprüfung, Vermittlerketten

Besondere Konstellationen

Drei Themen werden regelmäßig wie eine Branche behandelt, sind aber keine. Sie betreffen eine Funktion oder ein Gremium – und haben deshalb eine eigene Rechtslage, die sich nicht aus dem Wirtschaftszweig ergibt.

Besondere Konstellationen
Konstellation	Worum es geht
Betriebsrat	Wer nach § 79a BetrVG verantwortlich ist – und wer nicht
Marketing	Rolle der Agentur, Grundlage je Werbekanal, Profilbildung
Social Media	gemeinsame Verantwortlichkeit nach Art. 26 für Unternehmensseiten

Was in allen Branchen gleich bleibt

Der Weg ist überall derselbe, nur die Gewichte verschieben sich:

Bestandsaufnahme – welche Daten fallen wo an, wer hat Zugriff, welche Dienstleister sind beteiligt
Einordnung – Rechtsgrundlage je Verarbeitung, Prüfung auf besondere Kategorien und Sonderrecht
Dokumentation – Verzeichnis, Maßnahmen, Löschfristen, Verträge
Betrieb – Schulung, Anfragen, Vorfälle, Fortschreibung

Was das im Einzelnen bedeutet, steht unter Datenschutzberatung. Wo eine Branche zusätzlich eine interne Meldestelle braucht, führt der Weg zum Hinweisgeberschutz.

Ein Hinweis zur Zuständigkeit: Welche Aufsichtsbehörde für Sie zuständig ist, richtet sich nach Ihrem Sitz, nicht nach Ihrer Branche. Ausgenommen sind die kirchlichen Einrichtungen, die ihre eigene Aufsicht haben.

Kontakt

Sie sind unsicher, ob Ihre Branche Besonderheiten mit sich bringt? Meist sind es ein bis zwei Punkte – und die lassen sich schnell benennen.