Nein, das digitale Produktpass für Stahl ersetzt oder ändert die DSGVO nicht. Die beiden Regelungen sind voneinander unabhängig und das ändert sich dieses Jahr nicht: die DSGVO gilt weiterhin für personenbezogene Daten, unabhängig davon, ob ein Produkt ein Produktpass erhält. Was sich jedoch ändert, ist, dass Unternehmen, die ein Produktpass zusammenstellen, zum ersten Mal genau prüfen müssen, welche Daten darin enthalten sind, und ob darunter personenbezogene Daten sind.
Das ist besonders relevant für Unternehmen, die selbst Daten sammeln und an einen Lieferanten, Kunden oder eine Plattform weitergeben: der Büroleiter, der Akten führt, der Geschäftsführer, der eine Lieferantenerklärung unterzeichnet, und jeder, der an der Ausfüllung technischer Unterlagen beteiligt ist. Für die meisten KMU im Stahlhandel und der Metallverarbeitung bleibt die Auswirkung dieses Jahr begrenzt, da die erste Delegierte Handlung der ESPR noch nicht veröffentlicht wurde und die Verpflichtungen daher noch nicht festgelegt sind.
Was die Verordnung regelt und was nicht
Die ESPR (die Europäische Verordnung zum ökologischen Einsatzdesign nachhaltiger Produkte) beschreibt, welche Produktdaten künftig in ein Produktpass gehören: Herkunft, Zusammensetzung, Verarbeitung, Recyclinginformationen. Diese Daten behandeln in der Praxis vor allem das Produkt, nicht Personen. Die Verordnung sagt nichts über die DSGVO aus und hebt auch keine DSGVO-Verpflichtung auf. Aufsichtsbehörden, die mit Produktpässen zu tun bekommen, schauen sich die Produktdaten an; die Datenschutzbehörde bleibt die Stelle, die sich um personenbezogene Daten kümmert, unabhängig davon, welches Produktpass dem zugrunde liegt.
Der Grund dafür, dass die beiden Themen trotzdem zusammenkommen, ist praktisch: Ein Produktpass enthält oft auch Namen von Kontaktpersonen bei einem Anbieter, einem Importeur oder einem Hersteller, und manchmal Daten einer Prüfstelle. Sobald ein Name mit einer Funktion oder E-Mail-Adresse verknüpft ist, ist das eine personenbezogene Datum, und dann gelten die üblichen DSGVO-Regeln: eine rechtmäßige Grundlage, eine Aufbewahrungsfrist und angemessene Sicherheit. Das galt bereits vor dem Produktpass und bleibt unverändert.
Was sich dieses Jahr konkret ändert
Im Moment ändert sich wenig, da die Verpflichtung selbst noch nicht in Kraft getreten ist. Was sich ändert, ist, dass sich mehr Unternehmen vorbereiten und dabei auf die gleiche Frage stoßen: Wer speichert künftig welche Daten, und wo werden sie gespeichert? Softwareanbieter, die eine Produktpass-Lösung anbieten, beginnen dieses Jahr mit der Einrichtung von Datenmodellen. Das ist der Moment, in dem es sinnvoll ist zu fragen, wo die Daten gehostet werden, wer Zugriff darauf hat, und ob das Produktpass unbeabsichtigt personenbezogene Daten enthält, die dort nicht unbedingt hingehören.
Das ist auch genau das Problem, auf das viele Unternehmen jetzt stoßen: nicht die Frage, ob sich die DSGVO ändert, sondern die Frage, ob die eigene Ausgestaltung des Produktpass unbeabsichtigt mehr personenbezogene Daten enthält als nötig. Eine technische Akte mit dem Namen eines Qualitätsmitarbeiters, ein Testbericht mit einer Unterschrift oder ein QR-Code, der zu einem Kontaktformular mit einer E-Mail-Adresse verlinkt: Das sind alle Punkte, wo sich die beiden Regelungen berühren, ohne dass die eine die andere ersetzt.
Für wen dies relevant ist
Die Auswirkungen unterscheiden sich je nach Rolle im Unternehmen. Für einen Geschäftsführer eines Installationsbetriebs ist dies vor allem eine Frage der Gesamtverantwortung: Wer zeichnet für die Richtigkeit des Produktpass verantwortlich, und ist diese Person sich der DSGVO-Seite bewusst. Für einen HR-Manager ist die Relevanz meist indirekt, es sei denn, Personaldaten werden verwendet, um die Rückverfolgbarkeit in der Lieferkette nachzuweisen. Für einen Büroleiter, der Akten und Systeme verwaltet, ist dies oft das Konkreteste: Diese Person bestimmt in der Praxis, welche Felder ausgefüllt werden und welche Daten gespeichert werden.
Wie es bleibt
Die DSGVO-Verpflichtungen, die bereits bestanden, bleiben unverändert: eine Rechtsgrundlage für die Verarbeitung, eine Aufbewahrungsfrist, die nicht länger als nötig ist, und ein Sicherheitsniveau, das dem Risiko entspricht. Das Produktpass fügt keine neue Verpflichtung hinzu, kann aber ein neuer Ort werden, an dem personenbezogene Daten landen, wenn nicht bewusst darauf geachtet wird. wie wir mit Datenschutz und Daten umgehen beschreibt, wie dies in der Praxis des Passes eingerichtet wird.
Wer wissen möchte, wie dies in der eigenen Situation aussieht, findet in die Übersicht der Themen, die pro Situation ausgefiltert wurden die Hintergründe sowohl zur Verordnung als auch zu den bestehenden Regeln, mit denen diese zusammentrifft. Für die eigene Situation wird empfohlen, im Zweifelsfall einen Juristen zu konsultieren oder die Behörde für Datenschutz zu kontaktieren; dieser Artikel beschreibt die Regelungen, nicht das Ergebnis für ein spezifisches Unternehmen.
Möchten Sie zunächst sehen, ob dies für Ihr Unternehmen relevant ist? in ein paar Fragen sehen, ob dies für Sie relevant ist gibt einen ersten Anhaltspunkt, und Antworten auf Fragen, die häufiger zurückkommen behandelt die Fragen, die andere Leser bereits gestellt haben.