Der häufigste Fehler bei der Kombination des Batteriepasss mit der DSGVO besteht darin, dass Unternehmen personenbezogene Daten in einem Dokument mitlaufen lassen, das für jedermann sichtbar wird. Der Batteripass ist nämlich öffentlich: Wer den QR-Code scannt, sieht die Daten, ohne dass dafür ein Konto oder eine Genehmigung erforderlich ist. Daten, die in einem internen System harmlos erscheinen, wie der Name einer Kontaktperson beim Lieferanten oder eine direkte E-Mail-Adresse eines Mitarbeiters, gehören in den meisten Fällen nicht dorthin.
Dieser Fehler entsteht meist nicht aus Nachlässigkeit, sondern aus Bequemlichkeit. Der Pass wird oft zusammengestellt, indem Daten aus bestehenden Quellen übernommen werden: ein Beschaffungssystem, ein Qualitätsdossier, ein E-Mail-Austausch mit dem Hersteller. Diese Quellen wurden für die interne Nutzung erstellt und enthalten oft mehr als für den Pass erforderlich ist. Ohne eine bewusste Überprüfung dessen, was genau in das öffentliche Dokument gelangt, rutschen solche Felder mit hinein.
Warum dieses spezifische Risiko oft übersehen wird
Die Batterienverordnung und die DSGVO sind zwei verschiedene Regelungen mit einem eigenen Zweck. Die Batterienverordnung schreibt vor, welche Produktdaten verfügbar sein müssen, wie Zusammensetzung, Herkunft und Leistung der Batterie. Die DSGVO befasst sich mit dem Schutz von Daten, die eine natürliche Person identifizieren. Beide Regelungen gelten gleichzeitig, werden aber in der Praxis oft als ein Arbeitsprozess behandelt: Wer den Pass einreicht, denkt in erster Linie an die Einhaltung der Batterienverordnung und nicht an die Frage, ob ein Feld personenbezogene Daten enthält.
Dies wirkt sich stärker bei kleineren Unternehmen aus, in denen dieselbe Person sowohl für die Bereitstellung technischer Daten als auch für die erste Kontaktstelle zum Hersteller zuständig ist. Die Grenze zwischen "Daten über das Produkt" und "Daten über die Menschen, die das Produkt verwalten" ist dann weniger deutlich als in einer Organisation, in der dies auf mehrere Abteilungen verteilt ist. Auch Softwareanbieter, die den Pass technisch aufsetzen, übernehmen in der Regel alle bereitgestellten Felder, ohne selbst zu beurteilen, ob ein Feld personenbezogene Daten enthält; diese Beurteilung liegt bei dem Pass-Anbieter, nicht bei der Hosting-Partei.
Was konkret schiefgeht
In der Praxis handelt es sich meist um eine begrenzte Anzahl wiederkehrender Felder: der Name eines Qualitätsmitarbeiters, der das Zertifikat unterzeichnet hat, eine direkte Telefonnummer anstelle einer allgemeinen Unternehmenstelefonnummer, oder ein Anhang wie ein Scan einer Rechnung, auf dem eine Person zu sehen ist. Für sich genommen erscheint dies harmlos, da es innerhalb des Unternehmens immer so weitergegeben wurde. Der Unterschied besteht darin, dass der Pass zehn Jahre lang und für alle zugänglich bleibt, auch nachdem der betreffende Mitarbeiter das Unternehmen verlassen hat oder die Position gewechselt hat.
Ein zweiter wiederkehrender Punkt ist, dass Unternehmen davon ausgehen, dass die Batterienverordnung selbst bereits eine Ausnahme von der DSGVO vorsieht, weil die Offenlegung nun einmal verpflichtend ist. Diese Annahme ist falsch: eine Verpflichtung zur Offenlegung von Produktdaten sagt nichts darüber aus, ob ein spezifisches Datum personenbezogen ist und auf welcher Grundlage dieses Datum verarbeitet werden darf. Das ist eine separate Prüfung, die in jedem Fall als Teil der eigenen Datenverarbeitung stattfinden sollte.
Wie Sie dies in der Praxis vermeiden
Der Kern ist eine Kontrollstufe vor der Veröffentlichung: Jemand prüft das ausgefüllte Passierbuch speziell darauf, ob es einen Namen, eine Funktion, direkte Kontaktdaten oder andere identifizierbare Angaben enthält, die für die Produktinformationen nicht funktional erforderlich sind. Dies ist keine juristische Übung, sondern eine praktische Kontrolle, vergleichbar mit der Überprüfung eines Dokuments vor dem Versand. Wer dies strukturell delegieren möchte, kann dies als festen Bestandteil des Lieferprozesses festlegen, unabhängig von der technischen Anbindung an den Softwareanbieter.
Es hilft auch, zwischen der intern als Nachweis der Sorgfaltspflicht aufbewahrten Dokumentation und dem extern sichtbaren Passierbuch zu unterscheiden. Die erste darf Namen und Kontaktdaten enthalten, soweit dies für den eigenen Geschäftsbetrieb erforderlich ist; das zweite dient der Produktinformationen. In der Wissensdatenbank, in der dieses Thema pro Situation ausgearbeitet ist wird dargelegt, wie sich diese beiden Komponenten zueinander verhalten. Wer wissen möchte, wie Daten für das Passierbuch genau zustande kommen und wer dabei welche Rolle hat, findet dies unter einer Übersicht darüber, wie die Daten für das Passierbuch zusammengestellt werden.
Da diese Schnittstelle zwischen zwei Regelungen liegt, ist eine allgemeine Bewertung Ihrer Situation durch einen Juristen oder die Aufsichtsbehörde für Datenschutz der angegebene Weg, wenn Sie über ein bestimmtes Feld unsicher sind. Wie wir als Plattform mit dem Zugang zu und der Speicherung von Daten umgehen, die uns übermittelt werden, ist beschrieben auf der Seite darüber, wie wir mit Daten und Zugang umgehen.
Möchten Sie zunächst einen Überblick über die Situation Ihres Unternehmens bekommen, bevor Sie sich tiefer mit diesem Thema befassen? Mit ein paar Fragen erhalten Sie einen ersten Überblick über Ihre Situation, völlig unverbindlich und ohne dass dafür ein Konto erforderlich ist.