Der digitale Produktpass für Aluminium besteht grundsätzlich aus Daten über das Material und das Produkt: Legierung, Herkunft, Gewicht, Recyclinggehalt, technische Spezifikationen und manchmal Informationen über den Herstellungsort. Dies sind keine personenbezogenen Daten im Sinne der DSGVO, da sie nicht auf eine natürliche Person zurückführbar sind. Für die meisten Unternehmen, die Aluminium-Halbzeug herstellen, importieren oder verarbeiten, bleibt der Produktpass daher weitgehend eine Produktverwaltung und kein Datenschutzthema.
Gleichzeitig gibt es in der Praxis oft eine Ebene darunter, die tatsächlich Berührungspunkte mit der DSGVO hat: die Daten des Marktteilnehmers, der den Produktpass bereitstellt oder verwaltet. Denken Sie an einen Unternehmensnamen, eine Handelsregisternummer, eine Adresse und manchmal eine Kontaktperson mit Name und Funktion. Bei einem Einzelunternehmen oder einer Gesellschaft bürgerlichen Rechts können diese Unternehmensdaten tatsächlich mit Daten einer natürlichen Person zusammenfallen, und genau dieses Detail ist der Kern dieses Themas.
Was üblicherweise im Produktpass enthalten ist
Die Verordnung konzentriert sich auf Produktinformationen: Woher das Material kommt, wie es zusammengesetzt ist, welche Eigenschaften es hat und wie es am Ende seiner Lebensdauer verarbeitet werden kann. Dies sind Daten über das Aluminium selbst, nicht über die Menschen, die damit arbeiten oder es verkaufen. Wer die Verordnung selbst lesen möchte, findet den vollständigen Text auf EUR-Lex; wir halten pro Thema eine kurze Antwort und die Fundstelle in der Wissensdatenbank vor, wo dies je nach Situation recherchiert wurde.
Innerhalb dieser Produktdaten kommt manchmal auch ein Organisationsname vor, etwa der des Herstellers oder des Importeurs, der für die Daten verantwortlich ist. Ein Organisationsname an sich ist normalerweise kein personenbezogenes Datum, es sei denn, der Name bezeichnet direkt eine natürliche Person.
Wann personenbezogene Daten tatsächlich eine Rolle spielen
Die Situation ändert sich, sobald eine Kontaktperson mit Name, Telefonnummer oder E-Mail-Adresse an den Produktpass gebunden wird, oder wenn der Marktteilnehmer ein Einzelunternehmen ist, bei dem die Unternehmensdaten und die persönlichen Daten des Eigentümers zusammenfallen. In diesen Fällen geht es nicht mehr nur um Produktinformationen, sondern auch um Daten, die unter die DSGVO fallen. Aufsichtsbehörden prüfen dabei, wer die Daten verarbeitet, zu welchem Zweck und ob es eine Rechtsgrundlage für diese Verarbeitung gibt.
Dies spielt auch bei der Erstellung und Verwaltung eines Kontos eine Rolle: Ein Geschäftskonto ist an eine juristische Person mit einer Handelsregister- und Umsatzsteuer-Identifikationsnummer gebunden, aber die Person, die das Konto im Namen des Unternehmens verwaltet, gibt dabei ihre eigenen Kontaktdaten an. Wie solche Daten gespeichert und geschützt werden, ist auf der Seite beschrieben wie wir mit Datenschutz und Daten umgehen.
Die DSGVO und die Produktpassverordnung nebeneinander
Die Verordnung für den digitalen Produktpass und die DSGVO sind zwei separate Regelungsrahmen, die nebeneinander bestehen. Der eine regelt, welche Produktinformationen verfügbar sein müssen und wie diese über einen QR-Datenträger gemeinsam genutzt werden; der andere regelt, wie mit personenbezogenen Daten umzugehen ist, unabhängig vom Sektor. Ein Unternehmen, das einen Produktpass erstellt, ist also nicht automatisch von den üblichen DSGVO-Fragen befreit: Wer ist Verantwortlicher, welche Rechtsgrundlage besteht und wie lange werden Daten gespeichert.
Da sich diese beiden Regelungsrahmen berühren, aber nicht dasselbe regeln, ist es für die eigene Situation sinnvoll, beide separat zu betrachten: den Produktinhalt des Produktpasses einerseits und die Kontaktdaten, die damit verarbeitet werden, andererseits. Für Fragen zur eigenen Verarbeitung personenbezogener Daten ist die Autorität für den Datenschutz die zuständige Aufsichtsbehörde, und für die Erklärung einer spezifischen Situation ist ein Jurist die richtige Ansprechperson.
Was Sie jetzt praktisch tun können
Für die meisten KMU-Unternehmen in Aluminiumprofilen, Gießereien oder Verpackungen bleibt die praktische Arbeit überschaubar: Sorgen Sie dafür, dass die Produktdaten korrekt sind, und seien Sie sich bewusst, dass Kontaktdaten im Zusammenhang mit der Verwaltung des Passes auf DSGVO-Grundlage gesondert bewertet werden müssen, falls dafür Grund besteht. Wenn Sie unsicher sind, ob Ihre Situation besondere Aufmerksamkeit erfordert, dann gibt der Produktscan mit einigen kurzen Fragen einen ersten Hinweis darauf, wo Sie stehen.
Häufig gestellte Fragen zum Zusammenhang zwischen dem Pass und bestehenden Vorschriften, einschließlich der DSGVO, finden Sie übersichtlich zusammengefasst auf der Seite mit Antworten auf häufig gestellte Fragen. Dort finden Sie auch Verweise auf die Quellen, so dass Sie dies selbst nachlesen können.
Möchten Sie wissen, ob in Ihrem Fall etwas im Zusammenhang mit personenbezogenen Daten und dem Produktpass relevant ist? Führen Sie den kostenlosen Quick-Scan durch oder blättern Sie durch die Themen in der Wissensdatenbank; beide können ohne Verpflichtungen konsultiert werden und geben sofort eine erste Orientierung.