Eine festgelegte Frist gibt es nicht, eine realistische Schätzung jedoch schon
Die Verordnung für das digitale Produktpass schreibt keine Frist vor, innerhalb derer Sie überprüfen müssen, ob die Daten im Pass unter die DSGVO fallen. Diese Prüfung ist ein eigener Schritt, den Sie, allein oder zusammen mit einem Jurist oder einer Datenschutzbeauftragtenperson, neben der Erstellung des Passes durchführen. In der Praxis dauert dies von einigen Tagen bei einem einfachen Profil ohne identifizierbare Daten bis zu mehreren Wochen, wenn unklar ist, welche Felder einen Kontakt, eine Seriennummer oder eine Lieferadresse einer natürlichen Person enthalten.
Was die Bearbeitungsdauer vor allem bestimmt, ist nicht die Prüfung selbst, sondern die vorgelagerte Frage: Wissen Sie genau, welche Daten im Pass stehen werden, und wer diese hergibt? Unternehmen, die diese Erfassung bereits für andere Zwecke durchgeführt haben, schließen die Prüfung schneller ab als Unternehmen, die dies zum ersten Mal erfassen.
Was eine DSGVO-Prüfung eines Produktpasses genau umfasst
Der Aluminium-Produktpass enthält im Kern technische und Materialsdaten: Legierung, Herkunft, Verarbeitungsverfahren, Recyclinginformationen. Dies sind an sich keine personenbezogenen Daten. Die Prüfung wird relevant, sobald identifizierbare Daten einer natürlichen Person hinzukommen, beispielsweise der Name einer Kontaktperson bei einem kleinen Zulieferer, eines Einzelunternehmers, der als Hersteller auftritt, oder einer Seriennummer, die einem bestimmten Mitarbeiter zugeordnet werden kann, der sie erstellt hat.
Die Prüfung besteht in der Regel aus drei Teilen: Feststellung, welche Felder tatsächlich im Pass ausgefüllt werden, Bewertung, ob dieser personenbezogene Daten enthält, und Dokumentation, auf welcher Rechtsgrundlage diese Daten verarbeitet werden, falls das der Fall ist. Weitere Informationen darüber, was genau in den Pass aufgenommen wird und wie Daten darin behandelt werden, finden Sie auf der Seite über wie wir mit Datenschutz und Daten umgehen.
Wo die Bearbeitungsdauer in der Praxis häufig zu Verzögerungen führt
Drei Engpässe treten am häufigsten auf. Erstens: Niemand im Unternehmen weiß genau, welche Daten der Softwareanbieter oder die Partei, die den Pass zusammenstellt, überhaupt abfragt. Ohne diesen Überblick kann die Prüfung nicht beginnen. Zweitens: Die Frage, wer die Prüfung durchführen darf oder muss, bleibt intern ungeklärt, weil keine feste Datenschutzbeauftragtenperson benannt ist oder weil die Verwaltung und die IT-Abteilung sich gegenseitig verweisen. Drittens: Bei Unternehmen, die mit mehreren Zulieferern oder Unterauftragnehmern arbeiten, dauert es länger, pro Partei zu ermitteln, ob personenbezogene Daten übermittelt werden und auf welcher Grundlage dies geschieht.
Die Verzögerung steckt also selten in der Prüfung selbst, sondern in der Vorbereitung dafür. Eine DSGVO-Prüfung, die auf einem unvollständigen Datensatz durchgeführt wird, muss später noch einmal wiederholt werden.
Wen Sie praktisch einbeziehen
Innerhalb eines KMU-Unternehmens ist dies in der Regel keine eigenständige Rolle; die Verwaltungskraft, der HR-Verantwortliche oder der Geschäftsführer übernimmt die Koordination. Für die inhaltliche Bewertung ist juristische Kompetenz erforderlich, intern oder extern. Bei Fragen zur Verarbeitung von Daten von Mitarbeitern, die an dem Pass beteiligt sind, spielen auch der Betriebsrat oder die Personalvertretung eine Rolle, besonders wenn neue Registrierungen oder Verknüpfungen entstehen. Darüber hinaus ist der Softwareanbieter ein ständiger Gesprächspartner: Dieses Unternehmen bestimmt auch mit, welche Felder technisch erfasst werden und wo diese Daten gespeichert werden.
Einen Überblick über alle beteiligten Schritte und deren Reihenfolge finden Sie in der Wissensdatenbank mit ausgearbeiteten Themen pro Situation. Dort finden Sie auch die Fundstelle im offiziellen Text, damit Sie überprüfen können, wo eine Verpflichtung genau herkommt.
Wie Sie eine Schätzung für Ihre eigene Situation erhalten
Da die Durchlaufzeit stark davon abhängt, wie viele Daten Sie bereits in Ordnung haben, ist eine allgemeine Richtlinie wenig wert. Ein praktischer erster Schritt besteht darin, zu prüfen, welche Daten Ihr Unternehmen bereits über Lieferanten, Kontaktpersonen und Mitarbeiter erfasst und ob diese Daten auch in das Passierkartei gelangen. Mit ein paar Fragen einen Anhaltspunkt bekommen, wo Ihr Unternehmen steht, zeigt an, wie viel Vorbereitung noch erforderlich ist, bevor eine DSGVO-Prüfung sinnvoll beginnen kann.
Für die Frage, ob Ihr spezifisches Passierkartei personenbezogene Daten enthält und welche Rechtsgrundlage dafür gilt, bleibt die Bewertung durch einen Juristen oder bei Zweifeln die Behörde für Datenschutz der richtige Ansprechpartner. Dieser Artikel beschreibt den Prozess in allgemeiner Form und ersetzt diesen Rat nicht.
Abschließend
Die Durchlaufzeit einer DSGVO-Prüfung für das Aluminium-Produktpassierkartei ist keine feste Zahl, sondern das Ergebnis davon, wie gut Ihre Daten bereits in Ordnung sind, bevor Sie beginnen. Wenn Sie wissen möchten, welche Schritte für Ihr Unternehmen noch offenstehen, schauen Sie sich dann die häufig gestellten Fragen zum Produktpassierkartei an oder führen Sie den kostenlosen Quick-Scan durch, um zu sehen, wo Sie derzeit stehen.