Was bedeutet „Verantwortlicher“ im Sinne des BDSG für einen Industriebetrieb?
Der Verantwortliche ist die juristische Person, die über Zwecke und Mittel der Datenverarbeitung entscheidet. In der Fertigungsindustrie ist dies in der Regel die Geschäftsführung des produzierenden Unternehmens, nicht die einzelne Abteilung oder der IT-Dienstleister. Die Verantwortung umfasst die gesamte Datenverarbeitungskette – von der Erfassung der Mitarbeiterdaten bis zur Steuerung von Produktionssystemen mit Personenbezug.
BDSG § 46Gilt ISO/IEC 27001 als „Stand der Technik“ für die Datensicherheit nach Art. 32 DSGVO?
Ja, die Zertifizierung nach ISO/IEC 27001 wird von Aufsichtsbehörden als starkes Indiz für angemessene technische und organisatorische Maßnahmen (TOM) gewertet. Sie ersetzt jedoch nicht die individuelle Risikoanalyse des Verarbeitungsvorgangs. Ein zertifiziertes ISMS muss für jede Verarbeitungstätigkeit nachweisen, dass die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit spezifisch adressiert werden.
Art. 32 DSGVOWie ist der Begriff „personenbezogenes Datum“ in einer Produktionsdatenbank abzugrenzen?
Ein Datum ist personenbezogen, wenn es sich auf eine identifizierte oder identifizierbare natürliche Person bezieht. In der Industrie betrifft dies nicht nur Stammdaten von Mitarbeitern, sondern auch Maschinendaten, die Rückschlüsse auf das Verhalten einzelner Bediener zulassen (z. B. Logdaten mit Benutzerkennung). Rein technische Prozessparameter ohne Personenbezug fallen nicht unter das BDSG.
BDSG § 46 / Art. 4 DSGVOWas bedeutet „Auftragsverarbeitung“ in einer mehrstufigen Lieferkette?
Ein Auftragsverarbeiter ist ein Dienstleister, der personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. In der Lieferkette kann ein Logistikdienstleister, der Lieferdaten mit Personenbezug verarbeitet, Auftragsverarbeiter sein. Entscheidend ist die Weisungsgebundenheit: Der Verarbeiter darf die Daten nur nach dokumentierten Weisungen des Verantwortlichen nutzen. Eine eigenständige Zweckbestimmung macht ihn zum eigenen Verantwortlichen.
Art. 28 DSGVOWelche Dokumentationspflichten ergeben sich aus der Kombination von BDSG und ISO 27001?
Das BDSG verlangt ein Verzeichnis von Verarbeitungstätigkeiten (VVT) sowie eine Datenschutz-Folgenabschätzung bei risikoreichen Verarbeitungen. ISO 27001 fordert ein umfassendes Dokumentenmanagement im ISMS, einschließlich Richtlinien, Verfahrensanweisungen und Aufzeichnungen. Synergien entstehen, wenn das VVT als Teil des ISMS geführt wird und die Risikobewertung nach ISO 27001 die Grundlage für die Datenschutz-Folgenabschätzung bildet.
BDSG § 64 / ISO 27001 A.7.5