Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Datenschutz-Folgenabschätzung

  • Data Act: „Access by Design“ ab 12.09.2026 – Datenschutz mitdenken

    Seit einem Jahr ist der Data Act anwendbar; im September 2025 hatten wir über die Grundzüge berichtet. Nun steht die nächste wichtige Frist an: Vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden, müssen nach Art. 3 Abs. 1 des Data Act so konzipiert sein, dass Nutzer standardmäßig einfach, sicher und, soweit relevant und technisch durchführbar, direkt auf die Produktdaten zugreifen können. Für Hersteller, aber auch für Händler und Anbieter von Apps zu vernetzten Geräten bedeutet das konkrete Umsetzungsarbeit.

    Was heißt „Access by Design“?

    Die Daten, die ein vernetztes Produkt bei seiner Nutzung erzeugt, etwa Betriebs-, Verbrauchs- oder Sensordaten, sollen dem Nutzer ohne Hürden zugänglich sein. Wie das technisch umgesetzt wird, schreibt der Data Act nicht im Detail vor: denkbar sind ein Download im Kundenkonto, eine Schnittstelle oder ein direkter Zugriff am Gerät. Der Zugang muss aber bereits im Produktdesign mitgedacht werden.

    Die datenschutzrechtliche Seite

    Viele Produktdaten sind personenbezogen: Die Fahrdaten eines Autos, die Verbrauchsdaten eines smarten Zählers oder die Aktivitätsdaten eines Wearables lassen Rückschlüsse auf Personen zu. Der Data Act lässt die DSGVO unberührt und schafft keine eigene Rechtsgrundlage. Daraus folgen mehrere Aufgaben:

    • Nutzer eines Produkts ist nicht immer die betroffene Person. Wer ein Fahrzeug least oder ein Gerät mit anderen teilt, darf nicht ohne Weiteres auf personenbezogene Daten Dritter zugreifen. Identität und Berechtigung sind daher zu prüfen.
    • Verlangt ein Nutzer die Weitergabe an einen Dritten, muss bei personenbezogenen Daten eine Rechtsgrundlage nach der DSGVO bestehen.
    • Datenzugänge sind Angriffsflächen und müssen nach dem Stand der Technik abgesichert werden.
    • Art. 25 DSGVO verlangt, Datenschutz von Anfang an in die Produktentwicklung einzubauen; das passt zur Logik des Data Act.
    • Bei umfangreicher Verarbeitung etwa von Standort- oder Gesundheitsdaten kann eine Datenschutz-Folgenabschätzung erforderlich sein.

    Verhältnis zur Datenübertragbarkeit

    Für personenbezogene Daten besteht daneben weiterhin das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO. Die Rechte überschneiden sich, haben aber unterschiedliche Voraussetzungen. Unternehmen sollten ihre Prozesse für Anfragen deshalb so gestalten, dass beide Regelwerke abgedeckt sind.

    Checkliste für Hersteller

    1. Welche Produkte werden nach dem 12. September 2026 neu in Verkehr gebracht?
    2. Welche Daten erzeugen sie, welche davon sind personenbezogen?
    3. Wie wird der Zugang technisch bereitgestellt und abgesichert?
    4. Wie werden Nutzer und betroffene Personen unterschieden?
    5. Sind vorvertragliche Informationen und Datenschutzhinweise angepasst?
    6. Sind die Ausnahmen für Kleinst- und Kleinunternehmen einschlägig?

    Wer den Datenzugang umsetzt, sollte Datenschutz und IT-Sicherheit von Beginn an mitdenken, sonst entstehen aus der neuen Pflicht neue Risiken. Hersteller und Händler vernetzter Produkte unterstützen wir bei der Umsetzung von Data Act und DSGVO. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • GPS-Ortung von Dienstfahrzeugen: Was Arbeitgeber dürfen

    Handwerksbetriebe, Pflegedienste und Lieferservices setzen häufig Telematik- und GPS-Systeme in Dienstfahrzeugen ein. Die Technik verspricht effizientere Einsatzplanung, Schutz vor Diebstahl und eine einfachere Fahrtenbuchführung. Da die Fahrzeuge von Beschäftigten gefahren werden, lassen die Standortdaten aber Rückschlüsse auf deren Verhalten zu. Die Ortung ist deshalb datenschutzrechtlich nur in Grenzen zulässig.

    Die Rechtsgrundlage

    Maßgeblich ist § 26 Abs. 1 BDSG bzw. Art. 6 Abs. 1 lit. f DSGVO. Die Ortung muss für einen legitimen Zweck erforderlich und verhältnismäßig sein. Eine Einwilligung der Beschäftigten ist im Arbeitsverhältnis wegen des Abhängigkeitsverhältnisses nur ausnahmsweise eine tragfähige Grundlage. Legitime Zwecke können sein:

    • Schutz der Fahrzeuge und Ladung vor Diebstahl,
    • Einsatz- und Tourenplanung, etwa die Zuweisung des nächstgelegenen Fahrzeugs zu einem Notfall,
    • Abrechnung gegenüber Kunden,
    • Erfüllung gesetzlicher Pflichten, etwa bei Gefahrguttransporten.

    Wo die Grenzen liegen

    Eine permanente, lückenlose Echtzeitüberwachung mit dem Ziel der Leistungs- und Verhaltenskontrolle ist regelmäßig unverhältnismäßig. Die Aufsichtsbehörden haben wiederholt beanstandet, wenn Arbeitgeber jederzeit sehen konnten, wo sich einzelne Beschäftigte aufhalten, und diese Daten über lange Zeiträume speicherten. Besonders kritisch ist die Ortung während Pausen und in der Freizeit.

    Private Nutzung von Dienstwagen

    Dürfen Beschäftigte das Fahrzeug privat nutzen, muss die Ortung während privater Fahrten grundsätzlich deaktiviert werden können, etwa über einen „Privatschalter“. Andernfalls entstünde ein umfassendes Bewegungsprofil des Privatlebens, das sich nicht rechtfertigen lässt. Für ein elektronisches Fahrtenbuch genügen in der Regel weniger detaillierte Daten.

    So führen Sie ein Ortungssystem ein

    1. Den Zweck konkret festlegen und dokumentieren.
    2. Das System datensparsam konfigurieren: Ortung nur während der Arbeitszeit, möglichst nicht in Echtzeit, Standortgenauigkeit nur so hoch wie nötig.
    3. Zugriffe beschränken. Die Disposition sieht den aktuellen Standort, nicht aber historische Bewegungsprofile einzelner Personen.
    4. Kurze Speicherfristen festlegen und eine automatische Löschung einrichten.
    5. Beschäftigte vorab informieren und einen Hinweis im Fahrzeug anbringen.
    6. Den Betriebsrat beteiligen. GPS-Systeme sind technische Einrichtungen zur Leistungs- und Verhaltenskontrolle und damit nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig.
    7. Prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist. Die systematische Ortung von Beschäftigten steht auf der Liste der Aufsichtsbehörden; siehe „Datenschutz-Folgenabschätzung: Wann ist eine DSFA Pflicht?“.
    8. Mit dem Telematik-Anbieter einen Auftragsverarbeitungsvertrag schließen.

    Verwertung im Kündigungsschutzprozess

    Arbeitgeber möchten GPS-Daten mitunter nutzen, um Pflichtverletzungen nachzuweisen, etwa falsche Arbeitszeitangaben. Ob solche Daten vor Gericht verwertet werden dürfen, hängt von den Umständen ab, insbesondere davon, ob die Erhebung transparent und rechtmäßig war. Wer die Ortung von Anfang an sauber gestaltet, steht auch im Streitfall besser da. Vergleichbare Fragen stellen sich bei der Videoüberwachung von Beschäftigten.

    Eine Dauerüberwachung der Beschäftigten ist unzulässig, private Fahrten sind zu schützen. Planen Sie ein Telematiksystem oder verhandeln Sie eine Betriebsvereinbarung dazu, beraten wir Sie gern. Kontaktformular oder Online-Termin.

  • Datenschutz-Folgenabschätzung: Wann ist eine DSFA Pflicht?

    Die Datenschutz-Folgenabschätzung (DSFA) gehört zu den Instrumenten der DSGVO, die in kleinen und mittleren Unternehmen oft unbekannt sind oder gefürchtet werden. Dabei ist sie im Kern ein strukturiertes Nachdenken über Risiken, bevor eine neue Datenverarbeitung startet. Art. 35 DSGVO verlangt sie nur in bestimmten Fällen. Welche das sind und wie eine DSFA abläuft, erläutern wir im Folgenden.

    Wann ist eine DSFA erforderlich?

    Eine DSFA ist durchzuführen, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Art. 35 Abs. 3 DSGVO nennt drei Regelbeispiele:

    • systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, die als Grundlage für Entscheidungen mit Rechtswirkung dient,
    • umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten, etwa Gesundheitsdaten, oder von Daten über strafrechtliche Verurteilungen,
    • systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

    Die „Muss-Liste“ der Aufsichtsbehörden

    Die deutschen Aufsichtsbehörden haben zusätzlich eine Liste von Verarbeitungsvorgängen veröffentlicht, für die stets eine DSFA durchzuführen ist. Dazu zählen beispielsweise umfangreiche Verarbeitungen von Standortdaten, die Zusammenführung von Daten aus verschiedenen Quellen, die umfassende Überwachung von Beschäftigten oder der Einsatz bestimmter neuer Technologien zur Interaktion mit Betroffenen. Prüfen Sie diese Liste bei jeder neuen Verarbeitung.

    Als Faustregel helfen zudem die Kriterien des Europäischen Datenschutzausschusses, etwa Bewertung und Scoring, systematische Überwachung, sensible Daten, große Datenmengen, schutzbedürftige Personen wie Beschäftigte oder Kinder und innovative Technologien. Treffen mindestens zwei dieser Kriterien zu, ist in der Regel eine DSFA angezeigt.

    Typische Fälle in der Praxis

    • umfangreiche Videoüberwachung von Geschäftsräumen,
    • GPS-Ortung von Dienstfahrzeugen oder Leistungskontrollen von Beschäftigten,
    • Patientenverwaltung in größeren Praxen oder Pflegediensten,
    • Kundenbindungsprogramme mit umfassendem Profiling,
    • neue Software, die große Mengen Beschäftigtendaten automatisiert auswertet.

    Ablauf einer DSFA

    1. Die geplante Verarbeitung und ihre Zwecke werden beschrieben, einschließlich der berechtigten Interessen.
    2. Es folgt die Bewertung von Notwendigkeit und Verhältnismäßigkeit: Geht es auch mit weniger Daten?
    3. Dann werden die Risiken bewertet: Welche Schäden drohen den Betroffenen, wie wahrscheinlich und wie schwer sind sie?
    4. Festgelegt werden die Abhilfemaßnahmen, also technische und organisatorische Maßnahmen, die das Risiko reduzieren.
    5. Am Ende stehen Ergebnis und Dokumentation, unter Einbindung des Datenschutzbeauftragten, sofern benannt.

    Bleibt trotz aller Maßnahmen ein hohes Risiko bestehen, muss vor Beginn der Verarbeitung die Aufsichtsbehörde konsultiert werden (Art. 36 DSGVO). Das kommt in der Praxis selten vor.

    Folge für den Datenschutzbeauftragten

    Wichtig für kleinere Unternehmen: Wer Verarbeitungen durchführt, die einer DSFA unterliegen, muss nach § 38 Abs. 1 Satz 2 BDSG unabhängig von der Mitarbeiterzahl einen Datenschutzbeauftragten benennen. Mehr dazu in unserem Beitrag „Datenschutzbeauftragter: Wann ist er Pflicht?“.

    Prüfen Sie bei jedem neuen Projekt mit Personenbezug kurz, ob eine DSFA nötig ist, und halten Sie auch das Ergebnis dieser Vorprüfung fest. Bei der Einschätzung und der Durchführung unterstützen wir Sie. Sprechen Sie uns an oder buchen Sie einen Termin.