Der häufigste Fehler bei der Überschneidung zwischen Möbelpass und DSGVO ist die Annahme von Unternehmen, dass ein Produktpass niemals Personendaten enthält und daher keine Aufmerksamkeit auf Datenschutz erforderlich ist. In der Praxis füllen Mitarbeiter Felder mit Namen und Telefonnummern einer Kontaktperson für Garantie, eines Projektleiters oder eines Installateurs aus. Sobald der Pass über den QR-Code öffentlich einsehbar ist, handelt es sich um eine Datenverarbeitung, die der DSGVO genügen muss, unabhängig von der Möbelverordnung selbst.
Dieser Fehler entsteht nicht aus Fahrlässigkeit, sondern aus einer logischen Annahme: Der Pass befasst sich mit dem Möbel, nicht mit Menschen. Daher wird bei der Datenbereitstellung selten gefragt, ob ein Feld einen Personennamen, eine direkte Telefonnummer oder eine persönliche E-Mail-Adresse enthält. Bei einem digitalen Pass, der zehn Jahre lang öffentlich und weltweit einsehbar ist, wiegt diese Frage schwerer als bei einem gewöhnlichen Angebot oder einer Rechnung.
Warum dies leichter geschieht, als Sie denken
Bei der Zusammenstellung eines Passes liefert häufig nicht eine Person alle Daten. Ein Verkäufer füllt technische Spezifikationen ein, ein Projektleiter fügt Wartungsanleitungen hinzu, und jemand aus dem Kundenservice trägt der Einfachheit halber seinen eigenen Namen und seine 06-Nummer unter "bei Fragen" ein. Niemand von ihnen überprüft dies anhand der anderen Eingaben, und es gibt oft keinen festgelegten Zeitpunkt, an dem jemand das Ganze beurteilt, bevor der Pass live geht. So entsteht ein Dokument, das zwar sachlich von einem Schrank oder Schreibtisch handelt, aber dennoch Personendaten enthält, die für jeden mit einem Smartphone sichtbar sind.
Was die DSGVO daneben bereits vorsah
Die DSGVO existierte lange vor der Möbelverordnung und ändert sich nicht durch das Erscheinen des digitalen Produktpasses. Wer Personendaten verarbeitet, muss unter anderem einen Zweck und eine Rechtsgrundlage nachweisen können und Daten nicht über das Notwendige hinaus weitergeben. Namen und Mobilnummern in einem öffentlich zugänglichen Pass zu veröffentlichen ist eine Form der Verarbeitung, bei der diese Fragen relevant sind: Ist dies für den Zweck des Passes erforderlich, und ist sich der betroffene Mitarbeiter bewusst, dass seine Daten zehn Jahre lang öffentlich zugänglich bleiben? Aufsichtsbehörden für die DSGVO, in den Niederlanden die Autoriteit Persoonsgegevens, beurteilen solche Situationen nach den geltenden Regeln, unabhängig davon, wie die Möbelverordnung selbst durchgesetzt wird.
So vermeiden Sie dies in der Praxis
Die einfachste Maßnahme ist eine feste Regel: Der Pass enthält nur funktionale Kontaktdaten, wie eine allgemeine Serviceadresse oder eine Unternehmensrufnummer, niemals den Namen oder die direkte Nummer eines einzelnen Mitarbeiters. Das verhindert nicht nur eine DSGVO-Frage, es hält den Pass auch aktuell, wenn ein Mitarbeiter seine Funktion ändert oder ausscheidet. Eine zweite Maßnahme ist ein Kontrollschritt kurz bevor ein Pass veröffentlicht wird, wobei eine Person ausdrücklich prüft, ob Personennamen, private Telefonnummern oder andere identifizierbare Daten darin enthalten sind. Bei mehreren bereitstellenden Mitarbeitern ist dieser Kontrollschritt oft der einzige Moment, in dem jemand das Gesamtbild übersieht.
Es ist auch sinnvoll, dieses Gespräch nicht nur intern zu führen, sondern auch mit der Partei, die den Pass hostet. Wer Zugang zu den eingegebenen Daten hat, wie lange diese aufbewahrt werden und ob eine Datenverarbeitungsvereinbarung erforderlich ist, sind Fragen, die zu der Übersicht der Themen pro Situationgehören. Bei furnipas.eu ist ausgearbeitet, wie Daten gespeichert und geschützt werden; das lesen Sie auf der Seite über Datenschutz und Datensicherheit.
Was zu tun ist, wenn es bereits geschehen ist
Falls sich herausstellt, dass ein Paspoport bereits seit längerer Zeit personenbezogene Daten enthält, die dort nicht hätten sein dürfen, besteht der erste Schritt darin, das Feld anzupassen oder zu löschen. Ob darüber hinaus Meldepflichten oder andere Maßnahmen erforderlich sind, hängt von der konkreten Situation ab und ist etwas, das mit einem Anwalt oder der Datenschutzbehörde erörtert werden sollte; das ist keine Frage, die allgemein beantwortet werden kann. Allerdings ist es ratsam, bei einer solchen Entdeckung sofort zu prüfen, ob das gleiche Problem in anderen noch nicht veröffentlichten Paspoorten besteht, damit der Fehler nicht wiederholt wird.
Ob Ihr Unternehmen dieses Risiko läuft, hängt davon ab, wer welche Daten bereitstellt und wie dieser Prozess organisiert ist. Mit dem kostenlosen Quick-Scan, der in wenigen Fragen einen ersten Überblick gibt sehen Sie schnell, wo Handlungsbedarf besteht, und in der Sammlung häufig gestellter Fragen finden Sie mehr Hintergrund dazu, wie sich das Meubelpaspoort zu bestehenden Regelungen wie der DSGVO verhält.