Rz. 13

Die Frage der Abgrenzung von personenbezogenen Daten einerseits und reinen Maschinendaten ohne Personenbezug andererseits stellt sich gerade in dem Bereich der "Industrie 4.0", also der effizienten Vernetzung der herkömmlichen Erstellung von Produkten und Dienstleistungen mit neusten Informationstechniken mit ubiquitärer Datenverarbeitung.[14] Dabei werden regelmäßig cyber-physische Systeme (CPS) eingesetzt, die sich über das Internet untereinander vernetzen, Daten austauschen und sich gegenseitig steuern.[15] In diesem Rahmen steht auch die überwiegend automatisierte Kommunikation zwischen technischen Einrichtungen untereinander oder mit zentralen Datenverarbeitungsanlagen (sog. Machine-to-Machine (M2M)-Kommunikation) sowie zwischen Menschen und Maschinen, z.B. bei halbautomatisierter Roboterbedienung.[16] So kann in einer Fabrik ein Netzwerk existieren, das diverse Maschinen innerhalb einer Fertigungsstraße koordiniert und so für Verbesserungen im Arbeitsablauf sorgt (auch als "Smart Factory" bezeichnet).[17]

 

Rz. 14

Dabei werden Daten verarbeitet, bei denen sich regelmäßig die Frage des Personenbezugs stellt. Bei einer Maschine entstehende Daten sind zwar für sich gesehen nicht personenbezogen, da Daten wie die Leerlaufzeiten, Betriebstemperatur, Umdrehungen pro Minute oder die Anzahl der in einer Stunde gefertigte Teile das Ergebnis des automatisierten Arbeitens der Maschinen sind. Auch der Verband der Automobilindustrie e.V. und die Datenschutz-Aufsichtsbehörden vertreten bei in Kraftfahrzeugen anfallenden Daten die Ansicht, dass rein technische Daten nicht personenbezogen seien.[18]

 

Rz. 15

Diese Wertung findet jedoch eine deutliche Einschränkung: Ein Personenbezug liegt vor, wenn den Maschinendaten eine persönlichkeitsrechtliche Relevanz zukommt. Dies ist der Fall, wenn die Maschinendaten im Kontext Auswirkungen auf die rechtliche, wirtschaftliche oder soziale Position einer Person haben oder sich zur Bewertung individueller Verhältnisse eignen.[19] So können aus den Maschinen, an denen Beschäftigte mitarbeiten, Rückschlüsse auf deren individuelles Arbeitsverhalten gezogen werden. Eine Identifizierbarkeit kann sich mittels inhaltlicher, zweck- oder ergebnisbezogener Bezugnahmen auf eine Person ergeben, z.B. durch Bezug zu deren Verhalten oder wenn die Zwecke der Verarbeitung auf die Identifizierbarkeit abzielen.[20] Offensichtlich ist der Personenbezug zum Beispiel, wenn Mitarbeiter über einen RFID-Chip, die Personalkennziffer oder ein personalisiertes Nutzerkonto identifiziert und ihre Arbeitsschritte protokolliert werden.[21] Aber auch eine Verknüpfung von Sensordaten mit weiteren Datenquellen führt zu einem Personenbezug, wenn sich daraus Personenprofile oder -zuordnungen vornehmen lassen.[22] Wenn bspw. eine Zuordnung erfolgt, welche Maschine wann von welchem Mitarbeiter betreut wurde, oder eine Maschine regelmäßig überhitzt oder schneller verschleißt, kann bei dem Maschinendatum ein Leistungs- oder Verhaltensbezug hergestellt werden. Auch bei technischen Daten eines Fahrzeugs können Rückschlüsse möglich und damit ein Personenbezug gegeben sein: so können im Fahrzeug erzeugte technische Daten, aggregierte Fahrzeugdaten sowie dem Fahrer angezeigte Kfz-Betriebswerte in Kombination mit anderen Daten zu einer Datenschutzrelevanz führen.[23] Bei Maschinendaten liegt mithin dann Personenbezug vor, wenn ein Rückschluss auf einen konkreten Mitarbeiter möglich ist.

 

Rz. 16

 

Grundregel zum Personenbezug bei Maschinendaten

Rein technische Daten, die bei Betrieb einer Maschine entstehen, sind grundsätzlich nicht personenbezogen. Ein Personenbezug kann durch Kombination mit weiteren Daten entstehen, wenn eine Verbindung zwischen der Maschine und einer Person identifiziert werden kann, z.B. durch ein personalisiertes Nutzerkonto.

 

Rz. 17

Das Bestehen eines Personenbezuges führt nicht dazu, dass die Datenverarbeitung generell unzulässig wäre. Vielmehr kann eine Datenverarbeitung zulässig erfolgen, wenn ein gesetzlicher Erlaubnistatbestand vorliegt, der die Verarbeitung gestattet. Solche Erlaubnistatbestände sind in Art. 6 Abs. 1 S. 1 Buchst. b-f DSGVO geregelt. Darüber hinaus bestimmt Art. 6 Abs. 1 S. 1 Buchst. a i.V.m. 7 DSGVO, dass eine betroffene Person in die Datenverarbeitung einwilligen kann. Es ist daher für jeden einzelnen Datenverarbeitungsvorgang zu prüfen, ob einer der gesetzlichen Erlaubnistatbestände erfüllt ist.

[14] Henseler-Unger, in: Sassenberg/Faber (Hrsg.), Rechtshandbuch Industrie 4.0 und Internet of Things, S. 6 f.
[15] Hofmann, ZD 2016, 12.
[16] BNetzA, Mitteilung Nr. 139/2011, Amtsblatt 5/2011, S. 893.
[17] Ausführlich zu den Begriffen z.B. Marschollek/Wirwas, in: Sassenberg/Faber (Hrsg.), Rechtshandbuch Industrie 4.0 und Internet of Things, S. 420 ff.; Hofmann, ZD 2016, 12; Karthaus, NZA 2017, 558; Wintermann, NZA 2017, 537; zum Roboterrecht z.B. Lohmann, ZRP 2017, 168; Keßler, MMR 2017, 589.
[18] VDA, Datenschutzprinzipien für vernetzte Fahrzeuge, https://www.vda.de/de/themen/innovation-und-te...

Das ist nur ein Ausschnitt aus dem Produkt Deutsches Anwalt Office Premium. Sie wollen mehr? Dann testen Sie hier live & unverbindlich Deutsches Anwalt Office Premium 30 Minuten lang und lesen Sie den gesamten Inhalt.


Meistgelesene beiträge