Die DSGVO (die Datenschutz-Grundverordnung) galt bereits, bevor ein Wort über einen digitalen Produktpass oder eine KI-Verordnung geschrieben wurde, und diese Verordnung verschwindet nicht, nur weil neue Regeln hinzukommen. Sobald Ihr Unternehmen personenbezogene Daten verarbeitet — und das tut praktisch jedes Unternehmen, durch Personalakten, Kundendaten oder Geräte, die Nutzungsdaten erfassen — bleibt die DSGVO neben der neuen Regelung einfach gültig.
Ob die DSGVO Ihr Unternehmen in einer konkreten Situation betrifft, hängt davon ab, ob tatsächlich personenbezogene Daten verarbeitet werden. Ein digitaler Produktpass mit nur technischen Angaben zu einem Gerät (Materialien, Reparaturanleitung, Garantiefrist) fällt in der Regel nicht unter die DSGVO. Sobald Daten hinzukommen, die auf eine Person zurückzuführen sind — eine Seriennummer, die einem Besitzer zugeordnet ist, Nutzungsdaten eines Arbeiters oder ein Chatbot, der Kundenanfragen verarbeitet — verlagert sich die Situation in den Bereich der DSGVO.
Warum dieses Thema häufiger zurückkommt, als Sie denken
Die Ecodesign-Verordnung (ESPR), der digitale Produktpass und die KI-Verordnung sind alle drei neu, und es ist verlockend zu denken, dass sie die DSGVO ersetzen oder überflüssig machen. Das ist nicht der Fall. Diese Verordnungen regeln andere Dinge: Produktinformationen, Umweltanforderungen und den Umgang mit KI-Systemen. Die DSGVO regelt etwas anderes, nämlich den Schutz personenbezogener Daten, unabhängig davon, welches System oder Gerät diese Daten erfasst. Die vier Regelwerke können also gleichzeitig auf dieselbe Situation anwendbar sein, ohne dass das eine das andere ersetzt.
Ein Beispiel macht dies konkret. Ein Installationsbetrieb, der intelligente Zähler einbaut, könnte es mit dem digitalen Produktpass für das Gerät selbst zu tun haben und gleichzeitig mit der DSGVO, sobald dieser Zähler Verbrauchsdaten eines bestimmten Haushalts erfasst. Beide Regelungen gelten dann nebeneinander für dasselbe Gerät, aber für einen anderen Aspekt davon.
Wenn die DSGVO ins Spiel kommt
Die DSGVO kommt ins Spiel, sobald Daten auf eine identifizierte oder identifizierbare Person zurückzuführen sind. Das kann sich auf Personalangaben bei der Einführung eines neuen KI-Systems am Arbeitsplatz beziehen, auf Kundendaten, die ein Lieferant in Ihrem Namen verarbeitet, oder auf Nutzungsdaten, die ein Gerät erfasst und an einen Hersteller weiterleitet. Die für die DSGVO zuständige Überwachungsstelle in den Niederlanden ist die Autoriteit Persoonsgegevens; diese prüft nicht den digitalen Produktpass oder die KI-Verordnung selbst, sondern den Umgang mit personenbezogenen Daten, die dabei eine Rolle spielen.
Für diejenigen, die überprüfen möchten, ob bei einem konkreten Projekt personenbezogene Daten verarbeitet werden, ist es sinnvoll, dies pro Datenstrom zu betrachten: Was wird erfasst, von wem und lässt es sich auf eine Person zurückführen. Diese Unterscheidung bestimmt, ob die DSGVO anwendbar ist, unabhängig von der Frage, ob auch ein digitaler Produktpass oder ein KI-System beteiligt ist. wie wir bei dem Produktpass mit personenbezogenen Daten umgehen zeigt, wie dieser Unterschied in der Praxis aussieht.
Wenn die DSGVO keine zusätzliche Rolle spielt
Nicht jeder technische Datenstrom fällt unter die DSGVO. Materialzusammensetzung, Garantiefristen, Reparaturanweisungen und ähnliche Produktinformationen sind in der Regel nicht auf eine Person zurückzuführen und fallen daher nicht in den Geltungsbereich der DSGVO. Das bedeutet nicht, dass es keine Regeln gibt — der digitale Produktpass und die ESPR stellen eigene Anforderungen an diese Informationen — aber die DSGVO erhebt in diesem speziellen Datenstrom keine zusätzliche Verpflichtung.
Diese Unterscheidung ist auch relevant bei der Nutzung von KI am Arbeitsplatz. Ein KI-System, das nur Maschinendaten analysiert, berührt in der Regel nicht die DSGVO. Sobald dasselbe System das Verhalten oder die Leistung einzelner Mitarbeiter bewertet, ändert sich das Bild, und neben der KI-Verordnung kommt auch die DSGVO ins Spiel. Wer diese Unterscheidung für die eigene Situation klären möchte, kann dies am besten einem Juristen oder der Behörde für Datenschutz vorlegen; ein allgemeiner Artikel kann diese Unterscheidung zwar skizzieren, aber nicht für eine bestimmte Situation festlegen.
Wie Sie dies für Ihr eigenes Unternehmen überprüfen
Da die DSGVO, die ESPR, das digitale Produktpass und die KI-Verordnung jeweils ihr eigenes Anwendungsgebiet haben, lohnt es sich, für jede Verpflichtung separat zu überprüfen, ob sie auf Ihr Unternehmen anwendbar sind, anstatt sie als Ganzes zu behandeln. In der Wissensdatenbank nach Thema aufgearbeitet wird diese Unterscheidung pro Regelwerk ausgearbeitet, damit Sie nicht alles auf einmal verstehen müssen.
Möchten Sie schnell eine erste Einschätzung, ob Ihre Situation Berührungspunkte mit dem digitalen Produktpass oder der KI-Verordnung hat und damit möglicherweise auch mit der DSGVO? Führen Sie dann den kostenlosen Quick-Scan durch in ein paar Fragen eine erste Indikation erhalten, oder schauen Sie sich die Antworten auf Fragen an, die andere Unternehmer bereits gestellt haben. Für die eigene, spezifische Situation bleibt ein Jurist oder die Behörde für Datenschutz der richtige Ansprechpartner.