Was ändert sich dieses Jahr durch die DSGVO für das Matratzenpaspoort?
Die Datenschutz-Grundverordnung selbst ändert sich dieses Jahr nicht für Matratzen. Was sich jedoch ändert, ist der Kontext, in dem Sie damit konfrontiert werden: das digitale Produktpass macht Produktinformationen öffentlich zugänglich über einen QR-Code, und das wirft neue Fragen auf, welche Daten darin hineingehören und welche nicht. Für Hersteller, Importeure und Verkäufer, die bei Kauf oder Registrierung auch Kundendaten erfassen, ist das ein neuer Fokuspunkt neben den bestehenden DSGVO-Pflichten.
Es geht hier nicht um eine Anpassung der Datenschutzgesetzgebung, sondern um das Zusammentreffen zweier Regelungen, die nebeneinander bestehen bleiben: die DSGVO bleibt unverändert gültig, und die Verordnung für das digitale Produktpass legt dort eine neue Schicht darauf. Für Ihr Unternehmen ist vor allem relevant, ob und wie diese beiden sich in der Praxis berühren.
Was das Passoport verlangt und nicht verlangt
Das digitale Produktpass ist für Produktinformationen bestimmt: Materialien, Herkunft, Wartung, Recyclingmöglichkeiten und ähnliche Daten über die Matratze selbst. Die Verordnung richtet sich nicht auf Daten von einzelnen Kunden. Dennoch entstehen in der Praxis manchmal Verknüpfungen, zum Beispiel wenn eine Garantieregistrierung oder ein Servicevertrag an denselben Paspoort oder denselben QR-Code gehängt wird wie die Produktinformationen.
Sobald das geschieht, ist nicht die Produktpassport-Verordnung der Beurteilungsmaßstab, sondern die DSGVO. Aufsichtsbehörden schauen dabei auf die gewöhnlichen DSGVO-Fragen: gibt es eine Rechtsgrundlage für die Datenverarbeitung, wurde dem Kunden klar mitgeteilt, wofür die Daten verwendet werden, und werden sie nicht länger gespeichert als nötig. Das ändert sich nicht durch die Einführung des Pasports; der Pasport macht nur sichtbarer, wo diese beiden Welten sich berühren.
Wo dies öfter schiefgeht als erwartet
In der Praxis entsteht die Vermischung nicht bei dem Paspoort selbst, sondern bei der Software oder dem Portal, mit dem es verwaltet wird. Einige Systeme bieten Bequemlichkeit, indem sie Garantie, Wartungserinnerungen und Kundenkontakt in einer Umgebung verknüpfen. Das ist funktional praktisch, bedeutet aber auch, dass personenbezogene Daten in einem System landen, das ursprünglich für Produktinformationen eingerichtet wurde, die zehn Jahre lang zugänglich sein müssen.
Das ist relevant, weil die Aufbewahrungsfrist des Pasports und die Aufbewahrungsfrist von Kundendaten nicht automatisch gleich laufen. Produktinformationen dürfen und müssen oft lange verfügbar bleiben. Kundendaten unterliegen einem anderen Regelwerk, mit eigenen Grenzen, wie lange und wofür sie gespeichert werden dürfen. Bei der Einrichtung eines Systems ist es also sinnvoll, vorher zu trennen, welche Daten unter welches Regelwerk fallen, anstatt das hinterher zu entdecken.
Fragen, die Sie Ihrem Lieferanten stellen können
Für Unternehmen, die den Paspoort durch einen Softwarelieferanten oder eine Plattform einrichten lassen, ist es ratsam, explizit zu fragen, wie Produktdaten und Kundendaten voneinander getrennt werden, wer Zugriff auf welchen Teil hat, und ob Daten über Kunden mit dritten Parteien geteilt werden. Das ist keine Frage, die aus der Produktpassport-Verordnung selbst folgt, aber eine, die sich aus der gewöhnlichen Sorgfaltspflicht unter der DSGVO ergibt.
wie Daten über Ihre Produkte und Ihre Kunden voneinander getrennt bleiben gibt ein Bild, wie das in der Praxis eingerichtet wird. Für einen breiteren Überblick, wie sich die verschiedenen Regelungen zueinander verhalten, bietet der Wissensdatenbank mit Themen pro Situation einen Startpunkt.
Was dies für Ihr Unternehmen bedeuten kann
Ob und inwieweit dies für Ihr Unternehmen relevant ist, hängt davon ab, wie Sie das Passierbuch und gegebenenfalls Kundenregistrierungen einrichten. Ein Einzelhandelsbetrieb, der nur Produktinformationen über den QR-Code bereitstellt, hat eine andere Situation als ein Hersteller, der Garantie, Wartung und Kundenkontakt an dasselbe System koppelt. Eine erste Orientierung, wo Ihr Unternehmen steht, erhalten Sie mit einigen Fragen, die Ihre Situation kartieren.
Für Fragen, die bei Unternehmen, die damit zu tun bekommen, häufiger aufkommen, gibt es einen Überblick mit Antworten auf Fragen, die auch andere Unternehmen stellen.
Was noch nicht feststeht
Die genaue Gestaltung des digitalen Produktpasses für Matratzen, einschließlich welcher Daten verpflichtend aufgenommen werden, ergibt sich aus einer delegierten Handlung, die noch nicht veröffentlicht worden ist. Solange diese nicht vorliegt, lässt sich nicht mit Sicherheit sagen, wie die Felder im Pass sich im Detail zu personenbezogenen Daten verhalten. Für den aktuellen Stand der DSGVO selbst und für Fragen zu Ihrer spezifischen Verarbeitung von Kundendaten ist die Datenschutzbehörde die zuständige Aufsichtsbehörde, und für die Erläuterung Ihrer eigenen Situation ist ein Jurist der richtige Ansprechpartner.
Kurz zusammengefasst
Möchten Sie wissen, wo Ihr Unternehmen derzeit steht, ohne gleich ein ganzes Dossier durchgehen zu müssen? Machen Sie den kostenlosen Quick-Scan oder lesen Sie die Themen, die Ihrer Situation am nächsten kommen.