Ein Matratzenpass enthält im Kern Produktinformationen: Materialzusammensetzung, Herkunft, Reparatur- und Recyclinganweisungen sowie Daten über den Hersteller oder Importeur. Personenbezogene Daten des Käufers gehören dort grundsätzlich nicht hin. Die Verordnung ist geschrieben, um eine Matratze als Produkt zu verfolgen, nicht um zu registrieren, wer darauf schläft.
Dennoch ist die Frage berechtigt, denn sobald ein Unternehmen den Pass verwaltet, kommen durchaus Daten von Menschen ins Spiel: die Kontaktperson, die das Konto verwaltet, und manchmal Kunden- oder Garantiedaten, die ein Unternehmen selbst an eine Matratze verknüpft. Das betrifft die Datenschutz-Grundverordnung, aber über einen anderen Weg als den Pass selbst.
Was steht wirklich im Pass
Der Pass ist um das Produkt herum aufgebaut: das Matratzenmodell, die Charge oder die eindeutige Seriennummer, die verwendeten Materialien, ob darin gefährliche Stoffe enthalten sind, wie die Matratze zu reparieren oder zu recyceln ist, und wer der Hersteller oder Importeur ist. Dies sind Daten über eine Sache, keine Daten über eine Person. Welche Kategorien genau erforderlich sind, steht in der Verordnung selbst und in der delegierten Handlung, die pro Produktgruppe folgt; für Matratzen ist diese noch nicht veröffentlicht. die Verordnung pro Thema in der Wissensdatenbank erläutert gibt pro Begriff an, was derzeit bereits feststeht und was noch folgt.
Wo personenbezogene Daten um die Ecke kommen
Sobald Ihr Unternehmen ein Konto anlegt, um Pässe erstellen und hosten zu lassen, geben Sie dabei meist eine Kontaktperson an: einen Namen, eine Funktion, eine geschäftliche E-Mail-Adresse. Dies sind personenbezogene Daten, auch wenn das Konto selbst mit der juristischen Person verknüpft ist, mit Handelsregisternummer und Steuernummer, und nicht mit einer einzelnen Privatperson. Wie eine Plattform mit diesen Daten umgeht, wie lange sie aufbewahrt werden und wer darauf zugreifen kann, ist genau das, um das es in der DSGVO geht. wie mit Daten und Datenschutz umgegangen wird beschreibt dies für matrapas.eu.
Das geschäftliche Konto und die DSGVO
Ein geschäftliches Konto ändert nichts an den DSGVO-Pflichten Ihres Unternehmens als Verantwortlicher oder als Auftragsverarbeiter; welche Rolle anwendbar ist, hängt von der Situation ab. Die Verordnung für Matratzen regelt das Produkt. Die DSGVO regelt unabhängig davon, wie Ihr Unternehmen mit Daten von Menschen umgeht, einschließlich derer von Mitarbeitern, die den Pass verwalten. Beide Regelungen existieren nebeneinander und ersetzen sich nicht.
Was ist, wenn Sie Kundendaten an den Pass verknüpfen
Einige Unternehmen möchten über das hinausgehen, was die Verordnung verlangt: eine Seriennummer mit einem Kaufdatum, einer Garantiefrist oder dem Namen des Käufers verknüpfen, beispielsweise für die Reklamationsabwicklung oder ein Hotel, das Matratzen pro Zimmer registriert. Dies ist eine freie Entscheidung des Unternehmens, keine Pflicht aus der Matratzenverordnung. Sobald dies geschieht, entsteht eine neue Verarbeitung personenbezogener Daten, für die die gewöhnlichen DSGVO-Regeln gelten: eine Rechtsgrundlage, eine Aufbewahrungsfrist und Klarheit darüber, wer Zugriff hat. Ob dies für Ihr Unternehmen relevant ist, können Sie mit ein paar Fragen zunächst für sich selbst erkunden. Wie Sie eine solche Verknüpfung genau gestalten, besprechen Sie am besten mit einem Juristen oder Ihrem eigenen Datenschutzbeauftragten.
Wer trägt die Verantwortung
Die Verordnung legt fest, welche Produktdaten mindestens in einem Pass stehen müssen und wer sie liefern darf: der Hersteller oder Importeur. Sie bleiben verantwortlich für die Richtigkeit dieser Daten, auch wenn ein Dritter den Pass hostet. Für alles, was darüber hinaus an personenbezogenen Daten verarbeitet wird, gilt die gewöhnliche Aufteilung aus der DSGVO zwischen Verantwortlichem und Auftragsverarbeiter. Welche Rolle Ihr Unternehmen darin spielt, ist nicht in jedem Fall gleich und wird von Ihnen selbst oder Ihrem Berater bestimmt.
Aufsichtsbehörden für die Matratzenverordnung prüfen die Produktdaten im Produktpass; die Behörde für Datenschutz prüft den Umgang mit personenbezogenen Daten. Das sind zwei separate Aufsichtslinien, die unabhängig voneinander verlaufen.
Möchten Sie zunächst in Ruhe lesen, wie andere Begriffe aus der Verordnung zusammenhängen, bevor Sie weitere Schritte unternehmen? die häufig gestellten Fragen zum Matratzenproduktpass lesen bietet dafür einen guten Ausgangspunkt, ebenso wie einen unverbindlichen Blick auf Ihre eigene Situation über den kostenlosen Quick-Scan.