Datenschutz in der Lieferkette: Anforderungen umsetzen und Synergien richtig Nutzen

Einleitung

Die Einhaltung des Datenschutzes in der Lieferkette stellt Unternehmen vor eine anspruchsvolle Herausforderung. Die Verarbeitung personenbezogener Daten entlang verschiedener Glieder der Lieferkette erfordert eine präzise Abstimmung zwischen den beteiligten Parteien, um gesetzliche Vorgaben zu erfüllen und Haftungsrisiken zu minimieren. Mit Inkrafttreten des Lieferkettensorgfaltspflichtengesetzes (LkSG) stehen viele Unternehmen vor neuen Herausforderungen, was nicht neue Prozesse und Verantwortlichkeiten bestimmt, sondern auch Nachweis- und  Kontrollrechte erforderlich macht, um den Pflichten nachkommen zu können. Vielfach ist auch hier die Verarbeitung personenbezogener Daten von Lieferanten und deren Beschäftigten erforderlich.

Dabei ist die Anforderungen zu Betrachtung der Lieferkette schon länger Bestandteil der Datenschutz-Grundverordnung (DSGVO). Insbesondere müssen Unternehmen bei Auslagerung ihrer Datenverarbeitung sicherstellen, dass auch die unmittelbaren Dienstleister, sowie von diesen eingesetzten Subdienstleister, angemessen mit personenbezogenen Daten umgehen und diese nach den gesetzlichen und vertraglichen Vorgaben verarbeiten.

Die Betrachtung beider Themen sollte daher nicht unabhängig erfolgen. Um effektive und effiziente Prozesse zu ermöglich, sollten mögliche Synergien beider Welten ausgenutzt werden. Dieser Beitrag zeigt auf, wie Unternehmen ihre Datenschutzverantwortung in der Lieferkette strategisch umsetzen können, welche Risiken bestehen und welche Best Practices eine sichere Verarbeitung personenbezogener Daten gewährleisten.

Gesetzliche Grundlagen zum Datenschutz in der Lieferkette

Unternehmen, die personenbezogene Daten innerhalb ihrer Lieferkette verarbeiten, müssen sich an eine Vielzahl rechtlicher Vorgaben halten. Neben der DSGVO gewinnen das LkSG sowie branchenspezifische Datenschutzvorschriften zunehmend an Bedeutung. Ein tiefgehendes Verständnis dieser Regelungen ist essenziell, um datenschutzkonforme Prozesse entlang der gesamten Lieferkette sicherzustellen.

Die Datenschutz-Grundverordnung (DSGVO) und ihre Relevanz

Die DSGVO ist die zentrale gesetzliche Grundlage für den Schutz personenbezogener Daten in der Europäischen Union und damit auch für Unternehmen, die Daten in der Lieferkette verarbeiten. Besonders relevant sind dabei:

• Artikel 5 DSGVO: Grundsätze der Verarbeitung, darunter Zweckbindung, Datenminimierung und Speicherbegrenzung.
• Artikel 28 DSGVO: Regelungen zur Auftragsverarbeitung, die klare Verantwortlichkeiten zwischen Auftraggebern und Dienstleistern erfordern und auch Anforderungen zum Umgang mit Subdienstleistern aufstellt.
• Artikel 32 DSGVO: Verpflichtung zur Implementierung angemessener technischer und organisatorischer Maßnahmen (TOMs) zur Datensicherheit.

Unternehmen müssen sicherstellen, dass alle Beteiligten der Lieferkette die DSGVO-konformen Standards einhalten, um Bußgelder und Reputationsverluste zu vermeiden.

Das Lieferkettensorgfaltspflichtengesetz (LkSG) und seine Auswirkungen

Das Lieferkettensorgfaltspflichtengesetz (LkSG) verpflichtet Unternehmen, menschenrechtliche und umweltbezogene Risiken in ihrer Lieferkette zu überwachen und zu minimieren. Datenschutzrechtlich sind dabei insbesondere die folgenden Aspekte relevant:

• Schutz personenbezogener Daten von Mitarbeitenden in der Lieferkette, im Rahmen von Kontrollen und Prüfungen
• Schutz von Mitarbeitern in der Lieferkette, um Diskriminierung aufgrund besonderer personenbezogener Daten zu vermeiden. Hierunter fallen Diskriminierung aufgrund der nationaler und ethnischer Abstammung, sozialer Herkunft, Gesundheitsstatus, Behinderung, sexueller Orientierung, Alter, Geschlecht, politischer Meinung, Religion oder Weltanschauung (vergleiche § 2 Nr. 7 LkSG und Art. 9 DSGVO)
• Nachweispflicht über datenschutzkonforme Prozesse im Rahmen der unternehmerischen Sorgfaltspflicht.

Insbesondere größere Unternehmen müssen sicherstellen, dass ihre Datenschutzmaßnahmen nicht nur intern, sondern entlang der gesamten Lieferkette umgesetzt werden.

Branchenspezifische Regelungen und internationale Datenschutzstandards

Zusätzlich zur DSGVO und dem LkSG existieren in vielen Branchen spezifische Datenschutzvorgaben, darunter:

• Finanz- und Versicherungswesen: Regelungen der DORA, sowie Anforderungen der BaFin nach MaRisk für die sichere Verarbeitung von Kundendaten.
• Industrie und Produktionsstandards: Regelungen zur Datensicherheit bei Zulieferern und zur Einhaltung von ISO 27001 zur Informationssicherheit.

Internationale Unternehmen müssen zudem Datenschutzanforderungen außerhalb der EU beachten, wie in den USA (CCPA) und China (PIPL), um Compliance-Risiken zu vermeiden.

Verantwortung von Unternehmen in der Lieferkette

Unternehmen sind nicht nur für die eigenen Datenschutzmaßnahmen verantwortlich, sondern müssen sicherstellen, dass alle Partner und Dienstleister in der Lieferkette die gleichen Standards einhalten. Die rechtlichen und vertraglichen Beziehungen zwischen Unternehmen und ihren Zulieferern bestimmen maßgeblich, wie Datenschutzrisiken gesteuert werden können.

Auftragsverarbeitung und gemeinsame Verantwortung

Eine zentrale Frage im Datenschutz der Lieferkette ist die Abgrenzung zwischen Auftragsverarbeitung und gemeinsamer Verantwortung. Während Auftragsverarbeiter gemäß Artikel 28 DSGVO weisungsgebunden handeln, sind Unternehmen in einer gemeinsamen Verantwortlichkeit verpflichtet, Datenschutzaufgaben vertraglich zu regeln.

• Auftragsverarbeitung: Externe Dienstleister wie Cloud-Anbieter oder Logistikpartner handeln ausschließlich auf Weisung des Unternehmens.
• Gemeinsame Verantwortung: Mehrere Unternehmen entscheiden gemeinsam über die Zwecke und Mittel der Datenverarbeitung, z. B. in Kooperationsnetzwerken.

Fehlende Abgrenzungen können zu Haftungsrisiken führen, weshalb klare vertragliche Regelungen erforderlich sind.

Durch das Lieferkettensorgfaltspflichtengesetz (LkSG) wird der Blick auf die Datenverarbeitung erweitert: Bisher standen vor allem Dienstleister im Fokus, die Daten zur Erfüllung eines Auftrags verarbeitet haben. Jetzt müssen auch die Datenverarbeitungen durch Mitarbeitende von Lieferanten beachtet werden – besonders dann, wenn diese Daten an den Auftraggeber zurückgegeben werden. Das ist vor allem wichtig für Nachweise, Kontrollen und wenn Maßnahmen zur Verbesserung umgesetzt werden müssen.

Technische und organisatorische Maßnahmen (TOMs) für Datenschutz

Unternehmen müssen nachweisen, dass sie geeignete technische und organisatorische Maßnahmen (TOMs) implementiert haben, um Datenschutzrisiken zu minimieren. Das LkSG fordert zusätzlich, Präventions- und Abhilfemaßnahme zu schaffen, um Menschenrechts- und Umweltverletzungen zu unterbinden. Gemeinsame Beispiel können hier sein.

• Standardisierten Auswahl- und Auditprozesses für Lieferanten: der sowohl menschenrechtliche als auch datenschutzrechtliche Kriterien prüft.
• Etablieren eines übergreifenden Hinweisgebersystems: um Hinweisen unter Wahrung der Vertraulichkeit angemessen zu bearbeiten und jegliche Complianceverstöße zu berücksichtigen.
• Regelmäßige Sicherheitsschulungen: Sensibilisierung der Mitarbeitenden und Partnerunternehmen.
• Protokollierung und Revisionssicherheit: um Prozesse Nachweis zu halten und Kontrollen zu ermöglichen.

Ein strukturiertes Datenschutzmanagementsystem (DSMS) unterstützt Unternehmen dabei, diese Maßnahmen effektiv umzusetzen und kann auch den Aufbau eines Lieferantenmanagements im Sinne des LkSG unterstützen.

Datenschutz-Risikoanalyse für die Lieferkette

Eine detaillierte Datenschutz-Risikoanalyse hilft Unternehmen, potenzielle Schwachstellen in der Lieferkette frühzeitig zu identifizieren. Diese sollte Folgendes umfassen:

• Identifikation kritischer Datenflüsse: Ermittlung, welche personenbezogenen Daten in der Lieferkette verarbeitet werden.
• Bewertung von Lieferanten: Analyse der Datenschutzkonformität von externen Dienstleistern.
• Regelmäßige Datenschutz-Checks: Durchführung von Audits und Überprüfung der Einhaltung vertraglicher Vorgaben.

Durch eine kontinuierliche Überprüfung können Datenschutzlücken erkannt und behoben werden, bevor es zu Verstößen kommt. Ähnliche Risikobewertungen aus einem anderen Blickwinkel sind auch zur Umsetzung des LkSG erforderlich (§ 5 LkSG). Daher bietet es sich an Synergien der Risikoanalysen zu nutzen und so Arbeitsaufwände zu minimieren.

Fazit

Datenschutz in der Lieferkette ist eine komplexe, aber essenzielle Aufgabe für Unternehmen, insbesondere vor dem Hintergrund der DSGVO und des Lieferkettensorgfaltspflichtengesetzes. Unternehmen müssen sich ihrer Verantwortung bewusst sein und gezielte Maßnahmen ergreifen, um Datenschutzverstöße zu vermeiden. Dazu gehören:

• Klare vertragliche Regelungen mit Partnern und Dienstleistern zur Sicherstellung der Compliance.
• Regelmäßige Audits und technische Prüfungen zur Identifikation und Behebung von Schwachstellen.
• Gezielte Schulungen für Mitarbeiter und Partner.

Unternehmen, die sich proaktiv mit Datenschutz in der Lieferkette auseinandersetzen, minimieren nicht nur rechtliche und finanzielle Risiken, sondern stärken auch das Vertrauen ihrer Kunden und Geschäftspartner und können Aufwände durch die Ausnutzung von Synergien minimieren. Eine nachhaltige Datenschutzstrategie sorgt somit für langfristige Wettbewerbsfähigkeit und Compliance.