ich arbeite bei einem Dienstleister, der unter anderem auch Konstruktionszeichnungen vom Auftraggeber erhält, da diese für die Leistungserbringung in unseren WV/DV notwendig sind.
Jetzt sind in diesen Zeichnungen auch die Namen der jeweiligen Konstrukteure enthalten. Wenn wir die Konstruktionszeichnung nun bei uns verwenden/verarbeiten, muss ich dann diese Fälle (da pers.bez. Daten des Konstrukteurs) ebenfalls in mein Verarbeitungsverzeichnis aufnehmen, oder nicht. Ändert sich die Bewertung, wenn wir die Daten im Rahmen unseres Auftrag (kein eigenes Interesse, keine eigene Nutzung der Daten) an andere Dienstleister weitergeben?
Bislang war mein Verständnis, dass wir ja als Auftragsverarbeiter tätig sind. Verantwortliche Stelle für die Daten bleibt der Auftraggeber. Somit haben ich solche Fälle bislang nicht betrachtet bzw. nicht in unser Verfahrensverzeichnis aufgenommen.
Nun kommen jedoch unterschiedliche Interpretationen des Sachverhalts auf, so dass ich eine “neutrale” Meinung ganz hilfreich finde.
Als erstes würde ich einen Blick auf die Definition des Auftragsverarbeiters werfen.
Dabei handelt es sich um jemanden der im Auftrag für jemanden etwas mit den Daten macht (einfach fomuliert). Dabei ist es wichtig, dass die Daten nicht nur ein Nebeneffekt oder Mittel zum Zweck sind (z.B. der Handwerker der im Auftrag des Vermieters etwas in der Wohnung des Mieters repeariert - er braucht dafür die Adresse/Daten des Mieters). Zudem ist ein Zugang zu den Daten nicht ausgeschlossen (z.B. IT-Wartung mit Zugriff auf die Server).
Mein Eindruck bei euch wäre, dass die Namen auf den Dokumenten nur Nebenzweck sind und nicht die Hauptaufgabe. Oder macht ihr was mit den Namen der Konstrukteure?
Daher kann man es in meinen Augen zwar aufnehmen ins VVT aber es ist keine Auftragsverarbeitung.
Eine Lösungsidee wäre, auf den Dokumenten die Namen zu anonymisieren / pseudonymisieren.
Was die Weitergabe angeht, stellt sich hier die Frage brauchen die Unterauftragnehmer diese Daten oder reicht die Zeichnung egal von wem sie kommt?
Also Fazit nach erstem Eindruck nicht so kritisch - aber ich würde wenn die Daten nicht benötigt werden diese vermeiden also den Grundsatz der Datenminimierung durch den Auftraggber umsetzen lassen.
vielen Dank für die Einschätzung. Die Namen der Konstrukteure sind in der Tat nur “Beiwerk”. Der Name ist für uns völlig uninteressant und wird auch nicht weiter verwendet/beachtet. Uns interessiert nur die CAD-Zeichnung des konstruktiven Teils.
Anonymisierung ist wohl scheinbar zu aufwändig, da die Daten direkt aus den Systemen kommen und dann digital weiter übermittelt werden, könnte ich aber nochmal prüfen lassen.
das Thema ist spannend! Wir erstellen ebenfalls Zeichnungen mit Namen des Zeichners. Normalerweise wird dieses Feld jedoch rein für die interne Zeichnungsverwaltung mit Suchfunktion verwendet.
Genauso enthalten ja manche Office Dokumente den Windows-Anmeldenamen in den Dokumenteneigenschaften. Wie genau ist dies zu bewerten? Sollte dies bestenfalls pseudonymisiert werden? Was genau bedeutet “Urheberrecht” bei der Erstellung von Unterlagen während der Arbeitszeit? Ich ginge immer davon aus, dass sich Firmen die Rechte - für von Mitarbeitern erstellte Unterlagen - sichern?
Wirklich spannend. Mich beschäftigt in der Tat noch die Bewertung ob ein Bestandteil der Daten auch Bestandteil der Verarbeitung ist und wie/ob hier eine Trennung sauber durchführbar ist.