Datenschutz im Maschinenraum

Ein Messwert aus einer Anlage ist für sich genommen kein personenbezogenes Datum. Temperatur, Schwingung und Laufzeit beschreiben eine Maschine. Personenbezogen wird die Sache erst durch die Verbindung: Wer hat in dieser Schicht an dieser Anlage gearbeitet, wer hat den Auftrag gefahren, wessen Nummer steht an der Werkzeugausgabe? Diese Verbindung entsteht selten absichtlich. Sie entsteht, weil zwei Listen nebeneinanderliegen und jemand sie zusammenführt.

Wann wird ein Messwert personenbezogen?

Es hilft, drei Sorten von Daten zu trennen. Anlagendaten beschreiben den Zustand der Maschine: Temperatur, Schwingung, Betriebsstunden, Störmeldungen. Prozessdaten beschreiben den Auftrag: Losgröße, Material, Programmnummer, Prüfergebnis. Beschäftigtendaten ordnen einen Vorgang einer Person zu, und diese Zuordnung entsteht meist über eine Kennung, etwa eine Anmeldung an der Maschine, eine Zutrittskarte, eine Werkernummer oder einen Schichtplan.

Der Personenbezug muss nicht in derselben Datei stehen. Es reicht, dass sich die Verbindung herstellen lässt. In einem Betrieb, in dem eine Schicht mit einer Person besetzt ist, zeigt die Schichtnummer auf genau eine Person. Der Schichtbezug ist dort bereits der Personenbezug, auch wenn nirgends ein Name auftaucht.

Damit stellt sich die Frage nach dem Zweck. Wer einen Sensor einbaut, um einen Lagerschaden früh zu erkennen, sammelt Daten für die Instandhaltung. Taucht dieselbe Messreihe später in einem Gespräch über die Leistung einer Person auf, ist das ein anderer Zweck, und der braucht eine eigene Grundlage. Diese Zweckbindung ist keine Formalie: Sie entscheidet mit, welche Felder überhaupt erfasst werden.

Wo die Daten verarbeitet werden, gehört zu derselben Frage. Ein Gerät im Schaltschrank bedeutet etwas anderes als ein Dienst, der Messwerte auf einem fremden Server auswertet. Was sich dadurch ändert, beschreibt der Beitrag über die Verarbeitung direkt an der Maschine.

Wann wird aus Messwerten Kontrolle?

Sobald eine Auswertung Verhalten oder Leistung einer Person betrifft, wird aus einem Datenschutzthema eine Frage der Mitbestimmung. Typische Fälle sind Stückzahlen je Bedienperson, Stillstandszeiten je Schicht, Anmeldezeiten am Terminal oder eine Rangliste der Rüstzeiten. Auch eine gut gemeinte Auswertung landet in dieser Kategorie, sobald einzelne Personen erkennbar sind.

Drei Fragen lassen sich vorher stellen. Wird das Ergebnis einer Person zugeordnet oder einer Schicht, einer Maschine, einem Auftrag? Wer sieht es: die Meisterin, die Geschäftsführung, alle mit Zugang zum Dashboard? Und was folgt daraus: eine Information für die Planung oder eine Beurteilung?

Wie weit eine Zuordnung im Einzelfall zulässig ist, klärt der Betrieb mit der zuständigen Aufsichtsbehörde oder seiner Rechtsberatung. Eine pauschale Antwort gibt es nicht. Sie hängt am Zweck, an der Erforderlichkeit, an der vorherigen Information der Beschäftigten und an der Rolle ihrer Vertretung.

Ein zweiter Fall kommt hinzu, wenn ein System bewertet oder vorhersagt, statt nur anzuzeigen: etwa eine Ausfallwahrscheinlichkeit mit Personenbezug oder eine automatische Einstufung. Dann können zusätzliche Pflichten greifen. Die Fragen dazu sortiert der Beitrag darüber, welche Systeme ein Betrieb zuerst erfassen muss.

Welche Daten braucht die Entscheidung wirklich?

Die wirksamste Datenschutzmaßnahme in der Produktion ist oft eine kleinere Abfrage. Wer wissen will, warum eine Anlage steht, braucht den Maschinenzustand und den Zeitpunkt, nicht die Person am Bedienpult. Wer wissen will, ob eine Rüstschulung fehlt, braucht dagegen den Namen. Die Entscheidung bestimmt die Felder, nicht die Technik.

Praktisch heißt das: Felder werden vor der Einrichtung festgelegt und nicht nachträglich beschnitten. Wer eine Kennung mitschreibt, sollte vorher aufschreiben, wofür. Und wer Rohdaten sieht, sollte nicht automatisch jede Auswertung sehen. Der richtige Zeitpunkt für diese Fragen ist die Planung, nicht der Betrieb. Ist ein Sensor erst montiert und ein Dashboard erst verteilt, wird jede Einschränkung zur Rückabwicklung. Zugriffsrechte sind zuerst eine Sicherheitsfrage; wie ein kleiner Betrieb sie ohne eigene Sicherheitsabteilung ordnet, beschreibt der Leitfaden zum Basisschutz mit wenigen Personen.

Ein verwandter Punkt: Wenn aus Anlagendaten ein Modell wird, das den Zustand einer Maschine über die Zeit abbildet, wandern Personenkennungen leicht mit hinein, weil sie im Datenexport enthalten waren. Was ein solches Modell leisten kann und wo seine Pflege endet, steht in dem Beitrag darüber, warum ein digitales Abbild einen benannten Prozess braucht.

Wie sieht eine kleine Datenflusskarte aus?

Eine Datenflusskarte ist eine Tabelle mit sieben Spalten: Quelle, Inhalt, Zweck, Empfänger, Speicherort, Löschfrist und verantwortliche Person. Sie wird je Datenart ausgefüllt und nicht je Gerät. Für einen Betrieb, der zwei Sensoren nachrüstet, sind das schnell fünf Zeilen, und genau das ist die brauchbare Größe.

Im Beispielbetrieb, einem fiktiven Zerspanungsbetrieb, ist die Karte unangenehm eindeutig. Die Werkzeugausgabe erfasst über die Ausweisnummer, wer welches Werkzeug geholt hat. Der Zweck war die Nachverfolgung von Werkzeugschäden. In der Karte stehen daneben zwei weitere Empfänger: die Schichtplanung und die Auswertung der Rüstzeiten. Mit dem ursprünglichen Zweck haben beide nichts zu tun. Solche Funde sind der Normalfall, und sie sind der Grund, warum die Karte vor der Einführung entsteht und nicht danach.

Die Karte hat einen Nebeneffekt, der in der Praxis mehr bewirkt als das Dokument selbst. Wer sie ausfüllt, muss die Empfänger benennen, und dabei fällt auf, wer alles Zugriff hat: der Dienstleister für die Softwarewartung, das Steuerbüro, die Person, die einen Export für eine Auswertung zieht. Ein Zugriff, der niemandem mehr nützt, ist der günstigste Punkt zum Streichen.

Zwei Punkte gehören in jede Karte. Erstens die Löschfrist: Wie lange bleibt eine Zuordnung erhalten, und was passiert beim Austritt einer Person? Zweitens die Frage nach Testdaten. Ein Auszug aus Produktionsdaten, der in einer Testumgebung liegt, enthält dieselben Personenkennungen wie das Original und ist damit nicht harmlos. Wie eine solche Karte mit Verzeichnis, Zweck und Löschung zusammenspielt, erklärt der Leitfaden dazu, wie ein Team seine Datenflüsse sichtbar macht.

Die Antwort auf die Ausgangsfrage lautet damit: Ein Messwert wird personenbezogen, sobald sich eine Handlung einer Person zuordnen lässt, und in kleinen Betrieben reicht dafür häufig schon der Schichtbezug. Die Karte zeigt, an welcher Stelle das passiert. Offen bleibt die Bewertung des Einzelfalls. Ob eine Zuordnung zulässig ist, lässt sich nicht pauschal beantworten; sie gehört zur Prüfung durch den Betrieb und im Streitfall zur Bewertung durch die zuständige Aufsichtsbehörde. Und die Löschfristen sind der Teil, den niemand überprüft, solange niemand nachfragt.