Kaffee mit einem Schuss Transparenz – Datenschutz beim Tracing von Herstellungsbedingungen

Datenschutzaspekte beim Tracing von Herstellungsbedingungen

Was hat die DSGVO mit den Kaffeepflückenden in Äthiopien zu tun?[1] Auf den ersten Blick nichts. Doch wenn Anbieterinnen und Anbieter deren Daten zum Tracing von Herstellungsbedingungen nutzen, kommt unter Umständen europäisches Datenschutzrecht zur Anwendung.

Sowohl bei Kundinnen und Kunden als auch bei Unternehmen spielt das Thema Nachhaltigkeit, insbesondere Aspekte wie faire Herstellung und Regionalität, eine immer größere Rolle. Sicherstellung der Nachhaltigkeit von Produkten kann jedoch nicht nur zum Wettbewerbsvorteil werden, sondern Unternehmen auch bei der Erfüllung rechtlicher Pflichten helfen. In verschiedenen Ländern gelten für Unternehmen bereits Überwachungs- und Berichtspflichten entlang globaler Lieferketten. Deutschland steht vor dem Erlass entsprechender Regelungen.  

Anbau: Datengestützte Lösungen zur Prüfung der Herstellungsbedingungen

Um Umwelt- oder Menschenrechtsverletzungen und Arbeitsbedingungen von der Herstellung bis zur Vermarktung erkennen und verfolgen – und damit die gesetzlichen Vorgaben einhalten – zu können, muss man vor allem eins tun: Genauer hinsehen. Unternehmen könnten dafür auf datengestützte Lösungen zurückgreifen.

Datengetriebene Lösungen zur Warenverfolgung auf dem Lieferweg gibt es schon seit Längerem. Erste Anbieter gehen jedoch einen Schritt weiter und bieten (ggf. zusätzlich) Informationen zu den Herstellungsbedingungen der Waren. Der Prozess läuft bei vielen dieser Anbieterinnen und Anbieter ähnlich ab. Sie kombinieren und überprüfen Daten aus mehreren Quellen, um herauszufinden, von wem, wo und wie ein Produkt hergestellt wurde. Hierbei sind – in Abhängigkeit von den verfügbaren Daten – zahlreiche Einsatzfelder denkbar, z.B.:

• Durch eine Einsichtnahme in offizielle Meldedokumente zu den Beschäftigten einer Fabrik und eine Auswertung der Aufnahmen aus der dort installierten Videoüberwachung lassen sich Rückschlusse darauf ziehen, wie viele Leute, welcher Altersklassen dort arbeiten. So kann überprüft werden, ob die Realität mit der offiziellen Dokumentation übereinstimmt und lokale Arbeitsschutzgesetze eingehalten werden.
• Im Fischfang kann mit GPS-Daten der tatsächliche Fangort ermittelt werden, um herauszufinden, ob der Fang – wie offiziell angegeben – in legalen Fischereigebieten stattfand.

Vereinzelte Anbieter gehen noch gründlicher vor und lassen sich die gewonnenen Erkenntnisse durch die Arbeiterinnen und Arbeiter bestätigen (z.B. über einen Fragebogen in einer App).

Die Durchführung solcher Prüfungen durch private Anbieterinnen und Anbieter bietet sich vor allem in Schwellen- und Entwicklungsländern an, in denen es teilweise an der staatlichen Infrastruktur zur wirksamen Durchsetzung der rechtlichen Standards fehlt. Datengestützte Lösungen könnten diesen strukturellen Mangel im Kleinen schließen.  

Ernte: Prüfung anhand personenbezogener Daten

Die Tracing-Anbieter verarbeiten bei der Prüfung in der Regel personenbezogene Daten (z.B. Meldedokumente, Befragungen, Videoaufnahmen).

Je nach Art der angebotenen Tracing-Lösung ist der Personenbezug auch für das jeweilige Unternehmen erkennbar. Wird ein Prüfbericht zur Verfügung gestellt, kann sich aus dem Bericht (z.B. zur Ernte durch Kleinstfarmbetriebe) mit Hilfe eigener Lieferdokumente des Unternehmens möglicherweise ein Zusammenhang zu einzelnen Farmern und deren täglichem Arbeitsleben herstellen lassen.

Ein solcher Zusammenhang muss nicht auf den ersten Blick ersichtlich sein. Auch eine vergebene Tracing-Nummer, mit der sich ein einzelner dem Unternehmen unbekannter Arbeiter oder eine Arbeiterin bei der Ernte verfolgen lässt, könnte ein personenbezogenes Datum sein. Entscheidend ist, ob das Unternehmen (z.B. mithilfe des Tracing-Anbieters) die betroffene Person identifizieren kann. Dies ist stets anhand des Einzelfalls (Art der Lösung, Beziehung zwischen Anbieterin oder Anbieter und Nutzerin oder Nutzer) zu bestimmen.  

Aufbereitung: Anwendbarkeit der DSGVO

Werden personenbezogene Daten verarbeitet, stellt sich die Frage nach der Anwendbarkeit der DSGVO. Der Gedanke, dass beispielsweise ein Fabrikarbeiter im Schwellenland von europäischem Recht geschützt wird, kann auf den ersten Blick überraschend sein. Die Regelungen zum Anwendungsbereich der DSGVO können jedoch auch dann zur Geltung europäischer Datenschutzstandards führen, wenn der Fabrikarbeiter selbst keine Beziehungen zur EU hat.

Die Anwendbarkeit der DSGVO ist für Tracing-Anbieter und deren Kunden getrennt zu ermitteln.  

Verarbeitung: Verteilung datenschutzrechtlicher Verantwortlichkeiten

Über die datenschutzrechtliche Beziehung zwischen Tracing-Anbieter und Kunden-Unternehmen kann nur die konkrete Tracing-Lösung Aufschluss geben. Die Einordnung ist wichtig, weil sie Auswirkungen auf die Rechtmäßigkeitsprüfung hat und je nach Beziehung der Abschluss datenschutzrechtlicher Vereinbarungen erforderlich ist.

Zumeist werden die Unternehmen, die die Prüfung veranlassen, als Verantwortliche i.S.d. DSGVO gelten und die Compliance-Last hauptsächlich tragen. Dafür spricht, dass sie die wesentliche Entscheidung über den Zweck der Verarbeitung treffen, indem sie die Prüfung konkreter Hersteller veranlassen. Der Tracing-Anbieter dürfte dann als weisungsabhängiger Auftragsverarbeiter tätig werden.

Diese Rollenverteilung kann jedoch im Einzelfall anders sein. Verfolgen sowohl Tracing-Anbieter als auch Unternehmen jeweils eigene Zwecke beim Tracing (z.B. Vertrieb der Prüfergebnisse an mehrere Kundinnen und Kunden einerseits und Erfüllung gesetzlicher Berichtspflichten andererseits), spräche dies für eine individuelle oder sogar gemeinsame Verantwortlichkeit der Beteiligten.  

Zubereitung: DSGVO-Pflichten

Sowohl Verantwortliche als auch Auftragsverarbeiter treffen bei Anwendbarkeit der DSGVO eigene Pflichten. Diese umfassen Informationspflichten gegenüber Betroffenen, Dokumentationspflichten, die Pflicht zum Ergreifen geeigneter technischer und organisatorischer Schutzmaßnahmen, einschließlich solcher zur Absicherung etwaiger Drittlandtransfers.

Der Verantwortliche muss ferner sicherstellen, dass für die Datenverarbeitung eine wirksame Rechtsgrundlage vorhanden ist. Je nach konkreter Ausgestaltung eines Lieferkettengesetzes, könnte die Datenverarbeitung z.B. für die Erfüllung entsprechender gesetzlicher Überwachungs- und Berichtspflichten erforderlich sein.

Insgesamt können Tracing-Lösungen eine große Hilfe für Unternehmen darstellen, ihren gesetzlichen Pflichten nachzukommen. Vor Inbetriebnahme einer solchen Lösung sollte geprüft werden, ob und wie ein datenschutzkonformer Einsatz möglich ist.

[1]Äthiopien gilt als das Ursprungsland der Kaffeepflanze und ist noch heute eines der bedeutendsten Anbauländer. Die größten Kaffeeexportländer sind jedoch heute Brasilien, Vietnam und Kolumbien. Quelle: United States Department of Agriculture Foreign Agricultural Service, Coffee: World Markets and Trade, 2019/20 Forecast Overview.