Maritimer Datenschutz: DSGVO, Schrems II und die Compliance-Last des Reeders

In der Schifffahrt wird Datenschutz-Compliance noch immer häufig als Backoffice-Formalität behandelt, eine Seite im Sicherheitsmanagementsystem, die einmal im Jahr unterschrieben wird. Diese Annahme lässt sich immer schwerer halten. Ein modernes Handelsschiff ist ein kontinuierlicher Datenemittent: Crew-Akten fließen zu Manning-Agenturen, Krankenakten zu Hafengesundheitsbehörden, biometrische Identifikatoren zu Einreisekontrollsystemen, Telemetrie zu Motorenherstellern, ECDIS-Routen zu Charterern, und CCTV-Aufzeichnungen liegen auf einem Rekorder, den niemand dokumentiert hat. Jeder dieser Datenflüsse ist eine Verarbeitung personenbezogener Daten im Sinne der Verordnung EU 2016/679 (DSGVO), und die meisten überschreiten vor dem Mittagessen mindestens eine Grenze.

Dieser Beitrag richtet sich an die Personen, die das Problem im Reedereibetrieb tatsächlich verantworten: den Datenschutzbeauftragten, den CISO, den Fleet Manager, der die Verträge unterzeichnet, und die Rechtsabteilung, die sie prüft. Ziel ist nicht, den Wortlaut der DSGVO zu wiederholen, sondern ihn auf die operative Realität der Handelsschifffahrt im Jahr 2026 abzubilden, in der das Schrems II-Urteil, die neuen Standardvertragsklauseln, der EU Data Act und eine wachsende Zahl nationaler Öffnungsklauseln das juristische Terrain spürbar anspruchsvoller gemacht haben als noch vor fünf Jahren.

Welche Daten in einem maritimen Handelsbetrieb tatsächlich fließen

Vor jeder rechtlichen Analyse hilft eine Inventur dessen, was auf einer typischen Linie, einem Fährbetrieb oder einem Tramper tatsächlich verarbeitet wird. Die Liste ist länger, als die meisten Reeder erwarten.

• Crew-Stammdaten: vollständiger Name, Geburtsdatum, Staatsangehörigkeit, Reisepass- und Seemannsausweisnummer, nächste Angehörige, Bankverbindung, steuerlicher Wohnsitz, Vertragsbedingungen.
• Besondere Kategorien im Sinne von Artikel 9 DSGVO: arbeitsmedizinische Untersuchungen, Impfungen, Drogen- und Alkoholtest-Ergebnisse, religionsbezogene Ernährungsangaben, Gewerkschaftszugehörigkeit, soweit Tarifbindung nach MLC 2006 greift.
• Biometrische Daten: Gesichtsbilder und Fingerabdrücke für Seemannsausweise, ISPS-Zugangskontrolle und zunehmend für Hafen-Einreisekiosks.
• Charterer- und Verlader-Daten: Kontaktdaten, wirtschaftlich Berechtigte aus Sanktionsscreenings, Manifeste mit benannten Empfängern.
• Passagierdaten bei Fährbetreibern: API- und PNR-Daten nach den Richtlinien EU 2004/82 und EU 2016/681 sowie Bordverkaufsverläufe.
• Operative Telemetrie, die zu personenbezogenen Daten wird: VDR-Sprachaufzeichnungen, CCTV, Brücken-Audio, Fatigue-Wearables, Maschinenkontrollprotokolle, die einer namentlich bekannten Wachoffizierin oder einem Wachoffizier zuzuordnen sind.

Die entscheidende Frage zu jedem Fluss ist, ob der Reeder als Verantwortlicher oder als Auftragsverarbeiter handelt. Ein Reeder, der eine eigene Crewing-Plattform betreibt, ist Verantwortlicher für Crew-Daten. Ein Fährbetreiber, der API-Daten an eine ausländische Grenzbehörde übermittelt, ist ein Verantwortlicher, der an einen weiteren Verantwortlichen übermittelt. Ein Massengutreeder, der eine Drittanbieter-Wartungsplattform mit Telemetrie zu benannten Offizieren nutzt, ist Verantwortlicher mit Auftragsverarbeiter und braucht einen Vertrag nach Artikel 28. Diese Abgrenzung ist nicht akademisch: Sie bestimmt, wer der betroffenen Person antwortet, wer die Aufsichtsbehörde benachrichtigt und wer das Bußgeld zahlt.

Das Problem der besonderen Kategorien

Crew-Akten sind ungewöhnlich reich an Artikel-9-Daten. Vorbeschäftigungs-Tauglichkeitsuntersuchungen sind nach STCW und MLC 2006 Norm A1.2 verpflichtend. Impfungen sind auf vielen Routen erforderlich. Drogen- und Alkoholtests sind unter den meisten Flaggen vertraglich vorgesehen. Religionsbezogene Ernährungswünsche und Familienkonstellationen tauchen routinemäßig in Catering- und Notfallkontaktformularen auf. Biometrische Identifikatoren, einst eine Kuriosität, sind heute Standard in jedem Hafen, der seine Einreiseprozesse digitalisiert hat.

Nach der DSGVO ist die Verarbeitung dieser Kategorien grundsätzlich untersagt, sofern keine spezifische Rechtsgrundlage nach Artikel 9 Absatz 2 einschlägig ist. Für die Schifffahrt am relevantesten sind die ausdrückliche Einwilligung (lit. a, im Beschäftigungskontext wegen des Machtgefälles selten tragfähig), arbeits- und sozialrechtliche Pflichten (lit. b), lebenswichtige Interessen (lit. c), erhebliches öffentliches Interesse auf mitgliedstaatlicher Rechtsgrundlage (lit. g) und Arbeitsmedizin (lit. h). Die meisten Reeder werden lit. b für Untersuchungen und ISPS-Biometrie heranziehen, doch diese Grundlage trägt nur, wenn die zugrundeliegende Pflicht im Unionsrecht oder im Recht eines Mitgliedstaats verankert und die Verarbeitung verhältnismäßig ist. Dokumentation zählt: Die Datenschutz-Folgenabschätzung nach Artikel 35 ist bei systematischer Überwachung von Seeleuten oder bei biometrischer Identifizierung nicht optional, was mehrere Aufsichtsbehörden, darunter die Datenschutzkonferenz des Bundes und der Länder, ausdrücklich klargestellt haben.

Drittlandübermittlung: Flagge, Hafen, Charterer

Eine einzige Reise kann dieselbe Crew-Akte innerhalb einer Woche durch fünf Jurisdiktionen bewegen. Die Seefrau wird über eine Agentur auf den Philippinen angeworben, von einer maltesischen Single-Ship-Gesellschaft angestellt, fährt auf einem Schiff unter liberianischer Flagge, läuft einen französischen Hafen an und ist an eine Gegenpartei mit Sitz in Singapur verchartert. Jeder Abschnitt kann eine Übermittlung im Sinne von Kapitel V sein.

Anwendbar ist das Gefüge der Artikel 44 bis 49 DSGVO. Eine Übermittlung in ein Land mit Angemessenheitsbeschluss (Vereinigtes Königreich, Schweiz, Japan, Südkorea, EU-US Data Privacy Framework, solange in Kraft) bedarf keines weiteren Instruments. Eine Übermittlung in jedes andere Land erfordert eine Garantie nach Artikel 46, in der Praxis die Standardvertragsklauseln 2021 (Durchführungsbeschluss EU 2021/914), ergänzt um zusätzliche technische und organisatorische Maßnahmen, soweit erforderlich. Ausnahmen nach Artikel 49 existieren, sind aber eng auszulegen und nicht systematisch nutzbar.

Die operative Krux in der Schifffahrt: Die Vertragskette stimmt selten mit der Datenkette überein. Die Charter Party kann englischem Recht unterliegen, der Heuervertrag philippinischem Recht, die Flaggenverwaltung führt eventuell ein eigenes Seemannsregister, und der Anlaufhafen kann Auskunft auf Grundlage seines eigenen Einwanderungsrechts erzwingen. Der Reeder muss jede Übermittlung gesondert kennen, dokumentieren und rechtfertigen.

Schrems II im Schifffahrtskontext

Das Urteil des Gerichtshofs Data Protection Commissioner gegen Facebook Ireland und Maximillian Schrems (Rechtssache C-311/18, 16. Juli 2020) hat durch das EU-US Data Privacy Framework nicht an Bedeutung verloren. Die Argumentation gilt, sobald Daten den Europäischen Wirtschaftsraum verlassen, und die EDSA-Empfehlungen 01/2020 zu zusätzlichen Maßnahmen bleiben die Arbeitsgrundlage. Für einen Reeder ergeben sich konkrete Folgen.

• Transfer-Folgenabschätzungen sind für nicht angemessene Zielländer erforderlich. Die Prüfung muss das Recht des Ziellands einschließlich staatlicher Zugriffsregime einbeziehen, nicht nur die vertraglichen SCC.
• Zusätzliche Maßnahmen sind typischerweise Verschlüsselung mit im EWR gehaltenen Schlüsseln, Pseudonymisierung, geteilte Verarbeitungsarchitekturen und vertragliche Verpflichtungen, Auskunftsersuchen anzufechten.
• Unterauftragsverarbeiter zählen ebenso wie direkte Auftragsverarbeiter. Eine in Frankfurt gehostete Crewing-Plattform, deren Support ein US-Unternehmen mit Fernzugriff stellt, exportiert in der Sache Daten.

Nichts davon ist schifffahrtsspezifisch, doch die multinationale Zusammensetzung der Besatzungen und die routinemäßige Beteiligung von Charterern außerhalb des EWR machen die Analyse häufiger und unausweichlicher als in vielen anderen Branchen.

Warum EU-Datenresidenz in der Praxis zählt

Datenresidenz und Datenschutz sind nicht dasselbe, und ein EU-Hosting allein löst kein Schrems-II-Problem, wenn eine Muttergesellschaft außerhalb des EWR zur Herausgabe gezwungen werden kann. Doch die Residenz in der Union bleibt eine wirksame erste Verteidigungslinie für europäische Operatoren. Sie verkleinert die Übermittlungsfläche, vereinfacht TIAs und entspricht den Erwartungen der Aufsichtsbehörden, von der französischen CNIL über die spanische AEPD bis zur italienischen Garante und zur niederländischen Autoriteit Persoonsgegevens, die für sensible Beschäftigtendaten allesamt eine Verarbeitung im EWR favorisieren.

Der EU Data Act, anwendbar seit dem 12. September 2025, fügt eine weitere Dimension hinzu. Er gewährt Nutzern vernetzter Produkte, einschließlich industrieller Anlagen, Zugriffs- und Portabilitätsrechte an den von ihnen erzeugten Daten. Für Reeder bedeutet das einen klareren Hebel auf Motoren- und Anlagendaten in den Händen der Hersteller, aber auch eigene Pflichten, wenn der Reeder selbst Daten für Dritte hält. Eine europäische Infrastruktur erleichtert die Umsetzung dieser Rechte.

Die Fragmentierungssteuer

Die meisten Reeder, mit denen wir sprechen, betreiben zwischen vier und acht digitale Systeme, die personenbezogene Daten berühren: eine Crewing- oder HR-Plattform, ein Planned Maintenance, ein Beschaffungsportal, ein Port-Call-Tool, ein Voyage-Performance, manchmal eine separate Lohnbuchhaltung, manchmal eine separate medizinische Plattform. Einzeln sind sie beherrschbar. Zusammen erzeugen sie das, was wir die Fragmentierungssteuer nennen.

• Fünf Anbieter bedeuten fünf Auftragsverarbeitungsverträge, jeder mit eigener Liste an Unterauftragsverarbeitern, eigener Meldeklausel und eigenem Auditrecht.
• Fünf Listen von Unterauftragsverarbeitern, die zu beobachten sind. Viele Reeder erfahren erst nach einem Vorfall, dass ein Auftragsverarbeiter sechs Monate zuvor in eine andere Cloud-Region gewechselt ist.
• Fünf Meldeketten. Artikel 33 verpflichtet den Verantwortlichen, die Aufsichtsbehörde innerhalb von zweiundsiebzig Stunden zu informieren. Wenn der Auftragsverarbeiter achtundvierzig Stunden braucht, bleiben vierundzwanzig.
• Fünf Sätze von Zugriffsprotokollen, die zusammenzuführen sind, wenn eine betroffene Person Rechte aus den Artikeln 15 bis 22 ausübt.
• Fünf unterschiedliche Sicherheitsbaselines, oft ohne vergleichbare Nachweisbasis. ISO 27001 bei einem Anbieter, SOC 2 beim nächsten, eine ungeprüfte Selbstauskunft beim dritten.

Die Fragmentierungssteuer wird nicht in Bußgeldern bezahlt. Sie wird in DSB-Stunden, in Anwaltsgebühren, in verzögerten Projekten und im langsamen Verlust der Gewissheit bezahlt, dass der Reeder tatsächlich weiß, wo seine Crew-Daten leben.

Eine praktische Compliance-Checkliste für Reeder

Im Folgenden steht, wie ein glaubwürdiges Programm im Jahr 2026 aussieht. Nichts davon ist nach der DSGVO optional, aber die Tiefe der erforderlichen Nachweise skaliert mit der Sensibilität der Daten und der Größe des Betriebs.

1. Vollständiges Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 führen, mit jedem Crew-, Charterer- und Telemetriefluss, identifizierter Rechtsgrundlage, festgelegter Speicherfrist und benannten Empfängern. Bei jedem neuen Anbieter aktualisieren.
2. DSFA durchführen bei jeder systematischen Überwachung von Seeleuten, biometrischen Verarbeitung, Fatigue-Tracking oder umfangreichen Verarbeitung besonderer Kategorien. Bei hohem Restrisiko die Aufsichtsbehörde konsultieren.
3. Transfer-Folgenabschätzungen durchführen für jedes nicht angemessene Zielland, einschließlich Unterauftragsverarbeitern. Die Analyse aufbewahren.
4. Verträge nach Artikel 28 verhandeln, die zur Realität passen. Auf EWR-Hosting für sensible Daten bestehen, auf Verschlüsselung mit reederkontrollierten Schlüsseln, auf ein klares Verfahren zum Wechsel von Unterauftragsverarbeitern mit Widerspruchsrecht und auf eine Meldefrist von vierundzwanzig Stunden statt der regulatorischen Obergrenze.
5. Rechtsgrundlage für jede Artikel-9-Verarbeitung dokumentieren und die mitgliedstaatliche Norm benennen, die sie trägt. Generische Verweise auf lit. b genügen nicht.
6. Eine einheitliche Datenschutzinformation für Seeleute erstellen, die den gesamten Lebenszyklus von der Anwerbung bis zur Repatriierung in einer für die Person verständlichen Sprache abdeckt, und sie bei jeder Vertragsverlängerung überprüfen.
7. Das Register der Unterauftragsverarbeiter live führen, nicht jährlich. Änderungsbenachrichtigungen abonnieren und den Abgleich, wo möglich, automatisieren.
8. Das Vorfall-Playbook testen. Eine Tabletop-Übung pro Jahr, mit den Auftragsverarbeitern im Raum, deckt Zeitprobleme auf, bevor es ein echter Vorfall tut.
9. Wo möglich konsolidieren. Jeder gestrichene Anbieter ist ein DPA weniger, eine Liste weniger, eine Meldekette weniger. Konsolidierung ist keine Beschaffungsentscheidung, sondern eine Datenschutzentscheidung.

Wie ein guter Stand aussieht

Ein Reeder, dessen Datenschutzprogramm unter Kontrolle ist, kann vier Fragen schriftlich, in weniger als einem Arbeitstag und ohne Panik beantworten. Wo lebt jede Kategorie von Crew-, Charterer- und Telemetriedaten, und unter wessen Kontrolle. Was ist die Rechtsgrundlage für jede Verarbeitung, und welche mitgliedstaatliche oder drittstaatliche Norm trägt sie. Welche Übermittlungen verlassen den EWR, unter welcher Garantie und mit welcher TIA hinterlegt. Wie würde eine Verletzung erkannt, eingedämmt, der Aufsichtsbehörde innerhalb von zweiundsiebzig Stunden gemeldet und betroffenen Seeleuten unverzüglich mitgeteilt.

Sind diese vier Antworten sauber, fügt sich der Rest des DSGVO-Apparats von Auskunftsersuchen bis Verarbeitungsverzeichnis weitgehend von selbst. Sind sie es nicht, ersetzt keine noch so umfangreiche Policy-Dokumentation die zugrundeliegende Datenarchitektur.

Wie SupaMaritime das Problem angeht

SupaMaritime ist für europäische Handelsoperatoren gebaut, die weniger Anbieter, eine in der EU residente Infrastruktur und eine einheitliche Datenschutzhaltung über den gesamten Betrieb hinweg wollen. Die Plattformmodule decken Fähr-, Mercantile- und Hafenagentenprozesse auf einem gemeinsamen Datenmodell ab, was die Mehrzahl der intersystemischen Datenflüsse, die die Fragmentierungssteuer treiben, eliminiert. Hosting und Primärverarbeitung erfolgen im EWR, Verschlüsselungsschlüssel sind reederkontrollierbar, und Wechsel von Unterauftragsverarbeitern werden notifiziert, nicht in einer Fußnote begraben. Unsere Sicherheits- und Vertrauenshaltung ist unter /de/security veröffentlicht, ein Überblick zur modularen Architektur unter /de/modules, und die spezifischen Workflows unter /de/ferry, /de/merchant und /de/agent. Nichts davon ersetzt eine kompetente Datenschutzbeauftragte oder einen Datenschutzbeauftragten, aber es macht deren Arbeit handhabbar statt heroisch.