Datenschutz bei Gebäudedaten

Daten aus der Gebäudetechnik sind nicht per se personenbezogen. Die Vorlauftemperatur eines Kessels sagt nichts über Menschen aus. Sobald jedoch Daten einer Wohnung oder einem Haushalt zugeordnet werden können und ihr Verlauf Rückschlüsse auf Verhalten zulässt, ändert sich die Einordnung. Ein fein aufgelöstes Verbrauchsprofil zeigt Anwesenheit, Tagesabläufe, Duschzeiten und Urlaube. Präsenzmelder, Türkontakte und Kameras erst recht.

Damit greifen die Anforderungen der Datenschutz-Grundverordnung: Es braucht eine Rechtsgrundlage für die Verarbeitung, eine Zweckbindung, Transparenz gegenüber den Betroffenen, Datenminimierung, Löschkonzepte und Regelungen zu Auftragsverarbeitung, wenn Dienstleister eingebunden sind. Die konkrete Bewertung hängt vom Einzelfall ab – von Auflösung der Daten, Zuordenbarkeit, Zweck und Empfängerkreis – und ist im Zweifel rechtlich zu prüfen. Grundlagen dazu finden sich unter DSGVO im Handwerk.

Betroffen sind Elektrobetriebe und SHK-Betriebe, die Anlagen mit Fernzugriff errichten und betreuen, sowie alle, die Monitoring- oder Serviceverträge anbieten.

Bezug zur Digitalisierung

Die praktische Frage lautet meist nicht, ob Daten erhoben werden dürfen, sondern in welcher Auflösung und zu welchem Zweck. Ein Tageswert für den Wärmeverbrauch eines Gebäudes ist etwas anderes als ein Minutenwert je Wohnung. Für die Anlagenoptimierung reicht häufig eine gröbere Auflösung, als technisch möglich wäre – Datenminimierung ist hier nicht nur eine Pflicht, sondern auch praktisch sinnvoll, weil sie den Erklärungsbedarf senkt.

Klärungsbedürftig ist die Rollenverteilung. In einem Mietobjekt ist der Eigentümer oder Verwalter Betreiber der Anlage, die Bewohner sind Betroffene, und der Handwerksbetrieb ist Dienstleister. Wer welche Daten zu welchem Zweck verarbeitet, gehört in den Vertrag – einschließlich der Frage, ob eine Auftragsverarbeitung vorliegt. Bei Anlagen mit Herstellercloud kommt ein weiterer Beteiligter hinzu, dessen Rolle und Serverstandort ebenfalls zu betrachten sind.

Werden Anlagendaten für KI-Auswertungen genutzt, kommt eine zusätzliche Ebene hinzu. Zweckänderungen – etwa die Nutzung von Betriebsdaten zur Verbesserung eigener Prognosemodelle – sind nicht automatisch von der ursprünglichen Grundlage gedeckt. Auch die Anforderungen aus dem EU AI Act sind zu beachten, wobei die Verpflichtung zur KI-Kompetenz nach Artikel 4 durch die Änderungen des Digital Omnibus als Förderpflicht ohne eigenen Bußgeldtatbestand ausgestaltet ist.

Praktisch bewährt sich ein einfacher Zuschnitt: Nur erheben, was für den vereinbarten Zweck gebraucht wird, die Auflösung so grob wie möglich wählen, Zugriffe protokollieren und dem Kunden schriftlich darlegen, was erfasst wird und wer es sieht. Das ist weniger Aufwand als die nachträgliche Klärung, wenn ein Bewohner fragt, warum sein Duschverhalten in einem Portal steht.