Ein Facility Manager rĂŒstet Bewegungsmelder nach, um die Reinigung bedarfsgerecht zu steuern. Wenige Wochen spĂ€ter fragt der Betriebsrat, warum niemand vorab informiert wurde, dass sich damit auch nachvollziehen lĂ€sst, wer wann welchen Raum betreten hat. Die Technik war nie als Ăberwachung gedacht, aber genau darauf kommt es datenschutzrechtlich nicht an.
Genau das ist der Kern des Problems bei Smart Buildings: Die Grenze zwischen nĂŒtzlicher Betriebsdatenerfassung und personenbezogener Ăberwachung verlĂ€uft nicht am GerĂ€t, sondern an dem, was sich aus den Daten ableiten lĂ€sst. Wer diese Grenze nicht kennt, riskiert BuĂgelder, blockierte Rollouts und Konflikte mit der Belegschaft, gerade dann, wenn die Digitalisierung eigentlich Vorteile bringen sollte.
Warum werden aus Betriebsdaten plötzlich personenbezogene Daten?
Die DSGVO greift immer dann, wenn sich Daten auf eine identifizierte oder identifizierbare Person beziehen lassen. Bei klassischer GebĂ€udetechnik wie Heizung, LĂŒftung oder Brandmeldeanlage ist das selten der Fall, denn dort geht es um physikalische Messwerte ohne Personenbezug. Sobald jedoch Anwesenheit, Bewegung, Aufzugnutzung oder Zutritt erfasst werden, verĂ€ndert sich die rechtliche Einordnung grundlegend.
Entscheidend ist nicht die Absicht des Betreibers, sondern ob sich die Daten ĂŒberhaupt einer Person zuordnen lassen (Art. 5 DSGVO). Ein Sensor, der lediglich meldet, ob ein Raum belegt ist, bleibt unkritisch, solange keine RĂŒckschlĂŒsse auf einzelne Personen möglich sind. Ein WLAN-, Bluetooth- oder Badge-basiertes System kann dagegen genauso eindeutig identifizieren wie eine Kamera, nur ohne Bild. Diese Unterscheidung entscheidet darĂŒber, ob ein System datenschutzrechtlich harmlos ist oder volle DSGVO-Pflichten auslöst, inklusive Dokumentations- und Auskunftspflichten gegenĂŒber den Betroffenen.
Welche Systeme im Smart Building sind datenschutzrechtlich kritisch?
In der Praxis lassen sich drei Kategorien unterscheiden. Reine Zustandssensorik, etwa fĂŒr Temperatur, LuftqualitĂ€t oder Energieverbrauch, bleibt in aller Regel unkritisch, solange keine VerknĂŒpfung mit einzelnen Personen erfolgt. Anwesenheits- und Bewegungssysteme, etwa fĂŒr Raumauslastung oder Zutrittskontrolle, sind kritisch, sobald sie einzelne Personen oder GerĂ€te eindeutig zuordnen können. VideoĂŒberwachung und biometrische Zugangssysteme fallen unter die besonderen Datenkategorien nach Art. 9 DSGVO und unterliegen den strengsten Anforderungen.
Die Herausforderung liegt darin, dass viele Systeme mehr können, als sie eigentlich sollen. Ein PrĂ€senzsensor zur Reinigungssteuerung kann technisch auch personenbezogene Nutzungsprofile erstellen, selbst wenn das nicht der ursprĂŒngliche Zweck war. Genau dieses Mehr an Möglichkeiten muss bei der Auswahl und Konfiguration mitgedacht werden, nicht erst, wenn eine Aufsichtsbehörde oder der Betriebsrat nachfragt.
Anders als reine Zustandssensoren identifizieren Zutrittssysteme einzelne Personen eindeutig.
Wer ist verantwortlich: EigentĂŒmer, Mieter oder Dienstleister?
Bei Gewerbeimmobilien sind hĂ€ufig mehrere Parteien gleichzeitig im Spiel: der EigentĂŒmer, der Mieter, der oft auch Arbeitgeber ist, und externe Facility-Dienstleister, die Technik installieren oder warten. Verantwortliche Stelle im Sinne der DSGVO ist, wer ĂŒber Zweck und Mittel der Datenverarbeitung entscheidet, und das muss im Einzelfall geklĂ€rt werden.
In der Praxis fĂŒhrt genau diese Unklarheit zu Problemen. Wenn niemand vorab festlegt, wer fĂŒr welche Datenquelle verantwortlich ist, entstehen im Schadensfall ZustĂ€ndigkeitslĂŒcken, die weder Aufsichtsbehörden noch Betroffene akzeptieren. Eine klare, dokumentierte Rollentrennung zwischen EigentĂŒmer, Mieter und Dienstleister ist deshalb keine Formalie, sondern die Grundlage jeder rechtssicheren Smart-Building-EinfĂŒhrung.
Welche Rolle spielt der Betriebsrat bei neuer Sensorik?
Der Betriebsrat hat ein zwingendes Mitbestimmungsrecht bei technischen Einrichtungen, die zur Ăberwachung von Verhalten oder Leistung der BeschĂ€ftigten geeignet sind (§ 87 Abs. 1 Nr. 6 BetrVG). Entscheidend ist dabei nicht, ob der Arbeitgeber eine Ăberwachung beabsichtigt, sondern ob die Technik objektiv dazu geeignet wĂ€re. Nach der Rechtsprechung fĂ€llt damit praktisch jede vernetzte Sensorik unter diese Vorschrift, sobald sie personenbezogene Daten erfassen kann.
FĂŒr den GebĂ€udebetrieb bedeutet das: Wird ein Bewegungsmelder oder ein Zutrittssystem nachgerĂŒstet, ohne den Betriebsrat vorher einzubeziehen, kann dieser die Inbetriebnahme stoppen und im Streitfall die Einigungsstelle anrufen. Wer den Betriebsrat erst informiert, wenn das System bereits lĂ€uft, riskiert Verzögerungen, die sich mit einer frĂŒhzeitigen Abstimmung vollstĂ€ndig vermeiden lassen.
Bei der EinfĂŒhrung neuer Ăberwachungstechnik hat der Betriebsrat ein zwingendes Mitbestimmungsrecht.
Wie sieht Datenschutz by Design im GebÀudebestand konkret aus?
Wer Sensorik im Bestand nachrĂŒstet, sollte vorher genau prĂŒfen, welche Daten ein System technisch erfassen kann, nicht nur, wofĂŒr es gedacht ist. Reicht eine einfache Zustandsmeldung wie "Raum belegt" oder "Temperatur 21 Grad", muss kein Datensatz erhoben werden, der sich einer bestimmten Person zuordnen lĂ€sst. Das ist keine KĂŒr, sondern gesetzlich verankert (Art. 25 DSGVO) und mit einem eigenen BuĂgeldrahmen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes hinterlegt (Art. 83 Abs. 5 DSGVO).
Bei hohem Risiko fĂŒr die Betroffenen kommt eine Datenschutz-FolgenabschĂ€tzung hinzu (Art. 35 DSGVO). Bei BeschĂ€ftigtendaten lohnt sich zusĂ€tzlich ein Blick auf die aktuelle Rechtslage: Der EuGH hat die deutsche Sonderregelung zum BeschĂ€ftigtendatenschutz infrage gestellt, sodass sich Arbeitgeber inzwischen zunehmend direkt auf die allgemeinen DSGVO-ErlaubnistatbestĂ€nde stĂŒtzen. FĂŒr Betreiber mit Standorten in Ăsterreich oder der Schweiz kommt hinzu, dass die Schweiz mit ihrem revidierten Datenschutzgesetz einen eigenstĂ€ndigen Rahmen ohne unmittelbare DSGVO-Geltung hat, wĂ€hrend Ăsterreich die DSGVO direkt anwendet.
Wie lÀsst sich der Spagat zwischen Effizienz und PrivatsphÀre lösen?
Die gute Nachricht: Effizienzgewinn und Datenschutz schlieĂen sich nicht aus, wenn vier Prinzipien von Anfang an mitgedacht werden.
Lieber zĂ€hlen als erkennen: Wo eine einfache Meldung wie "Raum belegt" reicht, muss kein Datensatz erhoben werden, der sich einer Person zuordnen lĂ€sst. Ein PrĂ€senzsensor liefert fĂŒr Reinigung oder Klimasteuerung denselben Nutzen wie eine Kamera, nur ohne deren Datenschutzrisiko.
Rollentrennung und Dokumentation: Vor der Inbetriebnahme klÀren, wer bei welcher Datenquelle Verantwortlicher ist, und das schriftlich festhalten statt es im Schadensfall zu rekonstruieren.
Betriebsrat vor der EinfĂŒhrung: FrĂŒhzeitige Einbindung verhindert Verzögerungen zuverlĂ€ssiger als jede nachtrĂ€gliche Rechtfertigung.
Datenschutz-FolgenabschĂ€tzung als PrĂŒfschritt: Vor der EinfĂŒhrung kurz bewerten, ob ein hohes Risiko fĂŒr Betroffene erkennbar ist, statt es erst im Nachhinein zu bemerken.
Ein Aspekt wird dabei hĂ€ufig ĂŒbersehen: Smart-Systeme ĂŒberwachen ZustĂ€nde und teilweise auch Personen, aber ihre eigene Lebensgeschichte, also Einbau, Wartungsintervalle, KonfigurationsĂ€nderungen, Austausch von Komponenten und RĂŒckbau bei Entsorgung, dokumentieren sie nicht selbst. Diese NachweisfĂŒhrung betrifft nicht die Betroffenen, sondern die Anlage, und bleibt Pflicht, egal ob die erfassten Daten personenbezogen sind oder nicht. Eine objektorientierte Dokumentationslösung wie KEVOX bildet genau diese Lebenszyklus-Ereignisse ab, von der Installation ĂŒber die Wartung durch externe Dienstleister bis zum RĂŒckbau, und liefert damit einen lĂŒckenlosen Nachweis, fĂŒr den das Smart-System selbst keine verlĂ€ssliche Quelle ist.
Datenschutz entscheidet ĂŒber das Tempo der Smartisierung, nicht die Technik
Die technischen Möglichkeiten von Smart Buildings sind lĂ€ngst da. Was die EinfĂŒhrung in der Praxis oft verzögert, ist nicht fehlende Hardware, sondern ungeklĂ€rte Verantwortlichkeiten, ĂŒbersehene Mitbestimmungsrechte und Systeme, die mehr erfassen können, als ursprĂŒnglich beabsichtigt war. Wer diese drei Punkte vor der Installation klĂ€rt, statt sie im laufenden Betrieb zu lösen, kommt deutlich schneller und rechtssicherer ans Ziel.
HĂ€ufige Fragen zum Thema Smart Building und Datenschutz:
Ist die Erfassung von Raumtemperaturen datenschutzrechtlich relevant?
Nein, solange sich daraus keine RĂŒckschlĂŒsse auf einzelne Personen ziehen lassen. Reine Zustandsdaten ohne Personenbezug fallen nicht unter die DSGVO.
Ab wann gilt eine Anwesenheitserfassung als PersonenĂŒberwachung?
Sobald ein System einzelne Personen oder ihnen zugeordnete GerĂ€te identifizieren kann, etwa ĂŒber Badges, WLAN- oder Bluetooth-Signale, liegt eine personenbezogene Datenverarbeitung vor.
Brauchen BestandsgebÀude eine Datenschutz-FolgenabschÀtzung?
Nur, wenn die geplante Verarbeitung ein hohes Risiko fĂŒr die Rechte der Betroffenen erwarten lĂ€sst, etwa bei umfassender VerhaltensĂŒberwachung. Das muss im Einzelfall geprĂŒft werden.
Wie unterscheiden sich die Anforderungen in Deutschland, Ăsterreich und der Schweiz?
Deutschland und Ăsterreich wenden die DSGVO unmittelbar an, ergĂ€nzt durch nationale Vorschriften wie das BDSG. Die Schweiz hat mit dem revidierten Datenschutzgesetz ein eigenstĂ€ndiges Regelwerk ohne direkte DSGVO-Geltung.
Kann Anonymisierung die DSGVO-Pflichten im Smart Building umgehen?
Ja, aber nur, wenn die Anonymisierung tatsÀchlich irreversibel ist. Pseudonymisierte Daten, die sich wieder zuordnen lassen, unterliegen weiterhin der DSGVO.
Quellen:
Datenschutz-Grundverordnung (DSGVO): eur-lex.europa.eu
Art. 83 DSGVO (BuĂgeldrahmen): dejure.org
§ 87 BetrVG: gesetze-im-internet.de
§ 26 BDSG: gesetze-im-internet.de
