Ein Präsenzmelder kann mehr Informationen erzeugen als für Lichtsteuerung erforderlich sind
Präsenzsensoren dienen ursprünglich einem einfachen Zweck: Licht soll nur dann beziehungsweise dort betrieben werden, wenn eine Nutzung stattfindet. Moderne Sensoren und Smart-Lighting-Plattformen können jedoch wesentlich differenziertere Nutzungsdaten erzeugen und diese gegebenenfalls an andere Systeme weitergeben.
Die vorhandene Auslegungsseite beschreibt ausdrücklich, dass Leuchten als Sensor-Hubs dienen können und dass Datenschutz relevant wird, sobald Anwesenheitsdaten über die reine Lichtsteuerung hinaus genutzt werden.
Präsenzdaten datenschutzgerecht und zweckgebunden nutzen
Zweck vor Datenerhebung festlegen
Eine zentrale Governance-Frage lautet:
Warum benötigen wir diese Daten?
Mögliche Zwecke sind:
Lichtsteuerung,
Energieoptimierung,
Flächennutzungsanalyse,
Reinigungssteuerung,
Gebäudebetrieb.
Diese Zwecke besitzen unterschiedliche Datenanforderungen.
Für eine einfache Präsenzabschaltung muss gegebenenfalls gar kein langfristiges Belegungsprofil gespeichert werden.
Echtzeitsteuerung und historische Analyse unterscheiden
Ein Sensor kann lokal feststellen:
Person anwesend: ja/nein
und darauf unmittelbar die Beleuchtung steuern.
Für diese Funktion muss der Wert nicht zwangsläufig zentral personenbeziehbar gespeichert werden.
Anders ist es bei langfristiger Flächenanalyse.
Dann entstehen historische Datensätze, für die Datenschutz, Zweckbindung, Speicherfrist und Zugriff genauer zu bewerten sind.
Personenbezug möglichst vermeiden
Das FM benötigt für viele Anwendungen keine Information:
Kay Meyer sitzt um 10:13 Uhr an Arbeitsplatz 27.
Für Kapazitätsplanung reicht häufig:
Zone Nord war zwischen 10 und 11 Uhr zu 68 Prozent genutzt.
Eine möglichst frühzeitige Aggregation beziehungsweise Anonymisierung reduziert Datenschutzrisiken erheblich.
Datenschutzrechtlich gilt allgemein der Grundsatz, Verarbeitung auf das für den jeweiligen Zweck notwendige Maß zu begrenzen. Die BfDI verweist im Standard-Datenschutzmodell ausdrücklich auf diese Erforderlichkeits- und Datenminimierungslogik.
Sensorart bewusst auswählen
Technologien unterscheiden sich erheblich.
Möglich sind beispielsweise:
PIR,
Ultraschall,
Radar,
optische Sensorik,
kombinierte Sensoren.
Je detaillierter eine Technologie Personen oder Verhalten erkennen kann, desto genauer sollten Datenschutz- und Securityanforderungen geprüft werden.
Datenzugriff begrenzen
Nicht jeder, der Lichtanlagen bedienen darf, benötigt Zugriff auf historische Belegungsanalysen.
Rollen können beispielsweise unterscheiden:
Techniker: Sensorfunktion und Status.
Energiemanagement: aggregierte Nutzungsdaten.
Flächenmanagement: zonale Auslastungsmuster.
Damit werden Betriebs- und Analysezwecke getrennt.
Speicherfristen festlegen
Rohdaten sollten nicht unbegrenzt gespeichert werden, nur weil technisch ausreichend Speicher vorhanden ist.
Die Frage lautet:
Wie lange benötigen wir welche Granularität für den definierten Zweck?
Ältere Daten können gegebenenfalls stärker aggregiert werden.
Beschäftigtenkontext besonders berücksichtigen
Wo Sensordaten Rückschlüsse auf Verhalten einzelner Beschäftigter ermöglichen könnten, sind Datenschutz und gegebenenfalls Beteiligungsrechte besonders sorgfältig zu behandeln. Die BfDI stellt für Beschäftigtendaten grundsätzlich das Spannungsfeld zwischen Schutzinteresse der Beschäftigten und Informationsinteresse des Arbeitgebers heraus.
Bei Verarbeitung mit voraussichtlich hohem Risiko kann zudem eine Datenschutz-Folgenabschätzung erforderlich sein.
Mehrfachnutzung von Sensoren kontrollieren
Ein Sensor wird für Beleuchtung installiert und später zusätzlich für Reinigung oder Workplace Analytics verwendet.
Dieser neue Zweck sollte nicht automatisch entstehen, nur weil die Daten verfügbar sind.
Er benötigt eine erneute fachliche und datenschutzrechtliche Bewertung.
Beschäftigte sollten grundsätzlich nachvollziehen können:
welche Sensorik vorhanden ist,
wozu sie dient,
welche Daten verwendet werden,
ob personenbezogene Auswertung erfolgt.
Das erhöht Akzeptanz und reduziert Misstrauen gegenüber Smart-Building-Technik.
Erst Zweck, dann Daten
Die zentrale Regel lautet:
Nicht sammeln, was technisch möglich ist, sondern nur diejenigen Präsenzinformationen verarbeiten, die für einen klar definierten FM-Zweck tatsächlich benötigt werden.
Damit kann intelligente Beleuchtung wertvolle Betriebs- und Flächeninformationen liefern, ohne unnötig eine Überwachungsinfrastruktur zu erzeugen.
