Datenschutz bei Energiedaten

Aus einem Viertelstunden-Lastgang lässt sich ablesen, wann jemand aufsteht, wann die Wohnung leer ist und ob ein Fernseher läuft. Deshalb behandelt das Recht Energiedaten nicht als technische Betriebsdaten, sondern als das, was sie sind: personenbezogene Daten über das Leben in einem Haushalt.

Was personenbezogen ist#

Personenbezogen ist jede Information, die sich einer identifizierbaren Person zuordnen lässt. Beim Energiekunden ist das fast alles: Name, Adresse und Vertragskonto offensichtlich – aber auch Zählerstände, Lastgänge, Zählernummer, MaLo-ID und MeLo-ID. Die Identifikatoren sind zwar keine Namen, führen aber über die Stammdaten des Netzbetreibers eindeutig zu einem Anschluss und damit zu einem Anschlussnutzer.

DSGVO und MsbG: wer gilt wofür#

Die DSGVO ist der allgemeine Rahmen: Rechtsgrundlage, Betroffenenrechte, Auftragsverarbeitung, Sicherheit der Verarbeitung. Für den Messstellenbetrieb und die Datenkommunikation in intelligenten Energienetzen hat der Gesetzgeber sie in den §§ 49 bis 75 MsbG bereichsspezifisch konkretisiert. Diese Vorschriften sind die Rechtsgrundlage, auf der Messstellenbetreiber, Netzbetreiber und Lieferanten Messwerte überhaupt erheben und weitergeben dürfen.

Zulässigkeit und Zweckbindung (§ 49 MsbG)

Personenbezogene Daten aus dem Messstellenbetrieb dürfen nur erhoben, verarbeitet und genutzt werden, soweit das MsbG oder eine andere Rechtsvorschrift es erlaubt oder der Anschlussnutzer eingewilligt hat. Der Zweck ist eng: Abrechnung, Bilanzierung, Netzführung, Messstellenbetrieb.

Berechtigte Stellen (§ 50 MsbG)

Das Gesetz zählt abschließend auf, wer Daten empfangen darf: Messstellenbetreiber, Netzbetreiber, Bilanzkoordinator und Bilanzkreisverantwortlicher, Lieferant, Direktvermarkter, Anlagenbetreiber, der Anschlussnutzer selbst – und jede weitere Stelle, die der Anschlussnutzer ausdrücklich benennt.

Datensparsamkeit

Erhoben wird nur, was der jeweilige Zweck verlangt. Ein Haushalt ohne zeitvariablen Tarif liefert einen Jahreswert (TAF 1), keinen Lastgang. Der Zählerstandsgang wird nur gebildet, wenn ein Tarif oder eine Bilanzierungsregel ihn braucht – siehe Gateway-Administrator.

Sternförmige Kommunikation

Jede berechtigte Stelle erhält genau ihren Ausschnitt, verschlüsselt und getrennt. Der Lieferant sieht keine Netzzustandsdaten, der Netzbetreiber keine Tarifinformationen.

Löschung

Daten sind zu löschen, sobald der Zweck erfüllt ist. Netzzustandsdaten, die nur der Netzführung dienen, dürfen nicht dauerhaft personenbezogen gespeichert werden; Abrechnungsdaten unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen und werden danach gelöscht.

Datenhoheit des Anschlussnutzers#

Der Anschlussnutzer – in der Regel der Bewohner, nicht der Eigentümer – ist Herr seiner Daten. Er kann sie über die HAN-Schnittstelle des Gateways selbst auslesen, hat Anspruch auf Verbrauchsinformationen und entscheidet, wer über den gesetzlichen Kreis hinaus Zugriff erhält.

Pflichten des Unternehmens#

Auftragsverarbeitung (Art. 28 DSGVO)

Wer Abrechnung, Portal oder Marktkommunikation an einen IT-Dienstleister gibt, bleibt Verantwortlicher und braucht einen Auftragsverarbeitungsvertrag mit Weisungsbindung, Vertraulichkeit, technischen Maßnahmen und Löschregeln. Das gilt auch für den Gateway-Administrator als Dienstleister des Messstellenbetreibers.

Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Für die Verarbeitung hochauflösender Verbrauchsdaten aus intelligenten Messsystemen ist regelmäßig eine DSFA erforderlich, weil daraus Verhaltensprofile ableitbar sind. Sie dokumentiert Zweck, Risiken und Schutzmaßnahmen – vor Inbetriebnahme, nicht danach.

Auskunft (Art. 15 DSGVO)

Der Kunde kann verlangen, alle über ihn gespeicherten Daten zu erhalten – einschließlich Zählerständen, Lastgängen, Ersatzwerten und Kommunikationsprotokollen. Ein System, das diese Daten nicht pro Person exportieren kann, hat ein Compliance-Problem.

Berichtigung und Löschung (Art. 16, 17 DSGVO)

Ein falscher Zählerstand ist zu berichtigen – über die Rechnungskorrektur, nicht durch stilles Überschreiben. Löschungsansprüche enden dort, wo Aufbewahrungspflichten beginnen.

Meldepflicht bei Verletzungen (Art. 33 DSGVO)

Ein offenes Portal, aus dem sich fremde Lastgänge abrufen lassen, ist innerhalb von 72 Stunden der Aufsichtsbehörde zu melden.

Praxis für Portale, CRM und Abrechnung#

1. 1

   Rollen und Rechte

   Verbrauchsdaten sehen nur Rollen, die sie für ihre Aufgabe brauchen. Der Vertrieb braucht Vertragsdaten, nicht den Lastgang; der Kundenservice sieht ihn, aber protokolliert. Rechte werden je Marktlokation und Zeitraum vergeben, nicht pauschal je Mandant.

2. 2

   Pseudonymisierung

   Analytik, Prognose und Testsysteme arbeiten mit einer Ersatzkennung statt mit MaLo-ID, Zählernummer oder Name. Die Zuordnungstabelle liegt getrennt und ist zugriffsbeschränkt. Testdaten aus Produktion ohne Pseudonymisierung sind ein Datenschutzverstoß, kein Komfort.

3. 3

   Protokollierung

   Jeder Zugriff auf Verbrauchsdaten wird mit Nutzer, Zeitpunkt und Zweck protokolliert. Die Protokolle sind selbst personenbezogen und brauchen eine eigene Löschfrist.

4. 4

   Löschkonzept

   Je Datenart eine Frist: Lastgänge nach Abrechnung und Einspruchsfrist, Netzzustandsdaten sofort nach Zweckerfüllung, Abrechnungsbelege nach den steuerlichen Aufbewahrungsfristen. Die Frist gehört als Attribut an den Datensatz, damit sie automatisiert greift.

5. 5

   Einwilligungsverwaltung

   Jede Einwilligung für Mehrwertdienste wird mit Zeitpunkt, Text und Umfang gespeichert und beim Widerruf technisch wirksam – die Datenlieferung an den Dienst endet, nicht nur die Anzeige.

6. 6

   Kundenselbstauskunft

   Das Endkundenportal bietet den Export der eigenen Daten als Standardfunktion an. Das erfüllt Art. 15 DSGVO und nimmt dem Kundenservice den aufwendigsten manuellen Fall ab.