DSGVO: problematisch für intelligente Gebäude?
Wie wird sich die DSGVO auf intelligente Gebäude auswirken? Die neue EU-Datenschutzverordnung ist im vergangenen Frühjahr auch in Deutschland in Kraft getreten. Wie wird sie sich auf IoT-Anwendungen in Gebäuden auswirken?
Im vergangenen Mai wurde die DSGVO (Datenschutzgrundverordnung, englisch GDPR = General Data Protection Regulation) in der EU eingeführt und auch in deutsches Recht umgesetzt. Werden sich darauf Probleme für intelligente Gebäude ergeben? Nach dem neuen Gesetz sind Unternehmen verpflichtet, die Privatsphäre zu schützen. Wer vorsätzlich oder fahrlässig Daten „leakt“, kann schon mal mit Bußgeldern von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes rechnen. Bislang fehlt aber das Bewusstsein für die sich ergebenden Fallstricke und Konsequenzen beim Bau intelligenter Gebäude.
Laut den in der gesamten EU geltenden neuen Datenschutzrichtlinien (PDF) haben alle Bürger das Recht, dass ihre personenbezogenen Daten „rechtmäßig, ordnungsgemäß und transparent“ verarbeitet werden. Die Bürger haben auch das Recht auf Zugang zu und Löschung von ihren personenbezogenen Daten, sofern es keine dringenden öffentlichen oder juristischen Hindernisse gibt. Es muss daher eine Rechtsgrundlage für die Speicherung personenbezogener Daten geben, sei es aus Sicherheitsgründen (Militär, Flughäfen) oder durch Arbeitsvertrag, Zustimmung, Vereinbarung oder Gesetze und Verordnungen. Die Speicherung und Verarbeitung spezifischer personenbezogener Daten (wie Rasse, Religion, sexuelle Präferenz oder Gesundheit) und der Einsatz von Kameras (Gesichtserkennung) sind verboten, es sei denn, es besteht ein rechtlich dringender Bedarf (Krankenhäuser, Flughäfen).
Nur zwei Beispiele: Ein Smartphone birgt ein hohes Risiko der Verletzung der DSGVO, wenn ein Mitarbeiter via GPS-Ortung auf seinem Handy „getrackt“ wird, während er bei Verhandlungen im Gebäude mit einem oder mehreren Gäste zu tun hat. Gespräche zwischen diesem Mitarbeiter und diesen Gästen werden wohl nicht heimlich aufgezeichnet, aber wenn ein bösartiger Hacker im Voraus weiß, dass ein wichtiger Deal abgeschlossen werden soll und so Zugang zu Standorten hat, liegt die Möglichkeit zur Spionage nicht sehr fern.
Auch Sensoren, die Daten für intelligente Gebäudeprozesse (wie Temperatur, Wärme und Blitz) erfassen und deren Speicherung bergen Risiken. In vielen Fällen „merkt“ sich der Sensor die individuellen Präferenzen von Mitarbeitern dauerhaft. Die Eigentümer können dem begegnen, indem sie personenbezogene Daten nur vorübergehend speichern, d.h. jedes Mal, wenn eine Person den Raum betritt oder verlässt, in dem Sensoren installiert sind. Eine weitere Möglichkeit besteht darin, Wärmesensoren zu verwenden, die nur die Bewegungen von Personen messen, nicht aber deren persönliche Daten erfassen. Temperatur und Beleuchtung können auf eine Standardeinstellung gefahren werden, wenn Personen Arbeitsräume betreten oder verlassen.
Laut Jan Kerdèl, Experte für Gebäudemanagementsysteme und Mitglied des Innovationskomitees der Branchenorganisation Techniek Nederland (ehemals Uneto-VNI), sind intelligente Gebäude nicht das Ende, sondern erst der Anfang der Erkenntnis, nach der Privatsphäre und Sicherheit zwei Seiten derselben Medaille sind.
Er meint: „Das IoT wird von den meisten - wenn nicht sogar allen – Kunden der Bauindustrie akzeptiert.“ Laut dem neuesten Bericht des niederländischen NCSC (National Cyber Security Center) ist das IoT der Schwerpunkt der meisten virtuellen Einbrüche. Erschwerdend kommt hinzu, dass Datenschutzverletzungen und Cyberkriminalität zunehmend von innen kommen.
Auf der anderen Seite bieten Datenminimierung und „Privacy by Design“ Perspektiven. Es ist nicht nur rechtlich und technisch sicherer, die Gebäudeleittechnik von der Speicherung und Verarbeitung personenbezogener Daten zu trennen. Eine intelligentere Verwaltung von Daten in intelligenten Gebäuden reduziert auch die Speicherkapazität und damit die Kosten um bis zu 4 %, meint Smart Cities World.
Kerdèl zeigt sich ziemlich besorgt. Aufgrund von Arbeitsdruck und mangelnder finanzieller Leistungsfähigkeit haben kleinere und mittlere Firmen im Bereich Privatsphäre und Sicherheit kaum Kapazitäten für Innovationen. Die Bauindustrie hat einen großen Bedarf an Tools, wird aber von außen wenig unterstützt. Ohne Sensibilisierung und angemessene Schulung fürchtet er, dass Firmen vom Kunden bis zum Installateur, nicht ausreichend auf die neue DSGVO vorbereitet sind.
Laut den in der gesamten EU geltenden neuen Datenschutzrichtlinien (PDF) haben alle Bürger das Recht, dass ihre personenbezogenen Daten „rechtmäßig, ordnungsgemäß und transparent“ verarbeitet werden. Die Bürger haben auch das Recht auf Zugang zu und Löschung von ihren personenbezogenen Daten, sofern es keine dringenden öffentlichen oder juristischen Hindernisse gibt. Es muss daher eine Rechtsgrundlage für die Speicherung personenbezogener Daten geben, sei es aus Sicherheitsgründen (Militär, Flughäfen) oder durch Arbeitsvertrag, Zustimmung, Vereinbarung oder Gesetze und Verordnungen. Die Speicherung und Verarbeitung spezifischer personenbezogener Daten (wie Rasse, Religion, sexuelle Präferenz oder Gesundheit) und der Einsatz von Kameras (Gesichtserkennung) sind verboten, es sei denn, es besteht ein rechtlich dringender Bedarf (Krankenhäuser, Flughäfen).
Wer ist für personenbezogene Daten verantwortlich?
Die Behandlung entsprechender Anfragen (SARs = Subject Access Requests) stellt für die Arbeitgeber bereits bei Auskunftsersuchen von (ehemaligen) Arbeitnehmern eine Herausforderung. Die Herausforderung für Projektentwickler von intelligenten Gebäuden ist aufgrund der Vielzahl unterschiedlicher Systeme noch viel größer. Wer ist für die Speicherung und Verarbeitung der Daten von Gästen verantwortlich, die das Gebäude betreten (und verlassen)? DSGVO-Verträge zwischen Baubeteiligten von Kunden und Arbeitgebern bis hin zu Auftragnehmern und Subunternehmern – werden immer notwendiger.Nur zwei Beispiele: Ein Smartphone birgt ein hohes Risiko der Verletzung der DSGVO, wenn ein Mitarbeiter via GPS-Ortung auf seinem Handy „getrackt“ wird, während er bei Verhandlungen im Gebäude mit einem oder mehreren Gäste zu tun hat. Gespräche zwischen diesem Mitarbeiter und diesen Gästen werden wohl nicht heimlich aufgezeichnet, aber wenn ein bösartiger Hacker im Voraus weiß, dass ein wichtiger Deal abgeschlossen werden soll und so Zugang zu Standorten hat, liegt die Möglichkeit zur Spionage nicht sehr fern.
Auch Sensoren, die Daten für intelligente Gebäudeprozesse (wie Temperatur, Wärme und Blitz) erfassen und deren Speicherung bergen Risiken. In vielen Fällen „merkt“ sich der Sensor die individuellen Präferenzen von Mitarbeitern dauerhaft. Die Eigentümer können dem begegnen, indem sie personenbezogene Daten nur vorübergehend speichern, d.h. jedes Mal, wenn eine Person den Raum betritt oder verlässt, in dem Sensoren installiert sind. Eine weitere Möglichkeit besteht darin, Wärmesensoren zu verwenden, die nur die Bewegungen von Personen messen, nicht aber deren persönliche Daten erfassen. Temperatur und Beleuchtung können auf eine Standardeinstellung gefahren werden, wenn Personen Arbeitsräume betreten oder verlassen.
Kann die Bauindustrie personenbezogene Daten minimieren?
Eine der besten Möglichkeiten zum Schutz der Privatsphäre von Mitarbeitern und Gästen ist die Datenminimierung, bekannt als „Privacy Enhancement Control“. Im Idealfall werden die Minimierungsstandards bereits in der Entwurfsphase festgelegt. Nach einem „Privacy Impact Assessment“ müssen Maßnahmen ergriffen werden, um Daten sogenannter „Smart Buildings“ von personenbezogenen Daten zu trennen. Im Falle einer Vernetzung kann ein böswilliger Angriff auf das Gebäude-Netzwerk beispielsweise zu geänderten Temperaturen am Arbeitsplatz führen, die schließlich sogar zur Abschaltung von Computer-Serverräumen führen können.Laut Jan Kerdèl, Experte für Gebäudemanagementsysteme und Mitglied des Innovationskomitees der Branchenorganisation Techniek Nederland (ehemals Uneto-VNI), sind intelligente Gebäude nicht das Ende, sondern erst der Anfang der Erkenntnis, nach der Privatsphäre und Sicherheit zwei Seiten derselben Medaille sind.
Er meint: „Das IoT wird von den meisten - wenn nicht sogar allen – Kunden der Bauindustrie akzeptiert.“ Laut dem neuesten Bericht des niederländischen NCSC (National Cyber Security Center) ist das IoT der Schwerpunkt der meisten virtuellen Einbrüche. Erschwerdend kommt hinzu, dass Datenschutzverletzungen und Cyberkriminalität zunehmend von innen kommen.
Auf der anderen Seite bieten Datenminimierung und „Privacy by Design“ Perspektiven. Es ist nicht nur rechtlich und technisch sicherer, die Gebäudeleittechnik von der Speicherung und Verarbeitung personenbezogener Daten zu trennen. Eine intelligentere Verwaltung von Daten in intelligenten Gebäuden reduziert auch die Speicherkapazität und damit die Kosten um bis zu 4 %, meint Smart Cities World.
Werden intelligente Gebäude zum Problemfall?
Das ist von Fall zu Fall unterschiedlich. Basierend auf einer Umfrage aus 2018 des Ponemon Institute, das weltweit Standards für Cybersicherheit setzt, liegen die Kosten für Datenlecks zwischen 75 und 408 $ pro Betroffenem. Wenn es sich wie oft um zehntausende Fälle personenbezogener Daten handelt, könnten sich Kosten von Hunderttausende Euro ergeben – ganz zu schweigen von beschädigter Reputation und juristischen Sanktionen. Die Herausforderung für die Bauindustrie besteht darin, im Vorfeld festzustellen, welche Partei für was verantwortlich ist. Sie muss Alternativen entwickeln und Netzwerke von intelligenten Gebäuden regelmäßig auf DSGVO-Protokolle testen. Auch die Wartung und insbesondere durch die Anpassung der Serversicherheit an die neuesten Standards verdient mehr Aufmerksamkeit.Kerdèl zeigt sich ziemlich besorgt. Aufgrund von Arbeitsdruck und mangelnder finanzieller Leistungsfähigkeit haben kleinere und mittlere Firmen im Bereich Privatsphäre und Sicherheit kaum Kapazitäten für Innovationen. Die Bauindustrie hat einen großen Bedarf an Tools, wird aber von außen wenig unterstützt. Ohne Sensibilisierung und angemessene Schulung fürchtet er, dass Firmen vom Kunden bis zum Installateur, nicht ausreichend auf die neue DSGVO vorbereitet sind.
