Smart Meter und DSGVO – Risiko oder sichere Datenverarbeitung

Alexa kommuniziert täglich mit ihren Besitzern. Der Sprachassistent erinnert uns, steuert Gardinen, Bewegungsmelder, Lautsprecher und TVs. Er kann sich mit nahezu allen elektrischen Geräten im Haus vernetzen, die WLAN-kompatibel sind. Intelligente Produkte vereinfachen unseren Alltag und werden in Zukunft immer mehr in unser Leben integriert. Die Nutzung solcher Produkte birgt jedoch auch Risiken, denn mit der DSGVO, die am 25. Mai 2018 in Kraft trat, ändert sich der Datenschutz hinsichtlich personenbezogener Daten und deren Verarbeitung. Auf Alexa kann jeder verzichten, wer seine Daten nicht an einen Assistenten weitergeben will. Anders sieht es bei Smart Metern aus.

Smart Meter kommen und damit der Datenschutz

Die Verwendung von Smart Metern (intelligente Messsysteme) in Eigenheimen wird sich wohl langfristig durchsetzen. Auch bei Mietshäusern ist davon auszugehen, dass intelligente Messsysteme irgendwann moderne Messeinrichtungen ersetzen. Doch wie sieht es beim Datenschutzin Bezug auf die neue Technik aus? Welches Risiko besteht für personenbezogene Daten von Eigentümern von Häusern? Die personenbezogenen Daten müssten nach Art. 4 Nr. 1 DSGVO verarbeitet werden, will man sich an das neue Gesetz halten. Das setzt jedoch voraus, dass durch die Messdaten bestimmte Personen identifiziert werden können oder identifizierbar sind. Bei den übermittelten Daten handelt es sich um Verbrauchs-, Erzeugungs- und Einspeisungsdaten. Sie können Rückschlüsse über Umfang, Art und Zeitraum des Energieverbrauchs der im einen Haushalt lebenden Personen liefern. Daher handelt es sich um personenbezogene Daten. Das Risiko besteht darin, dass Unternehmen Nutzungsprofile der einzelnen Personen bzw. ganzen Hausgemeinschaften erstellen lassen. Wann geht der Endverbraucher schlafen, wann und wie häufig kocht er seine Mahlzeiten und wann ist er außer Haus. Das alles lässt sich aus den übermittelten Daten lesen. Kritik wird ebenfalls an der Intransparenz der erhobenen Daten laut, die durch intelligente Messsysteme ermittelt werden. Der Smart Meter befindet sich oftmals im Keller und nicht in der Wohnung. Der Verbraucher weiß meist gar nicht, welche Daten tatsächlich erhoben werden. Die große Menge von personenbezogenen Angaben kann dazu führen, dass der Zweckbindungsgrundsatz von Unternehmen umgangen wird und die Daten missbräuchlich verwendet werden wie z. B. für das Data Mining. Intelligente Messsysteme (umgangsprachlich Smart Meter) werden laut Gesetz bislang für drei Gruppen vorgeschrieben:

• seit 2017 für Haushalte mit einem Stromverbrauch von mehr als 10.000 Kilowattstunden (kWh) pro Jahr
• ab 2020 für Haushalte mit einem Stromverbrauch von mehr als 6.000 Kilowattstunden (kWh) pro Jahr
• seit 2017 für Betreiber von Strom erzeugenden Anlagen (zum Beispiel Photovoltaik) mit einer Nennleistung von mehr als sieben Kilowatt (kW)

Ausschlaggebend hierfür ist der Durchschnitt der letzten drei Jahresverbrauchswerte. Liegen nicht genügend Werte vor, setzt man einen Verbrauch von 2.000 kWh an. Für alle anderen Haushalte bleibt ein intelligentes Messsystem optional – vorerst. Allerdings kann sich nicht nur der Verbraucher selbst für ein solches System entscheiden, sondern auch der Messstellenbetreiber kann diese Entscheidung treffen, ohne dass Verbraucher sich dagegen zur Wehr setzten kann. Ab 2020 könnten davon Stromkunden mit Verbräuchen unter 6.000 Kilowattstunden pro Jahr sowie ab 2018 Betreiber von Neuanlagen mit einer Nennleistung von mehr als einem und bis einschließlich sieben Kilowatt betroffen sein.

DSGVO, MsbG, BSI

Im Messstellenbetriebsgesetz (MsbG) ist der Einbau intelligenter Messsysteme und moderner Messeinrichtungen festgeschrieben (§ 29 MsbG). Das Gesetz beinhaltet genauestens die datenschutzkonforme Ausgestaltung intelliger Messsystemen. In den Normen wurden die bekannten Grundsätze der Zweckbindung, der Datensparsamkeit sowie Verpflichtungen zur Anonymisierung und Pseudonymisierung festgelegt. Eine wesentliche Neuerung ist die Pflicht zu verbraucher- und datenschutzfreundlichen Voreinstellungen (Privacy by Default/Privacy by Design) bei elektronischen Geräten. Die DSGVO fordert von den Herstellern der Messgeräte den Einsatz technischer Maßnahmen zum Schutz personenbezogener Daten. Laut Art. 6 Abs. 1, lit. a DSGVO muss der Verbraucher in die Erhebung der Daten einwilligen. Die kann der Verbraucher aber ohne Angabe von Gründen und jederzeit widerrufen. Die Rechtsgrundlage stellt sich für Unternehmen als unsicher heraus. Gleichzeitig muss das Unternehmen die Voraussetzungen zur Einwilligung nach der DSGVO schaffen. Es wird schwierig, die Menge der Daten zu bestimmen, die beim Smart Metering erhoben werden. Im Jahr 2017 übergab das Bundesamt für Sicherheit in der Informationstechnik (BSI) der T-Systems die erste Zertifizierungsurkunde für das erste am Markt verfügbare Sicherheitsmodul im mini-HSM der Smart Meter Gateway-Infrastruktur. Ein Smart Meter Gateway ist die sichere Kommunikationseinheit von intelligenten Messsystemen für Strom, Wasser und Gas. Das zertifizierte mini-HSM ist das Gegenstück zum Smart Meter Gateway bei der sicheren Datenkommunikation und wird z. B. von externen Marktteilnehmern (EMT) benötigt, die Verbrauchsdaten verarbeiten. Sie können damit Daten des Smart Meter Gateways entschlüsseln und verifizieren. Es bleibt für Endverbraucher jedoch das Risiko des Datenmissbrauchs. Gesetze und Verordnungen können diese nur eindämmen, aber nicht gänzlich ausschließen.