Datenschutz als Bestandteil professioneller FM-Prozesse
Facility Management verarbeitet zunehmend Daten, die einen direkten oder indirekten Personenbezug aufweisen. Digitale Zutrittssysteme, CAFM-Anwendungen, Service-Desk-Tickets, Videoüberwachung, Raumreservierung, Besuchermanagement oder Smart-Campus-Technologien erzeugen Datenspuren über Beschäftigte, Studierende, Gäste und externe Dienstleister. Datenschutz ist deshalb keine ausschließlich administrative Aufgabe, sondern muss bereits bei der Gestaltung der FM-Prozesse und technischen Systeme berücksichtigt werden.
Die Grundsätze der DSGVO – insbesondere Zweckbindung, Datenminimierung und Speicherbegrenzung – sind dabei auch auf FM-Anwendungen konsequent anzuwenden.
Wo im Facility Management personenbezogene Daten entstehen
Besonders relevante Prozesse sind:
Zutritts- und Schließsysteme,
Besucher- und Fremdfirmenmanagement,
Videoüberwachung und Sicherheitsdienste,
CAFM und mobile Instandhaltung,
Störungs- und Servicemanagement,
Raum- und Arbeitsplatzbuchungen,
Parkplatz- und Mobilitätsmanagement,
Schlüsselverwaltung,
Gebäudeautomation und nutzerbezogene Sensorik,
Reinigungs-, Sicherheits- und andere Dienstleistersysteme.
Entscheidend ist nicht allein, ob Daten erhoben werden, sondern welche Daten für welchen Zweck tatsächlich erforderlich sind und wie lange sie benötigt werden.
Fragestellung
Konsequenz für das FM
Welche Daten werden benötigt?
Datenerhebung auf notwendige Informationen begrenzen
Wofür werden sie verarbeitet?
Zweck eindeutig definieren
Wer benötigt Zugriff?
Rollen- und Berechtigungskonzept festlegen
Wie lange werden Daten benötigt?
Lösch- und Aufbewahrungsregeln definieren
Wer verarbeitet Daten extern?
Dienstleister und Auftragsverarbeitung prüfen
Welche Risiken bestehen?
Technische und organisatorische Schutzmaßnahmen festlegen
Besonders wichtig ist eine frühzeitige Abstimmung zwischen Facility Management, IT, Informationssicherheit und Datenschutzorganisation. Datenschutzanforderungen sollten bereits bei Ausschreibungen, Systemauswahl und Prozessdesign berücksichtigt werden und nicht erst nach Inbetriebnahme eines Systems.
Videoüberwachung und Zutrittskontrolle differenziert betrachten
Sicherheitsanforderungen rechtfertigen nicht automatisch jede technisch mögliche Datenerfassung. Bei Videoüberwachung müssen insbesondere Zweck, Erforderlichkeit, erfasster Bereich, Informationspflichten, Zugriffsrechte und Speicherdauer nachvollziehbar festgelegt werden. Weniger eingriffsintensive Lösungen sind zu berücksichtigen.
Ähnliches gilt für Zutrittssysteme: Für die Berechtigung zum Betreten eines Labors kann die Speicherung einer Zutrittsberechtigung erforderlich sein. Daraus folgt jedoch nicht automatisch, dass sämtliche Bewegungen einer Person dauerhaft ausgewertet werden sollten.
Smart Campus datenschutzgerecht gestalten
Mit Belegungssensorik, WLAN-basierten Analysen, intelligenten Kameras und KI-gestützten Gebäudesystemen nimmt die Bedeutung des Datenschutzes weiter zu. Hochschulen sollten deshalb möglichst früh prüfen, ob Betriebsziele auch mit anonymisierten oder aggregierten Daten erreicht werden können.
Ein datenschutzgerechtes Facility Management verbindet damit Funktionalität und Sicherheit mit dem Grundsatz: So viele Daten wie für den Betrieb erforderlich – aber nicht mehr als notwendig. Datenschutz wird dadurch Bestandteil einer verantwortungsvollen digitalen Campusorganisation.
