DSGVO-konforme Telemetrie: Worauf Operatoren achten müssen

Telemetrie macht moderne Automatenflotten effizient: Füllstände, Störungen und Umsätze werden in Echtzeit übertragen, Leerfahrten entfallen, Ausfälle werden früher erkannt. Datenschutzrechtlich ist die Vernetzung jedoch differenziert zu betrachten — entscheidend ist, welche Daten den Automaten verlassen.

Unkritisch: reine Betriebsdaten

Füllstände, Temperaturkurven, Verkaufszahlen pro Produkt, Störungsmeldungen und technische Audit-Daten (z. B. nach EVA-DTS) haben keinen Personenbezug. Ihre Übertragung und Auswertung ist datenschutzrechtlich unproblematisch, solange sie sich keiner identifizierbaren Person zuordnen lassen.

Kritisch: sobald Personen ins Spiel kommen

Anders sieht es aus, wenn der Automat bargeldlose Zahlungen, Mitarbeiterausweise (Mehrpreis-Systeme mit subventionierten Mitarbeiterpreisen) oder App-Bindungen verarbeitet. Dann werden personenbeziehbare Daten erhoben — Kartendaten, Ausweis-IDs, Kaufzeitpunkte. Hier greift die DSGVO mit allen Pflichten: Rechtsgrundlage, Informationspflicht, Datenminimierung und Löschkonzept.

Vertragsklauseln, die zählen

• Serverstandort und Subunternehmer: idealerweise EU/EWR; Drittlandtransfer nur mit geeigneten Garantien.
• Zweckbindung: Der Anbieter darf die Daten ausschließlich für die vereinbarte Leistung nutzen, nicht für eigene Zwecke.
• Löschfristen und Datenrückgabe bei Vertragsende.
• Technisch-organisatorische Maßnahmen (TOM): Verschlüsselung in Transit und at rest, Zugriffskontrolle.

Praktisch heißt das: Wer ausschließlich Betriebsdaten überträgt, ist auf der sicheren Seite. Sobald Bezahl- oder Nutzerdaten fließen, gehört die Telemetrie in das Verarbeitungsverzeichnis, braucht eine saubere Rechtsgrundlage und einen AVV mit dem Dienstleister.