Einwilligungs- und Zugriffsregeln für Energiedaten von Kunden

# Einwilligungs- und Zugriffsregeln für Energiedaten von Kunden

Ein Solarinstallateur in Manchester möchte die halbstündlichen Stromverbrauchswerte eines Haushalts über sechs Monate, um ein Batteriesystem zu dimensionieren. Die Daten liegen beim Versorger des Hauseigentümers, erfasst von einem Smart Meter, der den Verbrauch alle 30 Minuten meldet. Soll der Installateur sie bekommen? Zu welchen Bedingungen? Wer prüft, ob die Einwilligung echt war und nicht nur ein schnell angeklicktes Häkchen? Das ist das Tagesgeschäft der Energiedaten-Governance, und hier trifft Datenschutzrecht auf praktische Umsetzung.

Warum Intervalldaten anders sind

Verbrauchsdaten auf Intervallebene (Messwerte alle 15, 30 oder 60 Minuten) verraten weit mehr, als eine Monatsrechnung je kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnte. Eine 30-Minuten-Lastkurve kann zeigen, wann ein Haus leer ist, wann jemand duscht, ob ein E-Auto um 2 Uhr nachts lädt oder ob ältere Bewohner einem stabilen Tagesablauf folgen.

Wegen dieser Granularität behandeln Regulierer Smart-Meter-Daten als sensible personenbezogene Daten und nicht bloß als Abrechnungsdetail. In der EU und in Großbritannien fallen sie typischerweise unter die DSGVO (Datenschutz-Grundverordnung), das zentrale Gesetz für den Umgang mit personenbezogenen Daten. In den USA unterscheidet sich die Behandlung je Bundesstaat, da es kein einheitliches Bundesdatenschutzgesetz für Energiedaten gibt.

Das UK-Modell: Smart Energy Code

Der britische Smart Energy Code (SEC) ist das Regelwerk dafür, wer auf Daten der Smart Meter des Landes zugreifen darf. Überwacht wird ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → vom SEC Panel und durchgesetzt von Ofgem, dem Energieregulierer. ErErDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → definiert strikte Stufen:

• Versorger erhalten standardmäßig Zugriff auf die vollständigen Intervalldaten eines Kunden, da sie sie zur Abrechnung brauchen.
• Dritte (Installateure, Vergleichsportale, Energiemanagement-Apps) benötigen eine ausdrückliche, zeitlich befristete Einwilligung des Verbrauchers, erfasst über einen formalen Einwilligungsprozess, bevor sie dieselben Daten abrufen dürfen.
• Daten werden nach Granularität klassifiziert: Monatswerte sind nur leicht geschützt; Tages- und Halbstundenwerte erfordern eine stärkere Einwilligung, weil sie stärker identifizierend sind.

Unter dem SEC muss ein Dritter wie unser Installateur aus Manchester sich als autorisierte Partei registrieren, eine spezifische Einwilligungsanfrage mit Nennung des Zwecks stellen (z. B. „Batteriedimensionierung“) und den Hauseigentümer dazu bringen, sie über eine anerkannte Consent Journey zu genehmigen, häufig über die App oder das Portal des Versorgers. Die Einwilligung muss in der Regel erneuerbar und widerrufbar sein; sie ist keine Erlaubnis auf Lebenszeit.

Quelle: Smart Energy Code Company overview ist die primäre öffentliche Quelle für die Regeln und die Governance-Struktur.

Das US-Modell: Green Button

Die USA haben einen anderen Weg gewählt. Green Button ist eine freiwillige Brancheninitiative (kein verbindliches Bundesgesetz), mit der Versorger ihren Kunden eine standardisierte Möglichkeit bieten, eigene Verbrauchsdaten herunterzuladen oder einen Dritten zu autorisieren, sie automatisch zu erhalten.

Zwei Varianten sind relevant:

• Green Button Download My Data (DMD): Der Kunde lädt seine Daten manuell als Datei herunter.
• Green Button Connect My Data (CMD): Der Kunde autorisiert einen laufenden, automatisierten Datenfeed an einen Dritten (etwa ein Solar-Angebotstool oder einen Demand-Response-Anbieter), ähnlich der OAuth-artigen Einwilligung in Banking-APIs.

Da es in den USA kein einheitliches Bundesdatenschutzgesetz für Energiedaten gibt, ist die Aufsicht fragmentiert: Einige Bundesstaaten (Kalifornien über die CPUC, die California Public Utilities Commission) verpflichten Versorger zu bindenden Datenschutzregeln; andere verlassen sich auf freiwillige Frameworks und versorgerspezifische Tarife. Deshalb kann die Datenweitergabepraxis eines texanischen Versorgers völlig anders aussehen als die eines kalifornischen.

Quelle: Green Button Alliance dokumentiert den technischen Standard und die teilnehmenden Versorger.

Entscheiden, wer Zugriff bekommt: eine praktische Checkliste

Bei der Bewertung einer echten Zugriffsanfrage eines Dritten arbeitet ein Data-Governance-Team typischerweise folgende Punkte ab:

1. Zweckbindung. Ist der genannte Zweck spezifisch („eine Batterie dimensionieren“, nicht „unsere Services verbessern“)? DSGVO und SEC verlangen beide einen definierten Zweck, keine Pauschalerlaubnis.

2. Datenminimierung. Fragt die Anfrage mehr ab als nötig? Für eine Batteriedimensionierung braucht es 6 bis 12 Monate Intervalldaten, nicht fünf Jahre komplette Historie.

3. Aktualität der Einwilligung. Ist die Einwilligung noch gültig, oder ist sie abgelaufen / widerrufen? SEC und DSGVO erwarten beide eine erneuerbare Einwilligung, keinen unbefristeten Zugriff.

4. Identitätsprüfung. Ist der Dritte eine registrierte, autorisierte Partei (SEC) oder ein geprüfter Green-Button-Datentreuhänder?

5. Audit Trail. Gibt es ein Log mit Zeitstempel, wer was angefragt hat, wann die Einwilligung erteilt wurde und was tatsächlich übertragen wurde?

Ein durchgerechnetes Mini-Szenario

Nehmen wir an, der Installateur fragt 12 Monate Halbstundenwerte an. Nach der SEC-Klassifizierung sind Halbstundenwerte hochgranular und erfordern eine ausdrückliche, zweckgebundene Einwilligung, erfasst über den anerkannten Einwilligungsprozess, und nicht ein allgemeines Marketing-Opt-in, das der Hauseigentümer vielleicht vor einem Jahr unterschrieben hat.

Zeigt das Audit-Log, dass die Einwilligung vor 14 Monaten für eine „Installation eines smarten Thermostats“ erfasst wurde, deckt diese Einwilligung eine neue Anfrage zur Batteriedimensionierung nicht ab. Ein regelkonformer Governance-Prozess würde eine neue Einwilligungserfassung verlangen, die den neuen Dritten und den neuen Zweck benennt. Genau solche Prüfungen führt ein Datenschutzbeauftragter oder Compliance-Analyst wöchentlich durch, nicht hypothetisch.

Wie eine einfache Audit-Abfrage aussieht

Governance-Teams führen oft einfache Prüfungen gegen Einwilligungs- und Zugriffslogs aus. Eine vereinfachte Pseudocode-Prüfung:

-- Datenübertragungen markieren, bei denen die Einwilligung fehlt, abgelaufen ist oder der Zweck nicht passt
SELECT transfer_id, customer_id, third_party, purpose, transfer_date
FROM data_access_log
WHERE consent_expiry_date < transfer_date
   OR consent_purpose <> requested_purpose
   OR consent_status = 'revoked';

Das ist keine exotische KI. Es ist ein einfaches SQLSQLSales Qualified Lead: ein Prospect, den das Sales-Team als bereit für direkte Ansprache und ein Angebot validiert hat, weil er klare Qualifizierungskriterien erfüllt.Vollständige Definition ansehen →-Audit (Structured Query Language, zur Abfrage von Datenbanken), das die Data-Governance-Funktion jedes Versorgers regelmäßig laufen lassen sollte, mit Markierung zur manuellen Prüfung.

Wo Prüfungen und Audits tatsächlich stattfinden

Jenseits der Entscheidung am Einwilligungspunkt erfordert laufende Governance:

• Zugriffs-Logging: Jeder Abruf von Intervalldaten durch einen Dritten sollte mit Zeitstempel, Zweck und Einwilligungsreferenz protokolliert werden.
• Regelmäßige Prüfläufe auf abgelaufene Einwilligungen: automatisierte Jobs, die den Zugriff entziehen, wenn die Einwilligung erlischt, üblich in SEC-regulierten Systemen und zunehmend erwartet nach dem Grundsatz der Speicherbegrenzung der DSGVO.
• Audits von Dritten: SEC-registrierte Parteien unterliegen periodischen Compliance-Prüfungen durch das SEC Panel; von Green-Button-Datentreuhändern wird erwartet, dass sie Sicherheits- und Datenschutz-Basisanforderungen des NIST (US National Institute of Standards and Technology) erfüllen, wobei die Durchsetzungsstärke je Bundesstaat variiert.
• Protokolle für Datenschutzverletzungen: Nach der DSGVO muss eine Verletzung, die Intervall-Energiedaten betrifft (die Anwesenheitsmuster offenlegen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen), in der Regel innerhalb von 72 Stunden an die zuständige Datenschutzbehörde gemeldet werden.

🎬 [VIDEO: "How Smart Meter Data Privacy Works" - youtube.com/results?search_query=smart+meter+data+privacy+explained - Suche nach aktuellen Erklärvideos von Regulierern oder Versorgern zu Einwilligung und Datenschutz bei Smart-Meter-Daten, nützlich für einen visuellen Durchgang des Einwilligungsprozesses]

Das größere Governance-Spannungsfeld

Versorger, Regulierer und Dritte (Aggregatoren, Solarinstallateure, Demand-Response-Unternehmen) ziehen in verschiedene Richtungen. Versorger wollen Haftungsschutz und saubere Audit Trails. Dritte wollen schnellen, reibungsarmen Zugriff, um ihr Geschäft auszubauen. Regulierer (Ofgem in Großbritannien; staatliche PUCs wie die CPUC in den USA) versuchen, Einwilligung zu standardisieren, ohne Innovation einzufrieren.

Dieses Spannungsfeld ist der Grund, warum sich Frameworks wie SEC und Green Button weiterentwickeln. Für 2026 ist mit einer weiteren Ausweitung automatisierter Einwilligung (über APIs) bei gleichzeitig strikterer granularitätsbasierter Stufung zu rechnen, besonders da Daten zu E-Auto-Ladung und Hausbatterien kommerziell wertvoller werden und mehr über das Verhalten im Haushalt verraten.

Wichtigste Erkenntnisse

• Energiedaten auf Intervallebene (15-/30-/60-Minuten-Werte) werden als sensible personenbezogene Daten behandelt, weil sie Verhaltensmuster offenlegen und nicht nur Summen.
• Der britische Smart Energy Code setzt eine gestufte, zweckgebundene, erneuerbare Einwilligung für den Zugriff Dritter durch, überwacht von Ofgem; die USA setzen auf den freiwilligen Green-Button-Standard plus fragmentierte Regeln der Bundesstaaten (z. B. Kaliforniens CPUC).
• Eine gültige Zugriffsentscheidung erfordert die Prüfung von Zweckbindung, Datenminimierung, Aktualität der Einwilligung und Autorisierung des Dritten, nicht nur „wurde irgendwann einmal eine Einwilligung erteilt“.
• Praktische Governance läuft über Logs und Audits: Zugriffs-Logging, Prüfläufe auf Ablauf und periodische Compliance-Checks bei Dritten sind das operative Rückgrat der Einwilligungsdurchsetzung.
• Es gibt keinen einheitlichen globalen Standard; prüfen Sie immer das anwendbare Framework (SEC, DSGVO, US-Regeln auf Bundesstaatsebene), bevor Sie annehmen, ein Einwilligungsmodell lasse sich über Grenzen hinweg übertragen.