3D-Scans liefern präzise Punktwolken ganzer Gebäude. Dabei entstehen nicht selten auch Daten, die datenschutzrechtlich relevant sind. Sobald personenbezogene Daten wie Personen, Kennzeichen oder private Gebäudedetails erfasst werden, greift die DSGVO: Auftraggeber und -geberinnen sowie Dienstleistungsunternehmen stehen dann gemeinsam in der Pflicht. Wir zeigen Ihnen, was rechtssichere Auftragsverarbeitung im 3D-Laserscanning für die Vermessung bedeutet, welche technischen und organisatorischen Maßnahmen zählen und welche Fehlerquellen Sie kennen sollten.
Inhaltsverzeichnis
Das Wichtigste in Kürze
- 3D-Laserscanning kann unbeabsichtigt personenbezogene Daten erfassen, was die DSGVO anwendbar macht.
- Auftraggeber und -geberinnen sind datenschutzrechtlich Verantwortliche und tragen damit eigene Pflichten.
- Ein AV-Vertrag (Auftragsverarbeitungsvertrag) ist bei der Beauftragung externer Scan-Dienstleister gesetzlich vorgeschrieben.
- Technische und organisatorische Maßnahmen (TOMs) schützen Scan-Daten vor unbefugtem Zugriff und Datenverlust.
- Ein klares Löschkonzept für 3D-Scandaten ist Teil einer rechtskonformen Datenverarbeitung.
- Eine frühzeitige Abstimmung zwischen Auftraggebern und -geberinnen sowie Dienstleistungsunternehmen verhindert kostspielige Verstöße.
Was beim 3D-Scan alles erfasst wird
Beim 3D-Laserscanning wird die Umgebung mit Millimetergenauigkeit dokumentiert. Das Laserscanner-System nimmt dabei alles auf, was sich im Erfassungsbereich befindet. Auf Baustellen, in Bestandsgebäuden oder im öffentlichen Raum können das weit mehr Informationen sein als nur Wände und Decken. Wer als Auftraggeber oder Auftraggeberin die Kontrolle über seine Scan-Daten behalten will, sollte wissen, was dabei dokumentiert werden kann.
Typische sensible Datenkategorien im 3D-Scan:
- Personen, die sich zum Zeitpunkt des Scans im Erfassungsbereich befinden
- Fahrzeugkennzeichen auf Parkflächen, Zufahrten oder in Tiefgaragen
- Schilder mit Namen, Adressen oder Firmenbezeichnungen
- Private Einrichtungsgegenstände in Wohn- oder Gewerbeobjekten
- Sicherheitsrelevante Gebäudedetails wie Schließanlagen oder Tresore
Rechtliche Grundlagen: Die DSGVO im Fokus
Nicht jeder 3D-Scan löst automatisch DSGVO-Pflichten aus. Entscheidend ist, ob die erfassten Daten einen Personenbezug aufweisen. Das ist der Fall, wenn auf den Scandaten erkennbare Personen, lesbare Kennzeichen oder andere identifizierbare Merkmale vorhanden sind. Selbst eine temporäre Zwischenspeicherung dieser Daten auf einem Laptop oder Server des Dienstleistungsunternehmens begründet bereits eine datenschutzrechtlich relevante Verarbeitung.
Für Auftraggeber und -geberinnen ergibt sich daraus eine klare datenschutzrechtliche Verantwortung: Sie entscheiden, warum und wie Daten erhoben werden, und haften dafür, dass dabei alles rechtmäßig zugeht. Der Scan-Dienstleister führt den Auftrag zwar technisch aus, handelt dabei aber ausschließlich nach den Vorgaben des Auftraggebers oder der Auftraggeberin. Weil dabei fremde Daten verarbeitet werden, schreibt die DSGVO in Art. 28 ausdrücklich vor, dass beide Seiten diese Zusammenarbeit im sogenannten AV-Vertrag (Auftragsverarbeitungsvertrag) schriftlich regeln müssen. Ohne diesen Vertrag fehlt die gesetzliche Grundlage für die gesamte Zusammenarbeit.
Risiken erkennen, bevor sie entstehen
In der Praxis entstehen Datenschutzverstöße beim 3D-Laserscanning selten durch Vorsatz, sondern fast immer durch fehlende Vorbereitung. Wenn Sie das Thema erst nach dem Scan angehen, riskieren Sie, bereits gegen geltendes Recht verstoßen zu haben.
Häufige Fehlerquellen bei Erfassung, Speicherung und Weitergabe sind:
- Es wird kein AV-Vertrag mit dem Scan-Dienstleistungsunternehmen vor Projektbeginn abgeschlossen.
- Die Scan-Daten werden unverschlüsselt per E-Mail oder über unsichere Cloud-Dienste übertragen.
- Da keine Zugriffsregelung existiert, können unbefugte Personen auf Rohdaten oder Punktwolken zugreifen.
- Die Daten verbleiben unbegrenzt auf Systemen des Dienstleistungsunternehmens, weil kein Löschkonzept definiert wurde.
- Personen oder Kennzeichen in der Punktwolke werden nicht anonymisiert.
- Es existiert keine Dokumentation der getroffenen Datenschutzmaßnahmen für den Nachweis gegenüber Behörden.
So schützen Sie sich rechtssicher
Der wichtigste Schritt zur rechtssicheren Beauftragung ist der Abschluss eines AV-Vertrags vor Beginn der Scanarbeiten. Dieser regelt, welche Daten zu welchem Zweck verarbeitet werden, welche Weisungsrechte der Verantwortlichen gelten und welche technischen und organisatorischen Maßnahmen der Auftragsverarbeiter bzw. die Auftragsverarbeiterin umzusetzen hat. Ohne diesen Vertrag fehlt die gesetzliche Grundlage für eine rechtmäßige Auftragsverarbeitung nach Art. 28 DSGVO.
Neben dem AV-Vertrag sind konkrete TOMs der zweite Pfeiler der Datensicherheit. Die Abkürzung TOMs steht für technische und organisatorische Maßnahmen – also alle praktischen Vorkehrungen, die sicherstellen, dass Daten nicht in falsche Hände geraten, nicht verloren gehen und nur von berechtigten Personen eingesehen werden können. Die folgende Tabelle zeigt, welche Maßnahmen in der Praxis besonders relevant sind:
| TOM-Kategorie | Beispielmaßnahme | Warum wichtig? |
|---|---|---|
| Zugriffskontrolle | rollenbasierte Zugriffsrechte auf Scandaten und Punktwolken | verhindert unbefugten Zugriff durch Dritte oder interne Unbefugte |
| Verschlüsselung | Verschlüsselung der Daten bei der Übertragung und Speicherung | schützt Daten vor Abfang oder Diebstahl während der Übermittlung |
| Löschkonzept | definierte Fristen zur Löschung von Rohdaten nach Projektabschluss | stellt sicher, dass keine Daten länger als nötig gespeichert bleiben |
| Anonymisierung | Löschen erkennbarer Personen und Kennzeichen in der Punktwolke | eliminiert den Personenbezug und reduziert das datenschutzrechtliche Risiko |
| Sichere Datenübertragung | Nutzung verschlüsselter Transferplattformen statt ungesicherter E-Mails | schließt eine der häufigsten Schwachstellen im Datentransfer |
| Dokumentation | schriftlicher Nachweis aller getroffenen Datenschutzmaßnahmen | ermöglicht Rechenschaftspflicht gegenüber Aufsichtsbehörden |
FAQ
Was passiert, wenn beim Scan versehentlich Personen erfasst werden?
Werden Personen versehentlich in der Punktwolke erfasst, sind die entsprechenden Datenbereiche zu anonymisieren oder zu löschen. Der oder die Verantwortliche muss sicherstellen, dass diese Daten nicht ohne Rechtsgrundlage weiterverarbeitet oder gespeichert werden. Im AV-Vertrag sollte geregelt sein, wie das Dienstleistungsunternehmen in solchen Fällen vorgeht.
Wie lange dürfen 3D-Scandaten gespeichert werden?
Es gibt keine gesetzlich festgelegte Maximalspeicherfrist für Scandaten. Maßgeblich ist der Grundsatz der Datenminimierung nach Art. 5 DSGVO: Daten dürfen nur so lange gespeichert werden, wie es für den vereinbarten Zweck erforderlich ist. Ein schriftlich definiertes Löschkonzept ist daher empfehlenswert.
Wer haftet bei einem Datenschutzverstoß durch den Scan-Dienstleister?
Primär haftet der oder die Verantwortliche, also der Auftraggeber bzw. die Auftraggeberin. Handelt das Dienstleistungsunternehmen als Auftragsverarbeiter und verstößt gegen Weisungen oder vertragliche Pflichten aus dem AV-Vertrag, kann es intern in Regress genommen werden. Ein rechtssicher formulierter AV-Vertrag ist daher für beide Seiten wichtig.
Können bereits erfasste Scan-Daten nachträglich anonymisiert werden?
Ja, eine nachträgliche Anonymisierung ist technisch möglich. Gängige Punktwolken-Software bietet Funktionen, um erkennbare Personen oder Kennzeichen aus den Rohdaten zu entfernen oder unkenntlich zu machen. Nach erfolgreicher Anonymisierung entfällt der Personenbezug und die DSGVO ist auf diese Datenbereiche nicht mehr anwendbar.
Fazit: Ihre nächsten Schritte für rechtssicheres 3D-Laserscanning
- Schließen Sie vor Projektbeginn einen AV-Vertrag mit Ihrem Scan-Dienstleistungsunternehmen ab.
- Klären Sie im Vorfeld, welche Bereiche gescannt werden und wo personenbezogene Daten entstehen können.
- Fordern Sie von dem Dienstleistungsunternehmen eine Übersicht der umgesetzten TOMs an.
- Legen Sie schriftlich fest, wie lange Scan-Daten gespeichert und wann sie gelöscht werden.
- Stellen Sie sicher, dass Datentransfers ausschließlich über verschlüsselte, sichere Kanäle erfolgen.
- Anonymisieren Sie Personen und Kennzeichen in der Punktwolke, bevor Daten weitergegeben werden.
Wir begleiten Sie nicht nur mit präzisem 3D-Laserscanning für Bauprojekte, sondern auch mit einem klaren Verständnis für datenschutzkonforme Prozesse. Sie planen ein Scan-Projekt und möchten dabei rechtlich auf der sicheren Seite stehen? Jetzt Projekt zum 3D-Laserscanning anfragen! Wir melden uns bei Ihnen.