Datenschutz Wärmeplanung: Was Kommunen wirklich beachten müssen

Kommunen dürfen für die Potenzialanalyse ohne personenbezogene Daten arbeiten, für die Bestandsanalyse nur eingeschränkt und mit Aggregation oder Anonymisierung. Rechtsgrundlage sind §10 und §12 WPG in Verbindung mit Art. 6, 13 und 14 DSGVO. Wer diese Vorgaben ernst nimmt, setzt auf FAGA-Aggregation und Privacy by Design, statt Datenschutz als nachträgliche Formalie zu behandeln.

Kurz gesagt:

  • Kommunen dürfen für die Bestandsanalyse personenbezogene Daten nur mit Aggregation oder Anonymisierung verwenden, während die Potenzialanalyse keine personenbezogenen Daten enthalten darf.
  • Die Verarbeitung personenbezogener Daten muss stets auf eine rechtliche Grundlage nach WPG und DSGVO gestützt werden, inklusive Zweckbindung und Löschung nach Zweckerfüllung.
  • Für die Organisation der Datenübergabe von Versorgern und Netzbetreibern sind verschlüsselte Wege, klare Formate und Übergabeprotokolle verpflichtend.
  • Bei externen Dienstleistern ist ein detaillierter Auftragsverarbeitungsvertrag notwendig, der technische, organisatorische und Löschfristen regelt.
  • Frühzeitige rechtliche Prüfung, konsequente Anwendung der FAGA-Aggregation und ein unterschriebener AVV vor Datenbeginn sind essenziell, um Datenschutzrisiken zu minimieren.
PLANEGY
Wärmeplanung datenschutzkonform umsetzen
PLANEGY unterstützt Kommunen mit technologieoffener Energieberatung und umfassendem Service von der Analyse bis zur Umsetzung.
PLANEGY kennenlernen

Inhaltsverzeichnis

Gesetzliche Grundlage: WPG und die Rolle der DSGVO

Das Wärmeplanungsgesetz regelt in § 10 Abs. 1, dass die planungsverantwortliche Stelle die für Bestands- und Potenzialanalyse erforderlichen Daten erheben darf. Die Ermächtigung gilt aber nicht grenzenlos: Die Potenzialanalyse selbst darf keine personenbezogenen Daten enthalten, heißt es in der Rechtsgrundlage des WPG. Das ist der Kernpunkt, an dem viele Planungsprozesse ins Stolpern geraten, weil Verbrauchsdaten oder Gebäudedaten schnell einen Personenbezug herstellen, wenn sie zu kleinteilig vorliegen.

Die DSGVO tritt ergänzend hinzu, nicht als Gegenspieler. Art. 6 Abs. 1 lit. e DSGVO liefert die Rechtsgrundlage für die Verarbeitung, soweit sie zur Wahrnehmung einer öffentlichen Aufgabe erforderlich ist, und das WPG konkretisiert diese Aufgabe für die Wärmeplanung. § 10 WPG und Art. 6 DSGVO wirken damit wie zwei Schlösser an derselben Tür: Das eine öffnet die fachliche Befugnis, das andere sichert die datenschutzrechtliche Legitimation ab.

Für die Praxis heißt das: Löschung, Veröffentlichung und Zweckbindung sind keine Kür, sondern Pflicht. § 12 WPG verlangt die Pseudonymisierung oder Anonymisierung personenbezogener Daten und schreibt deren Löschung vor, sobald der Zweck erfüllt ist. Eine Kommune, die Bestandsdaten über die Planungsphase hinaus aufbewahrt, ohne dafür einen tragfähigen Zweck zu benennen, verstößt gegen genau diese Zweckbindung, unabhängig davon, wie gut die Daten sonst gesichert sind.

Anonymisierung, Pseudonymisierung und technische Schutzmaßnahmen

Anonymisierung entfernt den Personenbezug endgültig, Pseudonymisierung ersetzt ihn durch ein Kennzeichen, das sich mit einem separaten Schlüssel wieder zuordnen lässt. Für die Potenzialanalyse reicht nur die vollständige Anonymisierung, weil das WPG hier keinen Personenbezug zulässt. Für Teile der Bestandsanalyse kann Pseudonymisierung ausreichen, wenn der Zugriff auf den Schlüssel eng begrenzt bleibt.

Die FAGA-Praxis zeigt, dass eine Mindestaggregation, meist auf Ebene mehrerer Gebäude oder eines Straßenzugs, das Re-Identifizierungsrisiko deutlich senkt. Wird zu granular aggregiert, etwa auf ein einzelnes Gebäude mit nur einem Haushalt, bleibt der Personenbezug faktisch erhalten, auch wenn formal ein Aggregat vorliegt.

Praktisch bedeutet das:

  • Aggregationsschwellen vor Datenübermittlung mit dem FAGA-Tool prüfen, nicht erst danach.
  • Zugriff auf Rohdaten und Schlüssel organisatorisch trennen, etwa durch getrennte Rollen bei PVS und Dienstleister.
  • Jede Aggregations- und Anonymisierungsentscheidung dokumentieren, damit sie gegenüber der Aufsicht nachweisbar bleibt.

Ergänzend lassen sich Verfahren wie Differential Privacy einsetzen, um statistische Auswertungen zu ermöglichen, ohne einzelne Datensätze offenzulegen. Solche Verfahren bleiben aber Ergänzung, nicht Ersatz für eine saubere Aggregation nach FAGA-Empfehlung.

Profi-Tipp: Legen Sie vor Projektstart eine schriftliche Aggregationsschwelle fest und prüfen Sie jede Datenlieferung dagegen, statt Aggregation erst am Ende des Prozesses zu bewerten.

Informationspflichten: Ortsübliche Bekanntmachung statt Einzelbrief

§ 12 Abs. 3 WPG erlaubt es Kommunen, die Informationspflichten aus Art. 13 und 14 DSGVO durch eine ortsübliche Bekanntmachung zu erfüllen, statt jeden Betroffenen einzeln anzuschreiben. Das ist eine erhebliche Erleichterung, denn eine individuelle Ansprache wäre bei flächendeckender Wärmeplanung kaum praktikabel.

Eine ortsübliche Bekanntmachung sollte folgende Punkte enthalten:

  • Zweck der Datenverarbeitung und Rechtsgrundlage nach WPG und DSGVO.
  • Kategorien der verarbeiteten Daten und deren Herkunft.
  • Speicherdauer beziehungsweise Kriterien für die Löschung.
  • Kontaktdaten der verantwortlichen Stelle und des Datenschutzbeauftragten.
  • Hinweis auf Betroffenenrechte, insbesondere Auskunft, Berichtigung und Löschung.

Wichtig ist die Dokumentation: Wann und wo wurde die Bekanntmachung veröffentlicht, welche Inhalte enthielt sie, und wie lange blieb sie einsehbar. Diese Nachweise braucht die Kommune, sollte eine Aufsichtsbehörde nach der Rechtmäßigkeit der Informationspflicht fragen. Eine mündliche Bekanntmachung im Gemeinderat reicht dafür nicht, es braucht ein dokumentierbares, ortsübliches Format wie das Amtsblatt oder die kommunale Website.

Auftragsverarbeitung: Verträge mit Planungsbüros richtig gestalten

Sobald eine Kommune ein externes Planungsbüro oder einen IT-Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag, kurz AVV. Ohne diesen Vertrag bleibt die Kommune als verantwortliche Stelle allein haftbar für Verstöße des Dienstleisters, auch wenn dieser den Fehler verursacht hat.

Ein tragfähiger AVV sollte folgende Punkte regeln:

  1. Gegenstand und Dauer der Verarbeitung, konkret bezogen auf die Wärmeplanung.
  2. Weisungsbefugnis der Kommune und Pflicht des Dienstleisters, nur nach Weisung zu handeln.
  3. Bedingungen für die Einbindung von Unterauftragsverarbeitern, inklusive Zustimmungspflicht.
  4. Technische und organisatorische Maßnahmen, die der Dienstleister nachweislich umsetzt.
  5. Löschfristen für die Daten nach Abschluss der Planung.
  6. Auditrechte der Kommune, um die Einhaltung der Vereinbarung zu prüfen.

Der BfDI stellt eine Vorlage zur Verfügung, die Kommunen als Ausgangspunkt für eigene AVV mit Planungsbüros nutzen können. In der Praxis fehlen solchen Verträgen oft konkrete Ergänzungen wie Zugriffslogs, eine aktuelle Liste der Unterauftragsverarbeiter oder ein klarer Meldeprozess bei Datenschutzverletzungen, wie die FAGA-Empfehlungen des KWW betonen.

Bevor eine Kommune ein Planungsbüro beauftragt, lohnt sich eine klare Rollenklärung: Wer ist planungsverantwortliche Stelle, wer Auftragsverarbeiter, und wer erhält Daten nur als Dritter mit eigener Rechtsgrundlage. Diese drei Rollen bringen unterschiedliche Pflichten mit sich und werden in der Praxis häufig vermischt.

IT-Sicherheit, Smart-Meter-Daten und Zugriffskontrolle

§ 12 WPG verlangt die Verarbeitung nach dem Stand der Technik, Art. 32 DSGVO konkretisiert das mit Verschlüsselung, Protokollierung und Authentifizierung als Mindestmaßnahmen. Für Verbrauchsdaten aus intelligenten Messsystemen gelten zusätzlich die Vorgaben des Messstellenbetriebsgesetzes und die Schutzprofile des BSI für das Smart-Meter-Gateway. Der BfDI weist darauf hin, dass Privacy by Design hier nicht optional ist, sondern die technische Grundvoraussetzung für eine datenschutzgerechte Übermittlung von Messdaten bildet.

Für die Zugriffssteuerung bedeutet das konkret: Rollen so schneiden, dass niemand Zugriff auf mehr Daten hat, als seine Aufgabe erfordert. Wer Aggregationsstufen prüft, braucht keinen Zugriff auf Einzeldatensätze, und wer Verträge verwaltet, braucht keinen Zugriff auf Rohdaten. Jede Zugriffshandlung sollte protokolliert werden, damit die Kommune im Bedarfsfall gegenüber der Aufsicht nachweisen kann, wer wann auf welche Daten zugegriffen hat. Diese Auditfähigkeit ist am Ende oft der Unterschied zwischen einem Datenschutzkonzept auf Papier und einem, das im Ernstfall trägt.

Datenaustausch mit Netzbetreibern und Versorgern organisieren

Neben der Kommune selbst liefern vor allem Netzbetreiber, Energieversorger und Schornsteinfegerinnungen die Rohdaten für die Bestandsanalyse. Jede dieser Stellen hat eigene Datenschutzpflichten, und eine unkoordinierte Datenübergabe per E-Mail-Anhang gilt nicht als sichere Schnittstelle.

Für die Abstimmung empfiehlt sich:

  • Verschlüsselte Übertragungswege statt unverschlüsselter Dateianhänge vereinbaren.
  • Datenformat und Aggregationsstufe vorab mit dem Versorger klären, idealerweise unter Verweis auf das FAGA-Tool.
  • Übergabeprotokolle führen, die Datum, Umfang und Empfänger jeder Lieferung festhalten.

Als Orientierung dient der Datenkompass des Kompetenzzentrums Kommunale Wärmewende, der typische Datenquellen und deren rechtliche Einordnung zusammenfasst. Kommunen, die frühzeitig mit dem FAGA-Tool arbeiten, verhandeln mit Versorgern auf Augenhöhe, weil beide Seiten dieselbe Aggregationslogik verwenden.

Praxiseinblick: Datenschutzgerechte Umsetzung in der Wärmeplanung

Ein Ingenieurbüro kann kommunale Wärmeplanung von der Bestandsanalyse bis zur Umsetzung begleiten und dabei technische, wirtschaftliche und regulatorische Expertise zusammenbringen, ohne einzelne Technologien oder Anbieter zu bevorzugen. Ein Beispiel aus der Praxis ist der kommunale Wärmeplan für Grafenwiesen, bei dem Bestands- und Potenzialanalyse unter Berücksichtigung der WPG-Vorgaben zur Datenverarbeitung erstellt wurden.

Zu den Unterlagen, die Kommunen im Rahmen einer solchen Begleitung typischerweise erhalten, können ein projektspezifisches Datenschutzkonzept, eine AVV-Vorlage für Dienstleister und Netzbetreiber sowie ein IT-Sicherheitscheck für die verwendeten Datenquellen gehören. Die Leistungen zur Kommunalen Wärmeplanung sind darauf ausgelegt, die rechtlichen Anforderungen aus WPG und DSGVO direkt in den Planungsprozess einzubetten, statt sie als nachträgliche Prüfung anzuhängen.

Redaktionelle Perspektive: Was in den nächsten 90 Tagen wirklich zählt

Viele Kommunen behandeln Datenschutz als letzten Schritt vor der Veröffentlichung des Wärmeplans. Das ist die falsche Reihenfolge. Wer zuerst plant und danach fragt, welche Daten eigentlich zulässig waren, riskiert eine Bestandsanalyse, die neu aufgesetzt werden muss.

Drei Prioritäten verdienen Vorrang: erstens eine Rechtsprüfung von § 10 und § 12 WPG vor dem ersten Datenabruf, zweitens die konsequente Anwendung der FAGA-Aggregation auf jede eingehende Datenlieferung, drittens ein unterschriebener AVV, bevor der erste Datensatz das Haus verlässt. Das größte Risiko liegt dabei nicht in böser Absicht, sondern in zu granularen Aggregationsstufen, die formal als Aggregat gelten, faktisch aber Einzelpersonen erkennbar lassen.

Eine 90-Tage-Checkliste sollte deshalb schlank bleiben: Rechtsgrundlage klären, Aggregationsschwelle festlegen, AVV mit allen Dienstleistern abschließen, Zugriffsrollen definieren, Bekanntmachung vorbereiten. Wer diese fünf Punkte vor dem ersten Datenaustausch erledigt, spart sich später aufwendige Nachbesserungen.

— Alexios Donas

PLANEGY als Partner für datenschutzkonforme Wärmeplanung

Wer die Wärmeplanung selbst umsetzt, trägt das volle Risiko für jede Aggregations- und Vertragsentscheidung allein. PLANEGY übernimmt diese Aufgaben als festen Bestandteil der kommunalen Wärmeplanung nach WPG und verbindet dabei technische Anlagenkonzeption mit rechtlicher und regulatorischer Begleitung, einschließlich der Förderakquise für passende Fördermittel.

PLANEGY

Konkret können Anbieter Kommunen bei folgenden Schritten unterstützen:

  • Erstellung eines projektspezifischen Datenschutzkonzepts für Bestands- und Potenzialanalyse.
  • Begleitung bei der AVV-Gestaltung mit Netzbetreibern und Planungsbüros.
  • IT-Sicherheitscheck der verwendeten Datenquellen und Schnittstellen.

Die vollständige Leistungsübersicht zeigt, welche Schritte von der Analyse bis zur Umsetzung dazugehören. Kommunen, die ihre Wärmeplanung dauerhaft begleiten lassen möchten, finden im Klimaschutzmanagement im Abo ein passendes Format. Wer jetzt ein Erstgespräch vereinbaren möchte, findet über die Leistungsseite den passenden Einstieg in ein konkretes Projektangebot.

Primärquellen für Rechts- und Praxisnachweis

Für die Rechtsgrundlage lohnt sich der direkte Blick in das Wärmeplanungsgesetz. Technische Mindestanforderungen an Messdaten erklärt der BfDI zur Digitalisierung der Energiewende, während das Kompetenzzentrum Kommunale Wärmewende das FAGA-Tool zur Aggregation bereitstellt. Für Vertragsfragen hilft das Muster zur Auftragsverarbeitung des BfDI, für die praktische Zusammenfassung die bayerische Handreichung Datenschutz.

Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.

Quellen

Die Bestandsanalyse bildet den heutigen Zustand ab: Gebäude, Wärmebedarf, vorhandene Netze. Die Potenzialanalyse blickt nach vorn und untersucht, welche Wärmequellen künftig nutzbar sind, etwa Abwärme, Geothermie oder Biomasse. Nur die Potenzialanalyse verlangt nach dem WPG einen vollständigen Verzicht auf personenbezogene Daten. Die Bestandsanalyse darf mit personenbezogenen Daten arbeiten, muss diese aber aggregieren oder anonymisieren, sobald eine Rückverfolgung auf Einzelpersonen möglich wäre.

Für die tägliche Arbeit sind folgende Datentypen und Quellen relevant:

Als Maßstab für die Granularität gelten die Empfehlungen der Facharbeitsgruppe Aggregation, kurz FAGA, die Mindestaggregationsstufen definiert und damit verhindert, dass sich aus wenigen Datenpunkten auf einzelne Haushalte schließen lässt. Haushaltsumfragen oder direkte Befragungen von Privatpersonen sind dagegen nicht automatisch durch das WPG gedeckt; hierfür ist eine eigenständige Rechtsgrundlage erforderlich, beispielsweise eine informierte Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

FAQ

Dürfen Kommunen Verbrauchsdaten einzelner Haushalte verarbeiten?

Nur eingeschränkt und mit Aggregation oder Anonymisierung, wie § 10 WPG festlegt. Für die Potenzialanalyse ist ein Personenbezug ausgeschlossen, für Teile der Bestandsanalyse gelten die Mindestaggregationsstufen der FAGA-Empfehlungen des Kompetenzzentrums Kommunale Wärmewende.

Was muss eine ortsübliche Bekanntmachung enthalten?

Sie muss Zweck, Rechtsgrundlage, Datenkategorien, Speicherdauer und Betroffenenrechte nennen, wie es § 12 Abs. 3 WPG in Verbindung mit Art. 13 und 14 DSGVO vorsieht. Eine mündliche Ankündigung reicht nicht, notwendig ist ein dokumentierbares Format wie das Amtsblatt.

Braucht jede Kommune einen AVV mit ihrem Planungsbüro?

Ja, sobald ein externer Dienstleister personenbezogene Daten im Auftrag der Kommune verarbeitet, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Der BfDI stellt dafür eine Musterlage bereit, die Kommunen als Grundlage nutzen können.

Wie unterscheiden sich Anonymisierung und Pseudonymisierung in der Wärmeplanung?

Anonymisierung entfernt den Personenbezug endgültig und ist für die Potenzialanalyse zwingend, Pseudonymisierung ersetzt ihn durch ein wieder zuordenbares Kennzeichen und kann für Teile der Bestandsanalyse ausreichen. Welche Methode passt, hängt von der Aggregationsstufe ab, die die FAGA-Empfehlungen des KWW als Maßstab vorgeben.

Kann PLANEGY Kommunen bei der datenschutzkonformen Umsetzung unterstützen?

PLANEGY begleitet kommunale Wärmeplanung nach WPG von der Bestandsanalyse bis zur Umsetzung, einschließlich Datenschutzkonzept und AVV-Begleitung, wie die Leistungen zur Kommunalen Wärmeplanung zeigen. Ein konkretes Beispiel ist der kommunale Wärmeplan Grafenwiesen.

Empfehlungen

Sie haben ein Energieprojekt?

Beschreiben Sie uns kurz Ihre Ausgangssituation. Wir prüfen gemeinsam, ob und wie PLANEGY unterstützen kann.

Projekt besprechen →