Powerbank-Sharing fällt unter die DSGVO, sobald Daten anfallen, die sich einer Person zuordnen lassen. Dazu gehören zum Beispiel Zahlungsbezüge, Mietzeitpunkte oder Gerätekennungen, auch wenn niemand einen Namen eintippt. Für dich als Standortinhaber, Venue-Manager oder Franchise-Partner heißt das: Die Station ist nicht nur Hardware. Sie ist eine Datenverarbeitung, für die Rollen, Zwecke und Löschregeln feststehen müssen. Hier erfährst du, welche Daten tatsächlich anfallen, wer wofür verantwortlich ist und welche Unterlagen du vor dem Go-live brauchst. Dazu kommt, worauf du bei Outdoor-Stationen mit Kamera oder Werbescreen achten solltest.
Kurz gesagt
- ✅ Die DSGVO gilt, sobald eine Person identifiziert oder identifizierbar ist. Das betrifft auch Kartenbezüge, Zeitstempel und Standortdaten.
- 🧩 Die wichtigste Frage vor dem Start: Wer ist Verantwortlicher, wer gemeinsam Verantwortlicher, wer Auftragsverarbeiter? Schreib es auf.
- 📋 Pflichtunterlagen sind vor allem das Verzeichnis der Verarbeitungstätigkeiten, die technischen und organisatorischen Maßnahmen und bei hohem Risiko eine Datenschutz-Folgenabschätzung.
- 📷 Das größte Risiko steckt meist nicht in der Powerbank, sondern in Zusatzfunktionen: Kamera, Fernzugriff, Nutzungsprofile und Werbung.
- 🔓 Verleih ohne App und ohne Registrierung hält die Datenmenge klein, weil kein Kundenkonto entsteht.
Inhaltsverzeichnis
- Welche Daten beim Powerbank-Sharing anfallen
- Warum „ohne App“ den Datenschutz einfacher macht
- Wer ist verantwortlich? Die Rollen klären
- Die DSGVO-Grundsätze im Stationsalltag
- Pflichtunterlagen vor dem Go-live
- Outdoor-Stationen: Kamera, Fernzugriff und Werbescreen
- Was in den Datenschutzhinweis an der Station gehört
- Typische Fehler, die wir in der Praxis sehen
- Unsere Sicht: Weniger Daten, weniger Aufwand
- Eine Station für deinen Standort
- Häufige Fragen
- Quellen
Welche Daten beim Powerbank-Sharing anfallen
Viele Standortbetreiber denken zuerst: „Bei uns gibt niemand seinen Namen an, also ist Datenschutz kein Thema.“ Das greift zu kurz. Das Bundesdatenschutzgesetz definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen, und zwar direkt oder indirekt, etwa über eine Kennung oder Standortdaten. Diese Definition entspricht der der DSGVO.
Beim Powerbank-Sharing können deshalb diese Daten personenbezogen sein:
| Vorgang | Mögliche Datenkategorien | Zweck |
|---|---|---|
| Ausleihe am Terminal | Zeitpunkt, Station, Powerbank-Kennung | Mietvorgang starten |
| Bezahlung | Zahlungsreferenz, Betrag, Autorisierung | Abrechnung nach Mietdauer |
| Rückgabe | Rückgabezeitpunkt, Rückgabestation | Miete beenden, Betrag berechnen |
| Verlust | Verknüpfung Mietvorgang und Zahlung | Verlustgebühr abrechnen |
| Stationsmonitoring | Gerätestatus, Fehlermeldungen, Logs | Betrieb und Wartung |
| Support | Kontaktdaten, Beschreibung des Problems | Anfragen beantworten |
| Website und Werbung | Kontaktformular, Leads von Werbekunden | Werbebuchungen bearbeiten |
Nicht jede Zeile enthält zwingend Personenbezug. Ein reiner Fehlercode „Slot 4 klemmt“ ist technisch. Sobald ein Fehler aber mit einem konkreten Mietvorgang und damit mit einer Zahlung verbunden ist, wird es personenbezogen. Genau diese Verknüpfungen solltest du kennen.
Warum Zahlungsdaten der Kern sind
Bei einer Station ohne Konto ist die Zahlung der Punkt, an dem ein Mietvorgang einer Person zugeordnet werden kann. Die Bank oder der Zahlungsdienstleister kennt den Karteninhaber. Der Stationsbetreiber sieht in der Regel nur eine Referenz. Trotzdem gilt diese Referenz als indirekte Kennung. Wie die Kartenzahlung im Detail läuft und was du als Betreiber dazu wissen solltest, liest du in unserem Beitrag zur Kartenzahlung beim Powerbank-Sharing.
Warum „ohne App“ den Datenschutz einfacher macht
Viele Sharing-Modelle setzen auf eine App mit Konto. Dann fallen typischerweise zusätzlich an: E-Mail-Adresse oder Telefonnummer, ein Passwort, Gerätedaten des Smartphones, oft auch Standortfreigaben und Analyse-Tools in der App. Jede dieser Datenarten braucht einen Zweck, eine Rechtsgrundlage und eine Löschregel.
Bei einer Station, an der du direkt am Terminal mietest, entfällt dieser ganze Block. Es gibt kein Konto, keine Registrierung und keine App, die im Hintergrund Daten sammelt. Das passt zum Grundsatz der Datenminimierung: Es wird nur verarbeitet, was für den Mietvorgang nötig ist.
Für dich als Standortpartner hat das einen praktischen Vorteil. Du musst deinen Gästen weniger erklären, und die Datenschutzhinweise bleiben kurz und verständlich. Wie das Mieten ohne App genau abläuft, zeigt unser Artikel Powerbank Sharing ohne App.
Wer ist verantwortlich? Die Rollen klären
Das ist die Frage, an der in der Praxis die meisten Projekte hängen. Wer entscheidet über Zweck und Mittel der Verarbeitung? Daraus ergibt sich die Rolle.
Verantwortlicher ist, wer festlegt, warum und wie Daten verarbeitet werden. Beim Powerbank-Sharing ist das typischerweise das Unternehmen, das den Verleih anbietet und abrechnet.
Gemeinsam Verantwortliche sind zwei oder mehr Stellen, die Zwecke und Mittel zusammen festlegen. Das kann vorkommen, wenn ein Standortbetreiber eigene Ziele mit den Daten verfolgt, zum Beispiel eigene Auswertungen der Nutzung für Marketing.
Auftragsverarbeiter ist, wer Daten nur nach Weisung verarbeitet, etwa ein Hosting-Anbieter oder ein Wartungsdienstleister. Die Datenschutzkonferenz (DSK) weist darauf hin, dass ein Wartungsunternehmen typischerweise Auftragsverarbeiter sein kann, wenn es personenbezogene Daten verarbeitet. Dann ist ein Vertrag nach Art. 28 DSGVO nötig.
Eine Vorlage ersetzt keine Prüfung
Die Rollen hängen vom tatsächlichen Einfluss ab, nicht vom Vertragstitel. Eine pauschale Vorlage hilft dir als Startpunkt, aber sie ersetzt keine Prüfung deines konkreten Falls. Typische Konstellationen:
- Du stellst nur die Fläche und den Strom bereit und siehst keine Mietdaten: Du bist für die Mietdaten in der Regel weder Verantwortlicher noch Auftragsverarbeiter.
- Du bekommst Auswertungen mit Bezug zu einzelnen Mietvorgängen: Dann prüf genau, wofür und auf welcher Grundlage.
- Du ergänzt am Standort eigene Technik, etwa eine Kamera: Für diese Verarbeitung bist du selbst verantwortlich.
⚠️ Wenn du dir bei der Einordnung unsicher bist, besonders bei Franchise-Modellen mit eigenem Betrieb, lass die Rollenverteilung von deinem Datenschutzbeauftragten oder einer auf IT- und Datenschutzrecht spezialisierten Kanzlei prüfen, bevor du unterschreibst.
Die DSGVO-Grundsätze im Stationsalltag
Die DSK verlangt von Verantwortlichen, dass sie die Einhaltung der Datenschutzgrundsätze nachweisen können. „Vollautomatisch“ bedeutet also nicht „datenschutzfrei“. So sehen die Grundsätze an einer Station konkret aus:
- Rechtmäßigkeit: Für jede Verarbeitung gibt es eine Rechtsgrundlage. Für Abrechnung und Rückgabe ist das in der Regel die Vertragserfüllung.
- Transparenz: Nutzer sehen vor der Miete, wer die Daten verarbeitet und wofür. Am besten direkt an der Station oder über einen QR-Code.
- Zweckbindung: Daten aus der Abrechnung werden nicht einfach für Werbung verwendet.
- Datenminimierung: Kein Konto, wenn keins nötig ist. Keine genauen Bewegungsprofile.
- Speicherbegrenzung: Für jeden Zweck gibt es eine Löschregel. Gesetzliche Aufbewahrungspflichten für Buchhaltungsunterlagen können längere Fristen bedingen.
- Integrität und Vertraulichkeit: Zugriffe sind geschützt, Fernwartung ist abgesichert und protokolliert.
Pflichtunterlagen vor dem Go-live
Diese Schritte solltest du in dieser Reihenfolge abhaken, bevor die erste Powerbank verliehen wird:
- Rollen schriftlich festlegen. Wer ist Verantwortlicher, wer Auftragsverarbeiter? Das gilt für den Verleihanbieter, den Standortbetreiber, den Zahlungsdienstleister und Hosting-Partner.
- Verträge abschließen. Wo Auftragsverarbeitung vorliegt, braucht es einen Vertrag nach Art. 28 DSGVO. Bei gemeinsamer Verantwortung braucht es eine Vereinbarung, die festlegt, wer welche Pflichten übernimmt.
- Verzeichnis der Verarbeitungstätigkeiten anlegen. Laut dem DSK-Kurzpapier zum Verzeichnis nach Art. 30 DS-GVO ist das ein schriftliches oder elektronisches Verzeichnis aller Verarbeitungstätigkeiten mit personenbezogenen Daten. Es enthält mindestens Zwecke, Datenkategorien, betroffene Personen und Empfänger.
- Technische und organisatorische Maßnahmen (TOM) beschreiben. Zum Beispiel Verschlüsselung, Rechtekonzept, gesicherte Fernwartung, Protokollierung.
- Risiko einschätzen. Bei hohem Risiko ist eine Datenschutz-Folgenabschätzung (DSFA) nötig. Bei einer schlichten Station ohne Kamera ist das selten der Fall. Mit Zusatzfunktionen kann es anders aussehen.
- Datenschutzhinweise bereitstellen. Kurz, verständlich, direkt an der Station erreichbar.
- Löschregeln umsetzen. Nicht nur aufschreiben, sondern technisch einrichten.
So kann ein Verzeichnis für eine Station aussehen
Für einen Powerbank-Verleih gehören typischerweise diese Einträge ins Verzeichnis, jeweils mit eigener Zweckbeschreibung und Löschregel:
- Miet- und Zahlungsabwicklung
- Rückgabe- und Verlustmanagement
- Stationsmonitoring und Wartung
- Support-Anfragen
- Website-Kontakte und Leads von Werbekunden
Wer diese Punkte sauber trennt, kann bei einer Anfrage der Aufsichtsbehörde schnell zeigen, was passiert. Die Auslegungshilfen der deutschen Aufsichtsbehörden findest du gesammelt in den Kurzpapieren der Datenschutzkonferenz.
Outdoor-Stationen: Kamera, Fernzugriff und Werbescreen
Bei Outdoor-Standorten steigt der Prüfbedarf. Das liegt selten an der Powerbank selbst. Es liegt an dem, was rund um die Station passiert. Die wichtigste Regel: Bewerte jede Zusatzfunktion einzeln. Pack sie nicht pauschal unter den Zweck „Stationsbetrieb“.
Videoüberwachung am Standort
Viele Betreiber überlegen, eine Outdoor-Station mit einer Kamera gegen Vandalismus zu schützen. Hier gelten eigene Regeln. Die DSK-Orientierungshilfe zur Videoüberwachung durch nicht-öffentliche Stellen verlangt, dass die Prüfung vor dem Start erfolgt. Dazu gehören Dokumentation, Eintrag ins Verzeichnis, technische und organisatorische Maßnahmen und gegebenenfalls eine DSFA. Das gilt auch für private Veranstaltungsorte.
Die DSK nennt Faktoren, die ein hohes Risiko auslösen können:
- Fernzugriff auf die Bilder
- hohe Auflösung
- Zoom- und Schwenkfunktionen
- Überwachung von Kindern oder Beschäftigten
Wichtig: Ein Hinweisschild allein macht eine Kamera nicht zulässig. Laut der Orientierungshilfe ändert der bloße Hinweis nichts an den vernünftigen Erwartungen der Betroffenen.
⚠️ Wenn du an einer Outdoor-Station eine Kamera ergänzen willst, besonders an Orten mit Kindern, etwa Schwimmbädern oder Freizeitparks, oder dort, wo deine Mitarbeitenden arbeiten: Sprich vorher mit deinem Datenschutzbeauftragten. Prüft gemeinsam, ob eine DSFA nötig ist.
Digitaler Werbescreen
Ein Screen, der lokale Werbung im Wechsel abspielt, verarbeitet für sich genommen keine Daten über Passanten. Kritisch wird es, wenn ein Screen Personen erfasst, etwa über Kameras zur Zielgruppenerkennung oder durch die Verknüpfung von Werbung mit Mietvorgängen. Solche Funktionen brauchen eine eigene Bewertung. Für Werbekunden fallen außerdem ganz normale Geschäftsdaten an: Ansprechpartner, Rechnungsdaten, Buchungen.
Fernüberwachung der Station
Fernüberwachte Stationen senden Statusdaten: Füllstand, Ladezustand, Störungen. Diese Daten sind meist technisch. Sobald Protokolle aber einzelne Mietvorgänge enthalten, gehören sie ins Verzeichnis und brauchen Zugriffsrechte und Löschregeln. Die DSK ordnet Unternehmen, die personenbezogene Daten aus einer Fernüberwachung verarbeiten, regelmäßig als Auftragsverarbeiter ein.
Mehr zur Planung von Stationen im Freien findest du in unserem Beitrag zu Outdoor-Powerbank-Sharing für Events. Welche Genehmigungen außerhalb des Datenschutzes nötig sein können, erklärt unser Leitfaden zur Stationsgenehmigung.
Was in den Datenschutzhinweis an der Station gehört
Für einen Gast, der kurz sein Handy laden will, zählt eins: Er muss schnell verstehen, was mit seinen Daten passiert. Ein guter Hinweis an oder neben der Station ist deshalb wichtiger als eine lange technische Beschreibung. Er beantwortet diese Fragen:
- 👤 Wer ist verantwortlich, mit Kontaktdaten?
- 🎯 Wofür werden Daten verarbeitet: Miete, Abrechnung, Rückgabe, Verlust?
- ⚖️ Auf welcher Rechtsgrundlage?
- 📤 Wer erhält die Daten, zum Beispiel Zahlungsdienstleister?
- ⏳ Wie lange werden sie gespeichert?
- 🛡️ Welche Rechte hat der Nutzer: Auskunft, Berichtigung, Löschung, Beschwerde bei einer Aufsichtsbehörde?
Praktisch ist eine zweistufige Lösung: ein kurzer Text direkt an der Station und ein QR-Code zur vollständigen Datenschutzerklärung. So bleibt die Station übersichtlich, und niemand muss lange suchen.
Typische Fehler, die wir in der Praxis sehen
- Die Station als reine Hardware behandeln. Dann fehlt sie im Verzeichnis, und niemand fühlt sich zuständig.
- Rollen nicht klären. Später weiß keiner, wer eine Auskunftsanfrage beantworten muss.
- Alles unter einen Zweck packen. „Stationsbetrieb“ deckt keine Kamera und keine personalisierte Werbung ab.
- Löschregeln nur auf dem Papier. Logs, die nie gelöscht werden, sind ein Risiko.
- Zusätzliche Datenquellen nachträglich einbauen. Eine neue Funktion ist eine neue Verarbeitung und muss vorher bewertet werden.
- Den Hinweis vergessen. Gerade an unbemannten Stationen gibt es niemanden, der fragen kann. Der Hinweis muss für sich selbst sprechen.
Unsere Sicht: Weniger Daten, weniger Aufwand
Wir haben Æcharge bewusst so gebaut, dass du am Terminal mietest, ohne App und ohne Registrierung. Du zahlst per Karte, Apple Pay, Google Pay oder Girocard, und das war es. Für uns ist das nicht nur eine Frage der Bequemlichkeit. Ein Verleih ohne Kundenkonto ist auch datenschutzfreundlicher, weil gar nicht erst eine Sammlung von Profilen entsteht.
Für Standortinhaber ist uns etwas anderes genauso wichtig: Du sollst dich nicht um Technik kümmern müssen. Unsere Stationen laufen vollautomatisch und werden zentral aus der Ferne überwacht. Wir beobachten aber auch, dass Datenschutz bei unbemannten Stationen oft erst dann zum Thema wird, wenn jemand eine Kamera oder neue Funktionen ergänzen möchte. Unser Rat: Klär die Rollen vor dem Start schriftlich, halte Zusatzfunktionen getrennt und bewerte sie einzeln. Dann bleibt der Betrieb einfach, transparent und sicher.
— aecharge.brand
Eine Station für deinen Standort
Du betreibst ein Einkaufszentrum, eine Gastronomie, ein Kino, einen Campus oder einen Veranstaltungsort und möchtest deinen Gästen Strom zum Mitnehmen anbieten? Die Æcharge-Station bringt Powerbanks mit integrierten Kabeln für USB-C, Lightning und Micro-USB. Die Rückgabe ist an jeder Station möglich. Outdoor-Stationen sind wetterfest, und der digitale Screen kann lokale Werbung zeigen. Als Franchise-Partner bekommst du Support und Infrastruktur, den technischen Betrieb übernehmen wir zentral.
👉 Alle Infos zum Partnermodell findest du auf unserer Seite zur Æcharge-Station und zum Franchise. Werbeflächen auf Screens, Website und Social Media kannst du über unsere Werbemöglichkeiten an den Stationen anfragen.
Häufige Fragen
Gilt die DSGVO auch, wenn sich niemand registriert?
Ja, sobald eine Person identifizierbar ist. Auch ohne Namen können Zahlungsreferenzen, Zeitstempel oder Standortdaten personenbezogen sein. Ohne Konto fallen aber deutlich weniger Daten an, und die Pflichten lassen sich einfacher erfüllen.
Bin ich als Standortinhaber automatisch verantwortlich?
Nicht automatisch. Es kommt darauf an, ob du über Zwecke und Mittel der Verarbeitung mitentscheidest oder Mietdaten erhältst. Stellst du nur Fläche und Strom bereit, bist du für die Mietdaten in der Regel nicht zuständig. Für eigene Technik am Standort, etwa Kameras, bist du dagegen selbst verantwortlich.
Brauche ich für eine Powerbank-Station eine Datenschutz-Folgenabschätzung?
Bei einer einfachen Station ohne Kamera ist das selten nötig. Eine DSFA wird relevant, wenn ein hohes Risiko besteht, zum Beispiel durch Videoüberwachung mit Fernzugriff, Zoom oder hoher Auflösung, oder durch die Überwachung von Kindern oder Beschäftigten. Im Zweifel klärt das dein Datenschutzbeauftragter.
Was passiert datenschutzrechtlich, wenn eine Powerbank nicht zurückkommt?
Dann wird der Mietvorgang mit der Zahlung verknüpft, um die Verlustgebühr abzurechnen. Bei Æcharge beträgt die Lost-Fee einmalig 30 €. Diese Verarbeitung gehört als eigener Zweck mit eigener Löschregel ins Verzeichnis der Verarbeitungstätigkeiten.
Verarbeitet ein Werbescreen Daten über Passanten?
Ein Screen, der nur Werbung abspielt, erfasst keine Personen. Anders ist es, wenn Kameras oder Sensoren Zuschauer erkennen oder Werbung mit Mietvorgängen verknüpft wird. Solche Funktionen müssen vor dem Einsatz getrennt bewertet werden.
Quellen
- § 46 BDSG: Begriffsbestimmungen
- DSK: Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen
- DSK-Kurzpapier Nr. 1: Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DS-GVO
- Datenschutzkonferenz: Kurzpapiere zur DS-GVO