DSGVO-konforme KI in Schwimmbädern, Hotels und Wellnessbereichen einführen
Ja, du kannst KI in einem Bad datenschutzkonform einführen — wenn sie auf Anlagendaten läuft (Pumpen, Wärme, Lüftung, Zähler) und lokal im Haus bleibt, statt Gästedaten in eine Cloud zu schicken. Der Weg besteht aus vier Schritten: messen, plausibilisieren, digitalisieren, KI-Assistent aufsetzen.
Zähler-, Pumpen-, Temperatur- und Lastgangdaten sind keine personenbezogenen Daten — für sie greift die DSGVO im Normalfall gar nicht. Kritisch wird es erst, wenn du Kamerabilder, Zutrittsprotokolle, Buchungsdaten, Personaleinsatzdaten oder Gesundheitsangaben (z. B. Reha-Kurse) in dasselbe System kippst. Praktische Regel für dein Projekt: Trenne beides von Anfang an sauber. Die KI für die Energie- und Anlagensteuerung braucht keinen einzigen Gästedatensatz — und was du nicht verarbeitest, musst du auch nicht rechtfertigen.
1) Messen: Zähler und Sensoren an den Gewerken (Beckenumwälzung, Heizung/Wärmepumpe, Lüftung, Attraktionen, Sauna) erfassen, mit sauberen Zeitstempeln. 2) Plausibilisieren: Die Rohdaten gegen Erwartung prüfen — passt der Verbrauch zur Laufzeit, ist der COP realistisch, laufen Pumpen nachts unnötig? Ohne diesen Schritt lernt die KI Messfehler. 3) Digitalisieren: Die Anlage als Datenmodell abbilden — welches Gerät hängt wo, welche Sollwerte gelten, welche Regelkreise existieren. 4) KI-Assistent darauf aufsetzen, der Fragen zur Anlage beantwortet und Fahrpläne vorschlägt. KI wird nicht 'installiert', sie wird in dieser Reihenfolge eingeführt.
Läuft das Sprachmodell auf einem Rechner im Haus (oder in einem von dir kontrollierten Rechenzentrum), verlassen die Daten dein Haus nicht. Damit entfallen die typischen Baustellen: kein Drittlandtransfer, kein Auftragsverarbeitungsvertrag mit einem US-Anbieter, keine Frage, ob Prompts zum Training genutzt werden. Genau deshalb ist der lokale Betrieb bei Bädern der Standardweg — nicht aus Ideologie, sondern weil er die halbe Prüfliste streicht. Wenn du doch einen externen Dienst nutzt, brauchst du einen AV-Vertrag nach Art. 28 DSGVO und musst den Transfer begründen.
Sobald Kamera, Drehkreuz, Buchungssystem oder Personalplanung angebunden werden: Du brauchst eine Rechtsgrundlage nach Art. 6 DSGVO (bei Beschäftigten zusätzlich § 26 BDSG), einen Eintrag im Verzeichnis der Verarbeitungstätigkeiten (Art. 30), Löschfristen und ein Berechtigungskonzept. Bei systematischer Videoüberwachung öffentlich zugänglicher Bereiche oder bei Gesundheitsbezug (Art. 9) ist eine Datenschutz-Folgenabschätzung nach Art. 35 zu prüfen. Und wenn Beschäftigtendaten so ausgewertet werden, dass Leistung oder Verhalten kontrollierbar wird, ist der Betriebs- bzw. Personalrat mitbestimmungspflichtig — hol ihn früh dazu, nicht am Ende.
Der europäische AI Act sieht in Art. 50 Transparenzpflichten für KI-Systeme vor, die direkt mit Menschen interagieren — die Nutzer sollen erkennen können, dass sie es mit einer KI zu tun haben. Die Vorgaben gelten gestaffelt; den für dich maßgeblichen Anwendungszeitpunkt lässt du dir bestätigen. Praktisch heißt das: Wenn dein Assistent auch von Gästen oder Personal per Chat genutzt wird, kennzeichne ihn als KI. Für den rein internen Anlagen-Assistenten ohne Personenbezug ist der Aufwand gering. Das hier ist eine Prozessbeschreibung, keine Rechtsberatung — binde deinen Datenschutzbeauftragten ein, bevor du live gehst.
Ein Hotel- oder Wellnesspool hat dieselben Gewerke wie ein kommunales Bad — Umwälzung, Wärmeerzeugung, Lüftung, Sauna, Attraktionen. Der Weg ist deshalb 1:1 derselbe: messen, plausibilisieren, digitalisieren, lokalen KI-Assistenten aufsetzen. Der einzige echte Unterschied ist die Nähe zu Gästedaten: Belegungs- und Buchungszahlen sind für die Bedarfsprognose interessant, aber du brauchst dafür nur aggregierte Werte (wie viele Gäste pro Tag), nicht wer gebucht hat. Aggregiere an der Quelle, dann bleibt die Anwendung außerhalb des Personenbezugs.