DSGVO und
Raumbuchungsdaten

Kurzantwort: Die meisten Raumbuchungsplattformen leiten Ihre Kalender- und Meetingdaten über ihre eigenen Cloud-Server — und fügen damit jeder Buchung einen Dritten und eine zusätzliche Compliance-Angriffsfläche hinzu. Eine rein lokale App, die direkt vom Gerät aus mit den Servern von Google oder Microsoft spricht, entfernt diese Zwischenschicht vollständig — was die DSGVO-Lage für Organisationen mit Sitz oder Kunden in der EU erheblich vereinfacht.

Datenschutz ist selten das Aushängeschild im Marketing für Raumdisplays. Für Organisationen, die unter der DSGVO arbeiten, ist er aber eine echte Architekturfrage — und die sollten Sie verstehen, bevor Sie sich auf eine Plattform festlegen.

Wie die meisten Raumbuchungs-SaaS-Plattformen tatsächlich arbeiten

Eine typische cloudbasierte Raumbuchungsplattform funktioniert so:

1. Ihre Kalenderplattform (Google Workspace oder Microsoft 365) hält die eigentlichen Buchungsdaten
2. Die Server des Buchungsanbieters verbinden sich per API mit Ihrem Kalender, ziehen die Daten und speichern oder cachen sie auf der eigenen Infrastruktur
3. Die Anbieterserver schieben die Daten auf das Display-Gerät
4. Analysen, Check-in-Historie und Nutzungsmuster landen für Dashboard-Funktionen oft ebenfalls auf den Servern des Anbieters

Dieser Zwischenschritt — Anbieterserver, die eine Kopie der Meetingdaten Ihrer Organisation halten — ist der Ort, an dem der Großteil der DSGVO-Komplexität entsteht: Auftragsverarbeitungsverträge, Subunternehmerlisten, Fragen zum Speicherort der Daten und Meldepflichten bei Datenpannen führen alle zurück auf diesen Dritten in der Kette.

Wie eine rein lokale App stattdessen funktioniert

Eine wirklich local-first gebaute App überspringt den Zwischenserver komplett:

1. Das Gerät authentifiziert sich per OAuth direkt bei Google oder Microsoft
2. Es kommuniziert direkt mit den eigenen APIs von Google oder Microsoft, um Kalenderdaten zu lesen und zu schreiben
3. Kein separater Anbieterserver hält oder verarbeitet je eine Kopie dieser Daten — sie existieren nur auf dem Gerät (kurzzeitig, zur Darstellung) und in den Systemen, mit denen Sie ohnehin eine Auftragsverarbeitungsbeziehung haben

Warum das gerade unter der DSGVO zählt

Die Kernpflichten der DSGVO drehen sich im Wesentlichen darum, wer personenbezogene Daten verarbeitet, wo und auf welcher vertraglichen Grundlage. Meetingtitel, Organisatorennamen und Teilnehmerlisten sind nach den meisten Auslegungen personenbezogene Daten. Jeder zusätzliche Auftragsverarbeiter in der Kette bedeutet:

• Einen weiteren Auftragsverarbeitungsvertrag, den Sie prüfen und pflegen müssen
• Einen weiteren Eintrag in Ihren Subunternehmer- und Lieferantenrisikobewertungen
• Eine weitere Partei, deren eigene Sicherheitspraxis und Pannenhistorie zu Ihrem Risiko wird
• Möglicherweise eine weitere Jurisdiktion, die Sie beim Speicherort der Daten berücksichtigen müssen — je nachdem, wo die Server dieses Anbieters stehen

Eine rein lokale Architektur hat konstruktionsbedingt einen Auftragsverarbeiter weniger in dieser Kette — denn die „Verarbeitung" findet direkt zwischen dem Gerät und der Kalenderplattform statt, die Sie bereits geprüft und unter Vertrag haben (Google oder Microsoft), nicht bei einem dritten Vermittler.

Was Sie prüfen sollten, bevor Sie „rein lokal" glauben

Nicht jedes Produkt, das als schlank oder leichtgewichtig vermarktet wird, ist tatsächlich rein lokal. Bevor Sie sich in Compliance-Fragen darauf berufen, klären Sie:

• Steht in der Datenschutzerklärung des Anbieters ausdrücklich, dass er keine eigenen Server betreibt und keinen Zugriff auf Ihre Daten hat?
• Läuft die Authentifizierung über Standard-OAuth (Tokens sicher auf dem Gerät gespeichert), statt dass der Anbieter Ihre Service-Account-Zugangsdaten hält?
• Werden Analyse- oder Nutzungshistorie-Funktionen, falls vorhanden, auf dem Gerät berechnet statt in ein Anbieter-Dashboard hochgeladen?

Der Kompromiss, den Sie kennen sollten

Eine rein lokale Architektur bedeutet in der Regel: kein zentrales, vom Anbieter gehostetes Analyse-Dashboard über Ihr gesamtes Raumportfolio — es gibt schlicht keinen Server, der diese Daten aggregiert. Wenn standortübergreifende Workplace-Analysen eine Anforderung sind, läuft das typischerweise auf eine Cloud-Plattform mit einem ordentlichen Auftragsverarbeitungsvertrag hinaus. Das ist eine legitime Wahl — nur eben eine andere, mit einem anderen Compliance-Gespräch im Gepäck.

FAQ

Bringt eine Raumbuchungs-App zusätzliche DSGVO-Pflichten über Google oder Microsoft hinaus? Nur wenn die App Ihre Kalenderdaten über eigene Server leitet — eine rein lokale App, die direkt mit den APIs von Google oder Microsoft spricht, führt keinen zusätzlichen Auftragsverarbeiter ein.

Gelten Meetingdaten unter der DSGVO als personenbezogene Daten? In der Regel ja — Meetingtitel, Organisatorennamen und Teilnehmerinformationen können personenbezogene Daten darstellen. Genau deshalb zählt die Zahl der Auftragsverarbeiter, durch deren Hände diese Daten gehen.

Bekomme ich mit einem rein lokalen Raumdisplay trotzdem Nutzungsanalysen? Oft ja — aber auf dem Gerät berechnet und angezeigt statt auf einem Anbieterserver aggregiert. Standortübergreifende Dashboards erfordern typischerweise eine cloudbasierte Plattform.

The Room Display betreibt keine eigenen Server — es verbindet sich direkt, Gerät zu Gerät, mit Ihrem Google-Workspace- oder Microsoft-365-Konto, ohne Anbieter dazwischen.