SichererOffline-Betrieb von Reinigungsrobotern – worauf es in deutschen Objektenankommt

Produktunterlagen zu Reinigungsrobotern beschreiben überwiegend, was eine Netzverbindung ermöglicht: Fernsteuerung, Berichte, Clouddiagnose, Flottenverwaltung.

In deutschen Bestandsobjekten ist die Funkabdeckung jedoch selten vollständig. Tiefgaragen, dichte Regalzeilen und Außenbereiche liegen regelmäßig außerhalb des Netzes.

Hinzu kommt eine zweite Frage, die in Deutschland häufig vor der technischen steht: Welche Daten erhebt der Roboter, wo werden sie verarbeitet und wer hat Zugriff darauf?

Beide Aspekte gehören zusammen. Dieser Beitrag ordnet, welche Funktionen ohne Verbindung weiterlaufen, welche ausfallen und welche Nachweise Datenschutzbeauftragte und Beschaffung vor der Entscheidung anfordern sollten.

Zwei Bedeutungen von „sicherem Offline-Betrieb“

Der Begriff wird in Ausschreibungen für zwei unterschiedliche Anforderungen verwendet:

• Betriebssicherheit – der Roboter reinigt zuverlässig weiter, auch wenn das WLAN ausfällt oder der Bereich nicht abgedeckt ist

• Datensicherheit – die Verarbeitung ist dokumentiert, der Speicherort bekannt und durch ein auditiertes Managementsystem abgesichert

Die Antworten liegen an unterschiedlichen Stellen. Die erste folgt aus der Architektur der Maschine, die zweite aus den Zertifikaten und Richtlinien des Anbieters.

Welche Funktionen ohne Netzverbindung weiterlaufen

Die Trennlinie verläuft zwischen Reinigungsfunktionen und Managementfunktionen. Reinigungsfunktionen werden auf der Maschine verarbeitet.

• Navigation und Lokalisierung – LiDAR- und Kameradaten werden auf dem Gerät ausgewertet. Position und Route entstehen aus der bordeigenen Wahrnehmung, ohne Abruf aus der Cloud.

• Hinderniserkennung und Ausweichen – die Erkennung von Personen, Fahrzeugen, Kabeln und temporären Hindernissen sowie die Routenanpassung in Echtzeit laufen vollständig auf der bordeigenen Rechenleistung.

• Ausführung eingerichteter Aufgaben – Reinigungsrouten und Betriebsparameter sind auf der Maschine gespeichert und werden auch während eines Ausfalls abgearbeitet.

• Bodenerkennung und Moduswechsel – die Sensorik bestimmt den Belag und passt die Reinigungsparameter lokal an.

Für den Objektbetrieb heißt das: Die Reinigungsleistung ist von der Netzverbindung nicht betroffen.

Welche Funktionen eine Verbindung voraussetzen

• Datenübertragung und Berichte – das Backend zeigt keinen Live-Status, für den Offline-Zeitraum entsteht kein Bericht

• Fernsteuerung – Aufgaben über die App zuweisen, Einsätze remote starten oder beenden

• Clouddiagnose und Fernsupport – beide setzen fortlaufende Statusdaten voraus

• Standortübergreifende Flottenansicht – erfordert, dass jede Maschine Daten überträgt

• Software-Updates – ohne Verbindung keine Over-the-Air-Aktualisierung

Diese Funktionen sind nicht dauerhaft verloren. Ob und wie die Daten aus dem Offline-Zeitraum nach der Wiederverbindung nachgeladen werden, unterscheidet sich zwischen Herstellern und gehört ausdrücklich abgefragt.

Wo in Bestandsobjekten Funklöcher entstehen

Alle diese Bereiche lassen sich vor der Anlieferung der Maschine mit einem Mobilgerät prüfen – zu einem Bruchteil der Kosten einer späteren Nachrüstung von Access Points.

Welche Daten ein vernetzter Reinigungsroboter erzeugt

Vor dem Vergleich von Zertifikaten lohnt die interne Verständigung darüber, welche Daten überhaupt betroffen sind. Ein vernetzter Bodenreinigungsroboter erzeugt vier Arten von Daten mit unterschiedlicher Sensibilität:

• Raumdaten – die Karte, die der Roboter aufbaut und zur Lokalisierung nutzt, einschließlich Raumaufteilung, Sperrzonen und Routenplänen

• Sensordaten – Eingaben von Kameras, Tiefensensoren und LiDAR zur Echtzeiterkennung von Hindernissen und Personen

• Betriebsdaten – Aufgabenprotokolle, Abdeckung, Laufzeit, Wasser- und Verbrauchsmittelverbrauch, Fehlercodes und Reinigungshistorie

• Kontodaten – Identitäten und Kontaktdaten der Personen, die sich auf der Flottenplattform anmelden

Sicherheitsprüfungen konzentrieren sich meist auf die Sensordaten. In der Praxis sind es jedoch Raum- und Betriebsdaten, nach denen später gefragt wird – ein Grundriss eines Sicherheitsbereichs und ein Zeitstempel darüber, wann ein Flur unbesetzt war, sind beide für Unbefugte von Interesse.

Eine kurze schriftliche Auskunft über alle vier Kategorien – welche Daten das Objekt verlassen, welche auf der Maschine bleiben, welche nach Abschluss einer Aufgabe gespeichert werden – lässt sich ohne weitere Aufbereitung an den Datenschutzbeauftragten weitergeben.

Zwei Zertifizierungen sind für den Datenschutz maßgeblich

Hersteller von Reinigungsrobotern führen eine lange Liste von Kennzeichen. Für die Informationssicherheit sind zwei internationale Normen entscheidend, und sie sind nicht austauschbar.

Gausium ist nach ISO/IEC 27001 und ISO/IEC 27701 zertifiziert, ausgestellt durch SGS. Das ISO/IEC-27701-Zertifikat war das erste in der Branche, das eine UKAS-Akkreditierung trägt.

Die Akkreditierung ist dabei mehr als eine Formalie: UKAS ist eine nationale Akkreditierungsstelle, die die Zertifizierungsstellen selbst bewertet. Ein akkreditiertes Zertifikat bedeutet daher, dass auch der Auditor überprüft wurde.

Wichtig für die Bewertung: CE- und Funkkennzeichen bestätigen Produktsicherheit und elektromagnetische Verträglichkeit. Sie treffen keine Aussage über Speicherung, Übertragung oder Weitergabe von Daten und ersetzen kein Informationssicherheitszertifikat.

Was auf einem Zertifikat zu prüfen ist

Eine Normnummer auf einer Website sagt wenig aus. Fünf Felder auf dem Zertifikat selbst sind maßgeblich:

1. Der Geltungsbereich – er benennt Rechtsträger, Standorte und Dienste. Ein Zertifikat, das einen Produktionsstandort abdeckt, aber nicht die Cloudplattform, deckt nicht das relevante Risiko ab.

2. Zertifizierungsstelle und Akkreditierer – akkreditierte Zertifizierung wiegt in Vergabeverfahren in der Regel schwerer.

3. Die genannte Ausgabe der Norm – daraus ergibt sich, welche Übergangsregelungen gelten.

4. Ausstellungsdatum, Ablauf und Überwachungsaudits – Zertifizierung läuft in Zyklen; maßgeblich ist das heute gültige Zertifikat.

5. Der Vertragspartner – in Europa werden Maschinen häufig über Distributoren geliefert. Zu klären ist, ob die zertifizierte Einheit auch die Einheit ist, die den Vertrag zeichnet und das Konto betreibt.

Speicherort, Aufbewahrung und Zugriff

Der Speicherort ist der Punkt, der bei europäischen Auftraggebern am häufigsten aus der Rechts- oder Compliance-Prüfung zurückkommt.

Die Datenschutzerklärung von Gausium führt dazu aus:

• Speicherort – Nutzer können die Cloud-Serverregion, in der ihre personenbezogenen Daten gespeichert werden, entsprechend ihrem Standort auswählen

• Aufbewahrung – personenbezogene Daten werden bis zur Kündigung des Kontos aufbewahrt und danach gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht

• Auskunfts- und Löschersuchen – geprüfte Anfragen werden innerhalb von fünf Arbeitstagen bearbeitet, in besonderen Fällen innerhalb von höchstens dreißig Tagen oder der gesetzlich vorgesehenen Frist

• Sicherheitsmaßnahmen – benannt werden Firewall-Schutz, Verschlüsselung wie SSL, De-Identifizierung beziehungsweise Anonymisierung sowie Zugriffskontrollen

Die tatsächlich bereitgestellte Region und die Frage, ob sie später wechselbar ist, gehören anschließend in den Vertrag.

Eine Datenschutzerklärung dieser Art ist auf die personenbezogenen Daten aus Konto und App zugeschnitten. Speicherort und Aufbewahrung robotergenerierter Daten – Karten, Kamera- und Sensoraufzeichnungen, Aufgabenhistorie – sind eine gesonderte Frage. Sinnvoll ist eine schriftliche Auskunft je Datenkategorie, einschließlich der Frage, was mit jeder Kategorie bei Vertragsende geschieht.

Mitbestimmung und interne Freigabe

Technische Einrichtungen, die zur Überwachung von Verhalten oder Leistung der Beschäftigten geeignet sind, unterliegen nach § 87 Abs. 1 Nr. 6 BetrVG der Mitbestimmung.

Reinigungsroboter erfassen Flächen, keine Personenleistung. Die Einordnung sollte dennoch früh und gemeinsam mit Datenschutzbeauftragtem und Betriebsrat erfolgen, nicht erst nach der Bestellung.

Wie Gausium-Roboter arbeiten

Gausium-Roboter nutzen eine Multisensorfusion aus LiDAR und Kamera, deren Daten auf der Maschine verarbeitet werden. Navigation, Lokalisierung und Hindernisvermeidung sind nicht von einer Cloudverbindung abhängig.

In Kombination mit einer Dockingstation übernehmen die Maschinen Laden und Wassermanagement selbstständig und unterstützen damit den unbeaufsichtigten Betrieb. Gerade in Tiefgaragen und Kellerbereichen, wo die Funkabdeckung typischerweise am schwächsten ist, reduziert das die Zahl der Vorgänge, die Personal vor Ort erfordern.

Zugriff auf Betriebsdaten, Ferndiagnose, Aufgabenplanung und standortübergreifende Verwaltung laufen über die Cloudplattform und setzen eine Verbindung voraus. Das konkrete Offline-Verhalten – Zwischenspeicherung und Synchronisation nach der Wiederverbindung – sollte modellbezogen im Rahmen der Inbetriebnahme bestätigt werden.

Ein auditiertes Managementsystem deckt die Organisation ab, nicht jede einzelne Softwareversion. Gausium veröffentlicht Plattformhinweise zu Sicherheitsthemen auf einer eigenen Seite für Cybersecurity-Hinweise; wie Kunden bei einer Meldung informiert werden, ist eine berechtigte Frage an jeden Hersteller.

Was in die Ausschreibung gehört

Datenschutz kommt in der Beschaffung von Reinigungsrobotern häufig spät – nachdem die Modelle bereits nach Reinigungsleistung vorausgewählt wurden. Die Antworten sind dokumentarischer Natur und lassen sich unmittelbar nebeneinanderlegen, weshalb eine frühe Abfrage kaum Aufwand verursacht und die Auswahlliste verändert.

Vier Klauseln genügen in der Regel:

1. Der Anbieter legt gültige Zertifikate nach ISO/IEC 27001 und ISO/IEC 27701 vor, einschließlich Geltungsbereich mit Nennung der für die Flottenverwaltung genutzten Cloudplattform sowie der jeweiligen Normausgabe.

2. Der Anbieter benennt die Speicherregion für sämtliche Konto- und Betriebsdaten und bestätigt, ob die Region wählbar ist.

3. Der Anbieter gibt Aufbewahrungsfristen je Datenkategorie an, einschließlich Karten- und Sensordaten, sowie ein dokumentiertes Löschverfahren bei Vertragsende.

4. Der Anbieter schließt einen Auftragsverarbeitungsvertrag für die Rechtsordnung ab, in der die Flotte betrieben wird.

Ergänzend gehören sechs Punkte zum Offline-Verhalten in dieselbe Abfrage:

• Funktionsumfang im Offline-Betrieb, Funktion für Funktion statt allgemeiner Zusicherung

• Umgang mit Betriebsdaten während eines Ausfalls und Reichweite des Zwischenspeichers

• Aufgabenstart ohne Verbindung direkt am Gerät

• Speicherort von Karten und Routen

• Synchronisation nach Wiederverbindung, automatisch oder manuell

• Definition der Verbindungsunterbrechung im Servicevertrag

Für eine Bewertung der Netzsituation und der Einsatzoptionen in einem konkreten Objekt steht Gausium für eine Begehung und Beratung zur Verfügung.

Häufige Fragen zum Offline-Betrieb von Reinigungsrobotern

Q1: Reinigt ein Roboter ohne Netzverbindung weiter?
Ja. Navigation, Lokalisierung, Hindernisvermeidung und die Ausführung eingerichteter Aufgaben laufen auf der Maschine. Betroffen sind Fernsteuerung, Berichte, Clouddiagnose und Flottenverwaltung.

Q2: Zeigt das Backend während eines Ausfalls den Maschinenstatus?
Nein. Die Datenübertragung setzt eine Verbindung voraus. Ob die Aktivität nach der Wiederverbindung nachgeladen wird, ist herstellerabhängig zu klären.

Q3: Welche Zertifizierung ist für den Datenschutz maßgeblich?
ISO/IEC 27001 als Grundlage für ein auditiertes Informationssicherheits-Managementsystem, ergänzt um ISO/IEC 27701 für personenbezogene Daten. Gausium ist nach beiden Normen zertifiziert, das 27701-Zertifikat trägt eine UKAS-Akkreditierung.

Q4: Deckt ein CE- oder Funkkennzeichen die Datensicherheit ab?
Nein. Diese Kennzeichen betreffen Produktsicherheit und elektromagnetische Verträglichkeit und treffen keine Aussage über Speicherung, Übertragung oder Weitergabe von Daten.

Q5: Wo werden die Daten gespeichert?
Nach der Datenschutzerklärung von Gausium können Nutzer die Cloud-Serverregion entsprechend ihrem Standort auswählen. Die Regelung für robotergenerierte Karten- und Sensordaten wird in der Einsatzplanung bestätigt.

Q6: Wie werden Auskunfts- und Löschersuchen bearbeitet?
Geprüfte Anfragen werden laut Datenschutzerklärung innerhalb von fünf Arbeitstagen bearbeitet, in besonderen Fällen innerhalb von höchstens dreißig Tagen. Gesetzlich aufbewahrungspflichtige Daten bleiben nach Kontokündigung bestehen.

Q7: Sind Funklöcher vor der Beschaffung erkennbar?
Ja. Tiefgaragen, dichte Regalzeilen, Bereiche nahe Metallstrukturen, Außenflächen und die Mitte großer Hallen lassen sich vorab mit einem Mobilgerät prüfen.

Q8: Zählt eine Verbindungsunterbrechung als Anbieterverschulden?
Das ergibt sich aus dem Vertrag. Manche Servicevereinbarungen nehmen Unterbrechungen durch nicht verfügbare Konnektivität von Verfügbarkeitszusagen aus.

Quellen

1. ISO/IEC 27001 – Anforderungen an ein Managementsystem für Informationssicherheit, veröffentlicht bei der Internationalen Organisation für Normung.

2. ISO/IEC 27701 – Managementsystem für Datenschutzinformationen; die aktuelle Ausgabe ist bei ISO verfügbar, die Vorgängerausgabe von 2019 unter ISO/IEC 27701:2019.

3. UKAS – nationale Akkreditierungsstelle hinter der ISO/IEC-27701-Zertifizierung von Gausium, siehe ukas.com.

4. Gausium – Zertifizierungsstelle, Akkreditierung und Geltungsbereich im Wortlaut der Zertifizierungsmeldung.

5. Gausium – Serverregion, Aufbewahrung, Bearbeitung von Anfragen und Sicherheitsmaßnahmen, dargestellt in der Datenschutzerklärung.