PV-Daten und Datenschutz: Wer deine Einspeisewerte sieht — und wie lange

Das Messstellenbetriebsgesetz regelt seit 2016, wer die Zahlen aus deinem Zählerschrank sehen darf. Wer eine Photovoltaikanlage betreibt, erzeugt dabei einen Datensatz, den ein Haushalt ohne Anlage nicht hat: eine Einspeisekurve, die minutengenau zeigt, wann jemand zu Hause war, wann die Waschmaschine lief und wann das Haus leer stand. Dieser Ratgeber klärt, wer diese Kurve bekommt, wie lange sie gespeichert werden darf und an welcher Stelle das Gesetz PV-Haushalte schlechter stellt als Haushalte ohne Anlage.

Zwei Datenspuren, zwei Rechtsordnungen

Eine PV-Anlage erzeugt zwei getrennte Datenströme, und für jeden gilt ein anderes Regelwerk. Der eine läuft über den geeichten Zähler und das Smart-Meter-Gateway; für ihn gilt das Messstellenbetriebsgesetz mit seinem eigenen, abschließenden Katalog. Der andere läuft über die Internetverbindung deines Wechselrichters in ein Herstellerportal; für ihn gilt allein die Datenschutz-Grundverordnung.

Der Unterschied ist keine Feinheit. Paragraf 49 Absatz 1 Messstellenbetriebsgesetz lautet in Satz 1, dass personenbezogene Daten ausschließlich von den in Absatz 2 genannten Stellen verarbeitet werden dürfen — und Satz 2 setzt nach: „Eine Verarbeitung dieser Daten nach anderen Rechtsvorschriften des Bundes oder der Länder ist unzulässig." Für die Zählerspur gibt es also eine geschlossene Liste. Für die Portalspur gibt es sie nicht.

In der Praxis merkst du den Unterschied daran, dass du die eine Spur nicht abstellen kannst und die andere schon. Wer das Herstellerportal nicht nutzt, hat die zweite Spur nicht. Wer ein intelligentes Messsystem im Zählerschrank hat, hat die erste in jedem Fall.

Die neun Stellen, die deine Messwerte verarbeiten dürfen

Paragraf 49 Absatz 2 zählt neun berechtigte Stellen auf: Messstellenbetreiber, Netzbetreiber, Bilanzkoordinatoren, Bilanzkreisverantwortliche, Direktvermarktungsunternehmer nach dem Erneuerbare-Energien-Gesetz, Energielieferanten, Aggregationsverantwortliche, Messwertweiterverarbeiter — und als Nummer 9 jede Stelle, die über eine Einwilligung nach Artikel 7 der Datenschutz-Grundverordnung verfügt.

Der Hersteller deines Wechselrichters steht in keiner der Nummern 1 bis 8. Er kommt nur über Nummer 9 herein, also über deine Einwilligung. Das ist der juristische Kern der zweiten Datenspur: Sie beruht nicht auf einer gesetzlichen Aufgabe, sondern auf einem Häkchen, das du irgendwann bei der Einrichtung gesetzt hast.

Ein Detail aus Absatz 5 lohnt den Blick, wenn ein Anbieter beim Tarifwechsel nach mehr Angaben fragt, als er braucht: Die Belieferung mit Energie oder der Zugang zu Tarifen darf nicht von der Angabe personenbezogener Daten abhängig gemacht werden, die hierfür nicht erforderlich sind.

Was der Zähler standardmäßig sendet: täglich, auf Anforderung viertelstündlich

Paragraf 60 Absatz 3 Messstellenbetriebsgesetz beschreibt die Standardkonfiguration. Für Anlagen nach dem Erneuerbare-Energien-Gesetz — das sind die Fälle des Paragrafen 55 Absatz 3 und 4 — steht dort dreimal derselbe Satzbaustein: Einspeise- oder Zählerstandsgänge „täglich für den Vortag, auf Anforderung auch viertelstündlich".

Dreimal deshalb, weil drei Empfänger genannt sind: der Verteilernetzbetreiber in Nummer 1 Buchstabe f, der Übertragungsnetzbetreiber samt Bilanzkoordinator in Nummer 2 Buchstabe f und der Energielieferant in Nummer 3 Buchstabe c. Kommen ein Messwertweiterverarbeiter oder ein Aggregationsverantwortlicher hinzu, sind es nach Nummer 4 und 5 fünf Empfänger.

Wie viel die Kurve über dich verrät, hängt am Betriebsmodell. Bei der Volleinspeisung zeigt der Einspeisegang im Wesentlichen das Wetter über deinem Dach. Bei der Überschusseinspeisung zeigt derselbe Gang die Differenz aus Erzeugung und Eigenverbrauch — und damit indirekt, wann im Haus Strom gezogen wurde.

Wer in die Direktvermarktung wechselt — also die Marktprämie statt der festen Einspeisevergütung bezieht —, bekommt mit dem Direktvermarkter nach Paragraf 49 Absatz 2 Nummer 5 zusätzlich einen weiteren Empfänger; die Abwicklung der Einspeisevergütung selbst nennt Paragraf 66 Absatz 1 Nummer 2 ausdrücklich als zulässigen Zweck des Netzbetreibers.

Außerhalb dieser Fälle darf der Messstellenbetreiber Dritten nur anonymisierte und geeignet aggregierte Gänge zur Verfügung stellen, und das nur als Zusatzleistung nach Paragraf 34 Absatz 2 und 3.

Der Satz, der PV-Haushalte aus dem Regelschutz nimmt

Paragraf 52 Absatz 3 Satz 3 Nummer 1 Messstellenbetriebsgesetz macht die Pseudonymisierung von Last- und Zählerstandsgängen zur Pflicht — aber nur „bei Letztverbrauchern mit einem Jahresstromverbrauch bis einschließlich 6 000 Kilowattstunden, hinter deren Netzanschluss weder eine steuerbare Verbrauchseinrichtung nach Paragraf 14a des Energiewirtschaftsgesetzes noch eine Anlage nach dem Erneuerbare-Energien-Gesetz oder dem Kraft-Wärme-Kopplungsgesetz betrieben wird".

Lies den Nebensatz zweimal. Der Regelfall-Schutz des kleinen Haushalts endet in dem Moment, in dem hinter dem Netzanschluss eine EEG-Anlage steht. Eine Dachanlage mit 8 kW genügt. Eine Wallbox oder eine Wärmepumpe als steuerbare Verbrauchseinrichtung genügt ebenfalls. Die Schwelle von 6.000 kWh Jahresverbrauch spielt dann keine Rolle mehr — sie wird gar nicht erst geprüft. Für PV-Haushalte greift stattdessen Nummer 2 mit einzeln aufgezählten, deutlich engeren Fällen — pseudonymisiert wird dann nur noch für bestimmte Zwecke, etwa die Netzausbauplanung nach Paragraf 66 Absatz 1 Nummer 3 und 4 oder die Energiemengenprognose des Lieferanten nach Paragraf 69 Absatz 1 Nummer 6.

Das ist ein Befund, der in der Beratung häufig unterschätzt wird: Wer eine PV-Anlage aufs Dach setzt, verlässt datenschutzrechtlich die Gruppe, für die das Gesetz die schärfste Standardregel vorsieht. Die sachliche Begründung liegt auf der Hand — Einspeisung und Steuerung brauchen einen zuordenbaren Zählpunkt. Die Folge bleibt trotzdem, dass deine Gänge in mehr Fällen mit Klarbezug übermittelt werden als die deiner Nachbarn ohne Anlage.

Anonym heißt hier: mindestens fünf Anschlussnutzer

Was „anonymisiert" im Energierecht praktisch bedeutet, steht in Paragraf 52 Absatz 3 Satz 2. Eine Anonymisierung kann danach „insbesondere über Aggregation der Daten von mindestens fünf Anschlussnutzern" erfolgen, eine Pseudonymisierung über alphanumerische Bezeichnungen des Ortes der Messung, der Entnahme oder der Einspeisung.

Fünf ist eine kleine Zahl. In einem Straßenzug mit sechs Häusern, von denen fünf eine PV-Anlage haben, ist eine Aggregation über genau diese fünf kein besonders wirksamer Schutz mehr, wenn jemand die Einspeiseprofile kennt. Der Gesetzeswortlaut nennt die Aggregation über fünf Anschlussnutzer auch nur als Beispiel („insbesondere") und stellt sie unter den Vorbehalt der Voraussetzungen der Datenschutz-Grundverordnung — die Fünf ist eine Untergrenze der Praxis, keine Freigabe.

Für Daten aus intelligenten Messsystemen kommt eine technische Schranke hinzu: Nach Absatz 4 dürfen sie nur zwischen Teilnehmern der Smart-Metering-Public-Key-Infrastruktur des Bundesamtes für Sicherheit in der Informationstechnik kommuniziert werden.

Löschfristen: ein Jahr, drei Jahre, zwölf Monate

Das Gesetz kennt keine einheitliche Löschfrist, sondern staffelt sie nach Stelle und Zweck. Alle folgenden Fristen stehen unter dem Vorbehalt, dass die Bundesnetzagentur in einer Festlegung nach Paragraf 47 Absatz 2 Nummer 13 oder Paragraf 75 nichts anderes bestimmt.

Der Anker ist jeweils der Schluss des Kalenderjahres, nicht der Messtag. Ein Viertelstundenwert vom 3. Januar 2026 darf beim Messstellenbetreiber also bis zum 31. Dezember 2029 liegen — knapp vier Jahre nach der Messung. Erfahrungsgemäß ist das die Zahl, die Betreiber überrascht, wenn sie zum ersten Mal danach fragen.

Eine Grenze zieht Paragraf 70: Über die Paragrafen 66 bis 69 hinaus ist ein Datenaustausch nur zulässig, soweit keine personenbezogenen Daten verarbeitet werden — oder eben mit deiner Einwilligung nach Artikel 6 Absatz 1 Unterabsatz 1 Buchstabe a der Datenschutz-Grundverordnung.

Die datensparsamere Konfiguration — und wem sie zusteht

Paragraf 60 Absatz 5 klingt beim ersten Lesen wie ein Verbraucherrecht: „Unter Beachtung von Absatz 4 Satz 2 und in den Grenzen der Absätze 1 und 2 können Berechtigte vom Messstellenbetreiber jede von Absatz 3 abweichende datensparsamere Konfiguration des Smart-Meter-Gateways verlangen."

Entscheidend ist das Wort „Berechtigte". Es ist im Messstellenbetriebsgesetz kein allgemeiner Ausdruck, sondern eine definierte Rolle: Paragraf 49 Absatz 2 nennt die berechtigten Stellen, und der Anschlussnutzer gehört nicht dazu. Nach dem Wortlaut steht das Verlangen nach einer sparsameren Konfiguration also dem Netzbetreiber oder dem Lieferanten zu, nicht dir.

Was dir dagegen sicher zusteht, steht in Paragraf 62 Absatz 2 Satz 2: Du kannst der Bereitstellung über die App des Messstellenbetreibers widersprechen und stattdessen eine lokale Anzeigeeinheit verlangen, die das Smart-Meter-Gateway direkt beliefert — gegen ein angemessenes Einmalentgelt.

Was du selbst sehen darfst: 15 Minuten und 24 Monate

Paragraf 62 Absatz 1 verpflichtet den Messstellenbetreiber, dir bei vorhandenem intelligenten Messsystem mindestens fünf Dinge bereitzustellen: Informationen über Einspeisung und Verbrauch, abrechnungsrelevante Messwerte zur Überprüfung der Abrechnung, historische tages-, wochen-, monats- und jahresbezogene Einspeisewerte für die letzten 24 Monate, Informationen über etwaige Einstellungen eines Schaltprofils sowie die Informationen aus Paragraf 53.

Absatz 2 setzt die Frist: Auf deine Anforderung sind die Informationen innerhalb von 15 Minuten über eine standardisierte Schnittstelle in einer Anwendung für mobile Endgeräte mit geschütztem individuellem Zugang bereitzustellen. Wer nur eine moderne Messeinrichtung ohne Gateway hat, bekommt nach Absatz 3 immerhin die Einspeise- und Verbrauchsinformationen sowie die historischen Werte.

Paragraf 53 selbst ist enger, als sein Titel „Auskunftsrechte des Anschlussnutzers" vermuten lässt. Er gibt Einsicht in die im Speicher- und Verarbeitungsmedium gespeicherten auslesbaren Daten, ausdrücklich aber nur, „soweit diese Daten nicht personenbezogen sind". Für die personenbezogenen Daten verweist die Vorschrift auf Artikel 15 der Datenschutz-Grundverordnung — dort liegt das eigentliche Auskunftsrecht.

Das Auskunftsersuchen: ein Monat, verlängerbar um zwei

Artikel 15 Absatz 1 der Verordnung (EU) 2016/679 gibt dir vier Auskünfte, die bei Energiedaten den Unterschied machen: die Verarbeitungszwecke, die Kategorien der Daten, die Empfänger — „insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen" — und nach Buchstabe d die geplante Speicherdauer oder die Kriterien für ihre Festlegung. Absatz 3 Satz 1 verpflichtet zusätzlich zur Herausgabe einer Kopie der verarbeiteten Daten; für weitere Kopien darf ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangt werden.

Die Frist steht in Artikel 12 Absatz 3: Antwort unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags. Die Frist kann um weitere zwei Monate verlängert werden, wenn Komplexität und Anzahl der Anträge das erfordern — über die Verlängerung muss der Verantwortliche dich aber innerhalb des ersten Monats unterrichten, mitsamt den Gründen.

Was im Marktstammdatenregister öffentlich steht: die 30-Kilowatt-Grenze

Das Marktstammdatenregister der Bundesnetzagentur ist öffentlich, und das ist gewollt. Paragraf 15 Absatz 1 der Marktstammdatenregisterverordnung nennt aber Ausnahmen, und eine davon ist für Hausbesitzer die wichtigste Zahl des ganzen Themas.

Nach Nummer 1 Buchstabe a werden Standortangaben zu Straße, Hausnummer, Flurstücksbezeichnungen und Geokoordinaten nicht veröffentlicht — bei Erzeugungseinheiten „mit einer Leistung von höchstens 30 Kilowatt". Nach Nummer 2 werden Daten zu Marktakteuren nicht veröffentlicht, wenn der Marktakteur eine natürliche Person ist; Daten sonstiger Marktakteure werden veröffentlicht.

Im Umkehrschluss heißt das: Ab mehr als 30 kW sind Straße, Hausnummer, Flurstück und Geokoordinaten der Anlage öffentlich abrufbar. Der Name der natürlichen Person bleibt in beiden Fällen außen vor, die Adresse der Anlage nicht. Diese Auslegung folgt aus der Ausnahmevorschrift selbst — sie ist als Ausnahme formuliert, veröffentlicht wird also im Grundsatz alles, was nicht ausgenommen ist.

Wer ohne dein Zutun ins Register schauen darf

Paragraf 16 Absatz 3 der Marktstammdatenregisterverordnung nennt acht Behörden, denen die Bundesnetzagentur auf Anforderung Zugang zu den nicht veröffentlichten Daten einschließlich der personenbezogenen eröffnet: das Bundesministerium für Wirtschaft und Klimaschutz, das Bundeskartellamt, das Umweltbundesamt, das Bundesamt für Wirtschaft und Ausfuhrkontrolle, die Bundesanstalt für Landwirtschaft und Ernährung, das Statistische Bundesamt, die Finanzbehörden des Bundes und der Länder sowie die Landesregulierungsbehörden.

Nummer 7 ist die praktisch bedeutsame: Das Finanzamt hat einen eigenen Zugangsanspruch zu den Registerdaten. Wer seine Einspeisung steuerlich erklärt, sollte damit rechnen, dass die Gegenseite die Anlagendaten bereits hat. Jeder eröffnete Zugang muss nach Satz 2 im Internet bekanntgemacht werden, samt der gesetzlichen Aufgabe, für die er gilt. Andere Behörden bekommen die Daten nach Absatz 4 nur im Einzelfall; automatisierte Abrufe werden protokolliert, und die Protokolldaten sind nach sechs Monaten zu löschen.

Netzbetreiber schließlich erhalten nach Paragraf 17 Absatz 1 Zugang zu den nicht veröffentlichten Daten der an ihr Netz angeschlossenen Einheiten — und müssen sie nach Absatz 3 unverzüglich löschen, sobald sie sie für ihre gesetzlichen Aufgaben nicht mehr brauchen.

→ Jetzt PV-Angebote für dein Dach vergleichen

Die Hersteller-Cloud: wenn die Daten das Land verlassen

Die zweite Datenspur beginnt in dem Moment, in dem der Wechselrichter oder der Speicher eine Internetverbindung bekommt und die Erträge in ein Portal überträgt. Rechtlich ist das kein Messstellenbetrieb, sondern eine Verarbeitung durch einen Privaten auf Grundlage deiner Einwilligung. Damit gilt Kapitel V der Datenschutz-Grundverordnung, sobald die Daten die Europäische Union verlassen.

Artikel 44 Satz 1 lässt eine Übermittlung in ein Drittland nur zu, wenn die Bedingungen dieses Kapitels eingehalten werden — und er erfasst ausdrücklich auch die Weiterübermittlung durch das Drittland an ein weiteres Drittland. Ohne weitere Genehmigung geht das nach Artikel 45 Absatz 1 nur dort, wo die Kommission einen Angemessenheitsbeschluss gefasst hat.

Diese Liste ist überschaubar. Die Übersicht der Europäischen Kommission nannte beim Abruf am 9. September 2026 Andorra, Argentinien, Brasilien, Kanada für kommerzielle Organisationen, die Färöer, Guernsey, Israel, die Isle of Man, Japan, Jersey, Neuseeland, die Republik Korea, die Schweiz, das Vereinigte Königreich, die Vereinigten Staaten für Teilnehmer am EU-US Data Privacy Framework, Uruguay sowie die Europäische Patentorganisation. Die Volksrepublik China steht nicht darauf.

Für ein Portal mit Servern in einem Land ohne Angemessenheitsbeschluss braucht der Anbieter deshalb Garantien nach Artikel 46, in der Praxis Standardvertragsklauseln samt einer Prüfung der Rechtslage im Zielland. Ob das im Einzelfall vorliegt, steht in der Datenschutzerklärung des Portals — und nirgendwo sonst.

Der praktische Hebel ist unspektakulär und wirksam: Ein Wechselrichter braucht die Cloud nicht, um Strom zu erzeugen. Wer auf die Fernüberwachung verzichten kann, nimmt das Gerät vom Internet — dann bleibt nur die Zählerspur, und die ist gesetzlich begrenzt. Wer die Fernüberwachung will, sollte wissen, dass er sie mit einer Einwilligung bezahlt, die er nach Artikel 7 Absatz 3 jederzeit widerrufen kann.

Was dieser Ratgeber offen lässt

Drei Punkte bleiben unbeantwortet, und sie werden hier benannt statt gefüllt. Erstens: Die Festlegungen der Bundesnetzagentur nach Paragraf 47 Absatz 2 Nummer 13 und Paragraf 75 des Messstellenbetriebsgesetzes können sämtliche oben genannten Löschfristen abbedingen. Sie wurden für diesen Artikel nicht abgerufen. Alle Fristangaben gelten deshalb nur, soweit nichts anderes festgelegt ist.

Zweitens: Zur Auslegung des Wortes „Berechtigte" in Paragraf 60 Absatz 5 liegt hier keine Rechtsprechung vor. Drittens: Die Schutzprofile und Technischen Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik zum Smart-Meter-Gateway wurden nicht im Volltext gelesen; dieser Artikel nennt deshalb keine technische Anforderung aus ihnen.

Alle zitierten Vorschriften wurden am 9. September 2026 im Volltext über gesetze-im-internet.de und EUR-Lex abgerufen. Quelle für die Liste der Angemessenheitsbeschlüsse ist die Website der Europäischen Kommission, Abruf ebenfalls am 9. September 2026.