Ob eine mioty®-Implementierung personenbezogene Daten verarbeitet, hängt von der Anwendung ab, nicht vom Funk: Verbrauchsmesswerte, die einem Haushalt zugeordnet sind, sind personenbezogene Daten; Daten zum Maschinenzustand in einer Fabrik sind es in der Regel nicht. Für den Fall, dass dies doch zutrifft, liefert die Sicherheitsrichtlinie eine konkret dokumentierte Antwort statt nur allgemeiner IoT-Ratschläge: Für Multi-Tenant-Implementierungen wird eine eigenständige Trust-Center-Rolle vorgeschlagen, die als einzige Stelle im Netzwerk personenbezogene Informationen über Kunden und deren Geräte vorhält – ausdrücklich mit dem Ziel, die Privatsphäre der Kunden zu schützen und die Einhaltung der DSGVO sicherzustellen. Das Service Center übermittelt dem Trust Center ausschließlich die Nachrichtenanzahl pro Gerät, keine personenbezogenen Daten, und das Trust Center ordnet die Geräte-IDs intern den Kunden für die Abrechnung zu. Eine Ende-zu-Ende-Verschlüsselung auf Anwendungsebene ergänzt dies, indem der Anwendungsschlüssel – und die dadurch geschützten Daten – beim Kunden vor Ort verbleiben. Dieses Muster macht eine Implementierung für sich genommen nicht automatisch DSGVO-konform; die üblichen Maßnahmen rund um Rechtsgrundlage, Aufbewahrung und Zugriff gelten weiterhin. Es handelt sich jedoch um die eigene strukturelle Empfehlung der Alliance und nicht um etwas, das erst aus allgemeinen Grundsätzen abgeleitet werden muss.