10 Fragen und Antworten zum Thema Datenschutz im Kfz

1) Was hat das Auto mit Datenschutz zu tun?

Die Autobranche ist im Umbruch: In wenigen Jahren wird das „connected car“ Standard sein: es wird nicht nur über Internetverbindungen verfügen, sondern auch in der Lage sein, Verkehrszeichen zu erkennen und mit anderen Autos, z.B. zum Umfahren eines Staus oder zum Auffinden einer Parklücke, zu kommunizieren. Und autonom fahrende Autos fangen an, Marktreife zu erlangen. Die Zukunft hat schon begonnen.

Was hat diese Entwicklung mit Datenschutz zu tun? Sehr viel: Schon zum jetzigen Zeitpunkt werden in einem durchschnittlichen Kfz dutzende Datenkategorien erhoben und verarbeitet. Das Kfz der Zukunft wird – in jeder seiner Entwicklungsstufen - massive Datenströme verarbeiten. Nicht nur die Datenmenge und die Übertragungsgeschwindigkeit, sondern auch die Anzahl an erhobenen personenbezogenen Daten wird enorm ansteigen. Hierbei muss man sich klarmachen, dass das vernetzte Kfz wie kaum ein anderes Produkt in der Lage sein wird, ein umfassendes Persönlichkeitsprofil zu erstellen: Tagesrhythmus, Bewegungsprofile, emotionale Komponenten (vorausschauender oder abrupter Fahrer?), Körpergröße (Sitzeinstellungen), Anzahl an Mitfahrern (Anzahl geschlossener Gurte), Telefonlisten, Musikgeschmack… Aus der Zusammenlegung mehrerer Profile ließen sich sodann gemeinsame Treffen herauslesen etc.

2) Wem „gehören“ alle diese Daten?

Sind die Daten anonymisiert und damit in keiner Weise, auch nicht durch Verknüpfungen, rückverfolgbar, so dürfen sie ohne Einschränkung genutzt werden. Ein Beispiel wären Fehlermeldungen, die vom Hersteller anonymisiert für Statistikzwecke und Produktverbesserungen verwendet werden.

Anders ist es bei personenbezogenen Daten, die im Zusammenhang mit dem Kfz anfallen. Daten sind dann personenbezogen, wenn sie sich auf eine „bestimmte Person“ oder zumindest auf eine „bestimmbare Person“ beziehen. Eine Person ist dann „bestimmbar“, wenn sie z.B. über die Fahrgestellnummer oder weiteres Zusatzwissen identifizierbar ist. In diesen Fällen liegen also „personenbezogene Daten“ vor. Damit gilt in diesen Fällen das Bundesdatenschutzgesetz (BDSG). Das BDSG wiederum enthält eine klare Aussage: Die Daten „gehören“ dem Betroffenen. Auf das Kfz bezogen: Die Daten „gehören“ dem Fahrer bzw. Halter des Kfz.

Dem BDSG unterfallen insbesondere auch „rein technische Daten“, die auf den ersten Blick „weniger interessant“ erscheinen, aber personenbeziehbar sind. Beispielsweise erscheint die Anzahl der Bremsvorgänge auf den ersten Blick „weniger spannend“. Auf einen konkreten Zeitraum bezogen gibt diese Information jedoch Aufschluss darüber, ob der – identifizierbare – Fahrer ein Stadtfahrer ist oder ob er auf dem Land wohnt etc. Sofern diese Informationen ohne Zeitbezug gespeichert werden und regelmäßig wieder überschrieben werden, lassen sie sich zumindest durch ein enges Ausleseintervall einem konkreten Zeitraum zuordnen. Somit könnten bereits mit relativ wenigen Informationen einfache Persönlichkeits­profile gebildet werden.

Ein weiteres Beispiel: Fahrprofile, die durch Erfassen der Lenkbewegung (Kurven) und der Geschwindigkeit (Landstraße? Autobahn?) gebildet werden können, könnten mit Landkarten abgeglichen und so einem Start- und Endziel zugeordnet werden. Auf diese Weise könnten aus nicht-geobezogenen Daten die Geobezüge (Standortdaten) nachträglich generiert werden.

Die Begehrlichkeiten für solche potentiellen Datensammlungen sind groß. Kreditkartenfirmen, Scoringunternehmen, potentielle Arbeitgeber, Versicherungen… die Liste von möglichen Interessenten ließe sich problemlos fortsetzen.

Das BDSG sorgt dafür, dass personenbezogene Fahrdaten nicht zu einem „freien Wirtschaftsgut“ werden: Gemäß § 4 Abs. 1 BDSG dürfen diese Daten nur dann genutzt werden, wenn entweder eine gesetzliche Regelung dies erlaubt oder wenn der Betroffene (Fahrer/Halter) durch Einwilligung bzw. Vertrag wirksam zugestimmt hat.

3) was machen die Datenschutz Aufsichtsbehörden?

Auf der Konferenz der Datenschutzbeauftragten des Bundes und der Länder im Oktober 2014 wurde eine Entschließung verabschiedet, die konkrete Forderungen an die Automobilindustrie richtet. Hierbei wurde klargestellt, dass Datenverarbeitungen entweder vertraglich vereinbart sein müssen oder eine ausdrückliche Einwilligung vorliegen muss. Hierzu gehört zumindest vollständige und praxisnahe Transparenz. Aber auch bei einer vertraglich vereinbarten oder von einer Einwilligung getragenen Datenübertragung muss der Fahrer bzw. Halter vom Hersteller in die Lage versetzt werden, eine solche Datenübermittlung zu erkennen, zu kontrollieren und ggf. zu unterbinden. Zudem muss Wahlfreiheit für datenschutzfreundliche Systemeinstellungen und die umfangreiche Möglichkeit zum Löschen eingeräumt werden.

Aufbauend auf diesen Forderungen haben die Datenschutzbehörden des Bundes und der Länder (DSK) sowie der Verband der Automobilindustrie (VDA) eine Gemeinsame Erklärung zu „ Datenschutzrechtlichen Aspekten bei der Nutzung vernetzter und nicht vernetzter Fahrzeuge" erarbeitet.

4) Worum geht es in dieser gemeinsamen Erklärung?

In der gemeinsamen Erklärung der DSK dem VDA wurden Positionen zu folgenden Themen festgelegt:

• Personenbezogenheit der im Fahrzeug anfallenden Daten
• Festlegung des Zeitpunkts der Datenerhebung
• Bestimmung der verantwortlichen Stelle
• Rechtsgrundlagen für den Datenumgang im Kfz
• Datenschutzrechtliches Auskunftsrecht gegenüber dem Hersteller
• Hoheit über die Datenverarbeitungsvorgänge im Fahrzeug

5) Was ist der "Dreh -und Angelpunkt" in der gemeinsamen Erklärung?

"Dreh -und Angelpunkt" in der gemeinsamen Erklärung ist die Personenbezogenheit. Es ist ausdrücklich festgehalten, dass die bei der Kfz-Nutzung anfallenden Daten jedenfalls dann personenbezogen im Sinne des BDSG sind, wenn eine Verknüpfung mit der Fahrzeugidentifikationsnummer oder dem Kfz- Kennzeichen vorliegt.

6) Wer ist ausweichlich der Gemeinsamen Erklärung "Verantwortliche Stelle"?

Hierbei ist zu differenzieren, und zwar nach dem Zeitpunkt der Datenerhebung. Dieser Zeitpunkt ist unterschiedlich je nachdem, ob es sich um Kraftfahrzeuge handelt, bei denen eine Datenspeicherung nur innerhalb des Fahrzeuges stattfindet („offline“), oder ob eine Übermittlung von Daten aus dem Fahrzeug heraus erfolgt („online“), wie etwa bei der Übermittlung und Speicherung von Fahrzeugdaten auf Backend-Servern: Bei „Online“-Autos sind diejenigen als verantwortliche Stellen anzusehen, die personenbezogene Daten erhalten, d. h. in der Regel die Hersteller und gegebenenfalls dritte Dienste-Anbieter. Insbesondere wenn Hersteller Zusatzdienstleistungen für das Kfz anbieten und dabei in ihren Backend-Servern Daten speichern, sind sie verantwortliche Stelle für diese Datenverarbeitung. Bei „Offline“-Autos wird derjenige, der personenbezogene Fahrzeugdaten aus dem Fahrzeug ausliest (d.h. erhebt) und anschließend verarbeitet, zur verantwortlichen Stelle. Hierbei wird es sich in der Regel um Werkstätten handeln.

7) Besteht bei "Offline-Kfz" ein Schutz der Daten schon vor dem ersten Werkstattbesuch?

Bei „Offline-Kfz“ ist bereits vor dem ersten Werkstattbesuch - ohne vorherige Erhebung - von einer Datenspeicherung im Sinne des BDSG auszugehen. Eine Erhebung liegt mangels Erfüllung des Tatbestandes des § 3 Abs. 3 BDSG noch nicht vor; gleichwohl fallen anlässlich der Kfz-Nutzung Daten an, die im Fahrzeug abgelegt werden. Diese Daten müssen geschützt werden und machen auch eine Sicherung des Rechts auf informationelle Selbstbestimmung erforderlich. Auch wenn die Hersteller hierbei nicht bereits beim „Entstehen“ der Daten verantwortliche Stelle sind, trifft diese unter anderem nach dem Gedanken „Privacy by Design“ dennoch eine Verantwortung im Hinblick auf den Datenschutz. Dies gilt insbesondere, weil der Hersteller im Rahmen seiner technischen Gestaltungsmöglichkeiten (Art und Umfang von Schnittstellen, Zugriffsmöglichkeiten, Verfolgung der in § 3a BDSG niedergelegten Grundsätze von Datenvermeidung und -sparsamkeit) Einfluss auf die zeitlich nach hinten verlagerte Erhebung und Verarbeitung hat. Sofern es um die technischen Gestaltungsmöglichkeiten geht, sind daher die Hersteller auch bei dieser Fahrzeugkategorie als Ansprechpartner für die Datenschutzaufsichtsbehörden anzusehen.

8) Wann ist Datenerhebung -und Verarbeitung zulässig?

Die Zulässigkeit der Datenerhebung und -verarbeitung kann sich insbesondere aus Vertrag (§ 28 Abs. 1 S. 1 Nr. 1 BDSG) oder aus einer Einwilligung ergeben, die den Voraussetzungen des § 4a BDSG genügt. Wie die Informationen über Datenerhebungs- und -verarbeitungsvorgänge aufbereitet sein müssen, um Teil des Vertrags oder Grundlage für eine ggf. relevante informierte Einwilligung sein zu können (ausführliche Informationen im Sinne eines Verfahrensverzeichnisses oder strukturierte, überblicksartige Informationen), bleibt Frage des Einzelfalls. Der Erstkäufer kann die notwendigen Informationen jedenfalls vom Verkäufer (Hersteller oder herstellergebundener Händler) erhalten. Grundsätzlich sind die wichtigsten Informationen zur Datenverarbeitung in allgemein verständlicher Form auch in der Borddokumentation nachlesbar vorzuhalten. Sie wird vom Hersteller erstellt.Die Borddokumentation ist nicht nur für den Erstbesitzer wichtig. Sie erlangt gerade auch für Zweitbesitzer, also die Käufer von Gebrauchtwagen, eine besondere Bedeutung. Denn bei Zweitbesitzern besteht keine individuelle rechtliche Beziehung (Einwilligung oder Vertrag) zum Hersteller. Eine hinreichende Information in der Borddokumentation ist daher essentiell. Generell gilt: Wichtig ist vor allem Transparenz. Transparenz bedeutet, dass auch der technische Laie nachvollziehbare Erläuterungen zur Verfügung gestellt bekommt.

9) Habe ich als Autofahrer ein Auskunftsrecht?

Gegenüber dem Hersteller besteht ein unentgeltliches Auskunftsrecht des Halters über seine durch den Hersteller erhobenen und gespeicherten personenbezogenen Daten nach § 34 BDSG. Vor allem beim „Online-Kfz“ ist das relevant. Demgegenüber besteht beim „Offline-Kfz“ kein solches Auskunftsrecht nach § 34 BDSG gegenüber dem Hersteller, da der Hersteller nicht über diese Daten verfügt. Die Fahrzeughalter von „Offline“-Autos haben die Möglichkeit des Auslesens von Daten, ggf. mithilfe von Sachverständigen, was nicht zwingend unentgeltlich sein muss. Allerdings verlangt das Transparenzgebot, dass auch bei Offline-Kfz der Betroffene sich unentgeltlich und ohne sachverständige Hilfe über die Grundsätze der Datenverarbeitungsvorgänge einschließlich zumindest der Art der verarbeiteten personenbezogenen Daten beim Hersteller informieren kann.

10) Was können die Verbraucher tun?

Die Kunden sind mächtiger, als sie glauben. Wichtig ist, dass sie im jetzigen Entwicklungsstadium den Autoherstellern gegenüber deutlich machen, dass sie – beim vernetzten Fahren oder wenn sie beim künftigen autonomen Auto gar das Lenkrad aus der Hand geben – die Kontrolle über ihre Fahrdaten behalten wollen. Autos werden nicht für Labore, sondern für Kundenwünsche hergestellt. Die Verbraucher müssen deutlich machen, dass sie eine Datenschleuder nicht akzeptieren, dass eine Datenschleuder also unverkäuflich sein wird. Nur dann werden praxisnahe, verbraucherfreundliche Konzepte für den Datenschutz im Kfz angeboten werden, die über die – für sämtliche Produkte geltenden - gesetzlichen Regelungen hinausgehen.