Vernetzte Autos: Zwischen Datenschutz und IT-Security

KURZFASSUNG: Grundsätzlich sind alle Daten, die aus einem vernetzten Fahrzeug verarbeitet werden, als personenbezogen einzuordnen. Informationspflichten treffen regelmäßig auch das Autohaus. Jede fehlerhafte, rechtswidrige Datenverarbeitung aus einem Auto heraus kann für den Hersteller oder das Autohaus zu einem erheblichen Reputationsschaden und letztlich zur Verhängung von Bußgeldern oder insbesondere Schadensersatzforderungen betroffener Personen führen. Dank modernster IT-Technik agieren Autos heute mehr als mobile Rechenzentren anstatt als herkömmliche Fortbewegungsmittel. Mit einer Vielzahl von Sensoren ausgestattet, erfassen sie immense Datenmengen, deren Verarbeitungen weiter über den bloßen Zweck hinausgehen, Menschen oder Dinge sicher von einem Ort zum nächsten zu verbringen. Bis zu 120 Steuergeräte eines einzelnen vernetzten Autos (sog. connected cars) sammeln heute schon mehrere hundert Gigabyte pro Tag an Daten, die wiederum mit riesigen Datenmengen auf cloudbasierten Servern eines Fahrzeugherstellers und seiner Zulieferer interagieren. Erfasst werden Daten über den technischen Zustand des Fahrzeugs sowie Mobilitätsgewohnheiten des Nutzers (Intensität der Nutzung des Fahrzeugs, Anzahl der Fahrer oder Fahrstil). Das Datenvolumen wird mit Blick auf höhere Anforderungen der Sicherheit oder Technologietrends wie Konnektivität und des autonomen Fahrens künftig unweigerlich zunehmen. Derlei Datenverarbeitungsprozesse werfen gleichermaßen eine Vielzahl von rechtlichen Fragen, insbesondere zum Datenschutz- oder IT-Sicherheitsrecht auf. Auch hier gelten "Verkehrsregeln", die nicht unterschätzt werden dürfen. Schließlich kann jede fehlerhafte, rechtswidrige Datenverarbeitung aus einem Auto heraus für den Hersteller oder das Autohaus zu einem erheblichen Reputationsschaden und letztlich zur Verhängung von Bußgeldern oder insbesondere Schadensersatzforderungen betroffener Personen führen. Datenschutzrechtlicher Rahmen Grundsätzlich sind alle Daten, die aus einem vernetzten Fahrzeug verarbeitet werden, als personenbezogen einzuordnen. Der Personenbezug ergibt sich insbesondere über die Verknüpfung der Daten mit der Fahrgestellnummer (FIN), über welche sich wiederum der Halter des Fahrzeugs ermitteln lässt. Ebenso kann sich eine Identifizierbarkeit aus einer Verknüpfung mit einem Online-Nutzerkonto (z. B. beim Carsharing) oder der Kopplung mit dem Smartphone ergeben. Mit der Einordnung gilt es zwingende datenschutzrechtliche Normen (etwa der Datenschutzgrundverordnung (DSGVO) oder des Bundesdatenschutzgesetzes (BDSG) einzuhalten. Abzugrenzen sind personenbezogene Daten von reinen Maschinendaten oder vollständig anonymisierte Daten, bei denen keine Rückschlüsse auf Fahrer, Halter oder sonstige Personen gezogen werden können. Der Hersteller gilt generell als verantwortliche Stelle für sämtliche Datenverarbeitungsvorgänge aus dem Fahrzeug. Er hat Einfluss auf die verwendete Technik, entscheidet also in erster Linie über die Zwecke und Mittel der Datenverarbeitung. Er muss gewährleisten, dass Daten rechtmäßig und sicher verarbeitet werden. Der Hersteller muss theoretisch dafür sorgen, dass betroffenen Personen transparent alle wesentlichen Informationen zum Datenschutz zur Verfügung gestellt werden. Informiert werden muss etwa darüber, welche Daten von wem verarbeitet würden, auf welche Rechtsgrundlage die Datenverarbeitung gestützt wird und zu welchem Zweck sie stattfindet. Betroffene sind ferner klar darüber in Kenntnis zu setzen, welche Rechte ihnen hinsichtlich der Datenverarbeitung zustehen (sog. Betroffenenrechte). Informationspflichten für Autohaus Die vorgenannten Informationspflichten treffen regelmäßig auch das Autohaus. Es hat beim Verkauf dafür zu sorgen, dass dem Käufer alle wesentlichen Merkmale des Fahrzeugs offengelegt werden. Hierzu dürfte gehören, dass er erfährt, in welchem Umfang personenbezogene Daten mittels des Fahrzeugs erfasst werden. In der Tat werden Nutzer jedoch nie abschließend erfahren, welche Daten von ihnen konkret gespeichert werden; sie haben in der Regel nicht einmal Zugriff auf die eigenen Daten. Insoweit dürfte es häufig an sich an einer datenschutzkonformen Rechtsgrundlage (etwa durch Einwilligung oder zur Vertragserfüllung) fehlen. Nichtsdestotrotz können sie sowohl vom Hersteller als auch vom Händler Auskunft darüber verlangen, welche Daten zu welchem Zweck und basierend auf welcher Rechtsgrundlage von ihnen im Detail verarbeitet werden. Lesen Werkstätten zu Reparaturzwecken Fahrzeugdaten aus, liegt bei ihnen ebenfalls die datenschutzrechtliche Verantwortlichkeit. Sie sollten gleichermaßen nicht die ihnen obliegenden Dokumentations- und Informationspflichten unterschätzen, um sich datenschutzrechtlich korrekt zu verhalten. Bedrohung der IT-Sicherheit Angriffe auf die IT-Sicherheit beim vernetzten Auto können selbstverständlich weitreichende Folgen haben, insbesondere beim autonomen Fahren mit Blick für die Sicherheit aller Verkehrsbeteiligten. Hersteller und Händler müssen generell für hinreichende Datensicherheit/IT-Security sorgen. Sollte es dennoch zu Sicherheitslücken bzw. Datenpannen kommen, bestehen Melde- und Benachrichtigungspflichten sowie Dokumentationspflichten. Dafür ist es wichtig, Sicherheitslücken und etwa Datenschutzverletzungen frühzeitig zu erkennen, die mit ihnen verbundenen Risiken konkret einzuschätzen und schließlich erforderliche Maßnahmen zu ergreifen, um die Datensicherheit wiederherzustellen. Wie bei jedem Netzwerk sind auch bei vernetzten Autos relevante Sicherheitstechnologien wie Firewalls, Viren-Scanner etc. unumgänglich. Alle Zugriffsmöglichkeiten auf das Fahrzeug sollten auf das Nötigste beschränkt sein. Der Gesetzgeber hat dem Verkäufer mit dem seit 2022 geltenden neuen Kaufrecht überdies allgemein beim Verkauf von "Sachen mit digitalen Elementen" (etwa Fahrzeuge mit Fahrassistenzsystemen) oder sonstigen digitalen Produkten" die Pflicht auferlegt, Verbrauchern sicherheitsrelevante Aktualisierungen (Updates) zur Verfügung zu stellen. Damit muss IT-Sicherheit über die gesamte Lebensdauer des vernetzten Fahrzeugs gewährleistet sein. Hersteller setzen diesbezüglich aktuell häufig darauf, über die Händler vor Vertragsschluss vom Käufer eine Verzichtserklärung für diese Aktualisierungspflicht einzuholen. Inwieweit dies rechtlich wirksam möglich ist, erscheint derzeit unklar. Weitere Entwicklungen Auf EU-Ebene sind bereits verschiedene gesetzgeberische Bestrebungen in vollem Gange (siehe etwa der sog. Data Act), um einen besseren rechtlichen Rahmen für den erleichterten Datenzugang, mehr Datentransparenz oder Datenhoheit zu Gunsten betroffener Personen zu erreichen. Dem Gesetzgeber obliegt es, technologischen Fortschritt in Einklang mit dem Datenschutzrecht betroffener Personen und IT-Sicherheit in Einklang zu bringen. Es bleibt abzuwarten, wie sich die Dinge entwickeln. HANDLUNGSEMPFEHLUNGEN Informationspflichten sollten gewissenhaft wahrgenommen werden, d. h. sowohl Hersteller als auch Autohäuser müssen Betroffene darüber informieren, welche Daten von wem und zu welchem Zweck gesammelt und verarbeitet werden und welche Betroffenenrechte bestehen. Autohäuser haben eine Pflicht, alle wesentlichen Fahrzeugmerkmale offenzulegen, das gilt auch für datenschutzrechtliche oder IT-sicherheitsrelevante Informationen. Mitarbeiter von Herstellern, Autohäusern und auch Werkstätten sollten für die Thematik sensibilisiert werden und Weiterbildungsmöglichkeiten zur Verfügung gestellt bekommen. Einwilligungserklärungen müssen unterzeichnet und sicher verwahrt werden. Stellen Sie durchweg sicher, dass verwendete Software stets auf dem neuesten Stand der Technik gehalten und so weit wie möglich sicher ist. Wichtig ist auch, Sicherheitskonzepte von Informations- und Kommunikationssystemen zu überprüfen und zu verbessern. Datenschutz im E-Marketing Jeder Mitarbeiter, der mit personenbezogenen Daten in Marketingprozessen arbeitet, bekommt in der AUTOHAUS next Unterweisung von Julian Modi, Rechtsanwalt und Partner der Kanzlei Sonntag & Partner, die Grundlagen, um den rechtlichen Vorgaben gerecht zu werden. Schulen Sie jetzt Ihre Mitarbeiter unter: https://next.autohaus.de/ecampus/99967

Mini Aceman: Glatt elektrisch

Preiskampf: VW will es mit Chinas E-Autobauern aufnehmen

Le Chëvron: Neuer Citroën-Showroom eröffnet

Mitsubishi ASX: Sprung in die Moderne

Volvo EX30 im Test: "Elektrisch, geiler Preis und stadttauglich"

Alle Schlagzeilen

Vernetzte Autos: Zwischen Datenschutz und IT-Security

WEITERLESEN

NEWSLETTER