Gläserner Autofahrer: Der ADAC fordert mehr Transparenz

GPS-Daten, Fahrverhalten, durchschnittlicher Benzinverbrauch, alle diese Daten werden vom Auto automatisch an den Hersteller gesendet. Dem Autofahrer sind hierbei die Einzelheiten nicht bekannt, daher fordert der ADAC laut Beitrag vom Spiegel von den Automobilherstellern mehr Transparenz und Entscheidungsbefugnis für die Autofahrer.

Um welche Daten geht es?

Diese Frage lässt sich wohl derzeit nicht allgemein und abschließend klären, da dies von dem jeweiligen Fahrzeugtyp und seiner individuellen Ausstattung abhängt. Im Rahmen von zwei Untersuchungen aus dem Jahre 2015 und 2019 stellte der ADAC folgende Datenübermittlungen fest:

• GPS-Daten
• Statusdaten über Kilometerstand, Verbrauch, Tankfüllung, Reifendruck und Füllstände von Kühlmittel, Wischwasser oder Bremsflüssigkeit
• Betriebsstunden der Fahrzeugbeleuchtung
• Zahl der elektromotorischen Gurtstraffungen
• hohe Motodrehzahl oder -temperatur
• gefahrene Kilometer auf Autobahnen, Landstraßen und in der Stadt
• die letzten 100 Lade- und Entladezyklen der Starterbatterie (mit Uhrzeit, Datum sowie Kilometerstand)
• ggf. Telefonkontakte (soweit via Bluetooth telefoniert wird)
• Anzahl der Fahrtstrecken nach verschiedenen Längen gegliedert
• Wahl und jeweilige Dauer des Fahrmodus eines Automatikgetriebes (Dauer/ Manuell/ Sport)
• Zahl der Verstellvorgänge des elektrischen Fahrersitzes
• Anzahl der eingelegten Medien des CD-/DVD-Laufwerks

Für die beiden Untersuchungen lagen dem ADAC seitens der Hersteller keine Informationen vor. Die beauftragten Experten bauten Steuergeräte aus, um diese dann zu analysieren. Die interne und externe Kommunikation wurde soweit wie möglich mitgeschnitten. Eine endgültige Auflistung mag aber auch der ADAC nicht liefern. Dies allein könne nur der jeweilige Hersteller. Der ADAC wies ausdrücklich darauf hin, dass die Prüfergebnisse sich nur auf die untersuchten Fahrzeuge beziehen, da selbst innerhalb der Modelle starke Unterschiede bestehen können.

Aus einer Vielzahl der Informationen lassen sich Rückschlüsse auf das individuelle Fahrverhalten ziehen und Nutzungsprofile erstellen. Manche Datenübertragungen dienen natürlich aber auch einer Ferndiagnose, um die Fahrtüchtigkeit eines Fahrzeuges aufrechtzuerhalten oder schnell wiederherzustellen.

Was verlangt der ADAC?

Für den ADAC ergeben sich nach den Untersuchungen vier Forderungen an die Automobilhersteller:

Mehr Transparenz

„Automobilhersteller müssen für jedes Modell eine Auflistung aller im Fahrzeug erhobenen, verarbeiteten, gespeicherten und extern übermittelten Daten öffentlich anbieten („Auto-Daten-Liste“). Diese Sammlung muss für den Verbraucher mit vertretbarem Aufwand einsehbar sein (z.B. beim Vertragshändler, im Internet). (…)“

Diese Forderung sollte für Fahrzeughersteller eigentlich selbstverständlich sein. Schließlich werden in Art. 12 bis 14 DSGVO die Anforderungen an die Informationspflichten im Rahmen der Datenverarbeitung von personenbezogenen Daten definiert. Sowie ein Webseitenbetreiber im Rahmen der Datenschutzerklärung diese Pflicht zu erfüllen hat, muss auch der Automobilhersteller dieser nachkommen. Derzeit sieht die Realität aber noch anders aus. Solche „Auto-Daten-Listen“ sucht der Verbraucher vergeblich. Dies mag auch daran liegen, dass noch nicht endgültig geklärt ist, welche Daten vom Fahrzeug letztlich personenbezogen i. S. v. Art. 4 Nr. 1 DSGVO sind. Die Grenzen sind da sicherlich fließend. Teilweise entsteht ein Personenbezug auch erst durch die Ansammlung vieler verschiedener technischer Daten.

Freier Zugang zu den Daten

„Der Fahrzeugbesitzer, freie Werkstätten und Pannenhelfer müssen freien Lese-Zugang zu allen Daten im Fahrzeug haben. Schreib-Vorgänge müssen zuverlässig abgesichert werden.“

Diese Forderung ist schon weitreichender. Hinsichtlich personenbezogenen Daten steht dem Fahrzeugbesitzer als Betroffener einerseits ein Recht auf Auskunft aus Art. 15 DSGVO und andererseits ein Recht auf Datenübertragung aus Art. 20 DSGVO. Insbesondere letzeres kann er nutzen, damit seine frei gewählten Vertragspartner Pannen und Reparaturen bestmöglich beheben können. Wenn freie Werkstätten und Pannenhelfer Zugang zu Fahrzeugdaten erhalten, können sie die Ursachen eines Defektes schneller feststellen und beheben. Allerdings greift die DSGVO nur bei personenbezogenen Daten. Für reine technische Informationen ohne Personenbezug gibt es derzeit noch keine rechtliche Pflicht zur Datenteilung. Der Hersteller wird seine Kunden an sich binden wollen und hat daher kein Interesse daran, all seine gesammelten Daten preiszugeben. Insoweit liegt hier eine Art natürliches Datenmonopol beim Hersteller vor. Solche Monopole können im Zweifel nur durch eine gesetzliche Regelung zur Datenteilungspflicht zerschlagen werden. Inwieweit Daten zu einer Machtstellung führen, hatte ich bereits in der Vergangenheit berichtet.

Datensicherheit

„Automobilhersteller müssen zu zeitgemäßer Datensicherheit verpflichtet werden. Hierzu ist ein neutraler Nachweis vorzulegen, etwa durch Zertifizierung gemäß Common Criteria ISO/IEC 15408 – z.B. über das Bundesamt für Sicherheit in der Informationstechnik (BSI).“

Hinsichtlich der Verarbeitung personenbezogener Daten ergibt sich bereits aus Art. 32 DSGVO, dass der Verantwortliche und Auftragsverarbeiter angemessene technische und organisatorische Maßnahmen zu ergreifen hat. Solche ISO Zertifizierungen können als Nachweis dienen, werden aber allein die Datensicherheit nicht gewährleisten können. Je digitaler Fahrzeuge werden, umso wichtiger wird dieses Ziel natürlich. Wer in der Automobilbranche arbeiten möchte, muss nicht mehr zwangsläufig Maschinenbau studiert oder eine Lehre in einer Werkstatt absolviert haben. Die Frage nach IT-Experten steigt auch in dieser Branche immer mehr. Automobilhersteller haben bereits selber ein großes Interesse daran, diese Forderung zu erfüllen. Denn neben den bekannten Abgas-Skandalen stellen auch Horror-Szenarien von hackbaren Fahrzeugen keine gute Publicity dar.

Mehr Entscheidungsgewalt für den Autofahrer

„Bis auf die vom Gesetzgeber vorgeschriebene Daten-Verwendung (z.B. eCall, Abgas-Kontrolle) muss der Fahrzeugbesitzer die Datenverarbeitung und -weiterleitung unkompliziert abschalten können, soweit diese nicht zwingend für den Betrieb erforderlich ist (vgl. Schlüssel-Schalter für Beifahrer-Airbag-Deaktivierung).“

Hier wird es doch mal wieder spannend. Automobilhersteller werden dies wohl auf ein mögliches Minimum beschränken wollen. Schließlich möchten sie so viele Daten wie möglich auswerten. Ähnlich wie bei Cookie-Banner für Webseiten wird man auch hier heiß darüber diskutieren können, wie ein solches Opt-Out-Verfahren technisch umzusetzen ist: Muss man bereits über das Display im Auto eine Einwilligung einholen oder eine Widerspruchsmöglichkeit anbieten? Oder genügt es, online eine Widerspruchsmöglichkeit anzubieten? Wie lange gilt so eine Einwilligung (z. B. beim Car-Sharing)?

Und wie steht die Automobilbranche hierzu?

Der Verband der Automobilindustrie (VDA) manifestiert bereits jetzt drei Datenschutzprinzipen für vernetzte Fahrzeuge:

1. Transparenz hinsichtlich fahrzeuggebundener Informations- und Hilfsdienste
2. Datenhoheit liegt beim Kunden (Einwilligungserfordernis)
3. Schutz der Kunden vor Missbrauch der Fahrzeugkommunikationssysteme (Datensicherheit)

Es versteht sich wohl nur als eine Handlungsempfehlung, da keine Sanktionen für Verstöße gegen diese Prinzipien durch Mitgliedsunternehmen geregelt sind. Die ersten beiden Punkte sind wohl bekanntermaßen noch aufbaufähig. Zum Beispiel beim Carsharing müssten etwaige Einwilligungen zu Datenerhebungen und -übermittlungen bei jeder neuen Fahrt erfragt werden, da die Fahrer ja ständig wechseln. Hier entsteht ein Personenbezug spätestens bei Nutzung der verschiedenen Apps. Dass auch hierbei das Fahrzeug zur Datenkrake wird, hat Stiftung Warentest bereits 2017 in einer Studie ermittelt.

Die Industrie zeigt mit dem „Nevada-Sahre & Secure“ Projekt erste Bemühungen, Fahrzeugdaten zu teilen. Ziel ist es, die Straßenverkehrssicherheit zu verbessern, den freien Wettbewerb zu fördern und die Entwicklung digitaler Innovationen und neuer Geschäftsmodelle zu unterstützen. Der Wunsch vom ADAC und Verbraucherschützern, die Datenmonopole durch eine Datenteilungspflicht zu erschlagen, ist zwar nachvollziehbar, stellt aber für die Fahrzeughersteller eine Herausforderung dar. Werden personenbezogene Daten ohne Rechtsgrundlage Dritten zur Verfügung gestellt – und seien die Absichten noch so nobel -, dann stellt dies erstmal einen Verstoß gegen die DSGVO dar. Sanktionen durch die Aufsichtsbehörden und Schadensersatzansprüche können Rechtsfolgen dieses Verstoßes sein. Also müssen die Hersteller in einem ersten Schritt feststellen, welche Daten personenbezogen sind. In einem zweiten Schritt muss die Rechtmäßigkeit der Datenteilung überprüft werden. Verneint man dies, müssen die Daten anonymisiert werden. Das dies technisch nicht so einfach ist, wurde in diesem Blogbeitrag bereits erörtert. Zuletzt spielen Fragen zur Datenportabilität und -sicherheit im Rahmen solcher Datenteilungs-Projekte eine große Rolle.

Autos = Datenkraken?!

Es ist wohl vielen bewusst, dass auch unsere Autos immer smarter werden. In der Zukunft werden wohl nicht mehr nur Kfz-Werkmeister, sondern auch IT-Experten unsere Fahrzeuge reparieren. Auch für die Automobilbranche gelten die Grundsätze aus der DSGVO. Die Abgrenzung zwischen reinen technischen Fahrzeugdaten und personenbezogenen Daten wird daher wichtiger denn je. Des Weiteren wäre es begrüßenswert, wenn nach den jahrelangen Resolutionen, Entschließungen und Absichtsbekundungen zum Thema Datenschutz und Datensicherheit beim vernetzten Fahren nun tatsächlich sichtbare Fortschritte in dem Bereich gemacht werden würden.