Fahrzeugdaten kennen keine Grenzen, aber der Datenschutz schon. Unternehmen in der Fahrzeugbranche müssen bei der grenzüberschreitenden Übertragung von Daten wie GPS-Standorten, Telematik-Informationen oder Schadensberichten strenge rechtliche und technische Vorgaben einhalten. Die DSGVO und das „Schrems II“-Urteil setzen klare Standards, um personenbezogene Daten auch in Drittländern zu schützen.

Wichtige Punkte auf einen Blick:

  • Rechtliche Anforderungen: Kapitel V der DSGVO regelt internationale Datenübertragungen. Eine klare Rechtsgrundlage, wie Einwilligung oder Verträge, ist Pflicht.
  • Technische Sicherheit: Verschlüsselung (z. B. TLS 1.3), Datenminimierung und Pseudonymisierung sind unverzichtbar.
  • Risikomanagement: Transfer Impact Assessments (TIA) prüfen, ob das Datenschutzniveau im Empfängerland ausreicht.
  • Organisatorische Maßnahmen: Rollen und Zuständigkeiten klar definieren, Datenflüsse dokumentieren und Prozesse automatisieren.

Die CUBEE Sachverständigen AG zeigt, wie digitale Gutachtendienste durch rechtliche Absicherung und technische Schutzmaßnahmen Vertrauen schaffen und gleichzeitig den Datenschutz wahren.

Checkliste: Grenzüberschreitende Datenübertragung – Rechtlich & Technisch Sicher

Checkliste: Grenzüberschreitende Datenübertragung – Rechtlich & Technisch Sicher

Rechtliche und organisatorische Anforderungen für Datenübertragungen

Für den grenzüberschreitenden Transfer von Fahrzeugdaten sind sowohl rechtliche Grundlagen als auch gut strukturierte interne Prozesse unverzichtbar. Ohne diese Basis riskieren Unternehmen nicht nur hohe Bußgelder, sondern auch einen erheblichen Vertrauensverlust. Die internen Maßnahmen ergänzen dabei die bereits bestehenden gesetzlichen Vorgaben.

Rechtliche Grundlage schaffen

Jede Datenübertragung muss auf einer klar dokumentierten Rechtsgrundlage basieren, sei es durch Einwilligung, ein Vertragsverhältnis oder ein berechtigtes Interesse. Der Zweck der Datennutzung muss dabei eindeutig definiert sein. Besonders bei Fahrzeugdaten, die personenbezogene Standortinformationen, technische Daten oder sensible Schadensdetails umfassen, ist diese rechtliche Absicherung essenziell.

Daten erfassen und klassifizieren

Um den rechtlichen Anforderungen gerecht zu werden, ist ein vollständiges Dateninventar unerlässlich. Dabei sollten alle Datenflüsse detailliert dokumentiert und nach ihrer Sensitivität eingestuft werden – etwa in Kategorien wie personenbezogene Daten, fahrzeugspezifische Betriebsdaten oder sicherheitsrelevante Informationen aus Fahrassistenzsystemen.

In China tritt am 1. Januar 2025 die Network Data Security Management Regulation in Kraft. Diese Regelung überträgt die Verantwortung für die Identifizierung „wichtiger Daten" direkt auf die Unternehmen. Das bedeutet, dass Unternehmen eigenständig Kataloge solcher Daten erstellen und bei den zuständigen Behörden einreichen müssen. Ohne ein strukturiertes Dateninventar ist diese Aufgabe kaum zu bewältigen.

Rollen und Verantwortlichkeiten festlegen

Eindeutige Zuständigkeiten sind entscheidend, um Datenschutzlücken zu vermeiden. Zu den Datenverantwortlichen zählen Fahrzeughersteller, Teile- und Softwarelieferanten, Telekommunikationsanbieter, Anbieter autonomer Fahrdienste, Plattformbetreiber sowie Händler und Werkstätten.

Eine speziell eingerichtete Stelle für Datenübertragungen ist notwendig, um interne Freigabeprozesse zu koordinieren und die Übertragungsprotokolle zu verwalten. Diese Protokolle müssen gemäß den regulatorischen Vorgaben mindestens drei Jahre lang aufbewahrt werden. Automatisierte Systeme zur Erfassung und Pflege solcher Protokolle können Unternehmen dabei erheblich unterstützen.

Technische Schutzmaßnahmen für die Datenübertragung

Fahrzeug- und Gutachtendaten erfordern neben rechtlichen Grundlagen auch effektive technische Schutzmaßnahmen. Diese Maßnahmen ergänzen die organisatorischen und rechtlichen Anforderungen – wie die DSGVO-konforme Datenübertragung – und schließen verbleibende Sicherheitslücken. Im Fokus stehen dabei die drei Bereiche Verschlüsselung, Netzwerksicherheit und Datenminimierung.

Verschlüsselungsstandards und -praktiken

Für API- und Webverbindungen sollte mindestens TLS 1.2 verwendet werden, wobei TLS 1.3 empfohlen wird. Dieses Protokoll entfernt veraltete Algorithmen und verbessert die Verbindungsgeschwindigkeit. Ältere Standards wie SSL, TLS 1.0 und TLS 1.1 sollten vollständig deaktiviert werden. Um Perfect Forward Secrecy (PFS) zu gewährleisten, sind ECDHE-basierte Cipher Suites die beste Wahl. Dadurch bleiben vergangene Sitzungen auch bei einem späteren Schlüsselverlust geschützt.

Kryptografische Schlüssel sollten niemals im Quellcode oder in Konfigurationsdateien gespeichert werden. Stattdessen gehören sie in Hardware Security Modules (HSMs) oder Cloud-Key-Management-Systeme. Regelmäßige Schlüsselrotation und die Protokollierung aller Zugriffe sind essenziell. Laut dem Europäischen Datenschutzausschuss (EDPB) sollte der Datenexporteur allein die Kontrolle über die Schlüssel behalten, insbesondere wenn im Zielland Behördenzugriffe nicht ausgeschlossen werden können.

Netzwerksicherheit und Zugangskontrolle

Zusätzlich zur Verschlüsselung bieten IPsec- oder TLS-VPNs eine weitere Schutzschicht für die Übertragung von Schadensberichten aus dem Einsatzbereich. Eine Zero-Trust-Architektur mit streng segmentierten Netzwerken minimiert das Risiko seitlicher Bewegungen bei einem Angriff.

Für administrative und Remote-Zugriffe ist Multi-Faktor-Authentifizierung (MFA) unverzichtbar. Zugriffsrechte sollten nach dem Prinzip der minimalen Berechtigung vergeben werden: Gutachter können beispielsweise Fotos und Befunde hochladen, während Export-Rechte auf Back-Office-Mitarbeitende beschränkt bleiben. Direkte Datenbankzugriffe durch externe Partner sollten vollständig ausgeschlossen werden.

Datensparsamkeit und Pseudonymisierung

Datenminimierung ist ein zentraler Schutzmechanismus. Vor jeder grenzüberschreitenden Übertragung sollte geprüft werden, welche Daten für den jeweiligen Zweck – etwa eine Schadensbewertung oder automatisierte Wertgutachten – tatsächlich notwendig sind. Vordefinierte Datenschemata helfen dabei, unbeabsichtigte Übertragungen zusätzlicher Informationen zu vermeiden.

Personenbezogene Daten wie Namen, Kennzeichen oder Fahrgestellnummern sollten, wenn möglich, durch interne Fall-IDs oder Token ersetzt werden. Diese Pseudonymisierung verhindert, dass Empfänger Rückschlüsse auf Einzelpersonen ziehen können, sofern dies nicht erforderlich ist. Für Analysen ohne Rückidentifikationsbedarf eignen sich vollständig anonymisierte oder aggregierte Datensätze. Solche Verfahren werden in der DSGVO ausdrücklich als wirksame technische und organisatorische Maßnahmen anerkannt.

Risikomanagement und Compliance-Bewertungen

Technische Maßnahmen allein reichen nicht aus – es ist entscheidend, zu prüfen und zu dokumentieren, ob das Empfängerland den EU-Standards entspricht. Nachfolgend werden wichtige Werkzeuge und regulatorische Mechanismen im Bereich des Risikomanagements vorgestellt.

Datentransfer-Folgenabschätzungen (TIA)

Ein Transfer Impact Assessment (TIA) ist weit mehr als nur eine Formalität. Es handelt sich um einen systematischen Prozess, der auf den fünf Schritten des EDPB 01/2020 basiert. Dabei geht es darum:

  • Alle relevanten Datenkategorien wie Fahrzeugtelematik oder Standortdaten zu erfassen.
  • Das Zielland und den Zweck der Übertragung zu definieren.
  • Das verwendete Übertragungsinstrument, wie z. B. ein spezifisches SCC-Modul, zu prüfen.
  • Den Rechtsrahmen im Empfängerland zu analysieren, beispielsweise im Hinblick auf die FISA Section 702.
  • Schutzmaßnahmen zu ergänzen, wenn diese als unzureichend bewertet werden.

Ein TIA sollte nicht nur gründlich dokumentiert, sondern auch regelmäßig aktualisiert werden, um auf rechtliche Änderungen zu reagieren. Die Unterzeichnung durch Datenschutzbeauftragte und die Rechtsabteilung sichert die interne Verbindlichkeit. Zudem kann die Automatisierung von DSGVO-Compliance-Überprüfungen den Prozess erheblich erleichtern.

Die Bedeutung einer sorgfältigen TIA zeigt das Beispiel Meta: Im Mai 2023 verhängte die irische Datenschutzbehörde (DPC) ein Bußgeld von 1,2 Milliarden Euro gegen Meta Platforms Ireland. Grund war die Übertragung von Nutzerdaten in die USA ohne ausreichende ergänzende Maßnahmen und ohne eine ordnungsgemäße TIA.

Regulatorische Übertragungsmechanismen

Neben der TIA sind geeignete Übertragungsinstrumente essenziell. Der erste Schritt ist die Prüfung, ob eine EU-Angemessenheitsentscheidung für das Zielland vorliegt. Derzeit umfasst diese Liste 15 Länder, darunter das Vereinigte Königreich, Japan, die Schweiz und – bei entsprechender Zertifizierung – die USA unter dem EU-US Data Privacy Framework (DPF).

Ist das Zielland nicht abgedeckt, kommen Standardvertragsklauseln (SCCs) ins Spiel. Laut einer Erhebung setzen 88 % der Organisationen SCCs als primäres Mittel für grenzüberschreitende Datenübertragungen ein. Die 2021 überarbeiteten SCCs bieten eine modulare Struktur mit vier Szenarien, darunter Controller-to-Processor (Modul 2) und Processor-to-Processor (Modul 3). Der Kerntext darf dabei nicht verändert werden.

Für komplexe Datenökosysteme, wie sie in der Fahrzeugindustrie üblich sind, bietet die „Docking Clause“ eine praktische Lösung. Sie ermöglicht es neuen Parteien, einem bestehenden Vertrag beizutreten, ohne dass eine vollständige Neuverhandlung notwendig ist.

„Die Ausnahmen in Art. 49 DSGVO sind eng auszulegen und dürfen nicht für regelmäßige Datenübertragungen mit einer großen Anzahl von Personen genutzt werden." – Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI)

Lokalisierung und Datenspeicheranforderungen

Immer mehr Organisationen entscheiden sich, sensible Daten auf EU-basierten Cloud-Infrastrukturen zu speichern, wie AWS EU oder Azure EU. Dies reduziert den Bedarf an grenzüberschreitenden Datenübertragungen und die damit verbundenen TIAs. Für besonders schützenswerte Daten, wie Schadensdokumentationen mit personenbezogenen Informationen, ist die Speicherung in EU-Rechenzentren eine rechtssichere und pragmatische Lösung.

Wenn Daten dennoch in Drittländer übertragen werden, sollten Verschlüsselungsschlüssel in der EU verbleiben, um sicherzustellen, dass im Zielland kein Zugriff auf Klartextdaten möglich ist. Diese Maßnahme wird vom EDPB als wirksame ergänzende Schutzmaßnahme anerkannt.

Technische Best Practices für vernetzte Fahrzeugsysteme

Rechtliche Rahmenbedingungen und Risikobewertungen sind die Grundlage – technische Maßnahmen sorgen für den endgültigen Schutz. Aufbauend auf den zuvor beschriebenen Standards für Verschlüsselung und Netzwerksicherheit liegt der Fokus nun auf bewährten technischen Methoden für vernetzte Fahrzeugarchitekturen.

Sichere APIs und Systemintegration

Die Kommunikation zwischen Steuergeräten, Backends und Cloud-Diensten muss jederzeit geschützt sein. Ein absolutes Minimum ist die Verwendung von TLS 1.2 oder höher für alle Datenübertragungen. Für die Authentifizierung wird mutual TLS (mTLS) mit X.509-Client-Zertifikaten auf den ECUs empfohlen, um sicherzustellen, dass nur autorisierte Geräte Zugriff auf APIs erhalten.

Um Protokollierung durch Drittsysteme zu vermeiden, sollten Fahrzeugkennungen wie FINs nicht in MQTT-Topics oder HTTP-Headern verwendet werden. Stattdessen sind gehashte Identifikatoren zu bevorzugen. Für sensible Daten auf ECU-Ebene eignet sich die Envelope-Verschlüsselung: Dabei werden die Daten mit einem Datenschlüssel verschlüsselt, der wiederum durch einen Master-Key in einem sicheren Key Management System (KMS) geschützt ist.

„Der Vorteil [der clientseitigen Verschlüsselung] besteht darin, dass Zwischensysteme wie ein Load-Balancer oder ein Message-Broker die sensiblen Daten nicht im Klartext einsehen können." – AWS

Diese Maßnahmen schaffen eine solide Grundlage, um Risiken durch gezielte Tests und kontinuierliche Überwachung weiter zu minimieren.

Regelmäßige Tests und Überwachung

Die UN-Regulierung R155 adressiert viele bekannte Bedrohungen, doch bleiben Risiken wie Supply-Chain-Angriffe und neue Exploits bestehen. Daher sind regelmäßige Penetrationstests und Schwachstellenscans unverzichtbar, vor allem bei externen Schnittstellen wie Konnektivitäts- und Cloud-Infrastrukturen.

„Konnektivität und Cloud-Infrastruktur sind als erhebliche Angriffspunkte eingestuft, da ihre nach außen gerichteten Schnittstellen einem entschlossenen Angreifer ein breites Zugriffsspektrum bieten können." – Osborne Clarke

Ein EU-Risikobericht aus dem Jahr 2026 identifizierte unter 107 bewerteten Risiken 14 Top-Cybersicherheitsrisiken für vernetzte und autonome Fahrzeuge. Besonders kritisch sind Fahrzeugsteuerungs- und Entscheidungssysteme, da Angriffe auf diese Systeme physische Schäden verursachen können. Lieferantenverträge sollten deshalb verpflichtende Meldepflichten für Schwachstellen und Anforderungen an Incident-Benachrichtigungen enthalten.

OTA-Updates und Onboard-Sicherheit

Over-the-Air-Updates (OTA) müssen durch digitale Signaturen, asymmetrische Verschlüsselung und Rollback-Mechanismen abgesichert werden, um Angriffe zu verhindern. Ein dedizierter Diagnose-Manager sollte sicherstellen, dass aktualisierte Software korrekt funktioniert, bevor der Update-Prozess abgeschlossen wird.

Sichere OTA-Systeme ermöglichen außerdem die schnelle Bereitstellung von Zero-Day-Patches, was entscheidend ist, um Sicherheitslücken in Fahrzeugflotten zügig zu schließen. Die Einhaltung der UN-Regulierungen R155 und R156 bildet dabei den regulatorischen Rahmen für Cybersecurity-Management-Systeme und Software-Update-Management.

Fazit und wichtigste Erkenntnisse

Die sichere grenzüberschreitende Übertragung von Fahrzeugdaten ist kein einmaliger Vorgang, sondern ein kontinuierlicher Prozess. Dieser basiert auf einer klar definierten Rechtsgrundlage und effektiven technischen Schutzmaßnahmen. Wenn beide Ebenen konsequent umgesetzt werden, trägt das nicht nur zum Schutz sensibler Daten bei, sondern stärkt auch das Vertrauen der Nutzer. Diese Kombination aus rechtlicher Klarheit und technischer Sicherheit bildet die Grundlage für eine zuverlässige Datenübertragung.

Zwei zentrale Aspekte stehen im Fokus: rechtliche Grundlagen und technische Maßnahmen. Vor jeder Datenübertragung muss eindeutig geklärt sein, welche rechtliche Basis gegeben ist. Dabei ist es wichtig, zwischen Datenoperationen, die für die Systemfunktion unerlässlich sind, und solchen, die eine ausdrückliche Zustimmung des Nutzers erfordern, zu unterscheiden. Technische Maßnahmen wie Bot-Erkennung, Sitzungsintegrität und Request-Verification-Token spielen eine entscheidende Rolle, um automatisierte Zugriffe effektiv zu verhindern.

Für Unternehmen wie die CUBEE Sachverständigen AG, die Fahrzeugdaten digital verarbeiten und grenzüberschreitend nutzen, bedeutet dies, dass Datenschutz von Anfang an in alle Prozesse integriert werden muss – von der Datenerhebung bis zur sicheren Speicherung und Übertragung. Die konsequente Einhaltung dieser Standards schafft nicht nur rechtliche Sicherheit, sondern stärkt auch das Vertrauen der Nutzer in die digitalen Dienstleistungen der CUBEE Sachverständigen AG.

FAQs

Wann ist ein TIA erforderlich?

Ein Transfer Impact Assessment (TIA) ist erforderlich, wenn personenbezogene Fahrzeugdaten in ein Drittland außerhalb der EU übermittelt werden, das nicht über einen Angemessenheitsbeschluss der Europäischen Kommission verfügt. Da Fahrzeugdaten unter die Datenschutz-Grundverordnung (DSGVO) fallen, stellt ein TIA sicher, dass das europäische Datenschutzniveau gewahrt bleibt. Dies geschieht durch die Prüfung bestehender Schutzmaßnahmen und deren Ergänzung, falls nötig. Für Sachverständige wie die CUBEE Sachverständigen AG ist der Schutz dieser Daten von zentraler Bedeutung.

Welche SCC-Module sind für meinen Datentransfer geeignet?

Wenn es um internationale Datenübertragungen geht, beispielsweise bei der Nutzung von Gutachten-Software über Ländergrenzen hinweg oder der Zusammenarbeit mit ausländischen Versicherungen, ist die Wahl des richtigen SCC-Moduls entscheidend. Hier sind die Optionen:

  • Modul 1: Übertragung von einem Verantwortlichen an einen anderen Verantwortlichen (z. B. Weitergabe eines Gutachtens an eine ausländische Versicherung).
  • Modul 2: Übertragung von einem Verantwortlichen an einen Auftragsverarbeiter (z. B. Nutzung eines Cloud-Speicherdienstes).
  • Modul 3: Übertragung zwischen zwei Auftragsverarbeitern.
  • Modul 4: Übertragung von einem Auftragsverarbeiter an einen Verantwortlichen.

Zusätzlich ist ein Transfer Impact Assessment (TIA) erforderlich, um die Sicherheit der Datenübertragung zu gewährleisten. Mit CUBEE profitieren Sie von digitalisierten Prozessen, die eine sichere Abwicklung von KFZ-Gutachten ermöglichen.

Wie setze ich Pseudonymisierung praktisch um?

Pseudonymisierung ist eine effektive Methode, um personenbezogene Daten sicherer zu machen. Sie funktioniert als Ergänzung zur Verschlüsselung und sorgt dafür, dass Daten ohne zusätzliche Informationen nicht einer bestimmten Person zugeordnet werden können.

Ein praktisches Beispiel liefert die CUBEE Sachverständigen AG: Hier werden Gesichter und Kennzeichen auf Fotos automatisch unkenntlich gemacht. Zusätzlich gewährleisten rollenbasierte Zugriffskontrollen und das Need-to-Know-Prinzip, dass sensible Daten gemäß den Vorgaben der DSGVO geschützt bleiben.

Verwandte Blogbeiträge