Wer im Kfz-Bereich Daten weitergibt, muss vor dem Versand 5 Punkte prüfen: Rechtsgrundlage, Zweck, Datenmenge, Empfängerrolle und Schutz beim Transfer. Sonst kann schon ein einzelnes PDF mit Kennzeichen, FIN oder Innenraumfotos zum DSGVO-Fall werden.

Ich fasse den Kern einfach zusammen:

  • Personenbezug zuerst prüfen: Kennzeichen, FIN, Halterdaten, Versicherungsnummern, Fotos, Standort- und Telematikdaten können personenbezogen sein.
  • Vor jeder Weitergabe die Rechtsgrundlage festhalten: meist Vertrag, gesetzliche Pflicht oder berechtigtes Interesse.
  • Nur das Nötige senden: keine kompletten Unterlagen, wenn einzelne Seiten, geschwärzte Daten oder eine Kurzfassung reichen.
  • Rollen sauber trennen: Cloud-Anbieter und Subunternehmer brauchen oft einen AVV, Versicherungen meist nicht.
  • Daten sicher senden und speichern: Upload-Portal, Passwortschutz, MFA, Protokolle und gesperrte Zugriffe nach Auftragsende.
  • Drittlandtransfers extra prüfen: bei Nicht-EU-Diensten braucht es meist SCCs und eine TIA.
  • Dokumentation aktuell halten: VVT, TOMs, Löschfristen, Schulungen und Transferprotokolle.
  • Datenpannen sofort behandeln: Bei meldepflichtigen Vorfällen gilt nach Art. 33 DSGVO eine Frist von 72 Stunden.

Kurz gesagt: Ich darf Fahrzeugdaten nicht einfach weiterreichen, nur weil es im Alltag üblich ist. Ich muss vorher prüfen, warum, an wen, welche Daten und über welchen Weg sie rausgehen.

Diese Zusammenfassung gibt mir den schnellen Überblick, bevor ich in die Details gehe.

DSGVO-Checkliste: Sichere Datenweitergabe im KFZ-Bereich

DSGVO-Checkliste: Sichere Datenweitergabe im KFZ-Bereich

Checkliste Teil 1: Rechtsgrundlage, Zweckbindung und Datenminimierung

Rechtsgrundlage vor jeder Weitergabe prüfen

Bevor Daten weitergegeben werden, muss erst die Grundfrage geklärt sein: Worauf stützt sich der Transfer rechtlich? Im Kfz-Alltag kommen meist drei Grundlagen infrage:

Rechtsgrundlage Typischer Anwendungsfall
Vertragserfüllung / vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b) Schadengutachten an die Versicherung, Wertgutachten für Kauf/Verkauf, Oldtimer-Bewertung im Auftrag
Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) Meldungen an Behörden oder gesetzlich vorgeschriebene Offenlegungen
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) Übergabe an Anwälte zur Rechtsdurchsetzung, Betrugsprävention, interne Qualitätssicherung

Wichtig ist: Eine Einwilligung einzuholen, obwohl Vertrag oder berechtigtes Interesse klar passen, kann zum Problem werden. Der Grund ist simpel: Sie lässt sich jederzeit widerrufen.

Deshalb sollte die Rechtsgrundlage immer schriftlich in der Vorgangsakte stehen. Zum Beispiel als Pflichtfeld im digitalen Gutachtensystem. So ist später sauber nachzuvollziehen, warum die Weitergabe zulässig war.

Steht die Rechtsgrundlage fest, kommt der nächste Punkt: Es gehen nur die Daten raus, die der Empfänger für seinen Zweck braucht.

Nur die wirklich nötigen Daten weitergeben

Datenminimierung heißt im Klartext: so wenig wie möglich, so viel wie nötig.

Eine Werkstatt braucht für die Schadenregulierung die technische Schadensbeschreibung und die Kalkulation. Versicherungsdaten braucht sie dafür meist nicht. Ein Rechtsanwalt soll alle Unterlagen erhalten, die für den Streitfall nötig sind, aber keine internen QS-Notizen. Ein Käufer braucht Zustandsbeschreibung, Laufleistung und Unfallhistorie für den Kaufvertrag – nicht die Privatanschrift des bisherigen Halters.

Im Alltag hilft oft schon ein kurzer Check vor dem Versand:

  • Ist das komplette Gutachten nötig?
  • Reichen einzelne Seiten?
  • Würde auch eine technische Kurzübersicht genügen?

Außerdem sollten Personendaten wie Kontodaten, Telefonnummer, E-Mail-Adresse oder Geburtsdatum geschwärzt werden, wenn sie für den Zweck keine Rolle spielen. Gleiches gilt für Kennzeichen in Verkaufsunterlagen, wenn diese Angabe nicht gebraucht wird.

Gerade hier passieren viele Fehler aus Bequemlichkeit: Man schickt einfach das ganze PDF. Das ist zwar einfach, aber oft eben zu viel.

Zweck klar festlegen und dokumentieren

Daten, die für ein Schadengutachten erhoben wurden, dürfen nicht einfach später für andere Ziele genutzt werden. Dazu zählen etwa Marketing oder Profiling. Das ist vor allem dann heikel, wenn Fahrzeug- und Gutachtendaten digital verarbeitet werden und später mit ein paar Klicks für ganz andere Auswertungen bereitstehen.

Darum sollte der Zweck vor der Weitergabe intern festgelegt werden. Das kann knapp und klar passieren, etwa:

  • als kurze Zweckangabe im Begleitschreiben
  • als vertragliche Regelung mit dem Empfänger

Entscheidend ist, dass der Zweck schriftlich festgehalten und dem Empfänger verbindlich mitgeteilt wird.

Checkliste Teil 2: Verträge, Empfänger und grenzüberschreitende Übermittlungen

Wenn Rechtsgrundlage und Datenumfang feststehen, kommt der nächste Schritt: Wer bekommt die Daten, in welcher Rolle und auf welcher Vertragsbasis?

Rollen klären und die richtigen Verträge abschließen

Bevor Daten weitergegeben werden, muss die Rolle des Empfängers klar sein. Genau hier passieren oft Fehler.

  • Ein IT-Dienstleister oder Cloud-Anbieter, der Gutachtendaten im Auftrag speichert oder verarbeitet, ist Auftragsverarbeiter → AVV erforderlich
  • Eine Versicherung, die ein fertiges Gutachten erhält und selbst entscheidet, was sie damit macht, ist Verantwortlicher → kein AVV, aber eine klare Rechtsgrundlage nach Art. 6 DSGVO
  • Ein externer Gutachter als Subunternehmer → AVV erforderlich

Der AVV sollte sauber festhalten, welche Daten verarbeitet werden, zu welchem Zweck, wie lange, welche TOMs gelten und ob Subunternehmer eingesetzt werden. Ebenso wichtig: Der Auftraggeber muss Weisungen geben können und ein Recht auf Audits behalten.

Bei Subunternehmern gilt: nur mit schriftlicher Genehmigung. Kommen später neue hinzu, sollte der Vertrag eine Widerspruchsfrist von 2 bis 4 Wochen vorsehen.

Zugriffe strikt begrenzen

Nicht jeder braucht alles. Werkstatt, Gutachter und mobile Beteiligte sollten nur die Unterlagen sehen, die sie für ihren Auftrag brauchen.

Auch beim Versand von Berichten und Fotos braucht es einen klaren Freigabeprozess. Wer darf Unterlagen extern verschicken? Wer muss das freigeben? Das sollte schriftlich geregelt sein, nicht nur „irgendwie im Team bekannt“.

Mitarbeiter des Auftragsverarbeiters müssen zudem vertraglich auf Vertraulichkeit verpflichtet sein. Das gehört in den AVV.

Wo werden die Daten gespeichert: Deutschland, EU oder außerhalb?

Der Speicherort von Gutachtendaten ist kein Nebenthema. Vor dem Versand sollten immer vier Punkte geprüft werden: Empfänger, Vertrag, Speicherort und Drittlandrisiko.

Übermittlungsszenario Anforderung
IT-/Cloud-Anbieter (EU/EWR) AVV + TOMs-Prüfung
Externer Gutachter (Subunternehmer) AVV + Vertraulichkeitspflicht
Cloud-Dienst (Nicht-EU, z. B. USA) AVV + Standardvertragsklauseln (SCCs) + Risikoprüfung des Drittlandtransfers (TIA)
Werkstatt / Versicherung (Verantwortlicher) Rechtsgrundlage nach Art. 6 DSGVO

Bei Drittlandübermittlungen reicht ein AVV nicht. Dann kommen Standardvertragsklauseln (SCCs) der EU-Kommission dazu und außerdem eine Risikoprüfung des Drittlandtransfers (TIA). Beides muss dokumentiert werden.

Sind Rollen, Verträge und Transferwege geklärt, geht es als Nächstes um den Schutz bei Versand, Zugriff und Speicherung.

Checkliste Teil 3: Technische und organisatorische Schutzmaßnahmen bei der Datenweitergabe

Sind Rollen und Verträge geklärt, kommt der nächste Schritt: Versand, Zugriff und Speicherung sauber absichern. Genau hier zeigt sich, ob Datenschutz im Alltag klappt oder nur auf dem Papier steht.

Sichere Kanäle für Versand und Speicherung von Gutachtendaten nutzen

Nach der Klärung von Verträgen und Rollen zählt vor allem der Übertragungsweg. E-Mails mit Gutachten, Schadensfotos und Kalkulationen sind ohne Schutzmaßnahmen kein passender Kanal. Gerade bei personenbezogenen Daten kann das schnell zum Problem werden.

Für den normalen Ablauf ist ein verschlüsseltes Upload-Portal über HTTPS meist die beste Wahl. Muss der Versand ausnahmsweise per E-Mail laufen, sollten die Dateien passwortgeschützt sein. Das Passwort gehört dann nicht in dieselbe Nachricht, sondern separat per SMS oder Telefon.

Übertragungsweg Sicherheitsniveau Nutzen Empfohlen für
Unverschlüsselter E-Mail-Anhang Niedrig Für personenbezogene Daten zu vermeiden Vermeiden
Passwortgeschützte Datei + separater Passwortkanal Mittel Besser als reines E-Mail, aber nur eingeschränkt nachvollziehbar Kurzfristige Ausnahme für kleine Dateimengen
Verschlüsseltes Upload-Portal über HTTPS Hoch Gute Absicherung von Vertraulichkeit und Zugriffskontrolle Empfohlen für den Routineversand
Verwaltete Cloud-Lösung mit MFA, Protokollierung und rollenbasierten Rechten Hoch Gute Grundlage für laufende Zusammenarbeit und Nachweisbarkeit Geeignet für Berichtsprozesse und gemeinsame Fälle

Zugriffskontrolle, MFA und Protokollierung einrichten

Nicht jeder braucht alles zu sehen. Deshalb sollte jede Rolle nur die Rechte bekommen, die sie für den Auftrag braucht. Serviceberater, externe Gutachter und Versicherungssachbearbeiter greifen also nur auf die Unterlagen zu, die für ihren Teil des Falls nötig sind.

Dazu gehören ein paar klare Grundregeln:

  • MFA aktivieren, damit Konten nicht schon mit einem gestohlenen Passwort offenstehen
  • Exporte und Downloads protokollieren, damit sich Zugriffe später prüfen lassen
  • Rechte bei einem Rollenwechsel oder Auftragsende sofort entziehen

Das klingt erst mal nach viel Verwaltung. In der Praxis spart es oft Ärger, weil sich Zugriffe klar steuern und später auch belegen lassen.

Fotos, Telematikdaten und mobile Geräte sorgfältig behandeln

Mobile Gutachter arbeiten oft direkt am Fahrzeug mit Smartphone, Tablet oder Laptop. Genau da liegt das Risiko: Appraisal-Dateien, GPS-Metadaten und Notizen liegen auf Geräten, die verloren gehen oder gestohlen werden können.

Bei Fotos gilt eine einfache Regel: Kennzeichen und erkennbare Personen unkenntlich machen, wenn sie für den konkreten Zweck nicht gebraucht werden. Standort- und Telematikdaten sollten nur erhoben werden, wenn sie für den Fall nötig sind. Sonst sammelt man schnell mehr, als man später rechtfertigen kann.

Auch die Geräte selbst brauchen Schutz. Sie sollten verschlüsselt sein. Geht ein Gerät verloren, muss es sofort gesperrt und aus der Ferne gelöscht werden.

Diese Schutzmaßnahmen müssen später in Dokumentation und Incident-Prozesse überführt werden.

Checkliste Teil 4: Dokumentation, Vorfälle und digitale Gutachten-Workflows

Die in Teil 3 festgelegten Schutzmaßnahmen brauchen jetzt saubere Dokumentation, klare Meldewege und feste Abläufe. Technik allein reicht nicht. Erst mit klaren Prozessen wird aus einzelnen Maßnahmen ein System, das im Alltag funktioniert.

Verzeichnis, TOMs und Schulungen aktuell halten

Das VVT nach Art. 30 DSGVO führt die wichtigen Vorgänge, Datenkategorien, Empfänger, Speicherdauer und Schutzmaßnahmen auf.

Die TOM-Dokumentation nach Art. 32 DSGVO hält fest, welche Schutzmaßnahmen bereits umgesetzt wurden. Dabei gilt: TOMs sollten regelmäßig geprüft und bei Änderungen an Prozessen oder Systemen angepasst werden. Transferprotokolle halten Empfänger, Zeitpunkt und Rechtsgrundlage fest. Dazu kommt ein Lösch- und Aufbewahrungskonzept, das Fristen je Vorgangsart definiert und dokumentierte Löschroutinen aus Systemen, mobilen Geräten und Backups vorsieht.

Schulungen sollten mindestens einmal pro Jahr stattfinden. Auch die Schulungsnachweise gehören in die Dokumentation, zum Beispiel Teilnehmerlisten oder Testauswertungen.

Wenn diese Unterlagen intern sauber geführt sind, lassen sich Vorfälle und Prüfungen viel schneller nachvollziehen.

Datenpannen erkennen und melden

Bei einer Datenpanne zählt jede Minute. Transferprotokolle helfen dabei, den Vorfall nachzuvollziehen. Nach Art. 33 DSGVO gilt eine Meldefrist von 72 Stunden gegenüber der zuständigen Aufsichtsbehörde, sobald ein Risiko für die Rechte und Freiheiten betroffener Personen besteht.

Der Ablauf ist im Kern einfach:

  • Vorfall erkennen
  • Zugriff sofort sperren oder eingrenzen
  • Vorfall, betroffene Daten und Umfang festhalten
  • Risiko bewerten
  • Entscheiden, ob eine Meldung an die Behörde und gegebenenfalls nach Art. 34 DSGVO auch an die Betroffenen nötig ist

Das ist vor allem dann wichtig, wenn ein hohes Risiko besteht, etwa wenn Gutachtenfotos mit Kennzeichen und Adressdaten nach außen gelangt sind. Diese Notfallanweisung sollte als kurzes, gut auffindbares Dokument für alle Mitarbeitenden bereitliegen.

Checkliste in digitale Prozesse einbetten

Digitale Gutachten-Workflows können Pflichtfelder, Freigaben und Protokolle direkt im Ablauf abbilden. CUBEE Sachverständigen AG nutzt dafür digitalisierte Prozesse über cubee.expert. Pflichtfelder für Zweck und Rechtsgrundlage sowie Freigabeschritte vor dem Versand an Dritte helfen dabei, dass sichere Datenweitergabe nicht nebenbei läuft, sondern fester Teil des normalen Prozesses ist.

Die wichtigsten Punkte dieser Checkliste auf einen Blick:

  • Rechtsgrundlage prüfen
  • nur notwendige Daten weitergeben
  • sichere Übertragungswege nutzen
  • Maßnahmen dokumentieren
  • Prozesse regelmäßig prüfen

So werden Freigaben und Nachweise Teil des Standardablaufs.

FAQs

Wann ist ein Kennzeichen personenbezogen?

Ein Kennzeichen gilt als personenbezogenes Datum, weil sich damit der Fahrzeughalter unter Umständen eindeutig bestimmen lässt.

Bei KFZ-Gutachten fällt es damit unter die Schutzregeln der DSGVO und des BDSG. Um die Privatsphäre zu schützen, sollten fremde Kennzeichen auf Fotos - zum Beispiel in der Schadensdokumentation - unkenntlich gemacht werden.

Brauche ich mit jeder Versicherung einen AVV?

Nein. Ein AVV nach Art. 28 DSGVO ist nur dann nötig, wenn externe Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeiten. Das betrifft zum Beispiel IT-Anbieter, Cloud-Dienste oder Abrechnungssoftware.

Bei der Übermittlung von Fahrzeugdaten an eine Versicherung ist ein AVV meist nicht nötig. Das gilt jedenfalls dann, wenn die Versicherung als eigenständig Verantwortliche handelt.

Wann wird eine Datenpanne zum Meldefall?

Eine Datenpanne ist meldepflichtig, sobald ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Genau an diesem Punkt müssen Unternehmen hinschauen: Wurden personenbezogene Daten unrechtmäßig übermittelt, gespeichert oder auf andere Weise verarbeitet, ist zu prüfen, ob diese Schwelle erreicht wurde.

Darum reicht es nicht, den Vorfall nur kurz zur Kenntnis zu nehmen. Jede Datenpanne sollte intern geprüft und lückenlos dokumentiert werden. So lässt sich bei einer drohenden Gefahr für Betroffene früh genug handeln und es können rechtzeitig passende Maßnahmen eingeleitet werden.

Verwandte Blogbeiträge