Kurz gesagt: Ein Kfz-Gutachten darf oft ohne Einwilligung an Versicherer gehen - aber nur, wenn es für die Schadenregulierung gebraucht wird, eine Rechtsgrundlage vorliegt und die Daten sicher übermittelt werden.

Ich fasse den Kern direkt zusammen: Im Gutachten stehen personenbezogene Daten wie Name, Kennzeichen, FIN, Fotos und Kilometerstand. Für diese Daten gelten die DSGVO und das BDSG. Meist stützt sich die Verarbeitung auf Vertragserfüllung, berechtigtes Interesse oder gesetzliche Aufbewahrungspflichten. Eine Einwilligung brauche ich meist nur dann, wenn Daten für Werbung, Produktentwicklung oder andere Zwecke außerhalb des Schadenfalls genutzt werden.

Das ist für mich die wichtigste Liste aus dem Artikel:

  • Personenbezogen sind oft nicht nur Name und Anschrift, sondern auch Kennzeichen, FIN und Schadensfotos
  • Keine Einwilligung ist Im Normalfall für die traditionelle Gutachtenerstellung oder mobile Fahrzeugbewertung und die Schadenregulierung nötig
  • Einwilligung kann bei Zusatznutzungen nötig sein, etwa bei Marketing oder Fahrdaten-Modellen
  • Versicherer dürfen Daten bekommen, wenn sie diese für die Regulierung brauchen
  • Datenminimierung heißt: Es geht nur das raus, was im Einzelfall gebraucht wird
  • Unverschlüsselte E-Mails sind für solche Daten keine gute Lösung
  • Werkstätten, Anwälte, IT- und Prüfdienstleister dürfen Daten nur für klar begrenzte Aufgaben erhalten
  • Informationspflichten nach Art. 13 und 14 DSGVO bleiben bestehen
  • Speicherfristen liegen oft bei 6 oder 10 Jahren, teils auch länger bei möglichen Ansprüchen
  • Betroffene haben ein Recht auf Auskunft, also auf Infos zu Empfängern, Zweck und Speicherdauer

Wenn ich das Thema auf einen Satz bringe, dann so: Nicht jede Datenweitergabe braucht eine Zustimmung - aber jede Datenweitergabe braucht einen klaren Grund, einen klaren Zweck und einen sauberen Prozess.

Punkt Was meist gilt
Gutachten an Versicherung Meist erlaubt, wenn für Regulierung nötig
Einwilligung Nur bei Sonderfällen oder Zusatznutzung
Fotos und FIN Oft personenbezogen
Versand Nur geschützt, nicht offen per E-Mail
Speicherung Nur so lange wie der Zweck oder das Gesetz es verlangt

Im Rest des Artikels geht es dann um die 10 Praxisfragen dazu - knapp gesagt: Wer bekommt welche Daten, warum, auf welcher Rechtsgrundlage und wie lange?

Rechtsgrundlagen und Umfang der Datenverarbeitung im Kfz-Gutachten

Welche Gutachtendaten gelten als personenbezogene Daten nach der DSGVO?

Für die Wahl der Rechtsgrundlage kommt es zuerst darauf an, welche Angaben im Gutachten überhaupt personenbezogen sind. Im Kfz-Gutachten betrifft das vor allem Halter-, Fahrzeug- und Schadendaten. Dazu zählen etwa Name, Anschrift, Kennzeichen, FIN, Kilometerstand, Fotos und Schadendaten.

Ob ein Kennzeichen oder eine FIN als personenbezogen gilt, hängt vom jeweiligen Zusammenhang ab. Der Knackpunkt ist, ob der Verantwortliche die Daten einer bestimmten Person zuordnen kann. In deutschen Schadenprozessen ist das meist so. Der EuGH hat dazu klargestellt: Eine VIN kann je nach Zugriffsmöglichkeiten des Verantwortlichen personenbezogen sein oder eben nicht.

Auch Schadensfotos fallen oft darunter. Das ist klar, wenn sie Kennzeichen oder andere erkennbare Merkmale zeigen. Aber selbst ohne solche Merkmale können Fotos personenbezogen sein, wenn sie im Schadenakt einer bestimmten Person zugeordnet werden.

Welche Rechtsgrundlagen gelten meistens?

Wenn die Daten eingeordnet sind, geht es um die passende Rechtsgrundlage. In der Praxis tauchen meist diese drei Fälle auf:

Rechtsgrundlage Typischer Anwendungsfall
Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung Gutachtenerstellung und Schadenregulierung
Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse Betrugsprävention und Prüfdienstleister
Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtung Gesetzliche Aufbewahrungs- und Dokumentationspflichten

Für das Gutachten selbst greift meist Art. 6 Abs. 1 lit. b DSGVO. Geht es um Zusatzprüfungen, ist oft lit. f die passende Basis. Für Aufbewahrung und Dokumentation kommt in vielen Fällen lit. c ins Spiel.

Wann ist eine ausdrückliche Einwilligung wirklich nötig?

Für die Standard-Schadenregulierung braucht es in der Regel keine Einwilligung. Dazu gehören die Gutachtenerstellung sowie die Weitergabe an Versicherer und Rechtsanwälte. Hier reichen Vertragserfüllung und berechtigtes Interesse aus.

Anders sieht es bei Nutzungen aus, die über die eigentliche Schadenregulierung hinausgehen. Ein gutes Beispiel sind fahrverhaltensbasierte Tarife wie Pay-as-you-drive. Hier ist eine ausdrückliche Einwilligung nötig, weil diese Verarbeitung nicht mehr auf das beschränkt ist, was für die Regulierung des Schadens gebraucht wird. Das betrifft nur diese Zusatzdaten, nicht die normale Erstellung des Gutachtens. Die Datenschutzaufsicht in Nordrhein-Westfalen erlaubt solche Modelle nur unter Bedingungen: Übermittelt werden dürfen Scores und Gesamt-Kilometerstände, während Rohdaten beim Dienstleister pseudonymisiert bleiben.

Zustimmungspflichtig ist auch die Nutzung von Gutachtendaten für Marketing oder Produktentwicklung. Wenn der Schadenfall Gesundheitsdaten enthält, greift zudem Art. 9 DSGVO. Dann braucht es entweder eine ausdrückliche Einwilligung oder eine besondere gesetzliche Erlaubnis.

Datenweitergabe an Versicherer und andere Empfänger

Wann dürfen Gutachten und Fotos direkt an die Versicherung übermittelt werden?

Sobald die Rechtsgrundlage feststeht, geht’s um die Praxis: Wer erhält das Gutachten überhaupt?

Die direkte Übersendung an die Versicherung ist erlaubt, wenn sie für die Schadenregulierung gebraucht wird. Eine Einwilligung ist dafür in den meisten Fällen nicht nötig.

Der Kernpunkt ist die Zweckbindung. Weitergegeben werden nur die Unterlagen und Daten, die für den Fall gebraucht werden. Ein vollständiges Gutachten gehört nur dann dazu, wenn auch die Zusatzangaben für die Regulierung nötig sind.

Bei der Übermittlung reicht „einfach per Mail schicken“ nicht aus. Sie muss technisch abgesichert sein. Geeignet sind etwa:

  • verschlüsselte Uploads
  • geschützte Portale
  • passwortgeschützte Dateien

Unverschlüsselte E-Mails sind dafür ungeeignet.

Müssen Fahrzeughalter das Gutachten der gegnerischen Versicherung herausgeben?

Anders sieht es aus, wenn nicht der Gutachter, sondern der Halter selbst das Gutachten weitergeben soll.

Eine allgemeine Pflicht, ein privat beauftragtes Gutachten herauszugeben, gibt es nicht. Das gilt auch dann, wenn die Vorlage die Regulierung schneller machen könnte.

Ob die Herausgabe im Einzelfall sinnvoll ist, hängt davon ab, wer das Gutachten beauftragt hat, welcher Anspruch geltend gemacht wird und ob der Versicherer schon eigene Bewertungen vorgelegt hat. Eine schriftliche Vorgabe zum Zweck und zum Empfänger sorgt hier für klare Verhältnisse.

Wie müssen Drittempfänger behandelt werden?

Neben Versicherern kommen im Schadenprozess andere Empfänger nur in Ausnahmefällen infrage.

Werkstätten, Rechtsanwälte, IT-Dienstleister oder Prüfdienstleister dürfen Gutachtendaten erhalten, wenn sie im Schadenprozess eine klar abgegrenzte Aufgabe haben.

Wichtig ist die Trennung der Rollen:

  • Auftragsverarbeiter handeln nach Weisung und brauchen einen AVV.
  • Eigenständige Verantwortliche brauchen eine eigene Rechtsgrundlage.
  • Prüfdienstleister gelten bei einem AVV nicht als Dritte.

Informationspflichten, Speicherfristen und sichere Prozesse

DSGVO im Kfz-Gutachten: Rechtsgrundlagen & Speicherfristen auf einen Blick

DSGVO im Kfz-Gutachten: Rechtsgrundlagen & Speicherfristen auf einen Blick

Wenn Gutachten und Fotos schon an den Versicherer übermittelt wurden, geht die Sache noch weiter. Dann zählen vor allem Informationspflichten, Aufbewahrungsfristen und eine saubere Dokumentation. Denn auch nach einer zulässigen Weitergabe darf mit den Daten nicht einfach beliebig weitergearbeitet werden.

Was Gutachter und Versicherer dem Fahrzeughalter mitteilen müssen

Gutachter und Versicherer müssen bei der Datenerhebung klar angeben, wer verantwortlich ist, zu welchem Zweck die Daten genutzt werden, auf welcher Rechtsgrundlage das geschieht, an wen die Daten gehen oder welche Empfängerkategorien es gibt, wie lange sie gespeichert werden und welche Rechte Betroffene haben. Falls es passt, müssen auch Angaben zum Datenschutzbeauftragten und zu einer Drittlandübermittlung dabei sein.

Kommen die Daten nicht direkt vom Fahrzeughalter, greift Art. 14 DSGVO. Dann müssen zusätzlich die Herkunft der Daten und die betroffenen Datenkategorien genannt werden. Diese Information muss spätestens innerhalb eines Monats erfolgen.

In der Praxis stehen diese Hinweise oft in einer Datenschutzinformation zur Schadenbearbeitung. Sachverständige müssen ihre Informationspflichten dabei selbst erfüllen.

Wie lange dürfen Gutachten und Schadendaten gespeichert werden?

Auch nach der Weitergabe gilt ein einfacher Grundsatz: Daten dürfen nicht länger als nötig gespeichert werden. Wie lang die Frist im Einzelfall ist, hängt von der Art der Unterlage und von möglichen Verjährungsfristen ab.

Unterlagenart Typische Frist Rechtsgrundlage
Steuerrelevante Unterlagen, Rechnungen, Jahresabschlüsse 10 Jahre § 147 AO, § 257 HGB
Geschäftsbriefe, allgemeine Korrespondenz 6 Jahre § 147 AO, § 257 HGB
Gutachten und Vorgangsakten (Sachverständige) Bis zu 10 Jahre Sachverständigenordnungen, z. B. Berlin
Schadendaten mit möglichen Ansprüchen Bis zu 30 Jahre Zivilrechtliche Verjährungsfristen

Fällt der Zweck weg und gibt es auch keine gesetzliche Pflicht zur weiteren Aufbewahrung mehr, müssen die Daten gelöscht oder anonymisiert werden.

Wie digitale Gutachtenprozesse die Kommunikation mit Versicherern absichern

Damit Fristen, Freigaben und Unterlagen später noch nachvollziehbar sind, braucht es klare digitale Abläufe. Gute Workflows halten fest, welche Unterlagen vorliegen, wann etwas weitergegeben wurde und welche Freigaben erteilt wurden.

Bei CUBEE Sachverständigen AG sind die digitalen Prozesse rund um das Kfz-Gutachten optimiert. Das hilft dabei, Unterlagen geordnet und prüfbar für die Kommunikation mit Versicherern bereitzustellen.

Fazit: Die wichtigsten Regeln für DSGVO-konforme Datenweitergabe im Gutachten

Ein Kfz-Gutachten enthält personenbezogene Daten. Dazu zählen zum Beispiel Halterdaten, Fahrzeugdaten und Angaben zum Schaden. Das betrifft alle gängigen Arten von Gutachten.

Für jede Weitergabe braucht es eine Rechtsgrundlage nach Art. 6 DSGVO. In der Praxis geht es meist um Vertragserfüllung, berechtigtes Interesse oder eine Einwilligung. Maßgeblich ist immer der konkrete Schadenfall. Heißt: Es dürfen nur die Daten weitergegeben werden, die für diesen Fall gebraucht werden.

Genau hier greift der Grundsatz der Datenminimierung. Weitergegeben wird nur, was für die Regulierung nötig ist. Für die Speicherung gilt dasselbe.

Daten dürfen außerdem nur so lange gespeichert werden, wie es für Begutachtung, Schadenbearbeitung oder gesetzliche Aufbewahrungspflichten nötig ist.

Betroffene haben das Recht auf Auskunft. Sie können erfahren, wer ihre Daten erhält, zu welchem Zweck die Daten genutzt werden und wie lange sie gespeichert bleiben. Gegenüber dem Fahrzeughalter bleibt diese Transparenz Pflicht.

Wer Rechtsgrundlage, Datenminimierung, Transparenz und Speicherfristen sauber beachtet, gibt Daten an Versicherer DSGVO-konform weiter. Die Kommunikation bleibt damit rechtssicher und auf das nötige Maß beschränkt.

FAQs

Wer haftet bei falscher Datenweitergabe?

Bei einer unrechtmäßigen oder fehlerhaften Weitergabe von Daten haftet der Gutachter persönlich für die Folgen. Das ist kein Nebenthema, sondern ein direkter Haftungsfall.

Verstöße gegen die DSGVO können Geldbußen von bis zu 20.000.000 Euro oder 4 Prozent des weltweiten Jahresumsatzes nach sich ziehen.

Dazu kommen oft noch weitere Risiken:

  • zivilrechtliche Schadensersatzforderungen
  • Sanktionen durch die Aufsichtsbehörden
  • im Extremfall der Entzug der Gutachterlizenz
  • in schweren Fällen auch strafrechtliche Konsequenzen

Schon ein einzelner Fehler bei der Datenweitergabe kann also teuer werden - finanziell, beruflich und rechtlich.

Welche Unterlagen darf die Versicherung konkret anfordern?

Versicherungen dürfen nur Unterlagen und Daten verlangen, die für die Schadensregulierung zwingend erforderlich sind. Das folgt aus dem DSGVO-Grundsatz der Datenminimierung: Gefragt werden darf nur das, was für die Bearbeitung des Falls nötig ist.

Meist gehören dazu der Fahrzeugschein, also die Zulassungsbescheinigung Teil I, Angaben zum Unfallhergang, Schadensfotos sowie die Daten zur Versicherung und zum Kennzeichen des Unfallgegners. Je nach Fall können auch Servicehefte oder Reparaturnachweise nötig sein, etwa wenn es um die Wertermittlung des Fahrzeugs geht.

Wie übe ich mein Auskunftsrecht praktisch aus?

Sie machen Ihr Auskunftsrecht geltend, indem Sie den KFZ-Gutachter fragen, welche personenbezogenen Daten über Sie gespeichert und verarbeitet werden (Art. 15 DSGVO). Fordern Sie dabei auch die Angaben zur Verarbeitung an.

Der Gutachter sollte diese Rechte klar und verständlich darstellen und die Dokumentation dazu im Rahmen des Datenschutzkonzepts transparent führen.

Verwandte Blogbeiträge