Der Zugriff auf Fahrzeugdaten ist zentral für unabhängige Werkstätten, Gutachter und Dienstleister. EU-Vorschriften wie die Verordnung (EU) 2018/858 regeln diesen Zugang und stellen sicher, dass Fahrzeughersteller Daten diskriminierungsfrei bereitstellen müssen. Neue Regelungen wie der EU Data Act (seit September 2025 vollständig anwendbar) stärken die Rechte der Fahrzeughalter und ermöglichen ihnen, Daten mit Dritten zu teilen.

Kernpunkte:

  • OBD-Daten und RMI: Fahrzeugdaten und Reparaturinformationen müssen standardisiert zugänglich sein.
  • DSGVO und Datenschutz: Zugriff auf personenbezogene Fahrzeugdaten erfordert die Zustimmung des Nutzers.
  • Technische Standards: ISO-Normen wie 20078-3 und 20828 sichern den Zugang und die Datenintegrität.
  • Cybersicherheit: Standards wie UNECE R155 und R156 schützen Schnittstellen und gewährleisten sichere Software-Updates.
  • Praktische Umsetzung: [Digitale Tools für Gutachter] (https://magazin.cubee.expert/digitale-tools-fur-gutachter-und-werkstatten-vorteile-im-uberblick/) ermöglichen einen klar geregelten Datenzugang, der präzise Bewertungen ermöglicht.

Fazit: Die Kombination aus rechtlichen Vorgaben, Datenschutzbestimmungen und technischen Standards schafft die Grundlage für einen sicheren und geregelten Drittanbieterzugriff im KFZ-Bereich.

Regulatorische Rahmenbedingungen für den Drittanbieterzugriff

DSGVO und Fahrzeugdaten

Moderne Fahrzeuge sammeln eine Vielzahl von Daten – darunter Standort-, Fahr- und Systeminformationen. Viele dieser Daten fallen unter die Kategorie personenbezogener Daten gemäß der DSGVO. Um auf Telematik- und Sensordaten zugreifen zu können, ist daher die informierte Einwilligung des Fahrzeugnutzers erforderlich (Art. 6 Abs. 1 lit. a DSGVO). In Deutschland überwacht der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) die Einhaltung der Vorschriften zur Verarbeitung solcher Daten. Ergänzend zur DSGVO schafft der EU Data Act ein umfassenderes Regelwerk für Fahrzeugdaten.

EU Data Act und Leitlinien zu vernetzten Fahrzeugen

EU Data Act

Der EU Data Act konkretisiert den Umgang mit Daten über die DSGVO hinaus. Diese Verordnung (EU 2023/2854) trat am 11. Januar 2024 in Kraft und wird ab dem 12. September 2025 vollständig angewendet. Der Data Act stärkt die Rechte der Fahrzeugnutzer, indem er ihnen erlaubt, auf die von ihrem Fahrzeug generierten Daten zuzugreifen und diese mit Dritten zu teilen. Ziel ist es, faire Bedingungen für den Datenzugang zu schaffen und neue Geschäftsmodelle zu ermöglichen.

Für den B2B-Bereich sieht der Data Act vor, dass Dateneigentümer eine „angemessene Vergütung“ für den Zugang zu Daten verlangen können. Gleichzeitig sind unfaire Vertragsklauseln ausdrücklich untersagt. Allerdings gibt es weiterhin Herausforderungen, wie der Zentralverband Deutscher Kraftfahrzeuggewerbe (ZDK) betont:

„Für Anbieter im Aftermarket dürfte der Zugriff auf Fahrzeugdaten somit auch künftig eingeschränkt und stark herstellerabhängig bleiben".

Diese EU-weiten Regelungen wurden in Deutschland durch spezifische Maßnahmen ergänzt.

Deutschlandspezifische Regelungen

In Deutschland wird der EU Data Act durch das Data Act-Durchführungsgesetz (DA-DG) umgesetzt, das im Februar 2025 verabschiedet wurde. Dieses Gesetz definiert die zuständigen Behörden und Durchsetzungsverfahren.

„Die Bundesnetzagentur (BNetzA) wird als für die Anwendung und Durchsetzung des Data Act zuständige Behörde nach Artikel 37 Absatz 1 Data Act benannt." – Bundesministerium für Wirtschaft und Klimaschutz

KFZ-Unternehmen in Deutschland müssen sowohl die Anforderungen der BNetzA als auch des BfDI erfüllen. Die Bundesnetzagentur besitzt weitreichende Sanktionsbefugnisse, darunter das Einleiten von Bußgeldverfahren bei Verstößen. Diese strengen Regelungen unterstreichen die Notwendigkeit, Fahrzeugbewertungsprozesse datenrechtlich sicher zu gestalten – ein Ansatz, den auch digitale Verfahren wie die von CUBEE unterstützen.

Technische Standards für Authentifizierung und Autorisierung

KFZ-Drittanbieterzugriff: Technische & Rechtliche Standards im Überblick

KFZ-Drittanbieterzugriff: Technische & Rechtliche Standards im Überblick

API-Zugriff und rollenbasierte Autorisierung

Die sichere Nutzung von Fahrzeugdaten erfordert klar definierte technische Vorgaben. Der Standard ISO 20078-3:2022 beschreibt, wie Rollen und Zuständigkeiten bei webbasierten Fahrzeugschnittstellen getrennt werden. Mithilfe von OAuth 2.0 wird die rollenbasierte Autorisierung ermöglicht, während OpenID Connect 1.0 die Identitätsprüfung übernimmt. Diese beiden Technologien bilden die Grundlage für ABAC (Attributbasierte Zugriffskontrolle), das den Zugriff zweckgebunden regelt und damit DSGVO-konforme Prozesse unterstützt. Fahrzeughalter können so den Zugriff auf Daten delegieren, ohne ihre Zugangsdaten preiszugeben:

„This document defines how to authenticate users and accessing parties on a web-services interface. It also defines how a resource owner can delegate access to its resources to an accessing party." – ISO 20078-3:2022

Neben der rollenbasierten Autorisierung kommt auch eine tokenbasierte Zugangskontrolle zum Einsatz.

Token-basierte Autorisierung und Vertrauensmodelle

In der Praxis wird die Zugangskontrolle über ein Dual-Token-System realisiert. Die VISSv2-Architektur setzt dabei auf zwei Server: AGTS (Port 7443) und ATS (Port 8443). Zunächst erhält der Client ein Zugriffsberechtigungs-Token vom AGTS, das anschließend beim ATS gegen ein Zugangs-Token eingetauscht wird. Dieses Token dient als verifizierbarer Nachweis, dass der Zugriff auf spezifische Datenpunkte autorisiert ist.

Die Zeitstempel der Tokens basieren auf dem Unix-Format, und die Kommunikation erfolgt ausschließlich über TLS v1.2 oder höher. Für sicherheitskritische Fahrzeugbereiche, wie Steuergeräte, ist zusätzlich eine gegenseitige Authentifizierung zwischen unabhängigen Betreibern und Herstellern vorgeschrieben. Diese erfolgt über Sicherheitszertifikate gemäß ISO 20828.

Mit diesen Mechanismen sind Authentifizierung und Autorisierung technisch abgesichert. Der VISS-Standard definiert darauf aufbauend die Schnittstellen für den direkten Datenzugriff.

Fahrzeugschnittstellenstandards: VISS

Der Vehicle Information Service Specification (VISS) Standard ist die zentrale technische Schnittstelle für den Zugriff auf Fahrzeugsignale. Er ermöglicht es beispielsweise Gutachtern, gezielt auf relevante Fahrzeugdaten zuzugreifen. Die aktuelle Version 3.1 (veröffentlicht im April 2026) unterstützt mehrere Protokolle, darunter HTTP (Port 443), WebSocket (Port 6443), MQTT (Port 8883) und gRPC. Im Gegensatz zur ersten Version, die nur WebSocket unterstützte, bietet VISSv2 und v3 eine breitere Anwendbarkeit.

Die Datenpunkte selbst sind hierarchisch in der COVESA Vehicle Signal Specification (VSS) organisiert, ähnlich einem Verzeichnisbaum. Ein Signal wird beispielsweise als Vehicle.Car.Engine.RPM adressiert. OEMs können so individuell festlegen, welche Signale für welche Zwecke freigegeben werden, anstatt pauschal alle Daten zu teilen.

Standard Zweck Protokolle / Frameworks
VISS v2/v3 Zugriff auf Fahrzeugsignale HTTP, WebSocket, MQTT, gRPC
ISO 20078-3 Sicherheit bei ExVe-Webdiensten OAuth 2.0, OpenID Connect 1.0
ISO 20828 Gegenseitige Authentifizierung Digitale Sicherheitszertifikate
ISO 17978-3 Serviceorientierte Fahrzeugdiagnose RESTful API für HPCs und ECUs

Einwilligung und Datenweitergabe-Governance

Informierte Einwilligung und Zweckbindung

Bevor ein Vertrag abgeschlossen wird, sind Anbieter verpflichtet, klar darzulegen, welche Fahrzeugdaten generiert und in welchem Umfang diese genutzt werden. Dies ist in Artikel 3 des EU Data Acts (Verordnung 2023/2854) festgelegt, die seit dem 12. September 2025 gilt.

„Sellers or service providers must inform users about the data generated before contract conclusion (Art. 3 EU Data Act)." – Peter Lotz, Attorney-At-Law, MAYRFELD

Im Mittelpunkt steht hier die Zweckbindung: Nicht-personenbezogene Fahrzeugdaten dürfen nur dann verwendet werden, wenn ein klarer Vertrag mit dem Nutzer dies ausdrücklich erlaubt. Dieses Prinzip schützt Fahrzeughalter davor, dass Hersteller Daten ohne ihr Wissen oder ihre Zustimmung für eigene Zwecke nutzen. Gleichzeitig sorgt es dafür, dass Änderungen der Einwilligung später nachvollziehbar bleiben.

Einwilligung widerrufen und Änderungen nachverfolgen

Nutzer müssen jederzeit die Möglichkeit haben, ihre Einwilligung zu widerrufen oder anzupassen. Idealerweise geschieht dies über ein digitales Datenschutzportal, das in Echtzeit arbeitet und die Datenweitergabe unmittelbar stoppt.

Um Transparenz zu gewährleisten, ist eine lückenlose Dokumentation essenziell: Jede Einwilligung sollte mit einer eindeutigen Consent-ID und einem Zeitstempel versehen sein. So können sowohl Nutzeranfragen als auch Anfragen von Aufsichtsbehörden schnell und präzise beantwortet werden.

Die Rolle des Fahrzeughalters bei der Datenweitergabe

Der EU Data Act stärkt die Rechte der Fahrzeughalter deutlich: Sie haben das Recht, auf ihre Daten zuzugreifen und können verlangen, dass die Dateneigentümer – meist die Hersteller (OEMs) – diese direkt an von ihnen benannte Dritte weiterleiten. Dadurch wird der Fahrzeughalter zum zentralen Akteur im Daten-Ökosystem und übernimmt die Verantwortung für Entscheidungen rund um die Datennutzung.

Der ZDK weist jedoch darauf hin, dass Hersteller möglicherweise Schlupflöcher nutzen könnten, um Daten zurückzuhalten oder nur über ihre eigenen Backend-Systeme zugänglich zu machen. Für Gutachter und andere Drittanbieter bedeutet dies, dass die rechtlichen Rahmenbedingungen zwar eindeutig sind, die praktische Umsetzung jedoch von der Kooperationsbereitschaft der OEMs abhängt. Letztlich wird der Fahrzeughalter zur Schlüsselfigur im sicheren Umgang mit Fahrzeugdaten, was auch die Qualität digitaler KFZ-Gutachten unterstützt.

Sicherheits- und Integritätsanforderungen für Drittanbieterzugriff

Aufbauend auf den technischen Authentifizierungsstandards folgen nun Maßnahmen, die sicherstellen, dass Systemintegrität und Datensicherheit gewahrt bleiben.

Authentifizierung und Datenverschlüsselung

Ein einfacher Passwortschutz reicht längst nicht aus, wenn Drittanbieter auf Fahrzeugdaten zugreifen möchten. Besonders externe Schnittstellen wie OBD-Ports oder USB-Anschlüsse stellen Schwachstellen dar und müssen durch robuste Authentifizierungsprotokolle abgesichert werden, um unbefugten Zugriff und Manipulation zu verhindern.

Die bloße Dokumentation von Sicherheitsmaßnahmen genügt nicht: Penetrationstests sind der Standard, um die tatsächliche Wirksamkeit dieser Maßnahmen zu überprüfen. Zusätzlich schreibt UN-R156 vor, Integritätsprüfungen wie Hash-Werte oder Prüfsummen für Datenübertragungen einzusetzen. Diese Maßnahmen stellen sicher, dass die Daten während der Übertragung unverändert bleiben.

Automotive-Cybersicherheitsstandards: ISO/SAE 21434, UNECE R155 und UNECE R156

ISO/SAE 21434

Diese Standards definieren die Voraussetzungen für Sicherheitsmanagement, Software-Updates und Cybersecurity Engineering während des gesamten Fahrzeuglebenszyklus. Sie sind zentral für den sicheren Zugriff durch Drittanbieter:

Standard Schwerpunkt Relevanz für Drittanbieterzugriff
UNECE R155 Cybersecurity Management System (CSMS) Schutz externer Schnittstellen (z. B. OBD, USB) und Sicherung von Aftermarket-Umgebungen
UNECE R156 Software Update Management System (SUMS) Sicherstellung der Authentizität und Integrität von Daten; Einsatz von RXSWIN zur Identifikation
ISO/SAE 21434 Cybersecurity Engineering Rahmenwerk für Risikomanagement über den gesamten Fahrzeuglebenszyklus und die Lieferkette

Die UN-Verordnungen R155 und R156 traten am 22. Januar 2021 in Kraft. Fahrzeughersteller müssen ein risikobasiertes CSMS implementieren, das Bedrohungen während des gesamten Fahrzeuglebenszyklus identifiziert und minimiert. Die Zertifikate für CSMS und SUMS haben eine Gültigkeitsdauer von maximal 3 Jahren.

„The vehicle manufacturer shall protect the vehicle type against risks identified in the vehicle manufacturer's risk assessment. Proportionate mitigations shall be implemented to protect the vehicle type." – UN Regulation No. 155

Ein weiterer wichtiger Punkt ist die Lieferkette: Hersteller müssen Sicherheitsanforderungen an alle Zulieferer und Drittanbieter weitergeben und deren Einhaltung nachweisen.

Diese Standards bilden die Basis für kontinuierliche Überwachungs- und Integritätsprüfungen.

Audit-Logging und Manipulationsschutz

UN-R155 verlangt, dass Fahrzeuge Daten zur Erkennung von Cyberangriffen protokollieren können – und das auch während des Betriebs. Diese Protokolldaten müssen forensisch auswertbar sein, um sowohl versuchte als auch erfolgreiche Angriffe analysieren zu können.

„The vehicle manufacturer shall... Log data to support the detection of cyberattacks and provide data forensic capability to enable analysis of attempted or successful cyberattacks." – UN Regulation No. 155

Für Gutachter sind diese Protokolle von zentraler Bedeutung: Manipulationsgeschützte Daten bieten eine solide Grundlage für präzise Bewertungen. Hersteller müssen gewährleisten, dass diese Dokumentation mindestens 10 Jahre nach Produktionsende eines Fahrzeugtyps verfügbar bleibt. Das Kraftfahrt-Bundesamt (KBA) und benannte Technische Dienste überprüfen die Effektivität dieser Maßnahmen im Rahmen der Fahrzeugtypgenehmigung.

Diese Vorgaben sorgen dafür, dass Fahrzeugdaten auch im täglichen Betrieb zuverlässig geschützt und lückenlos dokumentiert werden.

Wie diese Standards den Gutachtenalltag beeinflussen

Die festgelegten Sicherheits- und Datenschutzstandards haben einen direkten Einfluss darauf, wie Gutachter bei der Fahrzeugbewertung vorgehen. Die regulatorischen und technischen Vorgaben bestimmen dabei die Arbeitsweise und die Prozesse im Alltag der Sachverständigen.

Welche Fahrzeugdaten bei Gutachten zugänglich sind

Unabhängige Gutachter und Werkstätten können auf alle Fahrzeugdaten zugreifen, die für Reparaturen und Bewertungen relevant sind. Europäische und nationale Gerichte haben wiederholt bestätigt, dass technische Zugangsbeschränkungen durch Fahrzeughersteller unzulässig sind, sofern der Fahrzeughalter dem Zugriff zustimmt und dieser dem vereinbarten Zweck dient. Das bedeutet, dass Sachverständige Zugriff auf Daten wie VIN-verknüpfte Fahrzeughistorien, Schadensberichte, technische Fehlercodes und Wartungsaufzeichnungen haben können.

„Erneut hat eine hohe Gerichtsinstanz die Bedeutung des ungehinderten Zugangs zu Fahrzeugdaten bekräftigt und so das Geschäftsmodell der unabhängigen Reparatur- und Servicebetriebe im KfZ-Gewerbe unterstützt." – Lars Heyne, Managing Director of Transformation, ATU

Dieser rechtlich abgesicherte Zugang ermöglicht es, digitale Gutachtenprozesse rechtskonform zu gestalten und effizient umzusetzen.

Compliance in digitalen Gutachtenprozessen

Ein rechtlicher Datenzugang allein genügt nicht – es kommt darauf an, wie dieser technisch und organisatorisch umgesetzt wird. Digitale Gutachtenprozesse müssen das Prinzip „Need-to-Know“ strikt einhalten: Es werden nur die Daten erhoben und verarbeitet, die für die jeweilige Bewertung erforderlich sind. Rollenspezifische Zugriffskontrollen stellen sicher, dass nur autorisierte Personen sensible Fahrzeug- und Halterdaten einsehen können. Zudem sorgen revisionssichere Protokolle für eine lückenlose Dokumentation aller Datenzugriffe. Starke Verschlüsselung schützt sowohl gespeicherte als auch übertragene Daten, während automatisierte Löschmechanismen sicherstellen, dass Daten nach Ablauf der gesetzlichen Aufbewahrungsfristen gelöscht werden.

Ein Beispiel für diesen Ansatz ist die CUBEE Sachverständigen AG. Ihr digitalisierter Gutachtenprozess – von der Schadensdokumentation bis hin zum Bericht – ermöglicht schnelle und präzise Bewertungen, ohne überflüssige Daten zu erfassen. Das Ergebnis: kürzere Bearbeitungszeiten und eine klare Grundlage für die Zusammenarbeit mit Versicherungen und Gerichten.

Fazit

Der Zugang zu Fahrzeugdaten ist ein Thema von rechtlicher, wirtschaftlicher und sicherheitstechnischer Bedeutung. Die Verordnung (EU) 2018/858 verpflichtet Fahrzeughersteller dazu, unabhängigen Betreibern diskriminierungsfreien Zugang zu gewähren. Gleichzeitig sorgen Standards wie ISO 20828 und ISO 22900 für einen sicheren und manipulationsgeschützten Zugriff. Ergänzend schützen die DSGVO und der EU Data Act (Verordnung (EU) 2023/2854, gültig ab dem 12. September 2025) die Rechte der Fahrzeughalter. Diese gesetzlichen und technischen Rahmenbedingungen bilden die Grundlage für digitale Schadensbewertung, die rechtskonform ablaufen.

Um den Anforderungen gerecht zu werden, sind Maßnahmen wie strikte Zugriffskontrollen, Verschlüsselung und revisionssichere Protokollierung essenziell. Die in den vorherigen Abschnitten beschriebenen Vorgaben schaffen die Basis für einen standardisierten und sicheren Zugang für Drittanbieter. Wer diese Standards konsequent umsetzt, sichert sich nicht nur einen Wettbewerbsvorteil, sondern steigert auch die Qualität und Effizienz der Prozesse.

Ein Beispiel für die erfolgreiche Umsetzung dieser Prinzipien ist die CUBEE Sachverständigen AG. Durch die Einhaltung der beschriebenen Standards können sie präzise, effiziente und rechtskonforme Abläufe gewährleisten.

FAQs

Welche Fahrzeugdaten dürfen Gutachter wirklich auslesen?

Gutachter können über die OBD-II-Schnittstelle, den Event Data Recorder (EDR) sowie diverse Steuergeräte auf eine Vielzahl von Fahrzeugdaten zugreifen. Dazu gehören unter anderem Kilometerstand, Fehlercodes, Wartungsintervalle, Reifendruck und Unfalldaten wie Geschwindigkeitsverläufe, Bremsvorgänge oder G-Kräfte.

Da Fahrzeugdaten als personenbezogene Daten eingestuft werden, unterliegt ihre Erhebung und Verarbeitung den strengen Vorgaben der DSGVO. Dies dient dem Schutz der Privatsphäre und der Einhaltung rechtlicher Standards.

Die CUBEE Sachverständigen AG hat diesen Prozess digitalisiert, um eine präzise und effiziente Datenerhebung zu ermöglichen. So wird sichergestellt, dass die Daten professionell und im Einklang mit den gesetzlichen Anforderungen verarbeitet werden.

Wie erteile oder widerrufe ich meine Einwilligung zur Datenfreigabe?

Ihre Zustimmung zur Datenfreigabe erfolgt durch eine bewusste, freiwillige und informierte Handlung – etwa durch das Anklicken eines entsprechenden Kästchens. Wichtig: Eine allgemeine Zustimmung ist nicht erlaubt. Sie haben das Recht, für jeden einzelnen Verarbeitungszweck separat zu entscheiden.

Ein Widerruf Ihrer Einwilligung ist jederzeit möglich und gilt nur für die Zukunft. Dies können Sie am besten über einen digitalen Schalter oder ein benutzerfreundliches Self-Service-Portal erledigen. Bereits durchgeführte Datenverarbeitungen bleiben dabei rechtmäßig.

Welche technischen Standards benötigt ein sicherer OEM-Datenzugang?

Ein sicherer Zugang zu OEM-Daten setzt voraus, dass sowohl rechtliche als auch technische Anforderungen erfüllt werden. Laut der Verordnung (EU) 2018/858 und der UN-Regelung Nr. 155 müssen klare rechtliche Rahmenbedingungen geschaffen werden. Diese gewährleisten, dass der Datenaustausch konform und sicher abläuft.

Technische Anforderungen

Damit der Zugang nicht nur sicher, sondern auch effizient ist, sind bestimmte technische Maßnahmen notwendig:

  • Standardisierte Schnittstellen: Formate wie XML oder JSON sorgen für einen reibungslosen Datenaustausch.
  • Digitale Audit-Trails: Diese ermöglichen eine lückenlose Nachverfolgung aller Zugriffe und Änderungen.
  • Verschlüsselung: Der Schutz sensibler Informationen wird durch moderne Verschlüsselungstechniken sichergestellt.
  • Zero-Trust-Architekturen: Dieses Sicherheitsmodell minimiert Risiken, indem es grundsätzlich keinem Gerät oder Nutzer ohne Verifizierung vertraut.

Rechtliche Aspekte und Datenschutz

Hersteller haben das Recht, den Datenzugang abzusichern, müssen dabei aber auch die Datenschutz-Grundverordnung (DSGVO) beachten. Das bedeutet, dass nur pseudonymisierte Daten verwendet werden dürfen. Dies dient nicht nur dem Schutz der Privatsphäre, sondern stellt auch sicher, dass Interoperabilität gewährleistet ist und alle Vorgänge DSGVO-konform dokumentiert werden.

Ein solcher Ansatz verbindet Sicherheit, Transparenz und Effizienz im Umgang mit OEM-Daten.

Verwandte Blogbeiträge