Kurz gesagt: Dritte dürfen Fahrzeugdaten nur dann abrufen, wenn ich vorher klar zustimme, der Zweck genau benannt ist und jeder Zugriff sauber protokolliert wird. Ohne diese 3 Punkte kippt der Zugriff schnell.

Wenn ich den Artikel auf das Wesentliche runterbreche, bleibt vor allem das hier:

  • Ich muss aktiv zustimmen – kein Schweigen, kein vorangekreuztes Kästchen, kein versteckter Satz in AGB.
  • Die Zustimmung muss genau sein – welche Daten, für wen, wofür und wie lange.
  • Es dürfen nur passende Daten fließen – etwa Kilometerstand, Fehlercodes oder Unfalldaten, aber nicht einfach alles.
  • Der Zugriff muss nachweisbar sein – mit Zeitstempel, VIN, Nutzer-ID und Abrufprotokoll.
  • Ich kann widerrufen – und dann muss der Zugriff sofort enden.

Das gilt vor allem bei Fällen wie:

Wichtig ist auch der rechtliche Punkt: Fahrzeugdaten sind oft personenbezogen. Dazu zählen meist VIN, GPS-Daten, Kilometerstand oder Crash-Daten. Darum reicht ein technischer Zugang allein nicht aus. Recht und Technik müssen zusammenpassen.

Besonders nützlich fand ich den Mindestablauf im Artikel. Er läuft im Kern so:

  1. Einwilligung erfassen
  2. Drittanbieter und Datenumfang prüfen
  3. Zugriff nur befristet freischalten
  4. Jeden Abruf protokollieren
  5. Bei Widerruf oder Fallende sofort stoppen

Zur Einordnung: Der Artikel nennt auch eine Frist für Protokolle. Zugriffslogs sollen bis zu 6 Monate aufbewahrt werden. Das hilft, den Ablauf später zu belegen.

Mein Kurzfazit: Wenn Zustimmung, Zweckbindung und Dokumentation nicht lückenlos zusammenpassen, wird Drittzugriff auf Fahrzeugdaten schnell angreifbar. Genau darum geht es im ganzen Beitrag.

Rechtliche Grundlage: Was eine wirksame Einwilligung ausmacht

Eine wirksame Einwilligung muss freiwillig, spezifisch, informiert, unmissverständlich und widerruflich sein. Bei Fahrzeugdaten heißt das ganz konkret: keine pauschale Freigabe, sondern ein klar benannter Zweck. Zum Beispiel die Schadensbewertung nach einem Unfall durch ein Sachverständigenbüro. Danach kommt es darauf an, wer welche Daten auf welcher technischen Basis abrufen darf.

Warum ist diese Zustimmung überhaupt nötig? Weil auch technische Fahrzeugdaten meist einer bestimmbaren Person zugeordnet werden können. Kilometerstand, GPS-Daten, Crash-Sensorwerte und die VIN gelten daher in der Regel als personenbezogene Daten.

Bei vernetzten Fahrzeugen kann zusätzlich das ePrivacy-Recht greifen, wenn Daten ausgelesen oder gespeichert werden. Wer also über eine Hersteller-Schnittstelle oder ein Diagnosegerät auf Fahrzeugdaten zugreift, braucht vorab eine ausdrückliche Einwilligung für den konkreten Abruf.

Rollen von Fahrzeughalter, Hersteller und Dienstleister

Der Halter gibt die Einwilligung. Der Hersteller stellt die technische Infrastruktur bereit und steuert, welche Daten abrufbar sind. Der Dienstleister – etwa CUBEE Sachverständigen AG – verarbeitet die freigegebenen Daten selbst für das Gutachten und braucht dafür eine eigene Rechtsgrundlage.

Daraus ergibt sich auch, wie die Zustimmung festgehalten und technisch freigeschaltet werden muss. Anders gesagt: Die rechtliche Seite und die technische Seite greifen hier direkt ineinander.

Was ein Einwilligungstext klar benennen muss

Ein belastbarer Einwilligungstext braucht diese Mindestangaben:

Element Beispiel aus der Gutachterpraxis
Datenkategorien VIN, Kilometerstand, Fehlerspeicher, Crash-Sensorwerte, Standortdaten
Zweck Erstellung eines Schadensgutachtens zur Vorlage bei der Versicherung
Empfänger CUBEE Sachverständigen AG sowie die benannte Versicherungsgesellschaft
Speicherdauer Bis zum Abschluss der Regulierung und nach Maßgabe gesetzlicher Pflichten
Widerruf Jederzeit per E-Mail oder App möglich
Nachweis Logeintrag mit Zeitstempel und Nutzer-ID

Damit steht fest, worauf sich die Zustimmung bezieht. Im nächsten Schritt geht es dann um die saubere Erfassung und Prüfung.

Wichtig ist noch ein Punkt: Vorangekreuzte Kästchen, Schweigen oder bloße Weiternutzung reichen nicht aus. Die Einwilligung muss getrennt vom restlichen Vertrag erklärt werden. Damit ist die rechtliche Basis abgesteckt; danach folgt die Erfassung, Prüfung und Aktivierung des Zugriffs.

Schritt für Schritt: Wie Einwilligung erfasst, geprüft und aktiviert wird

Drittzugriff auf Fahrzeugdaten: Der sichere 5-Schritte-Prozess

Drittzugriff auf Fahrzeugdaten: Der sichere 5-Schritte-Prozess

Bevor Daten abgerufen werden, müssen Zweck, Datenumfang und Empfänger feststehen. Danach folgt die eigentliche Freigabe: Sie wird erfasst, geprüft und erst dann aktiviert.

Schritt 1: Einwilligung in nachweisbarer Form erfassen

Die Einwilligung im jeweiligen Schaden- oder Bewertungsfall kann per Herstellerportal, App, Infotainment-System, digitaler Signatur oder separatem Formular erfasst werden. Entscheidend ist nicht nur der Kanal selbst. Er muss auch einen klaren Nachweis liefern – mit Zeitstempel, Nutzer-ID, VIN und den freigegebenen Datenkategorien.

Vorangekreuzte Kästchen oder vage Formulierungen reichen dafür nicht aus und machen die Einwilligung unwirksam. Was gebraucht wird, ist eine aktive, getrennte Zustimmung mit klarem Bezug zum Einzelfall. Also zum Beispiel die Freigabe von Ereignisdaten und Kilometerstand zur Erstellung eines Schadengutachtens.

Viele Hersteller stellen Portale bereit, über die Nutzer Fahrzeugdaten herunterladen, Dritte autorisieren und den Datenfluss steuern können. Danach prüft das System, ob diese Freigabe technisch überhaupt zulässig ist.

Schritt 2: Drittanbieter autorisieren und Datenumfang begrenzen

Im nächsten Schritt prüft das System, ob Fahrzeug, Drittanbieter und Datenfelder von der Einwilligung gedeckt sind. Wenn das passt, wird ein zeitlich begrenztes Zugriffstoken ausgestellt oder die Datenfreigabe im Fahrzeugprofil aktiviert – nur für die freigegebenen Felder.

Bei Unfallgutachten fällt der Datenbedarf meist höher aus. Dann geht es um Kilometerstand, passende Fehlerspeicher wie Airbag, ABS oder ESP, Unfalldaten sowie hochgeladene Schadensfotos. Bei Wertgutachten ist der Umfang meist kleiner. Dort reichen in der Regel Gesamtkilometerstand, Servicehistorie und Diagnosedaten der betroffenen Systeme. Standortverläufe oder die Nutzung des Infotainments haben in solchen Fällen nichts zu suchen.

In der Gutachtenakte von CUBEE Sachverständigen AG sollte festgehalten werden, welche Datenkategorien für den jeweiligen Fall gebraucht wurden.

Schritt 3: Zugriff beenden, wenn sich die Einwilligung ändert

Wird die Einwilligung widerrufen, läuft sie ab oder ist der Fall abgeschlossen, muss der Zugriff sofort enden. Alles, was danach noch an Daten übertragen wird, schafft Rechts- und Beweisrisiken. Der Widerruf sollte direkt in der Plattform oder App möglich sein und genauso protokolliert werden wie die Erteilung.

Wie diese Freigabe technisch dokumentiert wird, folgt im nächsten Abschnitt.

Technischer Zugriff und Dokumentation in Schaden- und Bewertungsprozessen

Für Schadens- und Wertgutachten reicht Zugriff allein nicht aus. Entscheidend ist, dass sich der Zugriff sauber nachweisen lässt. Nach der Freigabe läuft der Abruf meist über Hersteller-Backends und nicht direkt aus dem Fahrzeug. Ein direkter OBD-II-Zugriff ist oft gesperrt und datenschutzrechtlich schwerer zu begründen, weil er sich kaum kontrollieren lässt. Genau deshalb muss jeder Abruf ohne Lücken nachvollziehbar bleiben.

Backend-Zugriffsmodelle und warum Zugriffsprotokolle unverzichtbar sind

In der Praxis registrieren sich Dienstleister im Hersteller-Backend oder auf einer neutralen Plattform. Nach der Identitätsprüfung bekommen sie eine Client-ID und API-Zugangsdaten und rufen Daten per OAuth 2.0 oder mTLS ab. Das Backend prüft dann VIN, Datensatz, Zweck und Einwilligung. Danach gibt es nur den Teil frei, der auch genehmigt wurde, und zwar als strukturierter Datensatz zurück. Erst dadurch wird der technische Zugriff belastbar dokumentiert.

Jeder Abruf wird protokolliert. Der EDPB empfiehlt, Zugriffsprotokolle bis zu sechs Monate aufzubewahren. Fehlt ein lückenloser Audit-Trail, lässt sich später kaum belegen, dass der Abruf rechtmäßig war und die Daten nicht verändert wurden.

Dokumentations-Checkliste für Schaden- und Bewertungsakten

Nur so bleibt die Herkunft der Daten in Schaden- und Bewertungsakten prüfbar. Für die digitale Akte sollten diese Nachweise enthalten sein:

Dokumentationselement Beispiel / Hinweis
Einwilligungstext (Kopie oder exakte Version) Wortlaut zum Zeitpunkt der Zustimmung
Datum und Uhrzeit der Einwilligung z. B. 07.08.2026, 09:12 Uhr
Identität des Einwilligenden Name, Anschrift, Kundenkonto- oder Vertragsnummer
Fahrzeugreferenz VIN und amtliches Kennzeichen
Abgerufene Datenkategorien z. B. Kilometerstand, Fehlercodes, Unfallereignis-Log
Empfänger / Datenverantwortlicher Name des Sachverständigenbüros oder Versicherers
Einwilligungsstatus gültig, befristet, widerrufen (mit Datum)
Auszug aus dem Zugriffsprotokoll Zeitstempel, System-ID, Zweck des Abrufs

Gerade bei Oldtimerbewertungen ist der Herkunftsnachweis der Daten von besonderer Bedeutung. Typische Fehler passieren dort, wo Prüfung, Umfang oder Protokoll nicht sauber festgehalten wurden.

Häufige Fehler und wie man ungültigen Zugriff vermeidet

Nach Freigabe und Protokollierung kippt ein Zugriff oft an ganz einfachen Patzern. Meist gerät eines von drei Dingen aus dem Tritt: Einwilligung, Zweckbindung oder Dokumentation. Genau dann wird ein Zugriff rechtlich angreifbar.

Fehler bei Unfall-, Bewertungs- und Gutachtenfällen

Der häufigste Fehler ist eine pauschale Einwilligung, die irgendwo in den AGB versteckt ist. Solche Klauseln nennen weder konkrete Datenkategorien noch Empfänger klar genug. Genau deshalb sind sie unwirksam. Für Fahrzeugdaten muss die Einwilligung daher immer getrennt und klar sichtbar eingeholt werden.

Der nächste typische Fehler liegt nicht bei der Form, sondern beim Umfang. Für eine Schadenbewertung dürfen nur die Daten genutzt werden, die dafür auch gebraucht werden. Erlaubt sind also nur Daten für den konkreten Zweck, zum Beispiel FIN, Kilometerstand und einschlägige Fehlercodes.

Auch ein sauber freigegebener Zugriff kann später scheitern, wenn ein Widerruf nicht sofort umgesetzt wird. Mündliche Zusagen helfen hier kaum weiter. Ohne schriftliche oder digitale Einwilligung mit Zeitstempel lässt sich die Zustimmung nicht belegen. Und wenn ein Widerruf per E-Mail intern nicht auch als Widerruf behandelt wird, läuft der Zugriff zu Unrecht weiter.

Abschluss: der sichere Mindestprozess von der Einwilligung bis zur Dokumentation

Zulässiger Drittzugriff auf Fahrzeugdaten scheitert fast immer an denselben drei Punkten. Bei digitalen Schadensgutachten gilt im Kern dasselbe: klare Einwilligung, enger Datenumfang und lückenloses Protokoll. Fehlt einer dieser Bausteine, wird es schnell heikel.

FAQs

Wer darf meine Fahrzeugdaten abrufen?

Ihre Fahrzeugdaten dürfen nur dann an Dritte weitergegeben werden, wenn es dafür eine klare rechtliche Grundlage nach der DSGVO gibt. Das kann zum Beispiel Ihre ausdrückliche Einwilligung sein, die Erfüllung eines Vertrags oder eine gesetzliche Pflicht.

Empfänger können etwa Versicherungen, Werkstätten oder Sachverständige sein, wenn die Weitergabe für den jeweiligen Zweck nötig ist. Dabei gilt der Grundsatz der Datenminimierung: Es dürfen nur die Informationen übermittelt werden, die dafür tatsächlich gebraucht werden.

Wie widerrufe ich meine Einwilligung?

Sie können Ihre Einwilligung jederzeit widerrufen. Und zwar so, dass es für Sie genauso einfach ist wie die erste Zustimmung.

Wenn Sie schriftlich zugestimmt haben, reicht meist schon eine formlose E-Mail oder ein kurzer Brief. Gibt es ein Kontaktformular oder ein Kundenportal, kann der Widerruf auch dort erfolgen, sofern diese Wege angeboten werden. Danach muss die Verarbeitung Ihrer Daten gestoppt werden, falls es keine andere Rechtsgrundlage dafür gibt.

Welche Fahrzeugdaten sind wirklich nötig?

Es dürfen nur Daten erhoben werden, die für das Gutachten unverzichtbar sind. Dazu gehören zum Beispiel die Fahrzeugidentifikationsnummer, das Kennzeichen, der Kilometerstand sowie schadensbezogene Sensor- und Crashdaten.

Daten ohne direkten Bezug zur Schadensfeststellung sind dagegen nicht nötig. Dazu zählen etwa Musikvorlieben, Sitzpositionen oder das allgemeine Fahrverhalten. Genau hier greift die Datenminimierung: Es werden nur die Daten verarbeitet, die für die Bewertung des Schadens gebraucht werden.

Verwandte Blogbeiträge