Kurz gesagt: Digitale Prozesse verbessern die Qualität von Kfz-Gutachten, doch ein solches Gutachten ist in der EU nur dann rechtssicher, wenn Datenzugriff, Datenschutz und IT-Sicherheit zusammenpassen. Für mich sind dabei vor allem 6 Regelblöcke entscheidend: DSGVO, ePrivacy, UNECE R155/R156, Cyber Resilience Act, EU Data Act und DORA.

Wenn ich den Artikel auf den Punkt bringe, dann so:

  • DSGVO regelt, warum und wie lange personenbezogene Fahrzeugdaten genutzt werden dürfen.
  • ePrivacy regelt, ob Daten direkt aus dem Fahrzeug ausgelesen werden dürfen - meist nur mit vorheriger Einwilligung.
  • UNECE R155/R156 betreffen die Sicherheit im Fahrzeug und bei Software-Updates.
  • CRA und RED betreffen Geräte und Software rund um Telematik, OBD und Schadenportale.
  • EU Data Act stärkt den Anspruch des Halters auf Zugang zu Fahrzeugdaten und Weitergabe an Dritte.
  • DORA betrifft die Stabilität von Plattformen, Schnittstellen und IT-Prozessen bei Versicherern.

Für die Praxis in Deutschland heißt das für mich vor allem drei Dinge:
nur nötige Daten nutzen, Daten sicher übertragen und jeden Zugriff sauber protokollieren.

Bereich Worum es geht Was ich im Gutachtenprozess prüfen würde
Datenschutz Personenbezug, Rechtsgrundlage, Speicherfrist Sind Datenarten, Zweck und Rollen schriftlich festgelegt?
Datenzugriff Auslesen aus dem Fahrzeug Liegt die nötige Einwilligung für den Zugriff vor?
Fahrzeugsicherheit Schutz der Fahrzeugsysteme Kommen Daten aus Systemen mit geregeltem Cyber- und Update-Management?
Geräte & Plattformen Sicherheit von OBD-Tools, Telematik-Boxen, Portalen Gibt es Updates, Zugriffsschutz und Regeln für Vorfälle?
Datenfreigabe Rechte des Halters Kann der Halter Daten an Gutachter, Werkstatt oder Versicherer freigeben?
Resilienz Ausfälle und IT-Störungen Gibt es Fallbacks, Meldewege und saubere Abläufe?

Mein Fazit vorab: Vernetzte Fahrzeugdaten können ein Gutachten stützen - aber nur, wenn ihre Herkunft, Unverändertheit und Zugriffskette nachvollziehbar sind. Sonst sinkt der Beweiswert direkt.

Damit ist der Kern schon klar: Nicht jede verfügbare Fahrzeuginfo darf einfach in die Schadenakte, und nicht jedes digitale System ist dafür ohne Weiteres geeignet.

EU-Regelblöcke für IoT-Sicherheit im Kfz-Gutachten: Übersicht

EU-Regelblöcke für IoT-Sicherheit im Kfz-Gutachten: Übersicht

Datenschutzregeln: DSGVO und ePrivacy für vernetzte Fahrzeugdaten

Wie die DSGVO auf Telematik, Diagnose und Gutachtenakten angewendet wird

Nach der Sicherheitsfrage kommt der nächste heikle Punkt: Wer darf was mit den Daten tun?

Telematik-, Diagnose- und Gutachtendaten gelten als personenbezogen, sobald sie einer Person zugeordnet werden können. Dazu gehören etwa Fahrzeugidentifikationsnummern, GPS-Verläufe, Brems- und Geschwindigkeitsmuster, Diagnosecodes und Schadensfotos.

Im Ablauf müssen die Rollen sauber getrennt sein. Der Versicherer ist meist der Hauptverantwortliche für Vertrag und Schadenregulierung. Sachverständige und digitale Gutachtennetzwerke handeln je nach Modell als gemeinsam Verantwortliche oder als Auftragsverarbeiter nach Art. 28 DSGVO. Werkstätten sind für ihre eigene Kundenbeziehung eigene Verantwortliche. Laden sie Daten im Auftrag des Versicherers hoch, handeln sie als Auftragsverarbeiter. Diese Zuordnung gehört schriftlich festgehalten.

Bei den Rechtsgrundlagen ist die Linie ebenfalls klar. Art. 6 Abs. 1 lit. b DSGVO deckt Daten ab, die für den Vertrag nötig sind. Art. 6 Abs. 1 lit. f DSGVO kann für Risikomodellierung und Betrugserkennung greifen, aber nur nach einer dokumentierten Abwägung. Gerade Standort- und Fahrverhaltensdaten sind heikel, weil sie tiefe Rückschlüsse auf Personen erlauben können. Deshalb brauchen sie strenge Schutzmaßnahmen.

Für Versicherer und Gutachtennetzwerke heißt das in der Praxis: ein sauberes Verzeichnis der Verarbeitungstätigkeiten, in dem jede Datenart einer festen Rechtsgrundlage zugeordnet ist. Bei Telematikprojekten ist oft auch eine Datenschutz-Folgenabschätzung, also eine DSFA, nötig. Damit ist die Verarbeitung selbst geregelt. Der Zugriff auf Fahrzeugdaten folgt aber noch eigenen Spielregeln.

Wo ePrivacy den Zugriff auf Fahrzeugdaten betrifft

Beim direkten Auslesen im Fahrzeug kommt neben der DSGVO noch eine zweite Hürde dazu. Art. 5 Abs. 3 der ePrivacy-Richtlinie regelt den Zugriff auf Informationen, die im Endgerät eines Nutzers gespeichert sind. Das vernetzte Fahrzeug zählt hier als solches Endgerät – genauso wie seine Kommunikationsmodule.

Wer Fahrprotokolle aus dem Infotainment oder Diagnosecodes über OBD- oder Herstellerschnittstellen ausliest, braucht dafür grundsätzlich die vorherige Einwilligung des Nutzers. Genau hier liegt oft der Knackpunkt: Die DSGVO allein reicht nicht automatisch aus. Die Ausnahmen des Art. 5 Abs. 3 greifen bei nutzungsbasierten Versicherungsprodukten regelmäßig nicht. DSGVO-Rechtsgrundlage und ePrivacy-Einwilligung müssen daher getrennt geprüft werden.

Auch für Gutachter gilt das. Sie dürfen erst dann auf Fahrzeugdaten zugreifen, wenn die zuständige Stelle geprüft hat, dass die ePrivacy-Einwilligung vorliegt.

DSGVO vs. ePrivacy in Kfz-Gutachten-Workflows: ein Vergleich

Die beiden Regelwerke laufen im Gutachtenprozess parallel. Sie greifen aber an verschiedenen Stellen.

Regelwerk Greift bei Kernpflicht
DSGVO Verarbeitung aller personenbezogenen Daten im Schadenprozess Rechtsgrundlage, Zweckbindung, Datenminimierung
ePrivacy-Richtlinie Direktem Zugriff auf im Fahrzeug gespeicherte Daten Vorab-Einwilligung; Ausnahmen sind eng

Cybersicherheitsregeln für Fahrzeuge, Telematikgeräte und Software

Neben Datenschutz und Datenzugang steht jetzt noch ein anderer Punkt im Raum: Sind Fahrzeug- und Gerätedaten gegen Manipulation geschützt? Es geht also nicht mehr nur darum, wer Daten sehen darf, sondern auch darum, ob diese Daten unterwegs oder im System verändert werden können.

UNECE R155 und R156 in der EU-Fahrzeugtypgenehmigung

UNECE R155 macht ein Cyber Security Management System (CSMS) zur Bedingung für die Typgenehmigung. Dieses CSMS muss den kompletten Lebenszyklus eines Fahrzeugs abdecken: Entwicklung, Produktion und die Zeit danach. Hersteller müssen Bedrohungen erkennen, auf Angriffe reagieren und regelmäßig nachweisen, dass ihre Schutzmaßnahmen wirken. Seit Juli 2024 gilt das in der EU für Neuzulassungen. Die Zertifikate sind jeweils drei Jahre gültig.

Für Kfz-Gutachten ist das ein wichtiger Punkt. Unfalldaten aus modernen Fahrzeugen sollen aus Systemen kommen, deren Cybersicherheitsprozesse nach R155 abgesichert sind. Trotzdem gilt weiter: Telematikdaten allein reichen nicht. Sie müssen immer mit dem physischen Schadensbild abgeglichen werden.

UNECE R156 ergänzt das Ganze um ein Software Update Management System (SUMS). Damit soll sichergestellt werden, dass Software-Updates – per OTA oder in der Werkstatt – unverändert, echt und nachvollziehbar sind. Genau das hilft später, wenn es darum geht, den Fahrzeugzustand und den Unfallzeitpunkt sauber zu rekonstruieren.

Damit ist der Blick zuerst auf das Fahrzeug selbst gerichtet. Danach stellt sich die nächste Frage: Welche Regeln gelten für die Geräte und Plattformen rundherum?

Cyber Resilience Act, RED-Cybersicherheitsregeln und ENISA-Leitlinien

Der Cyber Resilience Act (CRA) gilt für Produkte mit digitalen Elementen, also zum Beispiel für Telematik-Boxen, OBD-Diagnosegeräte und Schadenplattformen. Wenn solche Telematik- oder Diagnosegeräte Daten liefern, hängt der Beweiswert eines Gutachtens direkt davon ab, wie sicher diese Geräte sind. Hersteller müssen Secure-by-Design-Prinzipien umsetzen, Schwachstellen systematisch verwalten und Sicherheitsupdates über einen festgelegten Supportzeitraum bereitstellen.

Bei aktiv ausgenutzten Schwachstellen oder schweren Vorfällen gelten gegenüber ENISA und dem koordinierenden nationalen CSIRT diese Meldefristen:

Meldeschritt Frist
Frühwarnung Innerhalb von 24 Stunden
Hauptmeldung Innerhalb von 72 Stunden
Abschlussbericht (Schwachstelle) Spätestens 14 Tage nach verfügbarer Abhilfemaßnahme
Abschlussbericht (Vorfall) Innerhalb eines Monats nach der 72-Stunden-Meldung

Diese Pflichten gelten ab 11. September 2026. Für Versicherer und Gutachternetzwerke heißt das ganz praktisch: Die eigenen Incident-Response-Prozesse sollten dazu passen. Wenn ein Gerät oder eine Schadenplattform betroffen ist, muss klar sein, wie mit möglicherweise kompromittierten Gutachtendaten umzugehen ist.

Die Radio Equipment Directive (RED) ergänzt den CRA für Funkgeräte, also etwa drahtlose mobile Diagnosegeräte, OBD-Dongles und ähnliche mobile Gutachtergeräte. Gefordert wird hier, dass Verschlüsselung und Authentifizierung auch über die Luftschnittstelle sauber umgesetzt sind. Die ENISA-Leitlinien werden noch konkreter. Genannt werden unter anderem gegenseitige Authentifizierung zwischen Gerät und Plattform, standardisierte Kryptografie, Multi-Faktor-Authentifizierung für Cloud-Zugriffe und eine feingranulare Zugriffskontrolle für heikle Funktionen wie den Export von Telematik-Logs.

Fahrzeugregeln vs. IoT-Produktregeln: ein Vergleich

Die Trennung zwischen Fahrzeugrecht und Produktrecht wirkt erst einmal technisch, macht in der Praxis aber die Zuständigkeiten klar.

Regelwerk Anwendungsbereich Auswirkung auf Telematik & Gutachten
UNECE R155 Fahrzeuge und OEM-Backend-Systeme Sichert Integrität fahrzeugseitiger Unfalldaten; CSMS-Pflicht für Hersteller
UNECE R156 Fahrzeug-Software-Updates (OTA & Werkstatt) Nachvollziehbare Update-Historie für Unfallrekonstruktion und Fahrzeugbewertung
Cyber Resilience Act Telematik-Boxen, Diagnosegeräte, Schadenssoftware Secure-by-Design, Schwachstellenmanagement, Meldepflichten
RED (Cybersicherheit) Funkgeräte mit Netzwerkverbindung Sicherheit drahtloser Schnittstellen bei mobilen Gutachtergeräten
ENISA-Leitlinien Telematik- und Gutachtenplattformen MFA, gegenseitige Authentifizierung, Verschlüsselung

Digitale Schadenprozesse sind nur dann belastbar, wenn Fahrzeug, Gerät und Plattform getrennt abgesichert sind. Für OEMs, Versicherer und Gutachternetzwerke entsteht damit ein mehrschichtiger Rahmen: OEMs sichern das Fahrzeug, Anbieter von Hardware und Software müssen zusätzlich die Konformität mit CRA und RED nachweisen. Für den digitalen Schadenprozess heißt das ganz nüchtern: Schon bei der Beschaffung muss geprüft werden, ob diese Vorgaben erfüllt sind.

Datenzugang und digitale Schadenabwicklung: Was EU Data Act und Versicherungsregeln ändern

Sind Fahrzeug und Plattform abgesichert, geht es im nächsten Schritt um den rechtssicheren Zugriff auf die Daten. Der EU Data Act (Verordnung (EU) 2023/2854) stärkt die Rechte von Nutzern vernetzter Fahrzeuge: Sie dürfen auf die Daten zugreifen, die ihr Fahrzeug erzeugt, und diese an Dritte weitergeben lassen.

Die Grundidee ist klar: Zugang standardmäßig und sicher ab Werk. Neue vernetzte Fahrzeuge müssen so gebaut sein, dass Nutzer ihre Daten leicht, sicher, in Echtzeit und unentgeltlich abrufen können. Gemeint sind zum Beispiel Sensormesswerte sowie Telematik-, Zustands- und Ereignisdaten. Anders sieht es bei abgeleiteten Analysen aus, etwa bei Scores oder Vorhersagen. Diese fallen grundsätzlich nicht unter die Zugangsrechte.

Für das Gutachten ist damit vor allem eine Frage zentral: Welche Daten dürfen rechtssicher in die Schadenakte?

Im Schadenfall kann der Halter Daten für Versicherer, Sachverständige oder Werkstätten freigeben. Hersteller dürfen diesen Zugriff weder mit technischen Sperren noch mit unfairen Bedingungen blockieren. Das macht den Weg frei dafür, dass der Sachverständige passende Fahrzeugdaten direkt in die Schadensbewertung übernimmt und dabei digitale Tools für Gutachter nutzt.

Der Zugang zu Daten reicht aber nicht aus. Der Schadenprozess selbst muss diese Daten auch stabil verarbeiten können. DORA (Verordnung (EU) 2022/2554) verlangt ein strenges IKT-Risikomanagement und die standardisierte Meldung schwerer IKT-Vorfälle. Fällt also eine Telematik-Schnittstelle oder eine Schadenplattform aus, muss ein kontrollierter Fallback greifen. Die EIOPA verlangt zudem Governance für automatisierte Tools, Fehlerkorrekturen und Transparenz gegenüber Kundinnen und Kunden. Für digitale Kfz-Gutachten-Netzwerke heißt das ganz praktisch: Auch Plattformen, Schnittstellen und Dienstleister brauchen klare Zugriffs-, Kontroll- und Sicherheitsmaßnahmen.

Datenzugang und Versicherungsresilienz im Vergleich

Regelwerk Kernfrage Konkrete Auswirkung im Schadenprozess
EU Data Act Wer darf welche Daten erhalten? Der Halter autorisiert Versicherer, Gutachter oder Werkstätten; es werden nur die für den Fall nötigen Daten weitergegeben
DORA Ist die Plattform stabil und sicher genug? IKT-Risikomanagement, Incident-Meldung und Fallback bei Systemausfällen
EIOPA-Erwartungen Ist der Prozess fair, überwacht und nachvollziehbar? Governance für automatisierte Tools, Kontrolle von Auslagerungen, Transparenz gegenüber Kundinnen und Kunden, Auditfähigkeit

Wer Zugriff, Resilienz und Dokumentation zusammen denkt, baut einen digitalen Schadenprozess, der im Alltag funktioniert und auch dann standhält, wenn Technik oder Abläufe unter Druck geraten.

Praktische Auswirkungen auf Kfz-Gutachten-Prozesse in Deutschland

Was Fahrzeughalter und Schadenbearbeiter von einem rechtskonformen digitalen Prozess erwarten können

Aus Datenzugang und Resilienz wird im Gutachtenalltag ganz schnell Praxis. Ein rechtskonformer digitaler Gutachtenprozess startet mit klaren, leicht verständlichen Datenschutzhinweisen. Im Kern geht es um Datenschutz, Zugriffskontrolle und Nachvollziehbarkeit. Fahrzeughalter sollten genau sehen können, welche Telematik- oder Diagnosedaten ausgelesen werden, warum diese Daten verarbeitet werden, wie lange sie gespeichert bleiben und an wen sie weitergegeben werden.

Für die reine Schadensbegutachtung gilt ein einfacher Grundsatz: nur so viele Daten wie nötig. Verarbeitet werden sollten also nur die Informationen, die für den konkreten Schadenfall gebraucht werden. Angaben zum Fahrstil oder zu Bewegungen haben darin nichts verloren, solange es keinen klar getrennten Zusatz­zweck gibt. Über OEM-Portale können Halter Daten für Gutachter oder Versicherer abrufen. Die Bereitstellung kann dabei bis zu 30 Tage dauern. Für die Übermittlung selbst zählt dann vor allem eins: ein sicherer Kanal.

Bei Remote-Inspektionen, also per Foto-Upload oder Videoanruf, sollten nur geschützte Kommunikationswege genutzt werden. Dazu zählen etwa HTTPS-Portale oder Ende-zu-Ende-verschlüsselte Anwendungen. Unverschlüsselte E-Mails und Messenger ohne Ende-zu-Ende-Verschlüsselung sind dafür nicht geeignet.

Wie digitale Sachverständigen-Netzwerke Sicherheit in ihre Prozesse einbauen

Digitale Sachverständigen-Netzwerke müssen diese Vorgaben über mehrere Standorte hinweg sauber umsetzen. Das heißt ganz konkret: Jeder Datenzugriff braucht ein Zugriffsprotokoll. Diagnose- und Inspektionswerkzeuge brauchen ein geregeltes Update-Management. Und für Sicherheitsvorfälle muss es dokumentierte Abläufe geben, damit im Ernstfall nicht improvisiert werden muss.

Für Versicherer sind dabei vor allem die DORA-Anforderungen wichtig. Bei vernetzten Produkten und Software kommen zusätzlich die CRA- und RED-Vorgaben dazu. So lässt sich jede Datenabfrage einem bestimmten Schadenfall zuordnen, statt dass Daten irgendwo im System verschwinden.

Fazit: Die wichtigsten EU-Regeln für IoT-Sicherheit im Kfz-Gutachten

Für Deutschland heißt das im Alltag vor allem drei Dinge: Datensparsamkeit, sichere Übertragung und saubere Protokollierung. Genau darauf baut ein belastbarer digitaler Gutachtenprozess auf.

FAQs

Wann ist eine Einwilligung nötig?

Eine ausdrückliche Einwilligung ist nötig, wenn personenbezogene Daten verarbeitet werden. Nach der DSGVO muss sie freiwillig, informiert und unmissverständlich erfolgen.

Fahrzeughalter müssen klar erfahren, welche Daten erhoben werden, wofür sie genutzt werden und wer Zugriff erhält. Der Punkt ist simpel: Niemand soll ins Blaue hinein zustimmen.

Auch wenn der EU Data Act den Zugang zu Daten erleichtert, bleiben personenbezogene Daten durch die DSGVO geschützt. Die Einwilligung sollte dokumentiert sein und sich ohne Hürden widerrufen lassen.

Welche Fahrzeugdaten sind im Gutachten zulässig?

Zulässig sind Fahrzeugdaten, die für den Gutachtenauftrag gebraucht werden oder für die eine ausdrückliche Einwilligung vorliegt.

Dazu gehören technische Betriebsdaten wie die Fahrzeug-Identifizierungsnummer, der Kilometerstand, Fehlercodes, Reifendruck, Ölstand, Bremsverhalten sowie EDR-Daten.

Auch personenbezogene Nutzungsdaten wie GPS-Positionen, Routen oder Sitzpositionen dürfen verarbeitet werden - wenn die DSGVO-Vorgaben eingehalten werden.

Wie lässt sich der Beweiswert digitaler Daten sichern?

Der Beweiswert digitaler Daten in der Kfz-Begutachtung steht und fällt mit technischer Integrität und lückenloser Dokumentation. Genau darauf kommt es an: Die Daten müssen geschützt sein, und jeder Schritt muss sich sauber nachverfolgen lassen. Dazu gehören moderne Verschlüsselung, strenge Zugriffskontrollen und ein mehrstufiger Validierungsprozess.

Digitale Prüfpfade halten jeden Zugriff und jede Änderung nachvollziehbar fest. So lässt sich später genau sehen, wer wann was getan hat. Automatisierte Erfassung, zum Beispiel über EDR, senkt manuelle Fehler und liefert objektive, chronologisch geordnete Datensätze mit Zeitstempeln.

Das ist in der Praxis mehr als nur Technik. Es sorgt dafür, dass digitale Informationen nicht wie lose Puzzleteile wirken, sondern wie eine sauber belegte Beweiskette.

Verwandte Blogbeiträge