Ein Governance-Framework über OEM, Supplier und Dealer hinweg aufbauen

Ein einzelnes Connected Vehicle erzeugt seine VIN (Vehicle Identification Number, die 17-stellige eindeutige ID, die in jedes Auto eingeprägt ist) plus einen Strom von Telemetrie: GPS-Spuren, Batteriezustand, Bremsereignisse und Sensordaten aus dem Innenraum. Diese Daten berühren mindestens drei Parteien, bevor irgendjemand daraufhin handelt: den OEM (Original Equipment Manufacturer, der Autohersteller wie Ford oder BMW), einen Tier-1-Supplier (das Unternehmen, das ein großes System baut, etwa Bosch oder Continental) und den Dealer, der das Auto verkauft und wartet.

Hier ist der Failure Mode. Wenn eine Betroffenenanfrage eingeht oder eine Aufsichtsbehörde fragt „Wer hat die Weitergabe von Standortdaten an den Versicherungspartner autorisiert?“, zeigt jede Partei auf die andere. Accountability verdampft bei jedem Handoff.

Diese Lektion zeigt Ihnen, wie Sie konkrete Rollen zuweisen, damit das nicht passiert.

Die drei Rollen, die benannt werden müssen

Governance scheitert, wenn Rollen unterstellt statt zugewiesen werden. Drei Rollen sind relevant, sie entsprechen den rechtlichen Definitionen der EU-DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen → (Datenschutz-Grundverordnung) und finden sich auch in US-Landesgesetzen wie dem CCPA (California Consumer Privacy Act) wieder.

Data Owner. Verantwortlich für einen Datensatz. Entscheidet über Zweck und Zugriff. Üblicherweise eine namentlich benannte Führungskraft aus dem Business, nicht aus der IT. Beispiel: Der VPVPEine klare Aussage darüber, welchen Nutzen Ihr Produkt liefert, welche Probleme es löst und warum Kunden sich für Sie und nicht für Alternativen entscheiden sollten.Vollständige Definition ansehen → Connected Services des OEM ist Owner des Telemetrie-Datensatzes.

Data Steward. Operativer Verwalter. Pflegt Qualität, Definitionen und Zugriffslisten im Tagesgeschäft. Beispiel: ein Data-Engineering-Lead, der durchsetzt, dass „odometer_km“ immer Kilometer bedeutet, niemals Meilen.

Data Processor. Nach DSGVO eine Partei, die Daten im Auftrag eines Controllers und nur auf dokumentierte Weisung verarbeitet. Beispiel: Ein Dealer, der ein vom OEM bereitgestelltes Diagnose-Dashboard betreibt, ist für diesen Flow Processor.

Der Controller (die Partei, die entscheidet, warum und wie Daten verarbeitet werden) trägt das größte rechtliche Gewicht. In den meisten Connected-Car-Flows ist der OEM Controller. Achten Sie aber auf gemeinsame Verantwortlichkeit: Wenn ein Tier-1-Supplier über Zwecke mitentscheidet (etwa Bremsdaten nutzt, um sein eigenes ADAS-Produkt zu verbessern), teilen beide die Controller-Pflichten nach DSGVO Artikel 26.

Durchgerechnetes Beispiel: einen VIN-Flow mappen

Nehmen Sie einen standortbasierten Service, bei dem der Dealer dem Kunden „Find my car“ anbietet.

Die Lektion: Ownership geht beim Handoff nicht über. Die GPS-Spur gehört weiterhin dem OEM, auch während der Dealer sie anzeigt. Der Dealer ist für dieses Element Processor und braucht einen Auftragsverarbeitungsvertrag (DPA), einen nach DSGVO Artikel 28 vorgeschriebenen Vertrag, der genau festlegt, was der Processor tun darf.

Die Regularien, die Sie tatsächlich benennen

Winken Sie nicht vage mit „Datenschutzrecht“. Benennen Sie die Instrumente.

• DSGVO (EU/EWR): erfasst personenbezogene Daten, und eine VIN, die mit einem identifizierbaren Halter verknüpft ist, ist ein personenbezogenes Datum. Bußgelder bis zu 4 Prozent des globalen Jahresumsatzes.
• UNECE WP.29 R155/R156 (Europa und darüber hinaus): UN-Regularien, die für die Fahrzeug-Typgenehmigung ein Cybersecurity Management System und ein Software Update Management System verlangen. Regelt, wie Telemetrie und OTA-Updates (over-the-air) gesichert werden.
• CCPA / CPRA (Kalifornien): gibt Verbrauchern das Recht auf Auskunft, Löschung und Opt-out gegen „Verkauf“ oder „Weitergabe“ personenbezogener Informationen. Präziser Standort ist „sensitive personal information“.
• US-Flickenteppich der Bundesstaaten: Stand 2026 haben rund 20 US-Bundesstaaten umfassende Datenschutzgesetze (diese Zahl steigt weiter, als Schätzung behandeln und aktuellen Stand prüfen). Ein einheitliches US-Bundesdatenschutzgesetz gibt es weiterhin nicht.

Als Referenz in klarer Sprache zu den DSGVO-Rollen ist der EU-Text selbst gut lesbar: [GDPR Article 4 definitions](https://gdpr-info.eu/art-4-gdpr/).

Eine konkrete Falle: Es wurde aufgedeckt, dass Autohersteller Daten zum Fahrverhalten an Datenbroker weitergaben, die damit Versicherer bedienten. Das ist ein „sale“ oder „sharing“ nach CPRA und löst Opt-out-Rechte aus. Wenn Ihre Governance-MapMapEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen → diesen Downstream-Flow nicht markiert, sind Sie exponiert.

Die RACI so bauen, dass Handoffs halten

Nutzen Sie eine RACI-Matrix (Responsible, Accountable, Consulted, Informed) für jeden parteiübergreifenden Prozess. Halten Sie sie langweilig und spezifisch.

Beispielprozess: „Telemetrie bei Kunden-Opt-out abschalten.“

• Responsible: OEM Data Engineering (setzt das Flag).
• Accountable: OEM VP Connected Services (Data Owner).
• Consulted: Tier-1-Supplier (bestätigt, dass die Erhebung an der Einheit stoppt), Dealer (bestätigt, dass das Dashboard die Daten ausblendet).
• Informed: DPO (Data Protection Officer, der von der DSGVO vorgeschriebene Datenschutzverantwortliche), Legal.

Der Trick ist, dass „Accountable“ genau eine namentlich benannte Rolle ist. Wenn das Opt-out fehlschlägt, wissen Sie, bei wem das Telefon klingelt.

🎬 [VIDEO: „GDPR Explained: Controllers vs Processors“ - youtube.com - ein kurzer, klarer Durchgang durch die rechtlichen Rollen, die direkt auf die Pflichten von Owner/Steward/Processor abbilden]

Datenchecks und Audits, die Drift aufdecken

Ein Governance-Framework bleibt ein Dokument, solange Sie keine Checks gegen Live-Daten fahren. Drei praktische:

1. Lineage-Check. KKDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Sie die Telemetrie einer einzelnen VIN vom Fahrzeugsensor bis zu jedem Downstream-Consumer nachverfolgen? Wenn Sie die Map nicht zeichnen können, können Sie eine Löschanfrage nicht erfüllen.

2. Consent-Abgleich. Stimmt das Consent-Flag im OEM-System mit dem überein, was die Tier-1-Einheit tatsächlich sendet? Abweichungen sind der häufigste Befund.

3. Zugriffs-Rezertifizierung. Braucht jede Person mit Zugriff diesen quartalsweise geprüft noch? Bei Dealern wechselt das Personal ständig; veraltete Credentials sind ein Breach, der nur wartet.

Hier ein einfacher Consent-Abgleich in SQLSQLSales Qualified Lead: ein Prospect, den das Sales-Team als bereit für direkte Ansprache und ein Angebot validiert hat, weil er klare Qualifizierungskriterien erfüllt.Vollständige Definition ansehen →, den Sie anpassen können:

-- Find VINs still sending telemetry despite an opt-out flag
SELECT t.vin, t.last_seen_ts, c.consent_status, c.updated_at
FROM telemetry_ingest t
JOIN consent_registry c ON t.vin = c.vin
WHERE c.consent_status = 'OPTED_OUT'
  AND t.last_seen_ts > c.updated_at;   -- data arriving after opt-out

Jede zurückgegebene Zeile ist ein Governance-Fehler: Ein Kunde hat widersprochen, und trotzdem flossen Daten weiter. Jede Zeile ist ein potenzieller aufsichtsrechtlicher Befund. Täglich laufen lassen, bei ungleich null alarmieren.

Wo die Machtverhältnisse tatsächlich liegen

Governance ist auch Politik. Verstehen Sie die Hebel.

Der OEM hält die Beziehung zur Typgenehmigung und meist die Controller-Rolle, also setzt ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → die Regeln. Aber Tier-1-Supplier wie Bosch, Continental und ZF bauen die Telematik-Hardware und oft die Software, halten also operatives Wissen, das dem OEM fehlt. Dealer sind häufig unabhängige Franchises und nicht im Besitz des OEM, was die Durchsetzung erschwert: Sie können nicht einfach ein internes Team entlassen, Sie müssen mit einem eigenständigen Unternehmen kontrahieren.

Deshalb sind DPAs (Auftragsverarbeitungsverträge) in der Automobilindustrie wichtiger als im Setting eines einzelnen Unternehmens. Ihre Governance reicht nur so weit wie Ihre Verträge. Wenn das Dealer-Netz aus 3.000 unabhängigen Franchises besteht, brauchen Sie 3.000 durchsetzbare DPAs und einen Weg, diese in der Breite zu auditieren.

Praktischer Schritt: Standardisieren Sie ein einziges DPA-Template und ein einziges Consent-SchemaSchemaEin Schema ist der formale Bauplan, der festlegt, wie Daten in einer Datenbank, einer Datei oder einer Nachricht strukturiert, benannt, typisiert und miteinander verknüpft sind.Vollständige Definition ansehen → über das gesamte Netz. Lassen Sie nicht jeden Dealer seinen eigenen Consent-Screen erfinden. Ein Schema heißt, ein Abgleichs-Check funktioniert überall.

Die Handoff-Checkliste

Bevor Daten eine Parteigrenze überschreiten, bestätigen Sie:

1. Benannter Owner auf beiden Seiten (Daten werden im Transit nicht ownerlos).
2. Unterzeichneter DPA mit Zweckbindung (Daten nur für den genannten Zweck genutzt).
3. Consent-Umfang auf der Empfängerseite bestätigt.
4. Lineage-Eintrag erstellt, damit der Flow auditierbar ist.
5. Pfad der Löschweitergabe definiert (upstream löschen, und es löscht downstream).

Verpassen Sie Punkt 5, bekommen Sie das klassische Versagen: Die Daten eines Kunden werden beim OEM gelöscht, leben aber in einem lokalen Export des Dealers für immer weiter.

Eine Anmerkung zur Datenminimierung

Die günstigste Governance ist, weniger zu erheben. Nach dem Grundsatz der Datenminimierung der DSGVO dürfen Sie nur Daten erheben, die für Ihren Zweck angemessen und erheblich sind. Wenn „Find my car“ nur den aktuellen Standort braucht, streamen Sie keine vollständige 90-Tage-GPS-Historie in die Dealer-App. Jedes Element, das Sie nicht teilen, ist eines, das Sie nie governen, sichern oder löschen müssen.

Fragen Sie bei jedem Feld: Welcher benannte Zweck rechtfertigt das, und wer ist der Owner? Wenn niemand antworten kann, hören Sie auf, es zu erheben.

Key Takeaways

• Weisen Sie genau einen accountable Data Owner pro Datensatz zu, und der überlebt jeden Handoff. Der OEM, dem eine GPS-Spur gehört, hört nicht auf, Owner zu sein, wenn der Dealer sie anzeigt.
• Bilden Sie Rollen auf echtes Recht ab: Controller, Processor, gemeinsame Verantwortlichkeit nach DSGVO; Sale/Sharing-Opt-outs nach CPRA. Eine VIN, die mit einem Halter verknüpft ist, ist ein personenbezogenes Datum.
• Governance reicht nur so weit wie Ihre Verträge. Bei unabhängigen Dealer-Franchises sind standardisierte DPAs und ein einziges Consent-Schema der Durchsetzungsmechanismus.
• Fahren Sie Live-Checks, nicht nur Dokumente. Eine tägliche Consent-Abgleichsabfrage, die Telemetrie nach einem Opt-out markiert, findet echte Fehler, bevor die Aufsicht es tut.
• Definieren Sie die Löschweitergabe von Anfang an. Upstream zu löschen ist wertlos, wenn ein lokaler Export beim Dealer die Daten am Leben hält.