Automobil · Durch das Regulierungslabyrinth: DSGVO, UNECE R155 und CCPA auf Rädern

Ein modernes Connected Car erzeugt rund 25 Gigabyte Daten pro Stunde (Branchenschätzung, je nach Modell sehr unterschiedlich). Standort, Bremsverhalten, Sprachbefehle, per Bluetooth synchronisierte Telefonkontakte, sogar Sitzgewichtssensoren. Sobald ein Fahrer in München den Motor startet und in andere Rechtsräume wechselt, werden drei separate Regulierungsregime aktiv und greifen zu. Verfolgen wir eine Fahrt und sehen wir genau, wo.

Die Fahrt: eine Strecke, drei Regime

Stellen Sie sich einen Fahrer vor, der München verlässt, zum Vergleich mit einem Fahrzeugszenario für den US-Markt. Sobald das Auto eingeschaltet wird:

• DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen → (Datenschutz-Grundverordnung, das EU-Datenschutzrecht, in Kraft seit 2018) regelt die in Europa erhobenen personenbezogenen Daten.
• UNECE R155 und R156 (Regelungen der Wirtschaftskommission der Vereinten Nationen für Europa zu Fahrzeug-Cybersicherheit und Software-Updates) regeln, ob dieses Auto überhaupt verkauft werden durfte und straßenzulässig bleibt.
• US-Datenschutzgesetze der Bundesstaaten wie der CCPA (California Consumer Privacy Act) greifen in dem Moment, in dem derselbe Hersteller diese Daten in Kalifornien verkauft oder verarbeitet.

Diese Regime stapeln sich nicht säuberlich. Sie überlappen, widersprechen sich und greifen zu unterschiedlichen Zeitpunkten.

Kilometer null: DSGVO und das Consent-Problem

Die DSGVO behandelt Fahrzeugdaten als personenbezogene Daten, sobald sie einer Person zugeordnet werden können. Eine VIN (Fahrzeug-Identifizierungsnummer), die mit einem eingetragenen Halter verknüpft ist, ist ein personenbezogenes Datum. Ebenso die präzise GPS-Position und das Fahrverhalten.

Die zentrale Anforderung der DSGVO: Sie brauchen eine Rechtsgrundlage, um personenbezogene Daten zu verarbeiten. Es gibt sechs. Die zwei, die im Auto am wichtigsten sind:

• Consent: freiwillig, spezifisch, informiert und widerrufbar.
• Berechtigtes Interesse: eine Verarbeitung, die für einen Geschäftszweck tatsächlich erforderlich ist, abgewogen gegen die Rechte des Fahrers.

Wo es greift

Wenn der Infotainment-Bildschirm den Fahrer bittet, die Datenweitergabe zu akzeptieren, bevor die Navigation funktioniert, ist das ein Consent-Flow. Die DSGVO sagt: Consent für Navigation darf nicht mit Consent für Marketing-Analytics gebündelt werden. Bündelung ist ein klassischer Verstoß.

Sicherheitskritische Funktionen (Protokollierung der Airbag-Auslösung, eCall-Notrufdaten) stützen sich in der Regel auf eine rechtliche Verpflichtung oder lebenswichtige Interessen, nicht auf Consent. Man kann einen Fahrer nicht mitten im Unfall um ein „Opt-in" zur Crash-Telemetrie bitten.

Der Europäische Datenschutzausschuss veröffentlicht fahrzeugspezifische Leitlinien, die ein Bookmark wert sind: EDPB Guidelines on connected vehicles.

Kilometer eins: R155 und R156, das Sicherheitstor

Hier kommt, was fachfremde Kollegen überrascht. R155 ist überhaupt kein Datenschutzrecht. Es ist eine Anforderung an die Typgenehmigung für Cybersicherheit. In der EU darf seit Juli 2024 ein Auto nicht als neues Modell verkauft werden, wenn der Hersteller kein gültiges CSMS-Zertifikat (Cyber Security Management System) besitzt.

R155 zwingt Automobilhersteller nachzuweisen, dass sie Cyberrisiken über den gesamten Fahrzeuglebenszyklus identifizieren, bewerten und steuern kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen. R156 tut dasselbe für Software-Updates (das SUMS, Software Update Management System): Over-the-Air-Updates müssen kontrolliert, protokolliert und rückgängig zu machen sein.

Wo es greift

R155 greift im Werk und bei der Behörde, nicht beim Fahrer. Aber es prägt die Datenseite: Ein Hersteller muss Audit Trails führen, die belegen, dass jede ECU (Electronic Control Unit, die kleinen Rechner für Lenkung, Bremsen und so weiter) gegen bekannte Angriffsvektoren geschützt ist.

Der praktische Bezug zu Ihrer Data-Governance-Arbeit: R155-Nachweise und DSGVO-Verarbeitungsverzeichnisse beschreiben oft dieselben Datenflüsse aus unterschiedlichen Perspektiven. Security-Teams und Privacy-Teams pflegen häufig getrennte Dokumente, die zueinander passen sollten. Meist tun sie es nicht.

🎬 [VIDEO: "UNECE WP.29 R155 Cybersecurity Explained" - youtube.com/results?search_query=unece+r155+cybersecurity - ein allgemein verständlicher Überblick über die WP.29-Regelung zur Fahrzeug-Cybersicherheit und die CSMS-Anforderungen]

Der Grenzübertritt: US-Gesetze der Bundesstaaten

Derselbe Hersteller, der in den USA verkauft, steht keinem Bundesdatenschutzgesetz gegenüber, das der DSGVO entspräche. Stattdessen gilt ein Flickenteppich einzelstaatlicher Gesetze. Stand 2026 haben rund 20 US-Bundesstaaten umfassende Verbraucherdatenschutzgesetze in Kraft (Schätzung, die Zahl steigt weiter). Der Anker ist weiterhin der CCPA, geändert durch den CPRA (California Privacy Rights Act).

Wesentliche Unterschiede des CCPA zur DSGVO:

• Der CCPA ist primär Opt-out, nicht Opt-in. Ein kalifornischer Fahrer hat das Recht zu sagen „verkaufen oder teilen Sie meine personenbezogenen Daten nicht", aber die Daten fließen, bis ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → widerspricht.
• Der CCPA enthält ein ausdrückliches Recht auf „Do Not Sell or Share". Standortdaten aus Connected Cars, die an Datenbroker verkauft werden, sind genau das Ziel.
• Die Durchsetzung liegt bei der California Privacy Protection Agency und dem Attorney General des Bundesstaates.

Wo es greift

Wenn unser Hersteller präzise Geodaten mit einem Versicherungs-Analytics-Partner teilt, verlangt der CCPA einen klaren Opt-out-Mechanismus, der dem kalifornischen Fahrer zugänglich ist. Die DSGVO hätte für denselben Datenfluss in München Opt-in-Consent verlangt. Gleiche Daten, entgegengesetzte Voreinstellung.

Ein durchgerechneter Abgleich

Angenommen, Ihr Auto erhebt drei Datenströme und Sie müssen die Pflichten zuordnen. Eine einfache Governance-Matrix:

Bauen Sie das einmal je Datenelement und die Hälfte Ihrer Audit-Arbeit ist erledigt.

Der Datencheck: ein praktisches Inventar-Snippet

Governance beginnt damit, zu wissen, was wohin fließt. Hier ein minimaler Datensatz für ein Datenverzeichnis, den Sie anpassen können. Das ist eine strukturierte Beschreibung, kein Rechtsdokument:

data_element: precise_geolocation
source_ecu: telematics_control_unit
collection_trigger: ignition_on
lawful_basis_eu: consent          # DSGVO Art. 6 Abs. 1 lit. a
retention_days: 30
shared_with:
  - navigation_provider
  - insurance_analytics          # löst CCPA-Opt-out aus
encryption_in_transit: TLS_1.3   # R155-Nachweis
opt_out_mechanism_us: available
last_reviewed: 2026-01-15

Wenn Sie lawful_basis_eu, shared_with und opt_out_mechanism_us nicht für jedes Element ausfüllen können, haben Sie eine Lücke.

Das Audit durchführen: was Sie tatsächlich prüfen

Connected-Car-Daten zu auditieren ist nicht eine Prüfung. Es sind drei überlappende Checks, die sich Nachweise teilen sollten.

1. Consent-Audit (DSGVO)

• Ziehen Sie die Consent-Screens des Infotainment-Systems. Sind Marketing- und Navigations-Consent entbündelt?
• Testen Sie den Widerruf. Wenn ein Fahrer seinen Consent zurückzieht, stoppt die Datenerhebung tatsächlich innerhalb eines vertretbaren Zeitraums?
• Prüfen Sie das Verzeichnis von Verarbeitungstätigkeiten (ROPA), das von der DSGVO vorgeschriebene Protokoll darüber, was Sie verarbeiten und warum.

2. Audit der Cybersicherheitsnachweise (R155/R156)

• Bestätigen Sie, dass das CSMS-Zertifikat aktuell ist und die betroffenen Modelle abdeckt.
• Prüfen Sie, dass OTA-Update-Logs manipulationssicher und reversibel sind.
• Gegencheck: Listet die R155-Bedrohungsanalyse dieselben Datenflüsse, die Ihr ROPA beschreibt? Bringen Sie beide in Übereinstimmung.

3. Audit der Verbraucherrechte (US-Gesetze der Bundesstaaten)

• Bestätigen Sie einen funktionierenden „Do Not Sell or Share"-Mechanismus für US-Fahrer.
• Ordnen Sie zu, welche der rund 20 aktiven einzelstaatlichen Gesetze auf Ihren Kundenstamm anwendbar sind.
• Prüfen Sie, ob präzise Geodaten als sensible Daten behandelt werden (sie sind es, nach CPRA und mehreren anderen).

Die Abgleichsfalle

Das häufigste Finding überhaupt: Die Datenlandkarte des Privacy-Teams und das R155-Bedrohungsmodell des Security-Teams beschreiben unterschiedliche Realitäten. Privacy sagt, Sprachdaten werden nach 30 Tagen gelöscht. Die Cloud-Logs der Security zeigen 90 Tage Aufbewahrung zum Debugging. Beide können nicht recht haben. Zwingen Sie sie in ein gemeinsames Inventar.

Warum die Voreinstellungen kommerziell zählen

Der Unterschied zwischen Opt-in und Opt-out ist nicht akademisch. Ein europäischer Fahrer, der aktiv zustimmen muss, lässt Funktionen möglicherweise aus, EU-Connected-Car-Datensätze können also dünner sein. Die Daten eines kalifornischen Fahrers fließen, bis er widerspricht, US-Datensätze sind also reicher, bringen aber höhere Exposure, wenn der Opt-out-Mechanismus versagt.

Durchsetzung gibt es wirklich. Europäische Datenschutzbehörden haben branchenübergreifend erhebliche DSGVO-Bußgelder verhängt, und der Umgang mit Standortdaten in der Automobilbranche steht bei Aufsichtsbehörden und Presse aktiv unter Beobachtung. Behandeln Sie das Labyrinth als real, nicht als theoretisch.

Key Takeaways

• Drei Regime, drei Auslösepunkte. Die DSGVO greift bei der Datenerhebung (Opt-in), R155/R156 greifen bei Verkauf und Software-Updates (Sicherheitszertifizierung), US-Gesetze der Bundesstaaten greifen bei der Datenweitergabe (Opt-out).
• Gleiche Daten, entgegengesetzte Voreinstellungen. EU-Consent ist Opt-in; CCPA und die meisten US-Gesetze sind Opt-out. Präzise Geodaten sind unter allen das Element mit dem höchsten Risiko.
• Bringen Sie Privacy- und Security-Unterlagen in Übereinstimmung. Ihr DSGVO-ROPA und Ihr R155-Bedrohungsmodell müssen dieselben Datenflüsse beschreiben. Abweichung ist das häufigste Audit-Finding.
• Bauen Sie ein Inventar je Datenelement. Erfassen Sie Rechtsgrundlage, Weitergabepartner, Aufbewahrung und Opt-out-Status. Machen Sie das einmal, und die meiste Audit-Arbeit folgt daraus.
• Durchsetzung ist 2026 real. Rund 20 US-Bundesstaaten haben inzwischen umfassende Datenschutzgesetze (Schätzung), und EU-Behörden nehmen Standortdaten aus Connected Cars aktiv unter die Lupe.