Durch das Regulierungslabyrinth: DSGVO, UNECE R155 und CCPA auf Rädern

# Durch das Regulierungslabyrinth: DSGVO, UNECE R155 und CCPA auf Rädern

Ein modernes Connected Car erzeugt rund 25 Gigabyte Daten pro Stunde (Branchenschätzung, je nach Modell sehr unterschiedlich). Standort, Bremsverhalten, Sprachbefehle, per Bluetooth synchronisierte Telefonkontakte, sogar Sitzgewichtssensoren. Sobald ein Fahrer in München den Motor startet und Landesgrenzen überquert, wachen drei getrennte Regulierungsregime auf und beißen zu. Verfolgen wir eine Fahrt und schauen genau, wo das passiert.

Die Fahrt: eine Strecke, drei Regime

Stellen Sie sich einen Fahrer vor, der München verlässt und zum Vergleich in ein US-Marktszenario wechselt. Sobald das Auto eingeschaltet wird:

• DSGVO (Datenschutz-Grundverordnung, das EU-Datenschutzrecht, seit 2018 in Kraft) regelt die in Europa erhobenen personenbezogenen Daten.
• UNECE R155 und R156 (Regelungen der Wirtschaftskommission der Vereinten Nationen für Europa zu Fahrzeug-Cybersicherheit und Software-Updates) regeln, ob dieses Auto überhaupt verkauft werden durfte und straßenzulassungsfähig bleibt.
• US-Datenschutzgesetze der Bundesstaaten wie der CCPA (California Consumer Privacy Act) greifen in dem Moment, in dem derselbe Hersteller diese Daten in Kalifornien verkauft oder verarbeitet.

Diese Regime stapeln sich nicht sauber. Sie überlappen sich, widersprechen sich und greifen zu unterschiedlichen Zeitpunkten.

Kilometer null: DSGVO und das Consent-Problem

Die DSGVO behandelt Fahrzeugdaten als personenbezogene Daten, sobald sie einer Person zugeordnet werden kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen. Eine VIN (Fahrzeug-Identifizierungsnummer), die mit einem eingetragenen Halter verknüpft ist, ist ein personenbezogenes Datum. Ebenso präzise GPS-Standorte und Fahrverhalten.

Die zentrale Anforderung der DSGVO: Sie brauchen eine Rechtsgrundlage, um personenbezogene Daten zu verarbeiten. Es gibt sechs. Die zwei, die im Auto am meisten zählen:

• Consent: freiwillig, spezifisch, informiert und widerrufbar.
• Berechtigtes Interesse: Verarbeitung, die für einen Geschäftszweck wirklich erforderlich ist, abgewogen gegen die Rechte des Fahrers.

Wo es beißt

Wenn der Infotainment-Bildschirm den Fahrer bittet, der Datenweitergabe zuzustimmen, bevor die Navigation funktioniert, ist das ein Consent-Flow. Die DSGVO sagt: Consent für Navigation darf nicht mit Consent für Marketing-Analytics gebündelt werden. Bündelung ist ein klassischer Verstoß.

Sicherheitskritische Funktionen (Protokollierung der Airbag-Auslösung, eCall-Notrufdaten) stützen sich in der Regel auf rechtliche Verpflichtung oder lebenswichtige Interessen, nicht auf Consent. Man kann einen Fahrer nicht mitten im Unfall um ein „Opt-in" zur Crash-Telemetrie bitten.

Der Europäische Datenschutzausschuss veröffentlicht fahrzeugspezifische Leitlinien, die ein Bookmark wert sind: EDPB Guidelines on connected vehicles.

Kilometer eins: R155 und R156, das Sicherheitstor

Jetzt kommt, was Nicht-Techniker überrascht. R155 ist überhaupt kein Datenschutzrecht. Es ist eine Anforderung an die Typgenehmigung im Bereich Cybersicherheit. In der EU darf seit Juli 2024 ein Auto nicht als neues Modell verkauft werden, wenn der Hersteller kein gültiges CSMS-Zertifikat (Cyber Security Management System) besitzt.

R155 zwingt Hersteller nachzuweisen, dass sie Cyberrisiken über den gesamten Fahrzeuglebenszyklus identifizieren, bewerten und steuern kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen. R156 tut dasselbe für Software-Updates (das SUMS, Software Update Management System), das heißt Over-the-Air-Updates müssen kontrolliert, protokolliert und umkehrbar sein.

Wo es beißt

R155 beißt im Werk und bei der Behörde, nicht beim Fahrer. Aber es prägt die Datengeschichte: Ein Hersteller muss Audit Trails führen, die belegen, dass jede ECU (Electronic Control Unit, die kleinen Rechner für Lenkung, Bremsen und so weiter) gegen bekannte Angriffsvektoren geschützt ist.

Der praktische Bezug zu Ihrer Data-Governance-Arbeit: R155-Nachweise und DSGVO-Verarbeitungsverzeichnisse beschreiben oft dieselben Datenflüsse aus unterschiedlichen Winkeln. Security-Teams und Datenschutzteams führen häufig getrennte Dokumente, die zusammenpassen sollten. Meist tun sie es nicht.

🎬 [VIDEO: "UNECE WP.29 R155 Cybersecurity Explained" - youtube.com/results?search_query=unece+r155+cybersecurity - ein Überblick in einfacher Sprache über die WP.29-Regelung zur Fahrzeug-Cybersicherheit und die CSMS-Anforderungen]

Der Grenzübertritt: Gesetze der US-Bundesstaaten

Derselbe Hersteller, der in den USA verkauft, hat es mit keinem Bundesdatenschutzgesetz zu tun, das der DSGVO entspricht. Stattdessen gilt ein Flickenteppich einzelstaatlicher Gesetze. Stand 2026 haben etwa 20 US-Bundesstaaten umfassende Verbraucherdatenschutzgesetze in Kraft (Schätzung, die Zahl steigt weiter). Der Anker ist weiterhin der CCPA, geändert durch den CPRA (California Privacy Rights Act).

Zentrale Unterschiede des CCPA zur DSGVO:

• Der CCPA ist primär Opt-out, nicht Opt-in. Ein kalifornischer Fahrer hat das Recht zu sagen „verkaufen oder teilen Sie meine personenbezogenen Daten nicht", aber Daten kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen fließen, bis ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → widerspricht.
• Der CCPA hat ein ausdrückliches Recht auf „Do Not Sell or Share". Standortdaten aus Connected Cars, die an Datenbroker verkauft werden, sind genau das Ziel.
• Die Durchsetzung liegt bei der California Privacy Protection Agency und dem Attorney General des Bundesstaats.

Wo es beißt

Wenn unser Hersteller präzise Geolokalisierungsdaten mit einem Versicherungs-Analytics-Partner teilt, verlangt der CCPA einen klaren, für den kalifornischen Fahrer zugänglichen Opt-out-Mechanismus. Die DSGVO hätte für denselben Fluss in München ein Opt-in-Consent verlangt. Gleiche Daten, umgekehrter Default.

Ein durchgerechneter Abgleich

Angenommen, Ihr Auto erhebt drei Datenströme und Sie müssen die Pflichten mappen. Eine einfache Governance-Matrix:

| Datenelement | DSGVO-Grundlage | R155-Relevanz | CCPA-Kategorie |

|---|---|---|---|

| Präzises GPS | Consent | Angriffsfläche (Spoofing) | Sensitive PI, Opt-out |

| Crash-Telemetrie | Rechtliche Verpflichtung | Integrität kritisch | Nicht „verkauft", gespeichert |

| Sprachbefehle | Consent | Sicherheit im Cloud-Transit | PI, Opt-out bei Weitergabe |

Erstellen Sie das einmal pro Datenelement, und die Hälfte Ihrer Audit-Arbeit ist erledigt.

Der Daten-Check: ein praktischer Inventar-Auszug

Governance beginnt damit, zu wissen, was wohin fließt. Hier ein minimaler Datensatz für ein Datenverzeichnis, den Sie anpassen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen. Das ist eine strukturierte Beschreibung, kein Rechtsdokument:

data_element: precise_geolocation
source_ecu: telematics_control_unit
collection_trigger: ignition_on
lawful_basis_eu: consent          # DSGVO Art. 6 Abs. 1 lit. a
retention_days: 30
shared_with:
  - navigation_provider
  - insurance_analytics          # löst CCPA-Opt-out aus
encryption_in_transit: TLS_1.3   # R155-Nachweis
opt_out_mechanism_us: available
last_reviewed: 2026-01-15

Wenn Sie lawful_basis_eu, shared_with und opt_out_mechanism_us nicht für jedes Element ausfüllen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen, haben Sie eine Lücke.

Das Audit durchführen: was Sie tatsächlich prüfen

Connected-Car-Daten zu auditieren ist nicht eine Prüfung. Es sind drei sich überlappende Prüfungen, die Nachweise teilen sollten.

1. Consent-Audit (DSGVO)

• Ziehen Sie die Consent-Screens des Infotainments. Sind Marketing- und Navigations-Consent entbündelt?
• Testen Sie den Widerruf. Wenn ein Fahrer den Consent widerruft, hört die Datenerhebung tatsächlich innerhalb eines angemessenen Zeitraums auf?
• Prüfen Sie das Verzeichnis von Verarbeitungstätigkeiten (ROPA), das von der DSGVO verlangte Protokoll darüber, was Sie verarbeiten und warum.

2. Audit der Cybersicherheitsnachweise (R155/R156)

• Bestätigen Sie, dass das CSMS-Zertifikat aktuell ist und die betroffenen Modelle abdeckt.
• Verifizieren Sie, dass OTA-Update-Logs manipulationssicher und umkehrbar sind.
• Gegenprüfung: Listet die R155-Bedrohungsanalyse dieselben Datenflüsse, die Ihr ROPA beschreibt? Bringen Sie beides in Übereinstimmung.

3. Audit der Verbraucherrechte (US-Staatsgesetze)

• Bestätigen Sie einen funktionierenden „Do Not Sell or Share"-Mechanismus für US-Fahrer.
• Mappen Sie, welche der rund 20 aktiven Staatsgesetze auf Ihren Kundenstamm zutreffen.
• Prüfen Sie, ob präzise Geolokalisierung als sensible Daten behandelt wird (das ist sie, unter dem CPRA und mehreren anderen).

Die Abgleich-Falle

Der mit Abstand häufigste Befund: Die Datenkarte des Datenschutzteams und das R155-Bedrohungsmodell des Security-Teams beschreiben unterschiedliche Realitäten. Datenschutz sagt, Sprachdaten werden nach 30 Tagen gelöscht. Die Cloud-Logs der Security zeigen 90 Tage Aufbewahrung zum Debugging. Beide kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen nicht recht haben. Zwingen Sie sie in ein gemeinsames Inventar.

Warum die Defaults kommerziell zählen

Die Lücke zwischen Opt-in und Opt-out ist nicht akademisch. Ein europäischer Fahrer, der aktiv zustimmen muss, lässt Funktionen vielleicht aus, weshalb EU-Connected-Car-Datensätze dünner sein kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen. Die Daten eines kalifornischen Fahrers fließen, bis ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → widerspricht, weshalb US-Datensätze reicher sind, aber ein höheres Risiko tragen, wenn der Opt-out-Mechanismus versagt.

Es gibt echte Durchsetzung. Europäische Datenschutzbehörden haben branchenübergreifend erhebliche DSGVO-Bußgelder verhängt, und der Umgang mit Standortdaten in der Automobilbranche steht bei Behörden und Presse unter aktiver Beobachtung. Behandeln Sie das Labyrinth als real, nicht als theoretisch.

Key Takeaways

• Drei Regime, drei Auslösepunkte. Die DSGVO beißt bei der Datenerhebung (Opt-in), R155/R156 beißen beim Verkauf und bei Software-Updates (Sicherheitszertifizierung), US-Staatsgesetze beißen bei der Datenweitergabe (Opt-out).
• Gleiche Daten, umgekehrte Defaults. EU-Consent ist Opt-in; CCPA und die meisten US-Gesetze sind Opt-out. Präzise Geolokalisierung ist unter allen das Element mit dem höchsten Risiko.
• Bringen Sie Datenschutz- und Security-Unterlagen in Übereinstimmung. Ihr DSGVO-ROPA und Ihr R155-Bedrohungsmodell müssen dieselben Datenflüsse beschreiben. Abweichung ist der häufigste Audit-Befund.
• Erstellen Sie ein Inventar pro Datenelement. Erfassen Sie Rechtsgrundlage, Weitergabepartner, Aufbewahrung und Opt-out-Status. Machen Sie das einmal, und der Großteil der Audit-Arbeit folgt daraus.
• Die Durchsetzung ist 2026 real. Rund 20 US-Bundesstaaten haben inzwischen umfassende Datenschutzgesetze (Schätzung), und EU-Behörden nehmen Standortdaten aus Connected Cars aktiv unter die Lupe.