Das Privacy- und Daten-Audit durchführen: eine Checkliste für die Praxis

# Das Privacy- und Daten-Audit durchführen: eine Checkliste für die Praxis

Ein einzelnes modernes Connected Car erzeugt rund 25 Gigabyte Daten pro Stunde (eine in Branchenquellen breit zitierte Größenordnung, kein exakter Wert). GPS-Pings, Aktivierungen des Innenraummikrofons, Bremsdruck, Frames der fahrerzugewandten Kamera. Stellen Sie sich nun vor, eine Aufsichtsbehörde stellt Ihrem OEM (Original Equipment Manufacturer, dem Fahrzeughersteller) eine einfache Frage: „Zeigen Sie mir jeden Ort, an dem der Standort dieses Fahrzeugs gespeichert wurde, wer zugestimmt hat und wann Sie die Daten gelöscht haben.“ Wenn Sie das nicht innerhalb einer Woche beantworten kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen, haben Sie ein Problem. Diese Lektion führt Sie durch das Audit, das dieses Problem zuerst findet.

Warum es dieses Audit gibt

Daten aus vernetzten Fahrzeugen sind heute stark reguliert. Die wichtigsten Gesetze, die Sie benennen müssen:

• GDPR (General Data Regulation, EU): regelt alle personenbezogenen Daten von Fahrern in der EU. Standort- und Innenraumdaten sind personenbezogene Daten. Bußgelder reichen bis zu 4 Prozent des globalen Jahresumsatzes.
• CCPA/CPRA (California Consumer Privacy Act, geändert durch den California Privacy Rights Act): gibt Einwohnern Kaliforniens das Recht auf Auskunft, Löschung und Widerspruch gegen den Verkauf ihrer Daten.
• Die EDPB Guidelines 01/2020 zu vernetzten Fahrzeugen der EU, die Standort-, biometrische und Telematikdaten ausdrücklich behandeln. Hier nachzulesen: EDPB connected vehicle guidelines.

2023 trafen US-Aufsichtsbehörden und Medienberichte Autohersteller hart, weil diese Daten zum Fahrverhalten an Datenbroker und Versicherer weitergaben, teils ohne klare Einwilligung. Genau diesen Failure Mode deckt dieses Audit auf.

Wichtige Begriffe, bevor wir starten:

• PII (Personally Identifiable Information): Daten, die eine Person identifizieren. Eine VIN (Vehicle Identification Number), die einem Halter zugeordnet ist, ist PII.
• Data LineageData LineageData Lineage zeigt, wie Daten sich durch Systeme bewegen und dabei transformiert werden, von der Quelle bis zur Nutzung: woher sie kommen, was sie verändert hat und wohin sie gehen.Vollständige Definition ansehen →: der dokumentierte Weg eines Datenelements vom Ursprung (einem Sensor) zu jedem Speicherort und jeder nachgelagerten Nutzung.
• Retention: wie lange Sie Daten vor der Löschung aufbewahren.
• Consent: eine spezifische, informierte, freiwillig erteilte Zustimmung zu einem definierten Verarbeitungszweck.

Die PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen →, die Sie auditieren

Stellen Sie sich eine typische Telematik-PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen → vor:

Fahrzeugsensoren zu In-Car-Gateway zu Cloud-Ingestion zu Data LakeData LakeEin Data Lake ist ein zentraler Speicher, der große Datenmengen im Rohformat ablegt, von strukturierten Tabellen bis zu unstrukturierten Dateien, bis sie gebraucht werden.Vollständige Definition ansehen → zu Analytics/ML zu Weitergabe an Dritte (Händler, Versicherer, Kartenpartner).

Ihre Aufgabe ist, diese PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen → abzugehen und jede Stufe gegen drei Failure Modes zu prüfen: Erhebung ohne Einwilligung, Over-Retention und fehlende Lineage.

Schritt 1: das Dateninventar aufbauen

Sie kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen nicht auditieren, was Sie nicht sehen. Beginnen Sie mit einem vollständigen Inventar der Datenelemente, die durch die PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen → fließen.

Erfassen Sie zu jedem Element: Quellsensor, Datenkategorie, ob es PII ist, die Rechtsgrundlage der Einwilligung, die Aufbewahrungsdauer und jeden Speicherort.

Eine minimale Inventarzeile sieht so aus:

| Element | Kategorie | PII? | Consent-Basis | Retention | Speicherorte |

|---|---|---|---|---|---|

| GPS Lat/Long | Standort | Ja | Opt-in (Navigationsfunktion) | 30 Tage | Ingest-Topic, Lake, Kartenpartner |

| Harte Bremsvorgänge | Telematik | Ja (über VIN) | ??? | ??? | Lake, Versicherer-Feed |

Die Zellen mit „???“ sind genau die Stellen, an denen Audits Bußgelder finden. In unserem Beispiel fließen harte Bremsvorgänge an einen Versicherer, aber die Consent-Basis ist nicht dokumentiert. Markieren Sie das.

Schritt 2: Standortdaten end to end nachverfolgen

Standort ist die risikoreichste Kategorie in vernetzten Fahrzeugen. Der EDPB behandelt präzise Geolokalisierung als besonders sensibel, weil sie Wohnort, Arbeitsplatz und Gewohnheiten offenlegt.

Führen Sie diese Prüfung durch: wählen Sie eine VIN und folgen Sie ihren GPS-Daten durch jedes System.

Fragen Sie:

• Wurde der Standort nur für einen Zweck erhoben, dem der Fahrer zugestimmt hat (zum Beispiel Navigation)?
• Ist ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → in einen Zweck gesickert, dem der Fahrer nicht zugestimmt hat (zum Beispiel ein Marketing-Modell oder einen Broker-Feed)?
• Wird ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → länger gespeichert, als der genannte Zweck es erfordert?

Eine praxisnahe Query gegen Ihren Event Store, um Standortdaten im falschen Topic zu finden:

-- Find location fields present in topics that should not carry them
SELECT topic_name, field_name, COUNT(*) AS records
FROM data_catalog_fields
WHERE field_name IN ('gps_lat', 'gps_long', 'geohash')
  AND topic_name NOT IN ('navigation_service', 'emergency_ecall')
GROUP BY topic_name, field_name
ORDER BY records DESC;

Wenn marketing_events oder partner_export in den Ergebnissen auftaucht, haben Sie Standort-Logging ohne Einwilligung gefunden. Das ist der häufigste Einzelfund in echten Audits.

Schritt 3: Consent gegen die Realität testen

Consent auf Papier ist kein Consent in der PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen →. Prüfen Sie, ob das technische System das einhält, was der Fahrer tatsächlich gewählt hat.

Konkreter Test: legen Sie einen Testaccount an, deaktivieren Sie im Datenschutzmenü des Fahrzeugs die Standortfreigabe (Opt-out), fahren Sie eine Strecke und prüfen Sie dann, ob GPS trotzdem im Analytics Lake gelandet ist. Wenn ja, ist die Consent-Durchsetzung defekt.

Für EU-Fahrer: denken Sie an die eCall-Ausnahme. Verpflichtende Notrufsysteme dürfen den Standort ohne Einwilligung erheben, aber nur für den Notrufzweck. Wenn derselbe eCall-Standort ein Analytics-Dashboard speist, ist das eine unrechtmäßige Zweckänderung.

Schritt 4: Retention auditieren

Over-Retention bedeutet, PII über den Punkt hinaus zu behalten, an dem sie nützlich oder rechtmäßig ist. Aufsichtsbehörden erwarten einen definierten, dokumentierten und durchgesetzten Retention-Plan.

Prüfen Sie drei Dinge:

1. Gibt es eine schriftliche Aufbewahrungsdauer pro Datenkategorie?

2. Ist die Löschung tatsächlich automatisiert (nicht „wir löschen auf Anfrage“)?

3. Verfallen auch Backups und Kopien bei Dritten?

Der dritte Punkt erwischt viele. Sie löschen GPS nach 30 Tagen aus dem Lake, aber ein Kartenpartner behält es unter einem alten Vertrag zwei Jahre. Unter der GDPR sind Sie weiterhin Controller und bleiben verantwortlich.

Ein kurzes Rechenbeispiel

Angenommen, Sie speichern Roh-GPS für 10 Millionen Fahrzeuge, jedes sendet alle 10 Sekunden einen Ping, und Ihre angegebene Retention beträgt 30 Tage.

• Pings pro Fahrzeug pro Tag: 8.640 (6 pro Minute mal 60 mal 24)
• Über 30 Tage: 259.200 Pings pro Fahrzeug
• Über 10 Millionen Fahrzeuge: etwa 2,59 Billionen Standortdatensätze gleichzeitig im Bestand

Wenn Ihre Policy 30 Tage sagt, Ihr Lake aber noch Pings von vor 90 Tagen enthält, halten Sie etwa das Dreifache des rechtmäßigen Volumens. Das ist ein konkreter, messbarer Fund, den Sie einer Aufsichtsbehörde oder Ihrem eigenen Board vorlegen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen. (Illustrative Rechnung, keine echte Flotte.)

Schritt 5: Data LineageData LineageData Lineage zeigt, wie Daten sich durch Systeme bewegen und dabei transformiert werden, von der Quelle bis zur Nutzung: woher sie kommen, was sie verändert hat und wohin sie gehen.Vollständige Definition ansehen → verifizieren

Fehlende Lineage ist der Fehler, der jedes andere Problem unbehebbar macht. Wenn Sie nicht nachvollziehen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen, woher ein Datenelement kam und wohin es ging, kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Sie kein Löschverlangen erfüllen, keine Einwilligung belegen und keinen Breach eingrenzen.

Für jedes PII-Element brauchen Sie eine nachvollziehbare Kette: Sensor zu Gateway zu Topic zu Tabelle zu Export.

Tools wie OpenLineage oder ein Data CatalogData CatalogEin zentrales Inventar der Datenbestände eines Unternehmens, angereichert mit Metadaten, das Menschen hilft, die benötigten Daten zu finden, zu verstehen und ihnen zu vertrauen.Vollständige Definition ansehen → (Collibra, Alation oder Open-Source-Alternativen) erfassen das. Der Audit-Test ist aber einfach: wählen Sie einen Fahrer, stellen Sie ein Data Subject Access Request (DSAR, das gesetzliche Recht auf Auskunft über die eigenen Daten) und messen Sie, wie lange es dauert, jede Kopie seiner Daten zusammenzutragen. Dauert es länger als die gesetzliche Frist (die GDPR verlangt eine Antwort innerhalb eines Monats), ist Ihre Lineage unzureichend.

Schritt 6: Weitergabe an Dritte prüfen

Die Kritik an Autoherstellern 2023 drehte sich genau hierum: Fahrdaten, die an Broker und Versicherer flossen. Prüfen Sie für jeden ausgehenden Feed:

• Es existiert ein unterzeichneter Auftragsverarbeitungsvertrag.
• Die geteilten Felder entsprechen dem, was die Einwilligung deckt (keine VIN plus Standort, die in einen „Diagnose“-Feed geschmuggelt werden).
• Die Retention des Partners passt zu Ihrer.

Dokumentieren Sie das Machtverhältnis ehrlich. Große OEMs (Toyota, Volkswagen, GMGMDie Gross Margin ist der Anteil des Umsatzes, der nach Abzug der direkten Kosten für die Herstellung von Waren oder Dienstleistungen übrig bleibt, ausgedrückt als Prozentsatz des Umsatzes.Vollständige Definition ansehen →, Ford, Stellantis) sitzen im Zentrum; Kartenanbieter (Google, HERE), Versicherer und Datenbroker ziehen Daten nach außen. Sie als Controller tragen die Haftung, egal wie groß der Partner ist.

Schritt 7: die Findings schreiben

Ein Audit ist wertlos ohne eine priorisierte Liste der Findings. Bewerten Sie jedes Problem nach regulatorischem Risiko und Eintrittswahrscheinlichkeit und weisen Sie einen Owner und eine Deadline zu. Beispiel:

• Kritisch: GPS in partner_export ohne Consent-Basis. Owner: Lead Data Platform. Behebung in 14 Tagen.
• Hoch: Retention wird auf Backups nicht durchgesetzt. Owner: Infra. Behebung in 30 Tagen.
• Mittel: DSAR-Zusammenstellung dauert 6 Wochen. Owner: Governance. Behebung in 60 Tagen.

Key Takeaways

• Beginnen Sie jedes Audit mit einem vollständigen Dateninventar; die leeren Zellen (unbekannte Einwilligung, unbekannte Retention) sind die Stellen, an denen Bußgelder lauern.
• Standort ist die risikoreichste Kategorie in vernetzten Fahrzeugen; verfolgen Sie eine VIN end to end und belegen Sie, dass sie nie in einem Store ohne Einwilligung gelandet ist.
• Testen Sie Consent und Retention gegen die laufende PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen →, nicht gegen das Policy-Dokument; machen Sie ein Opt-out mit einem Testaccount und bestätigen Sie, dass die Daten tatsächlich stoppen.
• Over-Retention ist messbar; vergleichen Sie die angegebene Retention mit dem tatsächlichen Datenalter und quantifizieren Sie den Überschuss.
• Wenn ein DSAR länger als einen Monat braucht, ist Ihre Lineage defekt und jedes andere Control ist nicht durchsetzbar.