Datenschutz und autonomes Fahren

Datenschutz und autonomes Fahren

Autonom fahrende Autos sollen laut der deutschen Bundesregierung in Projekten ab 2022 im Regelbetrieb getestet werden. Es liegt aber in der Natur der selbst fahrenden und vernetzten Autos, dass viele (auch sensible) Daten anfallen, über deren Schutz und Zugriff schon lange nicht nur zwischen der Autoindustrie, Kartenanbietern und Datenschützern gestritten wird.

Inwieweit dieser Streit die Entwicklung autonomer Autos in Deutschland bremst und was die aktuellsten Überlegungen von VW und Daimler dazu sind, erfahren Sie hier.

Gesetzesentwurf zum autonomen Fahren gebremst

Ein Gesetzentwurf zum autonomen Fahren führte schon 2020 zu einem Streit in der Regierungskoalition. In einem Entwurf von Anfang Oktober 2020 war eine Datenübermittlungsregelung eingefügt worden, die vom Bundesjustizministerium aus Datenschutzgründen zurückgewiesen wurde.

Kritik des Bundesjustizministeriums

In der entsprechenden Begründung hieß es, dass es sich auch um „sensible personenbezogene Datenkategorien [handele], die beim autonomen Fahren anfallen, wie etwa die Positionsdaten des Fahrzeugs, aus denen sich Bewegungsprofile der Fahrzeuginsassen erstellen lassen würden“. Deshalb dürfe es keine gesetzliche und generelle Datenübermittlungsregelung geben.

Vor allem kritisiert das Ministerium aber, dass aus dem Entwurf kein Schutz der Daten hervorgehe. Der Halter müsse die Datenhoheit über seine Daten behalten können, was unter dem Entwurf nicht möglich ist. Der Entwurf ermögliche es nämlich, dass das Bundeskriminalamt und der Verfassungsschutz über das Kraftfahrtbundesamt, an das die Daten übermittelt werden würden, auf die Daten zugreifen könnte. Solange der Halter nicht die Datensouveränität innehat, sieht das Ministerium hier einen Verstoß gegen die DSGVO.

Diese Datensouveränität des Halters müsse sich auch auf Daten erstrecken, die der Hersteller erhebt, um zum Beispiel den Verschleiß von Fahrzeugteilen zu ermitteln. Es sei für den Hersteller nicht möglich, diese Datenhoheit über AGB auszuschließen. Stattdessen müsse der Hersteller nicht nur den Zugriff des Halters auf die Daten, sondern auch eine Übermittlung an Datentreuhänder über offene Schnittstellen ermöglichen.

Daten hingegen, die keinen Rückschluss auf die Person zulassen, sollen an zentrale Anlaufstellen übermittelt werden können, wo sie zum Beispiel zur Verkehrsplanung genutzt werden können.

Gegenstimmen

Die Reaktion des Bundesjustizministeriums wurde von anderen Seiten als verwunderlich angesehen, da es in den ersten kommenden Jahren wohl nur um kommerzielle Mobilitätsdienstleister als Betreiber von autonomen Fahrzeugen gehe. Es sei nicht ersichtlich, wie aus den Standortdaten von öffentlichen Verkehrsmitteln zum Beispiel die Bewegungsprofile einzelner Personen zu erkennen seien.

Von anderen Seiten wird es als nicht nachvollziehbar bezeichnet, warum das Justizministerium das Problem der Datenhoheit in einem Gesetz über das autonome Fahren regeln will. Bisher wird dadurch nur eine Blockade des Gesetzesentwurfes bewirkt, wodurch eine Durchsetzung in dieser Legislaturperiode unwahrscheinlich wird. Die Vision, dass Deutschland das erste Land wird, dass fahrerlose Kfz im Regelbetrieb erlaubt, rückt damit in weite Ferne.

Dieser Streit wird natürlich auch von der Autoindustrie stark kritisiert. Auch hier wird befürchtet, dass damit der technische Fortschritt enorm gebremst und Deutschland eine mögliche führende Rolle im autonomen Fahren verwehrt wird.

KI-Datenstrategie von VW

VW-Konzernchef Herbert Diess ist der Überzeugung, dass autonomes Fahren mit klaren Verbraucherrechten gekoppelt werden muss. Bezüglich der vielfachen Datenschutzfragen fordert er ein sensibles Vorgehen. Dabei müsse aber unterschieden werden zwischen Art der Daten, den jeweiligen Anwendungsbezügen und den Bedingungen des jeweiligen Marktes.

VW setzt auch angesichts der politischen Uneinigkeiten in Deutschland zunächst auf eine mittelfristige Durchsetzung der Technik.

Äußerungen von Daimler

Daimler-Chef Ola Källenius sieht in den neuen Diensten sogar eine Chance, Datenschutzbedenken entgegenzutreten. Dabei müsse schon für jetzige Angebote auf Transparenz gesetzt werden. Er betont dabei, dass es für den Fahrer immer möglich sein soll, Dienste nach eigenen Vorstellungen ein- und auszuschalten. So könne man durch das Abschalten des Fahrzeugtrackings auch ganz „privat“ fahren.

Auswirkungen der KI-Verordnung auf autonomes Fahren

Die EU-Verordnung über künstliche Intelligenz (KI-Verordnung oder AI Act) hat erhebliche Auswirkungen auf die Entwicklung und den Einsatz autonomer Fahrsysteme. Autonome Fahrsysteme werden als Hochrisiko-KI-Systeme eingestuft und unterliegen damit strengen Anforderungen an Transparenz, Sicherheit und menschliche Aufsicht.

Fahrzeughersteller müssen ein umfassendes Risikomanagementsystem implementieren, das die Risiken des KI-Systems während seines gesamten Lebenszyklus identifiziert und bewertet. Zudem müssen die für das Training der KI verwendeten Datensätze bestimmte Qualitätsanforderungen erfüllen, um Verzerrungen und diskriminierende Ergebnisse zu vermeiden.

Die KI-Verordnung stärkt damit die datenschutzrechtlichen Anforderungen an autonome Fahrsysteme erheblich. Hersteller müssen nicht nur die Anforderungen der DSGVO erfüllen, sondern zusätzlich die spezifischen Vorgaben der KI-Verordnung beachten. Dies erhöht die Compliance-Anforderungen, bietet aber auch die Chance, das Vertrauen der Verbraucher in autonome Fahrtechnologien zu stärken.

Aktuelle Entwicklungen im Rechtsrahmen für autonomes Fahren

Seit den ersten Debatten um den Gesetzentwurf hat sich die rechtliche Landschaft für autonomes Fahren in Deutschland weiterentwickelt. Das Gesetz zum autonomen Fahren (StVG-Änderungsgesetz) wurde schließlich verabschiedet und ermöglicht den Betrieb autonomer Fahrzeuge der Stufe 4 in festgelegten Betriebsbereichen. Damit ist Deutschland eines der ersten Länder weltweit, das einen umfassenden Rechtsrahmen für autonomes Fahren geschaffen hat.

Die datenschutzrechtlichen Bedenken wurden dabei teilweise berücksichtigt. So sieht das Gesetz vor, dass die bei der autonomen Fahrt erhobenen Daten grundsätzlich im Fahrzeug verbleiben und nur unter bestimmten Voraussetzungen an Dritte übermittelt werden dürfen. Dennoch bleiben zahlreiche Fragen offen, insbesondere hinsichtlich der Datenhoheit und der Speicherfristen.

Verantwortlichkeit bei Unfällen mit autonomen Fahrzeugen

Eine der zentralen ungeklärten Fragen betrifft die Verantwortlichkeit bei Unfällen, die durch autonome Fahrsysteme verursacht werden. Wer trägt die datenschutzrechtliche Verantwortung, wenn ein autonomes Fahrzeug in einen Unfall verwickelt ist und dabei personenbezogene Daten von Unfallbeteiligten oder Zeugen erfasst werden?

Nach dem Straßenverkehrsgesetz haftet grundsätzlich der Halter des Fahrzeugs. Für die datenschutzrechtliche Verantwortlichkeit kommt es jedoch darauf an, wer über die Zwecke und Mittel der Datenverarbeitung entscheidet. Bei Fahrzeugen der Stufe 4 liegt die Steuerung beim technischen System, sodass eine Verantwortlichkeit des Herstellers naheliegt.

Die Bundesregierung hat diese Problematik erkannt und im Gesetz zum autonomen Fahren Regelungen zur Datenverarbeitung aufgenommen. Danach ist der Betreiber des autonomen Fahrzeugs verpflichtet, bestimmte Fahrdaten zu speichern, um bei Unfällen den Hergang rekonstruieren zu können. Diese Speicherpflicht steht jedoch in einem Spannungsverhältnis zum Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO.

Datenschutz-Folgenabschätzung bei vernetzten Fahrzeugen

Die DSGVO schreibt in Art. 35 vor, dass eine Datenschutz-Folgenabschätzung durchzuführen ist, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Bei autonomen Fahrzeugen, die systematisch den öffentlichen Raum überwachen und Bewegungsprofile erstellen können, ist dies regelmäßig der Fall.

Die Datenschutz-Folgenabschätzung muss dabei die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung berücksichtigen. Für Fahrzeughersteller bedeutet dies, dass sie bereits in der Entwicklungsphase den Grundsatz des Datenschutzes durch Technikgestaltung (Privacy by Design) nach Art. 25 DSGVO beachten müssen.

Technische Lösungsansätze für den Datenschutz im autonomen Fahren

Um den datenschutzrechtlichen Anforderungen gerecht zu werden, arbeiten Hersteller und Forschungseinrichtungen an verschiedenen technischen Lösungen. Ein vielversprechender Ansatz ist die sogenannte Edge-Verarbeitung, bei der die von Sensoren erfassten Daten direkt im Fahrzeug verarbeitet und ausgewertet werden, ohne sie an externe Server zu übermitteln.

Ein weiterer Ansatz ist die Anonymisierung der erfassten Daten in Echtzeit. Dabei werden Gesichter und Nummernschilder automatisch unkenntlich gemacht, bevor die Daten gespeichert oder weitergeleitet werden. Diese Technik ist jedoch noch nicht ausgereift genug, um eine vollständige Anonymisierung in allen Situationen zu garantieren.

Außerdem wird an Konzepten für dezentrale Datenspeicherung gearbeitet, bei denen der Fahrzeughalter die volle Kontrolle über seine Daten behält. Solche Ansätze entsprechen der Forderung des Bundesjustizministeriums nach Datensouveränität des Halters.

Haftungsfragen bei datenschutzrelevanten Vorfällen

Neben den datenschutzrechtlichen Fragen stellen sich auch Haftungsfragen, wenn es bei autonomen Fahrzeugen zu datenschutzrelevanten Vorfällen kommt. Wer haftet, wenn ein autonomes Fahrzeug unbefugt Daten erfasst oder weiterleitet? Ist es der Hersteller, der Betreiber oder der Halter des Fahrzeugs?

Nach der DSGVO ist der Verantwortliche für die Einhaltung der datenschutzrechtlichen Vorschriften zuständig. Bei autonomen Fahrzeugen kann dies sowohl der Hersteller als auch der Halter sein, je nachdem, wer über die Zwecke und Mittel der Datenverarbeitung entscheidet. In vielen Fällen wird eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegen.

Die DATUREX GmbH unterstützt Unternehmen bei der datenschutzkonformen Gestaltung von Fahrzeugflotten und vernetzten Mobilitätslösungen. Als externer Datenschutzbeauftragter helfen wir Ihnen, die komplexen Anforderungen des Datenschutzrechts im Bereich autonomes Fahren zu erfüllen.