Dr. Oliver Brockmann, Dr. Michael Nugel
Rz. 31
Diese technisch fast unbegrenzten Möglichkeiten sind aber in den rechtlichen Rahmen des Datenschutzes zu fassen. Dies gilt schon für die entscheidende Prüfung vorab, ob und in welchem Umfang überhaupt personenbezogene Daten betroffen sind. Diesem schließt sich dann die Frage an, unter welchen Voraussetzungen das Verwenden dieser Daten rechtmäßig ist und welche Rechte dem Betroffenen, auch ggf. gegenüber dem Fahrzeughersteller, zustehen können.
I. Grundlagen des Datenschutzes
Rz. 32
Soweit die in den Fahrzeugen verwendeten Daten als personenbezogen einzustufen sind, unterliegt das Auslesen und Verwerten dieser Informationen dem Datenschutzrecht.
1. Vorrangige Spezialregelungen
Rz. 33
Seit dem 25.5.2018 entfaltet die DSGVO als europaweit einheitliches Datenschutzrecht unmittelbare Wirkung. In ihrem Anwendungsbereich gibt es weiterhin ein Verbot mit Erlaubnisvorbehalt als Ausgangspunkt jeder Rechtmäßigkeitsprüfung. Im Bereich des Auslesens von Fahrzeugdaten ist jetzt zugunsten der Betroffenen zu beachten, dass ihre Rechte nach den Art. 12 ff. DSGVO verstärkt und ausgebaut worden sind. Dies gilt insbesondere für den wichtigen Grundsatz des Transparenzgebots nach Art. 12 DSGVO, der bereits jetzt bei dem Auslesen von Fahrzeugdaten in der Diskussion eine große Rolle spielt. Auch die erweiterten Auskunftsrechte nach Art. 15 DSGVO haben gerade in diesem Bereich im ganz erheblichen Umfang Auswirkungen auf die Grundlagen für ein Auslesen der Fahrzeugdaten.
2. Personenbezug der Daten
Rz. 34
Die Anwendbarkeit der datenschutzrechtlichen Vorschriften hängt davon ab, ob es sich um sog. personenbezogene Daten handelt, die ausgelesen werden sollen. Nach Art. 4 Nr. 1 DSGVO sind personenbezogenen Daten alle Information, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Nach dem Erwägungsgrund 26 zur DSGVO sind hierfür alle Mittel zu berücksichtigen, die von dem Verantwortlichen oder auch einer anderen Person nach allgemeinem Ermessen wahrscheinlich eingesetzt werden. Nach den Vorgaben des EUGH ist dabei insbesondere zu prüfen, über welche rechtliche Mittel verfügt wird, um sich die Daten zugänglich zu machen. Dabei haben jedoch Mittel bleiben außer Betracht zu bleiben, die einen unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskräften erfordern.
Folgerichtig ist das Abstellen auf das Wissen eines jeden beliebigen Dritten nicht maßgeblich, sondern zumindest eine Beteiligung mit faktischen und rechtlichen Möglichkeiten am Identifizierungsprozess erforderlich. Im Rahmen einer konkreten Betrachtung ist daher auf die faktischen und rechtlichen Möglichkeiten der Person abzustellen, welche als verantwortliche Stelle eingestuft werden soll und über Mittel zur Identifikation verfügt. Folgerichtig ist dann ein personenbezogenes Datum i.d.R. anzunehmen: So hat beispielsweise des OVG Münster bei einem Kfz Kennzeichen einen solchen Personenbezug bejaht, wenn es nur möglich erscheint, dass der Verantwortliche für eine Datenverarbeitung einen Ersatzanspruch gegen den Halter dieses Fahrzeugs hat und deswegen über eine Auskunft nach § 39 StVG seine Identität erfahren kann.
Spätestens wenn es bei dem Auslesen von Fahrzeugdaten um die Aufklärung eines Unfallgeschehens wegen möglicher Ersatzansprüche geht, handelt es sich nach diesem Maßstab um personenbezogene Daten. Diese ermöglichen sowohl einen Bezug zum Halter als auch zu dem ggf. personenverschiedenen Fahrer. Soweit es um die Aufklärung seines konkreten Fahrverhaltens geht wird dieser dann sogar allein als datenschutzrechtlich betroffene Person einzustufen sein. Gleiches gilt für Insassen, wenn es z.B. bei einer weiteren Prüfung auf das Anlegen eines Sicherheitsgurts und die dazu im Fahrzeug enthaltenen Daten ankommt. Dabei hat es auch derjenige, der eine Auskunft für sich selber verfolgt, in der Hand, spätestens durch die Angabe seiner Person als Nutzer des Kfz erst einmal lediglich fahrzeugbezogene Daten mit dem notwendigen Personenbezug zu versehen und dadurch ein personenbezogenes Datum zu schaffen.
Rz. 35
Muster 18.6: Einstufung als personenbezogene Daten
Muster 18.6: Einstufung als personenbezogene Daten
Vorliegend handelt es sich um personenbezogene Daten mit der Folge, dass der Anwendungsbereich der DSGVO eröffnet ist. Nach Art. 4 Nr. 1 DSGVO sind personenbezogenen Daten alle Information, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Nach dem Erwägungsgrund 26 zur DSGVO sind hierfür alle Mittel zu berücksichtigen, die von dem Verantwortlichen oder auch einer anderen Person nach allgemeinem Ermessen wahrscheinlich eingesetzt werden. Dabei ist dabei insbesondere zu prüfen, über welche rechtliche Mittel verfügt wird, um sich die Daten zugänglich zu machen (EUGH, Urt. v. 19.10.2016 – C-582/14 = NJW 2016, 3579). Maßgeblich dafür ist wiederum, ob die im konkreten Einzelfall die Daten verwendende Person in der Lage ist, einen Bezug zur betroffenen Person – zumindest mit vertretbarem wirtschaftlichem und zeitlichem Aufwand – herzustellen (vgl. LG Köln, Urt. v. 24.4.2014 – 6 S 248/13 = ...