Datenschutz-Prinzipien für vernetzte Fahrzeuge I. Ziel der Prinzipien Die Anbindung des Fahrzeugs an das Internet sowie die Vernetzung der Verkehrsteilnehmer untereinander wird in den kommenden Jahren zu Veränderungen führen, die im allgemeinen gesellschaftlichen Interesse liegen. Die damit einhergehenden technischen Innovationen der Automobilindustrie haben das Potential für weitere Fortschritte hinsichtlich Umweltfreundlichkeit, Komfort und Erhöhung der Verkehrssicherheit. So können verschiedene Informationsquellen im Fahrzeug und in seiner Umgebung miteinander verknüpft werden, um eine effiziente Steuerung des Verkehrsflusses und eine Verbesserung der Verkehrssicherheit zu ermöglichen. Basierend auf den Wünschen und Erwartungen der Kunden 1 entstehen darüber hinaus neue Fahrzeugfunktionen und Verkehrstelematikanwendungen (Online- Dienste), z.b. im Bereich Komfort, Service und Multimedia. Aufgrund dieser fortschreitenden Vernetzung und den hiermit verbundenen neuen Diensten steigen die Anforderungen an den Schutz der zu verarbeitenden Daten sowie an den verantwortungsbewussten Umgang mit diesen Daten. Vor dem Hintergrund ihrer Verantwortung und einer vertrauensvollen Kundenbeziehung formulieren die Mitglieder des VDA Prinzipien für eine sichere und transparente Datenverarbeitung. Damit möchten sie die Kunden auch bei der Wahrnehmung der eigenen Verantwortung für den Schutz von Daten unterstützen. Die Hersteller und Zulieferer im VDA berücksichtigen die hier vorgelegten Prinzipien als Grundsätze des privacy by design bei der Entwicklung und dem Betrieb dieser Innovationen. II. Anwendungsbereich der Prinzipien Der Anwendungsbereich dieser Prinzipien erstreckt sich auf die Innovationen in vernetzten Fahrzeugen, wie z.b. neue Fahrerassistenzsysteme und Fahrzeugfunktionen, sowie auf die neuen mobilen Online-Dienste, welche die Mitglieder im VDA verantwortlich in ihrem Portfolio anbieten. Zur Umsetzung und Optimierung der Kundenwünsche arbeiten Mitglieder des VDA im Rahmen dieser Innovationen teilweise auch mit Unternehmen aus der Informationstechnologie zusammen. Auch in diesen Kooperationen setzen sich die Mitgliedsunternehmen des VDA für die Beachtung dieser Prinzipien ein. Bieten andere Unternehmen, mit denen die VDA-Mitglieder kooperieren, eigene Dienste an, informieren die Mitgliedsunternehmen den Kunden an den entsprechenden Schnittstellen, wer Diensteanbieter und ggfs. Vertragspartner ist. Soweit es sich um eigene Angebote anderer Unternehmen handelt, unterliegen diese der Verantwortung und 1 Der Begriff des Kunden wird einheitlich verwendet, ist weit zu verstehen und umfasst je nach Kontext Fahrer, Halter und Nutzer. 1
den Nutzungsbedingungen des jeweiligen Anbieters. Der Kunde soll entscheiden können, in welchem Umfang er die Angebote Dritter nutzen möchte. In Ergänzung zu den bestehenden gesetzlichen Regelungen werden die Mitglieder des VDA die nachfolgend aufgeführten Prinzipien berücksichtigen. III. VDA-Prinzipien 1. Transparenz Die Mitglieder des VDA streben eine angemessene Aufklärung über die Daten im vernetzten Fahrzeug und deren Verwendung an. Der VDA hat zur Kategorisierung der Daten im vernetzten Fahrzeug anliegende Landkarte erstellt (s. Anlage). Danach sind folgende Kategorien zu unterscheiden: - Daten aufgrund gesetzlicher Regelung - moderne Daten-Dienste aufgrund vertraglicher Regelung - kundeneigene/eingebrachte Daten - im Fahrzeug erzeugte, dem Fahrer angezeigte Kfz-Betriebswerte - im Fahrzeug erzeugte aggregierte Fahrzeug-Daten - im Fahrzeug erzeugte technische Daten Bei den im Fahrzeug erzeugten Daten bordeigener Systeme handelt es sich primär um technische Daten, die System- und Umgebungszustände abbilden, um entsprechende Fahrzeugfunktionen auslösen zu können. Die Daten sind teilweise flüchtig und werden teilweise punktuell als Momentaufnahme, z.b. für eine Störungsmeldung oder zur Anzeige von Betriebswerten, gespeichert. Zur Unterstützung von Service und Diagnose werden sie in aggregierter Form, z.b. als Fehlercodes, gespeichert. Die für den Service relevanten Daten können über Schnittstellen im Fahrzeug ausgelesen, von geschulten Technikern zur Diagnose und Behebung etwaiger Funktionsstörungen oder vom Hersteller zur Analyse und zur weiteren Verbesserung von Fahrzeugfunktionen verarbeitet und genutzt werden. Über den Service kann der Kunde Informationen über die Diagnosedaten erhalten. Die Mitglieder des VDA ermöglichen den Kunden, sich über Kategorien der verarbeiteten Fahrzeugdaten und deren Zweck zu informieren. Dies geschieht beispielsweise über Online-Dienste oder Portale oder Benutzerhandbücher, aber auch über Funktionsanzeigen im Fahrzeug selbst, so dass der Kunde einen Überblick über aktive Funktionen des vernetzten Fahrzeugs gewinnen kann. Wenn die Mitglieder des VDA personenbezogene Daten in Zusammenhang mit dem vernetzten Fahrzeug verarbeiten, stellen sie sicher, dass der Kunde seine Auskunftsrechte wahrnehmen kann. 2
2. Selbstbestimmung Die Mitglieder des VDA streben an, dass der Kunde durch verschiedene Optionen über die Verarbeitung und Nutzung personenbezogener Daten selbst bestimmen kann. Diese Optionen werden die Mitglieder des VDA durch vertragliche Regelungen, Einwilligungen oder technische Features im Rahmen gegebener Ausstattungs- und Auswahlmöglichkeiten, über die der Kunde Dienste aktivieren und deaktivieren kann, ermöglichen, es sei denn, die Verarbeitung ist gesetzlich vorgeschrieben. Kann der Kunde, z.b. bei Infotainment-Systemen, selbst Daten eingeben, verwalten und nutzen, so muss er sie auch löschen können. Durch entsprechende Features, die auch eine Löschfunktion beinhalten sollen, ermöglichen die Mitglieder des VDA die Selbstbestimmung der Kunden. Neben technischen Features werden vertragliche Datenschutz-Regelungen und Einwilligungserklärungen angeboten. Dies gilt auch für Apps und internetbasierte Dienste, die von den Mitgliedern des VDA selbst angeboten werden. Für personenbezogene Daten auf von den VDA-Mitgliedsunternehmen angebotenen Kommunikationsplattformen sind diese anbietenden Unternehmen datenschutzrechtlich verantwortlich. Für die Nutzung von Diensten, die von Dritten angeboten werden, liegt die datenschutzrechtliche Verantwortung bei dem jeweiligen Anbieter und ggfs. bei dem Kunden. Die VDA-Mitgliedsunternehmen wollen die Kommunikation des Fahrzeugs mit intelligenten Verkehrssystemen ermöglichen. Die Nutzung dieser Daten soll nach Möglichkeit anonym erfolgen. Ist dies nicht oder nur pseudonym möglich, werden die Mitglieder dem Kunden Entscheidungsmöglichkeiten entweder über die Nutzung des Dienstes über technische Features oder über Einwilligungen oder vertragliche Regelungen anbieten, die der Kunde jederzeit rückgängig machen kann, es sei denn, die Funktion ist gesetzlich vorgeschrieben. Auf Wunsch des Kunden können Daten auch als Basis für weitere optionale Dienstleistungen dienen. Eine Übermittlung der Daten an Dritte kann grundsätzlich nur aufgrund gesetzlicher Erlaubnis oder aufgrund vertraglichen Einverständnisses mit dem Kunden unter Berücksichtigung des Datenschutzrechts erfolgen. 3. Datensicherheit Die Mitglieder des VDA streben an, die ausgeprägte Sicherheitskultur der Automobilindustrie auch im vernetzten Fahrzeug umzusetzen. Mit intelligenten technischen Systemen können die Verkehrsteilnehmer heute vor vielen Gefahren wie Ausbrechen des Fahrzeugs, Sekundenschlaf und Auffahrunfällen besser geschützt werden. Auf dem gleichen technischen Niveau wollen die Mitgliedsunternehmen die Kunden vor Manipulationen und Missbrauch der für diese Systeme erforderlichen Daten schützen. Der Schutz der Daten bei vernetzten Fahrzeugen erfordert die ständige aktive Weiterentwicklung der Datensicherheit, orientiert an der fortschreitenden IT-technischen Entwicklung. 3
Die VDA-Mitgliedsunternehmen setzen zum Schutz der im Fahrzeug erzeugten Daten geeignete technische und organisatorische Maßnahmen um. Die VDA- Mitglieder setzen sich dafür ein, dass für die Soft- und Hardwarearchitekturen der Fahrzeuge sowie Remote-Zugriffe auf das Fahrzeug über die Telekommunikationsnetze Standards etabliert und fortentwickelt werden, die ein hohes technisches Sicherheitsniveau fortlaufend gewährleisten. Dazu gehört auch der Einsatz geeigneter kryptografischer Verfahren. Die Mitgliedsunternehmen sehen sich in der Verantwortung, den Schutz der im Fahrzeug erzeugten Daten und der den Kunden unterstützenden Daten sicher zu stellen. Diese Prinzipien zur Datensicherheit finden sowohl auf die technischen Daten als auch die personenbezogenen Daten Anwendung. 03. November 2014 Verband der Automobilindustrie e.v. Behrenstrasse 35 10117 Berlin Anlage (Landkarte der Datenkategorien) 4
Landkarte der Daten-Kategorien beim vernetzten Fahrzeug Daten-Kategorien keine gering mittel hoch A. Die Zweckbindung wird durch ein Gesetz geregelt OBD-II e-call (EU) event data recorder (USA) B. Moderne Daten-Dienste anonymisierte Dienste car to x C. Kundeneigene / eingebrachte Daten D. Im Fahrzeug erzeugte, dem Fahrer angezeigte Kfz-Betriebswerte E. Im Fahrzeug erzeugte aggregierte Fahrzeugdaten F. Im Fahrzeug erzeugte technische Daten z.b. Füllstände, Verbrauch pseudonymisierte Dienste car to x Infotainment- und Komforteinstellungen, z.b.: Sitzeinstellung, Lautstärke z.b. Fehlerspeicher Anzahl Fehlfunktionen, Durchschnittsverbrauch, Durchschnittsgeschwindigkeit z.b. Sensor-Daten, Aktuator-Daten, Einspritzverhalten des Motors, Schaltverhalten des Automatikgetriebes Prädiktive Diagnose, remote Anzeige (z.b. Elektrofahrzeuge) Navigationsziele Bewegungsprofil; Remote Ortung Adressbuch/ Telefon personalisierter Zugriff auf Dienste Dritter Rahmenbedingungen sollten kundenorientierte und praxistaugliche Lösungsansätze ermöglichen Die im Fahrzeug erhobenen Daten sollten soweit möglich technische Daten sein und bleiben Bei einem Teil dieser Daten kann ein überwiegendes berechtigtes Interesse der verantwortlichen Stellen bezogen auf Fahrzeug- und Produktsicherheit bestehen Eine Kombination von Daten kann zu führen.