Sie verwenden einen veralteten Browser. Um im Internet auch weiterhin sicher unterwegs zu sein, empfehlen wir ein Update.

Nutzen Sie z.B. eine aktuelle Version von Edge, Chrome oder Firefox

30. November 2023

Der Personenbezug von Daten

Wann ist die Fahrzeug-Identifikationsnummer personenbezogen?
Bild: iStock.com / Nataliya Dmytrenko
3,67 (3)
Inhalte in diesem Beitrag
Wann haben Daten diese Eigenschaft, wann nicht?
Die DSGVO gilt nur für personenbezogene Daten. Wann aber sind Daten personenbezogen? Steht der Name der betroffenen Person direkt dabei, ist der Personenbezug klar. Was, wenn das nicht der Fall ist? Der Europäische Gerichtshof (EuGH) hat sich dazu geäußert. Seine Antwort fällt differenziert aus. Mit der „typisch deutschen“ Diskussion, ob der Personenbezug „absolut“ oder „relativ“ zu verstehen ist, hält er sich dabei nicht auf.

➧ Was ist die Fahrzeug-Identifikationsnummer?

Manchmal tauchen Grundsatzfragen des Datenschutzes dort auf, wo man kaum mit ihnen rechnet. So auch im vorliegenden Fall. Sicher können Sie schnell erraten, was mit dem „alphanumerischen Code, den der Hersteller einem Fahrzeug zu dem Zweck zuweist, dass jedes Fahrzeug einwandfrei identifiziert werden kann“, gemeint ist. Richtig: die Fahrzeug-Identifikationsnummer! Sie identifiziert jedes Kraftfahrzeug und jeden Kraftfahrzeuganhänger eindeutig. Der Hersteller vergibt sie bei der Herstellung des Kraftfahrzeugs oder Anhängers. Sie ist dort an bestimmten Stellen in das Metall eingeprägt.

➧ Wozu dient die Fahrzeug-Identifikationsnummer?

Jeder Hersteller von Fahrzeugen betreibt eine Fahrzeug-Datenbank. Sie enthält für jede Fahrzeug-Identifikationsnummer zahlreiche Informationen. Manche dieser Informationen brauchen Kfz-Werkstätten für die regelmäßigen Kundendienste bei Fahrzeugen und für Reparaturen.

Von besonderem Interesse sind dabei „Fahrzeug-OBD-Informationen“. Sie stammen aus dem „On-Board-Diagnosesystem“ (OBD-System“) und dokumentieren Fehlermeldungen. Mit ihrer Hilfe kann ein Fachmann erkennen, warum etwas am Fahrzeug nicht funktioniert. Wenn Werkstätten diese Informationen „auslesen“, wissen sie meist schnell, wie sich ein Fehler beheben lässt.

➧ Wer hat Zugriff auf die Datenbank des Fahrzeugherstellers?

Kein Fahrzeughersteller hat ein Problem damit, seinen Vertragshändlern und Vertragswerkstätten Zugriff auf die Datenbank zu gewähren Schließlich will er, dass diese Unternehmen, die mit ihm verbunden sind, Aufträge erhalten und daran Geld verdienen. Deutlich zögerlicher hatte sich im vorliegenden Fall der Fahrzeughersteller Scania gezeigt, als es um den Zugriff „unabhängiger Wirtschaftsakteure“ auf die Scania-Datenbank ging.

➧ Wie sieht es dabei mit Händlern von Autoteilen aus?

Unter den Begriff der „unabhängigen Wirtschaftsakteure“ fallen nach einer Definition in einer Verordnung der Europäischen Union (EU) vor allem die sogenannten „freien Werkstätten“, aber auch andere Akteure wie Händler von Autoteilen. Scania erlaubte den Zugriff auf seine Datenbank nur freien Kfz- Werkstätten und auch ihnen nur dann, wenn sie anhand der Zulassungspapiere oder der Angaben auf dem Fahrgestell eines Fahrzeugs die Nummer ermittelt hatten und sie dann manuell eingaben. Für Händler von Autoteilen gab es solche Ausnahmen nicht.

➧ Wozu ist eine Gesamtliste aller Identifikationsnummern nötig?

Gegenüber allen „unabhängigen Wirtschaftsakteuren“ weigerte sich Scania, ihnen eine aktuelle Liste aller Fahrzeugidentifikationsnummern bereitzustellen, die in der Scania-Datenbank enthalten sind. Ohne eine solche Gesamtliste sind keine „maschinengesteuerten Suchanfragen“ möglich. Möglich sind dann allenfalls Suchanfragen mit manueller Eingabe der Identifikationsnummer. Solche manuellen Anfragen sind deutlich aufwendiger und auch fehleranfälliger als maschinelle Anfragen.

In den geschilderten Einschränkungen sah der Gesamtverband Autoteile-Handel e.V. eine unzulässige Diskriminierung seiner Mitglieder. Sie handeln alle mit Autoteilen. Um relativ bequem herausfinden zu können, welche Ersatzteile ein ganz bestimmtes Fahrzeug benötigt, möchten sie die gleichen Zugriffsmöglichkeiten auf die Scania-Datenbank wie Vertragswerkstätten. Sie wollen also zum einen überhaupt einen Zugriff auf die Datenbank. Zum anderen wollen sie die eben angesprochene Gesamtliste aller darin enthaltenen Identifikationsnummern, um ihre Suchanfragen maschinegesteuert vornehmen zu können.

➧ Wo kommt endlich der Datenschutz ins Spiel?

Die Frage, welche Daten ein Fahrzeughersteller „unabhängigen Wirtschaftsakteuren“ wie Ersatzteilhändlern zur Verfügung stellen muss, beantwortet eine eigene EU-Verordnung. Sie befasst sich mit der Pflicht von Fahrzeugherstellern, Wartungsinformationen zur Verfügung zu stellen. Danach müssten auch Ersatzteilhändler die Gesamtliste der Fahrzeug-Identifikationsnummern eines Fahrzeugherstellers erhalten.

Diese Verordnung trifft allerdings keine Regelungen zum Datenschutz. Dies bedeutet: Sollte es sich bei der Fahrzeug-Identifikationsnummer um ein personenbezogenes Datum handeln, wäre zusätzlich anhand der Datenschutz-Grundverordnung (DSGVO) zu prüfen, ob die Herausgabe einer Liste dieser Nummern datenschutzrechtlich zulässig ist.

Datenschutz-Management kompakt online

Datenschutz-Management kompakt ist die umfassende Lösung für die effiziente und rechtssichere Umsetzung der gesetzlichen Datenschutz-Vorgaben.

Profitieren Sie von den Erläuterungen und Umsetzungstipps zahlreicher erfahrener Datenschutzbeauftragter und Fachanwälten zum Datenschutzrecht.

 

➧ Wann ist die Identifikationsnummer personenbezogen?

Der Tradition des Datenschutzrechts in Deutschland entspricht es, auf die Frage nach dem Personenbezug von Fahrzeug-Identifikationsnummern eine allgemeingültige Antwort zu erhalten, die für alle Fälle gilt. Anders gesagt: Erwartet wird eine Aussage von der Art, dass Fahrzeug-Identifikationsnummern entweder immer personenbezogen sind oder eben nie. Auf einen solchen Ansatz lässt sich der EuGH jedoch nicht ein. Er differenziert vielmehr wie folgt:

  • Für sich genommen stellt eine Fahrzeug-Identifikationsnummer kein personenbezogenes Datum dar.
  • Sie kann zum personenbezogenen Daten werden, wenn derjenige, der Zugriff auf sie hat, über die nötigen Zusatzinformationen verfügt, mit deren Hilfe er sie einer natürlichen Person zuordnen kann.
  • Für andere, die nicht über diese nötigen Zusatzinformationen verfügen, ist sie weiterhin nicht personenbezogen.

Mit anderen Worten: Es kommt auf die Umstände des Einzelfalls an, ob ein Personenbezug vorliegt oder nicht. Abstrakte „Ja/Nein- Antworten“ sind dagegen nicht möglich.

➧ Was bringt der Gegensatz „absoluter / relativer Ansatz“?

Vor allem in Deutschland wollen manche aus diesen Ausführungen des EuGH ableiten, dass er bezüglich der Frage, ob Daten als personenbezogen oder als anonym anzusehen sind, von einem „relativen“ Ansatz ausgehe. Mit anderen Worten: Ein- und dieselben Daten können aus der Sicht des einen, der entsprechendes Zusatzwissen hat, personenbezogen sein, aus der Sicht eines anderen, der nicht über das erforderliche Zusatzwissen verfügt, dagegen anonym.

Das sieht der EuGH im Ergebnis tatsächlich so. Es ist aber darauf hinzuweisen, dass er die Begriffe „absolut“ und „relativ“ in diesem Zusammenhang nirgends verwendet, weder in der vorliegenden Entscheidung noch in den älteren Entscheidungen, auf die sie Bezug nimmt. Er nimmt vielmehr stets eine Einzelfallbetrachtung vor. Deshalb besteht die Gefahr, dass Einführung und Verwendung solcher Begriffe zu Schlussfolgerungen führen, die der EuGH gerade nicht ziehen würde. Sie bringen deshalb keinen Erkenntnisgewinn.

➧ Was folgt aus einem möglichen Personenbezug der Nummer?

Fahrzeughersteller wie Scania hatten wohl gehofft, dass die DSGVO „unabhängigen Wirtschaftsakteuren“ wie Ersatzteilhändlern den Zugriff auf die Fahrzeug-Identifikationsnummer nicht erlaubt, wenn diese Nummer personenbezogen ist. Diese Hoffnung zerstört der EuGH allerdings. Er weist auf Folgendes hin:

  • Für die Fälle, in denen die Fahrzeug- Identifikationsnummer personenbezogen ist, ist die DSGVO zu beachten.
  • Das betrifft alle Konstellationen, in denen ein Fahrzeug einer natürlichen Person gehört und diese natürliche Person in der Zulassungsbescheinigung für das Fahrzeug eingetragen ist. Sollte der Fahrzeugeigentümer dagegen eine juristische Person sein, fehlt es am Personenbezug und die DSGVO bleibt außer Betracht.
  • Die EU-Verordnung über die Bereitstellung von Wartungsinformationen erlegt Fahrzeugherstellern unter anderem die Pflicht auf, die Fahrzeug-Identifikationsnummer „unabhängigen Wirtschaftsakteuren“ wie Ersatzteilhändlern zur Verfügung zu stellen.
  • Diese Pflicht ist als „rechtliche Verpflichtung“ im Sinn von Art. 6 Abs. 1 Buchstabe c DSGVO anzusehen. Damit erlaubt die DSGVO kraft Gesetzes die Bereitstellung der Fahrzeug-Identifikationsnummer an „unabhängige Wirtschaftsakteure.“
  • Wegen dieser gesetzlichen Erlaubnis müssen Unternehmen wie Ersatzteilhändler dem Fahrzeugsteller keine Einzel-Einwilligung des Fahrzeughalters für den Zugriff auf diese Nummer nachweisen.

➧ Worin liegt die praktische Bedeutung des Urteils?

Für freie Händler von Auto-Ersatzteilen ist das Urteil von fast schon existenzieller Bedeutung. Es ermöglicht ihnen denselben Zugriff auf die Datenbanken von Autoherstellern, den an Hersteller gebundene Händler schon seit langem genießen. Dies führt zu einer wesentlich rationelleren Abwicklung von Anfragen, verbunden mit erheblichen Kosteneinsparungen und schnellerer Warenverfügbarkeit für die Kunden. Berücksichtigt man diese wirtschaftlichen Folgen, haben die Ausführungen des EuGH zur DSGVO in diesem Fall erhebliche praktische Konsequenzen.

➧ Wo ist das EuGH-Urteil zu finden?

Das Urteil des EuGH vom 9. November 2023 trägt das Aktenzeichen C-319/22. Es erging in einem Rechtsstreit zwischen dem Gesamtverband Autoteile-Handel e. V. gegen Scania CV AB. Abrufbar ist es beim EuGH unter https://curia.europa.eu/juris/liste.jsf?num=C-319/22.

Dr. Eugen Ehmann

Dr. Eugen Ehmann
Verfasst von
Dr. Eugen Ehmann
Dr. Eugen Ehmann
Dr. Eugen Ehmann ist ausgewiesener Fachmann auf dem Gebiet des Datenschutzes in Unternehmen & Behörden. Er ist Herausgeber eines renommierten DSGVO-Kommentars und Autor zahlreicher Beiträge in der Datenschutz PRAXIS sowie in vielen weiteren Datenschutz-Veröffentlichungen. Außerdem moderiert er seit 2003 die IDACON , den renommierten Datenschutz-Kongress.
2 Kommentare
1. Dezember 2023 | 8:04
Thorsten
Mehr anzeigen Weniger anzeigen
    Antwort der Redaktion
    8. Dezember 2023 | 7:18
    Die Redaktion (Antwortet auf Thorsten)
    Mehr anzeigen Weniger anzeigen
Vielen Dank! Ihr Kommentar muss noch redaktionell geprüft werden, bevor wir ihn veröffentlichen können.