Daten-Governance
Leitfaden für Daten-Governance und DSGVO im Autohaus
Ein Autohaus benötigt Kunden- und Fahrzeugkontext, um Menschen gut zu betreuen. Governance sorgt dafür, dass dieser Kontext zweckgebunden, korrekt, begrenzt, geschützt und nachvollziehbar ist.
Kurzantwort
Steuern Sie Autohausdaten nach ihrem Zweck. Ordnen Sie jedem Vertriebs-, Service-, Garantie-, Connected-Vehicle- und Marketingprozess seine Daten, Rechtsgrundlage, Rolle als Verantwortlicher oder Auftragsverarbeiter, Benutzer, Empfänger und Aufbewahrung zu. Benennen Sie fachlich Verantwortliche, begrenzen Sie Zugriffe, bewahren Sie Einwilligungs- und Quellenhistorie, unterstützen Sie Betroffenenrechte und testen Sie die Löschung. Behandeln Sie fahrzeuggenerierte Daten immer dann als potenziell personenbezogen, wenn sie mit Fahrer, Halter oder Benutzer verknüpft werden können.
1. Zwecke vor Systemen erfassen
Dieselbe Person kann Lead, Käufer, Kreditnehmer, Fahrzeugnutzer, Servicekunde, Beschwerdeführer oder Mitarbeiter sein. Dieselbe VIN kann in Bewertung, Zulassung, Finanzierung, Versicherung, Garantie, Reparatur, Pannenhilfe und vernetzten Diensten erscheinen. Ein reines Systeminventar zeigt nicht, ob eine Wiederverwendung rechtmäßig oder zu erwarten ist.
Erstellen Sie eine Verarbeitungskarte nach Zwecken. Erfassen Sie für jede Tätigkeit betroffene Personen, Datenkategorien, Quelle, Rechtsgrundlage, Empfänger, Übermittlungen, Aufbewahrung, Sicherheit, automatisierte Entscheidungen und Verantwortliche. Verknüpfen Sie sie gegebenenfalls mit dem Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30. Trennen Sie Daten, die zur Vertragserfüllung erforderlich sind, von optionalem Marketing und Analysen. Bündeln Sie keine sachfremden Zwecke in einer einzigen Einwilligung.
Die DSGVO verlangt Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Sicherheit und Rechenschaftspflicht. [1] Diese Grundsätze sind keine reinen Dokumentationspflichten. Sie sollten bestimmen, welche CRM-Felder Pflichtfelder sind, welche Rollen Kundenlisten exportieren dürfen und wann veraltete Lead-Daten entfernt werden.
2. Kunden- und Fahrzeugdaten im Kontext klassifizieren
Namen, persönliche E-Mail-Adressen, Telefonnummern, Unterschriften und Finanzdaten sind eindeutig personenbezogene Daten. Fahrzeugdaten erfordern eine Kontextanalyse. VIN, Kennzeichen, Standortverlauf, Fahrmuster, Servicehistorie oder fahrzeuginterne Kennungen können sich auf einen identifizierbaren Eigentümer, Halter, Fahrer oder Mitfahrer beziehen. Pseudonymisierung verringert das Risiko, nimmt Daten aber nicht zwangsläufig aus dem Geltungsbereich der DSGVO, wenn eine Reidentifizierung möglich bleibt.
Die Leitlinien des Europäischen Datenschutzausschusses zu vernetzten Fahrzeugen betonen, dass viele fahrzeuggenerierte Daten personenbezogen sind, und heben Standort-, biometrische und strafrechtsbezogene Daten im jeweiligen Kontext als besonders sensibel hervor. Sie bevorzugen, wo möglich, lokale Verarbeitung und die Kontrolle der Benutzer über die Erhebung. [2]
Klassifizieren Sie Felder nach Sensibilität und Zweck, nicht nach Anwendung. Datensatzinhalte können in einem Workflow gewöhnlich und in Kombination aufschlussreich sein. Freitextnotizen sind besonders riskant, weil Mitarbeiter dort Gesundheits-, Familien-, Finanz- oder Beschwerdedetails unstrukturiert eintragen können. Nutzen Sie Hinweise, Schulungen und eingeschränkte Felder, um unnötige Erhebungen zu verringern.
3. Rollen zwischen Händler, Gruppe, OEM und Lieferanten klären
Ein Händler ist für Vertriebs- und Serviceaktivitäten häufig Verantwortlicher, doch die Beziehungen unterscheiden sich. Ein OEM kann für Garantie oder vernetzte Dienste eigenständig Verantwortlicher, für eine gemeinsam festgelegte Kampagne gemeinsam Verantwortlicher sein oder Daten im Rahmen einer anderen definierten Vereinbarung erhalten. Ein DMS-Anbieter handelt bei gehosteten Händlerdaten üblicherweise als Auftragsverarbeiter, kann jedoch für die eigene Kontoverwaltung oder Sicherheitsprotokolle Verantwortlicher sein.
Übernehmen Sie eine Rollenbezeichnung aus einem Vertrag nicht ungeprüft. Klären Sie, wer über Zweck und wesentliche Mittel entscheidet, wer Betroffenenanfragen beantwortet, wer wen bei einer Verletzung benachrichtigt, welche Unterauftragsverarbeiter beteiligt sind und ob Daten zum Trainieren von Modellen oder für Kundenbenchmarks verwendet werden. Dokumentieren Sie an jeder Schnittstelle die Grundlage der Weitergabe und die Datenminimierung.
Der Zugriff auf Daten vernetzter Fahrzeuge überschneidet sich nun auch mit dem EU Data Act. Die unverbindlichen Automobil-Leitlinien der Europäischen Kommission von 2025 erläutern, wie Konzepte des Data Act auf Fahrzeugdaten anzuwenden sind, und betonen zugleich, dass die DSGVO weiterhin für personenbezogene Daten gilt. [3] Ein Recht auf Zugang zu oder Weitergabe von Produktdaten ist keine pauschale Erlaubnis, Datenschutzrecht zu ignorieren.
4. Rechtsgrundlage und Transparenz entlang der Customer Journey gestalten
| Aktivität | Mögliche zu prüfende Grundlage | Zentrale Kontrolle |
|---|---|---|
| Fahrzeuganfrage beantworten | Vorvertragliche Maßnahmen oder berechtigte Interessen | Daten begrenzen und Lead-Aufbewahrung festlegen |
| Verkauf und Rechnung abschließen | Vertrag und rechtliche Pflichten | Transaktion vom Marketing trennen |
| Serviceerinnerung | Je nach Sachverhalt Vertrag oder berechtigte Interessen | Erwartung, Widerspruchsmöglichkeit und korrekte Halterdaten |
| Werbekampagne | Einwilligung oder zulässiger nationaler E-Privacy-Weg | Kanalspezifische Präferenz und Nachweis |
| Vernetzte Diagnose | Zweckspezifische Bewertung | Benutzerinformation, Zugriff und Minimierung |
| Betrugs- oder Sicherheitsüberwachung | Berechtigte Interessen oder rechtliche Pflicht | Erforderlichkeit, Zugriff und begrenzte Aufbewahrung |
Diese Tabelle ist ein Ausgangspunkt und keine rechtliche Feststellung. E-Privacy- und Direktmarketingregeln unterscheiden sich nach Kanal und nationaler Umsetzung. Eine Einwilligung muss freiwillig, spezifisch, informiert, unmissverständlich und widerrufbar sein. Berechtigte Interessen erfordern eine Zweck-, Erforderlichkeits- und Interessenabwägung.
Stellen Sie abgestufte Hinweise zu sinnvollen Zeitpunkten bereit, nicht nur eine entfernte Datenschutzseite. Erläutern Sie wesentliche Verarbeitungen bei Anfrage, Probefahrt, Kauf, Service und App-Verbindung. Machen Sie Präferenzen leicht änderbar und übertragen Sie Widerrufe an jedes relevante Kampagnensystem.
5. Identität, Richtigkeit, Zugriff und Aufbewahrung kontrollieren
Kundenabgleich unterstützt Kontinuität, kann aber auch zwei Personen fälschlich zusammenführen. Nutzen Sie verifizierte Identifikatoren und Konfidenzstufen, prüfen Sie folgenreiche Zusammenführungen und führen Sie einen reversiblen Audit-Trail. Bewahren Sie auf, welche Quelle einen Wert geliefert hat. Ein Händler sollte erklären können, warum eine Person eine Nachricht erhalten hat, und einen Halterwechsel schnell korrigieren können.
Implementieren Sie rollenbasierten Zugriff und Funktionstrennung. Ein Verkäufer benötigt möglicherweise aktuelle Kontakt- und Geschäftsinformationen, aber keine uneingeschränkten Exporte oder Entgeltabrechnungsdaten. Das Gruppenreporting benötigt womöglich aggregierte Standortdaten statt Kundendetails. Prüfen Sie privilegierte Rollen und inaktive Konten. Protokollieren Sie Zugriffe auf hochriskante Datensätze und untersuchen Sie Massenexporte.
Legen Sie die Aufbewahrung nach Datensatz und Zweck fest. Steuerunterlagen, Verträge, Garantienachweise, erfolglose Leads, Gesprächsaufzeichnungen, Standortdaten und Trainingsstichproben für Modelle benötigen unterschiedliche Fristen. Berücksichtigen Sie Verjährungsfristen und rechtliche Aufbewahrungssperren und löschen oder anonymisieren Sie anschließend. Testen Sie Sicherungen und nachgelagerte Integrationen, damit eine Löschung im Frontend nicht nur kosmetisch ist.
6. Rechte, DSFA und Vorfälle operationalisieren
Richten Sie einen verifizierten Annahmeprozess für Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit ein. Suchen Sie anhand von Kunden- und Fahrzeugkennungen in CRM-, DMS-, Telefonie-, Dokumenten- und Marketingsystemen. Prüfen Sie vor der Offenlegung Daten Dritter und die Rechte anderer Personen. Dokumentieren Sie Entscheidung und Antwortdatum.
Führen Sie eine Datenschutz-Folgenabschätzung durch, wenn die Verarbeitung voraussichtlich ein hohes Risiko erzeugt, insbesondere bei systematischer Überwachung, neuartigen vernetzten Daten oder erheblichen automatisierten Entscheidungen. Eine DSFA sollte die Gestaltung vor dem Start beeinflussen und ist kein nachträgliches Genehmigungsformular.
Bereiten Sie eine Triage für Datenschutzverletzungen vor. Mitarbeiter sollten fehlgeleitete Rechnungen, offengelegte Exporte, kompromittierte Konten und Ransomware als mögliche Vorfälle mit personenbezogenen Daten erkennen. Erfassen Sie Fakten schnell, begrenzen Sie Zugriffe, sichern Sie Nachweise und unterstützen Sie die Bewertung der Meldepflichten durch den Verantwortlichen. Die DSGVO sieht bei Erreichen der maßgeblichen Risikoschwelle eine Frist von 72 Stunden für die Meldung an die Aufsichtsbehörde vor. [1]
Wo Omnetic einzuordnen ist
Die dokumentierten Omnetic-Module bringen Kunden-, Fahrzeug-, Geschäfts-, Kommunikations-, Prüfungs-, Bestands- und Preiskontext in operative Workflows. Diese Kontinuität kann Richtigkeit, Quellentransparenz und weniger unkontrollierte Übergaben unterstützen. Sie stellt für sich genommen keine DSGVO-Konformität her.
Händler sollten Omnetic nach Rollen als Verantwortlicher und Auftragsverarbeiter, Datenstandorten, Unterauftragsverarbeitern, Aufbewahrungs- und Löschverhalten, Zugriffskontrollen, Audit-Protokollen, Exportunterstützung, Vorfallregelungen und Details zur KI-Verarbeitung fragen. Land, Paket und Bereitstellungsoptionen können die Antwort verändern.
Einschränkungen
Dies ist keine Rechtsberatung. Rechtsgrundlage, Aufbewahrung und Rollenverteilung hängen von Sachverhalt, Verträgen und nationalem Recht einschließlich E-Privacy-Regeln ab. Die Leitlinien der Kommission zu Fahrzeugdaten sind unverbindlich. Ziehen Sie bei Bedarf qualifizierte Datenschutzberatung und die zuständige Aufsichtsbehörde hinzu.
Häufig gestellte Fragen
Nein. Die DSGVO sieht mehrere Rechtsgrundlagen vor. Die richtige Grundlage hängt von Zweck und Sachverhalt ab; Einwilligung darf nicht als universelle Ausweichlösung dienen.
Eine VIN kann personenbezogen sein, wenn sie sich auf eine identifizierte oder identifizierbare natürliche Person bezieht, insbesondere in Kombination mit Halter-, Standort- oder Servicedaten.
Legen Sie zweckspezifische Fristenpläne fest, die vertragliche, steuerliche, Garantie-, Anspruchs- und regulatorische Anforderungen abbilden. Bewahren Sie nicht sämtliche CRM- und Telematikdaten unbegrenzt auf.
Die Rechenschaftspflicht liegt bei der Leitung des Verantwortlichen und muss über benannte fachlich Verantwortliche sowie Datenschutz, Sicherheit, IT und operative Data Stewards umgesetzt werden.