Ein Fachbeitrag von Aleksandra Kovacevic, Senior Director Privacy Management und Nerea Palacio, Director Legal Counsel - HERE Technologies:

Der EU Data Act zielt darauf ab, Teilhabe an der europäischen Datenwirtschaft zu ermöglichen. Er soll Nutzern und berechtigten Dritten unter definierten Bedingungen den Zugang zu bestimmten Kategorien produkt- und dienstleistungsbezogener Daten ermöglichen. Das beinhaltet kleinere Unternehmen und Start-Ups. Durch die Festlegung dieser Parameter unterstützt das Gesetz die Entwicklung datengesteuerter Dienste. Es trägt dazu bei, strukturelle Hindernisse abzubauen, die den Wettbewerb einschränken.

Handelt es sich bei den Daten, die im Fahrzeug generiert werden, um personenbezogene Daten, bleibt die DSGVO uneingeschränkt anwendbar. Automobilhersteller müssen daher eine geeignete Rechtsgrundlage für die Verarbeitung ermitteln. Sie müssen Schutzmaßnahmen umsetzen und sicherstellen, dass die betroffenen Personen verstehen, wie ihre Daten verwendet werden. Der Data Act ersetzt diese Verpflichtungen nicht. Er stellt klar, welche Kategorien von Produktnutzungsdaten unter welchen Bedingungen zugänglich gemacht werden müssen.

Bewältigung des Datendilemmas: Die Rolle der Anonymisierung

Automobilhersteller sind bestrebt, von vernetzten Fahrzeugen generierte Daten zur Produktverbesserung, für die Sicherheit und zur Entwicklung von Services zu verarbeiten oder weiterzugeben. Einige dieser Daten können sich jedoch auf identifizierbare Personen beziehen. Dies löst Verpflichtungen nach der DSGVO aus, selbst wenn der EU Data Act einen breiteren Zugang und eine umfassendere Weiterverwendung fördert. Das ist keine ausweglose Situation. Der praktische Weg zu einem legitimen Datenaustausch besteht darin, personenbezogene Daten, wo immer möglich, zu reduzieren und zu anonymisieren. Das gilt vor allem, wenn individuelle Daten für den jeweiligen Zweck nicht erforderlich sind.

Eine frühzeitige Anonymisierung, idealerweise im Fahrzeug oder einer Edge-Umgebung, senkt das Risiko von Datenschutzverletzungen. Bei Standort- und Bewegungsdatensätzen unterbricht die Anonymisierung in der Regel die Verknüpfbarkeit. So kann eine Abfolge von Punkten nicht über einen längeren Zeitraum mit einem bestimmten Fahrer in Verbindung gebracht werden. Gleichzeitig bleibt genügend Nutzen für die Verkehrs-, Sicherheits- und Infrastrukturanalyse erhalten. Ziel ist, dass die Identität eines Fahrers nicht mit vertretbarem Aufwand zurückverfolgt werden kann. Die Anonymisierung muss dennoch auf das Risiko einer Re-Identifizierung geprüft werden, da bestimmte Bewegungsmuster immer wieder Rückschlüsse auf einzelne Personen zulassen.

Die Anonymisierung erfolgt beispielsweise durch das Aggregieren von Daten über mehrere Fahrzeuge hinweg, das Entfernen oder Verallgemeinern präziser Identifikatoren (wie exakte Zeitstempel/Koordinaten) und das Unterbrechen der Verknüpfbarkeit.

Es gibt viele Technologien zur Verbesserung des Datenschutzes, die die Entfernung oder Umwandlung sensibler Attribute wie Standortverläufe, Verhaltensindikatoren und Bewegungsmuster unterstützen. Bei angemessener Anwendung können sie eine konforme Wiederverwendung von Daten erleichtern und gleichzeitig neue Geschäfts- und Forschungsmöglichkeiten fördern. Jedoch ist Anonymisierung eine mögliche Maßnahme und nicht der einzige Mechanismus, der eine rechtmäßige Datenverarbeitung ermöglicht.

Für viele Anwendungsfälle im Automobilbereich – insbesondere solche, die Sicherheitsanalysen, Verkehrsoptimierung und Innovationen von Drittanbietern im Rahmen des Data Act unterstützen – ist Anonymisierung der praktischste und skalierbarste Weg in die Zukunft. Unternehmen, die dies frühzeitig beherrschen und bereits am Ort der Datenerfassung einbinden (z. B. durch On-Device-Verarbeitung im Fahrzeug), sind in der Lage, beide Regulierungsrahmen effizient zu erfüllen und bewahren gleichzeitig den maximalen Nutzen der Daten.

Aufbau eines verantwortungsvollen und zukunftsfähigen Datenökosystems

Automobilhersteller stehen heute an einem regulatorischen und technologischen Scheideweg. Das Zusammentreffen von Data Act und DSGVO schafft sowohl Verpflichtungen als auch Chancen. Unternehmen, die Technologien zum Datenschutz, Strategien zur Datenminimierung und dezentrale Verarbeitungsmodelle als grundlegende Elemente ihrer Datenarchitektur betrachten – und nicht als nachträgliche Einfälle –, werden einen Wettbewerbsvorteil haben.

Die strategische Notwendigkeit ist klar: Frühzeitige Investitionen in robuste technische Schutzmaßnahmen und transparente Governance-Rahmenbedingungen sorgen nicht nur für Compliance, sondern bilden die Grundlage für Innovation. Unternehmen, die Anonymisierungs- und „Privacy-by-Design“-Prinzipien tief in ihre Systeme einbetten, können gleichzeitig die Datenaustauschverpflichtungen des Data Act erfüllen, die strengen Schutzvorschriften der DSGVO einhalten und das Vertrauen von Fahrern, Passagieren, Regulierungsbehörden und Dritten gewinnen. Quelle: HERE Technologies