Aufsatz : Lebensretter eCall: Türöffner für neue Telematik-Dienstleistungen : aus der RDV 4/2014, Seite 177 bis 183

III. Funktionsweise des eCalls

Das Prinzip des eCalls ist einfach. Sobald die Airbags ausgelöst werden, wählt sich das System über eine eigene SIM-Karte automatisch in das Mobilfunknetz ein und baut eine Sprach- und Datenverbindung zur nächstgelegenen Notrufstelle auf^[13]. Über die Datenverbindung werden die notwendigen Rettungsdaten übermittelt. Die Notrufstelle leitet auf dieser Grundlage die Rettungsmaßnahmen ein und nimmt über die Mobilfunkverbindung Kontakt zum Unfallfahrzeug auf. Alle Neufahrzeuge werden mit den hierzu erforderlichen technischen Voraussetzungen verpflichtend ausgestattet. Dazu gehören u.a. ein GPS-Empfänger zur Feststellung der Fahrzeugposition, eine GSM-Antenne zum Senden des Notrufs, ein Steuergerät zur Meldung des Standorts, ein Crash-Sensor zum Erkennen der Unfallart, eine Freisprecheinrichtung, eine Notstromversorgung zur Überbrückung von Unfallschäden an der Fahrzeugbatterie, eine Taste zur manuellen Auslösung des Notrufs und eine Kontrollleuchte, welche die Funktionsfähigkeit des Systems anzeigt^[14]. Der eCall-Notruf selbst besteht aus einem Mindestdatensatz (Minimum Set of Data, MSD). Festgelegt sind die zulässigen Daten in der Norm „Intelligente Transportsysteme – Elektronische Sicherheit – Minimaler Datensatz für den elektronischen Notruf eCall.“^[15] Hierin vorgesehen sind Unfallort, Unfallzeitpunkt, Fahrtrichtung, Fahrzeugkennung mit Fahrzeugtyp und Treibstoffart^[16] sowie die Anzahl der angelegten Sicherheitsgurte, um die Zahl der Insassen zu bestimmen^[17]. Die Daten erhält das eCall-System über standardisierte Schnittstellen (SST) zur Bord elektronik.

IV. Datenschutzrechtliche Einordnung

Mit dem verpflichtenden Einbau der Notruftechnik verfügt künftig jedes Neufahrzeug in Europa über einen Mobilfunkzugang. Damit ist grundsätzlich möglich, Fahrzeugbewegungen nachzuvollziehen. Insoweit entspricht das Gefährdungspotential dem der Mobiltelefonie. Neue Herausforderungen für den Datenschutz ergeben sich hingegen daraus, dass mit dem Notrufsystem zugleich eine technische Plattform an der Schnittstelle zwischen Bordelektronik und Internet geschaffen wird. In modernen Fahrzeugen arbeiten bis zu 80 Steuergeräte, die mit Hilfe von Sensoren alle relevanten Fahr- und Fahrzeugdaten erfassen, speichern und verarbeiten^[18]. Diese Daten sind wirtschaftlich höchst interessant. Mit der Netzanbindung des Notrufsystems können diese nach außen transportiert und für verschiedenste Dienste nutzbar gemacht werden. Für die Sicherung von Privatsphäre und Datenschutz ist es mithin entscheidend, wie diese Schnittstelle konzipiert und ausgestaltet ist.

1. Unbedenklichkeit des gesetzlichen Notrufsystems (Basissystem)

Das gesetzliche Notrufsystem ist unter Datenschutzgesichtspunkten im Wesentlichen bedenkenfrei. Dieses Ergebnis ist nicht zuletzt auf die kritische Begleitung des Gesetzgebungsverfahrens in der Öffentlichkeit zurückzuführen^[19]. Die datenschützenden Bestimmungen wurden im Laufe des Gesetzgebungsverfahrens gegenüber dem ursprünglichen Entwurf deutlich verschärft. Die Verordnung stellt in der jetzigen Form nun eine ausreichende Rechtsgrundlage für die Erhebung und Verarbeitung der in diesem Zusammenhang benötigten Daten dar.

a) Privatsphäre und Datenschutz sind ausreichend gewährleistet

Das eCall-System ist als „schlafendes“ System ausgelegt. Erst bei Auslösen der Airbags oder manueller Aktivierung wird eine Mobilfunkverbindung hergestellt. Die Hersteller müssen sicherstellen, dass die Fahrzeuge im Normalbetrieb nicht verfolgt werden können, bevor der eCall ausgelöst wird^[20]. Die Gefahr der Bildung von Bewegungsprofilen, das gefürchtete „Tracking,“ ist damit ausgeschlossen. Mit dem Mindestdatensatz (Minimum Set of Data) werden zudem nur jene Informationen übermittelt, die für die effiziente Notfallrettung erforderlich sind^[21]. Für andere Zwecke als die Notfallrettung dürfen die Daten nicht verwendet werden. Auch die Löschung ist in der Verordnung klar geregelt. Soweit es sich um Positionsdaten handelt, müssen diese kontinuierlich überschrieben werden, damit im Fall der Notrufauslösung nur die für die Positionsbestimmung und Fahrtrichtung unerlässlichen Daten vorhanden sind^[22]. Die Notrufstelle darf die Daten zudem nur für die Dauer der Rettungsmaßnahmen speichern und verwenden. Im Ergebnis unterscheidet sich die Verwendung der Daten damit nicht von der bisherigen Notrufpraxis.

b) Fehlende Deaktivierungsmöglichkeit unkritisch

Teilweise wird problematisiert, dass die Verordnung dem Nutzer keine Wahlfreiheit lässt, den eCall zu nutzen oder nicht. Ein Deaktivieren des Notrufsystems ist nicht vorgesehen. Kritiker sehen hierin einen unverhältnismäßigen und unangemessenen Eingriff in das Recht auf informationelle Selbstbestimmung^[23]. Im Ergebnis vermögen diese Bedenken nicht zu überzeugen. Der eCall dient nicht nur dem Schutz des Fahrers, sondern auch dem der Mitfahrer und anderer Verkehrsteilnehmer^[24]. Mit einem optionalen Abschalten des Systems ist dieses Ziel nicht zu erreichen. Mit Blick auf die grundrechtlich geschützten Rechtsgüter anderer Verkehrsteilnehmer scheint es zulässig und angemessen, das Recht auf informationelle Selbstbestimmung insoweit einzuschränken. Die Einschränkung sollte allerdings im Entwurf ausdrücklich benannt werden. An dieser Stelle muss noch nachgearbeitet werden^[25]. Dann ist das Fehlen der Deaktivierungsmöglichkeit bedenkenfrei.

2. Problem der Zusatzdienste

Die datenschutzrechtliche Unbedenklichkeit besteht aber nur auf den ersten Blick. Unproblematisch ist allein das gesetzliche Notrufsystem in seiner Basisfunktion. Kritisch sind die Zusatzdienste.

a) eCall als technische Plattform für Zusatzdienste

Entsprechend der gesetzgeberischen Zielrichtung, mit dem gesetzlichen Notrufsystem zugleich in jedem Fahrzeug eine technische Plattform für Zusatzdienste rund um das Automobil zu fördern, ist die Architektur des eCall-Systems als frei zugängliche, interoperable und standardisierte Plattform konzipiert[26]. Hierauf können die Zusatzdienste aufsetzen^[27]. Die Grundlage bildet das im eCall-System enthaltene Mobilfunkmodul, durch das alle Neufahrzeuge künftig über eine Internetschnittstelle verfügen^[28]. Die Zusatzdienste können darüber auch im Normalbetrieb – wenn dies gewünscht ist – stets mit dem Internet verbunden sein. Zwei Arten von Zusatzdiensten sind zu unterscheiden: Solche, die direkt auf dem gesetzlichen System aufsetzen, und Dienste, die auf einem zusätzlichen privaten Notrufsystem basieren. Für die erstgenannten Zusatzdienste bedarf es nur einer zweiten SIM-Karte im Mobilfunkmodul des gesetzlichen Notrufsystems. Die zusätzlichen privaten eCallSysteme – mittlerweile von fast allen namhaften Herstellern als Bestandteil der modernen Bordsysteme angeboten^[29] – sind in der Regel bereits über das Mobilfunkmodul des Bordsystems mit dem Netz verbunden. Die Möglichkeit, solche zusätzlichen privaten Notrufsysteme zu nutzen, ist in der Verordnung ausdrücklich vorgesehen^[30]. Sie übernehmen dann die Funktion des gesetzlichen Notrufs. Es muss lediglich sichergestellt sein, dass im Falle eines Defekts das gesetzliche eCall-System automatisch reaktiviert wird^[31]. Die derzeit noch geführte Diskussion^[32], ob im Normalbetrieb ein Datenaustausch zwischen den beiden System stattfinden darf, ist eher theoretischer Natur. Sofern sich der Fahrzeughalter für ein privates System entscheidet, ist dies in der Regel ohnehin integraler Bestandteil eines umfassenden Bordsystems mit eigenem Zugriff auf die Bordelektronikdaten und eigener Mobilfunkschnittstelle.

b) Datenschutzregelungen gelten ausschließlich für das gesetzliche Basissystem

Ungeachtet dessen, dass die Zusatzdienste stets fester Bestandteil der eCall-Initiative waren, gelten die Datenschutzbestimmungen der Verordnung ausschließlich für das gesetzliche Basissystem. Die Zusatzdienste werden hiervon nicht erfasst. Besonders deutlich wird dies in der Entwurfsfassung des Ministerrats. Gesetzlicher Notruf („bordeigenes eCall-System“) und privater Notruf („bordeigenes Drittanbieter-eCall-System“) sind hierin legal definiert^[33]. Die in Artikel 6 enthaltenen Bestimmungen zu Privatsphäre und Datenschutz gelten nur für das gesetzliche Notrufsystem („bordeigenes eCall-System“)^[34]. Der private Notruf ist damit von vornherein aus der Vorschrift ausgenommen. Gleiches gilt für Zusatzdienste, die auf dem gesetzlichen Notrufsystem unmittelbar aufsetzen. Die Legaldefinition des gesetzlichen Notrufsystems umfasst nur den Notruf in seiner Basisfunktion^[35]. Auch der in Art 6 verankerte Ansatz des „privacy by design“ lässt die Zusatzdienste unberührt. Auch aus den Herstellerpflichten in Artikel 4 und 5 des Ratsentwurfs lässt sich keine Einbeziehung der Datenschutzbestimmungen auf Zusatzdienste ableiten. Artikel 4 verpflichtet die Hersteller lediglich nachzuweisen, dass alle neuen Fahrzeugtypen mit dem gesetzlich verpflichtenden bordeigenen eCall-System ausgerüstet sind. In Artikel 5 Nr. 2 a werden zwar die Voraussetzungen genannt, unter denen Drittanbieter-eCall-Systeme verwendet werden dürfen. Die Einhaltung der strengen Datenschutzbestimmungen ist in dem angeführten Katalog aber gerade nicht erwähnt. Die Hersteller trifft zudem die Pflicht, die Nutzer über eine vom Basissystem abweichende Datennutzung in der Betriebsanleitung zu informieren und deren Zustimmung einzuholen^[36]. Diese Regelung unterstreicht ebenfalls, dass die Zusatzdienste nicht durch die datenschutzrechtlichen Bestimmungen der Verordnung abgedeckt sind.

3. Rückgriff auf andere gesetzliche Regelungen und Datenschutzgrundsätze nicht möglich

Die bestehende Lücke kann auch nicht durch den Rückgriff auf andere gesetzliche Regelungen und die allgemeinen Datenschatzgrundsätze gefüllt werden. Außerhalb der Verordnung sind bereichsspezifische Regelungen zum Schutz der Fahrzeug- und Personendaten im Zusammenhang mit Zusatzdiensten nicht ersichtlich. Insbesondere das „Gesetz über Intelligente Verkehrssysteme im Straßenverkehr und deren Schnittstellen zu anderen Verkehrsträgern – Intelligente Verkehrssysteme-Gesetz (IVSG)“^[37] stellt kein ausreichendes Datenschutzregime zur Verfügung. Die Vorschriften verfügen nicht über die erforderliche Regelungstiefe und Normenklarheit. Im Übrigen zielt das Gesetz in erster Linie auf die grenzüberschreitende technische Harmonisierung ab, indem es die Behörden bei der Einführung intelligenter Verkehrssysteme auf die Einhaltung der europäischen Spezifikationsvorgaben verpflichtet^[38]. Die allgemeinen gesetzlichen Erlaubnistatbestände sind nicht einschlägig (§ 28 Abs. 1 BDSG)^[39]. Hier dürfte es in der Regel bereits am Tatbestandsmerkmal „zur Erfüllung eigener Geschäftszwecke“ fehlen. Hierzu dient die Datenverwendung nur dann, wenn sie nicht selbst den Kern des geschäftlichen Interesses darstellt^[40]. Dies ist bei Zusatzdiensten aber in der Regel der Fall. Man denke etwa an die Über prüfung des Fahrzeugzustandes oder die Erfassung von Ortungsdaten.

Die allgemeinen Datenverarbeitungsgrundsätze der Datensparsamkeit und Datensicherheit sind nicht ausreichend trennscharf, um Schutz vor den Gefahren zu vermitteln, die von den Zusatzdiensten ausgehen. Selbst datensparsame und datensichere Gestaltungen können nicht verhindern, dass eine Vielzahl hochsensibler Fahr- und Fahrzeugdaten ausgetauscht werden.

4. Instrument der Einwilligung nur bedingt geeignet

Insoweit verbleibt nur das Instrument der Einwilligung^[41]. Das normative Schutzkonzept der Einwilligung ist im Zusatzdienstekontext aber nur bedingt geeignet.

a) Unbestimmter Kreis von Betroffenen

Dies gilt bereits mit Blick auf den Kreis der Betroffenen. Da die Einwilligung durch ihren Grundrechtsbezug höchstpersönlicher Natur ist, kann sich grundsätzlich nur der Betroffene selbst im Vorfeld mit der Verarbeitung einverstanden erklären^[42]. Die Abgabe durch einen Bevollmächtigten scheidet aus^[43]. Eine Einwilligung ist mithin nur in den Fällen unproblematisch, in denen der Fahrzeughalter zugleich der einzige Fahrer ist. Wird das Fahrzeug von mehreren Personen geführt, muss – in Abhängigkeit vom Umfang des Zusatzdienstes – ggf. jede dieser Personen einwilligen. Gleiches gilt für Mitfahrer. Auch ihre Daten werden über den Anschnallgurt oder den Airbag erfasst, dieses zudem oft unbemerkt durch den Betroffenen^[44]. Wie die Einwilligung vor diesem Hintergrund in der Praxis realisiert werden soll, ist unklar. Die Einwilligung ist auf solche Fälle nicht zugeschnitten. Sie stößt damit bereits in einer typischen Grundkonstellation der Zusatzdienste an ihre Grenzen.

b) Formanforderungen

Auch die gesetzlich vorgeschriebenen Formanforderungen dürften kaum durchgängig eingehalten werden können. Die Einwilligung muss grundsätzlich schriftlich erfolgen^[45]. Da dies grundsätzlich für jede Datenverwendung gilt^[46], ist sie schon mit Blick auf den weiten Kreis potentiell Betroffener eine kaum zu bewältigende Herausforderung. Eine Schriftform ersetzende, qualifizierte elektronische Signatur kommt vor diesem Hintergrund ebenfalls nicht in Betracht^[47]. Auch die Verwendung eines „Push-Button“, wie ihn die Artikel 29-Datenschutzgruppe in Zusammenhang mit der intelligenten Verbrauchsmessung (Smart Metering) vorgeschlagen hat^[48], dürfte das Problem nicht lösen. Die eigenhändig zu unterzeichnende schriftliche Einwilligung soll der Identifizierung und Höchstpersönlichkeit des Betroffenen dienen und wäre durch einen einfachen Druckknopf nicht gewährleistet^[49].

c) Widerruflichkeit

Die Einwilligung müsste zudem widerrufen werden können^[50]. Man könnte insoweit daran denken, dem Betroffenen systemseitig die Möglichkeit einzuräumen, den Verarbeitungsprozess jederzeit stoppen zu können^[51]. Bei Zusatzdiensten, die auf dem privaten Notrufsystem beruhen, könnte dies über ein manuelles Deaktivieren des Systems erfolgen. Eine Sicherheitslücke wäre nicht zu befürchten, da nach den Vorgaben der Verordnung das gesetzliche Notrufsystem automatisch übernehmen würde^[52]. Schwieriger ist die Situation indes bei Zusatzdiensten, die unmittelbar auf dem gesetzlichen Notruf aufsetzen. Dieser kann nach der Verordnung nicht deaktiviert werden. Insofern kommt es darauf an, ob der jeweilige Zusatzdienst gesondert abgeschaltet werden kann.

d) Informierte Einwilligung

Problematisch ist das Instrument der Einwilligung zudem unter dem Gesichtspunkt der „informierten Einwilligung“. Der Betroffene muss wissen, worin er einwilligt, um die Tragweite seiner Entscheidung abzusehen^[53]. Dies setzt voraus, dass er zumindest ausreichende Informationen darüber hat, welche Daten Gegenstand der Einwilligung sind, wie diese verwendet werden und durch wen die Verwendung erfolgt^[54]. Die Verordnung delegiert die Informationspflicht auf die Fahrzeughersteller. Diese sind verpflichtet, klare und umfassende Informationen über die Verarbeitung von Daten durch das bordeigene System als Teil der Betriebsanleitung bereitzustellen^[55]. Dies beinhaltet gemäß Art. 6 Abs. 3 i auch jegliche sonstigen Informationen hinsichtlich der Verarbeitung personenbezogener Daten im Zusammenhang mit der Bereitstellung eines privaten Notrufsystems und von Zusatzdiensten^[56]. Die Konzentration der Informationspflicht auf eine Stelle ist zwar grundsätzlich nicht zu beanstanden, wenngleich sich die Frage stellt, wie dies bei mehreren, zeitlich gestaffelten Zusatzdiensten, die nicht über einen Hersteller laufen, praktisch funktionieren soll. Eine andere Frage ist, wie mit dem absehbaren „information overload“ umzugehen ist. Zu viele Informationen können dazu führen, dass diese nur unzureichend zur Kenntnis genommen werden^[57]. Entscheidend ist jedoch, dass die Problematik des unbestimmten Kreises von Betroffenen auch auf die Informiertheit der Einwilligung durchschlägt. Wenn die Person des Betroffenen unklar ist, läuft die Information ins Leere. Der Gesetzgeber legt dieses Problem in der Verordnung selbst offen. Obgleich die Informationspflicht sehr umfangreich geregelt ist, fehlt jede Angabe dazu, wem gegenüber der Fahrzeughersteller die Information zu erbringen hat. Auch dieser Befund unterstreicht, dass die Einwilligung im ZusatzdiensteKontext nur bedingt tauglich ist. Sie vermag nur zwischen Betroffenen und verantwortlicher Stelle Wirkung zu entfalten. Auf mehrpolare Konstellationen mit Kfz-Herstellern, Haltern, Fahrern, Mitfahrern, Leihstellen, Dienste- und Geräteanbietern ist sie nicht zugeschnitten. Hinzu tritt ein grundsätzliches Problem. Die Einwilligung ist in ihrer Ausgestaltung auf überschaubare Sachverhalte angelegt. In Zusammenhang mit modernen Technologien stößt dieses Schutzkonzept an seine Grenzen^[58]. Bei hoher Komplexität der Datenverarbeitungsvorgänge, wie sie für moderne Technikentwicklungen typisch sind, ist der Einwilligende kaum mehr in der Lage, die Konsequenzen seiner Entscheidung abschätzen zu können^[59]. Eine solche Konstellation wird auch für den Fall Zusatzdienste angenommen^[60].

V. Fazit

Der eCall leistet einen wichtigen Beitrag, um die Zahl der Unfalltoten auf Europas Straßen zu senken. In dieser Funktion ist er uneingeschränkt zu begrüßen und auch datenschutzrechtlich bedenkenfrei.

Im Unterschied zur öffentlichen Wahrnehmung zielt die eCall-Initiative jedoch nicht allein auf die Verbesserung der Notfallrettung ab. Der europäische Gesetzgeber verfolgt hiermit zugleich industriepolitische Zwecke. Der eCall soll die technische Plattform für die weitere Informatisierung des Autos bilden. Mit dem verpflichtenden Einbau der für den Notruf erforderlichen Technik ist künftig jedes europäische Neufahrzeug internet- und telematikfähig. Damit soll die Grundlage für innovative Mehrwertdienste rund um das Automobil geschaffen und die Stellung der europäischen Automobil-, Kommunikations- und Informationsindustrie auf den Weltmärkten gestärkt werden. Die Verordnung sieht dementsprechend vor, dass rund um das bordeigene Notrufsystem umfangreiche Zusatzdienste angeboten werden können.

In diesen Zusatzdiensten liegt die eigentliche Gefahr für die informationelle Selbstbestimmung. Die strengen Datenschutzbestimmungen der Verordnung gelten ausschließlich für den Notruf in seiner Basisfunktion. Die Zusatzdienste werden hiervon nicht erfasst. Diese dürfen ständig mit dem Netz verbunden sein und können theoretisch uneingeschränkt Daten übermitteln. Insbesondere die privaten eCall-Systeme sind vor diesem Hintergrund bedenklich. Eingebettet in die modernen Bordsysteme ist bei entsprechender Gestaltung praktisch die gesamte automobile Wertschöpfungskette in der Lage, unbegrenzt Daten über das Fahrzeug und das Fahrverhalten zu gewinnen. Die wirtschaftliche Bedeutung liegt auf der Hand. Schätzungen gehen davon aus, dass das Geschäft mit dem vernetzten Auto bereits im Jahr 2020 weltweit die Schwelle von 100 Milliarden Euro übersteigt.^[61]

Der Ehrgeiz des europäischen Gesetzgebers, dem Datenschutz vor diesem wirtschaftlichen Hintergrund Geltung zu verschaffen, ist offenkundig begrenzt. Die Verordnung fordert für die Zusatzdienste im Grunde nur eine entsprechende Einwilligung des Nutzers. Die Verantwortung für den Datenschutz wird damit im Wesentlichen auf den Verbraucher verlagert. Dies ist weder sachgerecht noch angemessen. Als normatives Schutzkonzept ist die Einwilligung nicht geeignet, um die aus den Zusatzdiensten resultierenden Gefahren einzudämmen. Die Einwilligung wird zudem dadurch entwertet, dass sie im Umfeld des lebensrettenden Notrufs erfolgt. Dies birgt die Gefahr, dass Notfallrettung und Umfang der zugestandenen Datenübermittlung in gedanklichen Zusammenhang gebracht werden.

Auch gesetzgebungspolitisch ist die Verordnung in hohem Maße kritikwürdig. Sie verbindet Notfallrettung mit Industrieförderung und nimmt hierdurch billigend in Kauf, dass der eCall unter dem Deckmantel der Lebensrettung zum Türöffner für weitreichende Datennutzungen wird.

Es bleibt zu hoffen, dass die datenschutzrechtliche Lücke zügig geschlossen wird. Immer mehr Autohersteller und Diensteanbieter bauen Services rund um den Notruf 112 aus. Datenschutzfreundliche Konzepte für das Zusammenwachsen von Fahrzeug und Internet existieren jedoch erst in Ansätzen. Neben der Sensibilisierung der Verbraucher sollten daher auf europäischer Ebene rasch verbindliche Rahmenbedingungen gesetzt werden. Nur mit ausreichenden bereichsspezifischen Regelungen lässt sich ein angemessenes Schutzniveau für Datenverarbeitungen rund um das Automobil sicherstellen.