30. November 2023

Der Personenbezug von Daten

Wann ist die Fahrzeug-Identifikationsnummer personenbezogen?

Bild: iStock.com / Nataliya Dmytrenko

3,67 (3)

Inhalte in diesem Beitrag

Wann haben Daten diese Eigenschaft, wann nicht?

Die DSGVO gilt nur für personenbezogene Daten. Wann aber sind Daten personenbezogen? Steht der Name der betroffenen Person direkt dabei, ist der Personenbezug klar. Was, wenn das nicht der Fall ist? Der Europäische Gerichtshof (EuGH) hat sich dazu geäußert. Seine Antwort fällt differenziert aus. Mit der „typisch deutschen“ Diskussion, ob der Personenbezug „absolut“ oder „relativ“ zu verstehen ist, hält er sich dabei nicht auf.

➧ Was ist die Fahrzeug-Identifikationsnummer?

Manchmal tauchen Grundsatzfragen des Datenschutzes dort auf, wo man kaum mit ihnen rechnet. So auch im vorliegenden Fall. Sicher können Sie schnell erraten, was mit dem „alphanumerischen Code, den der Hersteller einem Fahrzeug zu dem Zweck zuweist, dass jedes Fahrzeug einwandfrei identifiziert werden kann“, gemeint ist. Richtig: die Fahrzeug-Identifikationsnummer! Sie identifiziert jedes Kraftfahrzeug und jeden Kraftfahrzeuganhänger eindeutig. Der Hersteller vergibt sie bei der Herstellung des Kraftfahrzeugs oder Anhängers. Sie ist dort an bestimmten Stellen in das Metall eingeprägt.

➧ Wozu dient die Fahrzeug-Identifikationsnummer?

Jeder Hersteller von Fahrzeugen betreibt eine Fahrzeug-Datenbank. Sie enthält für jede Fahrzeug-Identifikationsnummer zahlreiche Informationen. Manche dieser Informationen brauchen Kfz-Werkstätten für die regelmäßigen Kundendienste bei Fahrzeugen und für Reparaturen.

Von besonderem Interesse sind dabei „Fahrzeug-OBD-Informationen“. Sie stammen aus dem „On-Board-Diagnosesystem“ (OBD-System“) und dokumentieren Fehlermeldungen. Mit ihrer Hilfe kann ein Fachmann erkennen, warum etwas am Fahrzeug nicht funktioniert. Wenn Werkstätten diese Informationen „auslesen“, wissen sie meist schnell, wie sich ein Fehler beheben lässt.

➧ Wer hat Zugriff auf die Datenbank des Fahrzeugherstellers?

Kein Fahrzeughersteller hat ein Problem damit, seinen Vertragshändlern und Vertragswerkstätten Zugriff auf die Datenbank zu gewähren Schließlich will er, dass diese Unternehmen, die mit ihm verbunden sind, Aufträge erhalten und daran Geld verdienen. Deutlich zögerlicher hatte sich im vorliegenden Fall der Fahrzeughersteller Scania gezeigt, als es um den Zugriff „unabhängiger Wirtschaftsakteure“ auf die Scania-Datenbank ging.

➧ Wie sieht es dabei mit Händlern von Autoteilen aus?

Unter den Begriff der „unabhängigen Wirtschaftsakteure“ fallen nach einer Definition in einer Verordnung der Europäischen Union (EU) vor allem die sogenannten „freien Werkstätten“, aber auch andere Akteure wie Händler von Autoteilen. Scania erlaubte den Zugriff auf seine Datenbank nur freien Kfz- Werkstätten und auch ihnen nur dann, wenn sie anhand der Zulassungspapiere oder der Angaben auf dem Fahrgestell eines Fahrzeugs die Nummer ermittelt hatten und sie dann manuell eingaben. Für Händler von Autoteilen gab es solche Ausnahmen nicht.

➧ Wozu ist eine Gesamtliste aller Identifikationsnummern nötig?

Gegenüber allen „unabhängigen Wirtschaftsakteuren“ weigerte sich Scania, ihnen eine aktuelle Liste aller Fahrzeugidentifikationsnummern bereitzustellen, die in der Scania-Datenbank enthalten sind. Ohne eine solche Gesamtliste sind keine „maschinengesteuerten Suchanfragen“ möglich. Möglich sind dann allenfalls Suchanfragen mit manueller Eingabe der Identifikationsnummer. Solche manuellen Anfragen sind deutlich aufwendiger und auch fehleranfälliger als maschinelle Anfragen.

In den geschilderten Einschränkungen sah der Gesamtverband Autoteile-Handel e.V. eine unzulässige Diskriminierung seiner Mitglieder. Sie handeln alle mit Autoteilen. Um relativ bequem herausfinden zu können, welche Ersatzteile ein ganz bestimmtes Fahrzeug benötigt, möchten sie die gleichen Zugriffsmöglichkeiten auf die Scania-Datenbank wie Vertragswerkstätten. Sie wollen also zum einen überhaupt einen Zugriff auf die Datenbank. Zum anderen wollen sie die eben angesprochene Gesamtliste aller darin enthaltenen Identifikationsnummern, um ihre Suchanfragen maschinegesteuert vornehmen zu können.

➧ Wo kommt endlich der Datenschutz ins Spiel?

Die Frage, welche Daten ein Fahrzeughersteller „unabhängigen Wirtschaftsakteuren“ wie Ersatzteilhändlern zur Verfügung stellen muss, beantwortet eine eigene EU-Verordnung. Sie befasst sich mit der Pflicht von Fahrzeugherstellern, Wartungsinformationen zur Verfügung zu stellen. Danach müssten auch Ersatzteilhändler die Gesamtliste der Fahrzeug-Identifikationsnummern eines Fahrzeugherstellers erhalten.

Diese Verordnung trifft allerdings keine Regelungen zum Datenschutz. Dies bedeutet: Sollte es sich bei der Fahrzeug-Identifikationsnummer um ein personenbezogenes Datum handeln, wäre zusätzlich anhand der Datenschutz-Grundverordnung (DSGVO) zu prüfen, ob die Herausgabe einer Liste dieser Nummern datenschutzrechtlich zulässig ist.

Datenschutz-Management kompakt ist die umfassende Lösung für die effiziente und rechtssichere Umsetzung der gesetzlichen Datenschutz-Vorgaben.

Profitieren Sie von den Erläuterungen und Umsetzungstipps zahlreicher erfahrener Datenschutzbeauftragter und Fachanwälten zum Datenschutzrecht.

➜ Jetzt professionell Datenschutz managen!

➧ Wann ist die Identifikationsnummer personenbezogen?

Der Tradition des Datenschutzrechts in Deutschland entspricht es, auf die Frage nach dem Personenbezug von Fahrzeug-Identifikationsnummern eine allgemeingültige Antwort zu erhalten, die für alle Fälle gilt. Anders gesagt: Erwartet wird eine Aussage von der Art, dass Fahrzeug-Identifikationsnummern entweder immer personenbezogen sind oder eben nie. Auf einen solchen Ansatz lässt sich der EuGH jedoch nicht ein. Er differenziert vielmehr wie folgt:

Für sich genommen stellt eine Fahrzeug-Identifikationsnummer kein personenbezogenes Datum dar.
Sie kann zum personenbezogenen Daten werden, wenn derjenige, der Zugriff auf sie hat, über die nötigen Zusatzinformationen verfügt, mit deren Hilfe er sie einer natürlichen Person zuordnen kann.
Für andere, die nicht über diese nötigen Zusatzinformationen verfügen, ist sie weiterhin nicht personenbezogen.

Mit anderen Worten: Es kommt auf die Umstände des Einzelfalls an, ob ein Personenbezug vorliegt oder nicht. Abstrakte „Ja/Nein- Antworten“ sind dagegen nicht möglich.

➧ Was bringt der Gegensatz „absoluter / relativer Ansatz“?

Vor allem in Deutschland wollen manche aus diesen Ausführungen des EuGH ableiten, dass er bezüglich der Frage, ob Daten als personenbezogen oder als anonym anzusehen sind, von einem „relativen“ Ansatz ausgehe. Mit anderen Worten: Ein- und dieselben Daten können aus der Sicht des einen, der entsprechendes Zusatzwissen hat, personenbezogen sein, aus der Sicht eines anderen, der nicht über das erforderliche Zusatzwissen verfügt, dagegen anonym.

Das sieht der EuGH im Ergebnis tatsächlich so. Es ist aber darauf hinzuweisen, dass er die Begriffe „absolut“ und „relativ“ in diesem Zusammenhang nirgends verwendet, weder in der vorliegenden Entscheidung noch in den älteren Entscheidungen, auf die sie Bezug nimmt. Er nimmt vielmehr stets eine Einzelfallbetrachtung vor. Deshalb besteht die Gefahr, dass Einführung und Verwendung solcher Begriffe zu Schlussfolgerungen führen, die der EuGH gerade nicht ziehen würde. Sie bringen deshalb keinen Erkenntnisgewinn.

➧ Was folgt aus einem möglichen Personenbezug der Nummer?

Fahrzeughersteller wie Scania hatten wohl gehofft, dass die DSGVO „unabhängigen Wirtschaftsakteuren“ wie Ersatzteilhändlern den Zugriff auf die Fahrzeug-Identifikationsnummer nicht erlaubt, wenn diese Nummer personenbezogen ist. Diese Hoffnung zerstört der EuGH allerdings. Er weist auf Folgendes hin:

Für die Fälle, in denen die Fahrzeug- Identifikationsnummer personenbezogen ist, ist die DSGVO zu beachten.
Das betrifft alle Konstellationen, in denen ein Fahrzeug einer natürlichen Person gehört und diese natürliche Person in der Zulassungsbescheinigung für das Fahrzeug eingetragen ist. Sollte der Fahrzeugeigentümer dagegen eine juristische Person sein, fehlt es am Personenbezug und die DSGVO bleibt außer Betracht.
Die EU-Verordnung über die Bereitstellung von Wartungsinformationen erlegt Fahrzeugherstellern unter anderem die Pflicht auf, die Fahrzeug-Identifikationsnummer „unabhängigen Wirtschaftsakteuren“ wie Ersatzteilhändlern zur Verfügung zu stellen.
Diese Pflicht ist als „rechtliche Verpflichtung“ im Sinn von Art. 6 Abs. 1 Buchstabe c DSGVO anzusehen. Damit erlaubt die DSGVO kraft Gesetzes die Bereitstellung der Fahrzeug-Identifikationsnummer an „unabhängige Wirtschaftsakteure.“
Wegen dieser gesetzlichen Erlaubnis müssen Unternehmen wie Ersatzteilhändler dem Fahrzeugsteller keine Einzel-Einwilligung des Fahrzeughalters für den Zugriff auf diese Nummer nachweisen.

➧ Worin liegt die praktische Bedeutung des Urteils?

Für freie Händler von Auto-Ersatzteilen ist das Urteil von fast schon existenzieller Bedeutung. Es ermöglicht ihnen denselben Zugriff auf die Datenbanken von Autoherstellern, den an Hersteller gebundene Händler schon seit langem genießen. Dies führt zu einer wesentlich rationelleren Abwicklung von Anfragen, verbunden mit erheblichen Kosteneinsparungen und schnellerer Warenverfügbarkeit für die Kunden. Berücksichtigt man diese wirtschaftlichen Folgen, haben die Ausführungen des EuGH zur DSGVO in diesem Fall erhebliche praktische Konsequenzen.

➧ Wo ist das EuGH-Urteil zu finden?

Das Urteil des EuGH vom 9. November 2023 trägt das Aktenzeichen C-319/22. Es erging in einem Rechtsstreit zwischen dem Gesamtverband Autoteile-Handel e. V. gegen Scania CV AB. Abrufbar ist es beim EuGH unter https://curia.europa.eu/juris/liste.jsf?num=C-319/22.

Dr. Eugen Ehmann

zu den Kommentaren

Wie nützlich war dieser Beitrag für Sie?

EuGH Urteil

drucken

Verfasst von

Dr. Eugen Ehmann

Dr. Eugen Ehmann ist ausgewiesener Fachmann auf dem Gebiet des Datenschutzes in Unternehmen & Behörden. Er ist Herausgeber eines renommierten DSGVO-Kommentars und Autor zahlreicher Beiträge in der Datenschutz PRAXIS sowie in vielen weiteren Datenschutz-Veröffentlichungen. Außerdem moderiert er seit 2003 den Datenschutz-Kongress IDACON

2 Kommentare

1. Dezember 2023 | 8:04

Thorsten

Vielen Dank für die Zusammenfassung! Zu einigen Ausführungen hätte ich allerdings noch eine Nachfrage:

„Ein- und dieselben Daten können aus der Sicht des einen, der entsprechendes Zusatzwissen hat, personenbezogen sein, aus der Sicht eines anderen, der nicht über das erforderliche Zusatzwissen verfügt, dagegen anonym.

Das sieht der EuGH im Ergebnis tatsächlich so.“

„Das betrifft alle Konstellationen, in denen ein Fahrzeug einer natürlichen Person gehört und diese natürliche Person in der Zulassungsbescheinigung für das Fahrzeug eingetragen ist. Sollte der Fahrzeugeigentümer dagegen eine juristische Person sein, fehlt es am Personenbezug und die DSGVO bleibt außer Betracht.“

Ist dem tatsächlich so? Ich finde, dass sich das Urteil des EuGH etwas kryptisch, nicht sogar widersprüchlich liest. Vor allem folgende Stelle:

Rn. 48 & 49:

„Unter diesen Umständen handelt es sich bei der FIN um ein personenbezogenes Datum im Sinne von Art. 4 Nr. 1 DSGVO der in der Zulassungsbescheinigung ausgewiesenen Person, sofern derjenige, der Zugang zur FIN hat, über Mittel verfügen könnte, die es ihm ermöglichen, die FIN zur Identifizierung des Halters des Fahrzeugs, auf das sich die FIN bezieht, oder zur Identifizierung der Person, die aufgrund eines anderen Rechtstitels denn als Halter über das betreffende Fahrzeug verfügen kann, zu nutzen.

Wie der Generalanwalt in den Nrn. 34 und 41 seiner Schlussanträge ausgeführt hat, stellt die FIN, wenn die unabhängigen Wirtschaftsakteure bei vernünftiger Betrachtung über Mittel verfügen können, die es ermöglichen, die FIN einer identifizierten oder identifizierbaren natürlichen Person zuzuordnen – was zu prüfen Sache des vorlegenden Gerichts ist –, für diese Wirtschaftsakteure sowie mittelbar für die Fahrzeughersteller, die die FIN bereitstellen, ein personenbezogenes Datum im Sinne von Art. 4 Nr. 1 DSGVO dar, selbst wenn die FIN für sich genommen für die Fahrzeughersteller kein persönliches Datum darstellt, insbesondere dann nicht, wenn das Fahrzeug, dem sie zugewiesen wurde, nicht einer natürlichen Person gehört.“

Zuerst stellt der EuGH ziemlich deutlich klar, dass es darauf ankommt ob ein Akteur über Mittel verfügt, die es ihm ermöglicht eine „natürliche Person“ zu identifizieren. In RN. 49 wird es für mich aber etwas konfus. Sollte ein unabhängiger Wirtschaftsakteur über Mittel verfügen die natürliche Person zu identifizieren, ist die FIN mittelbar für den Hersteller plötzlich auch personenbezogen? Woher kommt diese Annahme? Angenommen der Hersteller verfügt nicht über diese Mittel, wieso sollte die FIN für ihn plötzlich auch personenbezogen sein, wenn sie es für den Wirtschaftsakteur ist, dem die FIN zugeleitet wird?

Des weiteren frage ich mich was der EuGH mit folgendem Satz sagen möchte: „[…] insbesondere dann nicht, wenn das Fahrzeug, dem sie zugewiesen wurde, nicht einer natürlichen Person gehört.“

Widerspricht sich der EuGH hier nicht zum oben gesagten? Selbst wenn die FIN auf eine juristische Person verweist, soll sie dennoch ein personenbezogenes Datum darstellen?

Würde mich über Ihre Ansicht hierzu sehr freuen!

Mehr anzeigen Weniger anzeigen

8. Dezember 2023 | 7:18

Die Redaktion (Antwortet auf Thorsten)

In der Tat führt der EuGH die Leserinnen und Leser mit den sehr kompakten Formulierungen in Rn. 49 an die Grenzen des Zumutbaren. Widersprüchlich sind seine Ausführungen allerdings entgegen dem ersten, sehr verständlichen Eindruck nicht. Dies ergibt sich aus Folgendem:

Beginnen wir mit dem letzten Halbsatz von Rn. 49, wonach „ … die FIN [= Fahrzeugidentifikationsnummer] für sich genommen für die Fahrzeughersteller kein persönliches Datum darstellt, insbesondere dann nicht, wenn das Fahrzeug, dem sie zugewiesen wurde, nicht einer natürlichen Person gehört.“

Doppelte Verneinung sind unter Juristen recht beliebt, erschweren das Verständnis aber oft ungemein, so auch hier. Umformuliert bedeutet der eben zitierte letzter Halbsatz:

Wenn das Fahrzeug, dem die FIN zugewiesen wurde, einer natürlichen Person gehört, stellt die FIN jedenfalls für den Fahrzeughersteller ein persönliches Datum dar. Das gilt in diesem Fall ohne Wenn und ohne Aber. Denn personenbezogen ist die FIN in diesem Fall schon für sich genommen, also ohne Berücksichtigung weiterer Umstände, aus denen sich sonst noch ein Personenbezug ergeben könnte. Der Grund: Die Zulassungsbescheinigung (siehe dazu Rn. 47) eines Fahrzeugs enthält neben der FIN auch den Namen und die Anschrift des Inhabers der Zulassungsbescheinigung. Damit ergibt sich unmittelbar ein Personenbezug für jeden, der Zugang zur Zulassungsbescheinigung hat. Dasselbe gilt, wenn in der Zulassungsbescheinigung eine natürliche Person als Fahrzeughalter ausgewiesen ist (siehe dazu ebenfalls Rn. 47).

Wurde die FIN dagegen einem Fahrzeug zugewiesen, das im Eigentum einer juristischen Person steht, ist sie für sich genommen nicht personenbezogen. Denn dann steht in der Zulassungsbescheinigung als Inhaber der Zulassungsbescheinigung und Fahrzeughalter gerade keine natürliche Person, sondern eine juristische Person. Damit ergibt sich allein aus dieser Verknüpfung in der Zulassungsbescheinigung kein Personenbezug. Wer lediglich die Zulassungsbescheinigung in Händen hat, kann einen solchen Personenbezug nicht herstellen.

Diese Einschätzung des fehlenden Personenbezugs kann sich aber ändern, wenn ausnahmsweise weitere Umstände hinzutreten, mit deren Hilfe ein Bezug zwischen der FIN und einer natürlichen Person hergestellt werden kann. Konkrete Beispiele hierfür nennt der EuGH nicht. Denkbar wäre zum Beispiel, dass eine juristische Person ein Fahrzeug bei einem Fahrzeughersteller erwirbt und es durch ihn an eine natürliche Person ausliefern lässt, deren Name und Anschrift die juristische Person dem Fahrzeughersteller mitteilt. Dies liegt nicht völlig fern, wenn man etwa an ein Firmenfahrzeug denkt, das einem Mitarbeiter (= natürliche Person) eines Unternehmens (= juristische Person) zur privaten Nutzung zur Verfügung gestellt wird. In diesem Fall stellt die FIN ein personenbezogenes Datum dar. Das hat nichts damit zu tun, dass Daten einer juristischen Person aus der Sicht des EuGH jetzt plötzlich personenbezogen im Sinne der DSGVO wären. Vielmehr ergibt sich der Personenbezug in diesem Beispiel daraus, dass die FIN im Zusammenhang mit dem Auslieferungsvorgang mit einer natürlichen Person (nämlich der Person, an die das Fahrzeug ausgeliefert wird), in Bezug gesetzt wird.

Dieses vom EuGH nicht formulierte Beispiel zeigt auch zugleich, wie sehr man bei der Frage nach dem Personenbezug die Verhältnisse des konkreten Einzelfalls berücksichtigen muss. Bloß weil in dem von mir formulierten Beispiel die FIN für den Fahrzeughersteller zu einem personenbezogenen Datum wird, heißt dies noch lange nicht, dass sie auch für andere „Wirtschaftsakteure“ personenbezogen ist. Hierzu ein weiteres Beispiel: Angenommen, der Mitarbeiter, dem sein Arbeitgeber das Fahrzeug zur Nutzung überlassen hat, bringt es zum Kundendienst in eine Werkstatt. Diese Werkstatt führt die Kundendienst der für alle Fahrzeuge durch, die auf den Arbeitgeber (= juristische Person) zugelassen sind. Die Werkstatt weiß nicht, welche der Fahrzeuge einzelnen Mitarbeitern zur Nutzung überlassen sind und bei welchen Fahrzeugen dies nicht der Fall ist. Es ist ja auch völlig egal. In einer solchen Konstellation kann man sehr darüber diskutieren, ob die FIN aus der Sicht der Werkstatt personenbezogen ist oder nicht. Gegen einen Personenbezug spricht, dass alle Fahrzeuge aus der Sicht der Werkstatt „Fahrzeuge der juristischen Person“ sind, unabhängig von irgendwelchen Nutzungsberechtigungen daran. Für einen Personenbezug könnte man ins Feld führen, dass die Ablieferung zur Durchführung des Kundendienstes aber durch eine bestimmte natürliche Person erfolgt. Damit hat dann eine konkrete natürliche Person ein konkretes Fahrzeug abgeliefert, dem eine bestimmte FIN zugeordnet ist. Unter Berufung auf dieser Verknüpfung könnte man die FIN dann vielleicht doch aus der Sicht der Werkstatt als personenbezogen ansehen. Welche der beiden Ansichten ist zutreffend? Spontan kann ich dies aus meiner Sicht nicht beantworten, darüber müsste ich noch länger nachdenken.

Es hat seinen guten Grund, dass der EuGH die Formulierung von Rn. 48 mit den Worten beginnt „Unter diesen Umständen …“ Genau das ist der springende Punkt: Es kommt bei der Frage, ob ein Personenbezug vorliegt, auf die konkreten Umstände an. Bereits eine geringfügige Modifizierung dieser Umstände kann dazu führen, dass die Antwort auf die Frage ganz anders aussieht als zuvor. Bitte bedenken Sie dies, wenn Sie – wozu ich Sie herzlich einlade – meine Ausführungen hin – und her erwägen und sich dabei die Frage stellen „Ja aber, was wäre wenn …“ Es ist dann damit zu rechnen, dass es dann immer wieder zu anderen Ergebnissen kommt nach dem Motto „Eben bei der Personenbezug doch noch da und jetzt soll er wegen dieser kleinen Modifizierung des Sachverhalts weg sein?“ Meine Antwort hierauf wäre dann: „Genauso ist es, denn die Umstände sind dann andere geworden, als sie es in dem von mir formulierten Beispiel waren.

Mit besten Grüßen
Eugen Ehmann